Sitelerde Yüz Tanıma Sistemi Yasal mı?

Sitelerde yüz tanıma sistemi kullanmak, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında biyometrik veri işleme sayıldığından yalnızca belirli koşulların sağlanması hâlinde yasal kabul edilir. Kısaca yanıt: yasak değil, ancak açık rıza ve sıkı teknik önlemler olmadan uygulamak ciddi yaptırım riskini beraberinde getirir.

Yüz Tanıma Teknolojisi Nedir ve Sitelerde Nasıl Kullanılıyor?

Yüz tanıma teknolojisi, bir kişinin yüz geometrisini — gözler arasındaki mesafe, burun köprüsü genişliği, çene hattı gibi ölçümler — dijital olarak kaydedip sonraki ziyaretlerde bu veriyle eşleştiren biyometrik bir sistemdir. Güvenlik kameraları ve yapay zeka algoritmaları bir araya geldiğinde, kapı girişlerinde kart veya şifre yerine yüz taramasıyla erişim sağlanabilir hâle gelir.

Türkiye'deki pek çok büyük ölçekli site ve rezidans, giriş kapısındaki turnike sistemlerine, otopark bariyerlerine veya sosyal tesis erişim noktalarına yüz tanıma kamerası entegre etmeye başlamıştır. Yöneticiler bu sistemleri hem güvenlik hem de kolay erişim gerekçesiyle tercih etmekte; özellikle çok sayıda sakin ve personelin bulunduğu projelerde kart kaybı veya şifre paylaşımı gibi sorunları ortadan kaldırmak amacıyla kullanmaktadır.

Ancak bu teknoloji ne kadar pratik görünse de hukuki boyutu oldukça hassastır. Yüz geometrisi verileri, bir kişinin parmak izi veya göz retinasıyla aynı kategoride değerlendirilir: "özel nitelikli kişisel veri." Bu sınıflandırma, söz konusu verilerin işlenmesini sıradan kişisel veriye kıyasla çok daha kısıtlayıcı kurallara tabi kılar. Yöneticilerin "teknoloji güncel, neden kullanmayalım?" diye geçiştirmesi bu nedenle hukuki açıdan son derece risklidir.

Şunu da belirtmek gerekir: yüz tanıma sistemi kurmak ile aktif olarak veri işlemek arasındaki fark önemlidir. Kameranın alanında bireyin geçmesi bile biyometrik veri işleme kapsamında değerlendirilebilir; dolayısıyla sistemin "sadece giriş kontrol aracı" olarak sunulması hukuki yükümlülüğü ortadan kaldırmaz.

KVKK'ya Göre Biyometrik Veri Nedir?

6698 sayılı KVKK'nın 6. maddesi, kişilerin ırkı, etnik kökeni, siyasi düşüncesi, dini inancı, sağlık bilgileri ve biyometrik verileri gibi kategorileri "özel nitelikli kişisel veri" olarak tanımlar. Biyometrik veri, bir kişinin fiziksel veya davranışsal özelliklerinden yola çıkılarak o kişiyi diğerlerinden kesin biçimde ayırt etmeye yarayan verilerdir; yüz geometrisi bu tanımın tam ortasına düşer.

Kanun, özel nitelikli kişisel verilerin ilke olarak işlenemeyeceğini belirtir. Bu genel yasağın tek istisnası, ilgili kişinin açık rızasının alınmış olmasıdır. Açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan onay anlamına gelir. Yani sakinlere toplu hâlde "sistemi koyuyoruz, itiraz etmeyenler kabul etmiş sayılır" demek hukuken geçersizdir.

Kişisel Verileri Koruma Kurulu (KVKK Kurulu), 2019 yılından itibaren biyometrik veri işleyen pek çok kuruluşa idari para cezası uygulamıştır. Özellikle iş yerlerinde parmak izi ve yüz tanıma sistemleriyle yapılan devam takibini konu alan kararlarda Kurul, açık rızanın işçi-işveren ilişkisinde özgür irade koşulunu sağlamadığına hükmetmiştir. Aynı mantık, kiracı veya kat maliki ile site yönetimi arasındaki güç dengesizliği için de geçerli olabilir.

Sonuç olarak yöneticilerin şunu net biçimde anlaması gerekir: KVKK'ya göre biyometrik veri işlemek kural değil, istisnadır. Her adımda hukuki dayanak oluşturulmadan yüz tanıma sistemi devreye alınması, hem idari para cezası hem de tazminat davası riskini doğurur.

Açık Rıza Zorunluluğu: Sakinler Sistemi Reddedemez mi?

Açık rıza, KVKK'nın biyometrik veri işleme için öngördüğü tek meşruiyet zeminidir ve bu rızanın geçerli sayılabilmesi için birtakım koşulların bir arada bulunması şarttır. İlk olarak rıza, spesifik ve anlaşılır bir dille yazılmış bir metin üzerinden alınmalıdır; genel kapsamlı bir "kişisel verilerimin işlenmesine onay veriyorum" ifadesi yüz tanıma için yeterli değildir.

İkinci ve kritik nokta şudur: rıza, bir hizmetin ön koşulu hâline getirilemez. Başka bir deyişle, "yüz tanıma sistemine onay vermezseniz siteye giremezsiniz" uygulaması hukuken geçersizdir. Sakin siteye erişim hakkını korurken biyometrik veri işlemeyi reddedebilmelidir. Bu durumda site yönetiminin, rıza vermeyen sakinler için kartlı geçiş veya PIN gibi alternatif bir erişim yöntemi sunması zorunludur.

Üçüncüsü, rıza geri alınabilir olmalıdır. Bir sakin ilerleyen dönemde rızasını geri çektiğinde, sisteme kayıtlı yüz geometrisi verisi derhal silinmeli ve bu işlem belgelenmelidir. Verinin ne kadar süre tutulduğu, kiminle paylaşıldığı ve hangi güvenlik önlemleriyle korunduğu da sakinlere önceden açıklanmalıdır.

Pratikte bu şu anlama gelir: bir site yönetimi yüz tanıma sistemini hayata geçirmek istiyorsa önce tüm kat maliklerine ve kiracılara yazılı aydınlatma metni sunmalı, imzalı açık rıza belgesi almalı, rıza vermeyen sakinler için kalıcı alternatif sistem kurmalı ve bu sürecin tamamını kayıt altında tutmalıdır. Bu adımların herhangi birinin eksik kalması, sistemin yasal zeminden yoksun olduğu anlamına gelir.

Kat Mülkiyeti Kanunu Açısından Değerlendirme

634 sayılı Kat Mülkiyeti Kanunu, ortak alanların kullanımına ve yönetimine ilişkin temel çerçeveyi çizer. Kanun, yöneticinin yetkilerini ve kat maliklerinin karar alma süreçlerini düzenler. Sitenin giriş-çıkış sisteminin değiştirilmesi gibi önemli bir kararın, kat malikleri kurulunun onayı alınarak hayata geçirilmesi gerekip gerekmediği ilk sorulması gereken sorudur.

Hukuki görüşler ve uygulamadaki eğilime bakıldığında, biyometrik veri toplayan bir sistemin kurulması "olağan bakım veya küçük onarım" niteliği taşımadığından bu kararın kat malikleri kurulunda görüşülmesi ve çoğunluk kararıyla alınması önerilmektedir. Yöneticinin tek başına sistemi devreye alması, hem kanuna hem de yönetim planına aykırılık oluşturabilir; zarar gören kat maliki dava açma hakkını saklı tutar.

Öte yandan yönetim planında bu tür teknolojik sistemlerin kullanımına ilişkin özel bir hüküm varsa veya kurul kararı alınmışsa, yönetici bu kararı uygulamakla yükümlüdür. Ancak kurul kararı alınmış olması, KVKK yükümlülüklerini ortadan kaldırmaz. Yani kat malikleri "sistemi kuralım" diye karar verse dahi KVKK'ya göre açık rıza, aydınlatma ve güvenlik önlemleri yine de zorunludur.

Kısacası kat mülkiyeti hukuku ve KVKK bu meselede paralel koşmaktadır: biri yönetim kararının meşruiyetine, diğeri veri işlemenin hukuka uygunluğuna odaklanır. Her ikisine de uymak gereklidir; birinin sağlanması diğerini ikame etmez.

Kişisel Verileri Koruma Kurulu'nun Kararları ve Emsal Niteliği

KVKK Kurulu, biyometrik veri işlemeye yönelik çok sayıda karar yayımlamıştır. Bu kararların ortak paydası şudur: biyometrik verinin işlenebilmesi için açık rıza zorunludur ve bu rızanın özgür iradeye dayanması şarttır. İş yerlerinde parmak izi ile mesai takibi yapan şirketlere uygulanan cezalar, kamuoyunda geniş yankı uyandırmıştır; bazı kararlar yüz binlerce lira idari para cezasıyla sonuçlanmıştır.

Kurulun tutumuna göre işverenin veya yönetimin konumu ne olursa olsun, ilgili kişi biyometrik veri işlemeyi açık biçimde reddetme imkânına sahip olmalıdır. Bu imkânın fiilen sağlanmadığı durumlarda rıza, özgür irade koşulunu taşımadığından hukuken geçersiz sayılmaktadır. Site yönetimi özelinde de benzer bir risk mevcuttur: kiracı veya kat maliki, "sistemi kullanmak zorundayım" hissine kapılıyorsa bu rıza özgürlüğü tartışmaya açıktır.

Kurulun bir başka vurgusu, veri minimizasyonu ilkesidir. Eğer erişim kontrolü kartlı sistem veya PIN ile de sağlanabiliyorsa, yüz tanıma gibi daha müdahaleci bir yönteme başvurmak için güçlü bir gerekçe aranmalıdır. "Daha pratik olması" ya da "kart kaybolmuyor" gibi idari kolaylık gerekçeleri, biyometrik veri işlemenin zorunluluğunu hukuken ispatlayacak düzeyde kabul görmemektedir.

Dolayısıyla bir site yöneticisi veya kat maliki kurulu, yüz tanıma sistemi kararı almadan önce bir veri koruma hukukçusundan görüş almalı ve Kurul'un güncel kararlarını incelemelidir. Uygulamanın yasallığı statik değil, Kurul'un içtihadıyla şekillenen dinamik bir çerçevede değerlendirilmektedir.

Yüz Tanıma Sisteminin Yasal Kullanımı İçin Uyulması Gereken Koşullar

Tüm bu yasal çerçeveyi göz önünde bulundurduğumuzda, bir sitenin yüz tanıma sistemini hukuka uygun biçimde kullanabilmesi için aşağıdaki koşulların eksiksiz yerine getirilmesi gerekmektedir:

• Aydınlatma yükümlülüğü: Sakinlere sistemin amacı, işlenecek veriler, saklama süresi, üçüncü taraflarla paylaşım ve hakları hakkında açık, anlaşılır ve yazılı bilgi verilmelidir.
• Açık rıza: Her sakin için ayrı ayrı, spesifik ve imzalı rıza belgesi alınmalıdır. Sessiz kabul veya toplu onay geçerli değildir.
• Alternatif erişim yöntemi: Rıza vermek istemeyen sakinlere kart, PIN veya benzeri bir alternatif sunulmalı ve bu alternatif kalıcı olmalıdır.
• Veri güvenliği: Toplanan biyometrik veriler şifreli ortamlarda saklanmalı, yetkisiz erişime karşı teknik ve idari önlemler alınmalıdır.
• Saklama süresi kısıtlaması: Veriler sakin siteyle ilişkisi süresince tutulabilir; ilişki sona erdiğinde veriler derhal ve kalıcı olarak silinmelidir.
• Veri işleme kaydı: Veri Sorumlusu olarak VERBİS'e (Veri Sorumluları Sicil Bilgi Sistemi) kayıt yaptırılmalı ve işleme faaliyeti kayıt altına alınmalıdır.
• Rızanın geri alınabilmesi: Sakin dilediği zaman rızasını geri çekebilmeli ve bu işlemin ardından verileri silinmelidir.
• Kat malikleri kurulu kararı: Sistemin kurulmasına ilişkin karar, uygun çoğunlukla alınmış ve tutanağa geçirilmiş olmalıdır.

Bu listedeki herhangi bir maddenin eksik bırakılması, sistemin yasal olduğunu iddia etmeyi güçleştirir. Özellikle VERBİS kaydı ve aydınlatma yükümlülüğü sıklıkla atlanan adımlardır; oysa bunlar KVKK denetiminde ilk aranan belgelerdir.

Yüz Tanıma ve Diğer Erişim Sistemleri Karşılaştırması

Yüz tanıma sisteminin hukuki yükümlülüklerini daha iyi kavramak için diğer yaygın erişim sistemleriyle yan yana değerlendirmek faydalıdır. Aşağıdaki tablo, temel sistemleri KVKK risk düzeyi ve pratik uygulama kolaylığı açısından özetlemektedir.

Tablodan da görüldüğü üzere, kartlı geçiş ve PIN sistemleri en düşük hukuki riski taşırken yüz tanıma ve parmak izi sistemleri özel nitelikli veri işleme kategorisine girdiğinden çok daha kapsamlı hukuki yükümlülükler doğurmaktadır. Bu nedenle bir site yönetiminin yüz tanıma sistemine geçmeden önce "bu geçişi zorunlu kılan güçlü bir sebep var mı?" sorusunu kendine sorması ve bunun cevabını belgelendirmesi gerekmektedir.

Pratikte pek çok büyük rezidans projesi, yüksek hukuki risk nedeniyle yüz tanıma yerine akıllı kart + güvenlik kamerası kombinasyonunu tercih etmektedir. Bu yaklaşım hem güvenlik ihtiyacını karşılamakta hem de KVKK uyumunu çok daha yönetilebilir kılmaktadır. Kamera görüntüsünün kendisi de kişisel veri sayılır; ancak anlık akış ile kalıcı biyometrik profil oluşturma arasındaki fark hukuki değerlendirmede belirleyici rol oynar.

Personel İçin Yüz Tanıma: Sakinlerden Farklı mı?

Sitede çalışan güvenlik görevlileri, temizlik personeli, teknik servis elemanları için yüz tanıma sisteminin ayrıca değerlendirilmesi gerekir. İş Kanunu çerçevesinde işçi ile işveren arasındaki ilişkide de biyometrik veri toplanabilmesi için geçerli hukuki dayanak aranmaktadır. KVKK Kurulu'nun iş yeri kararlarında tutarlı biçimde vurgulandığı üzere, işçinin iş güvencesi kaygısıyla verdiği onay "özgür irade" koşulunu taşımadığından açık rıza meşruiyeti tartışmalıdır.

Bu alanda Kurul'un benimsediği genel yaklaşım şudur: parmak izi veya yüz tanıma ile mesai takibi, yalnızca alternatif sistemlerin yetersiz kaldığı ve bu yetersizliğin belgelenebildiği durumlarda meşruiyet zemini bulabilir. "Kart ile de aynı işi yapabilirsiniz" denildiği an, biyometrik sistemin zorunluluğu sorgulanır hâle gelir. Birden fazla alternatif mevcut olduğunda biyometrik yönteme başvurmanın orantılılık ilkesini karşılamadığı kabul edilir.

Site yöneticileri için pratik öneri şudur: personel için yüz tanıma sistemini mesai takibinde kullanmak yerine, güvenli geçiş noktalarında kart+şifre kombinasyonu uygulamak hem hukuki riski düşürür hem de Kurul'un potansiyel denetimine hazır olmayı kolaylaştırır. Yüz tanıma personel için kullanılacaksa bir iş hukuku ve veri koruma hukukçusuyla birlikte politika dokümanı hazırlanması şiddetle tavsiye edilir.

Öte yandan misafir veya dış ziyaretçilere yüz tanıma uygulamak çok daha sorunludur. Misafir, siteyle uzun vadeli bir ilişki içinde değildir; dolayısıyla kısa bir ziyaret için biyometrik veri toplama orantısız ve meşruiyetten yoksun sayılacaktır. Misafir erişimi için turnike+görevli kontrolü veya kartlı misafir geçiş sistemi çok daha güvenli bir tercih olmaktadır.

Veri İhlali Durumunda Site Yönetiminin Sorumluluğu

Yüz tanıma sistemi kuran bir site yönetimi, bu sistemdeki olası bir veri ihlalinden hukuki olarak sorumludur. KVKK'nın 12. maddesi, veri sorumlularının kişisel verilerin güvenliğini sağlamak amacıyla uygun güvenlik önlemlerini almak zorunda olduğunu açıkça düzenler. Biyometrik veri söz konusu olduğunda bu yükümlülük çok daha ağır biçimde yorumlanmaktadır.

Bir veri ihlali yaşandığında — örneğin sistemin hacklenmesi, yetkisiz erişim veya veri sızıntısı — site yönetimi ilk 72 saat içinde KVKK Kurulu'na bildirimde bulunmak zorundadır. Aynı zamanda ihlalden etkilenen kişiler de gecikmeksizin bilgilendirilmelidir. Bu bildirim yükümlülüklerini yerine getirmemek, ek yaptırım riskini beraberinde getirir.

Maddi sorumluluk boyutuna bakıldığında, verisi ihlal edilen sakinler idari başvuru yollarının yanı sıra tazminat davası açabilir. Kişisel verilerin hukuka aykırı biçimde işlenmesi nedeniyle uğranılan zararın tazmini KVKK'da düzenlenmiştir. Biyometrik veri söz konusu olduğunda mahkemeler manevi zararı da gündeme getirebilir; zira bu veriler kişinin özüyle doğrudan bağlantılıdır ve kötüye kullanıldığında telafi edilemez sonuçlar doğurabilir.

Sigorta boyutunda da önemli bir husus bulunmaktadır: site yönetiminin sigorta poliçesi genellikle siber güvenlik olaylarını kapsamaz. Bu durum, biyometrik veri içeren bir sistemde yaşanacak ihlalin hem hukuki hem de mali yükünü site yönetimi veya kat malikleri üzerine yıkabileceği anlamına gelir. Sistemi kurmadan önce sigorta koşullarının gözden geçirilmesi ve gerekirse siber güvenlik teminatı eklenmesi finansal açıdan son derece önemlidir.

Site Yönetiminin Atabileceği Pratik Adımlar

Yüz tanıma sistemini yasal çerçevede uygulamak isteyen site yönetimleri için adım adım bir yol haritası çizmek mümkündür. Bu adımların atlanmadan ve sırasıyla takip edilmesi, hem KVKK uyumunu hem de kat malikleri arasındaki güveni pekiştirmektedir.

İlk adım ihtiyaç analizidir: mevcut güvenlik sorununun yüz tanıma sistemini zorunlu kılıp kılmadığını belgeleyin. Kart kaybı mı yaşanıyor, yetkisiz girişler mi tespit ediliyor? Bu soruların somut yanıtları olmadan sistemi kurmaya çalışmak KVKK'nın orantılılık ilkesiyle çelişir.

İkinci adım hukuki danışmanlıktır: bir kişisel veri hukukçusundan ön görüş alın. Aydınlatma metni ve açık rıza belgelerini hukukçunun yönlendirmesiyle hazırlayın. Metinlerin "anlaşılır dil" koşulunu karşılaması, hem hukuki geçerlilik hem de sakinlerle iletişim açısından kritik öneme sahiptir.

Üçüncü adım kat malikleri kuruluna sunumdur: sistemi, maliyetini, hukuki yükümlülüklerini ve alternatifleri bir rapor hâlinde kurula sunun. Çoğunluk kararını tutanağa geçirin. Bu karar, ilerleyen dönemdeki olası anlaşmazlıklarda yöneticinin tek başına hareket etmediğini ispatlayan temel belgedir.

Dördüncü adım teknik altyapıdır: güvenilir ve bağımsız denetimden geçmiş bir sistem temin edin. Verilerin sunucularda nasıl saklandığını, şifreleme standartlarını ve erişim yetkilerini sözleşmeye yansıtın. Üçüncü taraf bir firmaya veri aktarımı söz konusuysa veri işleme sözleşmesi zorunludur.

Beşinci adım VERBİS kaydıdır: eğer yıllık çalışan sayısı veya işlem hacmi eşiği aşılıyorsa Veri Sorumluları Sicil Bilgi Sistemi'ne kayıt yaptırın ve yüz tanıma faaliyetini kayıt kapsamına ekleyin. Bu adımı atlamak, Kurul denetiminde doğrudan ceza sebebi oluşturur.

Rezidans yönetim sistemleri ve büyük ölçekli site yapılarında dijital erişim kontrolünün nasıl kurgulandığı merak ediyorsanız, bu alanda deneyim sahibi bir apartman yönetim programı kullanmak süreçleri düzenlemenize yardımcı olabilir.

Sık Sorulan Sorular