Ses Kayıt Özellikli Güvenlik Kameraları ve KVKK’nın 2020/212 Sayılı Kararı

1. Kararın Konusu ve Özeti

Kurulun 12/03/2020 tarihli ve 2020/212 sayılı kararı, bir kamu kurumunun ses kayıt özelliği bulunan güvenlik kameralarını kullanmasına ilişkindir. İnceleme sırasında, kameralar aracılığıyla sadece görüntü değil, aynı zamanda çalışanların ve ziyaretçilerin konuşmalarının da kaydedildiği bir gözetim sistemi değerlendirilmiştir.

Kurul, bu uygulamayı değerlendirirken;

• KVKK m.3’teki “kişisel veri” ve “kişisel verilerin işlenmesi” tanımlarına,
• KVKK m.5’teki işleme şartlarına,
• KVKK m.4’teki genel ilkelere,
• Anayasa m.20 (kişisel verilerin korunması hakkı) ve m.13 (temel hak ve özgürlüklerin sınırlandırılması),
• ve Anayasa Mahkemesi’nin kişisel verilerin korunmasına ilişkin içtihadına

dayanmıştır. Sonuçta Kurul, ses kaydıyla desteklenen gözetim sisteminin, yalnızca görüntü kaydına kıyasla çok daha müdahaleci olduğuna, çoğu senaryoda ölçülülük ilkesini ihlal ettiğine ve kişisel verilerin korunması hakkının özüne zarar verebileceğine hükmetmiştir.

2. KVKK Çerçevesi: Kişisel Veri ve İşleme

KVKK m.3/1-d uyarınca kişisel veri; “kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi”dir. Ses kaydı, kişinin kimliğinin doğrudan veya dolaylı olarak tespit edilebildiği her durumda kişisel veri niteliği taşır.

KVKK m.3/1-e ise “kişisel verilerin işlenmesini”;

• Verilerin elde edilmesi,
• Kaydedilmesi, depolanması, muhafaza edilmesi,
• Değiştirilmesi, yeniden düzenlenmesi, açıklanması,
• Aktarılması, devralınması, sınıflandırılması,
• ve kullanılmasının engellenmesi gibi her türlü işlem olarak tanımlar.

Dolayısıyla, ses kayıt özelliği olan bir kamera sistemi ile:

• Sesin alınması,
• Saklanması, dinlenmesi, paylaşılması,

tamamı kişisel veri işleme faaliyetidir ve KVKK kapsamında değerlendirilmek zorundadır.

2.1. İşleme Şartları (KVKK m.5)

KVKK m.5/1 kuralı nettir: İlgili kişinin açık rızası olmaksızın kişisel veriler işlenemez. Ancak aynı maddenin ikinci fıkrasında sayılan bazı hallerde, açık rıza aranmaksızın veri işlenebilir:

• Kanunlarda açıkça öngörülmesi,
• Fiili imkânsızlık sebebiyle rızasını veremeyen kişinin veya üçüncü kişinin hayatı/beden bütünlüğü,
• Bir sözleşmenin kurulması veya ifası için zorunlu olması,
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için gerekli olması,
• İlgili kişinin veriyi alenileştirmesi,
• Bir hakkın tesisi, kullanılması veya korunması için zorunluluk,
• Veri sorumlusunun meşru menfaatleri için zorunluluk (ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla).

Ancak Kurul vurgulamaktadır ki; bu işleme şartlarından biri bulunsa bile, m.4’teki genel ilkeler her durumda uygulanmak zorundadır. Yani “meşru menfaat” veya “hukuki yükümlülük” gerekçesi, ölçüsüz bir gözetimi meşrulaştırmaz.

3. Genel İlkeler: Amaç, Sınırlılık ve Ölçülülük

KVKK m.4, kişisel veri işlemenin “nasıl” yapılması gerektiğini belirleyen genel ilkeleri sayar. Kişisel veriler:

• Hukuka ve dürüstlük kurallarına uygun olmalı,
• Doğru ve gerektiğinde güncel olmalı,
• Belirli, açık ve meşru amaçlar için işlenmeli,
• İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmalı,
• İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli süre kadar muhafaza edilmelidir.

3.1. Belirli, Açık ve Meşru Amaç

Kurul, sesli kamera kararı bağlamında özellikle amaç belirginliğine dikkat çekmektedir:

• Veri işleme faaliyeti ilgili kişilerce açık ve anlaşılabilir olmalıdır.
• Hangi hukuki işleme şartına dayanıldığı belirlenebilir olmalıdır.
• İşleme amacı, veri sorumlusunun sunduğu hizmetle doğrudan bağlantılı ve meşru olmalıdır.

3.2. Amaçla Bağlantılı, Sınırlı ve Ölçülü Olma

“Amaçla bağlantılı, sınırlı ve ölçülü olma” ilkesi, Kurulun bu karardaki değerlendirmesinin merkezindedir:

• İşlenen veriler, belirlenen amacı gerçekleştirmeye elverişli olmalıdır.
• Amacın gerçekleşmesiyle doğrudan ilgili olmayan, “sonradan lazım olur” mantığıyla toplanan veriler hukuka aykırı olabilir.
• İhtiyaçtan fazla veri işlemeden kaçınılmalı, amacı gerçekleştirecek asgari veri işlenmelidir.

Kararın kilit noktası şudur:

Eğer güvenlik amacı sadece görüntü kaydı ile sağlanabiliyorsa, ses kaydının da alınması “ölçülülük” ilkesini ihlal eder ve kişisel verilerin korunması hakkına gereksiz, ağır bir müdahale anlamına gelir.

4. Anayasal Çerçeve ve Anayasa Mahkemesi Vurguları

Kişisel verilerin korunması hakkı, yalnızca KVKK ile değil; Türkiye Cumhuriyeti Anayasası ile de güvence altındadır. Özellikle iki madde öne çıkar:

• Anayasa m.20/3: “Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir… Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir.”
• Anayasa m.13: Temel hak ve özgürlüklerin yalnızca kanunla, özüne dokunulmaksızın ve demokratik toplum düzeninin gerekleri ile ölçülülük ilkesine uygun şekilde sınırlanabileceğini düzenler.

Kurul, kararında Anayasa Mahkemesi’nin kişisel verilerin korunması hakkına ilişkin kararlarına da atıf yaparak şu noktalara dikkat çeker:

• Kişisel verilerin korunması hakkı, özel hayatın gizliliğinin özel bir görünümüdür.
• Bu hakkı ilgilendiren yasal düzenlemelerin açık, öngörülebilir ve kişilerin haklarını kullanmasına elverişli olması gerekir.
• Temel haklara müdahale, zorunlu ve istisnai olmalı; “zorlayıcı toplumsal ihtiyaç”la gerekçelendirilebilmelidir.
• Müdahale, hakkın kullanılmasını ciddi şekilde zorlaştırmamalı, hakkı işlevsiz hale getirmemelidir.

Bu çerçevede, güvenlik amacıyla dahi olsa, görüntü ile birlikte ses kaydı yapılması, bireylerin kamuya açık alanlarda bile sürekli gözetim altında hissetmesine yol açabilir ve böyle bir uygulama hakkın özüne dokunan ölçüsüz bir sınırlama olarak değerlendirilebilir.

5. Ses Kayıt Özellikli Güvenlik Kameraları Neden Daha Müdahaleci?

Kurul, ses kaydı yapan kamera sistemlerinin yalnızca görüntü kaydına kıyasla neden çok daha ağır bir müdahale olduğunu birkaç noktada netleştirir:

• Güvenlik amacı, çoğu zaman sadece görüntü ile sağlanabilir; ses kaydı bu amacın zorunlu bir unsuru değildir.
• Ses kaydı; kişinin özel nitelikli diyaloglarını, üçüncü kişilerle yaptığı görüşmeleri ve hayatının daha mahrem kesitlerini de kapsayabilir.
• Bu durum, bireylerde “her açıdan gözetim altında olma” algısı yaratarak demokratik toplum düzeniyle bağdaşmayan bir gözetim rejimine yol açabilir.

Ayrıca Kurul, bir kamu kurumunda sesli kamera kullanımının kabul edilmesi hâlinde, benzer nitelikteki tüm alanlar için aynı uygulamanın yaygınlaştırılmasının gündeme gelebileceğini, bunun da kişisel verilerin korunması hakkına çok geniş ve tehlikeli bir istisna alanı açacağını belirtir.

Özetle: Ses kaydı, güvenlik önlemi olmaktan çıkıp, bireylerin sürekli izlenmesine ve kayıt altına alınmasına neden olan ağır bir temel hak müdahalesi olarak görülmektedir. Bu nedenle, “görüntü yeterliyken ses kaydı” KVKK ve Anayasa açısından ciddi risk taşır.

6. Kamu Kurumları ve Özel Sektör İçin Pratik Sonuçlar

Karar her ne kadar bir kamu kurumu hakkında verilmiş olsa da, ortaya koyduğu ilkeler hem kamu hem de özel sektör için yol göstericidir:

• “Güvenlik” amacıyla da olsa, ses kayıt özelliği bulunan kameralar istisnai olmalıdır.
• Ses yerine sadece görüntü ile amaca ulaşılabiliyorsa, ses kaydı ölçüsüz kabul edilebilir.
• İşyerlerinde, çalışanların bulunduğu ortamlarda ses kaydı alınması, çalışanların özel hayatının ve haberleşme özgürlüğünün ihlali riskini ciddi şekilde artırır.
• Böyle bir sistem kurulacaksa, teknik ve hukuki gerekçeler detaylı bir risk ve etki analizi ile ortaya konulmalıdır.

6.1. İşverenin Yönetim Hakkı ve Sınırları

İşverenin yönetim hakkı; Anayasa, kanunlar, toplu iş sözleşmeleri ve çalışma koşulları ile sınırlıdır. Çalışanların kişisel verilerinin işlenmesi (görüntü, ses, kayıt sistemleri vb.), KVKK hükümlerine tabidir ve:

• İşverenin menfaati ile çalışanın kişilik hakları arasında adil bir denge kurulmalıdır.
• KVKK m.10 kapsamında aydınlatma yükümlülüğü titizlikle yerine getirilmelidir.
• Gizli kamera veya habersiz ses kaydı, kural olarak hukuka aykırı kabul edilmektedir (istisnai ceza soruşturmaları vb. hariç).

7. Uyum İçin Öneriler: Sesli Kamera Kullanmak Zorunda mısınız?

Kurulun yaklaşımı dikkate alındığında, veri sorumlularının atması gereken temel adımlar şunlardır:

1. Öncelikle “ses”e gerçekten ihtiyaç olup olmadığını sorgulayın.
   Güvenlik amacı sadece görüntü ile sağlanabiliyorsa, ses kaydından kaçınmak en güvenli seçenektir.
2. Veri işleme amacını ve hukuki sebebi somutlaştırın.
   Hangi kamera nerede, hangi amaçla, hangi hukuki işleme şartına dayanarak çalışıyor; yazılı ve denetlenebilir hale getirilmelidir.
3. Aydınlatma metinlerinizi güncelleyin.
   Kamera alanlarında, görüntü ve varsa ses kaydına ilişkin net ve anlaşılır bilgilendirme yapılmalıdır.
4. İmkan dahilinde ses kayıt özelliğini teknik olarak kapatın.
   Cihaz ses donanımına sahip olsa bile, yazılım/konfigürasyon düzeyinde ses kaydı devre dışı bırakılmalıdır.
5. Veri saklama sürelerini kısaltın ve sınırlandırın.
   Kamera kayıtlarının saklama süreleri, amaca uygun asgari süreler ile sınırlandırılmalı, otomatik imha süreçleri kurulmalıdır.
6. İç politika ve prosedürleri güncelleyin.
   Bilgi güvenliği, kişisel veri koruma ve kamera kullanımı politika/prosedürlerinde, ses kaydı açıkça düzenlenmelidir.

Pratik tavsiye: Mümkün olan her senaryoda, sadece görüntü kaydı ile yetinmek ve ses kaydını devre dışı bırakmak, KVKK ve Anayasa bakımından en düşük riskli çözümdür.

8. Sık Sorulan Sorular (SSS)