KVKK ve güvenlik kameraları: İşletmem yasal mı?

Güvenlik kamerası kuran her işletme, farkında olsun ya da olmasın, kişisel veri işleme faaliyeti yürütmektedir. KVKK güvenlik kamerası uyumluluğu yalnızca sistemi kapatmak ya da görüntüleri silmekle bitmiyor. Kişisel Verilerin Korunması Kanunu, kamerayla izleme yapan işletmelere somut yükümlülükler getiriyor: aydınlatmadan VERBİS kaydına, saklama süresi politikasından erişim yetki kısıtlamalarına kadar uzanan bir liste söz konusu. Bu yazıda bu yükümlülükleri sade bir dille açıklıyor, ardından uyumlu bir çözümün bu yükü nasıl azaltabileceğini gösteriyoruz.

Kamera sistemi neden kişisel veri işleme sayılır?

Birçok işletme sahibi kamerayı yalnızca bir güvenlik aracı olarak görür; KVKK ise konuya farklı bakar. Kanun kapsamında 'kişisel veri', gerçek bir kişiyi doğrudan ya da dolaylı tanımlamaya yarayan her türlü bilgidir. Güvenlik kameralarının kaydettiği görüntüler, içindeki kişileri tespit etmeye yeterli olduğu sürece kişisel veri sayılır. Bu nedenle kamera sistemi kuran işletme aynı zamanda 'veri sorumlusu' konumuna girer ve KVKK'daki tüm yükümlülükler devreye girer.

İşletmenin yerine getirmesi gereken başlıca yükümlülükler

KVKK'nın 10. maddesi aydınlatma yükümlülüğünü, 16. maddesi VERBİS kaydını, 12. maddesi ise veri güvenliği tedbirlerini düzenler. Kamera sistemi kuran bir işletmenin yerine getirmesi gereken pratik adımlar şöyle sıralanabilir:

• Aydınlatma metni: kameranın neden kullanıldığını, görüntülerin ne kadar saklandığını ve kiminle paylaşılabileceğini açıklayan yazılı bir metin hazırlanmalı ve ilgili kişilerin erişimine sunulmalıdır.
• Kamera uyarı tabelası: izleme yapılan alanlara girişte açıkça görünür bir tabela zorunludur; izlemenin amacını ve işletmenin iletişim bilgilerini içermelidir.
• VERBİS kaydı: belirli büyüklük eşiklerini aşan işletmeler veri işleme faaliyetlerini Kurul'a bildirmek zorundadır; eşiğin altındakiler kayıttan muaf olsa da aydınlatma ve güvenlik yükümlülükleri geçerliliğini korur.
• Veri saklama süresi: görüntülerin ne kadar tutulacağı önceden belirlenmeli, yazılı politikaya bağlanmalı; süre dolduğunda görüntüler geri dönüşümsüz silinmelidir.
• Erişim yetkisi kısıtlaması: görüntülere yalnızca ihtiyaç duyan yetkili kişiler erişebilmeli ve erişim logları tutulmalıdır.

Aydınlatma metni ne içermeli?

KVKK'nın 10. maddesi uyarınca aydınlatma metni; işlemenin amacı, hukuki dayanağı (meşru menfaat ya da açık rıza), saklama süresi, alıcı kategorileri ve ilgili kişinin hakları (silme talebi, itiraz, erişim) gibi başlıkları kapsamalıdır. Mağazalar için kamera özelinde hazırlanmış bir şablon, hem Kurul incelemesinde hem de olası şikayetlerde güçlü bir savunma aracı olur.

VERBİS kaydı kimleri kapsıyor?

Veri Sorumluları Sicil Bilgi Sistemi'ne (VERBİS) kayıt; belirli çalışan sayısı veya mali bilanço eşiklerini aşan veri sorumlularına zorunludur. Eşiğin altındaki işletmeler kayıttan muaf olsa da aydınlatma ve teknik güvenlik yükümlülükleri eksiksiz geçerliliğini korur. Kendi durumunuzu netleştirmek için KVKK'nın yürürlükteki ikincil düzenlemelerine ya da bir veri koruma uzmanına başvurmanız önerilir.

Pratik KVKK kontrol listesi (kameralar için)

• Kamera uyarı tabelası girişte ve açıkça görünür konumda asılı mı?
• Aydınlatma metni hazırlandı ve ilgili kişilerin erişimine açıldı mı?
• Görüntü saklama süresi belirlendi ve yazılı politika olarak kayıt altına alındı mı?
• Saklama süresi dolan görüntüler düzenli aralıklarla kalıcı olarak siliniyor mu?
• Görüntülere erişim yalnızca yetkili kişilerle mi sınırlı ve erişim logları tutuluyor mu?
• Kamera sistemi VERBİS veri envanterine işlendi mi (kapsam dahilindeyseniz)?
• Görüntüler üçüncü taraflarla paylaşılıyorsa aktarım için hukuki dayanak ve sözleşmeler mevcut mu?

BEKÇİ AI bu yükü nasıl azaltır?

BEKÇİ AI, kamera uyumluluğunu en zorlaştıran iki temel sorunu baştan ortadan kaldırmak üzere tasarlandı: görüntünün merkeze çıkması ve kişisel tanımlama riski.

• Edge/yerinde işleme: sürekli video akışı mağazadan dışarı gitmez; sisteme rutin olarak yalnızca anonim olay verisi gider (ör. 'girişte yoğunluk yüksek'). Bu veri kişisel veri sayılmaz.
• Yüz tanıma yok, kişi kimliklendirme yok: analiz tamamen anonimdir; 'kim' değil, 'ne / nerede / ne zaman' sorusunu yanıtlar.
• Ses kaydı yok, kişisel profil yok: sistem yalnızca hareket, yoğunluk ve olay kalıplarını analiz eder.
• KVKK belge seti: aydınlatma metni şablonu, kamera uyarı tabelası tasarımı ve VERBİS veri envanteri gibi hazır belgeler hukuki uyum sürecini hızlandırır.
• İnsan onaylı alarm: uyarılar yetkili kişinin doğrulamasıyla aktif hale gelir; yanlış alarm ve gereksiz veri ifşası riski birlikte azalır.