Kişisel veri işleyen her işletme, verilerin hangi amaçla, hangi hukuki sebeple ve ne kadar süreyle işlendiğini kendisi belirlemek, ilgili kişiyi bilgilendirmek, güvenlik tedbirlerini almak ve gerektiğinde Veri Sorumluları Siciline kayıt yaptırmak zorundadır (KVKK m. 4, 5, 10, 12 ve 16). Yalnızca bir gizlilik metni yayımlamak ya da kamera kurmak bu yükümlülüklerin hiçbirini tek başına yerine getirmez.
Bu yazı, işyerinde kamerayla görüntü ve ses kaydı yapılmasının sınırlarını, web sitesine gizlilik metni koymanın neden yetmediğini, yapay zekâ hizmetlerine belge yüklerken nelere dikkat edilmesi gerektiğini ve VERBİS (Veri Sorumluları Sicili) yükümlülüklerini anlatır.
Bu yazıda
- İşveren kamerayla görüntü ve sesinizi kaydedebilir mi?
- Gizlilik metni koymak neden tek başına yetmez?
- Aydınlatma yükümlülüğünün içeriği
- Yapay zekâ hizmetine belge yüklemeden önce kontrol listesi
- VERBİS nedir, kimler kaydolur?
- Sicile bildirilen bilgiler ve değişiklik bildirimi
- Yaptırımlar ve sık yapılan hatalar
- Kaynaklar
İşveren kamerayla sesimi de kaydedebilir mi?
Kısa cevap: İzleme amacı, gereklilik, bilgilendirme ve kayıt kapsamı birlikte değerlendirilir; görüntü kaydı ile ses kaydı aynı müdahale düzeyinde değildir. Kanunun dayanağı, kişisel verilerin hukuka ve dürüstlük kurallarına uygun, belirli ve meşru amaçlarla, amaçla bağlantılı ve ölçülü biçimde işlenmesi ilkesidir (KVKK m. 4). Kamera kaydı kişisel veri işlemedir ve ayrıca bir işleme şartına dayanmalıdır. Kanun, kişisel verilerin ilgili kişinin açık rızası olmaksızın işlenemeyeceğini söyler; ancak kanunlarda açıkça öngörülme, hukuki yükümlülüğün yerine getirilmesi için zorunlu olma, bir hakkın tesisi veya korunması için zorunlu olma ve ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati gibi hâllerde açık rıza aranmaz (KVKK m. 5).
Ses kaydı daha ağır bir müdahaledir. Türk Ceza Kanunu, özel hayatın gizliliğinin görüntü veya seslerin kayda alınması suretiyle ihlal edilmesi hâlinde verilecek cezanın bir kat artırılacağını öngörür (TCK m. 134). Bu nedenle işyerinde ses kaydı yapılacaksa bunun gerekliliğinin, kapsamının ve bilgilendirmenin çok daha dikkatli kurulması gerekir. Somut uyuşmazlıkta işyerindeki yazılı açıklamaları, levhaları, çalışanlara verilen metinleri ve fiilî uygulamayı birlikte değerlendirmek gerekir: kamera nerede duruyor, ses kaydediyor mu, kayıtlara kim erişiyor, ne kadar saklanıyor?
Sitem için yalnız gizlilik metni koymak KVKK uyumu sağlar mı?
Hayır. Aydınlatma metni tek başına bütün veri işleme sürecini uygun hâle getirmez. Kanun üç ayrı yükümlülüğü birlikte arar: işleme ilkelerine uyum (m. 4), ilgili kişinin işleme anında bilgilendirilmesi (m. 10) ve veri güvenliği (m. 12).
Bir web sitesi sahibi için pratik yol şudur:
- Hangi verilerin toplandığını belirleyin: iletişim formu, üyelik, ödeme, çerez, analiz araçları.
- Her veri için amacı yazın ve ilgili işleme şartını (m. 5) eşleştirin.
- Verilere kimin eriştiğini, nerede saklandığını, kimlere aktarıldığını ve ne kadar tutulduğunu çıkarın.
- Metni gerçek uygulamayla eşleştirin; sitede yapılmayan bir işlemi yazmak da, yapılan bir işlemi yazmamak da sorun doğurur.
- Gereksiz veriyi hiç toplamamayı planlayın; ilke, amaçla bağlantılı, sınırlı ve ölçülü işlemedir.
Metnin gerçek uygulamayla eşleşmesi ayrıca önemlidir. Örneğin sitede yalnızca iletişim formu varken metinde üyelik ve ödeme verilerinden söz etmek kadar, formdan alınan e-posta adreslerinin pazarlama için de kullanıldığını metne yazmamak da sorun yaratır. Ticari ileti göndermek ayrı bir izne bağlıdır; bu konuyu ayrıca ticari elektronik ileti yazımızda anlattık.
Aydınlatma yükümlülüğünün içeriği
Veri sorumlusu, verilerin elde edilmesi sırasında kimliğini, verilerin hangi amaçla işleneceğini, kimlere ve hangi amaçla aktarılabileceğini, toplama yöntemini ve hukuki sebebini ve ilgili kişinin haklarını bildirmekle yükümlüdür (KVKK m. 10). Veri sorumlusunun temsilcisi varsa onun kimliği de bildirilir. Bu yükümlülük, sicile kayıtla yerine getirilmiş olmaz; ikisi ayrı yükümlülüklerdir.
Yapay zekâ hizmetine yüklediğim belgeler için neyi kontrol etmeliyim?
Bir belgeyi dış bir yapay zekâ hizmetine yüklemek, çoğu zaman o belgedeki verilerin üçüncü bir kişiye aktarılması anlamına gelir. Önce şunları değerlendirin:
- Belgenin içeriği: Kişisel veri veya sır içeriyor mu? İçinde sağlık, sabıka, sendika gibi özel nitelikli veri var mı? Varsa m. 6 kapsamındaki ek şartlar devreye girer.
- Yükleme yetkiniz: Belgedeki kişilerin verilerini başkasına aktarmak için bir dayanağınız var mı? Veriyi toplarken verdiğiniz aydınlatma bu kullanımı kapsıyor mu (m. 4 ve 5)?
- Hizmetin koşulları: Verinin saklanıp saklanmadığı, başka amaçla kullanılıp kullanılmadığı ve nerede işlendiği. Sunucu yurt dışındaysa yurt dışına aktarım kuralları da (m. 9) gündeme gelir.
- Güvenlik: Veri sorumlusu olarak uygun güvenlik düzeyini sağlamaya yönelik teknik ve idari tedbirleri almakla yükümlüsünüz (m. 12).
Bir avukata veya başka bir uzmana hassas belge göndermeden önce de gönderme yöntemini ayrıca netleştirmek yerinde olur; ilk görüşmede özet bilgiyle başlayıp belgeleri güvenli bir kanaldan iletmek iyi bir alışkanlıktır.
VERBİS nedir, kayıt zorunlu mu?
VERBİS, kanundaki adıyla Veri Sorumluları Sicilidir. Kurulun gözetiminde Başkanlık tarafından kamuya açık olarak tutulur. Kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorundadır; ancak verinin niteliği, sayısı veya aktarımı gibi kriterlere göre Kurul kayıt zorunluluğuna istisna getirebilir (KVKK m. 16). Sicil herkese açık olduğundan bir kuruluşun veri sorumlusu olarak kayıtlı olup olmadığını ve bildirdiği genel bilgileri öğrenebilirsiniz (KVKK m. 16 ve 25).
Sicile hangi bilgiler bildirilir?
Kayıt bildiriminde şunlar yer alır (KVKK m. 16):
- Veri sorumlusunun ve varsa temsilcisinin kimlik ve adres bilgileri,
- Kişisel verilerin hangi amaçla işleneceği,
- Veri konusu kişi grupları ve veri kategorileri,
- Verilerin aktarılacağı alıcı grupları,
- Yabancı ülkelere aktarımı öngörülen veriler,
- Alınan veri güvenliği tedbirleri,
- Kişisel verilerin işlendikleri amaç için gerekli olan azami süre.
Saklama süresinin bildirilmesi, işleme amacı ortadan kalktığında verinin silinmesi ilkesiyle uyumlu olmalıdır (KVKK m. 4). Bildirimde verilen bilgilerde meydana gelen değişiklikler derhâl Başkanlığa bildirilir. Yurt dışına aktarım planlayan veri sorumlusu bunu kayıt bildirimine yansıtmalıdır.
Yaptırımlar
Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırı hareket edenler hakkında idari para cezası verilir. Güncel tutar her yıl değiştiği için Kişisel Verileri Koruma Kurumunun resmî duyurularından kontrol edilmelidir (KVKK m. 18). Aydınlatma yükümlülüğünün ihlali de ayrı bir idari para cezası nedenidir; sicile kayıt yaptırmış olmak aydınlatma yükümlülüğünden kurtarmaz.
İşyeri kamerası için uygulama adımları
İşveren açısından kamera sistemini kurmadan önce şu sıra izlenebilir: izleme amacını (güvenlik, iş sağlığı ve güvenliği, mal koruma) yazılı olarak belirlemek; bu amaca daha az müdahaleci bir yolla ulaşılıp ulaşılamayacağını sormak; kameraların bakış açısını amaçla sınırlamak; çalışanlara ve ziyaretçilere kameranın varlığını ve amacını bildirmek; kayıtlara erişecek kişileri sınırlamak ve saklama süresini belirlemek. Bu adımların her biri, kanundaki ölçülülük, amaçla bağlantılılık ve veri güvenliği ilkelerinin somut karşılığıdır (KVKK m. 4 ve 12).
Çalışan açısından ise kaydın hangi amaçla alındığını, ses kaydı olup olmadığını ve kayıtların kimlerde bulunduğunu işverene yazılı olarak sormak ilk adımdır. Aydınlatma yapılmamışsa veya kayıtlar amaç dışında kullanılıyorsa ilgili kişi olarak veri sorumlusuna başvurabilir, sonuç alamazsanız Kurula şikâyet yolunu değerlendirebilirsiniz.
Dış hizmet sağlayıcılar ve sorumluluk
Web sitesi veya kamera sistemi gibi hizmetlerde sıklıkla bir dış firma devrededir. Verilerin kendi adına başka bir kişi tarafından işlenmesi hâlinde veri sorumlusu, güvenlik tedbirlerinin alınması konusunda bu kişilerle birlikte müştereken sorumludur (KVKK m. 12). Yani yazılım firmasına, barındırma sağlayıcısına veya yapay zekâ hizmetine işi devretmek sorumluluğu ortadan kaldırmaz. Sözleşmelerde verinin amacı, saklama süresi, silme ve iade yükümlülüğü ile güvenlik koşulları açıkça yazılmalıdır.
Sık yapılan hatalar
- Hazır bir gizlilik metnini siteye koyup gerçek veri akışını incelememek.
- Eski bir “genel rıza” formunu her işlem için yeterli saymak.
- Kamera ve ses kaydı için bilgilendirme levhası bile koymamak.
- Yapay zekâ hizmetine müşteri belgelerini yüklerken sağlayıcının saklama koşullarını okumamak.
- VERBİS bilgilerini güncellememek.