Mağazada Müşteri Analitiği Kameraları Yasal mı? Yüz Tanıma, Yaş-Cinsiyet Tahmini ve Wi-Fi ile Takipte KVKK Sınırları

Kısa cevap: müşteriyi saymak ile müşteriyi tanımak aynı şey değil, KVKK'daki karşılıkları da aynı değil. Mağaza girişindeki kamera yalnızca kaç kişi girdiğini sayıyor, hangi reyonda ne kadar durulduğunu ölçüyor ve geriye kimliği belli olmayan bir sayı bırakıyorsa bu işlemeyi 6698 sayılı Kanun'un 5. maddesindeki meşru menfaat şartına dayandırmak çoğu mağaza için savunulabilir. Aynı kamera yüzden şablon çıkarıyor, tekrar gelen ziyaretçiyi eşleştiriyor ya da görüntüyü bir kara listeyle karşılaştırıyorsa tablo değişir. Bu, özel nitelikli kişisel veri olan biyometrik verinin işlenmesidir; Kanun'un 6. maddesi kapsamındadır ve perakende senaryolarının neredeyse tamamında açık rıza dışında bir dayanağı yoktur. Kapıdan giren herkesin yüzü daha ilk adımda işlendiği için o açık rızayı almanın pratik bir yolu da bulunmuyor.

Teknik ayrımı bilmeden hukuki değerlendirme yapmak mümkün değil. Yüz algılama, kadrajda bir yüz olup olmadığını tespit eder ve müşteri saymak için bu yeterlidir. Yüz tanıma ise yüzü ölçüp sayısal bir şablona çevirir ve bu şablonu başka şablonlarla karşılaştırır; kişiyi kalabalığın içinden ayırt eden şey budur. Aradaki sınırı anlamanın en pratik yolu tedarikçinin teklifine bakmak. Raporda "tekrar eden ziyaretçi oranı", "aynı kişinin ortalama ziyaret sıklığı" ya da "sadık müşteri tanıma" gibi bir başlık varsa sistem kişiyi tanıyor demektir, çünkü aynı insanı iki farklı günde eşleştirebilmek için o yüzün bir kaydını tutmak zorunda. Satış broşürlerindeki "KVKK uyumludur, veri anonimdir" cümlesi bu noktada hiçbir şey ispatlamaz. Anonimliği iddia eden taraf değil, veri sorumlusu sıfatıyla siz ispatlamak zorundasınız.

Yüz verisinin özel nitelikli sayılması, uygulamada göründüğünden daha sert bir sonuç doğuruyor. Kanun'un 6. maddesi özel nitelikli verileri sınırlı sayıda şarta bağlıyor ve 7499 sayılı Kanun'la yapılan, 1 Haziran 2024'te yürürlüğe giren değişiklikten sonra bile bu listede perakendeye kapı açan bir bent yok. Listede sayılan haller açık rıza, kanunlarda açıkça öngörülme, fiili imkansızlık, ilgili kişinin kendisi tarafından alenileştirme, bir hakkın tesisi ve kullanılması, sır saklama yükümlülüğü altındaki kişilerce sağlık hizmeti sunumu, istihdam ve sosyal güvenlik yükümlülükleri, belirli kuruluşların üyelerine yönelik faaliyetleri ve sigorta işlemleri. Müşteri deneyimini iyileştirmek, reyon yerleşimini planlamak veya hırsızlığı azaltmak bunların hiçbiri değil. Meşru menfaat şartı 5. maddede vardır, 6. maddede yoktur; güvenlik kamerasını meşru menfaatle kurmuş olmanız aynı kamerayı yüz tanımaya açmanıza gerekçe olmaz.

Kurul'un konuya bakışını iki karardan okuyabilirsiniz. 4 Ağustos 2022 tarihli ve 2022/797 sayılı kararda, işe giriş çıkışta yüz tanıma sistemi kullanan veri sorumlusuna 500.000 TL idari para cezası verildi; Kurul manyetik kart ve RFID gibi daha az müdahaleci alternatifler varken biyometrik veri işlenmesini ölçüsüz buldu, aydınlatma metninde yüz tanımadan hiç söz edilmemesini ayrıca tespit etti ve toplanan biyometrik verilerin imhası için talimat verdi. Daha az bilinen 7 Temmuz 2022 tarihli ve 2022/662 sayılı karar ise çalışanı değil, bir işletmenin hizmet binasına giren kişileri konu alıyor. Veri sorumlusu el geometrisinin parmak izinden farklı olduğunu savunmuş, Kurul elin üç boyutlu olarak binlerce noktadan taranmasını fizyolojik özellik üzerinden yapılan otomatik bir kimlik denetleme yöntemi sayarak bunu biyometrik veri kabul etmiş ve 100.000 TL idari para cezasıyla birlikte verilerin yok edilmesine hükmetmişti. Ziyaretçiyi kapıda biyometrik olarak tanımlamanın hukuki karşılığını gösteren en net örneklerden biri.

29 Nisan 2026 tarihli ve 2026/921 sayılı ilke kararı doğrudan mesai takibiyle ilgili, ama kurduğu mantık mağaza kapısındaki kamerayı da bağlıyor. Kurul, şifreli kart veya PIN tabanlı sistemler, RFID ve NFC kartlar gibi alternatiflerin varlığı karşısında "ilgili kişilerin açık rızası bulunsa dahi" mesai takibi amacıyla biyometrik veri işlenmesinin 4. maddedeki ölçülülük kriterini sağlamayacağını söyledi. Çalışan tarafında bile rıza kurtarmıyorsa müşteri tarafında hiç kurtarmaz, çünkü perakendede alternatif yöntem bolluğu var: kasa fişi verisi, sadakat programı, kart hareketleri, kapı sayacı, anket, mobil uygulama. Yüz tanımanın sunduğu ek kazancı bu yöntemlerin toplamıyla karşılaştırdığınızda elinizde genellikle "daha kolay oluyordu" argümanı kalıyor. Ölçülülük testinde kolaylık, zorunluluk yerine geçmez.

Kara liste uygulaması ayrı bir başlık hak ediyor, çünkü mağazacılıkta en çok konuşulan senaryo bu. Fikir basit görünür: daha önce hırsızlık yaptığı düşünülen kişilerin yüzü sisteme kaydedilir, aynı kişi içeri girdiğinde güvenlik uyarı alır. İspanya'da bir süpermarket zinciri tam olarak bunu denedi ve İspanyol veri koruma otoritesi 2021 yılında 2.520.000 avro idari para cezası verdi. Cezanın ana gerekçesi listedeki kişiler değildi; sistem çalıştığı sürece mağazaya giren bütün müşterilerin, çocukların ve çalışanların yüzü işleniyordu ve bu, gereklilik ile ölçülülük ilkelerine aykırı bulundu. Türkiye'de aynı kurulumun karşılığı Kanun'un 6. maddesine aykırılıkla sınırlı kalmaz. Bir kişiyi hakkında kesinleşmiş bir karar yokken hırsız olarak etiketleyip kaydetmek 4. maddedeki doğru olma ilkesiyle çatışır, kişilik haklarına saldırı nedeniyle tazminat davasının konusu olur ve hukuka aykırı biçimde kişisel veri kaydetmek Türk Ceza Kanunu'nun 135. maddesi kapsamında değerlendirilebilir. Kamera görüntüsünü mağaza vitrinine asmak veya sosyal medyada paylaşmak ise başlı başına yeni bir ihlaldir.

Peki sayma ve ısı haritası sistemleri gerçekten güvenli tarafta mı? Cevap kurulumun ayrıntısında. Kamera görüntüyü işlediği anda kişisel veri işlenmiş olur; belirleyici olan bu işlemeden geriye ne kaldığı. Tedarikçiye şu beş soruyu yazılı sorun: Görüntü cihazın dışına çıkıyor mu, yoksa analiz cihaz üzerinde mi yapılıyor? Ham görüntü veya kare kaydediliyor mu, kaydediliyorsa ne kadar süreyle? Sistem aynı kişiyi farklı ziyaretlerde eşleştirebiliyor mu? Yüz görüntüsünden çıkarılan bir şablon veya vektör üretiliyor mu? Bakım ve destek için tedarikçi canlı görüntüye uzaktan erişebiliyor mu? Cevapların hepsi "hayır" ise elinizde kalan toplu sayılar için anonim demek savunulabilir hale gelir. Tek bir "evet" varsa ortada kişisel veri işleme faaliyeti vardır ve aydınlatmadan saklama süresine kadar bütün yükümlülükler devrededir. Anonimleştirmenin ölçütü geri döndürülemez olmasıdır, tedarikçinin sunumunda o kelimenin geçmesi değil.

Yaş ve cinsiyet tahmini yapan dijital ekranlar arada kalan bir alan. Sistem yüzü tanımıyor, yalnızca kadraja giren kişinin yaş aralığını ve cinsiyetini tahmin edip reklamı ona göre değiştiriyorsa ortada benzersiz kimlik tespiti olmadığı için bunu biyometrik veri saymamak mümkündür. Ancak bu, işlemenin KVKK dışında kaldığı anlamına gelmez. Ekranın önünden geçen kişinin görüntüsü işlenmiştir, tahmin edilen cinsiyet verisi o an için o kişiye ilişkindir ve bazı kurulumlarda ekranın bakış süresini, duraklama anını, hatta tepkisini ölçen ek modüller de bulunur. Buradaki doğru refleks, sistemi kurmadan önce hangi verinin hangi saniyede silindiğini yazılı olarak tespit etmek ve mağaza girişinde bunu duyurmak. Bir de şu var: tahmin yanlış olabilir ve yanlış varsayımla kurulan bir kişiselleştirme, müşteriyi rahatsız etmenin ötesinde ayrımcılık tartışması doğurabilir.

Wi-Fi üzerinden konum analitiği, kameranın gölgesinde kalan ama aynı ölçüde riskli bir yöntem. Mağaza içine yerleştirilen erişim noktaları, telefonların yayınladığı sinyalleri dinleyerek cihazın MAC adresini görür ve buradan ziyaret süresi, tekrar ziyaret sıklığı, mağaza önünden geçip girmeyenlerin oranı gibi ölçümler çıkarılır. MAC adresi bir cihazı benzersiz biçimde ayırt ettiği için, özellikle misafir Wi-Fi kaydı, sadakat kartı veya kasa verisiyle birleşebildiği her senaryoda kişisel veri olarak ele alınmalıdır. MAC adresini özetleyip saklamak da tek başına anonimleştirme sayılmaz; aynı adres her seferinde aynı özeti üretiyorsa kişiyi takip etme kabiliyeti aynen devam eder. İşin bir de teknik ironisi var: güncel iOS ve Android sürümleri rastgele MAC adresi ürettiği için bu ölçümlerin doğruluğu zaten tartışmalı. Misafir Wi-Fi'da 5651 sayılı Kanun kapsamında tutulan iç IP dağıtım kayıtlarını da bu analitikle karıştırmayın. O kayıtlar yasal yükümlülük için tutulur, pazarlama raporu üretmek için değil; amaçla bağlantılı, sınırlı ve ölçülü olma ilkesi tam olarak burada devreye girer.

Mağaza kameralarında en sık yapılan hata amaç kayması. Kamera hırsızlığı önlemek için kurulur, aradan bir yıl geçer, pazarlama ekibi aynı kayıtlardan reyon yoğunluğu analizi ister. Kurum'un 8 Haziran 2026 tarihli kamuoyu duyurusu bu noktada açık: "Güvenlik kameralarının kurulma amacının net bir şekilde belirlenmesi ve bu amaç dışında çalışanların devam durumu veya performansını izleme gibi başka amaçlar kapsamında kullanımından kaçınılması gerekir." Aynı duyuru üç konuyu daha perakendeye doğrudan dokunacak şekilde ele alıyor. Tuvalet, soyunma odası, mescit ve dinlenme alanı gibi yerlere kamera konulmamalı; deneme kabinlerinin önünü ve içini gören kurulumlar mağazacılıkta hala karşımıza çıkıyor. Ses kayıt özelliği bulunan kameralar için duyuru, bunun özel hayatın gizliliğine son derece müdahaleci bir yöntem olduğunu ve gerekliliği açıkça ortaya konulmadan kullanılmaması gerektiğini söylüyor. Saklama süresi konusunda ise mümkün olan en kısa sürenin yeterli görülmesini ve sistemde otomatik imha mekanizması bulunmasını istiyor.

Aydınlatma tarafında iki ayrı iş var ve çoğu mağaza ikisini birbirine karıştırıyor. Girişteki levha aydınlatmadır, rıza değildir. Levhada "güvenlik amaçlı kamera kaydı yapılmaktadır" yazıp arka planda yaş ve cinsiyet analizi çalıştırmak eksik aydınlatmadır. Kurul'un 18 Şubat 2026 tarihli ve 2026/347 sayılı ilke kararı, aydınlatma metinlerinde "genel nitelikte, farklı anlaşılmaya müsait, eksik, ilgili kişileri yanıltıcı ve yanlış bilgilere yer verilmesi" uygulamasını hukuka aykırı sayıyor. Aynı ilke kararı açık rıza ile aydınlatma metinlerinin iç içe geçmiş tek bir metin olarak sunulmasını ve aydınlatma yapıldığına dair rıza istenmesini de kabul etmiyor. Pratikte katmanlı yöntem işe yarar: kapıda kısa ve okunabilir bir levha, levhada bir kare kod, kodun arkasında hangi kameranın hangi amaçla ne kadar süre kayıt tuttuğunu anlatan ayrıntılı metin. Aydınlatma yükümlülüğünün ihlali 2026 tutarlarıyla 85.437 TL ile 1.709.200 TL arasında idari para cezası anlamına geliyor; veri güvenliği yükümlülüğünde üst sınır 17.092.242 TL.

Son olarak tedarikçi ilişkisini gözden kaçırmayın. Analitik yazılımı sağlayan şirket çoğu kurulumda veri işleyendir ve Kanun'un 12. maddesi gereği sizinle birlikte müştereken sorumludur; aranızda işleme amacını, süreleri ve güvenlik tedbirlerini yazan bir sözleşme yoksa denetimde ilk açık orası olur. Görüntü veya ölçüm verisi yurt dışındaki bir bulut sunucusunda işleniyorsa 9. maddedeki yurt dışına aktarım rejimi devreye girer; standart sözleşme imzalıyorsanız bunu imza tarihinden itibaren beş iş günü içinde Kuruma bildirmeniz gerekir. Kısa bir kontrol listesiyle bitirelim. Mağazadaki her kamerayı ve erişim noktasını amacıyla birlikte listeleyin, analitik kurulumunu kişisel veri işleme envanterinize ayrı bir faaliyet olarak yazın, yüz tanıma modülü varsa kapatın ve kapatıldığını konsol ekran görüntüsüyle belgeleyin, deneme kabini ve dinlenme alanı açılarını kontrol edin, saklama süresini tanımlayıp otomatik imhayı açın, aydınlatma levhalarınızı gerçekte yapılan işlemeye göre güncelleyin. KVKK Danışman'ın ücretsiz ön değerlendirmesinde mağaza kamera kurulumunuzu, analitik tedarikçi sözleşmenizi ve aydınlatma metinlerinizi birlikte gözden geçiriyoruz.

Randevu Al