İşyerinde KVKK Uyumlu Güvenlik Kamerası Kullanımı

İşyerine kamera taktırmak isteyen işverenlerin neredeyse hepsi aynı yerde duraksar: "Bunu yapmaya hakkım var mı, çalışanım şikâyet ederse ne olur?" Soru yerinde bir sorudur ve cevabı sanıldığı kadar karmaşık değildir. Kişisel Verilerin Korunması Kanunu kamerayı yasaklamaz; kamerayı kuralsız kullanmayı yasaklar. Bu yazıda, bir işletmenin kamera sistemini kurarken ve kullanırken dikkat etmesi gereken çerçeveyi, sahada karşılığı olan pratik adımlarla birlikte ele alıyoruz.

İşyerine kamera kurmak yasal mı?

Kısa cevap evet: bir işveren, işyerinin güvenliğini sağlamak amacıyla kamera kullanabilir. Uzun cevap ise şu iki kelimeyle özetlenebilir: amaç ve ölçü. Kameranın hangi amaçla kurulduğu net biçimde tanımlanmış olmalı, kurulan sistem de o amacın gerektirdiğinden fazlasını görmemelidir.

Uygulamada işverenler bu çerçevenin ilk yarısını genellikle zorlanmadan karşılar. Amaç bellidir: hırsızlığı önlemek, iş kazası sonrası olayın nasıl geliştiğini görebilmek, stok kayıplarını takip etmek, ziyaretçi giriş çıkışını kayıt altına almak. Sorun çoğu zaman ikinci yarıda, yani ölçüde çıkar. Güvenlik amacıyla kurulan bir sistemin zamanla çalışanın mola süresini ya da gün içindeki hareketlerini izleyen bir araca dönüşmesi, aynı sistemi savunulabilir olmaktan çıkarır.

Bu ayrımı baştan yapmak, sonradan yaşanacak neredeyse bütün tartışmaları önler. Kamerayı kurmadan önce kendinize tek bir soru sorun: "Bu kamerayı hangi somut riski önlemek için koyuyorum?" Cevabı bir cümleyle yazabildiğiniz her kamera, büyük olasılıkla doğru yerdedir. Cevabı "genel olarak kontrol" düzeyinde kalan her kamera ise yeniden düşünülmesi gereken bir kameradır.

Bir kamera sisteminin hukuki dayanağı, neden kurulduğunu açıklayan cümledir. O cümle net değilse sistemin tamamı tartışmaya açıktır.

Kamera görüntüsü neden kişisel veridir?

Kanunun çerçevesini anlamak için tek bir kavramı yerine oturtmak yeterli: kimliği belirli ya da belirlenebilir bir gerçek kişiye ait her bilgi kişisel veridir. Bir kamera görüntüsünde insan yüzü, boyu, yürüyüşü, kıyafeti, taşıdığı çanta ve bindiği aracın plakası yer alır. Bu unsurların birleşimi kişiyi tanınabilir kılar. Dolayısıyla kayıt, tıpkı bir kimlik fotokopisi gibi kişisel veri niteliği taşır.

Bunun pratik sonucu şudur: kamera sistemi kurduğunuz anda, farkında olun ya da olmayın bir veri işleme faaliyeti başlatmış olursunuz. Kaydı almak, saklamak, izlemek, kopyalamak ve silmek ayrı ayrı işleme sayılır. İşleme faaliyeti ise belirli ilkelere bağlıdır.

Bu ilkeleri sahada işe yarayan dille şöyle özetleyebiliriz:

• Hukuka ve dürüstlük kuralına uygunluk. Kayıt alındığını herkes bilmelidir; gizli kayıt bu ilkeye aykırıdır. Çalışanın haberi olmadan kurulan kamera bu ilkenin ilk kurbanıdır.
• Belirli, açık ve meşru amaç. "Güvenlik" tek başına yeterli bir cümle değildir; hangi güvenliğin, hangi riske karşı sağlandığı tarif edilebilmelidir.
• Amaçla bağlantılı, sınırlı ve ölçülü olma. Amacı için gereken alandan fazlasını gören kamera, gereğinden fazla veri toplar.
• Doğru ve güncel tutma. Sistem saati yanlış olan bir kayıt cihazı, bu ilkeyi ilk bakışta göründüğünden daha ciddi biçimde zedeler; olayın saatini kanıtlayamazsınız.
• Gereken süreyle sınırlı saklama. Süresiz arşiv, kanunun en açık biçimde karşı durduğu uygulamalardan biridir.

Görüntünün kişisel veri olması, kamerayı sakıncalı bir araç yapmaz. Yalnızca sistemi kurarken teknik kararların yanına birkaç yönetsel kararın daha eklenmesi gerektiği anlamına gelir. Bu kararların hepsi tek bir oturumda alınabilir ve alındıktan sonra yıllarca yeniden gündeme gelmez.

İşverenin uyması gereken altı temel kural

Aşağıdaki altı başlık, uyumun omurgasını oluşturur. Hiçbiri pahalı ya da teknik olarak zor değildir; çoğu bir sayfalık belge ve birkaç ayar meselesidir. Buna karşın bir denetim ya da çalışan başvurusu söz konusu olduğunda ilk sorulan şeyler tam olarak bunlardır.

1. Aydınlatma yükümlülüğü ve levha

Kamera kaydı alınan her alanda, kişilerin bu durumdan haberdar edilmesi gerekir. Bilgilendirme iki katmanlıdır. Birinci katman, alanın girişinde görülebilir bir bilgilendirme levhasıdır; kişi kayıt alanına girmeden önce durumu fark edebilmelidir. İkinci katman ise daha ayrıntılı bir aydınlatma metnidir; kimin, hangi amaçla, hangi hukuki sebebe dayanarak kayıt aldığını ve kişinin haklarını anlatır. Levha kısa bir uyarıdır, aydınlatma metni ise asıl belgedir. Sahada en sık gördüğümüz eksik, levhanın asılmış ama metnin hiç hazırlanmamış olmasıdır.

2. Ölçülülük

Ölçülülük, "bu amaca daha az veriyle ulaşabilir miydim?" sorusunun cevabıdır. Depodaki stok kaybını izlemek için sevkiyat kapısına bakan bir kamera yeterliyken, çalışanların çay molası verdiği alana kamera koymak bu ilkeye aykırı düşer. Aynı şekilde, hırsızlık riskini gerekçe gösterip her masayı tek tek gören bir sistem kurmak da ölçüyü aşar. Pratik bir kontrol yöntemi vardır: her kamera için "bu kamerayı kaldırsam hangi risk korumasız kalır" diye sorun. Cevap veremiyorsanız o kamera muhtemelen fazladır.

3. Amaç sınırlılığı

Kamera hangi amaçla kurulduysa yalnızca o amaç için kullanılabilir. Güvenlik amacıyla kurulmuş bir sistemin kayıtları, sonradan performans değerlendirmesine veya disiplin sürecine kaynak yapılmak istendiğinde amaç kayması yaşanır. Böyle bir ihtiyaç gerçekten varsa kaydı el altından kullanmayın; bu amacı baştan tanımlayıp çalışanı buna göre bilgilendirin. Şeffaflık burada hem hukuki hem de kurumsal olarak en güvenli yoldur.

4. Saklama süresi

Kayıt, amacın gerektirdiği süreden uzun tutulamaz. Bunun anlamı, sistemin belirli bir gün sayısından sonra eski kaydı otomatik olarak üzerine yazmasıdır. Süreyi belirlemek bir yönetim kararıdır ve bu kararın yazılı olması beklenir. "Disk dolana kadar saklıyoruz" cümlesi bir politika değildir; süreyi diskin kapasitesine bırakmak, aynı sistemde bir yıl sonra kaç günlük kayıt olduğunu kimsenin bilmemesi anlamına gelir.

5. Erişim kontrolü

Kaydı kimin izleyebileceği baştan belirlenmelidir. Uygulamada en yaygın zafiyet, kayıt cihazının fabrika şifresiyle çalışması ve şifrenin tesiste birçok kişi tarafından bilinmesidir. Doğru kurgu şudur: her yetkili kişinin kendi kullanıcı hesabı olur, yetkiler göreve göre ayrılır ve kimin ne zaman kayda baktığı sistem tarafından tutulur. Böylece bir sızıntı iddiasında "kim baktı" sorusunun cevabı vardır.

6. Veri güvenliği önlemleri

Kayıtları korumak, kameraları kurmak kadar sorumluluk doğurur. Bu başlık altında beklenen şeyler teknik olarak sıradandır ama sık atlanır: kayıt cihazının kilitli bir kabinde ya da ayrı bir odada bulunması, güçlü ve kişiye özel şifreler, cihaz yazılımının güncel tutulması, uzaktan erişimin güvenli biçimde yapılandırılması ve kayıt dışa aktarıldığında kopyanın kontrolsüz dolaşıma girmemesi. Bir olay görüntüsünün mesajlaşma uygulamasından birkaç kişiye iletilmesi, sistemin en zayıf halkasının çoğu zaman alışkanlık olduğunu gösterir.

Kamera hangi alanlara konmaz?

Uyum tartışmasının en net bölümü burasıdır. Bazı alanlarda kamera bulunması, hangi gerekçe gösterilirse gösterilsin savunulabilir değildir; çünkü bu alanlar kişinin mahremiyetinin en yoğun olduğu yerlerdir. Bu sınır, işverenin iyi niyetinden bağımsız olarak geçerlidir.

Bu listenin dışında kalan gri alanlar da vardır. En sık karşılaşılanı, kamera açısının komşu işletmeye ya da kaldırıma taşmasıdır. Kendi tesisinizin güvenliği için kurduğunuz bir kameranın yan binanın girişini kadraja alması, sizin amacınızın dışına çıkan bir veri toplama anlamına gelir. Bursa'nın yoğun sanayi sitelerinde ve bitişik nizam ticari sokaklarında bu durum sıkça karşımıza çıkar. Çözümü basittir: montaj sırasında açının daraltılması ya da cihazın maskeleme özelliğiyle o bölgenin görüntüden çıkarılması. Bu ayar birkaç dakikalık iştir ama sonradan gelen şikâyetlerin önemli bir kısmını baştan ortadan kaldırır.

Çalışanları üç adımda bilgilendirin

Bilgilendirme, uyumun en kolay ama en çok ihmal edilen ayağıdır. Üç adımda tamamlanır ve bir kez yapıldığında yalnızca yeni işe girenler için tekrarlanır.

1. Aydınlatma metnini hazırlayın. Kimin veri sorumlusu olduğu, kaydın amacı, hukuki sebebi, kimlere aktarılabileceği, saklama süresi ve kişinin başvuru hakları bu metinde yer alır.
2. İş sözleşmesine veya işyeri politikasına ekleyin. Yeni işe alımlarda evrak setinin parçası olmalı, mevcut çalışanlara ise imza karşılığı ya da kurumsal e-posta yoluyla ulaştırılmalıdır.
3. Levhaları asın. Kayıt alanına girilmeden önce görülebilecek konumda, okunaklı ve kalıcı olmalıdır. Masaüstü yazıcıdan çıkmış, birkaç ayda solan bir kâğıt bu işlevi görmez.

Levhanın içeriği çoğu zaman gereğinden karmaşık hazırlanır. Oysa levha kısa bir uyarıdır; ayrıntılar aydınlatma metninde yer alır. Aşağıdaki tablo, levhada bulunması beklenen unsurları ve neden gerektiğini özetliyor.

Levhada yer alması gereken	Neden gerekli
Kamera kaydı yapıldığı uyarısı	Kişinin alana girmeden önce durumu bilmesini sağlar; bilgilendirmenin çekirdeğidir.
Veri sorumlusunun adı / unvanı	Kaydın kime ait olduğunu ve kime başvurulacağını belirsizlikten çıkarır.
İşleme amacı (güvenlik)	Kaydın hangi gerekçeyle alındığını tek cümleyle ortaya koyar.
Ayrıntılı metne yönlendirme	Aydınlatma metnine nasıl ulaşılacağını gösterir: web adresi, karekod veya insan kaynakları birimi.
Görünür simge ve okunaklı yazı	Uzaktan ve hızlı biçimde fark edilmesini sağlar; küçük punto levhayı işlevsiz kılar.
Uygun konum	Giriş kapısı, turnike, otopark girişi gibi alana giriş noktalarında bulunmalıdır.

Kayıtları kim izleyebilir, kime verilebilir?

Kayıtların paylaşımı, uyum açısından en çok hata yapılan başlıktır. Bir görüntünün iyi niyetle paylaşılması, onu hukuka uygun hale getirmez. Genel çerçeve şöyle özetlenebilir:

• İşletme içi erişim. Yalnızca görevi gereği ihtiyaç duyan kişiler kayda erişmelidir. Yetki göreve göre verilir; "yönetici olduğu için erişebilir" yaklaşımı zamanla erişim listesini kontrolsüz biçimde büyütür.
• Kolluk ve adli merci talepleri. Usulüne uygun bir talep geldiğinde kayıt paylaşılır. Burada dikkat edilecek nokta, talebin ve teslimin kayıt altına alınmasıdır: hangi tarih aralığı, hangi kameralar, kime, ne zaman teslim edildi. Bu kısa tutanak, sonradan doğabilecek her soruyu kapatır.
• Üçüncü kişi talepleri. "Aracıma çarpan kişiyi görmek istiyorum" ya da "komşu dükkândaki olayı izleyelim" türü talepler günlük hayatta sık gelir. Kaydın doğrudan izletilmesi doğru yaklaşım değildir; çünkü görüntüde talep sahibiyle ilgisi olmayan başka kişiler de bulunur. Bu tür durumlarda kişiyi resmî yola yönlendirmek hem doğru hem de sizi koruyan cevaptır.
• Veri sahibi başvuruları. Bir çalışan ya da ziyaretçi, kendisiyle ilgili kayıt olup olmadığını sorabilir. Böyle bir başvuruyu değerlendirirken aynı karede yer alan diğer kişilerin hakları da gözetilmelidir.

Pratik bir alışkanlık önerelim: kaydı kimin dışa aktarabileceğini tek bir role verin ve her dışa aktarımın bir satırla not edildiği basit bir defter tutun. Bu defter, sistemin en ucuz uyum belgesidir.

Saklama süresini işletmenin kontrol döngüsü belirler

Kanun belirli bir gün sayısı söylemez; "amaç için gerekli süre" der. Bu esneklik, işletmeleri en çok zorlayan noktadır. Çoğu ev ve dükkânda kayıtlar 15 ile 30 gün saklanır ve bu süre, çoğu olayın fark edilip geriye dönük incelenmesine yeter. Ulaşılabilen süreyi kayıt cihazındaki diskin boyutu, kamera sayısı ve çözünürlük belirler; daha uzun süre gerekiyorsa daha büyük disk takılır. Bazı işler için ayrı bir kural da vardır: internet kafelerde yönetmelik, kayıtların 90 gün saklanmasını ister.

Doğru süreyi bulmanın pratik yolu, olayların ne kadar sürede fark edildiğini düşünmektir. Kasadaki bir açığın aynı gün fark edildiği bir markette 30 gün fazlasıyla yeterlidir. Sayımı üç ayda bir yapılan bir depoda ise eksik, ancak sayım gününde ortaya çıkar; orada daha uzun bir süre savunulabilir hale gelir. Yani süreyi sektörün adından çok işletmenin kendi kontrol döngüsü belirler.

Süre kararını verdikten sonra yapılması gereken üç şey var: kararı kısa bir politika metnine yazmak, kayıt cihazını bu süreye göre ayarlamak ve sürenin gerçekten tuttuğunu ara ara doğrulamak. Üçüncüsü en çok atlanandır; disk kapasitesi arttıkça ya da kamera sayısı azaldıkça sistem, yazılı politikanızdan çok daha uzun süre kayıt tutmaya başlayabilir.

Kurallara uymamanın sonuçları

Rakam vermek yerine çerçeveyi anlatmak daha doğru olur. Aydınlatma yükümlülüğünün yerine getirilmemesi, veri güvenliği önlemlerinin alınmaması ya da başvurulara yanıt verilmemesi durumunda ciddi idari para cezaları gündeme gelebilir. Bunun yanında kayıtların hukuka aykırı biçimde toplandığı sonucuna varılırsa, o kayıtların bir uyuşmazlıkta delil olarak kullanılabilmesi de tartışmalı hale gelir.

Uygulamada asıl maliyet çoğu zaman burada ortaya çıkar: işletme, tam da kamera kurma gerekçesi olan olayda elindeki görüntüyü kullanamaz duruma düşer. Bu yüzden kurallara uymak, sistemin işe yaraması için önkoşuldur.

KVKK'ya uygun kurulum için kontrol listesi

Aşağıdaki on maddeyi baştan kapatan bir işletme, uyum tarafında yapılması gerekenlerin büyük kısmını tamamlamış olur.

1. Her kameranın hangi somut riski karşıladığı tek cümleyle yazıldı.
2. Mahremiyet alanlarında kamera bulunmadığı yerinde doğrulandı.
3. Kamera açıları komşu mülke ve kaldırıma taşmayacak biçimde ayarlandı; gerekiyorsa maskeleme yapıldı.
4. Bilgilendirme levhaları tüm giriş noktalarına asıldı.
5. Aydınlatma metni hazırlandı ve erişilebilir bir yerde yayımlandı.
6. Metin, iş sözleşmesi veya işyeri politikası yoluyla çalışanlara ulaştırıldı.
7. Saklama süresi belirlendi, yazıldı ve kayıt cihazına uygulandı.
8. Fabrika şifreleri değiştirildi; her yetkiliye ayrı kullanıcı hesabı tanımlandı.
9. Kayıt cihazı kilitli kabine veya erişimi sınırlı bir odaya yerleştirildi.
10. Kayıt paylaşımı için basit bir talep-teslim kaydı tutulmaya başlandı.

KVKK uyumu kurulumun bir parçasıdır

KVKK uyumu çoğu işletmede kurulumdan sonra, bir sorun çıktığında gündeme gelir. Oysa buradaki maddelerin neredeyse tamamı, montaj günü ek maliyet doğurmadan halledilebilecek işlerdir: kamera açısının bir derece daraltılması, levhanın doğru kapıya asılması, saklama süresinin cihaza yazılması, şifrelerin kişiselleştirilmesi. Sonradan yapıldığında ise her biri ayrı bir ziyaret ve ayrı bir tartışma konusuna dönüşür.

Bursa'da kurduğumuz sistemlerde keşif sırasında "nereye kamera koyalım" sorusunun yanında "bu kamera neyi görmeli, neyi görmemeli" sorusunu da birlikte yanıtlıyoruz. Bu iki soruyu aynı anda sormak, hukuken daha savunulabilir ve günlük kullanımda daha rahat bir sistem ortaya çıkarıyor.

Mevcut sisteminizin uyum açısından nerede durduğunu görmek ya da yeni kuracağınız sistemi baştan doğru kurgulamak isterseniz ücretsiz keşif talebinde bulunabilirsiniz. Keşif hiçbir taahhüt doğurmaz; dilerseniz doğrudan 0544 686 16 16 numarasından da bize ulaşabilirsiniz.

Bu yazı genel bilgilendirme amacıyla hazırlanmıştır ve hukuki danışmanlık niteliği taşımaz. İşletmenizin özel durumuna ilişkin kararlar için hukuk danışmanınıza başvurmanız önerilir.