6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 4. maddesinde belirtilen kişisel verilerin işlenmesine yönelik genel ilkeler, veri koruma pratiğinde temel bir rol oynamaktadır. Bu ilkeler arasında hukuka ve dürüstlük kurallarına uygunluk, verilerin doğruluğu ve güncelliği, belirli, açık ve meşru amaçlar doğrultusunda işlenme, amaçla bağlantılı, sınırlı ve ölçülü olma ve muhafaza süresi gibi unsurlar yer almaktadır. Her bir ilke, kişisel verilerin korunması açısından kritik öneme sahiptir ve veri işleme süreçlerinin şeffaf, adil ve etkili bir şekilde yürütülmesini sağlamayı amaçlar. Verilerin hukuka uygun olarak işlenmesi, dürüstlük kurallarına uyulması ve gereksiz veri işleme işlemlerinden kaçınılması, veri sahiplerinin haklarının korunması ve veri güvenliğinin sağlanması açısından zorunludur. Bu ilkelerin bir bütün olarak uygulanması, kişisel verilerin güvenliğini artırırken, aynı zamanda veri işleme faaliyetlerinin yasal ve etik standartlara uygunluğunu temin eder. İşbu bilgi notu kapsamında Kişisel Verileri Koruma Kurulu (“Kurul”) tarafından bir eğitim kurumu tarafından kamera vasıtasıyla görüntü ve ses kaydı alınması hakkında verilen 24/08/2023 Tarihli ve 2023/1461 Sayılı Karar (“Karar”) değerlendirilecektir.
Karar’a konu olan olaya ilişkin şikâyet dilekçelerinde özetle aşağıda belirtilen hususlara değinilmiştir:
• Veri sorumlusu ile ilgili kişiler arasında kira uyuşmazlığı sebebiyle bir görüşme gerçekleştirilmiştir. Akabinde, veri sorumlusu bir ihtarname göndermek suretiyle ilgili kişilere ait görüntü ve ses kayıtlarının alındığını beyan etmiştir. Veri sorumlusu ilgili kişilerin görüntü ve ses kaydının ilgili kişilerin açık rızası ve muvafakati olmadığı halde alınmasının kendisine tanınmış yasal bir hak olduğunu belirtmiştir.
• İlgili kişiler veri sorumlusuna cevaben ilettikleri ihtarnamede kendilerinin açık rızası dışında görüntü ve ses kaydının alınmasının Türk Ceza Kanunu’nun (“TCK”) 133 vd. maddeleri gereğince suç teşkil ettiği belirtilmiştir.
Bu kapsamda Kurul, belirli hususlar bakımından 6698 sayılı Kişisel Verileri Koruma Kanunu’na (“Kanun”) aykırılık olmadığına kanaat getirirken; belirli hususlar dolayısıyla inceleme başlatılmasına kanaat getirmiştir. Aşağıda Kanun’a aykırı sayılmayan hususa ve Kurul’un inceleme başlatmasına dayanak olan hususlara yer verilmiştir.
Kanun Kapsamında Olan Husus:
• Veri sorumlusunun bir iş yeri olması sebebiyle iş sağlığı ve güvenliği çerçevesinde kamera vasıtasıyla kişisel veri işlenmesi; Kanun’un 5. maddesinin 2. fıkrasının ç bendinde yer alan veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için veri işlemenin zorunlu olması ile f bendinde yer alan veri sorumlusunun meşru menfaatleri için ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri işlemesinin zorunlu olması hususları kapsamındadır. Dolayısıyla belirtilen husus inceleme kapsamına alınmamıştır.
Kurul’un İnceleme Başlatmasına Dayanak Olan Hususlar:
• Veri sorumlusunun aydınlatma yükümlülüğünü yerine getirmemesi
• Kamera kaydının hem görüntü hem ses kaydı içermesi ve ses kaydı yapılmasının “işlendikleri amaçla bağlantılı, sınırlı ve ölçülü” ilkesi çerçevesinde değerlendirilmesi.
Veri Sorumlusunun Savunması:
Veri sorumlusundan alınan savunmaya göre; okul öncesi, ilkokul ve ortaokul seviyesindeki eğitim kurumlarında güvenlik amacıyla kurulan kamera sistemleri hem görüntü hem de ses kaydı yapmaktadır. Bu sistemler, okulun genel alanlarında, özellikle bahçe giriş ve bina kapıları önlerinde yer almakta olup, kurucu odasında da bir kamera bulunmaktadır.
Okul olarak kullanılan gayrimenkul ilgili kişilerden kiralanmıştır. Bu sebeple ilgili kişiler ve veri sorumlusu arasında kiracılık ilişkisi bulunmaktadır. Kira ilişkisi çerçevesinde, kira ödemeleri sırasında okulda ses ve görüntü kaydı alınmış ve kiraya veren kişinin ödeme belgeleri istemediği belirtilmiştir. Ancak, kiraya veren kişi ek ödeme talep etmiş ve bu durum üzerine, kayıtların izinsiz olmadığı ve TCK’nın 133. maddesine aykırı bir durum oluşturmadığı ifade edilmiştir. Bu madde, suçun oluşması için kişisel konuşmaların aleni olmamasına ve konuşmaya taraf olmayan kişiler tarafından
kaydedilmesine ilişkindir. Dolaysıyla, somut olayda böyle bir durum söz konusu olmadığı belirtilmiştir. Ayrıca, veri sorumlusunun 50’den az çalışanı olduğu ve bu nedenle VERBİS kaydı oluşturma zorunluluğu bulunmadığı, alınan kayıtların ise sadece delil amaçlı olduğu ve bu yüzden kiraya veren kişiye verilemeyeceği belirtilmiştir. Diğer ilgili kişi ile ilgili hukuki bir ilişki olmadığı ve kişisel verilerin işlenmediği de ifade edilmiştir. Sonuç olarak, kayıtların yasal çerçevede yapıldığı ve delil niteliğinde olduğu vurgulanmıştır.
Kurul’un 24/08/2023 tarihli ve 2023/1461 sayılı Kararı:
Veri sorumlusunun savunmasında, okulda güvenlik amacıyla ses ve görüntü kaydı yapıldığı belirtilmiş, ancak ilgili mevzuat incelendiğinde sadece görüntü kaydının yapılabileceği yerlerin belirlendiği ve bazı yerlerde kamera kullanımının yasak olduğu anlaşılmıştır. İlaveten, ses kaydının meşru hale gelmesini sağlayan özel bir düzenleme bulunmamaktadır. Kameralarla alınan görüntü kaydı her zaman meşru bir gereklilik teşkil etmez. Kişisel verilerin Kanun’a uygun şekilde işlenebilmesi için, görüntü kaydının gerektirdiği amaca başka makul yöntemlerle ulaşmanın mümkün olmaması gerekir. Ayrıca, bu kayıtların alınması kişilerin temel hak ve özgürlükleriyle çatışıyorsa, kaydın yapılmasını gerektiren sebepler üstün bir menfaat taşımalıdır. Eğitim kurumlarının güvenlik ve iş sağlığı ile ilgili gereksinimleri göz önüne alındığında, sadece görüntü kaydı almanın yeterli olduğu ve ses kaydının eklenmesinin kişisel veri koruma açısından sakıncalı olduğu vurgulanmıştır. Kurul’un kararlarına göre, kişisel verilerin işlenmesi için sadece görüntü kaydının yeterli olduğu ve ses kaydının gerekli bir meşru menfaat sağlamadığı belirtilmiştir. Ses kaydının, kişisel verilerin korunması haklarına ağır bir müdahale teşkil edeceği ve görüntü kaydına ek olarak ses kaydı alınmasının gerekliliği olmadığı ifade edilmiştir. Sonuç olarak, veri sorumlusunun Ses kaydı alma uygulamasının Kanun’a aykırı olduğu, ancak görüntü kaydının Kanun’a uygun olduğu, bu nedenle aydınlatma yükümlülüğünün yerine getirilip getirilmediği konusunda ayrıca inceleme yapılması gerektiği sonucuna varılmıştır. Aydınlatma yükümlülüğünün, veri sorumlusunun ispat yükümlülüğünde olduğu ve bu yükümlülüğün yerine getirilip getirilmediği konusuna ise veri sorumlusu tarafından herhangi bir ispat yapılamadığı belirtilmiştir.
Konuya İlişkin Benzer Karar
Kurul’un 12/03/2020 tarihli ve 2020/212 sayılı Karar’ı bir kamu kurumu olan veri sorumlusu tarafından ses kayıt özelliği bulunan güvenlik kamerası kullanmasına ilişkindir. İlgili kararda kişisel verilerin korunması hakkının temel bir hak olup, ancak kanunda belirtilen durumlarda veya kişinin açık rızasıyla işlenebileceği ifade edilmiştir. Sınırlamalar, Anayasa’nın 13. maddesine uygun olarak, hakkın özüne dokunmadan ve demokratik toplum düzenine uygun şekilde yapılmalıdır. Sesli kamera kayıtları, görüntü kayıtlarıyla elde edilebilecek bilgileri ses kaydıyla da toplamayı amaçladığında, kişisel verilerin korunması hakkını ihlal edebileceği ve dolayısıyla ölçülülük ilkesine aykırı olabileceği vurgulanmıştır.
SONUÇ
Kurul, 24/08/2023 tarihli ve 2023/1461 sayılı Kararı ile veri sorumlusunun ses kaydı alma uygulamasının Kanun’a aykırı olduğuna hükmetmiştir. Ses kayıtlarının kişisel verilerin korunması hakkını ihlal ettiği ve ölçülülük ilkesine aykırı olduğu belirlenmiştir. Ses kaydı, görüntü kaydından elde edilebilecek bilgileri artıran gereksiz bir müdahale olarak değerlendirilmiş ve bu nedenle 200.000 TL idari para cezası uygulanmıştır. Görüntü kayıtları ise belirli şartlar altında meşru kabul edilmiştir, ancak veri sorumlusunun aydınlatma yükümlülüğünü yerine getirmediği tespit edilmiştir ve bu yüzden 30.000 TL ceza verilmiştir. Toplamda 230.000 TL ceza uygulanmış ve veri sorumlusuna hukuka aykırı ses verilerinin imhası talimatı verilmiştir. Bu karar, kişisel verilerin işlenmesinde ölçülülük ilkesine uyulmasının ve veri işleme faaliyetlerinin yasal çerçevede gerçekleştirilmesinin önemini vurgulamaktadır.
Kurul’un bu konudaki yaklaşımının artık oldukça netleştiği göz önüne alındığında veri sorumlularının Kanun kapsamına giren iş ve işlemlerinde ölçülülük ilkesini daha dikkatli yorumlamaları gerektiği kanaatindeyiz. Zira işyerlerinde son zamanlarda kullanımı artış gösteren yüz tanıma ve parmak izi sistemleri gibi nitelikli kişisel veri içeren uygulamaların da bu yaklaşımla ölçülülük ilkesi göz önüne alınarak kurulup kurulmayacağına karar verilmesi, kurulması halinde de aydınlatma ve açık rıza yükümlülüklerinin yerine getirilmesine ayrıca dikkat edilmesi gerekmektedir.
