Görsel İçeriklerde KVKK Uyumu: Telif, Yüz Tanıma ve Kişisel Veri

Görsellerin kişisel veri sayıldığı durumlar

Bir fotoğrafın kişisel veri sayılması için o fotoğraftan kimin göründüğünün tespit edilebilmesi yeterlidir. Tespit, fotoğrafa bakanın "bu kişiyi tanıyabilirim" diyebileceği durumdur; ismin veya kimlik numarasının fotoğrafla birlikte sunulması şart değildir.

KVKK'nın 3. maddesine göre kişisel veri, "kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi"dir. Belirlenebilirlik geniş yorumlanır: doğrudan tanımlayıcılar (ad, T.C. kimlik numarası) yanında dolaylı tanımlayıcılar da kapsama girer. Tanınabilir bir yüz, tipik bir dolaylı tanımlayıcıdır.

Stok fotoğrafçılık sitelerinden alınan görsellerde çoğunlukla "model release" (model izin belgesi) bulunur. Bu belge, modelin ticari kullanıma onay verdiğini gösterir; fotoğrafı çeken ajansla model arasındaki sözleşmeyi yansıtır. Ancak KVKK açısından bu belge tek başına yeterli değildir. Türkiye'de veri işleyen taraf sizsiniz ve aydınlatma yükümlülüğü size aittir.

Kamu alanında çekilen, pek çok kişiyi kapsayan fotoğraflar için değerlendirme biraz farklıdır. Bir etkinlik fotoğrafında yüzlerce kişi varsa ve hiç kimse ön plana çıkarılmıyorsa, kişisel veri işleme tartışmalı olmaya devam eder; ancak tanınabilir kişilerin ön planda yer aldığı karelerde değerlendirme daha kesin bir hal alır.

Özel nitelikli veri olarak biyometrik bilgi

KVKK, bazı veri kategorilerini "özel nitelikli" olarak tanımlar ve işlenmesine daha sıkı koşullar bağlar. 6. madde bu listeyi sayar: ırk ve etnik köken, siyasi düşünce, felsefi inanç, din, kılık-kıyafet, dernek veya sendika üyeliği, sağlık, cinsel yaşam, ceza mahkumiyeti ve biyometrik veriler.

Biyometrik veri, yüz geometrisi, parmak izi, iris taraması gibi kişiyi eşsiz biçimde tanımlamaya yarayan fiziksel özellikleri kapsar. Klasik bir fotoğraf, teknik olarak işlenmiş yüz geometrisi verisi içermez; yüz tanıma algoritmasının görüntü üzerinde çalıştırılıp çalıştırılmadığına bağlıdır bu.

Uygulamada sınır bulanıktır. Bir görseli web sayfasına yükleyip bir CDN veya görsel optimizasyon servisi üzerinden sunmak, bu servisin yüz tespiti ya da nesne tanıma çalıştırıp çalıştırmadığına bağlı olarak veri işleme kapsamını genişletebilir. Kullandığınız görsel CDN'nin metadata veya analiz politikasını okumak, teknik bir detay olmaktan çıkar ve hukuki bir gereksinim hâline gelir.

Telif hakkı ve kişisel veri: aynı dosyada iki ayrı yükümlülük

Bir fotoğrafın lisanslı olması, o fotoğraftaki kişilere ilişkin veri işleme iznini içermez. Telif hakkı, eserin yaratıcısına ait ekonomik ve manevi haklarla ilgilidir; görüntülenen kişinin hakları ayrı bir düzlemde ele alınır.

Somut örnek: Bir şirketin "ekibimiz" sayfasında çalışanların fotoğrafları yer alıyorsa, iş sözleşmesi bu kullanım için genel olarak yeterli hukuki dayanak sayılmaz. Çalışanın fotoğrafının web sitesinde yayınlanacağı ve hangi amaçla kullanılacağı konusunda ayrıca bilgilendirilmesi, rızasının alınması ya da meşru menfaat gibi başka bir hukuki dayanağın açıkça tespit edilmesi gerekir.

Sosyal medyadan alınan görseller daha karmaşık bir tablo sunar. Bir kullanıcının herkese açık paylaşımını, rızası olmadan kendi sitenize taşımak hem telif hakkı hem de KVKK ihlali olabilir. Platformun "herkese açık" ayarı, üçüncü taraf sitelerin içeriği kullanmasına izin anlamına gelmez.

Telif hakkı ihlalleri Fikir ve Sanat Eserleri Kanunu kapsamında değerlendirilir; başvurulan yol hukuk mahkemeleri ve icra süreçleridir. KVKK ihlalleri ise Kişisel Verileri Koruma Kurumu (KVKK Kurumu) tarafından idari para cezasıyla sonuçlandırılabilir. İkisi aynı anda işletilebilir ve birinin çözüme kavuşması diğerini kapatmaz.

Aydınlatma yükümlülüğü ve hukuki dayanak seçimi

KVKK'da veri işlemenin hukuki dayanakları 5. maddede sıralanır. Açık rıza bunlardan yalnızca biridir; sözleşmenin kurulması veya ifası, veri sorumlusunun meşru menfaati ya da kanunda öngörülme gibi başka dayanaklar da tanınır.

Hangi hukuki dayanak seçileceği fotoğrafın bağlamına göre değişir. Çalışan fotoğrafı için meşru menfaat savunulabilir olmakla birlikte bu değerlendirmenin belgelenmesi gerekir; kişinin temel haklarına orantısız müdahale sayılmayacağı gösterilmelidir. Etkinlik fotoğraflarında katılımcıların önceden bilgilendirilmesi ve fotoğraflanmak istemeyenlere seçenek sunulması, hem KVKK hem etkinlik yönetimi açısından standart pratik hâline gelmiştir.

Aydınlatma yükümlülüğü, veri işlemeden önce ya da en geç veri işleme anında yerine getirilir. Sitenizin "Gizlilik Politikası" sayfasında genel bir metin yayınlamak, etkinlik fotoğraflarındaki her katılımcı için bu yükümlülüğü karşılamaz. Aydınlatma metni, ilgili kişiye ulaşmalıdır.

Görsellerde gizlenmiş veri: EXIF ve metadata riskleri

Fotoğraf dosyalarının içinde, görsel içeriğin yanı sıra metadata bulunur. EXIF verileri; konum bilgisi, çekim tarihi, kamera modeli ve çoğu zaman fotoğrafçının adını içerir. GPS koordinatları, kişinin belirli bir tarihte belirli bir konumda bulunduğunu ortaya koyar; bu, lokasyon verisi niteliği taşır.

Pratikte sık atlanan nokta şudur: web sitenize yüklenen orijinal fotoğraflarda EXIF verileri sıklıkla korunur. WordPress, yükleme sırasında bazı metadata'yı temizler; ancak bu davranış yapılandırmaya ve kullanılan eklentilere göre değişir. Görsel optimizasyon araçları da farklı davranır: bir kısmı EXIF'i varsayılan olarak kaldırır, bir kısmı korur.

Konum verisi içeren bir fotoğrafı web sitenize yükleyip sunmak, o fotoğraftaki kişinin lokasyon bilgisini dolaylı olarak yayınlamak anlamına gelebilir. Çocukların yer aldığı görsellerde bu risk daha ağır değerlendirilir. Yayınlanacak fotoğraflardan EXIF verisini temizlemek, teknik iyi uygulama olduğu kadar KVKK'nın 4. maddesinde geçen veri minimizasyonu ilkesinin de gereğidir: işlenen veriler, amaç için gerekli olandan fazla olmamalıdır.

Görsel yayınlamada pratik uyum adımları

Hukuki metinler, somut durumlara nasıl uygulanacağı konusunda her zaman yeterli rehberlik sunmaz. Aşağıdaki çerçeve, web sitesi operatörleri için temel adımları özetler:

• Tanınabilir kişi içeren her görsel için hukuki dayanak belirleyin: açık rıza, sözleşme, meşru menfaat veya kanunda öngörülme. Dayanağı kayıt altına alın.
• Stok görsellerde model release belgesi olduğunu doğrulayın; eksikse yayınlamayın veya yalnızca AI ile üretilmiş, gerçek kişiye ait olmayan görselleri tercih edin.
• Etkinlik veya toplu fotoğraflarda, çekimden önce katılımcıları bilgilendirin; itiraz edebileceklerini ve fotoğrafların nerede yayınlanacağını açıklayın.
• Yükleme öncesinde görselleri EXIF temizleme adımından geçirin; özellikle konum verisini kaldırın.
• Yüzlerin görünmesini gerektirmeyen kullanım senaryolarında bulanıklaştırma uygulayın ya da o kareyi hiç yayınlamayın.
• CDN veya görsel işleme servislerinizin veri işleme politikalarını inceleyin; bu servislere aktarılan görseller için veri işleme sözleşmesi (DPA) düzenlenip düzenlenmediğini kontrol edin.

Yüzün görünmesi zorunlu değilse yayınlamamak, en temiz uyum yoludur. Minimizasyon ilkesi hem riski azaltır hem de olası ihlal durumunda savunmayı güçlendirir.

KVKK ihlallerinde yaptırım ve denetim süreci

Kişisel Verileri Koruma Kurumu, şikayet üzerine veya resen inceleme başlatabilir. İdari para cezaları, kurumun 2016'daki kuruluşundan bu yana düzenli olarak uygulanmaktadır; ceza miktarları her yıl yeniden değerleme katsayısıyla artırılır. Aynı ihlal için hem veri sorumlusuna hem de veri işleyene ceza kesilebilir; web sitesi sahibi veri sorumlusu, kullandığı üçüncü taraf servisler ise veri işleyen konumundadır.

Veri ihlali bildirimi yükümlülüğü ayrıca ele alınır. Bir güvenlik açığı nedeniyle fotoğraf koleksiyonunuza yetkisiz erişim gerçekleştiğini tespit ederseniz, olayı Kurum'a 72 saat içinde bildirmeniz gerekir. Bu yükümlülüğü karşılamamak, asıl ihlalden bağımsız bir ceza nedeni olabilir.

Görsel içerik, çoğunlukla KVKK uyum çalışmalarında ikincil planda kalır; politikalar, çerez yönetimi veya CRM verileri öne çıkar. Ancak sosyal medya paylaşımları, etkinlik arşivleri ve müşteri başarı hikayeleri içindeki fotoğraflar, şikayet kaynağı olarak sıklıkla karşılaşılan alanlardandır. Birinin kendi fotoğrafını sitenizden kaldırmanızı istemesi, KVKK'nın 11. maddesi kapsamında bir silme veya yok etme talebidir ve belirli süre içinde yanıtlanması zorunludur.

Görsel uyum çalışması, bir defaya mahsus bir temizlik değildir. Yeni içerik üretildikçe, yeni servisler entegre edildikçe ve mevzuat gelişimini sürdürdükçe değerlendirme güncellenmek zorundadır. Bunu bir süreç olarak kurmak, tek tek kararlar almaktan çok daha az zaman ve risk içerir.

Web sitesine görsel eklemek, artık yalnızca tasarım veya SEO kararı değildir. Bir fotoğrafın telif hakkının temiz olması, o görseli KVKK açısından sorunsuz kılmaz; iki rejim ayrı ayrı değerlendirilir ve her birinin kendi hukuki dayanağı, belgeleme gereksinimi ve denetim mercii vardır. Uyum için gereken adımlar karmaşık değildir; hangi sorular sorulacağını bilmek, adımların büyük bölümünü otomatikleştirmeye yeterlidir.