Kamera kaydı KVKK açısından kişisel veridir: görüntüde tanınabilen her çalışan, ziyaretçi ya da müşteri için 6698 sayılı Kanun uygulanır. İşyerinde kamera kullanmak yasak değildir; ancak amacı net olmalı, kişiler aydınlatılmalı, kayıtlara yalnızca yetkililer erişmeli, kayıt amaca yetecek en kısa sürede otomatik silinmeli ve ses kaydı gerekçesiz alınmamalıdır.
Kamera sistemi büyüdü, KVKK dosyası büyümedi
Çoğu işletmede kamera sistemi tek seferde değil, parça parça kurulur. Önce nizamiyeye iki kamera, sonra depoya dört kamera, ardından bir hırsızlık olayından sonra üretim hattına birkaç kamera daha eklenir. Kayıt cihazı bir dolapta çalışır, yönetici şifresi yıllardır aynıdır ve kayıtların kaç gün tutulduğunu kimse net bilmez.
KVKK dosyası ise genellikle ilk günkü hâlinde kalır. Kapıda bir "Bu alan kamera ile izlenmektedir" etiketi vardır ama aydınlatma metni yoktur ya da kameraların yarısını kapsamaz. Kamera yerleri, hangi kameranın ses aldığı ve kimin izleme ekranına erişebildiği hiçbir envanterde yazmaz; kişisel veri envanteri çıkarılırken kamera sistemi çoğu zaman unutulur.
Sorun genellikle bir çalışan şikâyetinde ya da bir iş kazası sonrası kayıt istendiğinde ortaya çıkar. O an üç soru sorulur: Bu kamera neden burada, kişiler bundan haberdar mıydı ve bu kaydı kim, ne zaman izledi? Cevaplar yazılı değilse işveren hem hukuken hem de çalışanlar gözünde zayıf konumdadır. Çalışan ya da ziyaretçi kendi görüntüsünü talep ettiğinde başvurunun nasıl karşılanacağını ilgili kişi başvurusu yanıtlama yazımızda anlattık.
Kamera kaydında KVKK neyi şart koşuyor?
Kişisel Verileri Koruma Kurumu, 8 Haziran 2026'da işyerlerinde güvenlik kamerası kullanımına dair ayrı bir kamuoyu duyurusu yayımladı (KVKK, İş Yerlerinde Güvenlik Kamerası Sistemi Kullanımında Dikkat Edilecek Hususlara Dair Kamuoyu Duyurusu). Duyurunun özü beş başlıkta toplanabilir:
- Amaç net olmalı. İşyeri güvenliği, suçların önlenmesi ve tespiti ya da iş sağlığı ve güvenliği gibi amaçlar belirlenmeli; kameralar devam durumu veya performans takibi gibi başka amaçlarla kullanılmamalıdır.
- Soyut denetim meşru amaç değildir. Çalışanların verimli çalışıp çalışmadığını görmek, disiplini artırmak ya da genel kontrol sağlamak meşru amaç sayılmıyor.
- Ses kaydı ayrıca gerekçelendirilmelidir. Ses kaydı özellikli kameralar ölçülülük ilkesiyle değerlendirilmeli, hukuka uygun gerekçesi açıkça ortaya konmadan kullanılmamalıdır.
- Saklama süresi en kısa tutulmalı. Kayıtlar amaca yetecek en kısa süre saklanmalı ve sistemde otomatik imha mekanizması bulunmalıdır.
- Erişim sınırlı olmalı, kişiler aydınlatılmalı. Kayıtlara yalnızca yetkili kişiler erişebilmeli; Kanun'un 10. maddesi uyarınca ortamın kayıt altına alındığı konusunda aydınlatma yapılmalıdır.
Bu ilkeler yeni değil ve kâğıt üzerinde de kalmıyor. Kişisel Verileri Koruma Kurulu, duyurudan önce verdiği 2023/2007 sayılı kararında işyerindeki güvenlik kamerasıyla ses kaydı alınmasında işverenin meşru menfaati bulunmadığına, güvenlik amacı için görüntü kaydının yeterli olduğuna hükmetti. İşverene idari para cezası verildi ve ses kayıtlarının imhası istendi.
Görüntüye yüz tanıma eklendiğinde durum daha da ağırlaşır. Yüz tanıma şablonu biyometrik veridir ve özel nitelikli kişisel veri olarak çok daha sıkı şartlara tabidir. Aynı mantığın parmak izli personel takibindeki karşılığını biyometrik PDKS ve KVKK yazımızda ayrıntılı anlattık.
Uyumsuz kamera sisteminin maliyeti
Kamera kaydı, çalışanların doğrudan gördüğü bir veri işleme faaliyetidir; bu yüzden şikâyete konu olmaya yatkındır. Şikâyet yolu da giderek daha çok kullanılıyor (2024'te 9.059 olan başvuru sayısı bir yılda belirgin biçimde arttı): KVKK 2025 Yılı Faaliyet Raporu verisine göre Kurum'a 2025'te 12.512 ihbar ve şikâyet başvurusu yapıldı; Kurul aynı yıl 42 toplantıda 2.528 karar aldı. Aynı raporda 2025'te 328 veri ihlali bildirimi yapıldığı görülüyor.
Tesis güvenliği, işletmelerin bağlantılı cihazları en sık kullandığı alandır ve bu alanın merkezinde kamera vardır. Avrupa verisi bunu açıkça gösteriyor:
Eurostat'a göre 2021'de AB'de 10 ve üzeri çalışanı olan işletmelerin %29'u nesnelerin interneti cihaz ya da sistemleri kullandı; bu işletmelerin %72'si bu cihazları kamera ve benzeri araçlarla tesis güvenliği için kullandı. (Eurostat, Use of Internet of Things in enterprises)
Maliyet yalnızca idari para cezası değildir. Hukuka aykırı alınmış bir ses kaydının imhası, kameraların yeniden konumlandırılması, aydınlatma metinlerinin baştan yazılması ve çalışanlarla bozulan güven ilişkisi de hesaba girer. Üstelik şifresi değişmemiş, internete açık bir kayıt cihazı, kayıtların yetkisiz kişilerce izlenmesine yol açarsa konu bir veri ihlali bildirimi ve 72 saatlik müdahale meselesine dönüşür.
Kamera kaydı KVKK uyumu için 8 adımlık çerçeve
Aşağıdaki adımlar, sıfırdan kurulan bir sistemde de yıllardır çalışan bir sistemde de aynı sırayla uygulanabilir:
- Kamera envanteri çıkarın. Her kamerayı konumu, gördüğü alan, ses alıp almadığı, bağlı olduğu kayıt cihazı ve kayıt süresiyle listeleyin. Bu liste, kişisel veri envanterinizin bir parçası olmalı; VERBİS kaydı varsa oradaki beyanla tutarlı olmalıdır.
- Her kamera için amacı yazın. "Nizamiye: giriş-çıkış güvenliği", "Forklift koridoru: iş güvenliği olay incelemesi" gibi somut amaçlar belirleyin. Amacı yazılamayan kamera, kaldırılması ya da yeniden yönlendirilmesi gereken kameradır.
- Mahremiyet alanlarını dışarıda bırakın. Tuvalet, soyunma odası, duş ve ibadet alanları gibi mahremiyet beklentisi yüksek yerler kamera görüş alanına girmemelidir; dinlenme alanlarında da kameranın gerçekten gerekli olup olmadığını sorgulayın. Açı sorunu olan kameralarda maskeleme (görüntünün bir bölümünü karartma) kullanın.
- Ses kaydını varsayılan olarak kapatın. Ses alan kameraları tespit edip bu özelliği kapatın. Ses gerçekten gerekiyorsa gerekçesini ölçülülük değerlendirmesiyle yazılı hâle getirin.
- Katmanlı aydınlatma yapın. Kamera alanına girmeden görülen bir levha (kim, hangi amaçla kaydediyor, ayrıntı nerede) ve bağlantısı levhada yer alan tam aydınlatma metni hazırlayın. Çalışanlar için bu bilgiyi işe girişte ayrıca verin. Güvenlik kamerasında yükümlülük genellikle açık rıza değil aydınlatmadır; iki kavramın farkını açık rıza ile aydınlatma metni farkı, personel tarafının bütününü çalışan kişisel verileri ve KVKK yazımızda ele aldık.
- Saklama süresini belirleyip otomatiğe bağlayın. Süreyi amaç belirler; Kanun belirli bir gün sayısı yazmaz. Seçtiğiniz süreyi gerekçesiyle saklama ve imha politikasına işleyin ve kayıt cihazında üzerine yazma döngüsüyle otomatik uygulayın.
- Erişimi rolle sınırlayın ve kayıt altına alın. Canlı izleme, kayıt izleme ve kayıt dışa aktarma yetkilerini ayrı kişilere tanımlayın. Kimin hangi kaydı ne zaman izlediğini ya da dışarı aldığını erişim kaydı (log) olarak tutun; bir olay için kayıt dışarı alındıysa bu işlemi tutanakla belgeleyin.
- Teknik açıkları kapatın. Varsayılan şifreleri değiştirin, kamera ağını ofis ağından ayırın, kayıt cihazını doğrudan internete açmayın ve yazılım güncellemelerini takip edin. Uzaktan izleme gerekiyorsa şifreli bağlantı ve iki adımlı doğrulama kullanın; diğer temel önlemler için KOBİ siber güvenlik kontrol listesine bakın.
Aşağıdaki tablo, sık gördüğümüz kullanım amaçlarının genel değerlendirmesini özetler. Kesin karar her zaman sizin somut durumunuza göre verilmelidir.
| Kullanım amacı | Genel değerlendirme | Dikkat edilecek nokta |
|---|---|---|
| Bina ve tesis güvenliği, hırsızlık önleme | Meşru amaç olarak kabul edilebilir | Amaç yazılı, aydınlatma yapılmış olmalı |
| İş kazası ve iş güvenliği olay incelemesi | Meşru amaç olarak kabul edilebilir | Kayıt yalnızca olay incelemesinde açılmalı |
| Çalışan verimliliği ve disiplin takibi | KVKK duyurusuna göre meşru amaç değil | Bu amaçla kamera kullanılmamalı |
| Devam ve mesai takibi | Kamera için uygun amaç değil | Bunun için kartlı PDKS gibi ayrı bir sistem kullanılmalı |
| Ses kaydı | Gerekçesi açıkça ortaya konmadan kullanılmamalı | Kurul 2023/2007 kararında ses kaydını hukuka aykırı buldu |
| Yüz tanıma | Biyometrik, özel nitelikli veri | Çok sıkı şartlar; çoğu işletmede gereksiz |
Kamerayı başka işlerin aracı yapmayın
Kameraların en sık amaç dışına çıktığı yer, personel devam takibidir. "Kim kaçta geldi" sorusunun cevabı kameradan aranıyorsa hem KVKK duyurusuna aykırı bir kullanım oluşur hem de ölçülemeyen bir süreç doğar. Devam ve mesai için doğru araç, kartlı ya da QR tabanlı bir PDKS sistemidir; kamera güvenlik amacında kalır.
Aynı ayrım araç girişlerinde de geçerlidir. Plakayı okuyup bariyeri açan bir sistem ile genel alan kamerası farklı amaçlara hizmet eder; ikisini ayrı tanımlamak aydınlatmayı ve saklama süresini netleştirir. Plaka verisinin nasıl ele alınacağını plaka tanıma sistemi rehberimizde anlattık.
Görüntü analitiği ise dikkatli tasarlanırsa amaçla uyumlu olabilir. Örneğin iş güvenliği için baret ve yelek kontrolü yapan bir sistem, kişiyi tanımlamadan yalnızca kuralı ihlal eden durumu işaretleyecek şekilde kurulabilir. Bu yaklaşımın sahadaki karşılığını yapay zeka ile KKD tespiti yazımızda bulabilirsiniz.
Digital Bridge'de kamera kaydı KVKK uyumunu nasıl kuruyoruz?
Kamera projelerinde teknik kurulumu ve KVKK tarafını aynı ekip olarak ele alıyoruz. Süreç genellikle şu adımlarla ilerler:
- Keşif ve ihtiyaç analizi. Sahayı gezip mevcut kameraları, kayıt cihazlarını, ağ yapısını ve ses alan cihazları tespit ediyoruz. Her kamera için amacı sizinle birlikte yazıyor, amacı olmayan kameraları raporluyoruz.
- KVKK dokümantasyonu. KVKK uyum danışmanlığı kapsamında kamera envanterini, katmanlı aydınlatma metnini, saklama süresi gerekçesini ve erişim yetki matrisini hazırlıyor; kayıtlara erişimin kayıt altına alınmasını ve süresi dolan görüntülerin otomatik silinmesini sisteme işletiyoruz.
- Pilot bölge. Önce tek bir alanda (örneğin nizamiye ve depo) maskeleme, ses kapatma, saklama döngüsü ve rol bazlı erişimi uyguluyor, çalışanlardan ve güvenlik ekibinden geri bildirim alıyoruz.
- Merkezi yönetim ve entegrasyon. Farklı marka kameraları ONVIF üzerinden tek merkezde topluyor, IP kamera izleme altyapısını her kullanıcının yalnızca yetkili olduğu kamera ve lokasyonları göreceği şekilde, rol bazlı erişimle kuruyoruz. Dağınık sistemlerin toparlanmasını ONVIF ile merkezi IP kamera yönetimi yazımızda anlattık.
- Güvenlik sıkılaştırması. Siber güvenlik tarafında kamera ağını ayırıyor, uzaktan erişimi şifreli ve kimlik doğrulamalı hâle getiriyor, varsayılan şifreleri kaldırıyoruz.
Görüntü analitiği gereken projelerde, görüntü işleme modellerini kişiyi tanımlamayan ve yalnızca amaca hizmet eden olayları işaretleyen şekilde tasarlıyoruz. Devam takibi için kameraya yüklenen yükü de kaldırıyoruz: kendi ürünümüz SmartPass, kart okumada kapıyı açıp devam kaydını oluşturur; kart numarasını düz metin saklamaz ve saklama süresi dolan kayıtları anonimleştirir.
Kamerayı güvenlik dışında bir amaçla, örneğin ziyaretçi yoğunluğunu ölçmek için kullanacaksanız, görüntüyü saklamadan yalnızca sayıyı üreten tasarımı mağaza ziyaretçi sayma sistemi yazımızda anlattık.
Sonraki adım
Başlamak için tek bir liste yeterli: tesisinizdeki her kamerayı konumu, amacı, ses özelliği ve kayıt süresiyle yazın. Amacını bir cümleyle yazamadığınız kamera, ilk ele alınması gereken kameradır. Bu listeyle iletişim sayfamızdan bize ulaşın; keşif ziyaretinde envanteri birlikte tamamlayalım ve eksikleri önceliklendirelim. KVKK ve güvenlik üzerine diğer rehberler için Siber Güvenlik ve KVKK sayfamıza göz atabilirsiniz.