1. Giriş

Kişisel Verileri Koruma Kurumu (“Kurum”) tarafından iş yerlerinde ve apartmanlarda güvenlik kamerası sistemlerinin kullanımına ilişkin 08.06.2026 tarihinde yayımlanan kamuoyu duyuruları, kamera sistemleriyle gerçekleştirilen kişisel veri işleme faaliyetlerinin hukuki sınırlarını ortaya koymaktadır. İlgili duyurular ile ilgili yazdığımız detaylı değerlendirmeye buradan ulaşabilirsiniz.

Söz konusu duyurulara göre Kurum’un yaklaşımının, kamera yoluyla kişisel veri işlenmesinin ancak belirli, açık ve meşru amaçlara dayanması; işleme faaliyetinin amaçla bağlantılı, sınırlı ve ölçülü olması; ilgili kişilerin aydınlatılması, kayıtların güvenliğinin sağlanması ve gerekli süreyle sınırlı olarak muhafaza edilmesi gerektiği yönünde olduğu görülmektedir.

Bu çerçevede farklı sektörlerde ve farklı amaçlarla kullanım alanı son dönemde oldukça genişleyen kamera tabanlı yapay zeka sistemlerinin de ayrıca değerlendirilmesi gerekmektedir. Yapay zeka destekli görüntü analitiği sistemlerinin hukuka uygunluğu; sistemin hangi amaçla kullanıldığına, hangi alanları kapsadığına, hangi verileri işlediğine, kişileri kimliklendirme veya profilleme kapasitesine, kayıtların saklama süresine, erişim yetkilerine ve ilgili kişilere sağlanan şeffaflık düzeyi gibi kriterlere göre belirlenir.

Dolayısıyla kamera tabanlı yapay zeka sistemleri bakımından belirleyici olan, teknolojinin kullanılıp kullanılmaması değil; bu teknolojinin özel hayatın gizliliği ve kişisel verilerin korunması ilkelerine uygun şekilde tasarlanması, kurulması ve yönetilmesidir.

2. Kamera Tabanlı Yapay Zeka Sistemlerinde Temel Hukuki Risk

Klasik kamera sistemleri çoğu zaman görüntünün kaydedilmesi ve gerektiğinde izlenmesi üzerine kuruludur. Kamera tabanlı yapay zeka sistemlerinin ise çoğu modelde görüntüyü yalnızca kaydetmekle kalmadığı bunun yanında görüntü içerisindeki olayları, hareketleri, yoğunluğu, alan ihlallerini, riskli davranışları veya belirli nesneleri otomatik olarak analiz edebildiği görülmektedir.

Bu nedenle bu sistemlerde temel hukuki riskin, sistemin güvenlik veya iş sağlığı amacıyla sınırlı kalmayarak sürekli ve kapsamlı bir gözetim aracına dönüşmesi olduğu değerlendirilmektedir.

Örneğin;

• Çalışanların bireysel verimliliklerinin sürekli ölçülmesi,
• Kişilerin davranış profillerinin çıkarılması,
• Yüz tanıma veya biyometrik kimliklendirme yapılması,
• Ses kaydı alınması,
• Duygu, dikkat veya yorgunluk analizi gibi müdahaleci çıkarımlar yapılması,
• Kişilerin mahremiyet beklentisinin yüksek olduğu alanların izlenmesi,

kamera tabanlı yapay zeka çözümlerini hukuken ciddi şekilde riskli hale getirebilir.

Buna karşılık, sistemin yalnızca belirli riskleri tespit etmek üzere yapılandırılması; örneğin tehlikeli alana giriş, kişisel koruyucu donanım eksikliği, düşme riski, yetkisiz alan ihlali, yoğunluk aşımı, yangın/duman benzeri güvenlik anomalileri veya ortak alan güvenliğine ilişkin sınırlı olayların tespiti amacıyla kullanılması daha savunulabilir bir hukuki zemin yaratacağı değerlendirilmektedir.

3. “Yasaklı Gözetim” ile “Video Analitiği” Arasındaki Ayrım

Kamera tabanlı yapay zeka teknolojileri bakımından, sistemin “insanları sürekli izleyen” bir gözetim mekanizması mı, yoksa “belirli riskleri olay bazlı tespit eden” bir güvenlik/operasyon analitiği aracı mı olduğu yönündeki ayrımın sistemin hukuka uygun kullanımı bakımından oldukça önemli olduğu değerlendirilmektedir.

Hukuka uygun kullanım bakımından sistemin aşağıdaki yaklaşımla tasarlanması ayrıca önemlidir:

• Sistem, mümkün olduğunca kişiyi değil olayı merkeze almalıdır. Amaç, belirli bir kişinin davranışlarını sürekli takip etmek değil; önceden tanımlanmış güvenlik risklerini, iş sağlığı ve güvenliği ihlallerini veya ortak alan güvenliğine ilişkin olayları tespit etmek yönünde olmalıdır.

• Sistem, mümkün olduğunca sürekli insan izleme değil, olay bazlı uyarı üretmelidir. Örneğin, kamera görüntülerinin sürekli insan gözüyle izlenmesi yerine, yalnızca belirli bir risk veya ihlal oluştuğunda yetkili kişiye uyarı gönderilmesi veri minimizasyonu bakımından daha uygun bir model olarak değerlendirilmektedir.

• Sistem, mümkün olduğunca kimliklendirme yapmadan sonuç üretmelidir. Yüz tanıma, biyometrik doğrulama veya kişilerin kimliğinin otomatik olarak belirlenmesi gibi fonksiyonlar, özel nitelikli kişisel veri işleme riski doğurabileceğinden, kural olarak varsayılan özellik olmamalıdır.

• Sistem, mümkün olduğunca görüntünün tamamını değil, gerekli alanı analiz etmelidir. Bu amaçla kamera görüş açılarının dar tutulması, gereksiz alanların maskelenmesi, bölge bazlı analiz yapılması ve görüntülerin mümkün olduğunca kısa süreyle saklanması önemlidir.

4. Hukuki Dayanak: Açık Rıza Her Zaman En Güvenli Yol Değildir

Kamera sistemleri bakımından uygulamada sık yapılan hatalardan birinin, işleme faaliyetleri için ilgili kişilerden açık rıza alınmasının yeterli olacağının düşünülmesi olduğu değerlendirilmektedir.

Oysa 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) sistematiğinde açık rıza tek hukuki dayanak değildir. Somut olayın niteliğine göre, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi, bir hakkın tesisi, kullanılması veya korunması, ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati gibi hukuki sebepler gündeme gelebilir.

Özellikle iş ilişkilerinde açık rızanın özgür iradeye dayanıp dayanmadığı ayrıca tartışmalı olabileceğinden, kamera tabanlı yapay zeka sistemleri bakımından yalnızca açık rızaya dayalı bir model kurulmasının her zaman sağlıklı olmayacağı değerlendirilmektedir. Bunun yerine, her kullanım senaryosu için ayrı ayrı amaç, hukuki sebep, gereklilik ve ölçülülük değerlendirmesi yapılmalıdır.

Bununla birlikte sistemin yüz tanıma, biyometrik kimliklendirme veya özel nitelikli kişisel veri işlenmesine yol açabilecek fonksiyonlar içermesi halinde, hukuki değerlendirme çok daha hassas hale gelecektir. Bu tür fonksiyonlar, olağan güvenlik kamerası kullanımından farklı ve daha ağır müdahaleci nitelikte olduğundan, açık ve güçlü bir hukuki dayanak bulunmadan kullanılmamalıdır.

5. Teknik Tasarımda Mahremiyet Odaklı Yaklaşım

Kamera tabanlı yapay zeka sistemlerinde uyum yalnızca hukuki metinlerle sağlanamayacağı değerlendirildiğinden sistemin teknik mimarisinin de veri koruma ilkelerine uygun şekilde tasarlanması gerekmektedir.

Bu kapsamda aşağıdaki teknik yaklaşımlar önem taşımaktadır:

• Veri minimizasyonu sistemin temel ilkesi olmalıdır. Sistem, amacına ulaşmak için gerekli olmayan görüntüleri işlememeli, saklamamalı ve üçüncü kişilere aktarmamalıdır.

• Görüntü işleme mümkün olduğunca yerel cihazda veya kapalı devre müşteri ortamında yapılmalıdır. Görüntülerin gereksiz şekilde buluta aktarılması, yurt dışına aktarım ve üçüncü kişi erişimi risklerini artırabilir.

• Kişileri doğrudan tanımlamayan analitik çıktılar tercih edilmelidir. Örneğin “tehlikeli alana giriş tespit edildi” şeklindeki olay çıktısı, belirli kişinin kimlik bilgisiyle zenginleştirilmiş sürekli davranış kaydına kıyasla daha ölçülü bir veri işleme modeli olduğu değerlendirilmektedir.

• Sistemde maskeleme, bulanıklaştırma, alan sınırlama, hareket bölgeleri belirleme, kayıt dışı bırakılacak alanları teknik olarak kapatma ve otomatik imha gibi özellikler varsayılan olarak sunulmalıdır.

• Sistemin hangi veriyi ürettiği, hangi veriyi sakladığı ve hangi veriyi aktardığı teknik olarak denetlenebilir olmalıdır. Kara kutu niteliğinde, işleyişi açıklanamayan ve kontrol edilemeyen sistemlerin, veri sorumluları açısından ciddi anlamda uyum riski yaratabileceği değerlendirilmektedir.

6. Veri Sorumlusu ve Veri İşleyen Rollerinin Belirlenmesi

Kamera tabanlı yapay zeka sistemlerinde hizmet çoğu zaman bir teknoloji sağlayıcısı tarafından sunulmakta; sistemi ise işverenler, apartman/site yönetimleri, fabrikalar, lojistik merkezleri, perakende işletmeleri veya tesis yöneticileri kullanmaktadır.

Bu noktada tarafların KVKK kapsamındaki rollerinin doğru belirlenmesinin kritik önemde olduğu değerlendirilmektedir.

Kamera sisteminin kurulmasına, hangi amaçla kullanılacağına, hangi alanların izleneceğine, verilerin ne kadar süreyle saklanacağına ve kimlerin erişeceğine karar veren taraf çoğu durumda veri sorumlusu olacaktır. Sistemin sağlayıcısı ise yalnızca müşterinin talimatları doğrultusunda sistemi işletiyor, verileri kendi bağımsız amaçları için kullanmıyor ve işleme amaçlarını kendisi belirlemiyorsa veri işleyen sıfatına sahip olacağı değerlendirilmektedir.

Bu durumda, özellikle model eğitimi amacıyla veri kullanımı konusu ayrıca ve bağımsız olarak değerlendirilmelidir. Müşteri ortamından elde edilen kamera görüntülerinin yalnızca hizmetin sunulması, güvenlik analizlerinin yapılması veya sistemin operasyonel olarak çalıştırılması amacıyla işlenmesi ile bu görüntülerin teknoloji sağlayıcısının kendi yapay zeka modelini geliştirmek, iyileştirmek, yeniden eğitmek veya genel ürün performansını artırmak amacıyla kullanılması arasında KVKK bakımından önemli bir ayrım bulunmaktadır.

Nitekim kamera görüntülerinin teknoloji sağlayıcısının kendi model geliştirme faaliyetlerinde kullanılması, hizmetin müşteri adına ve müşterinin talimatları doğrultusunda yürütülmesinin ötesine geçebilecek niteliktedir. Bu kullanımın varsayılan, otomatik veya sözleşmesel olarak önceden kabul edilmiş bir uygulama şeklinde kurgulanması halinde, teknoloji sağlayıcısının yalnızca “veri işleyen” sıfatıyla hareket edip etmediği ayrıca tartışmalı hale gelebilir. Bu nedenle, kamera görüntülerinin model eğitimi amacıyla kullanılıp kullanılmadığı, kullanılıyorsa bunun hangi hukuki sebebe dayandığı, ilgili kişilere yapılan aydınlatmanın bu faaliyeti açık ve anlaşılır biçimde kapsayıp kapsamadığı, verilerin anonimleştirilip anonimleştirilmediği, anonimleştirme işleminin geri döndürülemez nitelikte olup olmadığı ve müşterinin bu kullanım üzerinde fiili ve hukuki kontrolünün bulunup bulunmadığının ayrıca incelenmesi gerektiği değerlendirilmektedir.

7. Sonuç

Kurum’un kamera duyuruları, yasaklamanın tersine kamera sistemlerinin hangi şartlarda hukuka uygun kullanılabileceğini gösteren önemli bir uyum çerçevesi sunmaktadır.

Kamera tabanlı yapay zeka sistemleri; belirli, açık ve meşru amaçlarla kullanıldığında, mahremiyet beklentisini gözettiğinde, ölçülü şekilde tasarlandığında, gereksiz veri işlemediğinde, yüz tanıma ve ses kaydı gibi ağır müdahaleci fonksiyonlardan kaçındığında, kayıtları kısa süreyle sakladığında, erişimleri sınırlandırdığında ve ilgili kişileri şeffaf şekilde bilgilendirdiğinde KVKK ile uyumlu biçimde kullanılabileceği değerlendirilmektedir.