Veri koruma: ICO ücreti, kamera ve müşteri verisi ​

Bir restoran ya da takeaway sandığından fazla kişisel bilgi işler: siparişler ve rezervasyonlardan gelen adlar, telefon numaraları ve adresler, personel kayıtları ve kameran varsa güvenlik kamerası (CCTV) görüntüleri. Veri koruma hukuku hepsi için geçerlidir ve birçok küçük işletmeyi yakalayan bir kural vardır: suçu önlemek için kullanılan bir CCTV kamerası, ICO’ya yıllık ücret ödemen gerektiği anlamına gelir. Bu rehber Birleşik Krallık’ın tamamını kapsar. 30 Eylül 2026’dan beri düzenleyici kurum Information Commission’dır; ofisinin adı hâlâ ICO’dur.

Veri koruma ücreti ​

Kişisel bilgi kullanan her kuruluş, şahıs işletmeleri dahil, muaf değilse ICO’ya yıllık bir veri koruma ücreti (data protection fee) öder.

Kişisel bilgiyi yalnızca personel yönetimi, kendi işletmesinin reklam ve pazarlaması ve muhasebe ve kayıt tutmak için kullanan işletmeler muaftır.

CCTV seni muafiyetin dışına çıkarır. ICO’ya göre suçu önlemek için CCTV kullanan her işletme, başka ne yaparsa yapsın ücreti ödemek zorundadır. Diğer durumlarda ödemen gerekip gerekmediğini ICO’nun kayıt öz değerlendirmesi söyler. Muaf bir işletme de veri koruma hukukunun geri kalanına uymak zorundadır.

Ne kadar, 17 Şubat 2025’ten beri:

Otomatik ödeme talimatıyla (direct debit) ödersen £5 indirim olur. Ücret 12 ayı kapsar ve her yıl yenilenir. Ödememenin cezası £4.350’ye kadar çıkabilir.

Restoran ya da takeaway’de CCTV ​

ICO’nun dükkân ya da kafe gibi küçük sistemler için bir kontrol listesi var. Kısaca:

• Açık bir neden. Kameraların çözeceği sorunu tanımla (örneğin suçu önlemek ve tespit etmek ya da insanları güvende tutmak), hukuki dayanağını kaydet ve sistemden sorumlu tek bir kişinin adını belirle.
• Levhalar. CCTV kullanıldığını gösteren görünür levhalar as; sistemi kimin işlettiği belli değilse iletişim bilgisi de koy.
• Kamerayı mekânına çevir. Kameraları özel alanları ya da sana gelmeyen insanları görmeyecek şekilde yerleştir. ICO’nun kendi örneği, kamerası yakındaki bir daireyi gören ve açısını ayarlamak zorunda kalan bir kafedir.
• Ses kapalı. Sistem ses kaydedebiliyorsa, açıkça gerekçelendiremiyorsan kapat.
• Yalnızca gerektiği kadar sakla. Sabit bir süre yoktur, süreyi amacın belirler. Kayıt cihazı izin veriyor diye altı ay değil.
• Erişimi kısıtla. Görüntüleri yalnızca birkaç belirli kişi görebilmeli ve güvenli saklanmalıdır.
• Görüntü talepleri. Kendi görüntüsünü isteyen biri bir erişim talebi (subject access request) yapıyordur: bir ay içinde yanıt vermen gerekir ve talebi işlerken görüntünün silinmesini önlemelisin. Sistem suçu önlemek ve tespit etmek için kurulduysa görüntüyü polise vermek genellikle uygundur.
• Personel. Kameralar ekibini de izliyorsa, personele neyin ve neden izlendiğini söyle ve önce bir veri koruma etki değerlendirmesi (DPIA) yap. Çalışanları gizlice izlemek yalnızca çok istisnai durumlarda haklı görülebilir.

Sipariş ve rezervasyonlardan gelen müşteri bilgileri ​

ICO’nun küçük işletmeler için ilkeleri birkaç alışkanlığa iner:

• Yalnızca gerekeni topla. Teslimat için adres, rezervasyon için ad ve telefon numarası yeterlidir.
• Nedenini anlat. Neyi ve neden topladığını, insanların sana ve ICO’ya şikâyet edebileceğini bir gizlilik bildiriminde açıkla.
• Güvenli tut ve yalnızca gerektiği kadar sakla, sonra sil.
• Birinin sağlığına dair bilgi hukukta özel nitelikli veridir ve ekstra özen ister.

19 Haziran 2026’dan beri şikâyet prosedürü. Her kuruluş, kişisel bilgileri nasıl kullandığına dair şikâyet etmeyi kolaylaştırmak zorundadır; örneğin internetten doldurulabilen bir formla. Şikâyetin alındığını 30 gün içinde bildirmen ve gereksiz gecikme olmadan ilgilenmen gerekir.

Pazarlama e-postaları ve mesajları ​

Bir kez sipariş vermiş herkese kampanya mesajı atamazsın.

• Onay: açık bir kabul. Önceden işaretli kutular, sessizlik ya da hiçbir şey yapmamak onay sayılmaz.
• Soft opt-in, mevcut müşterilere önceden sormadan e-posta ya da mesaj göndermene izin verir; ama yalnızca şu durumda: bilgilerini senden bir şey alırken ya da almak için görüşürken aldıysan, kendi benzer ürünlerini pazarlıyorsan, bilgilerini alırken reddetme fırsatı verdiysen ve her mesajda bu fırsatı yeniden veriyorsan.
• Her mesajda ücretsiz ve basit bir abonelikten çıkma yolu olmalıdır.
• Satın alınmış bir liste soft opt-in kapsamına girmez.

Veri kaybolur ya da çalınırsa ​

Kişisel veri ihlali; kişisel bilgilerin yanlış kişiye gönderilmesi, üzerinde bu bilgiler olan bir telefonun ya da dizüstü bilgisayarın kaybolması veya çalınması ya da erişmemesi gereken birinin erişmesi olabilir.

• Öğrendikten sonra 72 saat içinde ICO’ya bildir; kimseyi riske atması olası değilse bildirmen gerekmez.
• Etkilenen kişilere risk yüksekse gereksiz gecikme olmadan haber ver.
• Her ihlalin kaydını tut, bildirmen gerekmeyenler dahil.

Kısa kontrol listesi ​

• Veri koruma ücreti ödemen gerekip gerekmediğine bak. CCTV varsa gerekir.
• CCTV: tanımlı bir neden ve sorumlu bir kişi, levhalar, ses kapalı, kısa saklama süresi, az sayıda erişimi olan kişi.
• Müşteriler için, şikâyet hakkını da anlatan bir gizlilik bildirimi.
• Şikâyet almanın bir yolu; 30 gün içinde alındı bildirimi.
• Pazarlama yalnızca onayla ya da gerçek bir soft opt-in ile; her mesajda çıkış yolu.
• İhlalde ne yapacağını bil: bildirmek için 72 saat.

Kaynaklar ​

• ICO, Data protection fee: kademeler ve tutarlar, otomatik ödeme indirimi; Exemptions; Changes to the data protection fee: 17 Şubat 2025’ten itibaren tutarlar; FAQs, 2 Ekim 2026: suç önleme amaçlı CCTV ücret gerektirir ve “the Information Commission’s Office”.
• ICO, Guidance on video surveillance (including CCTV): küçük sistemler için kontrol listesi, saklama süresi ve ses kaydı, görüntü talepleri ve polise verme. ICO bu rehberin Data (Use and Access) Act 2025 sonrasında gözden geçirildiğini belirtiyor.
• ICO, Data protection and monitoring workers: çalışanları bilgilendirmek, gizli izleme, etki değerlendirmesi.
• ICO, Data protection principles, definitions and key terms: yalnızca gerekeni toplamak, saklama süresi, güvenlik, özel nitelikli veri olarak sağlık bilgisi.
• ICO, How do we prepare to handle data protection complaints? ve The Data (Use and Access) Act 2025: what does it mean for organisations?, 19 Haziran 2026: şikâyetler, 30 gün.
• ICO, How do we comply with the PECR electronic mail marketing rules?: onay, soft opt-in, çıkış hakkı, satın alınmış listeler.
• ICO, Personal data breaches: a guide: 72 saat, kişileri bilgilendirmek, kayıt tutmak.
• legislation.gov.uk, The Data (Use and Access) Act 2025 (Commencement No. 9 and Transitional and Saving Provisions) Regulations 2026: 30 Eylül 2026’dan itibaren Information Commission.

Bu rehber genel bilgidir, hukuki danışmanlık değildir. Kendi işletmen için ICO’nun küçük kuruluşlara yönelik tavsiyelerine bak ya da bir veri koruma danışmanına sor.