KVKK ve Görüntü İşleme: Uyumlu Video Analitiği Nasıl Kurulur?

KVKK uyumlu video analitiği: tesis içi işleme, anonim olay kaydı, saklama süresi, aydınlatma ve Kurum'un 2026 kamera duyurusuna göre meşru amaç sınırları.

Yazar: CX Teknoloji Uzman Ekibi

KVKK'ya uygun video analitiği; görüntünün varsayılan olarak tesis içindeki edge sunucuda işlenmesi, sistemin kişiyi değil olayı kaydetmesi, yüz tanıma kullanılmaması, olay kliplerinin tanımlı süre sonunda otomatik silinmesi ve aydınlatma metni, VERBİS kaydı ile erişim yetkilerinin yeni amaca göre güncellenmesiyle kurulur. Kameralar çalışan performansını izlemek için kullanılamaz; bu amaç meşru sayılmaz.

Görüntü işleme projelerinde en sık sorulan soru tekniğe değil hukuka dairdir. Aşağıdaki notlar sahada uyguladığımız teknik ve idari adımları, Kişisel Verileri Koruma Kurumu'nun 8 Haziran 2026 tarihli duyurusuyla birlikte anlatır; genel bilgi niteliğindedir, hukuki danışmanlık yerine geçmez. Kamera kaydının kendisine dair hukuki çerçeveyi (dayanak, yasak alanlar, saklama, aydınlatma metni iskeleti) işyerinde kamera kaydı ve KVKK yazısında ayrıntılı topladık.

Kamera görüntüsü KVKK kapsamında kişisel veri midir?

Evet. Kişiyi doğrudan ya da dolaylı olarak belirlenebilir kılan görüntü, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında kişisel veridir; Kurum'un 2026 duyurusu da iş yerinde güvenlik kamerasıyla görüntü alınmasını açıkça bir kişisel veri işleme faaliyeti olarak niteler. Tesisteki CCTV bu veriyi zaten işliyor; video analitiği aynı görüntüye yeni bir işleme amacı ekler. Bu yüzden asıl soru "analitik kurabilir miyiz" değil, "yeni amaç mevcut dayanak ve aydınlatma metniyle örtüşüyor mu" sorusudur.

İkinci ayrım verinin türüdür. Yüz tanıma gibi kişiyi fiziksel özelliklerinden tekil olarak tanımlayan yöntemler biyometrik veri üretir; biyometrik veri KVKK'nın 6. maddesine göre özel nitelikli kişisel veridir ve çok daha sıkı şartlara bağlıdır. "Kısıtlı bölgeye giriş oldu" ya da "bu saatte kapıdan şu kadar kişi geçti" gibi kimlik içermeyen çıktılar ise kişiyle ilişkilendirilemeyecek biçimde tasarlanabilir. İyi bir mimari işlemenin olabildiğince büyük kısmını bu ikinci gruba taşır.

KVKK'nın 8 Haziran 2026 duyurusu analitik için ne söylüyor?

Kurum, "İş Yerlerinde Güvenlik Kamerası Sistemi Kullanımında Dikkat Edilecek Hususlara Dair Kamuoyu Duyurusu"nda kamera kullanımını 6331 sayılı İş Sağlığı ve Güvenliği Kanunu ile 6098 sayılı Türk Borçlar Kanunu'ndan doğan işveren yükümlülüklerine bağlar; ama işlemenin KVKK ilkelerine uygun yapılmasını şart koşar. Analitik projesi için en önemli iki cümle amaçla ilgilidir. Kameraların kurulma amacı net belirlenmeli ve "bu amaç dışında çalışanların devam durumu veya performansını izleme gibi başka amaçlar kapsamında kullanımından kaçınılması" gerekir. Ayrıca "Kameralar ile çalışanların verimli çalışıp çalışmadığını görme, disiplini artırma, genel kontrol sağlama gibi soyut ve çalışanların denetlenmesi gibi amaçların güdülmesi 'meşru bir amaç' kapsamında değerlendirilemeyecektir."

Açık söyleyelim: bu duyuruya göre çalışan performansını ya da verimliliğini kamerayla izlemek meşru bir amaç sayılmaz. Duyurunun analitik tasarımına dokunan diğer maddeleri şunlardır:

• Veri minimizasyonu: amaca ulaşmak için işlenen veri en aza indirilmelidir.
• Amaç, somut olay özelinde baştan belirlenmelidir; iş sağlığı ve güvenliği, iş yeri güvenliği, suçun önlenmesi ve tespitine yardım örnek amaçlardır.
• İş yerindeki tüm alanları kapsayan geniş açılı veya yüz odaklı kayıt yapılmamalı; tuvalet, soyunma odası, mescit ve dinlenme alanına kamera konmamalıdır.
• Ses kaydı, hukuka uygun gerekçesi ve gerekliliği açıkça ortaya konmadan kullanılmamalıdır.
• Kayıtlar mümkün olan en kısa süre saklanmalı, sistemde otomatik imha mekanizması bulunmalı; olay yaşanırsa hukuki süreç boyunca yalnız ilgili kayıt tutulmalıdır.
• Yetki matrisi hazırlanmalı, kayıtlara yalnız yetkili kişiler erişmelidir.

Temel ilkeler video analitiğinde neye karşılık gelir?

Kanunun 4. maddesindeki ilkeler (belirli, açık ve meşru amaç; amaçla bağlantılı, sınırlı ve ölçülü işleme; gerektiği kadar saklama) analitikte doğrudan tasarım kararına dönüşür. Sistemin amacı kişiyi tanımak değil olayı tespit etmektir; bu cümle hem model seçimini hem neyin kaydedileceğini belirler. Pratikte üç soru sorulur. Olayı tespit etmek için kimliğe ihtiyaç var mı? Çoğu İSG senaryosunda yoktur; baretsiz kişinin kim olduğu değil, nerede ve ne zaman baretsiz olduğu önemlidir. Kaydedilen görüntü olayı kanıtlamak için gerekenden fazla mı? Sürekli arşiv yerine olay anının klibi çoğu zaman yeterlidir. Veri, amacını yerine getirdikten sonra hâlâ tutuluyor mu? Otomatik silme tanımlanmadıysa cevap genellikle evettir.

Çalışan görüntüsü hangi hukuki dayanakla işlenir?

KVKK'nın 5. maddesi açık rızayı işleme şartlarından yalnızca biri olarak sayar; ikinci fıkradaki şartlardan biri varsa rıza aranmaz. İş ilişkisinde güç dengesizliği rızanın özgür iradeyle verildiğini göstermeyi zorlaştırır; Kurul'un mesai takibi için biyometrik veri işlenmesine ilişkin 2026/921 sayılı ilke kararı da bu noktaya dikkat çeker. Bu yüzden dayanak çoğu zaman diğer şartlarda aranır: KKD ve alan güvenliği gibi senaryolar 6331 sayılı Kanun'un 4. maddesindeki izleme ve denetleme yükümlülüğüyle, tesis ve varlık güvenliği ise temel hak ve özgürlüklere zarar vermemek kaydıyla meşru menfaatle ilişkilendirilebilir. Hangi şartın uygulanacağını kurumun hukuk birimi ya da KVKK danışmanı belirler; bizim katkımız bu karar için gereken teknik resmi hazırlamaktır.

Uyumun teknik karşılığı: üç katmanlı veri

İlk katman canlı akıştır: model görüntüyü saniyede 25 kare analiz eder, ancak olay yoksa analitik katman kare saklamaz. Sürekli kayıt mevcut NVR ya da VMS'te tutuluyorsa kendi saklama politikasıyla çalışır; analitik ikinci bir video arşivi oluşturmaz. İkinci katman olay klibidir: yalnız olay anı video kanıt olarak ayrılır; örneğin düşme algılamada olay öncesi 10 sn ve sonrası 30 sn otomatik arşivlenir. Üçüncü katman olay kaydıdır: "vardiya sırasında yükleme alanında baretsiz kişi tespit edildi" gibi bir kayıt kimlik içermez ve raporların hammaddesidir.

Varsayılan kurulumda görüntü tesis içindeki edge sunucuda işlenir ve ham video buluta gönderilmez; istenirse işleme bulutta da yapılabilir. Yüz tanıma kullanılmaz; istenirse kliplerdeki yüzler otomatik bulanıklaştırılır. Kişi sayımı ve ısı haritası gibi analizlerde kişiye geçici bir takip numarası verilir, kişi kadrajdan çıktığında bu numara hiçbir kimliğe bağlanmaz. Erişim rol bazlıdır: İSG uzmanı kendi bölgesinin kliplerini, vardiya amiri yalnız özet panoyu görür; dışa aktarım ayrı yetki ister ve her görüntüleme kullanıcı adıyla loglanır. Edge sunucunun ayrı ağ segmentinde durması sıfır güven yaklaşımının sahadaki karşılığıdır.

Az bilinen bir nokta, yanlış alarmın da bir mahremiyet sorunu olmasıdır: her hatalı tespit, bir kişinin görüntüsünün gereksiz yere arşive girmesi demektir. Olayın tek karede değil ardışık karelerde doğrulanması bu yüzden veri minimizasyonu açısından da önemlidir; yöntemi yanlış alarm azaltma yazısında anlattık.

Lokal işleme mi bulut mu?

Lokal işlemede veri sorumlusu görüntünün fiziksel konumunu doğrudan kontrol eder; denetimde anlatılması en kolay mimari budur. Bulut işlemede görüntü tesis dışına çıkar, bulut sağlayıcı ve analitik tedarikçisi veri işleyen konumuna geçer; veri işleme sözleşmesi, sunucu konumu ve yurt dışına aktarım varsa KVKK'nın aktarım kuralları ayrıca değerlendirilir. Hibrit modelde tespit sahada çalışır, merkeze yalnız kimlik içermeyen olay meta verisi ve özet sayılar gider. Gecikme ve bant genişliği kriterlerini edge ve bulut karşılaştırmamızda ele aldık.

Hangi analitik türleri daha fazla dikkat ister?

Risk, analizin kişiye ne kadar yaklaştığıyla artar. En alt basamakta kişi sayma, yoğunluk ve ısı haritası gibi toplu ölçümler vardır; çıktı sayıdır. Bir üstte KKD takibi ve alan ihlali gibi olay bazlı analizler yer alır: olay kaydı anonimdir ama klipte kişi görünür, bu yüzden saklama ve erişim kuralları belirleyicidir. Demografik analiz yaş bandı ve cinsiyeti istatistiksel sınıflandırır, yüz görüntüsü saklamaz ve kimlik eşleştirmez; yine de yüze yakın açı istediği için aydınlatma metninde açıkça anlatılmalıdır. Yüz tanıma biyometrik veri ürettiği için ayrı ve kapsamlı bir hukuki değerlendirme gerektirir; kurulumlarımızı yüz tanımayla genişletmiyoruz.

Poz, davranış ve üretim analitiğinde amaç sınırı en net çizilmesi gereken yerdir. Duyurunun ifadesi karşısında ergonomi riskini ölçmek ile bireysel performans puanlamak arasındaki fark belirleyicidir: ölçümün birimi kişi değil makine, istasyon ve süreç olmalı, sonuçlar kişiye bağlanmamalı ve disiplin sürecinde kullanılmamalıdır. Böyle bir amacın dayanağı ve ölçülülüğü kurulumdan önce hukuk danışmanıyla ayrıca değerlendirilmelidir. Avrupa'da tesisi olan kurumlar için GDPR ve AB Yapay Zekâ Yasası da gündeme gelir; risk sınıfları için AI Act yazımıza bakabilirsiniz.

Aydınlatma, VERBİS ve saklama politikası

Aydınlatma metninin kamera analitiğini kapsayacak biçimde güncellenmesi, VERBİS kaydının gözden geçirilmesi ve erişim yetki matrisinin tanımlanması kurulum sürecinin parçasıdır. Kanunun 10. maddesi veri sorumlusunun kimliğini, amacı, aktarım alıcılarını, toplama yöntemini, hukuki sebebi ve ilgili kişinin haklarını bildirmeyi ister; bu yüzden katmanlı yaklaşım pratiktir: kameralı alanın girişindeki levha analitik yapıldığını kısaca belirtir ve ayrıntılı metne yönlendirir.

Saklama süresini kurum belirler, sistem o süreyi zorunlu kılar. Klipler, olay meta verisi ve özet raporlar ayrı sürelere bağlanabilir; anonim sayım verisi trend için daha uzun, görüntü içeren klipler kısa tutulur ve silme loglanan bir sistem görevidir. Denetimde sunulacak tek doküman şunları içerir: kamera noktaları ve amaçları, veri akış şeması, üretilen veri türleri, saklama süreleri, yetki matrisi ve levha metni. Rol ve süre kurgusu için veri yönetişimi rehberimize bakabilirsiniz.

Sahada en sık yapılan hatalar

• Amaç kayması: İSG için kurulan sistemin kayıtlarını sonradan performans değerlendirmesine ya da disipline taşımak. 2026 duyurusu bunu açıkça dışarıda bırakır.
• Analitik devreye alındığı halde eski CCTV aydınlatma metnini olduğu gibi bırakmak.
• Olay kliplerini "ne olur ne olmaz" diye süresiz tutmak; duyuru otomatik imha mekanizması ister.
• Ortak kullanıcı hesabı: kimin hangi klibi izlediği bilinemez.
• Kadrajın komşu parseli, kamusal alanı ya da mahrem alanları görmesi.
• Saha görüntülerini açık bir mutabakat olmadan model eğitimine aktarmak.

Kurulumdan önce netleştirilecekler

Keşif aşamasında şu soruların cevabını birlikte yazıya dökeriz: analitiğin amacı nedir ve hangi kamera noktaları bu amaca gerçekten hizmet eder, hangi olaylarda klip saklanacak, klip ve meta veri ne kadar tutulacak, kim neyi görecek, mevcut aydınlatma metni ve VERBİS kaydında neyin değişmesi gerekiyor. Projeyi başta çalışan temsilcileriyle paylaşmak, sistemin bir disiplin aracı değil güvenlik aracı olarak algılanmasını kolaylaştırıyor. Tedarikçiye sorulacak soruları görüntü işleme firması seçim rehberimizde topladık; CX Teknoloji kurulum öncesinde kamera uygunluğunu ücretsiz değerlendirir.

Sık sorulan sorular

Yapay zekâ ile kamera analizi KVKK'ya uygun mu?

Doğru kurulduğunda uygun olabilir. Kamera görüntüsü kişisel veri olduğu için amaç tanımlanmalı, hukuki dayanak belirlenmeli ve aydınlatma metni analitiği kapsayacak biçimde güncellenmelidir. Görüntünün varsayılan olarak tesis içinde işlenmesi, yüz tanıma kullanılmaması, olay kayıtlarının kimlik içermemesi ve kliplerin otomatik silinmesi uyumu kolaylaştırır. Nihai değerlendirmeyi hukuk biriminiz yapar.

Kamerayla çalışan performansı veya verimliliği izlenebilir mi?

Kurum'un 8 Haziran 2026 tarihli duyurusuna göre kameralarla çalışanların verimli çalışıp çalışmadığını görme, disiplini artırma veya genel kontrol sağlama gibi amaçlar meşru amaç sayılmaz; güvenlik için kurulan kameranın devam durumu veya performans izlemek için kullanılmasından da kaçınılmalıdır. Üretim analitiği düşünülüyorsa ölçüm kişiye değil makineye ve sürece bağlanmalı, hukuki değerlendirme ayrıca yapılmalıdır.

Video analitiği için çalışanlardan açık rıza almak gerekir mi?

Açık rıza KVKK'nın 5. maddesindeki şartlardan yalnızca biridir ve iş ilişkisindeki güç dengesizliği nedeniyle özgür iradeyle verildiğini göstermek zordur. Bu yüzden dayanak çoğu zaman 6331 sayılı Kanun'dan doğan izleme yükümlülüğü veya meşru menfaat gibi diğer şartlarda aranır. Hangi şartın uygulanacağını hukuk danışmanınız belirler; aydınlatma her durumda yapılır.

Kamera görüntüleri buluta veya yurt dışına gönderiliyor mu?

Varsayılan kurulumda hayır: görüntü tesis içindeki edge sunucuda işlenir, ham video buluta gönderilmez; istenirse işleme bulutta da yapılabilir. Bulut seçildiğinde veri işleme sözleşmesi, sunucu konumu ve yurt dışına aktarım varsa aktarım kuralları ayrıca değerlendirilir. Hibrit modelde merkeze yalnız kimlik içermeyen olay meta verisi gider.

Olay klipleri ne kadar süre saklanıyor?

KVKK tek bir süre belirlemez; süreyi kurumun saklama politikası belirler, sistem o süreyi zorunlu kılar. 2026 duyurusu mümkün olan en kısa sürenin yeterli görülmesini ve otomatik imha mekanizmasını ister; olay yaşanırsa yalnız ilgili kayıt hukuki süreç boyunca tutulur. Silme otomatik yapılır ve loglanır; istenirse kliplerdeki yüzler bulanıklaştırılır.

Demografik analiz yüz tanıma anlamına mı geliyor?

Hayır. Demografik analiz kişiye geçici anonim bir numara verir, yaş bandı ve cinsiyeti istatistiksel olarak sınıflandırır ve yalnız saatlik ile günlük dağılımı raporlar. Yüz görüntüsü saklanmaz, kimlik eşleştirmesi yapılmaz. Yüze yakın açı gerektirdiği için aydınlatma metninde açıkça anlatılması önerilir.

KVKK denetiminde hangi belgeleri sunabiliriz?

Kurulum sürecinde veri akış şeması, kamera noktaları ve amaçları, üretilen veri türleri, saklama politikası ve rol bazlı yetki matrisi tek dokümanda toplanır. Buna görüntüleme ve dışa aktarım logları ile otomatik silme kayıtları eklenir. Aydınlatma metni ve VERBİS kaydındaki güncellemeler kurumun kendi belgeleri olarak bu dosyayı tamamlar.