Kadıköy’de Serbest Meslek, Klinik ve Dijital Hizmetlerde Kişisel Verilerin Korunması
Kadıköy’de serbest çalışanlar, danışmanlık ve psikoloji ofisleri, diş ve estetik klinikleri, yazılım ve içerik üreticileri, kafeler, sahne sanatları mekânları ve çok sayıda küçük ticarethane yan yana faaliyet gösterir. Bu yapının ortak noktası, bilgi işlem sistemlerine ve bulut hizmetlerine yoğun biçimde dayanmasıdır. Randevu uygulaması, e-posta pazarlama aracı, muhasebe yazılımı ve ödeme altyapısı gibi araçların neredeyse hepsi veriyi yurt dışındaki sunucularda işler. Bu nedenle Kadıköy’deki işletmeler için KVKK sorusu çoğunlukla tek cümleyle başlar: veri nereye gidiyor?
Randevu ve danışan verisi
Psikolog, diyetisyen, avukat, mali müşavir ve danışman gibi serbest meslek mensuplarının tuttuğu danışan notları, çoğu kez özel nitelikli veri ve meslek sırrı niteliği taşır. Kanuna göre özel nitelikli veri, açık rıza veya kanunda sayılan hâllerde işlenebilir; ayrıca yeterli önlemlerin alınması gerekir. Randevu defterinin, notların ve ödeme kayıtlarının hangi ortamda tutulduğu, kimlerin erişebildiği ve ne kadar saklandığı yazılı hale getirilmelidir. Meslek sırrı ve mesleğe özgü saklama yükümlülükleri, KVKK ile birlikte okunur ve birbirinin yerine geçmez.
Yurt dışı bulut ve yazılım kullanımı
Bir ofisin e-postası, takvimi ya da muhasebe verisi yurt dışındaki sunucularda tutuluyorsa bu, kişisel verinin yurt dışına aktarımı olabilir. KVKK m.9 aktarımı üç kademede düzenler: yeterlilik kararı, uygun güvence ve istisnai hâller. Uygun güvence arasında standart sözleşme bulunur; sözleşmenin imzalanmasından sonra beş iş günü içinde Kuruma bildirilmesi gerekir. Bir yazılım sağlayıcısının hazır sözleşmesini kabul etmek, otomatik olarak bu rejimi karşılamaz. Ayrıntı için yurt dışı aktarım rehberine bakılabilir.
İnternet sitesi, çerez ve bülten
Kadıköy’deki pek çok işletme bir web sitesi ve sosyal medya hesabıyla müşteri bulur. Sitede kullanılan istatistik, reklam veya haritalama çerezlerinin çoğu zorunlu çerez sayılmaz ve kullanıcı tercihine sunulmalıdır. Bülten aboneliğinde kutucuğun önceden işaretli olması, rızanın özgür iradeyle verildiğini göstermez. Çerez politikası ve açık rıza örnekleri bu konuda ayrıntı verir.
Yapay zekâ araçları ve müşteri bilgisi
Danışan notlarını özetlemek ya da müşteri yazışmalarını yanıtlamak için üretken yapay zekâ araçlarına metin yapıştırmak, kişisel verinin üçüncü bir hizmet sağlayıcıya aktarılması anlamına gelebilir. Bu aktarım için dayanak, kimlik bilgilerinin çıkarılıp çıkarılmadığı ve aracın verileri nasıl saklayıp kullandığı sorulur. Konu yapay zekâ ve KVKK uyumu sayfasında ele alınmıştır.
Kafe ve mekânlarda kamera ve sadakat verisi
Mekânlarda kamera, tuvalet ve soyunma alanları dışında, kasa ve giriş gibi bölgelerde makul olabilir. Müşteri sadakat programlarında alınan telefon ve e-posta bilgisi, yalnız programın yürütülmesi için kullanılmalı; ayrı bir bilgilendirme ve onay olmadan reklam amacıyla genişletilmemelidir. Aydınlatma metni, kasada ya da sitede kolay bulunur olmalıdır; içeriği için aydınlatma yükümlülüğü sayfasına bakılabilir.
Bir serbest meslek ofisi için örnek senaryo
Tek kişilik bir danışmanlık ofisi, müşterilerinin kimlik ve iletişim bilgilerini hem bir hesap tablosunda hem de bir e-posta hesabında tutuyor olsun. Danışman telefonunu kaybederse, cihazda e-posta açıksa ihlal doğabilir. Önceden ekran kilidi, uzaktan silme ve iki aşamalı doğrulama gibi önlemlerin alınmış olması, olayın etkisini azaltır ve Kurula yapılacak değerlendirmede işletmenin özenli davrandığını gösterir.
Mevzuat dayanağı ve yaptırımlar
Serbest meslek ve dijital hizmet işletmeleri bakımından temel kaynak 6698 sayılı Kanundur. Veri güvenliği m.12, aktarım m.8 ve m.9, ilgili kişi hakları m.11 ve idari yaptırımlar m.18 ile düzenlenir. Hukuka aykırı veri işleme Türk Ceza Kanunu m.135-138 kapsamında da değerlendirilebilir. Elektronik ileti gönderen işletmeler 6563 sayılı Kanun ve ilgili yönetmelikle de bağlıdır.
Uyum için küçük ofis kontrol listesi
- kullanılan tüm yazılım ve bulut hizmetlerinin bir listesinin çıkarılması
- her hizmetin sunucu konumunun ve sözleşme şartlarının kontrol edilmesi
- e-posta ve cihazlar için iki aşamalı doğrulama ve ekran kilidi uygulanması
- danışan ve müşteri notlarının hangi sürede silineceğinin yazılması
- bir ihlalde kimin ne yapacağının tek sayfalık bir plana bağlanması
Bu kontrol listesi bir serbest meslek mensubunun birkaç saatte tamamlayabileceği bir çalışmadır ve Kurul incelemesinde özenli davranışı gösteren belge niteliği taşır.
Sahne sanatları ve etkinlik mekânlarında bilet satışı sırasında toplanan ad, telefon ve e-posta bilgisi yalnız etkinliğin yürütülmesi için kullanılabilir. Sonraki etkinlik duyuruları için ayrıca tercih alınmalı, izleyicinin duyuru listesinden çıkma isteği gecikmeden uygulanmalıdır. Bu ayrım, küçük mekânların sıkça yaptığı toplu duyuru hatalarını azaltır.
Kadıköy için sık sorulan sorular
Psikoloji ofisi danışan notlarını bulutta tutabilir mi?
Özel nitelikli veri bakımından yeterli önlemlerin alınması şartıyla mümkündür. Sunucunun bulunduğu ülke ve sağlayıcının güvenceleri ayrıca değerlendirilmelidir.
Web sitemde yalnızca ziyaretçi sayacı kullanıyorum, çerez bildirimi şart mı?
Zorunlu olmayan çerezlerde kullanıcı tercihi alınması beklenir. Çerezin türü ve amacı, banner düzeninin belirlenmesinde belirleyicidir.
Yapay zekâ ile müşteri e-postası özetletmek riskli mi?
Metinde kişisel veri varsa aktarım ve aydınlatma konularını gözden geçirmek gerekir. Mümkünse kimlik bilgileri çıkarılarak kullanılmalıdır.
Müşteri verisini silmemi isterse ne yapmalıyım?
Başvuruyu otuz gün içinde yanıtlamalı, muhasebe veya vergi mevzuatı nedeniyle saklanması gereken kısmı ayırarak diğer verileri silmelisiniz.
Görüşmeler Kartal Cevizli Mahallesi’ndeki büroda önceden randevu ile yapılır; iletişim: 0534 636 19 19.