Fatih’te Çarşı, Konaklama ve Kamu Kurumu Yakınındaki İşletmelerde KVKK

Fatih; tarihî yarımadadaki çarşılar, toptan satış hanları, oteller, üniversite binaları, kamu kurumları ve geniş bir esnaf ağı ile İstanbul’un en yoğun ticari ve ziyaretçi bölgelerinden biridir. Bu yoğunluk kişisel veri bakımından üç ayrı kullanıcı grubunu doğurur: kayıtlı müşteri ve ziyaretçi verisini işleyen esnaf, yabancı misafirlerin bilgisini toplayan konaklama tesisleri ve resmî kurumlarla yazışan işletmeler. Her grup 6698 sayılı Kanunu farklı bir noktadan yaşar. Aşağıda bu üç eksenin hukuki yönü anlatılmaktadır.

Çarşı ve han esnafında müşteri defterleri

Geleneksel çarşı ticaretinde veresiye defteri, sipariş notu ve kurye telefon listesi hâlâ yaygındır. Bu defterler gerçek kişilerin adını, telefonunu ve borç durumunu içerdiğinde kişisel veri kaydıdır. Defterin dükkâna gelen herkesin görebileceği yerde bırakılması, veri güvenliği tedbirlerine aykırıdır. Defterin dijital ortama aktarılması hâlinde ise yetkisiz erişim, yedekleme ve silme düzeni gerekir.

Toptan satış yapan esnafın müşterisi çoğunlukla başka şehirlerdeki küçük işletmelerdir. Bu kişilerin bilgileri esnafın telefon rehberinde yer aldığında, rehberin yedeklendiği buluta yapılan aktarım yurt dışına veri aktarımı olabilir.

Otel ve hostellerde yabancı misafir verisi

Fatih’te konaklama tesisleri yabancı uyruklu misafirleri sıkça ağırlar. Pasaport ve kimlik bilgilerinin alınması, ilgili mevzuattan doğan bildirim yükümlülüğü sebebiyle hukuka uygun olabilir. Bunun ötesinde misafire ait bilgilerin yurt dışındaki rezervasyon ortaklarıyla paylaşılması, 7499 sayılı Kanunla yenilenen m.9’daki aktarım rejimine tabidir. Misafirin pasaport fotoğrafının mesajlaşma uygulaması üzerinden resepsiyonlar arasında dolaştırılması sık görülen bir zayıf noktadır. Yurt dışı aktarım rehberi bu konuyu ayrıca işler.

Üniversite çevresi: öğrenci ve kiracı verisi

Üniversite çevresindeki yurt, pansiyon, kırtasiye ve matbaa işletmeleri öğrencilerin kimlik, telefon ve aile bilgilerini işleyebilir. Öğrenci kimliğinin kopyalanması ve saklanması ihtiyaçla orantılı olmalıdır. Bir matbaada baskıya verilen tez veya sağlık raporu gibi belgeler de çoğu kez özel nitelikli veri taşır; baskı sonrasında dosyanın bilgisayardan silinmesi ve kâğıt fireler için imha düzeni gerekir.

Kamu kurumlarıyla yazışma ve veri talepleri

Bir işletmeye kolluk veya başka bir kamu kurumundan bilgi talebi geldiğinde, talebin dayandığı yasal hüküm ve kapsamı incelenmelidir. KVKK, kanunlarda açıkça öngörülen hâllerde ve hukuki yükümlülüğün yerine getirilmesi için gerekli olduğunda verinin paylaşılmasına izin verir. Ancak yazının hangi kanuna dayandığı belirsizse ya da talep gereğinden geniş görünüyorsa, resmî yazının sahibi kurumla netleştirme yapılması makuldür. Kişisel verilerin herkese açık bir mesaj kanalında kolluk yetkilisine gönderilmesi gibi uygulamalardan kaçınılmalıdır.

Aydınlatma, ihlal ve ilgili kişi başvurusu

Çok dilli müşteri kitlesi olan işletmeler aydınlatma metnini müşterinin anlayabileceği dilde ve açık biçimde sunmalıdır. Aydınlatma yükümlülüğünün içeriği için aydınlatma yükümlülüğü sayfasına bakılabilir. Bir ihlal tespit edildiğinde izlenecek adımlar ihlal bildirimi, müşterinin kendi verisine ilişkin talepleri ise ilgili kişi başvurusu sayfasında açıklanmıştır. Sicil yükümlülüğü bulunan büyük işletmeler için VERBİS adımları da incelenebilir.

Uygulamada üç pratik kontrol

• kimlik ve pasaport fotokopilerinin kimlerde bulunduğunun listelenmesi
• telefon rehberi, mesaj grubu ve bulut yedeği gibi dağınık kayıtların bir yerde toplanması
• kamera kaydının saklama süresi ve görüntüye erişen kişilerin yazılı hale getirilmesi

Bu kontroller küçük bir işletmede dahi birkaç saatlik bir çalışmayla başlatılabilir ve ileride ortaya çıkabilecek bir şikâyette işletmenin düzenli davrandığını gösteren belge niteliği taşır.

Mevzuat dayanağı

Fatih’te işletmeleri ilgilendiren temel düzenleme 6698 sayılı Kanundur. Yabancı misafir verisi için Kimlik Bildirme Kanunu gibi özel mevzuat, kamera ve çalışan izleme için ise Kurulun yayımladığı rehberler pratik yorum kaynağıdır. Hukuka aykırı veri işleme ceza hukuku boyutuyla Türk Ceza Kanunu m.135 vd. kapsamında da değerlendirilir.

Bir şikâyet ya da inceleme geldiğinde işletmenin elinde envanter, aydınlatma metni, güvenlik tedbirleri listesi ve veri işleyen sözleşmeleri bulunması savunmanın iskeletini oluşturur. Bu belgeler önceden hazırlanmadığında süre baskısı altında oluşturulmaları hem eksik hem de güvenilmez olabilir.

Tarihî bölgede faaliyet gösteren esnafın bir diğer pratik sorunu, ortak girişli han ve iş merkezlerinde kamera sistemlerinin bina yönetimi ile dükkânlar arasında paylaşılmasıdır. Kaydın kimin elinde olduğu, hangi kiracıya hangi görüntünün verilebileceği ve hangi sürede silineceği, bina yönetimi tarafından yazılı bir düzene bağlanmalıdır. Aksi hâlde bir hırsızlık olayından sonra görüntü talebi, birden fazla işletme arasında belirsizliğe dönüşür.

Fatih için sık sorulan sorular

Veresiye defterindeki isimler kişisel veri sayılır mı?

Evet. Ad, telefon ve borç bilgisi belirli bir kişiyle ilişkilendirildiği için kişisel veridir; defterin güvenli saklanması gerekir.

Otelde pasaport kopyası saklama süresi nedir?

Süre, ilgili özel mevzuattan ve işleme amacından belirlenir. Amaç ortadan kalktıktan sonra kopya silinmeli veya anonim hale getirilmelidir.

Kolluktan gelen talepte veri vermek zorunda mıyım?

Talep kanuni dayanağa sahipse yükümlülük doğabilir. Dayanak belirsizse talebin kapsamını yazılı olarak teyit etmek makul bir yoldur.

Turist müşteri için aydınlatma hangi dilde yapılır?

Müşterinin anlayabileceği bir dilde yapılması, aydınlatmanın amacına daha uygun olur.

Görüşmeler Kartal Cevizli Mahallesi’ndeki büroda önceden randevu ile yapılır; iletişim: 0534 636 19 19.