Çalışanınızın ya da müşterinizin fotoğrafını paylaşabilir misiniz? Yüz, kişisel veridir

Kısa cevap: evet, ama izinle; ve o izin çekim gününde ağızdan alınan bir "olur" değil, dosyanızda duran bir kayıttır. Bir insanın yüzü kişisel veridir. Çalışanınızın tezgâh başındaki fotoğrafı da, müşterinizin masadaki fotoğrafı da işletme hesabından paylaşıldığı an bir veri işleme faaliyeti olur; aile albümünün kuralları burada geçmez. Drone yazısında "komşunun yüzü varsa bu artık kişisel veri sorusudur" demiştik; çekim günü yazısında izinleri hazırlık listesine koymuştuk. İkisinin açılımı burada.

Fotoğraf neden kişisel veri

Kişisel Verilerin Korunması Kanunu kişisel veriyi "kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi" diye tanımlar (madde 3). Yüz, kişiyi belirlenebilir kılan en kestirme bilgidir; isim yazılmasa da öyledir. Aynı madde açıklamayı ve aktarmayı işleme sayar: paylaşmak, işlemektir.

Kural KVKK'dan yaşlıdır. 1951 tarihli Fikir ve Sanat Eserleri Kanunu'nun 86. maddesi, eser niteliğinde olmasalar bile resim ve portrelerin tasvir edilen kişinin muvafakati olmadan umuma arz edilemeyeceğini söyler. İstisnaları üçtür: siyasi ve sosyal hayatta rol oynayan kişiler, resmî tören ve genel toplantı görüntüleri, günlük olaylara ilişkin haberler; tanıtım gönderisi hiçbirine girmez. İki kanun aynı kapıya çıkar: yüz sizin değil, sahibinin.

İzinsiz paylaşımın mümkün olduğu hâller

Kanun açık rızayı kural, istisnaları liste yapar (madde 5). İşletme hesabı için işe yarayabilecek üç istisna var ve üçü de sanıldığından dar:

Sözleşme. Kurul, bir giyim mağazasının katalog modelinin fotoğraflarını sözleşmeye dayanarak yayınlamasını hukuka uygun buldu; fotoğraf çekilmek işin kendisiydi ve şirketin beyanına göre ürünün stoku bitince fotoğraflar kaldırılmıştı (2022/491). Bizim okumamız: muhasebecinizin iş sözleşmesi aynı şeyi söylemez, çünkü fotoğrafı iş tanımının parçası değildir.
Alenileştirme. Kişi fotoğrafı kendi hesabından paylaşıp sizi etiketlediyse, o paylaşımı aynı bağlamda göstermek genelde sorun çıkarmaz. Başka amaçla, başka yerde kullanmak çıkarır.
Meşru menfaat. Kişinin temel haklarına zarar vermemek kaydıyla tanınır; tanıtım amacıyla yüz paylaşımında bu teraziyi işletme lehine çevirmek zordur, biz buna yaslanmıyoruz.

Bir de belirlenemezlik var: geniş planda kimsenin yüzü seçilemiyorsa ortada kişisel veri yoktur; yakın planda yüz varsa vardır.

Geçerli izin neye benzer

Açık rıza üç unsur ister: belirli bir konuya ilişkin olmalı, bilgilendirmeye dayanmalı, özgür iradeyle verilmeli (madde 3). Kurumun açık rıza rehberi her türlü işlemi kapsayan genel izinleri "battaniye rıza" sayar ve geçersiz der. Yazılı olması şart değildir, ama ispat yükü sizdedir; yazılı tutmanın tek sebebi budur.

İki tuzak Kurul kararında adlandırılmış: tek kutuyla birden çok amaca izin almak "belirli konu" unsurunu düşürür, izni hizmetin ön şartı yapmak "özgür irade" unsurunu sakatlar (2024/1361). Yani "izin vermeyene hizmet yok" da, "formun altındaki tek imza her şeye yeter" de diyemezsiniz.

İzin geri alınabilir ve geri alma ileriye dönük işler: talep ulaştığı anda gönderi iner. Bunun için hangi gönderide kimin olduğunu ve izninin nerede durduğunu bilmeniz gerekir.

Çalışanın fotoğrafı

İş sözleşmesi otomatik izin değildir. Çalışanın kamera karşısına kendi isteğiyle geçmesi rızadır, ama belgelenmemiş rızadır; sorun ayrılık günü çıkar: yüzü hesabınızda kalır, kaldırma isteği gelir, siz o günün kaydını ararsınız. Model kararında Kurul'un dikkat ettiği şey amacın bitmesiydi; amaç bitince fotoğraf da kalkmıştı. Çalışan için en temiz düzen, iznin ayrılık sonrasını da kapsadığının yazılı olması — yine de geri alınabilir — ya da ayrılıkta gönderilerin taranıp indirilmesidir.

Müşterinin fotoğrafı

Restoranın masadaki müşterisi, kuaförün koltuktaki müşterisi, kliniğin hastası: üçünde kural aynı, bedel farklı. Kurul'un bir kararında hasta, fotoğraflarının hastane tarafından kullanılmasına rıza vermişti; fotoğrafları paylaşan ise ameliyatı yapan doktorun kişisel hesabıydı. Kurul rızanın hastaneye verildiğini, doktora verilmediğini söyledi ve çalışanının paylaşımını önlemediği için hastaneye o tarihte 100.000 TL idari para cezası kesti (2022/630). İki ders: izin kime verildiyse onu kullanır; çalışanınızın kişisel hesabından paylaştığı müşteri fotoğrafının bedeli işletmeye yazılır.

Sağlık, estetik ve güzellik işletmeleri için bir kat daha var. Başka bir kararda hastane, hastalardan tanıtım için yazılı rıza almıştı; Kurul, sektör mevzuatı talep yaratıcı tanıtımı yasakladığı için rızanın dayanak olamayacağına karar verdi ve 250.000 TL ceza kesti (2023/787). Tanıtımın kendisi yasaksa izin almak onu açmaz. Ayrıca fotoğraf sağlık, kılık kıyafet ya da dinî inanç gibi özel nitelikli veriyi de gösterebilir; o verilerin işlenmesi kural olarak yasaktır, istisnaları sayılıdır (madde 6).

Ajansla çalışıyorsanız

Kanun iki rol tanır: amacı belirleyen veri sorumlusu ve onun adına işleyen veri işleyen. Hesap sizin, amaç sizin: sorumlu işletmedir, ajans işleyendir. Bu yüzden izinler ajansın telefonunda değil sizin dosyanızda durur; çekimden önce kimin görüneceği liste olarak yazılır, görünmeyecek olan kurguda çıkarılır, ham dosyalar yayına girmez. Çekim günü mekânda asılan duyuru aydınlatma yükümlülüğünün başlangıcıdır, tamamı değil; neyin söyleneceği 10. maddede sayılıdır.

Ne zaman dert etmemeli

Geniş planda kimsenin seçilemediği kalabalık ve kişinin kendi paylaşıp sizi etiketlediği fotoğraf yukarıda yazıldı. Bir hâl daha: haber niteliğindeki kamusal etkinlik FSEK'in istisnasıdır, işletmenin tanıtım gönderisi haber değildir. Aile albümü istisnası ise sanıldığından dardır: Kanun yalnız üçüncü kişilere verilmeyen, kişinin kendisi ve aynı evde yaşayan ailesiyle ilgili işlemeyi kapsam dışı tutar (madde 28); herkese açık bir hesap bu tanıma sığmaz, işletme hesabı hiç sığmaz.

Çekimden önce beş kontrol

Görünecek kişilerin listesi var mı, her birinin izni yazılı mı?
İzin tek konuya mı bağlı — bu çekim, bu hesaplar, bu süre — yoksa battaniye mi?
İzin hizmetin şartı mı yapıldı? Yapıldıysa geçersizdir.
Çalışan ayrılınca ya da müşteri vazgeçince gönderiyi kim bulup kaldıracak?
Sektörünüzde tanıtımın kendisi sınırlı mı (sağlık, hukuk, eğitim)? Sınırlıysa önce o kural.

Bunu neden yazıyoruz

Çekim planlarımızda "izinler" ayrı bir satırdır: görüntüye giren çalışanlar ve müşteriler, mekân sahibi, gerekiyorsa uçuş alanı. Yüzün sahibine ait olduğunu herkes bilir; eksik olan bilgi değil, kayıttır. Bu yazı hukuki görüş değildir; kanun metinleri ve Kurul kararları yukarıda bağlantılı, kendi sektörünüz için bir hukukçuya danışın. Çekimi nasıl planladığımızı video prodüksiyon sayfamızda anlattık.