İşyerinde Kamera Sistemi ve KVKK

İşyerine kamera kurmak teknik bir karar gibi görünür; oysa kurulduğu andan itibaren bir kişisel veri işleme faaliyeti başlar ve tesis sahibi veri sorumlusu hâline gelir. Bu yazıda kamera sistemlerinin 6698 sayılı Kişisel Verilerin Korunması Kanunu karşısındaki durumunu ele alıyoruz.

Aşağıdaki bilgiler genel bilgilendirme amaçlıdır ve hukuki görüş yerine geçmez.

Kamera görüntüsü kişisel veridir

Bir kişiyi belirli veya belirlenebilir kılan her bilgi kişisel veridir; görüntü de buna dâhildir. Dolayısıyla kamera sistemi kurmak, bir veri işleme faaliyeti başlatmak demektir ve Kanun'un tüm yükümlülükleri devreye girer.

Veri sorumlusu, sistemi kuran ve amacını belirleyen taraftır — yani tesis sahibi. Güvenlik hizmetini bir firmadan alıyor olmanız bu sıfatı devretmez; hizmet sağlayıcı genellikle veri işleyen konumundadır.

Açık rıza şart mı? Genellikle hayır

Sahada en yaygın yanılgı, her çalışandan kamera için imzalı rıza alınması gerektiğidir. Kanun bunu gerektirmez.

Madde 5'in birinci fıkrası kişisel verilerin ilgili kişinin açık rızası olmaksızın işlenemeyeceğini söyler. Ancak ikinci fıkra, açık rıza aranmaksızın işlemeye izin veren altı hâl sayar. Bunlardan biri şudur:

f) İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.

İşyeri güvenliğini sağlamak, mal varlığını korumak ve iş kazalarını önlemek amacıyla yapılan sınırlı ve ölçülü izleme genellikle bu kapsamda değerlendirilir. Bu durumda ayrıca açık rıza almanız gerekmez; aydınlatma yapmanız gerekir.

Çalışma ilişkisinde açık rızaya dayanmanın ayrı bir sakıncası da vardır: rıza her zaman geri alınabilir ve işçi-işveren arasındaki bağımlılık ilişkisi nedeniyle "özgür iradeyle verilmiş" sayılması tartışmalıdır. Meşru menfaate dayanmak, doğru kurulduğunda daha sağlam bir zemindir.

Aydınlatma yükümlülüğü — bu atlanamaz

Madde 10, verilerin elde edilmesi sırasında ilgili kişilere şu konularda bilgi verilmesini zorunlu kılar:

• Veri sorumlusunun ve varsa temsilcisinin kimliği
• Kişisel verilerin hangi amaçla işleneceği
• İşlenen verilerin kimlere ve hangi amaçla aktarılabileceği
• Veri toplamanın yöntemi ve hukuki sebebi
• Madde 11'de sayılan diğer haklar

Pratikte iki katmanlı bir yapı kurulur:

1. Kısa bildirim (tabela): kamera izleme alanına girilmeden önce görülebilecek şekilde, "bu alan güvenlik kamerasıyla izlenmektedir" ve ayrıntılı metne erişim yolu.
2. Ayrıntılı aydınlatma metni: yukarıdaki beş başlığı karşılayan tam metin — çalışanlar için işe giriş evrakında, ziyaretçiler için giriş noktasında ve web sitesinde erişilebilir.

Birke Grup'un kendi kamera aydınlatma metnini buradan inceleyebilirsiniz.

Aydınlatma yapılmadan yürütülen izleme, hukuki sebebi meşru menfaat olsa dahi eksik bir uygulamadır.

Nereye kamera konulamaz?

Bazı alanlarda izleme, açık rıza alınsa bile kabul edilebilir değildir. Bunlar kişinin mahremiyet alanına giren yerlerdir:

• Tuvaletler ve lavabolar
• Soyunma odaları ve duşlar
• Dinlenme alanları
• İbadet alanları (mescit)
• Revir ve sağlık odaları

Bu alanlarda izleme, temel hak ve özgürlüklere doğrudan müdahale sayılır; madde 5/2-f'deki "temel hak ve özgürlüklere zarar vermemek kaydıyla" şartı zaten sağlanamaz.

Ölçülülük: ne kadar izleme yeterli?

Meşru menfaate dayanmak, sınırsız izleme hakkı vermez. Sorulacak sorular:

• Amaç ne? Hırsızlığı önlemek mi, iş güvenliği mi, üretim performansını izlemek mi? Son amaç genellikle kabul görmez.
• Daha az müdahaleci bir yol var mı? Kartlı geçiş, kilit veya bariyer aynı sonucu veriyorsa kamera gerekçesi zayıflar.
• Kapsam gerekli olanla sınırlı mı? Kasa önü ve giriş kapısı ile tüm çalışma masalarını sürekli izlemek aynı şey değildir.
• Ses kaydı alınıyor mu? Ses, görüntüden daha müdahaleci sayılır; ayrı ve daha güçlü bir gerekçe gerektirir.
• Kim izliyor? Canlı izleme yetkisi kimde, kayda erişim kimde — bu ikisi ayrılmalıdır.

Saklama süresi

Madde 7, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel verilerin resen veya ilgili kişinin talebi üzerine silineceğini, yok edileceğini veya anonim hâle getirileceğini söyler.

Kamera kaydı için bu şu demektir: süresiz saklama yapılamaz. Süre, amacın gerektirdiği kadar olmalı ve saklama ve imha politikanızda yazılı olmalıdır. Sürenin sonunda kayıtların otomatik olarak üzerine yazılması veya silinmesi sağlanmalıdır.

Bir olay nedeniyle belirli bir kaydın delil olarak saklanması gerekiyorsa, o kayıt ayrıca ve gerekçesiyle kayda alınır; bu, genel saklama süresini uzatmanın gerekçesi olmaz.

Erişim ve aktarım

• Kim erişebilir? Erişim yetkisi kişi bazında tanımlı ve kayıtlı olmalı; kim, ne zaman, hangi kaydı izledi loglanmalıdır.
• Hizmet sağlayıcıya aktarım. Güvenlik firması kayıtlara erişiyorsa, aranızda veri işleyen ilişkisini ve gizlilik yükümlülüklerini düzenleyen yazılı bir sözleşme bulunmalıdır.
• Üçüncü kişi talebi. Kayıt talebi geldiğinde kimin, hangi hukuki dayanakla istediği kayda geçirilmeli; adli mercilerin talepleri ayrı değerlendirilmelidir.
• Görüntüde başkaları varsa. Bir çalışanın kendi görüntüsünü talep etmesi hâlinde, aynı karede yer alan diğer kişilerin hakları da gözetilmelidir.

Çalışan ile ziyaretçi ayrımı

Aydınlatma yükümlülüğü ikisi için de geçerlidir ama yöntem farklıdır. Çalışan işe giriş sürecinde bilgilendirilir ve bu kayda geçer; ziyaretçi ise izleme alanına girmeden önce, giriş noktasında bilgilendirilmelidir.

Tesisinizde ziyaretçi kaydı da tutuyorsanız, bu ayrı bir veri işleme faaliyetidir ve kendi aydınlatma metnini gerektirir. Ziyaretçi ve sevkiyat kontrolünün nasıl kurulacağını ayrı bir yazıda ele aldık.

Kurulum öncesi kontrol listesi

1. İzleme amacı yazılı olarak tanımlandı mı?
2. Hukuki sebep belirlendi mi (genellikle meşru menfaat)?
3. Kamera konumları amaca göre seçildi, yasak alanlar dışlandı mı?
4. Ses kaydı gerekiyor mu, gerekçesi var mı?
5. Kısa bildirim tabelaları görünür noktalara asıldı mı?
6. Ayrıntılı aydınlatma metni hazır ve erişilebilir mi?
7. Saklama süresi belirlendi ve teknik olarak uygulanıyor mu?
8. Erişim yetkileri tanımlı ve loglanıyor mu?
9. Hizmet sağlayıcıyla veri işleyen sözleşmesi yapıldı mı?
10. Veri envanteri ve saklama-imha politikası güncellendi mi?

Birke Grup'un ilgili KVKK belgelerine aydınlatma metni, açık rıza metni ve saklama ve imha politikası sayfalarından ulaşabilirsiniz.

Sık yapılan beş hata

1. Rıza formu imzalatıp aydınlatmayı atlamak. Asıl zorunlu olan aydınlatmadır.
2. Yasak alanlara kamera koymak. Rıza alınsa bile kabul edilebilir değildir.
3. Saklama süresi belirlememek. Kayıtlar yıllarca birikiyor.
4. Erişimi loglamamak. Kaydı kimin izlediği bilinmiyor.
5. Hizmet sağlayıcıyla sözleşme yapmamak. Firmanın erişimi düzenlenmemiş.

Kısaca

Kamera görüntüsü kişisel veridir; sistemi kuran tesis veri sorumlusudur. Güvenlik amaçlı ölçülü izlemede genellikle açık rıza gerekmez ama aydınlatma zorunludur. Mahremiyet alanlarına kamera konulamaz, saklama süresi sınırlıdır, erişim yetkisi tanımlı ve kayıtlı olmalıdır.

Hizmet aldığınız firmadan istenecek belgeleri ayrı bir yazıda topladık.

Özel güvenlik hizmetlerimizi inceleyebilir veya bize ulaşabilirsiniz.