KVKK ve güvenlik kameraları: işyerinde nelere dikkat etmeli?

Bir işyerine kamera kurmak teknik bir iştir. Kaydı hukuka uygun biçimde tutmak ise ayrı bir sorumluluktur ve bu sorumluluk kurulumu yapan firmaya değil, sistemi işleten işverene aittir.

Aşağıdakiler hukuki görüş değil, sahada en sık karşılaştığımız başlıkların özetidir. Tesisinize özel değerlendirme için hukuk danışmanınıza başvurun.

Veri sorumlusu kim

Kamera sistemini işleten işletme, KVKK anlamında veri sorumlusudur. Sistemi kuran veya bakımını yapan firma ise, sözleşmeye bağlı olarak veri işleyen konumundadır. Yükümlülüklerin büyük kısmı veri sorumlusundadır.

Aydınlatma yükümlülüğü

Kamera bulunan alanlara girişte, izlemenin yapıldığını bildiren görünür bir bilgilendirme bulunmalıdır. Bu bildirim yalnızca "kamera ile izlenmektedir" ibaresinden ibaret olmamalı; veri sorumlusunun kimliğine ve ayrıntılı aydınlatma metnine ulaşma yolunu da göstermelidir.

Çalışanlar için ayrıca, işe giriş belgeleri veya iç yönetmelik kapsamında yazılı aydınlatma yapılması beklenir.

Nereye kamera konmaz

Amaçla sınırlılık ilkesi gereği, güvenlik amacının gerektirmediği yerlerde izleme yapılmaz. Soyunma odaları, tuvaletler, dinlenme alanları ve ibadet alanları bu kapsamdadır. Çalışanın sürekli ve yakın plan izlendiği, verimlilik ölçümüne dönüşen kurulumlar da amaç dışıdır.

Kameranın komşu parsele veya kamuya açık alana taşan görüş açısı da ayrı bir sorun oluşturur; keşifte açı sınırlaması veya maskeleme planlanmalıdır.

Saklama süresi

Kayıtlar, güvenlik amacının gerektirdiği süreden uzun tutulmamalıdır. Pratikte çoğu işletme için 15–30 gün aralığı konuşulur; sektörünüze özel mevzuat daha uzun bir süre öngörüyorsa o esastır.

Buradaki teknik bağ önemlidir: saklama süresi disk kapasitesini belirler. "Ne kadar tutabiliyorsak o kadar tutalım" yaklaşımı, hem gereksiz veri saklamaya hem de öngörülemeyen silinmelere yol açar. Süre önce karar verilmeli, disk buna göre boyutlandırılmalıdır.

Erişim yetkilendirmesi

Kayıtlara kimin erişebileceği tanımlanmalı ve bu tanım sistem üzerinde teknik olarak uygulanmalıdır. Uygulamada en sık görülen eksiklik, tüm yöneticilerin aynı tam yetkili hesabı paylaşmasıdır; bu durumda bir kaydın kim tarafından indirildiği izlenemez.

İyi bir kurulumda kullanıcılar ayrı ayrı tanımlanır, kayıt indirme yetkisi sınırlı tutulur ve erişimler loglanır.

Talep geldiğinde

İlgili kişi, kendisine ait kayıtlar hakkında bilgi talep edebilir. Böyle bir talepte, başkalarının görüntüsünün maskelenmesi gerekebilir. Sistemin bu işlemi yapabilecek yazılım desteğine sahip olması, talep geldikten sonra değil kurulum aşamasında değerlendirilmelidir.

Kısa kontrol listesi

• Girişlerde görünür aydınlatma bildirimi var mı?
• Çalışanlara yazılı aydınlatma yapıldı mı?
• Özel alanlar izleme dışında mı, komşu parsele taşma maskelendi mi?
• Saklama süresi karara bağlandı ve disk buna göre mi boyutlandırıldı?
• Kullanıcılar ayrı tanımlı mı, indirme yetkisi sınırlı mı, erişimler loglanıyor mu?