Beşiktaş’ta Turizm, Medya ve Girişimlerde Kişisel Verilerin Korunması
Beşiktaş; Levent ve Etiler’deki iş merkezlerini, Boğaz kıyısındaki otel ve restoranları, Boğaziçi Üniversitesi ve Galatasaray Üniversitesi gibi eğitim kurumlarını ve çok sayıda girişimi ilçe sınırları içinde barındırır. Bu çeşitlilik, KVKK’nın farklı yönlerinin aynı mahallede sık sık gündeme gelmesine yol açar. Otel misafir verisi, medya kuruluşlarının abone listeleri, girişimlerin mobil uygulama kullanıcı kayıtları ve öğrenci verileri ayrı yükümlülükler doğurur. Av. Bilal Alyar bu sayfada Beşiktaş’taki veri sorumlularının sıkça karşılaştığı konulara genel bir çerçeve getirir.
Çerez ve Takip Teknolojileri
Web sitesi veya mobil uygulaması bulunan işletmelerde en çok sorun çıkan alanlardan biri çerezlerdir. Zorunlu çerezler dışındaki çerezler (analiz, reklam, kişiselleştirme) için kullanıcıdan açık rıza alınması, bu çerezlerin ancak onaydan sonra çalışması gerekir. Hazır bir çerez bannerı koymak tek başına yeterli değildir; banner ile arka planda çalışan çerezlerin birbirine uygun olup olmadığı kontrol edilmelidir. Aydınlatma metninde hangi çerezlerin hangi amaçla kullanıldığı açıkça yazılmalıdır. Pazarlama amaçlı e-posta ve SMS için ise 6563 sayılı Kanun’daki izin kuralları ayrıca geçerlidir.
Yapay Zekâ ve Otomatik Karar
Beşiktaş’taki girişimlerin bir bölümü, kullanıcı verisini yapay zekâ modellerini eğitmek veya kişiselleştirilmiş öneri üretmek için kullanır. Bu faaliyet, KVKK’daki amaçla sınırlılık ve ölçülülük ilkeleri ile ilgili kişinin haklarını (m.11) etkiler. Verinin hangi amaçla toplandığı ve model eğitimi gibi yeni bir amaçla kullanılıp kullanılamayacağı ayrıca değerlendirilir. Otomatik sistemle aleyhe sonuç doğuran kararlara itiraz hakkı, m.11’de düzenlenmiştir.
Yargı Çevresi Hakkında Not
Beşiktaş’ın bağlı olduğu adliye bu sayfada ayrıca belirtilmemiştir; başvuru yapılacak merci, dosya hazırlanırken Adalet Bakanlığı’nın adliye sayfalarından teyit edilir. Kişisel veri uyuşmazlıklarında Kurul şikâyeti merkezi olarak yürütülür; tazminat davalarında yetki ise tarafların yerleşim yerine, işlemin niteliğine ve varsa sözleşmedeki yetki kaydına göre belirlenir.
Hizmet Alanları
- Web sitesi ve uygulamalar için çerez ve gizlilik bildirimlerinin hukuki incelemesi
- Otel ve restoran işletmelerinde misafir verisi ve kamera uygulamaları
- Girişimlerde kullanıcı verisinin yurt dışı sunuculara aktarımı
- Yapay zekâ destekli süreçlerde KVKK değerlendirmesi
- Kurul incelemesi ve idari para cezası süreçlerinde savunma
- Veri sahiplerinden gelen taleplere cevap
Bir Beşiktaş Örneği (Kurgusal)
Bir girişim, mobil uygulamasında kullanıcıların konum verisini sürekli toplasın ve bu bilgiyi reklam ortaklarıyla paylaşsın. Aydınlatma metni konum verisinin reklam amacıyla paylaşılacağını açıkça belirtmiyor olsun. Bu hâlde, verinin hangi hukuki sebeple işlendiği, açık rızanın alınıp alınmadığı ve paylaşımın amacı sorgulanır. Çözüm; konum toplamanın yalnızca gerekli olduğu hâllerde yapılması, reklam paylaşımı için ayrı bir açık rıza alınması ve aydınlatma metninin güncellenmesidir.
Uyum Çalışması
- Uygulama, site ve sistemler taranarak toplanan verilerin tam listesi çıkarılır.
- Her veri için hukuki sebep belirlenir; açık rıza gerekenler ayrılır.
- Yurt dışındaki sağlayıcılarla yapılan sözleşmeler ve KVKK m.9 mekanizması kontrol edilir.
- Çerez ve izin yönetim aracı hukuki gereklere göre yapılandırılır.
- İhlal olması hâlinde Kurul’a bildirim için iç süreç yazılır (m.12/5).
Mevzuat
KVKK m.5 ve m.6 işleme şartlarını, m.9 yurt dışına aktarımı, m.10 aydınlatmayı, m.11 ilgili kişinin haklarını düzenler. İhlal bildirimi m.12/5’te yer alır; Kurul kararı uyarınca bildirim süresi öğrenmeden itibaren 72 saattir. İdari para cezaları m.18’dedir ve bu cezalara karşı idari yargı yolu açıktır. Kişisel verilerin hukuka aykırı olarak kaydedilmesi, verilmesi veya yok edilmemesi TCK m.135 ila m.138 kapsamındadır.
Görsel İçerik, Etkinlik ve Kişilik Hakları
Medya, etkinlik ve turizm sektöründe çekilen fotoğraf ve videolar, kişinin görüntüsünü içerdiği için hem kişisel veri hem de kişilik hakkı kapsamında değerlendirilir. Kişinin görüntüsünün yayımlanması, onun rızasına veya kanundaki bir istisnaya dayanmalıdır; aksi hâlde Türk Medeni Kanunu m.24–25 uyarınca kişilik haklarına saldırı gündeme gelebilir. Etkinlik başlamadan önce katılımcılara fotoğraf çekileceğinin duyurulması ve kapsamın açıklanması önemlidir.
Girişimlerde Yatırımcı ve Ortaklık Süreçleri
Girişimler, yatırımcıya veri odası açarken müşteri listesi, çalışan bilgileri ve kullanıcı verilerini paylaşabilir. Bu paylaşımın hukuki dayanağı ve verilerin hangi ölçüde anonimleştirilebileceği önceden düşünülmelidir. Gizlilik sözleşmesi imzalanmadan veri odası açılmamalı, paylaşılan belgelere erişim yetkisi sınırlandırılmalıdır.
Çalışan ve Stajyer Verileri
Küçük ekiplerde ve girişimlerde işe alım süreçlerinde özgeçmişler e-posta yoluyla toplanır ve çoğu zaman uzun süre saklanır. Başvuru sürecinin sona ermesinden sonra olumsuz sonuçlanan adayların özgeçmişlerinin makul bir süre sonunda silinmesi veya adaya bilgi verilerek saklanması gerekir. Stajyerlerin de aynı şekilde aydınlatılması ve verilerinin amaca bağlı kullanılması unutulmamalıdır.
Sık Sorulan Sorular
Çerez bannerında “kabul et” yeterli midir?
Rızanın özgür iradeye dayanması gerekir. Ret seçeneğinin de eşit kolaylıkta sunulması beklenir.
Otelde misafir bilgilerini yurt dışındaki sisteme yüklemem sorun olur mu?
Verinin yurt dışına aktarımı KVKK m.9’a tabidir. Uygun aktarım mekanizması olmadan yapılan aktarım yaptırım riski taşır.
Yapay zekâ ile kullanıcı profili çıkarıyorum; bildirim gerekir mi?
Aydınlatma metninde bu işleme faaliyeti belirtilmelidir. Rıza gerekip gerekmediği, profilleme amacına ve hukuki sebebe bağlıdır.
Veri ihlali yaşadık; kime bildirim yapacağız?
Kurul’a ve etkilenen kişilere bildirim yapılır. Kurul bildirimi için süre 72 saattir.
Görüşmeler Kartal Cevizli Mahallesi’ndeki büroda önceden randevu ile yapılır; iletişim: 0534 636 19 19.