Kişisel Verilerin Korunması Kanunu Kapsamında Güvenlik Kamerası Kayıtlarının Hukuki Niteliği Ve İşlenme Şartları

Teknolojinin gelişmesiyle birlikte güvenlik kamerası sistemleri, günlük hayatın ayrılmaz bir parçası haline gelmiştir. Günümüzde sadece alışveriş merkezleri, bankalar veya kamu kurumları değil; apartmanlar, siteler, ofisler, fabrikalar, oteller ve küçük işletmeler dahi güvenlik amacıyla kamera sistemlerinden yararlanmaktadır.

Bununla birlikte uygulamada, güvenlik amacıyla kullanılan kamera sistemlerinin kişisel verilerin korunmasına ilişkin mevzuat bakımından herhangi bir hukuki sorun teşkil etmediği yönünde yaygın bir kanaat bulunmaktadır. Ancak belirtmek gerekir ki, güvenlik amacıyla veri işlenmesi, tek başına veri işleme faaliyetini hukuka uygun hale getirmemekte; bu faaliyetlerin de 6698 sayılı Kişisel Verilerin Korunması Kanunu'nda (“Kanun”) öngörülen ilke ve şartlara uygun şekilde yürütülmesi gerekmektedir.

Son yıllarda Kişisel Verileri Koruma Kurulu (“Kurul”), güvenlik kameralarının kullanımına ilişkin çok sayıda karar vermiş; ayrıca Anayasa Mahkemesi de özel hayatın gizliliği ile kişisel verilerin korunması hakkı kapsamında önemli değerlendirmelerde bulunmuştur.

• Güvenlik Kamerasından Alınan Görüntülerin Kişisel Veri Niteliği

Kanun’un 3. maddesi kişisel veriyi, “kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi” olarak tanımlamaktadır. Bir kişinin görüntüsünün kamera aracılığıyla kaydedilmesi de bu kapsamda kişisel veri işleme faaliyetidir. Dolayısıyla kamera kayıtlarının elde edilmesi, saklanması, izlenmesi, üçüncü kişilerle paylaşılması veya silinmesi Kanun hükümlerine tabidir.

Bir kişinin yüz görüntüsü, fiziksel özellikleri, yürüyüş biçimi, bulunduğu yer, giriş-çıkış saatleri veya belirli bir mekandaki hareketleri gibi veriler kişinin belirlenebilir olmasını sağlıyorsa, bu görüntüler kişisel veri niteliği taşımaktadır. Dolayısıyla kişinin kimliğinin belirli veya belirlenebilir olduğu görüntüler bakımından kamera kaydı kişisel veri niteliğindedir. Eğer sistem aynı zamanda ses kaydı da alıyorsa işlenen veri kapsamı genişlemekte ve temel haklara müdahale daha ağır hale gelmektedir.

Bu doğrultuda, Kurul 12.03.2020 tarihli ve 2020/212 sayılı kararında, ses kayıt özelliği bulunan güvenlik kameralarının kullanılmasının görüntü kaydına göre özel hayata çok daha ağır müdahale oluşturduğunu belirtmiş; ses kaydının zorunluluğu somut şekilde ortaya konulamadıkça bu uygulamanın ölçülülük ilkesine aykırılık oluşturabileceğini değerlendirmiştir.

Uygulamada en sık karşılaşılan yanılgılardan biri, “güvenlik amacı” bulunduğu takdirde her türlü kamera kullanımının hukuka uygun olduğu düşüncesidir. Oysa Kanun bakımından esas olan yalnızca meşru bir amacın bulunması değil; veri işlemenin hukuki sebebinin mevcut olması ve Kanun’un 4. maddesinde düzenlenen hukuka ve dürüstlük kurallarına uygunluk, amaçla bağlantılılık, ölçülülük ve sınırlı olma ilkelerine de uyulmasıdır.

• Kişisel Verilerin Korunmasının Anayasal Güvencesi

Kişisel verilerin korunması hakkı doğrudan Anayasa'nın 20. maddesi kapsamında da güvence altına alınmıştır. Bu doğrultuda, Anayasa'nın 20. maddesinin üçüncü fıkrasında “herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir.” şeklinde temel düzenlemelere yer verilmiştir. Bu düzenleme, kişisel verilerin korunmasını yalnızca özel hayatın gizliliğinin bir uzantısı olmaktan çıkararak bağımsız bir temel hak haline getirmiştir.

Anayasa Mahkemesi de birçok kararında, kişisel verilerin korunmasının insan onurunun ve özel hayatın korunmasının ayrılmaz bir parçası olduğunu vurgulamaktadır. Örneğin 2013/122 E., 2014/74 K. sayılı ve 09.04.2014 tarihli kararında Anayasa Mahkemesi, “kişisel verilerin korunması hakkı, kişinin insan onurunun korunmasının ve kişiliğini serbestçe geliştirebilmesi hakkının özel bir biçimi olarak, bireyin hak ve özgürlüklerini kişisel verilerin işlenmesi sırasında korumayı amaçlamaktadır. Bilişim teknolojilerindeki gelişmeler sonucunda, geleneksel yöntemlerle mümkün olmayan çok sayıda verinin toplanabilmesi; daha önce birbirinden ilişkisiz şekilde tutulan pek çok verinin merkezi olarak bir araya getirilebilmesi; verilerin, veri eşleştirme ve veri madenciliği gibi ileri teknolojik imkânlarla analize tabi tutulmak suretiyle, veriden yeni veriler üretme kapasitesinin artması; verilere erişim ve veri transferinin kolaylaşması; kişisel verilerin ticari işletmeler için kıymetli bir varlık niteliği kazanması neticesinde, özel sektör unsurlarınca yaratılan risklerin daha yaygın ve önemli boyutlara ulaşması ve terör ve suç örgütlerinin kişisel verileri ele geçirme yönündeki faaliyetlerinin artması gibi etkenler, günümüzde kişisel verilerin en üst seviyede korunmasını zorunlu kılmaktadır.” ifadelerine yer vererek, kişisel verilerin işlenmesi faaliyetlerinin bireyin maddi ve manevi varlığını geliştirme hakkı ile doğrudan bağlantılı olduğunu ve devletin bu alanda etkili güvenceler oluşturma yükümlülüğü bulunduğunu belirtmiştir.

• Yargıtay Kararları Kapsamında Kamera Kaydı Alınmasının Değerlendirilmesi

Yargıtay da güvenlik kamerası uygulamalarında kişilerin özel hayat alanına yapılan müdahalenin ölçülü olması gerektiğini kabul etmektedir. Bu kapsamda Yargıtay, işveren tarafından işyerinde gerçekleştirilen kamera ile izleme faaliyetlerinin, işin ve işyerinin güvenliği gibi meşru amaçlarla sınırlı olması gerektiğini; çalışanların sürekli ve yoğun şekilde gözetim altında tutulmasının ise özel hayatın gizliliği ve kişilik hakları bakımından değerlendirilmesi gerektiğini belirtmektedir.

Yargıtay 12. Ceza Dairesi’nin 2015/4413 E., 2016/4086 K. sayılı ve 15.03.2016 sayılı kararında, bir güvenlik kamerasının özel hayatın gizliliğini ihlal edip etmediği değerlendirilirken kameranın konumlandırıldığı yer, görüntü alma açısı ve kişilerin mahremiyet alanına yönelik bir müdahale bulunup bulunmadığının önem taşıdığı belirtilmiştir. Bu kapsamda, güvenlik amacıyla ortak alanların izlenmesi ile kişilerin özel yaşam alanlarının sürekli gözetim altında tutulması arasında ayrım yapılması gerektiği kabul edilmektedir.

• Kamera Kaydı ile Alınan Kişisel Verilerin İşlenme Koşulları

Kamera kayıtlarının işlenmesi her zaman açık rızaya dayanmak zorunda değildir. Özellikle iş yerleri, siteler veya ticari işletmeler bakımından veri sorumluları çoğunlukla Kanun’un 5/2-f maddesi kapsamında düzenlenen “veri sorumlusunun meşru menfaati” hukuki sebebine dayanmaktadır. Bununla birlikte meşru menfaatin varlığı tek başına yeterli değildir; veri sorumlusunun menfaati ile ilgili kişilerin temel hak ve özgürlükleri arasında makul bir denge kurulması gerekir.

Bu doğrultuda, kamera kaydı alınmasının gerçek anlamda güvenlik amacı taşıması, kayıt alanının amaca uygun bir şekilde sınırlandırılması, gereğinden fazla alanın izlenmemesi, kayıtların makul süre boyunca saklanması, veri işlemeye ilişkin gerekli teknik ve idari tedbirlerin alınması, veri sorumlusu tarafından aydınlatma yükümlülüğünün yerine getirilmesi gibi unsurların bulunması önem arz etmektedir.

Özellikle son dönemde Kişisel Verileri Koruma Kurumu tarafından yayımlanan kamuoyu duyurularında apartman ve iş yerlerinde kullanılan kamera sistemlerine ilişkin çok sayıda şikayet bulunduğu belirtilmiş; kameraların ortak alanlarla sınırlı tutulması, kayıt sürelerinin gereksiz şekilde uzatılmaması ve kayıtların yalnızca yetkili kişiler tarafından erişilebilir olması gerektiği vurgulanmıştır.

Kurul ayrıca vermiş olduğu 04.08.2022 tarihli ve 2022/797 sayılı kararda, kamera sistemlerinin, iş güvenliği, üretim güvenliği, bina güvenliği, çalışan ve ziyaretçilerin korunması amacıyla kullanılabileceğini kabul etmekle birlikte; çalışanların sürekli gözetim altında tutulmasının, performanslarının izlenmesinin veya psikolojik baskı oluşturacak yoğunlukta kamera kullanılmasının Kanun’un temel ilkeleriyle bağdaşmayacağını ifade etmiştir.

Uygulamada birçok veri sorumlusunun, giriş alanlarına yalnızca “bu alan güvenlik kamerası ile izlenmektedir.” İbaresini içeren bir uyarı levhası yerleştirmek suretiyle aydınlatma yükümlülüğünü yerine getirdiği kanaatinde olduğu görülmektedir. Ancak Kurul tarafından yayımlanan İş Yerlerinde Güvenlik Kamerası Kullanılmasına İlişkin Kamuoyu Duyurusu'nda da açıkça belirtildiği üzere, bu nitelikte genel bir uyarı tek başına aydınlatma yükümlülüğünün yerine getirilmesi bakımından yeterli kabul edilmemektedir. Veri sorumlusu tarafından ilgili kişilere (i) veri sorumlusunun kim olduğu, (ii) veri işleme amacı, (iii) hukuki sebep, (iv) verilerin kimlere aktarılabileceği, (v) saklama süresi, (vi) ilgili kişinin hakları konularında, Kanun’un 10. maddesine uygun şekilde aydınlatma yapılmalıdır. Aydınlatma, mümkün olduğunca kamera kayıt alanına girişten önce veya en geç kayıt sırasında erişilebilir olacak şekilde yapılmalıdır.

Bunun yanında, veri sorumluları bakımından Kanun'un 12. maddesi uyarınca kişisel verilerin hukuka aykırı olarak işlenmesini ve kişisel verilere hukuka aykırı şekilde erişilmesini önlemek ile kişisel verilerin muhafazasını sağlamak amacıyla uygun teknik ve idari tedbirlerin alınması zorunludur. Bu kapsamda kamera kayıtlarına yalnızca yetkili kişilerin erişebilmesi, erişim yetkilerinin sınırlandırılması, kayıtların güvenli ortamlarda saklanması, gerekli hallerde erişim kayıtlarının tutulması ve kayıtların yetkisiz üçüncü kişilerle paylaşılmasının önlenmesine yönelik tedbirlerin uygulanması gerekmektedir. Aksi halde veri sorumlusu, yalnızca hukuka aykırı veri işleme nedeniyle değil, aynı zamanda Kanun'un 12. maddesinde düzenlenen veri güvenliğine ilişkin yükümlülüklerini ihlal etmesi nedeniyle de idari yaptırımlarla karşılaşabilecektir.

• Kamera Kayıtlarının Saklanma Süresi

Kamera kayıtlarının süresiz olarak saklanması mümkün olmayıp; Kurul’un yerleşik uygulamasına göre güvenlik kamerası kayıtlarının süresiz saklanması Kanun’un 4. maddesinde düzenlenen “işlendikleri amaç için gerekli olan süre kadar muhafaza edilme” ilkesine aykırıdır. Veri sorumlusu saklama süresini önceden belirlemeli, bunu Kişisel Veri Saklama ve İmha Politikası'na işlemeli ve süre sonunda kayıtları otomatik veya güvenli yöntemlerle silmelidir.

Uygulamada ve mevzuatta bir kanuni süre bulunmamakla birlikte, Kurul tarafından da tüm veri sorumluları bakımından uygulanacak genel bir azami saklama süresi belirlenmemiştir. Bu kapsamda saklama süresi, veri işleme amacına, güvenlik ihtiyacına ve sektörel yükümlülüklere göre belirlenmeli ve gerekçelendirilebilmelidir.

• Sonuç

Güvenlik kameraları, günümüz güvenlik politikalarının vazgeçilmez araçlarından biri olmakla birlikte, kişisel veri işleme faaliyetinin de en yaygın örnekleri arasında yer almaktadır. Bu nedenle veri sorumlularının yalnızca güvenlik ihtiyacını değil, bireylerin temel hak ve özgürlüklerini de gözetmeleri gerekmektedir.

Uygulamada sık karşılaşılan hukuka aykırılıklar; belirsiz saklama süreleri, yetersiz aydınlatma metinleri, amacı aşan kamera kayıtları ve ses kayıtlarının gereksiz şekilde kullanılması olarak öne çıkmaktadır. Anayasa Mahkemesi’nin özel hayatın korunmasına ilişkin yaklaşımı, Yargıtay'ın ölçülülük odaklı içtihatları ve Kurul kararları birlikte değerlendirildiğinde, güvenlik kameralarının kullanılmasının değil; hukuki sınırlar gözetilmeksizin kullanılmasının risk oluşturduğu görülmektedir. Bu nedenle kamera sistemlerinin kurulum ve işletim sürecinde Kanun ilkelerine uygun şekilde hareket edilmesi, veri işleme faaliyetinin hukuka uygunluğunu güçlendirecek ve ileride doğabilecek idari yaptırımların ve hukuki uyuşmazlıkların önüne geçilmesi bakımından önem arz edecektir.

The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.