Cilt Analizi Uygulamaları ve Yüz Fotoğrafı: Biyometrik Veri mi?

Bir Selfie'den Fazlası

Kozmetik markaları için cilt analizi uygulamaları güçlü bir deneyim aracıdır: kullanıcı telefonuyla yüzünün fotoğrafını çeker, uygulama birkaç saniye içinde cilt tipini, kırışıklık ya da leke yoğunluğunu ölçer ve ürün önerir. Kullanıcı açısından bu bir selfie gibi görünür. Cilt analizi KVKK açısından ise tablo daha karmaşıktır; çünkü aynı fotoğraf, işlenme biçimine göre sıradan bir kişisel veri, biyometrik veri ya da sağlık verisi doğuran bir girdi olabilir.

Bu yazıda cilt analizi uygulamalarının teknik olarak nasıl çalıştığını, fotoğrafın hangi noktada biyometrik veriye dönüştüğünü, sağlıkla ilgili çıkarım riskini, açık rıza ve aydınlatma gerekliliklerini, fotoğrafların saklanması ve model eğitimi konusunu ele alıyoruz. Son bölümde ürün ve pazarlama ekiplerinin tasarım aşamasında dikkate alabileceği önerileri paylaşıyoruz.

Cilt analizi uygulamaları nasıl çalışır?

Cilt analizi araçlarının çoğu benzer bir akışı izler. Önce kullanıcıdan ön kamera ile, belirli ışık koşullarında yüz fotoğrafı istenir. Ardından yazılım yüzü algılar, alın, yanak ve çene gibi bölgeleri ayırır ve her bölgede piksel düzeyinde ölçüm yapar. Sonuç ekranı genellikle puanlar, ısı haritaları ve ürün önerilerinden oluşur.

Bu akışta dört ayrı veri türü oluşur:

Ham görüntü: kullanıcının yüz fotoğrafı; çoğu zaman arka plan, saç, takı veya ev ortamı gibi ek bilgiler de içerir.

Yüz geometrisi: yüz noktaları ve bölgelerin konumu gibi, görüntüden çıkarılan sayısal ölçümler.

Analiz sonuçları: nem, gözenek, leke, kızarıklık veya akne skorları gibi cilde ilişkin değerlendirmeler.

Profil ve davranış verisi: yaş aralığı, cilt tipi tercihi, kullanıcının satın aldığı ürünler ve uygulamadaki gezinme kayıtları.

Analizin cihaz üzerinde mi yoksa markanın veya bir teknoloji sağlayıcısının sunucusunda mı yapıldığı, risk profilini doğrudan değiştirir. Görüntü cihazdan çıkmıyorsa aktarım ve saklama riskleri azalır; bulutta işleniyorsa sağlayıcının konumu, erişim yetkileri ve saklama süresi ayrıca sorulmalıdır.

Fotoğraf ne zaman biyometrik veriye dönüşür?

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) 6. maddesinde biyometrik ve genetik verileri özel nitelikli kişisel veriler arasında sayar, ancak biyometrik veriyi tanımlamaz. Kişisel Verileri Koruma Kurumu (Kurum) Şubat 2025'te yayımladığı Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehber'de, Avrupa Birliği Genel Veri Koruma Tüzüğü'ndeki (GDPR) tanıma yer verir: biyometrik veri, yüz görüntüleri veya parmak izi gibi, bir gerçek kişinin özgün biçimde teşhis edilmesini sağlayan veya teyit eden fiziksel, fizyolojik ya da davranışsal özelliklerine ilişkin, spesifik teknik işlemeden kaynaklanan kişisel veridir.

Rehber, fotoğrafların işlenmesinin doğrudan biyometrik veri işlenmesi sayılamayacağını; fotoğrafın ancak kişinin benzersiz biçimde tanımlanmasına veya doğrulanmasına imkân veren belirli bir teknik yöntemle işlendiğinde bu kapsama gireceğini belirtir. Belirleyici ölçüt, verinin kişiyi tanımlama veya doğrulama özelliğine sahip olmasıdır.

Bu ölçüt cilt analizine uygulandığında üç farklı senaryo ortaya çıkar:

Yalnızca görüntü üzerinden genel ölçüm: fotoğraf, kişiyi tanımlamaya yarayan bir şablon üretmeden yalnızca renk ve doku analizi için kullanılıyorsa biyometrik veri tartışması zayıflar; fotoğraf yine de kişisel veridir.

Yüz şablonu veya eşleştirme: uygulama kullanıcının yüzünden kalıcı bir yüz şablonu çıkarıp sonraki girişlerde “aynı kişi mi” kontrolü yapıyor ya da hesapları yüzle eşleştiriyorsa, bu işlem biyometrik veri işleme niteliği kazanabilir.

Zaman içinde takip: ilerleme takibi için kullanıcının farklı tarihlerdeki fotoğrafları yüz noktaları üzerinden karşılaştırılıyorsa, kullanılan teknik yöntemin kişiyi tanımlama veya doğrulama işlevi görüp görmediği ayrıca incelenmelidir.

Kurum'un 27.08.2026 tarihli duyurusunda, mesai takibi bağlamında da olsa, biyometrik özelliklerden türetilen ve koda dönüştürülmüş verilerin de biyometrik veri niteliğini koruduğu vurgulanmıştır. Bu yaklaşım, “ham fotoğrafı silip yalnızca sayısal şablonu tutuyoruz” savunmasının tek başına yeterli olmayacağını gösterir. Biyometrik verinin iş yerindeki kullanımına ilişkin örnekleri biyometrik veri ile mesai takibi yazımızda inceledik.

Sağlık verisi çıkarımı riski

Cilt analizinin ikinci ve çoğu zaman gözden kaçan boyutu sağlık verisidir. KVKK 6. madde sağlığa ilişkin verileri de özel nitelikli sayar. Kişisel Sağlık Verileri Hakkında Yönetmelik, sağlık verisini kimliği belirli veya belirlenebilir gerçek kişinin fiziksel ve ruhsal sağlığına ilişkin her türlü bilgi olarak tanımlar.

Uygulamanın ürettiği “akne eğilimi yüksek”, “rozasea belirtisi olabilir” veya “egzama benzeri kuruluk” gibi sonuçlar kozmetik bir öneriden çok bir sağlık değerlendirmesine yaklaşır. Kullanıcının alerji, hamilelik, ilaç kullanımı veya dermatolojik tedavi bilgisini anket olarak girmesi istendiğinde ise sağlık verisi doğrudan toplanmış olur.

Sınır her zaman net değildir; “kuru cilt” ifadesi ile bir hastalık belirtisi arasındaki fark, sonucun nasıl ifade edildiğine ve nasıl kullanıldığına bağlıdır. Bu nedenle pazarlama ekiplerinin sonuç ekranındaki dili hukuk ve regülasyon ekipleriyle birlikte belirlemesi önemlidir. Tıbbi iddia içeren sonuçlar, kozmetik mevzuatı açısından da ayrı bir değerlendirme gerektirebilir. Sağlık verisinin genel risk tablosunu sağlık sektöründe özel nitelikli veri riski yazımızda ele aldık.

Açık rıza ve aydınlatma

7499 sayılı Kanun'la değişen KVKK 6. maddenin üçüncü fıkrası, özel nitelikli verilerin işlenmesini yasaklar ve bu yasağın istisnalarını sınırlı olarak sayar. Ticari bir cilt analizi hizmetinde, kanunlarda açıkça öngörülme veya sağlık hizmeti yürütme gibi sebepler çoğu durumda uygulanmaz. Bu nedenle biyometrik veya sağlık verisi işleyen bir tüketici uygulamasında en gerçekçi hukuki sebep çoğunlukla ilgili kişinin açık rızasıdır.

Açık rızanın geçerli olabilmesi için belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilmiş olması gerekir. Uygulamada sık görülen sorunlar şunlardır:

Analiz rızası, üyelik sözleşmesi veya kampanya izni ile tek bir kutuda birleştiriliyor.

Analizi kullanmak için rıza zorunlu tutuluyor, ancak rıza vermeyen kullanıcıya fotoğrafsız bir alternatif (ör. anketle cilt tipi belirleme) sunulmuyor.

Model eğitimi, pazarlama profili ve yurt dışındaki bir sağlayıcıya aktarım gibi farklı amaçlar tek rızanın içinde gizleniyor.

Rızanın nasıl geri alınacağı ve geri alındığında fotoğrafların ne olacağı belirtilmiyor.

Aydınlatma ise rızadan bağımsız bir yükümlülüktür. KVKK 10. madde ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ gereği kullanıcı; veri sorumlusunu, işleme amaçlarını, aktarılan tarafları, toplama yöntemini, hukuki sebebi ve haklarını analiz başlamadan önce öğrenmelidir. Kurul'un 18.02.2026 tarihli ve 2026/347 sayılı ilke kararı, aydınlatma metni ile açık rıza metninin ayrı ayrı düzenlenmesi gerektiğini bir kez daha hatırlatmıştır. Bu ayrımın uygulamadaki sonuçlarını aydınlatma ve açık rıza ayrımı yazımızda, geçerlilik koşullarını ise açık rıza metinlerinin geçerliliği yazımızda anlattık.

Fotoğrafların saklanması ve model eğitimi

KVKK 4. maddedeki temel ilkeler, verinin işlendiği amaç için gerekli olan süre kadar saklanmasını ve amaçla bağlantılı, sınırlı ve ölçülü olmasını ister. Analiz sonucu üretildikten sonra ham fotoğrafın neden saklandığı sorusu bu yüzden önemlidir. “İleride işimize yarar” gerekçesi, belirli ve meşru bir amaç sayılmaz.

Model eğitimi ayrı bir işleme amacıdır. Kullanıcı fotoğrafını kendi cildinin analizi için paylaşmıştır; aynı fotoğrafın algoritmanın geliştirilmesi için kullanılması, kullanıcının makul beklentisinin dışında kalabilir. Kurum'un Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi ile yapay zekâ alanındaki tavsiyeleri, eğitim verisinde veri minimizasyonu, anonimleştirme ve şeffaflık ilkelerine dikkat çeker.

Üçüncü bir başlık da teknoloji sağlayıcısıdır. Analiz bir yazılım firmasının sunucusunda yapılıyorsa, sağlayıcının fotoğrafları kendi modelini geliştirmek için kullanıp kullanmadığı sözleşmede açıkça yazılmalıdır. Sağlayıcı veriyi kendi amaçları için kullanıyorsa yalnızca veri işleyen sayılmayabilir. Sunucular yurt dışındaysa aktarımın KVKK 9. maddedeki mekanizmalardan birine dayanması gerekir; standart sözleşme kullanılıyorsa sözleşme imzadan itibaren beş iş günü içinde Kurum'a bildirilir. Yapay zekâ sistemlerinin genel KVKK çerçevesini Kurum'un üretken yapay zekâ rehberi yazımızda özetledik.

Uyumlu tasarım önerileri

Cilt analizi özelliğini KVKK'ya uygun kurmanın en etkili yolu, riskleri ürün tasarım aşamasında ele almaktır. Aşağıdaki öneriler bir başlangıç listesi niteliğindedir:

Cihaz üzerinde analiz tercih edin: Mümkünse görüntüyü cihazda işleyin ve sunucuya yalnızca gereken skorları gönderin.

Kalıcı yüz şablonu üretmeyin: Analiz için kişiyi tanımlayan bir şablon gerekmiyorsa bu adımı tasarımdan çıkarın; gerekiyorsa biyometrik veri işlediğinizi kabul ederek kurgulayın.

Ham fotoğrafı varsayılan olarak saklamayın: İlerleme takibi gibi saklama gerektiren özellikleri ayrı ve isteğe bağlı bir seçenek olarak sunun.

Sonuç dilini kozmetik sınırda tutun: Tanı çağrıştıran ifadeler yerine cilt bakım ihtiyacını anlatan ifadeler kullanın ve gerekirse kullanıcıyı uzmana yönlendirin.

Rıza katmanlarını ayırın: Analiz, saklama, model eğitimi ve pazarlama için ayrı, önceden işaretlenmemiş seçenekler sunun; fotoğrafsız alternatif yolu açık tutun.

Sağlayıcı sözleşmesini netleştirin: Teknoloji sağlayıcısının veriyi kendi amaçları için kullanamayacağını, saklama ve silme sürelerini ve sunucu konumunu yazılı hale getirin.

Yeterli önlemleri belgeleyin: Kurul'un 31.01.2018 tarihli ve 2018/10 sayılı kararındaki özel nitelikli veriye yönelik önlemleri (şifreleme, erişim kayıtları, eğitim, gizlilik taahhütleri) uygulayın.

Bu yaklaşım, tasarımdan gizlilik (privacy by design) ilkesinin kozmetik sektörüne uyarlanmış hâlidir; yazılım ekipleri için genel çerçeveyi tasarımdan gizlilik rehberimizde bulabilirsiniz.

Sonuç ve Sonraki Adım

Cilt analizi KVKK açısından yalnızca “fotoğraf aldık mı” sorusuyla değerlendirilemez. Asıl sorular; fotoğrafın kişiyi tanımlayan bir teknik işlemden geçip geçmediği, sonuçların sağlık verisi niteliği taşıyıp taşımadığı, verinin ne kadar süre ve hangi amaçlarla saklandığıdır. Bu sorulara verilen yanıtlar, özel nitelikli veri yasağının istisnalarından hangisine dayanılacağını ve hangi önlemlerin alınacağını belirler. Somut olay özelinde hukuki değerlendirme alınmalıdır.

Kozmetik ve temizlik sektörüne özgü diğer KVKK başlıklarını sektör sayfamızda bir arada bulabilirsiniz.

Sık Sorulan Sorular