Kuruma intikal eden şikayetinde özetle; ilgili kişinin iş akdini noter ihtarnamesi ile feshettiği, veri sorumlusu bünyesinde iş akdini feshettiği tarihe kadar üretim görevlisi olarak çalıştığı, fesih gerekçelerinden birinin soyunma/giyinme odasının kamera ile izlenmesi olduğu, veri sorumlu Şirkete başvurularak soyunma/giyinme odasının kamera ile izlenip izlenmediği, ilgili kişinin kamera konulmasına ve izlenmesine ilişkin rızasının alınıp alınmadığı, bu kameraların kayıt yapıp yapmadığı, yapıyor ise kayıtların saklanıp saklanmadığı, kameralarla elde edilen görüntü verilerinin işlenmesinin 6698 sayılı Kişisel Verilerin Korunması Kanununun (Kanun) 4 üncü maddesindeki ilkelere uygun olup olmadığı ve Kanun’un 5 inci maddesinde yer alan veri işleme şartlarından hangisine dayandığı, Kanun’un 10 uncu maddesine göre veri sorumlusu olarak kişisel verilerin elde edilmesi sırasında ilgili kişiye belli konularda bilgi verilip verilmediği ve aydınlatma metni sunulup sunulmadığı hususlarında sorular sorulduğu ancak Şirket tarafından verilen cevapların hukuken yeterli bulunmadığı belirtilerek, Kanun kapsamında yer alan ihlallerin incelenmesi, ihlallerin tespit edilmesi, gerekli yaptırımların uygulanması ve ilgili kişinin kişisel verilerinin imha edilmesi talep edilmiştir.
Konuya ilişkin başlatılan inceleme çerçevesinde veri sorumlusundan savunması talep edilmiş olup verilen cevapta özetle;
- İlgili kişi tarafından gönderilen ihtarname ile veri sorumlusu ile arasındaki iş akdinin 4857 sayılı İş Kanununun 24 üncü maddesi uyarınca haklı nedenle feshedildiğinin belirtildiği, ilgili kişinin ileri sürdüğü haklı sebeplerden birinin “veri sorumlusunun personellerinin iş kıyafetlerini giymek için kullandığı soyunma odasında kamera bulunması, anılan kameraların kaldırılması için veri sorumlusuna talepte bulunulmasına rağmen kameraların kaldırılmaması, bu hususun mahremiyet hakkını ihlal ettiği” iddiası olduğu, veri sorumlusu tarafından ise cevabi ihtarname ile söz konusu iddiaların reddedildiği ve ilgili kişinin ihtarnamesinin istifa olarak değerlendirilerek gereğinin yerine getirildiği,
- İlgili kişi vekili tarafından veri sorumlusuna yapılan başvuru ile soyunma odası olarak anılan alanda kamera kaydı ile kişisel veri işlenmesi hususunda bilgi talebinde bulunulmuşsa da ilgili kişi vekilinin vekaletnamesinde özel yetki bulunmadığından kendisine bilgi verilmediği, ilgili kişi ile aralarında bir dava sürecinin de bulunduğu ve davanın derdest olduğu,
- Soyunma odası nitelemesi iddiası bakımından, bahse konu dava dosyasına sunulmuş delillerden de görüleceği üzere ilgili kişi tarafından soyunma odası olarak belirtilen alanın herhangi bir şekilde personelin kıyafet giyip çıkarması için tahsis edilen bir alan olmadığı, veri sorumlusunun üretim personelinin, üretim alanına girmeden evvel eşyalarını kilitli dolaplara yerleştirebilmeleri, çalışmaya başlamadan evvel var ise dolapta bulunan yeleğini üretim faaliyeti sırasında kişisel kıyafetlerinin kirlenmemesi, yıpranmaması için alarak üretim alanına geçtiği bir kısım olduğu,
- Açıklanan sebeplerle bahse konu alan her ne kadar tüm dava ve şikâyet süreci boyunca “soyunma odası” olarak anılmakta ise de bu alanın tahsis amacının “soyunma odası” niteliğinde olmadığı, hatalı ve yanlış bir nitelendirme yapıldığı, Serbest Bölgede üretim faaliyeti gösteren diğer tüm şirketlerde olduğu gibi üretim personelinin çantalarını, kişisel, maddi değeri olan eşyalarını güvenli bir şekilde muhafaza edebilmeleri, var ise iş yeleklerini koyabilmeleri için tahsis edilen kilitli dolapların bulunduğu bir alan olduğu,
- Hem Mahkemeye hem de Kuruma iletmiş oldukları bilgi, belge ve görüntü kayıtlarının incelenmesi ile bu alanın “soyunma odası” niteliğini taşımadığının görüleceği, bu itibarla anılan alanda bulunan güvenlik kameralarının üretim sahasında mevcut kameralardan herhangi bir farkının bulunmadığı,
- Hukuki sebepler bakımından anılan kilitli dolapların bulunduğu alanda mevcut güvenlik kameralarının veri sorumlusu personelinin talebi ile takıldığı, ilgili kişinin de yazı ekinde sunmuş oldukları personel talep yazısında bizzat imzasının bulunduğu, ilgili kişinin kötü niyetli olduğu ve hakkını kötüye kullandığının açık olduğu, talep yazısı doğrultusunda veri sorumlusu tarafından yapılan yönetsel değerlendirmeler neticesinde; meydana gelen hırsızlık olaylarına karşın iş yeri güvenliğini sağlamak, veri sorumlusunun ve personelinin meşru menfaatlerini korumak, ilgili kişinin de talebi olduğu üzere personelinin şikâyet ve taleplerini yerine getirerek memnuniyetlerini ve güvenliklerini temin etmek amaçlarıyla ekstra güvenlik önlemleri alınmasına karar verildiği, kaldı ki ilgili alanın gerçek bir “soyunma odası” niteliğinin bulunmadığı, diğer bir söyleyişle insanların o alanda giysilerini giyip çıkarmadığı, haliyle iş yerindeki mevcut kameralara ilave olarak ekstra güvenlik önlemi alınmasını teminen kamera sayısının artırılmasının her iş yerinde uygulanmakta olan gerçek ve eş zamanlı kapalı devre kayıt sisteminden (CCTV) ibaret olduğu,
- Tüm kapalı devre kayıt sistemlerinin de veri sorumlusunun iş yerlerinde aydınlatma metinleri ve görüntü kaydı alındığına dair uyarı levhaları asılarak gerçekleştirildiği, yazı ekinde iş yerlerinde asılı olan aydınlatma metinlerinin örneklerinin ve görüntü kaydı uyarı levhalarının görüntülerinin sunulduğu, ayrıca ilgili kişi veri sorumlusunun personeli olduğundan ekte sunulan ilgili kişinin imzasını havi aydınlatma metni ile iş yerinde güvenlik amacıyla görüntü kaydı alındığına dair gerekli aydınlatmanın da kendisine yapıldığı, ilgili aydınlatma metninden de açıkça görüleceği üzere şirket içi operasyon süreçlerinin yürütülebilmesi, şirket içi ve çevresinde güvenliğin sağlanabilmesi ayrıca iş güvenliğinin kontrolü amaçlarıyla kapalı devre görüntüleme sistemleri vasıtası ile kişisel veri işlendiğinin ilgili kişiye bildirildiği,
- Yurt içinde ve yurt dışında bulunan çok sayıda büyük ölçekli firmalara satış yapan, Serbest Bölge mevzuatına tabi olarak üretim faaliyeti gösteren veri sorumlusunun kapalı devre kayıt sistemi ile görüntü kaydı almasında gerek bağlı olduğu kalite standartları gerekse ticari ve hukuki operasyonlarının güvenliğinin temininde, personelinin iş sağlığı ve güvenliğinin sağlanmasında üstün yararının ve meşru menfaatinin bulunduğu, bu gibi üretim yapan fabrika sahalarında beklenmeyen iş kazalarının olabildiği, bu durumlarda da meydana gelen kazaya göre ilave önlem alınıp alınmaması gerektiğinin ancak bu şekilde değerlendirilebildiği, aynı şekilde personelin kilitli dolaplarının bulunduğu alana güvenlik kamerası takıldıktan sonra bir daha hırsızlık olayının yaşanmadığı, veri sorumlusunun iş yerlerinde almış olduğu görüntü kayıtlarının Kanunun ilgili maddelerinde yer alan meşru menfaatler, hukuki bir yükümlülüğün yerine getirilmesi, yasal bildirim yükümlülüklerinin yerine getirilebilmesi amaçlarıyla mecburi olduğunun anlaşılacağı, ayrıca kilitli dolapların bulunduğu alana kamera takılması talebinin bizatihi personellerden geldiği, haliyle de bir hakkın tesisi ve korunması için veri işlemenin kaçınılmaz hale geldiği,
- Bu kapsamda kapalı devre sistem ile toplanan görüntü kayıtlarının altmış gün süre ile sınırlı olmak üzere veri sorumlusunun yurt içinde bulunan, kendisine ait yerel sunucularında ve üçüncü tarafların erişimine kapalı sunucularda saklandığı ve bu süre sonunda otomatik olarak Kanunda belirtilen ilkelere göre veri işleme faaliyetine son verildiği,
- İlgili kişinin veri sorumlusunda çalıştığı dönemlere ilişkin olarak iş yerindeki CCTV görüntü kayıtlarının hâlihazırda otomatik olarak çoktan silindiği, eski personellerinin kişisel verilerinin özlük dosyası ile sınırlı şekilde işlendiği, özlük dosyasının ilgili kişinin açmış olduğu alacak davası nedeniyle savunmada bulunulabilmesi amacıyla Mahkeme dosyasına sunulduğu, bunlar dışında ilgili kişinin başkaca bir kişisel verisinin işlenmediği, Mahkeme dosyası dışında herhangi bir tarafa da aktarılmadığı,
- Hem Serbest Bölge mevzuatına hem üretim standartlarının gerektirdiği ISO kurallarına uygun olarak ticari faaliyetini yürütmekte olan veri sorumlusunun, dava ve şikâyet dosyasında iddia edildiği hali ile “soyunma odası” niteliğindeki bir alanda güvenlik kameraları aracılığı ile görüntü kaydı toplamasının ve işlemesinin mümkün olmadığı,
- Veri sorumlusu tarafından Kanunun 4 üncü maddesinde belirtilen genel ilkelere aykırı şekilde herhangi bir kişisel veri işleme faaliyetinde bulunulmadığı, veri sorumlusu sıfatı ile işlenen her türlü kişisel verinin ilgili kişiler aydınlatılarak, gerekiyor ise açık rızaları alınarak, hukuka uygun şekilde işlendiği, kişisel veri işleme faaliyetlerine amaçla orantılı süre sonunda Kanunun öngördüğü usuller çerçevesinde silindiği
ifade edilmiştir.
Konuya ilişkin yürütülen inceleme neticesinde Kişisel Verileri Koruma Kurulunun 28/03/2024 tarih ve 2024/540 sayılı Kararı ile;
- Veri sorumlusu tarafından Kuruma iletilen cevabi yazıda şikâyete konu güvenlik kameralarının, yaşanan hırsızlık olaylarının tekrarlanmaması adına veri sorumlusu bünyesinde çalışanların isteği üzerine yerleştirildiğinin belirtildiği, cevabi yazının eklerinden çalışanlar tarafından öncelikle güvenlik kameralarının yerleştirilmesi, daha sonrasında ise bu kameraların yaygınlaştırılması amacıyla toplamda iki defa talepte bulunulduğunun anlaşıldığı ayrıca her iki talep yazısının da ilgili kişi tarafından imzalandığının görüldüğü,
- öte yandan, veri sorumlusu tarafından kameraların yerleştirildiği alanın soyunma odası olarak kullanılmadığı ve bu amaçla tasarlanmadığının vurgulandığı, söz konusu odalarda veri sorumlusu bünyesinde çalışanların iş yerinde bulundukları süre içerisinde kişisel eşyalarını muhafaza edebilecekleri dolapların bulunduğu ve bu odalarda çalışanların yalnızca üretim alanına geçmeden önce iş yeleklerini giydiklerinin açıklandığı, nitekim Kurumu muhatap cevabi yazı ekinde iletilen video kayıtlarında da veri sorumlusunun açıklamalarının çalışanlar tarafından doğrulandığı,
- İncelemeye konu güvenlik kameralarının, veri sorumlusu bünyesinde çalışanların kişisel eşyalarının korunması amacıyla yerleştirildiği ve daha öncesinde söz konusu alanda hırsızlık vakaları gerçekleştiği dikkate alındığında; güvenlik kameraları vasıtasıyla görüntü alma ve kaydetme suretiyle gerçekleştirilen kişisel veri işleme faaliyeti ile iş yerinde asayiş ve güvenliğin sağlanması amaçlandığı anlaşıldığından söz konusu işleme faaliyetinin Kanunun 5’inci maddesinin ikinci fıkrasının (f) bendinde düzenlenen “ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması” işleme şartına dayanılarak gerçekleştirilebileceğinin değerlendirdiği,
- Diğer taraftan, bahse konu güvenlik kameralarının çalışanların talebi üzerine faaliyete alındığı, kameralar yerleştirildikten sonra herhangi bir yeni hırsızlık olayının yaşanmadığı ve veri sorumlusunun Kurumu muhatap cevabi yazısıyla tevsik edildiği üzere kapalı devre kayıt sisteminin kullanıldığı, görüntü kayıtlarının altmış gün ile sınırlı olarak veri sorumlusunun yurt içinde bulunan ve kendisine ait yerel sunucularında saklandığı ve altmış günün sonunda imha edildiği göz önünde bulundurulduğunda; mezkûr işleme faaliyetinin Kanunun 4 üncü maddesinde öngörülen ilkelere aykırılık teşkil etmediği,
- Kurumu muhatap cevabi yazının eklerinden, güvenlik kameraları vasıtasıyla görüntü alma ve kaydetme suretiyle gerçekleştirilen kişisel veri işleme faaliyetine ilişkin aydınlatma metninin bir nüshasının veri sorumlusu tarafından ilgili kişiye verildiği ve bu durumun ilgili kişinin imzası alınarak kayıt altına alındığının görüldüğü, söz konusu aydınlatma metninde kişisel verilerin hangi işleme şartına dayanılarak işlendiği hususunda yalnızca Kanunun 5 inci, 6 ncı, 8 inci ve 9 uncu maddelerine genel nitelikte atıf yapıldığı ve somut açıklamalara yer verilmediğinin görüldüğü,
- Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğin (Aydınlatma Tebliği) 5 inci maddesinin birinci fıkrasının (g) bendi uyarınca aydınlatma yükümlülüğü kapsamında açıklanacak kişisel veri işleme amacının belirli, açık ve meşru olması, aydınlatma yükümlülüğü yerine getirilirken genel nitelikte ve muğlak ifadelere yer verilmemesi ve gündeme gelmesi muhtemel başka amaçlar için kişisel verilerin işlenebileceği kanaatini uyandıran ifadelerin kullanılmaması gerektiği bununla birlikte, takip eden (ğ) bendinde aydınlatma yükümlülüğü kapsamında ilgili kişiye yapılacak bildirimin anlaşılır, açık ve sade bir dil kullanılarak gerçekleştirilmesi gerektiğinin hükme bağlandığı, yine, aynı hükmün (h) bendinde Kanunun 10 uncu maddesinin birinci fıkrasının (ç) bendinde yer alan “hukuki sebep”ten kastın, aydınlatma yükümlülüğü kapsamında kişisel verilerin Kanunun 5 ve 6 ncı maddelerinde belirtilen işleme şartlarından hangisine dayanılarak işlendiğinin olduğu ifade edilerek aydınlatma yükümlülüğünün yerine getirilmesi esnasında hukuki sebebin açıkça belirtilmesi gerektiğinin düzenlendiği,
- Bu itibarla, söz konusu aydınlatma metninin Kanunun 10 uncu maddesi ve Aydınlatma Tebliğine uygun olarak yeniden düzenlenmesinin uygun olacağı,
- Ayrıca, veri sorumlusunun Kurumu muhatap cevabi yazısı ekinde iletilen açık rıza metinlerinden, açık rıza alma ve aydınlatma işlemlerinin birlikte gerçekleştirildiğinin anlaşıldığı ancak, Aydınlatma Tebliğinin 5 inci maddesinin birinci fıkrasının (f) bendinde bu işlemlerin ayrı ayrı gerçekleştirilmesi gerektiğinin açıkça düzenlendiği dolayısıyla, bu süreçlerin ayrıştırılarak açık rıza metinlerinin yeniden düzenlenmesi gerektiği, yine, söz konusu açık rıza metinlerinde diğer işleme şartları kapsamında işlenen kişisel verilere ilişkin de bilgi verildiği görüldüğünden açık rıza metinlerinde yapılacak yeniden düzenlemelerde bu hususa da dikkat edilmesi gerektiği,
- Öte yandan, somut olayda ilgili kişi vekili tarafından veri sorumlusuna Kanunun 13 üncü maddesi ile Veri Sorumlusuna Başvuru Tebliğinde öngörülen usul ve esaslara uygun bir şekilde başvuru yapıldığının anlaşıldığı, Kanunun 13 üncü maddesinin ikinci fıkrasında veri sorumlularının ilgili kişinin başvurusunda yer alan talepleri, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandıracağının düzenlendiği, veri sorumlusuna başvuru, ilgili kişinin hak arama yollarından biri olup; bireylerin kendilerine ait veriler üzerinde en üst düzeyde ve etkin bir kontrol sağlanması bakımından önemli bir role sahip olup aynı zamanda ilgili kişilerin Anayasanın 20 nci maddesinin üçüncü fıkrasında güvence altına alınmış olan kişisel verilerinin korunmasını isteme hakkını somutlaştıran mekanizmalardan birini teşkil ettiği, somut olayda ise ilgili kişinin vekili aracılığıyla veri sorumlusuna ilettiği başvurunun özel yetki içeren vekâletname bulunmaması sebebiyle cevaplanmamasına karşılık, kişisel verilerin korunması mevzuatında ilgili kişilerin vekilleri aracılığıyla yapacakları başvurularda özel vekaletname gerektiğine ilişkin bir düzenleme bulunmadığından veri sorumlularınca vekâletnamede “özel yetki” şartı aranmaması gerektiği
değerlendirmelerinden hareketle;
- İncelemeye konu güvenlik kameralarının, veri sorumlusu bünyesinde çalışanların kişisel eşyalarının korunması amacıyla yerleştirildiği ve daha öncesinde söz konusu alanda hırsızlık vakaları gerçekleştiği dikkate alındığında; güvenlik kameraları vasıtasıyla görüntü alma ve kaydetme suretiyle gerçekleştirilen kişisel veri işleme faaliyetinin Kanunun 5 inci maddesinin ikinci fıkrasının (f) bendinde düzenlenen “İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.” işleme şartına dayanılarak gerçekleştirilebileceği ve güvenlik kameralarının çalışanların talebi üzerine faaliyete alındığı, kameralar yerleştirildikten sonra herhangi bir yeni hırsızlık olayının yaşanmadığı ve veri sorumlusunun Kurumu muhatap cevabi yazısıyla tevsik edildiği üzere kapalı devre kayıt sisteminin kullanıldığı, görüntü kayıtlarının altmış gün ile sınırlı olarak veri sorumlusunun yurt içinde bulunan ve kendisine ait yerel sunucularında saklandığı ve altmış günün sonunda imha edildiği göz önünde bulundurulduğunda; mezkûr işleme faaliyetinin Kanunun 4 üncü maddesinde öngörülen ilkelere aykırılık teşkil etmediği kanaatine varıldığından bu hususta Kanun kapsamında yapılacak bir işlem bulunmadığına,
- İlgili kişinin, güvenlik kameraları vasıtasıyla görüntü alma ve kaydetme suretiyle gerçekleştirilen işleme faaliyeti kapsamında elde edilen kişisel verilerinin kayıt işleminden itibaren altmış gün sonra imha edildiğinin beyan edildiği ve bu hususu tevsik eder nitelikteki “Kamera Kayıt Sistemleri Veri Depolama ve Saklama Süreci Hakkında” başlıklı belgenin ve ilgili kişisel veri işleme envanteri bölümünün Kuruma iletildiği görüldüğünden bu hususta Kanun kapsamında yapılacak bir işlem bulunmadığına,
- Veri sorumlusu tarafından Kuruma iletilen aydınlatma metninde kişisel verilerin hangi işleme şartına dayanılarak işlendiği hususunda yalnızca Kanunun 5 inci, 6 ncı, 8 inci ve 9 uncu maddelerine genel nitelikte atıf yapıldığı ve somut açıklamalara yer verilmediği görüldüğünden söz konusu aydınlatma metninin Kanunun 10 uncu maddesi ve Aydınlatma Yükümlülüğünün Yerine Getirilmesi Hakkında Tebliğe uygun olarak düzenlenmesi ve sonucundan Kurula bilgi verilmesi hususunda veri sorumlusunun talimatlandırılmasına,
- Veri sorumlusu tarafından Kuruma iletilen açık rıza metinlerinde açık rıza alma ve aydınlatma işlemlerinin birlikte gerçekleştirildiği anlaşıldığından bu süreçlerin ayrıştırılarak açık rıza metinlerinin yeniden düzenlenmesi ve ayrıca açık rıza metninde diğer işleme şartları kapsamında işlenen kişisel verilere ilişkin bilgi verilmeyecek şekilde düzenleme yapılması ve yapılacak işlemlerin sonucundan Kurula bilgi verilmesi hususunda veri sorumlusunun talimatlandırılmasına,
- Kişisel verilerin korunması mevzuatında ilgili kişilerin vekilleri aracılığıyla yapacakları başvurularda vekâletnamede özel yetki gerektiğine ilişkin bir düzenleme bulunmadığından vekâletnamelerde “özel yetki” aramaması gerektiği hususunda veri sorumlusunun uyarılmasına
karar verilmiştir.