Video gözetim ve kişisel veriler: arşiv yasal olarak nerede tutulabilir

Özbekistan Cumhuriyeti'nin 2 Temmuz 2019 tarihli ZRU-547 sayılı «Kişisel Veriler Hakkında» Kanunu, kişisel veriyi elektronik, kâğıt ya da başka bir ortama kaydedilmiş, belirli bir gerçek kişiye ait olan veya onun kimliğinin belirlenmesine imkân veren bilgi olarak tanımlar. «Kimliğin belirlenmesine imkân veren» ifadesi anahtardır: bir kişinin yüzünün seçilebildiği kayıt bu tanıma girer.

Buradan çoğu kişi için beklenmedik bir sonuç çıkar: ofisteki sıradan bir kayıt cihazı bir kişisel veri tabanıdır ve onu kurup yapılandıran şirket işleyen sıfatıyla hareket eder — ilk denetime ya da şikâyete kadar akla gelmeyen tüm yükümlülüklerle birlikte.

Kanun biyometrik verileri ayrı tutar: bunlar ilgili kişinin anatomik ve fizyolojik özelliklerini niteleyen kişisel verilerdir. Turnikede yüz tanıma, mesai takip terminalinde parmak izi, iris şablonu — hepsi hukuki anlamda biyometridir, yalnızca «kapıyı açmanın kolay yolu» değil.

Fark pratiktir. Geçiş kartı kişiliksizdir: kaybedersiniz, yenisi verilir. Biyometrik şablon değiştirilemez ve böyle bir veri tabanının sızması geri alınamaz. Kanunun biyometrik verilerin işlenmesine ayrı şartlar getirmesinin ve yüz tanımalı terminalin «olsun diye» konulmaması gerektiğinin nedeni tam da budur.

Ekipman seçimini belirleyen kısım burasıdır. Kanuna, Özbekistan Cumhuriyeti vatandaşlarının kişisel verilerinin işlenmesine ilişkin özel şartları düzenleyen 27-1. madde eklenmiştir. Buna göre mal sahibi veya işleyen, ülke vatandaşlarının kişisel verilerini bilgi teknolojilerini, internet dâhil, kullanarak işlerken bunların toplanmasını, sistematize edilmesini ve saklanmasını Özbekistan Cumhuriyeti topraklarında fiziken bulunan ve Kişisel Veri Tabanları Devlet Siciline usulünce kaydedilmiş teknik altyapıdaki veri tabanlarında sağlamak zorundadır.

Bu alandaki yetkili devlet kurumu Bakanlar Kurulu bünyesindeki Devlet Kişiselleştirme Merkezidir. Kişisel Veri Tabanları Devlet Sicilini tutar, veri tabanının kayıt belgesini verir ve yetkileri çerçevesinde mevzuata uyumu denetler.

Kamera üreticilerinin yaygın bulut hizmetleri kullanışlıdır: kamerayı takarsınız, uygulamaya bağlarsınız, her yerden izlersiniz. Soru, kaydın fiziken nerede durduğudur. Sistem Özbekistan vatandaşlarını teşhis ediyor, sunucu ise ülke dışındaysa, bu kurgu veri tabanının ülke içinde tutulması şartıyla çelişir.

Her müşteriye anlattığımız mühendislik duruşumuz buradan gelir: sahadaki yerel kayıt cihazı ya da sunucu ne muhafazakârlıktır ne de donanım satma çabası. Uzaktan erişim de ortadan kalkmaz: yerel kayıt cihazı üzerinden de telefondan izlenebilir; tek fark arşivin nerede saklandığıdır.

Birincisi bilgilendirmedir. Kişisel verileri bir veri tabanına dâhil edilirken ilgili kişi, işleme amaçları ve hakları konusunda yazılı olarak bilgilendirilmelidir. Uygulamada bu, bilinen «video gözetim yapılmaktadır» tabelasıdır; ama yükümlülük tabelayla bitmez: biyometrik verileri geçiş kontrol sistemine giren çalışanlar için bir belge gerekir.

İkincisi aktarımdır. Kişisel veriler üçüncü bir kişiye aktarılırsa, mal sahibi veya işleyen ilgili kişiyi üç gün içinde yazılı olarak bilgilendirir. Üçüncüsü süredir: verileri koruma yükümlülüğü toplandıkları anda doğar ve imha ya da anonimleştirme anına kadar sürer. «Biz sadece arşiv tutuyoruz, kimseye göstermiyoruz» demek yükümlülükleri kaldırmaz.

Özbekistan mevzuatında «burada kamera yasaktır» diyen hazır bir liste yoktur; sınır birkaç kuralın birlikte okunmasından çıkar. 30 Nisan 2023'te referandumla kabul edilen Özbekistan Cumhuriyeti Anayasası'nın 31. maddesi herkese özel hayatın dokunulmazlığını, kişisel ve aile sırrını ve kendisi hakkında hukuka aykırı toplanan bilgilerin yok edilmesini isteme hakkını güvence altına alır. ZRU-547 sayılı Kanun'un 25. maddesi özel hayata ilişkin bilgileri özel nitelikli kişisel veri sayar: bunların işlenmesi kanunda sayılan haller dışında yasaktır ve özel bir kamera sahibi için asıl hal, kişinin kendi yazılı rızasıdır.

Mağaza ya da ofisteki sıradan bir kamera başka bir dayanakla çalışır. Aynı kanunun 18. maddesi, mülk sahibinin hak ve meşru menfaatlerini, örneğin mülkünü korumayı gerçekleştirmek için veri işlenmesine izin verir; tek bir şartla: bu sırada veri sahiplerinin hak ve meşru menfaatleri ihlal edilmemelidir. Her projede uyduğumuz pratik kural buradan gelir: kamera girişi, kasayı, depoyu, otoparkı ve koridoru görür; insanların soyunduğu ya da mahremiyet beklediği yerler — tuvalet, duş, soyunma odası, deneme kabini, personelin dinlenme ve uyku odaları — ile başkalarının evinin pencere ve kapıları kadrajın dışında kalır.

Konut için ayrı bir not: Anayasa'nın aynı 31. maddesi konut dokunulmazlığını da güvenceye alır. Kendi bahçe kapınızın üstünde sokağı gören bir kamera olağan bir uygulamadır; komşunun avlusu ya da pencereleri kadraja girecek şekilde çevrilmiş bir kamera ise başkasının özel hayatına müdahaledir ve braket izin verse bile bu açıdan kaçınmak en doğrusudur. Bu durumlar için kameralarda gizlilik maskesi bulunur: kadrajın seçilen bölümü kapatılır ve arşive yazılmaz.

Apartman girişi, merdiven sahanlığı ve asansör kimsenin dairesi değil, ortak kullanım alanıdır; bu yüzden oradaki kamera kendi başına özel hayata müdahale sayılmaz. Üstelik yeni binalarda zorunludur: 5 Şubat 2026 tarihli PP-48 sayılı Cumhurbaşkanı Kararı'na göre 1 Mayıs 2026'dan itibaren her girişteki, asansörlerdeki ve çevre alandaki kameralar projeye konur, kurulan ekipman da binanın ortak mülkü sayılır. Mevcut bir binada girişe kamerayı komşular ve yönetim şirketiyle anlaşarak koymak en doğrusudur: alan ortaktır ve arşivin kimde tutulacağını önceden kararlaştırmak gerekir.

Kendi kapınızın önündeki kamera, kendi kapınızı ve önündeki sahanlığı çektiği sürece yerindedir. Objektifi komşunun kapısına ya da kapı gözüne çevirmek, kapı her açıldığında antresini kadrajda tutmak, hele komşuların kayıtlarını ortak sohbet gruplarında paylaşmak, özel hayata ilişkin bilgilerin hukuka aykırı toplanması ya da yayılması olarak değerlendirilebilir. İdari Sorumluluk Kanunu'nun 46-1. maddesi bunun için 10 ila 40 temel hesaplama birimi para cezası öngörür; idari yaptırımdan sonra tekrarlanan eylem ise Ceza Kanunu'nun 141-1. maddesine girer.

Özbekistan Cumhuriyeti'nin 28 Ekim 2022 tarihli İş Kanunu, çalışanın kişisel verilerine 175–180. maddeleri ayırır. 175. madde bunlara çalışanın hayatına dair işverenin öğrendiği olay, gelişme ve durumları da dahil eder ve bu bilgileri gizli bilgi sayar. Çalışanın tanınabildiği bir kayıt, özü itibarıyla bu tanıma uyar.

176. madde işvereni, çalışana kişisel verilerinin hangi amaçla, hangi kaynaklardan ve hangi yöntemlerle elde edildiğini bildirmekle ve çalışanları bu verilerin işlenme usulünü belirleyen belgelerle imza karşılığında tanıştırmakla yükümlü kılar. Video gözetim için bu, pratikte şu demektir: video gözetime ilişkin bir talimat ya da yönerge (hangi alanlar, neden, arşiv ne kadar tutulur, kimin erişimi var), her çalışanın okuduğuna dair imzası ve çekim alanlarının girişinde uyarı levhaları. Çalışma odasına gizlice konmuş bir kamera bu şartları karşılamaz.

177. maddeden bir ayrıntı daha: çalışanın kişisel verilerinin korunmasından vazgeçtiğini öngören iş sözleşmesi ya da iç belge hükmü geçersizdir. Sözleşmedeki «her türlü video gözetime rıza gösteriyorum» satırı düzgün bir yönergenin yerini tutmaz. Kişisel veri mevzuatının ihlali için İdari Sorumluluk Kanunu'nun 46-2. maddesi vatandaşlara 7, yetkililere 50 temel hesaplama birimi para cezası öngörür.

SAT Solutions sistemleri, arşiv ve biyometrik şablonlar müşterinin sahasında ya da Özbekistan'daki sunucusunda kalacak şekilde projelendirir: yerel kayıt cihazları, gözetim sunucuları, yerel veri tabanlı geçiş kontrolü. Uzaktan erişimi, veri tabanını yurt dışına taşıyarak değil, güvenli bağlantı üzerinden kurarız.

Bu yazı kanunun gereklerini genel hatlarıyla anlatır ve belirli bir tesis için hukuki danışmanlığın yerini tutmaz: verilerin kapsamı, ilgili kişilerin çevresi ve işleme şeması her müşteride farklıdır. Belirli bir yapılandırmanın değerlendirilmesi gerekiyorsa sistem tanımını gönderin, avukatınızla birlikte inceleyelim.