Kamera kaydının sahipliği
Güvenlik şirketi mi, tesis sahibi mi, site yönetimi mi veri sorumlusu? Bu belirlenmediğinde görüntü talebinde kimin karar vereceği ve aydınlatmayı kimin yapacağı belirsiz kalır.
Sektör · Sektörel KVKK Çözümü
Güvenlik ve Tesis Yönetimi Sektörüne Özel KVKK Çözümleri
Bu sektörün işi zaten kayıt tutmaktır: kamera, turnike, ziyaretçi defteri, plaka tanıma. Tam da bu yüzden KVKK'nın en yoğun uygulandığı alandır; kaydın kime ait olduğu ve kimin sorumlu olduğu netleştirilmelidir.
Kısa cevap
Güvenlik ve tesis yönetiminde KVKK uyumunun ilk sorusu şudur: kamera kaydının veri sorumlusu kim? Hizmeti veren güvenlik şirketi mi, tesisin sahibi ya da site yönetimi mi? Cevap kural olarak tesisi işleten taraftır; güvenlik şirketi onun talimatıyla hareket ettiği ölçüde veri işleyendir. Bu ayrım yapılmadığında ne aydınlatma doğru kurulabilir ne de bir görüntü talebinde kimin karar vereceği belli olur. İkinci kritik başlık biyometrik geçiş sistemleridir: özel nitelikli veri işlediği için ölçülülük testi çok daha sıkıdır.
Güvenlik ve Tesis Yönetiminde KVKK Neden Ayrı Yönetilmeli?
Bu sektörde kişisel veri, hizmetin yan ürünü değil doğrudan konusudur. Kamera görüntüsü, geçiş kaydı ve ziyaretçi defteri güvenliğin kendisini sağlar. Buna karşılık kaydın sahibi çoğu zaman hizmeti veren firma değil, tesisi işleten taraftır; üstelik aynı tesiste birden fazla veri sorumlusu bulunabilir. Sorumluluk zincirinin yazılı olmaması, sektörün en yaygın ve en temel açığıdır.
Biyometrik geçiş sistemleri
Parmak izi ve yüz tanımayla kurulan geçiş sistemleri özel nitelikli veri işler; daha az müdahaleci yöntem mümkünse ölçülülük testini geçmesi zordur.
Plaka tanıma sistemleri
Otopark ve site girişindeki plaka kayıtları, kişinin giriş-çıkış saatlerini tarihsel olarak kaydeder; saklama süresi ve erişim yetkisi çoğu tesiste tanımsızdır.
Site sakini ve aidat verisi
Site yönetimlerinde kat maliki listeleri, aidat borçları ve iletişim bilgileri işlenir; borç listelerinin panoya asılması yaygın ve açık bir ihlaldir.
Ziyaretçi kayıtları
Kimlik alma, fotokopi çekme ve kimlik belgesini rehin tutma uygulamaları yaygındır; büyük kısmı mevzuatın gerektirdiğinin ötesindedir.
Devriye ve personel takibi
Devriye kontrol noktaları ve konum takibi güvenlik görevlisinin sürekli izlenmesine dönüşür; mesai dışı izleme ölçülülük sorunu doğurur.
Güvenlik ve Tesis Yönetiminde İşlenen Kişisel Veriler
Aşağıdaki kırılım tesis girişi, ortak alan ve yönetim süreçlerinden doğan veri kategorilerini gösterir. Her kalem için veri sorumlusunun kim olduğu ayrıca belirlenir.
Kamera görüntüleri
Sabit kamera kayıtları, hareketli kamera görüntüleri, gece görüş kayıtları, olay kayıt dosyaları
Hukuki sebep ve not: Meşru menfaat; kayıt alanları, açılar, saklama süresi ve izleme yetkisi ölçülülükle sınırlandırılır.
Geçiş ve giriş kontrol
Özel nitelikliKartlı geçiş kayıtları, biyometrik şablonlar, turnike ve bariyer logları, personel giriş-çıkış saatleri
Hukuki sebep ve not: Biyometrik yöntem kullanılıyorsa özel nitelikli veri rejimi ve alternatif sunma şartı geçerlidir.
Ziyaretçi kayıtları
Ad soyad, kimlik bilgileri, ziyaret edilen kişi ve birim, giriş-çıkış saatleri, araç plakası, ziyaretçi kartı kayıtları
Hukuki sebep ve not: Meşru menfaat; kimlik belgesi fotokopisi ve belgeyi rehin tutma uygulaması ayrıca değerlendirilir.
Plaka tanıma ve otopark
Araç plakası, giriş-çıkış zaman damgaları, abone araç listeleri, otopark ücret kayıtları
Hukuki sebep ve not: Plaka kişiyle ilişkilendirilebildiği için kişisel veridir; saklama süresi kısa tutulur.
Site ve tesis yönetimi
Kat maliki ve kiracı listeleri, aidat ve borç kayıtları, iletişim bilgileri, genel kurul tutanakları, talep ve şikâyet dosyaları
Hukuki sebep ve not: Hukuki yükümlülük ve sözleşme; borç bilgisinin ortak alanda ilanı hukuka aykırıdır.
Güvenlik personeli
Özel nitelikliÖzel güvenlik kimlik kartı bilgileri, güvenlik soruşturması kayıtları, devriye ve konum kayıtları, silah zimmet kayıtları, sağlık raporları
Hukuki sebep ve not: Güvenlik soruşturması ve sağlık kayıtları özel nitelikli veri doğurur; erişim sıkı sınırlandırılır.
Çözüm Kapsamı
Program önce sorumluluk zincirini yazılı hâle getirir, ardından teknik sistemleri ölçülülük sınırına çeker ve her kaydın saklama süresini tanımlar.
Sorumluluk zinciri tespiti
Tesis sahibi, işleten, site yönetimi ve güvenlik hizmeti sağlayıcısı arasındaki sıfatlar belirlenir; sözleşmeye bağlanır.
Kamera sistemi ölçülülük analizi
Kayıt alanları ve açılar sahada incelenir; mahremiyet beklentisi yüksek alanlar kapsam dışına çıkarılır, saklama süreleri belirlenir.
Biyometrik sistem değerlendirmesi
Alternatif yöntem analizi yapılır; sistem sürdürülecekse alternatif sunumu, açık rıza ve şablon şifrelemesi kurulur.
Ziyaretçi kayıt düzeni
Toplanacak veri asgariye indirilir; kimlik fotokopisi ve rehin uygulaması kaldırılır, girişte aydınlatma tasarlanır.
Site yönetimi veri düzeni
Kat maliki listeleri, aidat ve borç bilgilerinin erişimi sınırlandırılır; ilan ve duyuru uygulamaları düzeltilir.
VERBİS ve görüntü talebi akışı
Kayıt envanterle uyumlu yapılandırılır; görüntü ve kayıt taleplerinin nasıl karşılanacağı prosedüre bağlanır.
Bu Kaydın Sahibi Kim?
- Kamera kaydının veri sorumlusunun kim olduğu hiçbir sözleşmede yazılı değil.
- Görüntü talebi geldiğinde güvenlik şirketi ile tesis yönetimi birbirini işaret ediyor.
- Ziyaretçilerden kimlik fotokopisi alınıyor ve kimlik belgesi çıkışa kadar rehin tutuluyor.
- Turnikede parmak izi kullanılıyor ama alternatif bir yöntem sunulmuyor.
- Aidat borcu olan kat maliklerinin isim listesi apartman girişindeki panoya asılıyor.
- Plaka tanıma kayıtları ne kadar süre saklandığı belirlenmeden yıllardır birikiyor.
Uygulama Süreci
Keşif ve kapsam
Tesis sahada gezilerek kamera açıları, geçiş noktaları ve ziyaretçi akışı incelenir; sözleşme yapısı ve sorumluluk zinciri çıkarılır.
Veri envanteri
Tüm veri işleme faaliyetleri; veri kategorisi, hukuki sebep, saklama süresi, alıcı grubu ve aktarım kırılımıyla çıkarılır.
Boşluk analizi
Mevcut durum mevzuatla karşılaştırılır; açıklar ihlal olasılığı ve etkisine göre önceliklendirilir.
Belgelendirme ve devreye alma
Politika, aydınlatma metni, sözleşme seti ve VERBİS adımları hazırlanıp uygulamaya alınır.
Eğitim ve sürdürme
İlgili ekiplere rol bazlı eğitim verilir; periyodik gözden geçirme takvimi kuruma devredilir.
Teslim Edilecek Çıktılar
- Kişisel veri işleme envanteri ve veri akış haritası
- Kişisel veri saklama ve imha politikası ile periyodik imha takvimi
- Veri işleyen sözleşmesi ve gizlilik taahhütnamesi seti
- VERBİS kayıt dosyası ve güncelleme kılavuzu
- İlgili kişi başvurusu karşılama prosedürü ve yanıt şablonları
- Veri ihlali müdahale planı ve Kurul'a bildirim akışı
- Çalışan, ziyaretçi, kat maliki ve tedarikçi aydınlatma metinleri
- Kamera ve plaka tanıma sistemi kayıt politikası
- Sorumluluk zinciri tespit raporu ve hizmet sözleşmesi maddeleri
- Biyometrik sistem ölçülülük değerlendirme raporu
- Görüntü ve kayıt talebi karşılama prosedürü
Kimler İçin Uygun?
Özel güvenlik şirketleri
Farklı tesislerde hizmet veren, kamera ve geçiş sistemlerini fiilen işleten kuruluşlar.
Tesis yönetimi firmaları
Plaza, AVM ve iş merkezlerinde ortak alan hizmetlerini yürüten şirketler.
Site ve apartman yönetimleri
Kat maliki verisi, aidat kaydı ve ortak alan kamerası yöneten yapılar.
AVM ve iş merkezi işletmecileri
Yüksek ziyaretçi trafiği, otopark ve plaka tanıma sistemi bulunan işletmeler.
İlgili Hizmetler
Bu sektörel program, aşağıdaki danışmanlık hizmetlerinin sektöre uyarlanmış birleşimidir; her biri ayrı ayrı da alınabilir.
İlgili Sektörler
Benzer veri kategorilerini işleyen ya da aynı tedarik zincirinde yer alan sektörlerin uyum sayfaları.
Sık Sorulan Sorular
Kural olarak, kameranın hangi amaçla ve nasıl kullanılacağını belirleyen taraf veri sorumlusudur; bu genellikle tesisi işleten şirket, site yönetimi veya mülk sahibidir. Güvenlik hizmeti sağlayıcısı, bu talimat doğrultusunda sistemi işlettiği ölçüde veri işleyendir. Ancak güvenlik şirketi kendi personelinin devriye ve konum kayıtları bakımından bağımsız veri sorumlusudur. İki sıfat aynı ilişkide bir arada bulunur ve hizmet sözleşmesinde ayrı ayrı düzenlenmelidir; aksi hâlde bir görüntü talebi geldiğinde taraflar birbirini işaret eder.
Kimliğin görülerek doğrulanması ve gerekli asgari bilginin kaydedilmesi güvenlik amacıyla meşru kabul edilebilir. Ancak fotokopi çekilmesi, kimlik numarasının kaydedilmesi ve özellikle kimlik belgesinin çıkışa kadar rehin tutulması çoğu senaryoda ölçüsüzdür ve hukuki dayanağı yoktur. Mevzuatın açıkça zorunlu tuttuğu istisnai tesisler dışında, ad soyad ve ziyaret edilen birim bilgisiyle yetinilmeli, kayıtlar kısa sürede imha edilmelidir.
Biyometrik veri özel nitelikli kişisel veridir ve işlenmesi sınırlı şartlara bağlıdır. Kurul yaklaşımında belirleyici ölçüt ölçülülüktür: aynı amaca kartlı geçiş, PIN veya görevli kontrolü gibi daha az müdahaleci bir yöntemle ulaşılabiliyorsa biyometrik uygulama hukuka aykırı bulunma riski taşır. Kart kaybı veya kart devri gibi işletme kolaylıkları tek başına yeterli gerekçe sayılmaz. Sistem sürdürülecekse alternatif yöntem de sunulmalı, açık rıza alınmalı ve şablonlar geri döndürülemez biçimde şifreli saklanmalıdır.
Asamazsınız. Kişinin borçlu olduğu bilgisi ekonomik durumuna ilişkin kişisel veridir ve ortak alanda, herkesin görebileceği biçimde ilan edilmesi hukuka aykırıdır. Borç takibi mevzuatın öngördüğü yollarla ve kişiye özel bildirimle yapılmalıdır. Genel kurul gündeminde toplam borç durumunun görüşülmesi ile isim listesinin panoya asılması farklı şeylerdir; ikincisi ihlal oluşturur.
Tek bir yasal süre yoktur; süre amaca göre belirlenir ve gerekçesiyle yazılı hâle getirilir. Genel güvenlik amacıyla tutulan kayıtlarda, bir olayın fark edilip incelenmesi için makul bir süre yeterlidir; uygulamada bu genellikle kısa bir süredir. Belirlenen süre dolduğunda kayıtlar otomatik olarak üzerine yazılmalı veya silinmelidir. Devam eden bir olay incelemesi veya hukuki süreç varsa ilgili kayıt ayrıca ayrılıp saklanabilir; bu istisna da prosedürde tanımlanmalıdır.
İlgili kişi, kendi kişisel verisi olan görüntüye erişim talebinde bulunabilir. Ancak kamera görüntüsünde başkalarının da yer alması, talebin doğrudan karşılanmasını engelleyebilir: üçüncü kişilerin hakları korunmalıdır. Uygulanabilir çözüm; talebi yazılı almak, kimliği doğrulamak, görüntüde başkaları varsa maskeleme yapmak veya görüntüyü teslim etmek yerine kontrollü bir izleme imkânı sunmaktır. Adli bir süreç söz konusuysa görüntü yetkili mercie usulüne uygun talep üzerine verilir. Bu akışın önceden yazılı bir prosedüre bağlanması şarttır.
Sorumluluk zincirini yazılı hâle getirelim
Hizmet sözleşmenizi, kamera kurulumunuzu ve geçiş sisteminizi paylaşın; ücretsiz ön görüşmede sorumluluk belirsizliğini ve ölçüsüz kayıtları birlikte çıkaralım.
