İş yerlerinde güvenlik kameraları; iş sağlığı ve güvenliğinin sağlanması, iş kazalarının önlenmesi, üretim tesislerinin/ofislerin güvenliği ve suçların tespiti gibi meşru amaçlarla uzun süredir yoğun bir şekilde kullanılmaktadır. Ancak, son dönemde bu sistemlerin belirtilen amaçların dışında, çalışan kişilerin özel hayatının gizliliğine müdahale edilebildiği ve hukuka aykırı şekilde kullanıldığına dair Kişisel Verilerin Korunması Kurumu’na (“Kurum”) çok sayıda şikâyet ulaşması sebebiyle Kurum bu konuda açıkladığı bir duyuruyla bu hususu netleştirmiştir.
Kişisel Verilerin Korunması Kanunu (“KVKK”), Türk Borçlar Kanunu (“TBK”) ve İş Sağlığı ve Güvenliği Kanunu (“İSGK”) Bakımından İnceleme
Kurum öncelikle işyerlerinde güvenlik kameraları ile kişilerin görüntü kaydının alınmasının açıkça bir kişisel veri işleme faaliyeti olduğunu, dolayısı ile bu faaliyetin KVKK uyarınca hukuki bir dayanağının olması gerektiğini, anılan kanunda öngörülen yükümlülüklere ve sair mevzuata uygun olması gerektiğini vurgulamıştır.
Bu hukuki temeli ise KVKK’nın 5. maddesindeki şartların varlığı halinde ilgili kişinin açık rızası olmaksızın görüntülerinin kayda alınabileceğinden bahsetmiştir:
- Kanunlarda açıkça öngörülmesi,
- Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
- Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması,
- Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
- İlgili kişinin kendisi tarafından alenileştirilmiş olması,
- Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
- İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması
Bu şartlardan herhangi birinin varlığı ile beraber yine KVKK’nın 4’üncü maddesinde yer alan aşağıdaki ilkelere dikkat edilmesi gerektiğini de belirtmiştir:
a) Hukuka ve dürüstlük kurallarına uygun olma.
b) Doğru ve gerektiğinde güncel olma.
c) Belirli, açık ve meşru amaçlar için işlenme.
ç) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma.
d) İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme
Kurum aynı zamanda TBK uyarınca işverenin işçisini koruması, saygı göstermesi, güvenliği ve iş sağlığı bakımından her türlü önlemi alması; İSGK uyarınca ise alınan tedbirlere uyulup uyulmadığını izlemesi, denetlemesi ve uygunsuzlukların giderilmesine ilişkin yükümlülüklerine işaret ederek işyerlerinde güvenlik kamerasıyla kişilerin kişisel verilerinin işlenmesi faaliyetini hukuki bir zemine oturtmaktadır.
Kurum bu düzenlemelerin yanı sıra KVKK’nın 12’nci hükmüne göre işyerlerinde veri sorumlusu (örneğin işveren veya işyerinde verilere bakan/saklayan) olan kişilerin, verileri hukuka aykırı olarak işlememesi, verilere hukuka aykırı olarak erişilmesini önlemesi ve verilerin muhafazasını sağlaması gerektiğinden bahsetmiştir.
Bahsettiğimiz mevzuat hükümleri temel alındığında Kurum işverenlerin işyerlerinde güvenlik kamerası yerleştirilmesinin mümkün olduğunu ancak KVKK hükümlerine uygun olması ile beraber aşağıda bahsedilen hususlara da dikkat edilmesinin önem arz ettiğini söylemiştir:
- Güvenlik Kamerasının Gerekliliği
Veri sorumluları tarafından güvenlik kamerası gerekliliği değerlendirilirken; amaca ulaşabilmek için işlenecek kişisel verilerin en aza indirgenmesi ve veri minimizasyonu ilkesi dikkate alınmalıdır.
- Amaç Baştan Belirlenmeli
İş yerinde güvenlik kamerası kurulmasında birden fazla amaç söz konusu olabilir. Kişisel veri işleme amacının her olay özelinde baştan belirlenmesi gereklidir.
- Amaç Doğrultusunda Kamera Kurulmalı ve Kullanılmalı
Güvenlik kameralarının kurulma amacı, örneğin iş yeri güvenliğinin sağlanması, suçların önlenmesi ve tespitine yardımcı olması veya çalışanların iş sağlığı ve güvenliğinin korunması vb. ise bu amaç net bir şekilde belirlenmeli ve bu amaç dışında çalışanların devam durumu veya performansını izleme gibi başka amaçlar kapsamında kullanılmamalıdır.
- Amaç Sayılmayacaklar
Kameralar ile çalışanların verimli çalışıp çalışmadığını görme, disiplini artırma, genel kontrol sağlama gibi soyut ve çalışanların denetlenmesi gibi amaçların güdülmesi “meşru bir amaç” kapsamında değerlendirilemeyecektir.
- Kamera Konulamayacak / Dar Açılı Konulabilecek Alanlar
İş yerinde de olsa çalışanların makul bir mahremiyet beklentisi vardır. Bu nedenle tuvaletler, soyunma odaları, mescitler ve çalışanların dinlenme alanları (yemekhane, mola alanları vb.) gibi özel nitelikli bölgelere kesinlikle kamera sistemi yerleştirilmemelidir.
Ortak alanlarda (giriş-çıkışlar, depolar) veya riskli bölgelerde (kasa, kıymetli evrak odası vb.) ise kamera açısı sadece o odağa yönelik ve dar tutulmalıdır.
İş yerinde tüm alanları kapsayan geniş açılı veya yüz odaklı kayıtlar yapılmamalıdır.
- Ses Kayıtlarının Durumu
Ses kayıt özelliği bulunan kameralar, özel hayatın gizliliğine son derece ağır ve müdahaleci bir yöntemdir. Hukuka uygun çok istisnai ve gerekçesi net bir şekilde ortaya konulmadığı sürece, genel iş yeri alanlarında ses kaydı alınması ölçülülük ilkesi dikkate alınmalıdır.
- Üçüncü Kişiler ve Hassas Gruplar
İş yerinin kamuya açık alanlarında (mağazalar, lobiler vb.) denetim kapsamında olmayan müşterilerin, çocukların veya özel koruma gerektiren kişilerin bu kayıtlardan nasıl etkileneceği etraflıca analiz edilmeli ve buradaki mahremiyet beklentisi korunmalıdır.
- Çalışanlar Bilgilendirilmeli
Veri sorumlusu tarafından güvenlik kamerası vasıtasıyla gerçekleştirilen kişisel veri işleme faaliyetlerine ilişkin olarak çalışanların bilgilendirilmesi ve KVKK’nın 10’uncu maddesi uyarınca ortamın kayıt altına alındığına dair aydınlatma yükümlülüğünün yerine getirilmesi gereklidir. Bu hususta çalışanların ayrıca ve detaylıca bilgilendirildiğinden emin olmak önem arz etmektedir.
- Otomatik İmha ve Saklama Süreleri
Görüntüler iş yerlerinde de gereğinden uzun süre saklanamaz. Sistemde otomatik imha mekanizması bulunmalı ve kayıtlar makul olan en kısa sürenin sonunda silinmelidir. Yalnızca bir olay yaşanması halinde, sadece o olaya ilişkin ilgili kayıt hukuki süreç boyunca saklanabilir.
- İdari ve Teknik Güvenlik Tedbirleri
İşlenen kişisel verilerin güvenliğinin sağlanması bakımından veri sorumlusu işveren tarafından gerekli teknik ve idari tedbirler (örneğin yetki matrisi, yetkisiz erişimin önlenmesi vb.) alınmalıdır.
Kayıtların güvenliği ile gizliliğinin sağlanmasına yönelik olarak gerekli prosedürler hazırlanmalı ve güvenlik kamerası verilerine kimlerin erişebileceği ve nasıl yönetilip kaydedileceğinin sınırları belirlenmelidir.
- Kayıtlar Sadece Yetkili Kişilerle Görülmeli / Paylaşılmalı
Kamera kayıtlarının, izinsiz olarak yetkisiz kişilerle paylaşımı söz konusu olmamalı ve yalnızca yetkili kişilerin kayıtlara erişimi mümkün olmalıdır.
Riskler ve Sonuç
Sonuç olarak; işverenler, iş yerlerinde kurulu kamera sistemleri vasıtasıyla kişisel veri işleme süreçlerini yönettikleri için KVKK kapsamında “Veri Sorumlusu” sıfatını taşıyabileceğinden söz edilebilir. Veri sorumlusu ve veri işleyen hakkındaki tanımlar için “Kişisel Verileri Koruma Kurumu Tarafından Apartmanlarda Güvenlik Kamerası Sistemlerinin Kullanımına İlişkin Kamuoyu Duyurusu: KVKK ve KMK Bakımından Bilinmesi Gerekenler” başlıklı makalemize bakabilirsiniz.
KVKK m. 12 uyarınca gerekli teknik ve idari tedbirleri almayan, ölçüsüz kamera konumlandıran veya aydınlatma yükümlülüğünü yerine getirmeyen işverenler hakkında, KVKK’nın 18’inci maddesi uyarınca ciddi idari para cezaları ve diğer hukuki yaptırımlar uygulanabilecektir.
İşverenlerin mevcut kamera politikalarını ivedilikle gözden geçirerek yasal uyum süreçlerini tamamlaması kritik bir önem arz etmektedir.
Stj. Aslı AKÇINAR
