Mağaza Kamerasında Yaş-Cinsiyet Analizi Biyometrik Veri midir?

Kameranın arkasındaki soru

Dijital ekranlarda kitleye göre değişen reklamlar, reyon önünde bekleme süresini ölçen kameralar ve ziyaretçileri yaş grubu ile cinsiyete göre raporlayan analitik paneller perakendede hızla yaygınlaşıyor. Tedarikçiler bu sistemleri çoğu zaman “anonim” diye tanıtıyor. Mağazada yüz analizi yapan bir kurulumun KVKK karşısındaki durumu ise bu etikete değil, sistemin teknik olarak ne yaptığına bağlı.

Bu rehberde yüz algılama ile yüz tanıma arasındaki farkı, biyometrik verinin nasıl tanımlandığını, anlık işleme ve kayıt tutmama iddialarının nasıl doğrulanacağını, açık rızanın mağaza ortamında uygulanabilir olup olmadığını ve daha az müdahaleci alternatifleri adım adım ele alıyor; kendi kurulumunuzu değerlendirmeniz için bir karar tablosu sunuyoruz.

Yüz algılama ile yüz tanıma farkı

Pazarlama sunumlarında aynı başlık altında anılan dört farklı teknik işlem vardır. Hukuki değerlendirme, kurulumun bunlardan hangisini yaptığıyla başlar.

Uygulamada sınır kolayca aşılır. Yaş ve cinsiyet tahmini yapan bir sistem, “aynı ziyaretçiyi iki kez saymamak” için yüz özelliklerinden kısa süreli bir eşleştirme kodu üretiyorsa, sınıflandırmanın ötesine geçip tekil ayırt etme yapıyor olabilir. Bu nedenle değerlendirme sistemin satış broşürüne göre değil, teknik dokümanına göre yapılmalıdır. Kamera dışındaki sayım teknolojilerini mağaza müşteri sayma KVKK yazımızda ele aldık.

Yüz teknolojilerinin karşılaştırması

Biyometrik veri tanımı

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), 6. maddesinde biyometrik veriyi özel nitelikli kişisel veriler arasında sayar ancak tanımlamaz. Kişisel Verileri Koruma Kurumu'nun Biyometrik Verilerin İşlenmesinde Dikkat Edilmesi Gereken Hususlara İlişkin Rehberi, Avrupa Birliği Genel Veri Koruma Tüzüğü'ndeki (GDPR) tanımı en kapsayıcı tanım olarak anar ve bir verinin biyometrik sayılması için iki unsur arar:

1. Veri işleme sonucunda kişinin fiziksel, fizyolojik veya davranışsal ayırt edici özelliklerinin ortaya çıkarılması,

2. Ortaya çıkarılan özelliklerin kişinin kimliğini tanımlamaya veya doğrulamaya yarayan veriler olması.

Avrupa Veri Koruma Kurulu'nun (EDPB) video cihazlarına ilişkin 3/2019 sayılı rehberi de doğrudan mağaza örneği verir: müşterinin yaş ve cinsiyet özelliklerine göre reklamı kişiselleştirmek isteyen bir mağazanın sistemi, kişileri tekil olarak tanımak için biyometrik şablon üretmiyor, yalnızca fiziksel özellikleri algılayıp sınıflandırıyorsa, işleme GDPR'ın özel nitelikli veriye ilişkin 9. maddesine girmez. Ancak sistem aynı kişinin alana yeniden girdiğini tespit etmek için şablon saklıyorsa, amaç kişiyi tekil olarak tanımak olduğundan işleme baştan itibaren 9. madde kapsamına girer. EDPB rehberi Türkiye'de bağlayıcı değildir; ancak Kurum rehberindeki ölçütlerle aynı mantığı izlediği için yol göstericidir.

Bu çerçevede üç önemli not düşmek gerekir:

Benzer bir değerlendirmeyi yüz fotoğrafı kullanan uygulamalar için cilt analizi ve biyometrik veri yazımızda yaptık.

Biyometrik tanımında üç kritik not

Anlık işleme ve kayıt tutmama

Tedarikçilerin en sık kullandığı güvence, görüntünün cihaz üzerinde milisaniyeler içinde işlenip silindiği, yalnızca toplulaştırılmış sayıların merkeze gönderildiğidir. Bu tasarım riski önemli ölçüde azaltır ama işlemeyi ortadan kaldırmaz: KVKK, kişisel veri üzerinde gerçekleştirilen her türlü işlemi “işleme” sayar ve süre şartı aramaz.

Anlık işleme iddiasını doğrulamak için tedarikçiden yazılı yanıt istenmesi gereken sorular şunlardır:

1. Görüntü hangi cihazda işleniyor: kameranın içinde, mağazadaki bir sunucuda mı, bulutta mı?

2. Ham görüntü veya kare herhangi bir aşamada diske yazılıyor mu; hata ayıklama ve model iyileştirme için örnek görüntü saklanıyor mu?

3. Yüz özelliklerinden bir şablon, vektör veya eşleştirme kodu üretiliyor mu; üretiliyorsa ne kadar süre tutuluyor?

4. Aynı kişinin tekrar sayılmaması için hangi yöntem kullanılıyor?

5. Merkeze gönderilen raporun asgari grup büyüklüğü nedir; tek bir kişiye ait sonuç üretilebiliyor mu?

6. Tedarikçi verileri kendi ürününü geliştirmek için kullanıyor mu; veriler hangi ülkede işleniyor?

7. Bu iddiaları doğrulayan bağımsız bir test raporu veya teknik denetim var mı?

Yanıtlar sözleşmeye, tedarikçinin veri işleyen yükümlülükleri olarak yazılmalıdır. Güvenlik kameralarının genel kurallarını güvenlik kamerası KVKK riski yazımızda anlattık; güvenlik kamerası görüntüsünü sonradan pazarlama analizine sokmak, amaçla sınırlılık ilkesi bakımından ayrıca sorun yaratır.

Açık rıza pratikte mümkün mü?

Sistem biyometrik veri işliyorsa KVKK'nın 6. maddesinin üçüncü fıkrası uygulanır. 7499 sayılı Kanunla yapılan değişiklikten sonra özel nitelikli veriler; açık rıza, kanunlarda açıkça öngörülme, bir hakkın tesisi, kullanılması veya korunması için zorunluluk gibi sınırlı sayılmış şartlardan birinin varlığı halinde işlenebilir. Mağaza içi reklam ve analitik amacıyla yapılan tanıma için bu şartlardan açık rıza dışında birine dayanmak çoğu durumda mümkün görünmemektedir.

Açık rıza ise Kanun'da belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlanır. Mağaza ortamında bu üç unsuru sağlamak şu nedenlerle zordur:

Kamera, kişi rıza verip vermediğini beyan etmeden önce yüzü işler; rıza işlemeden önce alınmalıdır.

Girişteki levha bilgilendirme sağlar ama rıza üretmez; mağazaya girmek bir irade beyanı değildir.

Rıza vermeyen müşteriyi sistemden ayırmanın tek yolu çoğu zaman onu da tanımaktır.

Rızanın geri alınabilmesi ve bunun kanıtlanabilmesi gerekir.

Kurul, 04.08.2022 tarihli ve 2022/797 sayılı kararında bir iş yerindeki yüz tanıma sistemi için alınan açık rızanın belirli konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza unsurlarını taşımadığını değerlendirmiş, biyometrik veri işlemenin durdurulmasını ve alternatif yöntemlere geçilmesini istemiştir. Kurum'un biyometrik veri rehberi de açık rızası olmayan kişiler için herhangi bir kısıtlama veya ek maliyet olmadan alternatif bir sistem sağlanması gerektiğini belirtir.

Açık rızanın geçerlilik şartlarını açık rıza metinlerinin geçerliliği, aydınlatma ile rızanın karıştırılmasının sonuçlarını ise aydınlatma ve açık rıza uyarısı yazımızda ele aldık. Somut olay özelinde hukuki değerlendirme alınmalıdır.

Alternatif yöntemler

Kurum'un biyometrik veri rehberi gereklilik ilkesini, aynı amaca ulaşmayı sağlayan birden fazla araç varsa en az müdahaleci olanın seçilmesi olarak açıklar. Mağaza analitiğinde aynı iş sorusunu yanıtlayan daha az müdahaleci yöntemler çoğu zaman mevcuttur:

Sadakat programlarının kurallarını sadakat kartı KVKK kuralları yazımızda ele aldık. Avrupa Birliği'nde de faaliyet gösteren zincirler için biyometrik sınıflandırma sistemleri ayrıca AB Yapay Zekâ Yasası bakımından değerlendirilmelidir; genel çerçeveyi EU AI Act yazımızda özetledik.

Yüz analizine alternatif yöntemler

Karar tablosu

Bu tablo kvkkrehberi.com tarafından genel bilgilendirme amacıyla hazırlanmıştır; Kurul kararı veya resmî bir sınıflandırma değildir. Somut olay özelinde hukuki değerlendirme alınmalıdır.

Mağaza yüz analizi karar tablosu

Aşağıdaki tablo, mağazanızdaki kurulumu ilk değerlendirme için kullanabileceğiniz bir başlangıç noktasıdır:

Sonuç ve sonraki adım

Mağazada yüz analizi konusunda belirleyici soru, sistemin kişiyi tekil olarak tanıyıp tanımadığıdır. Yalnızca yaş ve cinsiyet tahmini yapan, şablon saklamayan ve toplu rapor üreten bir sistem Kurum rehberindeki ölçütlere göre genellikle biyometrik veri işlemez; yine de görüntü kişisel veri olduğu için hukuki sebep, aydınlatma ve ölçülülük gerekir. Aynı müşteriyi tekrar tanıyan sistemler ise biyometrik veri işler ve mağaza ortamında geçerli açık rıza almak pratikte çok zordur.

İlk adım olarak tedarikçinizden yukarıdaki yedi soruya yazılı yanıt isteyin ve kurulumunuzu karar tablosunda konumlandırın. Perakendeye özgü diğer başlıklar için perakende ve mağazacılık KVKK sayfamızı, uyum sürecinin genel adımları için KVKK danışmanlığı sayfamızı inceleyebilirsiniz.

Sık sorulan sorular