Video gözetim ve kişisel veriler: arşiv yasal olarak nerede tutulabilir

Özbekistan Cumhuriyeti'nin 2 Temmuz 2019 tarihli ZRU-547 sayılı «Kişisel Veriler Hakkında» Kanunu, kişisel veriyi elektronik, kâğıt ya da başka bir ortama kaydedilmiş, belirli bir gerçek kişiye ait olan veya onun kimliğinin belirlenmesine imkân veren bilgi olarak tanımlar. «Kimliğin belirlenmesine imkân veren» ifadesi anahtardır: bir kişinin yüzünün seçilebildiği kayıt bu tanıma girer.

Buradan çoğu kişi için beklenmedik bir sonuç çıkar: ofisteki sıradan bir kayıt cihazı bir kişisel veri tabanıdır ve onu kurup yapılandıran şirket işleyen sıfatıyla hareket eder — ilk denetime ya da şikâyete kadar akla gelmeyen tüm yükümlülüklerle birlikte.

Kanun biyometrik verileri ayrı tutar: bunlar ilgili kişinin anatomik ve fizyolojik özelliklerini niteleyen kişisel verilerdir. Turnikede yüz tanıma, mesai takip terminalinde parmak izi, iris şablonu — hepsi hukuki anlamda biyometridir, yalnızca «kapıyı açmanın kolay yolu» değil.

Fark pratiktir. Geçiş kartı kişiliksizdir: kaybedersiniz, yenisi verilir. Biyometrik şablon değiştirilemez ve böyle bir veri tabanının sızması geri alınamaz. Kanunun biyometrik verilerin işlenmesine ayrı şartlar getirmesinin ve yüz tanımalı terminalin «olsun diye» konulmaması gerektiğinin nedeni tam da budur.

Ekipman seçimini belirleyen kısım burasıdır. Kanuna, Özbekistan Cumhuriyeti vatandaşlarının kişisel verilerinin işlenmesine ilişkin özel şartları düzenleyen 27-1. madde eklenmiştir. Buna göre mal sahibi veya işleyen, ülke vatandaşlarının kişisel verilerini bilgi teknolojilerini, internet dâhil, kullanarak işlerken bunların toplanmasını, sistematize edilmesini ve saklanmasını Özbekistan Cumhuriyeti topraklarında fiziken bulunan ve Kişisel Veri Tabanları Devlet Siciline usulünce kaydedilmiş teknik altyapıdaki veri tabanlarında sağlamak zorundadır.

Bu alandaki yetkili devlet kurumu Bakanlar Kurulu bünyesindeki Devlet Kişiselleştirme Merkezidir. Kişisel Veri Tabanları Devlet Sicilini tutar, veri tabanının kayıt belgesini verir ve yetkileri çerçevesinde mevzuata uyumu denetler.

Kamera üreticilerinin yaygın bulut hizmetleri kullanışlıdır: kamerayı takarsınız, uygulamaya bağlarsınız, her yerden izlersiniz. Soru, kaydın fiziken nerede durduğudur. Sistem Özbekistan vatandaşlarını teşhis ediyor, sunucu ise ülke dışındaysa, bu kurgu veri tabanının ülke içinde tutulması şartıyla çelişir.

Her müşteriye anlattığımız mühendislik duruşumuz buradan gelir: sahadaki yerel kayıt cihazı ya da sunucu ne muhafazakârlıktır ne de donanım satma çabası. Uzaktan erişim de ortadan kalkmaz: yerel kayıt cihazı üzerinden de telefondan izlenebilir; tek fark arşivin nerede saklandığıdır.

Birincisi bilgilendirmedir. Kişisel verileri bir veri tabanına dâhil edilirken ilgili kişi, işleme amaçları ve hakları konusunda yazılı olarak bilgilendirilmelidir. Uygulamada bu, bilinen «video gözetim yapılmaktadır» tabelasıdır; ama yükümlülük tabelayla bitmez: biyometrik verileri geçiş kontrol sistemine giren çalışanlar için bir belge gerekir.

İkincisi aktarımdır. Kişisel veriler üçüncü bir kişiye aktarılırsa, mal sahibi veya işleyen ilgili kişiyi üç gün içinde yazılı olarak bilgilendirir. Üçüncüsü süredir: verileri koruma yükümlülüğü toplandıkları anda doğar ve imha ya da anonimleştirme anına kadar sürer. «Biz sadece arşiv tutuyoruz, kimseye göstermiyoruz» demek yükümlülükleri kaldırmaz.

SAT Solutions sistemleri, arşiv ve biyometrik şablonlar müşterinin sahasında ya da Özbekistan'daki sunucusunda kalacak şekilde projelendirir: yerel kayıt cihazları, gözetim sunucuları, yerel veri tabanlı geçiş kontrolü. Uzaktan erişimi, veri tabanını yurt dışına taşıyarak değil, güvenli bağlantı üzerinden kurarız.

Bu yazı kanunun gereklerini genel hatlarıyla anlatır ve belirli bir tesis için hukuki danışmanlığın yerini tutmaz: verilerin kapsamı, ilgili kişilerin çevresi ve işleme şeması her müşteride farklıdır. Belirli bir yapılandırmanın değerlendirilmesi gerekiyorsa sistem tanımını gönderin, avukatınızla birlikte inceleyelim.