Mağazada kamera kaydı ve KVKK: saklama süresi, aydınlatma ve kamera analizi

Mağazada kamera kaydı hangi amaçla meşru sayılır?

Kurum'un duyurusu bir tespitle başlar: güvenlik kamerasıyla iş yerinde görüntü kaydı almak açıkça bir kişisel veri işleme faaliyetidir. Bu yüzden her kameranın 6698 sayılı Kanun'un 5. maddesinde sayılan bir hukuki dayanağı olmalı ve 4. maddedeki ilkelere uyması gerekir: hukuka ve dürüstlük kurallarına uygunluk; belirli, açık ve meşru amaç; amaçla bağlantılı, sınırlı ve ölçülü olma; gerekli süre kadar saklama.

Duyuru, işverenin Türk Borçlar Kanunu'nun 417. maddesinden ve İş Sağlığı ve Güvenliği Kanunu'nun 4. maddesinden doğan yükümlülükleri nedeniyle iş yerinde kamera kullanmasının mümkün olduğunu kabul eder. Ancak amacın somut olay özelinde baştan belirlenmesini ister ve örnek olarak iş yeri güvenliğinin sağlanmasını, suçların önlenmesi ve tespitine yardımcı olmayı ve çalışanların iş sağlığı ve güvenliğinin korunmasını sayar.

Aynı duyuru meşru olmayan amaçları da açıkça yazar. Kamerayla çalışanların verimli çalışıp çalışmadığını görmek, disiplini artırmak ya da genel kontrol sağlamak gibi soyut amaçlar meşru amaç sayılmaz; kamera, belirlenen amaç dışında çalışanların devam durumunu veya performansını izlemek için kullanılmamalıdır. Kurum ayrıca veri minimizasyonunu, yani amaca ulaşmak için işlenen verinin en aza indirilmesini ve ölçülülüğün üç unsurunu hatırlatır: elverişlilik, gereklilik ve orantılılık.

Bu rehber bilgilendirme amaçlıdır ve hukuki görüş yerine geçmez. Kendi kurulumunuzun hukuki sebebi, aydınlatma metni ve saklama süresi KVKK alanında çalışan bir hukukçuyla değerlendirilmelidir.

Mağazada kamera nereye konur, nereye konmaz?

Duyuru konumu ölçülülükle bağlar. Giriş-çıkış ve depo gibi ortak alanlarda ya da kasa gibi güvenlik riski bulunan bölgelerde kamera, konumu ve görüş açısı gözetilerek orantılı görünebilir. Tuvalet, soyunma odası, mescit ve dinlenme alanı gibi özel alanlara ise kamera yerleştirilmemelidir.

Konumdan sonra kameranın nasıl gördüğü gelir. Görüş açısı, yakınlaştırma, kaydın sürekliliği ve izlenme sıklığı ayrı ayrı değerlendirilir; iş yerinde dahi çalışanların makul bir mahremiyet beklentisi vardır. Duyuru, izlemenin kapsamı genişledikçe müdahalenin ağırlaştığını belirtir ve iş yerindeki tüm alanları kapsayan geniş açılı ya da yüz odaklı kayıt yapılmamasını ister. Müşterinin dolaştığı satış alanında çocuklar gibi özel koruma gerektiren kişilerin de etkilenebileceği ayrıca tartılır.

Kurul'un 4 Ağustos 2022 tarihli ve 2022/797 sayılı kararı bu sınırın uygulamasını gösterir. Kurul, soyunma odaları, tuvaletler, duşlar, mescit, dinlenme ve emzirme odaları bakımından çalışanların makul mahremiyet beklentisi olduğunu belirtti. Tuvalet koridorundaki kameranın kayıt almayan, caydırma amaçlı bir kamera olduğu savunulmasına rağmen, çalışanlara her an izleniyormuş hissi vermenin dürüstlük kuralına aykırı olduğunu değerlendirdi ve bütün kameraların konumunun gözden geçirilmesi talimatını verdi.

Kamera uyarı levhası ve aydınlatma metni nasıl hazırlanır?

Duyuru, çalışanların kamera hakkında bilgilendirilmesini ve Kanun'un 10. maddesi uyarınca ortamın kayıt altına alındığına dair aydınlatma yükümlülüğünün yerine getirilmesini ister. 10. madde aydınlatmanın beş unsurunu sayar: veri sorumlusunun kimliği, verinin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ve ilgili kişinin 11. maddedeki hakları.

Kurum'un Aydınlatma Yükümlülüğünün Yerine Getirilmesi Rehberi (Mart 2025) kamera için katmanlı aydınlatmayı örnekler. İlk katman kameranın bulunduğu yerdeki levhadır: veri sorumlusunun kimliği, amacın kısa ifadesi (rehberdeki örnekte güvenliğin sağlanması amacıyla 7 gün 24 saat kamerayla izleme ve kayıt) ve ayrıntılı metne nasıl ulaşılacağı. İkinci katman 10. maddedeki bütün unsurları taşıyan ayrıntılı aydınlatma metnidir. Rehber yazılı yöntem örnekleri arasında bina girişinde duvara asılı levhayı ve kameranın altına monte edilmiş bilgi panosunu da sayar.

Aydınlatma Tebliği'nin 5. maddesi metnin nasıl yazılacağını da bağlar: amaç belirli, açık ve meşru olmalı; genel ve muğlak ifadelerden ve verinin ileride başka amaçlar için de kullanılabileceği izlenimini veren cümlelerden kaçınılmalı; dil anlaşılır ve sade olmalıdır. Açık rızaya dayanan bir işleme varsa aydınlatma ile açık rıza ayrı ayrı yapılır.

Kurul'un 30 Kasım 2023 tarihli ve 2023/2007 sayılı kararına konu olayda veri sorumlusu, tesis girişlerine aydınlatma metni ve kameraların bulunduğu yerlere sarı zemin üzerine kamera işaretli uyarı levhası astığını, çalışan, çalışan adayı ve tedarikçi gibi kişi gruplarına göre ayrı aydınlatma metinleri hazırladığını bildirmişti. Market zincirinde de aynı ayrım geçerlidir: müşteri levhadan, çalışan ise ayrıca kendisine verilen aydınlatma metninden bilgilenir.

Tablodaki ifadeler Kurum rehberindeki güvenlik kamerası aydınlatma metni örneğinden uyarlanmıştır. Hukuki sebep her işletmede ayrıca belirlenir; örneği olduğu gibi kopyalamak yeterli değildir.

Kamera kayıtları ne kadar süre saklanır?

Kanun'da ya da Kurum'un duyurusunda kamera kaydı için gün sayısıyla yazılmış sabit bir süre yoktur. Kanun'un 4. maddesi kişisel verilerin ilgili mevzuatta öngörülen ya da işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesini ister. Duyuru bunu kamera için somutlaştırır: gereğinden uzun saklama Kanun'a aykırılık oluşturabileceği için mümkün olan en kısa süre yeterli görülmeli, sistemde otomatik imha mekanizması bulunmalıdır. Bir olay yaşanırsa hukuki süreç boyunca yalnızca o olayla ilgili kayıt saklanır.

Sürenin kendisi işletmenin kararıdır ve yazılı olmalıdır. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik'e göre Veri Sorumluları Siciline kayıt yükümlüsü olan veri sorumluları kişisel veri saklama ve imha politikası hazırlar; politikada saklama ve imha sürelerini gösteren tablo ve periyodik imha süreleri yer alır. Periyodik imhanın aralığı altı ayı geçemez. Bu altı ay kaydın saklama süresi değildir; süresi dolan verinin en geç hangi aralıkla imha edileceğidir. Politika yükümlülüğü olmayan veri sorumlusu, imha yükümlülüğü doğduktan sonra üç ay içinde imha eder. İmha işlemleri kayıt altına alınır ve bu kayıtlar en az üç yıl saklanır.

Uygulamada otomatik imha çoğu zaman kayıt cihazının eski kaydın üzerine yazmasıyla yapılır. Kurul kararlarına yansıyan savunmalarda da bu yöntem görülür: 2022/797 sayılı karara konu işyerinde kameraların eski kaydı silerek üzerine yazdığı ve cihazlarda en fazla bir aylık kayıt bulunduğu belirtilmişti. Bu, Kurul'un belirlediği bir süre değil, bir veri sorumlusunun kendi uygulamasıdır. Sektörünüze özel bir düzenleme kayıt ve saklama öngörüyorsa süre o düzenlemeden okunur.

İnternette sık geçen "kamera kaydı 30 gün saklanır" gibi sabit rakamlar KVKK metinlerinde yer almaz. Süre amaçtan çıkar, politikaya yazılır ve kayıt cihazı o süreye göre ayarlanır.

Kamerada ses kaydı alınabilir mi, kayıtlara kim erişebilir?

Duyuruya göre ses kaydı özelliği olan kameralar özel hayatın gizliliğine son derece müdahaleci bir yöntemdir; hukuka uygun gerekçesi ve gerekliliği açıkça ortaya konmadan kullanılmamalıdır. Kurul'un 2023/2007 sayılı kararı bunun sonucunu gösterir: güvenlik kulübesindeki kameranın görüntünün yanında ses de kaydettiği olayda Kurul, görüntü kaydı güvenlik amacına yeterliyken ses kaydında veri sorumlusunun meşru menfaati bulunmadığını ve işlemenin Kanun'un 5. maddesindeki hiçbir şarta dayanmadığını değerlendirdi. Veri sorumlusuna 125.000 TL idari para cezası verildi ve ses kayıtlarının imhası talimatı verildi.

Erişim tarafında duyuru üç şey ister: yetki matrisi ve yetkisiz erişimin önlenmesi gibi teknik ve idari tedbirler; kayıtların izinsiz olarak yetkisiz kişilerle paylaşılmaması ve yalnızca yetkili kişilerin erişmesi; kimin erişebileceğini ve kayıtların nasıl yönetilip kaydedileceğini belirleyen yazılı prosedür. Kaydı bir üçüncü kişiye vermek Kanun'un 8. maddesi anlamında aktarımdır ve ayrı bir hukuki sebep ister; aydınlatma metninde alıcı grubu yazılır. Görüntünün mağaza içi mesajlaşma gruplarında ya da sosyal medyada dolaşması bu kuralların dışına çıkar.

1. Yetkileri ayırınCanlı izleme, kayıt izleme, kayıt dışa aktarma ve silme ayrı yetkilerdir. Mağaza müdürü canlı görüntüyü görebilir; dışa aktarma yetkisi kayıp önleme gibi dar bir role verilir.
2. Kişisel hesap kullanınKayıt cihazına ortak kullanıcı adı ve şifreyle girilmez; kimin girdiği ancak kişisel hesapla bilinir.
3. Erişimi kaydedinKim, hangi kamerayı, hangi zaman aralığını izledi ve neyi dışa aktardı yazılır. Bu kayıt bir şikayet ya da denetimde ilk istenecek belgedir.
4. Olay dosyası açınDışa aktarılan her kayıt parçası için olay, gerekçe, alıcı ve saklama sonu yazılır. Süreç bitince parça silinir ve imha kaydı tutulur.
5. Erişim listesini düzenli gözden geçirinGörevi değişen ya da işten ayrılan çalışanın erişimi kapatılır; yetkili listesi belirli aralıklarla yeniden onaylanır.

Adımlar duyurudaki yetki matrisi, yetkisiz erişimin önlenmesi ve erişim prosedürü beklentisinin uygulamaya dökülmüş bir örneğidir; tek doğru düzen değildir.

Kamera analizi ve kişi sayımında kişisel veri riski nasıl azaltılır?

Aynı kamera güvenlik dışında da kullanılabilir: mağazaya giren ziyaretçiyi saymak, alanların ne kadar kullanıldığını görmek, kasa olayını satış kaydıyla eşleştirmek. Buradaki ilk nokta şudur: çıktının bir sayı olması görüntünün işlenmediği anlamına gelmez. Analiz kamera görüntüsü üzerinde çalışır ve o aşama kişisel veri işlemedir.

İkinci nokta amaçtır. Duyuru amacın baştan belirlenmesini ve belirlenen amaç dışında kullanımdan kaçınılmasını ister; Aydınlatma Tebliği de işleme amacı değiştiğinde, işlemeye başlamadan önce yeni amaç için ayrıca aydınlatma yapılmasını şart koşar. Güvenlik için kurulan kamerayı ziyaretçi sayımı ya da yoğunluk analizi için kullanmak bu yüzden yeni bir amaçtır: hukuki sebebi ayrıca değerlendirilir, levhaya ve aydınlatma metnine yazılır.

Üçüncü nokta çıktının biçimidir. Kanun ve Yönetmelik anonim hale getirmeyi, verinin başka verilerle eşleştirilse dahi kimliği belirli ya da belirlenebilir bir kişiyle ilişkilendirilemeyecek hale getirilmesi olarak tanımlar. Mağaza ve saat bazında toplam giriş sayısı bu tanıma uygun kurgulanabilir; kişiyi zaman içinde izleyen bir kimlik ya da iz tutulduğunda ise ortada artık kişisel veri vardır. Analiz sonucu kişi değil sayı olarak saklandığında hem saklanan veri azalır hem de raporun kendisi bir kişiye ait bilgi taşımaz.

Dördüncü nokta tanımadır. Biyometrik veri Kanun'un 6. maddesine göre özel nitelikli kişisel veridir. Kurul 2022/797 sayılı kararda işe giriş-çıkışta yüz tanıma sistemi kullanılmasını, geçerli bir açık rıza ya da 6. maddedeki başka bir şart bulunmadığı için hukuka aykırı buldu, 500.000 TL idari para cezası verdi ve biyometrik veri işlemenin durdurulmasını istedi. Ziyaretçi sayımı ve yoğunluk analizi kişinin kim olduğunu bilmeyi gerektirmez; kişiyi tanıyan bir özellik eklendiğinde işleme çok daha sıkı bir rejime girer. Son olarak çıktı, duyurunun meşru saymadığı verim ve performans izlemesine dönüştürülmez: alan ve saat düzeyinde okunur, tek çalışan düzeyinde değil.

Tablonun sol sütunu veri azaltma yönündeki tasarım seçeneklerini gösterir; tek başına hukuka uygunluk sağlamaz. Amaç, hukuki sebep, aydınlatma ve saklama süresi yine ayrıca belirlenir.

Mindpera'da kamera verisi nasıl kullanılır?

Mind Cam, mağaza kameralarındaki görüntüyü görü analiziyle işleyerek olay ve ziyaretçi sayım verisi üretir. Ziyaretçi mağaza ve saat kırılımında sayılır; ziyaretçi ve satış aynı zaman aralığında durduğu için dönüşüm hesaplanabilir. Yoğunluk haritası mağaza içinde hangi alanın ne kadar kullanıldığını gösterir. Her olay mağaza, alan, olay tipi ve saatiyle kaydedilir; kasa farkı kaydı ile aynı andaki kamera olayı yan yana getirilir ve inceleme görüntü taramakla değil, eşleşen olaydan başlar.

Kameranın hangi amaçla kullanılacağı, aydınlatma metni, saklama süresi ve kayıtlara kimin erişeceği veri sorumlusu olarak işletmenin kararıdır. Bir analiz ürünü kurmak bu yükümlülükleri ortadan kaldırmaz ve işletmeyi kendiliğinden uyumlu hale getirmez; bu kararlar kurulumdan önce yazılı hale getirilir ve analiz amacı aydınlatma metnine eklenir.

• Görü analizi: kamera görüntüsü olay ve sayım verisine çevrilir
• Ziyaretçi sayımı: mağaza ve saat kırılımında giriş sayısı
• Yoğunluk haritası: mağaza içinde hangi alanın ne kadar kullanıldığı
• Kasa eşleştirme ve anomali uyarısı: eşleşmeyen kasa olayı ve alışılmışın dışındaki hareket uyarı üretir

Kamera, kasa ve satış verisi farklı sistemlerde duruyorsa kurulumda tek veri modeline taşınır.