Otomasyonla veri toplarken hangi ilkelere dikkat edilmeli? Açık rıza, amaçla sınırlılık ve saklama süresi üzerine genel bir bakış.
Bu yazı hukuki tavsiye değildir Burada anlatılanlar genel bilgilendirme amaçlıdır ve hukuki görüş yerine geçmez. Kendi işinizin durumu, topladığınız verinin niteliği ve sektörünüz farklılık yaratır. Somut kararlar için mutlaka bir hukukçuya danışın. Otomasyon ve kişisel veri neden birlikte anılıyor? Otomasyon araçları doğaları gereği veri toplar; bir sayfayı takip eden, ilanları listeleyen veya gelen mesajları biriktiren her sistem arkasında bir kayıt bırakır. Bu kayıtların bir kısmı tamamen nesnel bilgidir: fiyat, tarih, stok adedi. Bir kısmı ise doğrudan ya da dolaylı olarak bir kişiyi işaret eder: telefon numarası, kullanıcı adı, mesaj içeriği, iletişim geçmişi. İkinci grup kişisel veri kapsamına girer ve toplanması, saklanması, paylaşılması belirli kurallara tabidir. Otomasyon bu iki grubu sizin adınıza ayırmaz; ayrımı kurgulayan sizsiniz. Kişisel Verilerin Korunması Kanunu, Türkiye'de bu alanın çerçevesini çizen temel düzenlemedir. Kanunun ayrıntıları ve ikincil düzenlemeler zaman içinde güncellenir; bu yüzden bu yazıda tek tek madde numaraları vermek yerine, uygulamada en sık karşınıza çıkacak ilkelere odaklanıyoruz. Amacımız sizi uyumlu hale getirmek değil, hangi soruları sormanız gerektiğini göstermek. Doğru soruları sorarak masaya oturduğunuzda, hukukçunuzla yapacağınız görüşme hem daha kısa hem de çok daha verimli geçer. Temel ilkeler: kısa bir çerçeve Hukuka uygunluk: verinin toplanması için geçerli bir dayanağınız olmalı. Amaçla sınırlılık: veriyi yalnızca belirlediğiniz ve duyurduğunuz amaç için kullanabilirsiniz. Ölçülülük: amaç için gerekli olandan fazla veri toplamamalısınız. Doğruluk ve güncellik: yanlış veya eskimiş veriyi düzeltmek veya silmek gerekir. Saklama süresi: verinin süresiz saklanması beklenmez, amaç ortadan kalktığında silinmelidir. Şeffaflık: kişinin verisinin toplandığından ve nasıl kullanılacağından haberi olmalıdır. Bu ilkeler kulağa soyut gelebilir, ama pratikte çok somut sorulara dönüşür. Bir ilan takip aracıyla ilan sahiplerinin telefon numaralarını topluyorsanız: bu numaraları hangi amaçla topluyorsunuz, o amacı kişilere bildirdiniz mi, numaraları ne kadar süre saklayacaksınız, kimlerle paylaşacaksınız? Bu dört sorunun net cevabı yoksa, uygulamanız teknik olarak çalışsa bile sorunlu demektir. İşin iyi tarafı, bu soruların cevabını yazmak genellikle bir saatinizi almaz. Açık rıza her zaman gerekli mi? Yaygın bir yanlış anlama, kişisel veri işlemenin tek yolunun açık rıza olduğudur. Kanun, rıza dışında da işleme dayanakları tanır; sözleşmenin ifası için zorunlu olması ya da veri sorumlusunun meşru menfaati gibi. Ancak bu dayanakların hangi durumda geçerli olduğu ayrıntı gerektiren bir değerlendirmedir ve genelleme yapmak risklidir. Açık rıza aldığınızda ise rızanın özgür iradeyle, belirli bir konuya ilişkin ve bilgilendirmeye dayalı olması beklenir; önceden işaretlenmiş bir kutucuk bu şartları karşılamaz. Uygulamada en çok karışan nokta, herkese açık bir yerde yayımlanmış verinin serbestçe kullanılabileceği varsayımıdır. Bir bilginin internette görünür olması, onu her amaçla toplayıp saklayabileceğiniz anlamına gelmez. Kişinin veriyi belirli bir amaçla paylaşmış olması, sizin başka bir amaçla kullanmanızı meşrulaştırmaz. Örneğin bir ilanda yayımlanmış numarayı o ilanla ilgili iletişim için kullanmakla, aynı numarayı toplu tanıtım mesajı listesine eklemek arasında ciddi bir fark vardır. Ticari elektronik ileti göndermek de ayrı bir düzenlemenin konusudur ve kişisel veri kurallarından bağımsız yükümlülükler getirir. Yani bir numarayı hukuka uygun biçimde elde etmiş olmanız, o numaraya tanıtım mesajı gönderebileceğiniz anlamına gelmez; iki konu farklı çerçevelerde değerlendirilir. Otomasyon kurarken bu ayrımı baştan yapmak, sonradan çok daha maliyetli olan düzeltmeleri önler. Hangi mesajın bilgilendirme, hangisinin tanıtım sayıldığı sınırı ise her zaman net değildir ve bu noktada hukuki görüş almak en sağlıklı yoldur. Şirkette en çok şu soruyla karşılaşıyorum: madem site açıkça gösteriyor, biz de kaydedebiliriz değil mi? Cevap her seferinde aynı: görünür olması amacı değiştirmez. Otomasyon kurarken pratik önlemler Toplayacağınız alanları önce listeleyin ve her biri için "buna neden ihtiyacım var" sorusunu yazılı cevaplayın. Gerekmeyen alanları hiç toplamayın; toplanmayan veri korunması gereken veri değildir. Kişiyi işaret eden alanları ayrı tutun ve erişimi sınırlayın. Bir saklama süresi belirleyin ve süre dolduğunda silmeyi bir kural haline getirin. Verinin nerede durduğunu bilin: bilgisayarınızda mı, bir bulut hizmetinde mi, hangi ülkede? Kimin eriştiğini kayıt altına alın; sonradan sorun çıktığında tek dayanağınız bu olur. Bu listedeki ikinci madde teknik olarak en etkili olanıdır. Veri toplama araçları genellikle sayfadaki her şeyi kaydetmeyi kolaylaştırır ve insan "belki lazım olur" diye fazlasını alır. Oysa toplanan her ek alan, hem sizin sorumluluğunuzu hem de olası bir sızıntının etkisini büyütür. Ölçülülük ilkesini teknik bir tercihe çevirmenin en basit yolu, otomasyonun çıktısında gereksiz sütunları baştan kapatmaktır. Bu, sonradan silmekten çok daha güvenlidir. Saklama, silme ve paylaşım Saklama süresi belirlemek, uygulamada en çok ertelenen adımdır çünkü hiçbir veriyi silmek istemeyiz. Ancak süresiz saklama hem ilkelere aykırıdır hem de pratik bir risktir: üç yıl önceki bir listenin sızması, bugünkü müşteri ilişkilerinizi etkiler. Süreyi belirlerken amaca bakın; amaç ortadan kalktıktan sonra veriyi tutmanın gerekçesi olmalıdır. Yasal saklama yükümlülüğü olan belgeler ayrı bir kategoridir ve bu ayrımı doğru kurmak için hukuki destek almak en sağlıklısıdır. Paylaşım tarafında ise en sık gözden kaçan şey üçüncü taraf hizmetlerdir. Verilerinizi bir bulut tablosuna, bir mesajlaşma aracına veya bir analiz hizmetine taşıdığınızda, o hizmetin nerede barındığı ve kimin erişebildiği sizin sorumluluk alanınıza girer. Ücretsiz araçlarda bu bilgi genellikle daha az şeffaftır ve koşullar habersiz değişebilir. Bir aracı kullanmaya karar vermeden önce veri işleme koşullarını okumak, sonradan yaşanacak pek çok sorunu daha ortaya çıkmadan önler. Basit bir öz denetim listesi Hangi verileri topluyorum? Neden topluyorum? Nerede duruyor? Kim erişebiliyor? Ne zaman silinecek? Bu beş sorunun yazılı cevabı olan bir işletme, olmayanların çok önündedir. Cevapları yılda bir kez gözden geçirin. Hata yaparsanız ne olur? Kişisel veri konusunda yapılan hataların çoğu kötü niyetten değil, farkındasızlıktan doğar. Bir sızıntı ya da yanlış kullanım fark ettiğinizde ilk refleks olayı küçültmek olmamalıdır; kapsamı belirlemek, etkilenen kişileri tespit etmek ve yükümlülüklerinizi hukukçunuzla değerlendirmek gerekir. Bildirim süreçleri ve süreleri konusunda mevzuat belirli kurallar içerir ve bu kurallar zamanla güncellenebilir. Bu nedenle bir olay yaşandığında internetteki genel bilgilere değil, güncel resmi kaynaklara ve hukuki desteğe yönelmek doğru olur. Sonuç olarak otomasyon ile veri koruma birbirinin karşıtı değildir; iyi kurgulanmış bir otomasyon, elle yapılan işten daha uyumlu olabilir. Çünkü otomasyon kuralları yazılı hale getirir, erişimi sınırlandırmayı kolaylaştırır ve silme işlemini düzenli biçimde yapmanızı sağlar. Belirleyici olan araç değil, aracı kurarken sorduğunuz sorulardır. Bu yazıdaki soruları kendi sisteminize uyarlayıp cevaplarınızı yazılı tutarsanız, hem daha güvenli hem de daha savunulabilir bir yapı kurmuş olursunuz.
Bilginin herkese açık olması, onu her amaçla toplayıp saklayabileceğiniz anlamına gelmez. Kişiyi işaret eden veriler söz konusuysa amaç, hukuki dayanak ve saklama süresi soruları yine karşınıza çıkar. Kişinin veriyi belirli bir amaçla paylaşmış olması sizin farklı bir amaçla kullanmanızı meşrulaştırmaz. Somut durumunuz için hukuki değerlendirme almanız en doğrusudur.
Kişisel veri işleyen herkes için temel ilkeler geçerlidir; işletmenin küçük olması kendiliğinden bir muafiyet sağlamaz. Yükümlülüklerin kapsamı ise işin niteliğine, işlenen verinin türüne ve ölçeğe göre değişebilir. Bu yüzden genel bilgiye dayanarak karar vermek yerine, kendi durumunuzu bir hukukçuyla netleştirmeniz önerilir.
Başlangıç noktası amaçtır: veriyi hangi iş için topladıysanız, o iş bittikten sonra onu tutmanın gerekçesi kalıyor mu? Bazı belgeler için yasal saklama süreleri ayrıca geçerlidir ve bunlar farklı bir kategoridir. İki grubu birbirinden ayırmak ve süreleri yazılı bir tabloda tutmak pratik bir yöntemdir; ayrımın doğruluğunu hukukçunuzla teyit edin.
Kendiliğinden sorun yaratmaz, ancak sorumluluğunuzu ortadan kaldırmaz. Hizmetin nerede barındığı, alt yüklenicilerinin kimler olduğu ve veri işleme koşulları önemlidir. Ücretsiz araçlarda bu bilgiler genellikle daha az şeffaftır. Sözleşme metinlerini kullanmaya başlamadan önce okumak ve gerekiyorsa hukuki görüş almak, sonradan doğacak belirsizlikleri belirgin biçimde azaltır.
Taslak hazırlayabilirsiniz, ancak metnin geçerliliği hem içeriğine hem de alınış biçimine bağlıdır. İnternetten alınan hazır metinler çoğu zaman sizin gerçek veri akışınızı yansıtmaz ve yapmadığınız işlerden bahseder. En sağlıklı yol, kendi süreçlerinizi kendi cümlelerinizle yazıp bir hukukçuyla birlikte gözden geçirmektir.