Kamera Sistemi ve VERBİS: Envanter Alanları ve Kayıt Bilgileri

Kamera envanterde tek satırla geçiştirilince denetimde ilk sorulan soru cevapsız kalır: hangi kamera, hangi amaçla, kaç gün, kime açık? Her kamera sürekli çalışan bir kişisel veri işleme faaliyetidir. Bu faaliyetin kişisel veri işleme envanterinde ve kurum yükümlüyse Veri Sorumluları Sicil Bilgi Sistemi’nde (VERBİS) doğru tanımlanması, aydınlatma metni, saklama süresi ve teknik tedbirlerin aynı gerçeği anlatmasını sağlar. Aşağıda kamera işlemesinin envantere ve VERBİS kaydına alan alan nasıl yansıtılacağını ve IT ekibinin hangi teknik girdileri vermesi gerektiğini anlatıyoruz.

Kişisel veri işleme envanteri ve kamera

Kişisel veri işleme envanteri; kurumun hangi kişisel veriyi hangi amaçla, hangi hukuki sebeple, kimden topladığını, kime aktardığını ve ne kadar sakladığını gösteren kayıttır. Veri Sorumluları Sicili Hakkında Yönetmelik, envanteri VERBİS kaydında kullanılacak temel kaynak olarak tanımlar. Kamera bu envanterde çoğu zaman tek satırdır: “Kamera kayıtları – güvenlik”. Denetimde iki sorun buradan çıkar.

Birincisi, farklı amaçla çalışan kameralar aynı satırda toplanır. Bina giriş kamerası, üretim hattındaki iş güvenliği kamerası, plaka tanıma kamerası ve kasa kamerası farklı amaçlara, farklı veri konusu kişi gruplarına ve çoğu zaman farklı saklama sürelerine sahiptir. İkincisi, envanterdeki bilgi sistemdeki gerçekle uyuşmaz. Sahada en sık gördüğümüz tablo şu: envanterde 30 gün yazıyor, NVR ise disk dolana kadar kayıt tutuyor. Ya da alıcı olarak yalnız “yetkili kurumlar” yazıyor, özel güvenlik firması uzaktan canlı izleme yapıyor. Kâğıt ile konsol çelişiyor.

Doğrusu, kamera işlemesini envanterde amaç bazında ayrı faaliyetler olarak tanımlamak ve her faaliyeti kamera gruplarıyla eşleştirmektir. Kamera envanteri (cihaz listesi) ile kişisel veri işleme envanteri ayrı belgelerdir; aralarındaki bağ, her kameranın hangi işleme faaliyetine ait olduğunu gösteren tek bir alanla kurulur. Cihaz listesinin yapısı için kamera envanteri rehberine bakabilirsiniz.

VERBİS yükümlülüğü nasıl değerlendirilir

KVKK’nın 16. maddesi veri sorumlularının sicile kaydını düzenler; Kurul belirli kriterlere göre bazı veri sorumlularını bu yükümlülükten istisna tutabilir. Pratikte değerlendirme üç soruyla yapılır:

1. Kurumun yıllık çalışan sayısı ve yıllık mali bilanço toplamı, Kurul kararındaki eşiklerin altında mı?
2. Kurumun ana faaliyet konusu özel nitelikli kişisel veri işlemek mi? Öyleyse eşiklerin altında kalmak istisna için yetmeyebilir.
3. Kurum, Kurul kararlarında ayrıca istisna tutulan bir grupta mı?

Eşik değerler ve istisna kapsamı zaman içinde değiştiği için burada rakam vermiyoruz. Güncel kararlar kvkk.gov.tr üzerinden, kayıt işlemleri VERBİS portalı üzerinden takip edilir. Asıl nokta şu: VERBİS istisnası yalnız sicile kayıt yükümlülüğünü kaldırır. Aydınlatma, veri güvenliği, saklama ve imha, ilgili kişi başvurularını yanıtlama yükümlülükleri kamera kullanan her veri sorumlusu için geçerlidir. İstisna, muafiyet değildir.

Kamera için envanter alanları tablosu

Aşağıdaki tablo kamera işlemesinin envanterde ve VERBİS kaydında karşılık geldiği temel alanları ve IT ekibinden beklenen girdiyi gösterir. Örnek değerler yalnız biçimi göstermek içindir; her kurum kendi gerçek yapılandırmasını yazmalıdır.

Alan	Kamera için içerik	Teknik kaynak
İşleme faaliyeti	Bina giriş-çıkış güvenliği, üretim alanı iş güvenliği, otopark araç takibi	Kamera grupları listesi
Veri konusu kişi grubu	Çalışan, ziyaretçi, tedarikçi personeli, sürücü	Kamera konumları ve kadrajlar
Veri kategorisi	Görsel kayıtlar; ses işleniyorsa işitsel kayıtlar; LPR’de araç plakası	Kamera ve analitik yetenekleri
İşleme amacı	Fiziksel mekan güvenliğinin temini, iş sağlığı ve güvenliği faaliyetleri	Proje gerekçesi
Hukuki sebep	Hukuk biriminin belirlediği KVKK 5. madde bendi	Hukuk/uyum birimi
Saklama süresi	Örnek: 30 gün, olay kayıtları olay kapanışına kadar	NVR/VMS saklama ayarı
Alıcı grupları	Özel güvenlik firması, yetkili kamu kurumları, bakım firması	Erişim hesapları listesi
Yurt dışı aktarım	Bulut VMS veya P2P hizmeti yurt dışında barındırılıyorsa	Hizmet sağlayıcı sözleşmesi
Teknik ve idari tedbirler	Rol bazlı erişim, denetim izi, şifreleme, ağ segmentasyonu	Güvenlik yapılandırması

VERBİS’te veri kategorileri ve amaçlar büyük ölçüde hazır listelerden seçilir. Kamera kayıtları uygulamada çoğunlukla görsel ve işitsel kayıtlar ile fiziksel mekan güvenliği gibi kategorilerle ilişkilendirilir; seçeneklerin güncel adlarını sistem üzerinde doğrulayın. Ses kaydı yapılmıyorsa “işitsel kayıt” ifadesini gerekçesiz eklemek, olmayan bir işlemeyi beyan etmektir. Ses kaydı yapılıyorsa açıkça yer almalıdır. Sesin ayrı riskleri kamerada ses kaydı yazısında ele alınıyor.

Alıcı grupları ve aktarımlar

Kamera işlemesinde en sık eksik kalan alan alıcı gruplarıdır. Alıcı, verinin aktarıldığı veya erişime açıldığı kişi ya da kurumdur. Kamera sistemlerinde bu aktarım çoğu zaman dosya göndererek değil, kullanıcı hesabı açarak gerçekleşir. VMS’te hesabı olan her dış taraf bir alıcıdır. Şu durumları envantere alıcı olarak yazın:

• Özel güvenlik firması: Canlı izleme veya kayıt inceleme yetkisi olan personel.
• Bakım ve servis firması: NVR/VMS’e yönetici erişimi olan teknisyenler; bakım sırasında kayıtları görebilirler.
• Bina veya site yönetimi: Ortak alan kameralarına erişimi olan yönetim personeli.
• Grup şirketleri ve merkez: Çok lokasyonlu yapılarda merkezi izleme ekibi.
• Bulut hizmet sağlayıcısı: Bulut VMS, VSaaS veya üretici P2P hizmeti üzerinden akan ya da saklanan görüntü.
• Yetkili kamu kurum ve kuruluşları: Kolluk ve adli makamların talebi üzerine yapılan aktarımlar.

Bulut tabanlı hizmetlerde verinin hangi ülkede barındırıldığını ve sağlayıcının destek ekibinin hangi ülkeden erişebildiğini IT ekibi netleştirmelidir; yurt dışına aktarım değerlendirmesi bu bilgiye dayanır. Kurulumda fark edilmeden açık kalan P2P bulut servisi de bu sorunun parçasıdır. Dış tarafların erişim modeli üçüncü taraf kamera erişimi rehberinde ayrıntılı anlatılıyor.

Teknik ve idari tedbirlerin eşlenmesi

VERBİS’te tedbirler de listeden seçilir. Sorun, işaretlenen tedbirin sahada uygulanmamasıdır: “erişim kayıtları tutuluyor” işaretli ama VMS denetim izi kapalı; “ağ güvenliği sağlanıyor” işaretli ama kameralar kullanıcı ağıyla aynı VLAN’da. Beyan edilen her tedbiri bir kanıtla eşleyin. Kanıtı olmayan tedbir beyandır.

Beyan edilen tedbir	Kamera sistemindeki karşılığı	Kanıt
Yetki matrisi ve erişim kısıtı	Rol bazlı VMS kullanıcıları, kamera grubu kısıtı	Rol-yetki dökümü
Log kayıtlarının tutulması	İzleme, oynatma, dışa aktarma olaylarının denetim izi	Örnek log çıktısı
Ağ güvenliği	Kamera VLAN’ı, ACL, internetten doğrudan erişim yok	Ağ şeması, ACL kuralları
Saklama ve imha	Kanal bazında azami saklama süresi, imha tutanağı	Ayar ekran görüntüsü, tutanak
Güncelleme yönetimi	Firmware takip ve uygulama kaydı	Sürüm envanteri
Gizlilik taahhütnamesi	İzleme personeli ve servis firması taahhütleri	İmzalı belgeler

Bu eşleme aynı zamanda ISO 27001 veya TISAX denetimlerinde kamera kontrollerinin kanıt setini oluşturur; aynı işi iki kez yapmazsınız. Tedbir ve kanıt yapısını kamera kayıt saklama, silme ve imha politikası çalışmasıyla birlikte belgelediğinizde envanter, politika ve yapılandırma tek kaynaktan beslenir.

Güncel tutma

Envanter ve sicil kaydı bir defalık iş değildir. Kamera sistemi yaşar; envanter onunla birlikte güncellenmezse altı ay sonra yanlış bilgi taşır. Şu değişiklikler envanterin gözden geçirilmesini tetiklemelidir:

• Yeni bir alan veya lokasyonun izlenmeye başlanması ya da kamera grubunun amacının değişmesi
• Video analitik, plaka tanıma veya ses kaydı gibi yeni bir yeteneğin devreye alınması
• Yerel NVR’den bulut VMS’e geçiş veya uzaktan izleme hizmetinin başlaması
• Özel güvenlik, bakım veya bina yönetimi firmasının değişmesi
• Saklama süresinin değişmesi veya depolama kapasitesinin bu süreyi karşılayamaz hale gelmesi

İşe yarayan yöntem basittir: kamera projelerindeki değişiklik talebi formuna “KVKK envanter etkisi var mı?” sorusunu ekleyin ve yanıtı uyum birimine otomatik iletin. Ayrıca yılda en az bir kez envanterdeki kamera satırlarını cihaz envanteri, VMS rol dökümü ve saklama ayarlarıyla karşılaştırın. Envanterde yazanla sistemde yapılandırılan arasındaki fark, denetimde en kolay tespit edilen ve en zor açıklanan bulgulardan biridir.

Yıllık karşılaştırma için kısa kontrol listesi

• Envanterdeki her işleme faaliyetine en az bir kamera grubu eşlenmiş mi; eşlenmemiş kamera kaldı mı?
• Envanterdeki saklama süresi ile NVR/VMS’deki fiili en eski kayıt tarihi uyumlu mu?
• VMS’de hesabı olan her dış taraf alıcı grupları arasında yer alıyor mu?
• Beyan edilen her teknik tedbirin güncel bir kanıtı var mı?
• Aydınlatma metni ve uyarı levhaları envanterdeki amaç ve kategorilerle tutarlı mı?

Sık sorulan sorular

Kamera kullanan her şirket VERBİS’e kayıt olmak zorunda mı?

Hayır. Kayıt yükümlülüğü Kurul’un belirlediği istisna kriterlerine göre değerlendirilir; bu kriterler çalışan sayısı, yıllık mali bilanço ve ana faaliyet konusu gibi ölçütlere dayanır ve zaman içinde güncellenebilir. Kamera kullanmak tek başına kayıt yükümlülüğü doğurmaz; istisna kapsamındaki kurumlar da KVKK’nın diğer yükümlülüklerine tabidir.

VERBİS’e kayıtlı değilsek kamera için envanter hazırlamamız gerekir mi?

Veri Sorumluları Sicili Hakkında Yönetmelik envanter yükümlülüğünü sicile kayıt yükümlüsü veri sorumluları için düzenler. Yine de aydınlatma metni, saklama süresi ve teknik tedbirlerin birbirini tutması için kamera işleme faaliyetini yazılı bir envanter kaydıyla tanımlamak, yükümlülükten bağımsız olarak doğru uygulamadır.

Kamera kayıtları VERBİS’te hangi veri kategorisinde gösterilir?

Uygulamada kamera kayıtları genellikle görsel ve işitsel kayıtlar ile fiziksel mekan güvenliği gibi kategorilerle ilişkilendirilir. Hangi seçeneğin kullanılacağı işleme amacına ve VERBİS’teki güncel seçenek listesine göre belirlenir; ses kaydı yapılıyorsa bu ayrıca yansıtılır.

Kamera sayısı arttığında VERBİS kaydını güncellemek gerekir mi?

Kamera sayısının artması tek başına kayıt bilgilerini değiştirmeyebilir. Yeni bir amaç, yeni veri kategorisi, yeni alıcı grubu, yurt dışına aktarım içeren bulut hizmeti veya saklama süresinde değişiklik varsa envanter ve sicil bilgileri gözden geçirilip güncellenir.