Etkinlik Katılımcılarından Kişisel Veri Toplamak Serbest mi?
Hacettepe’de öğrenci etkinliklerinde ad, e-posta, telefon ve fotoğraf gibi kişisel veriler toplanırken KVKK açısından dikkat edilmesi gerekenler.
Hayır; bir etkinlik düzenliyor olmanız katılımcıların kişisel verilerini sınırsız biçimde toplama hakkı vermez. Ad-soyad, e-posta adresi, telefon numarası, öğrenci numarası, fotoğraf ve benzeri bilgiler kişisel veri niteliği taşıyabilir ve bunların hangi amaçla, hangi hukuki sebebe dayanarak ve ne kadar süreyle işlendiğinin belirlenmesi gerekir.
Hacettepe Üniversitesi de kişisel verileri veri sorumlusu sıfatıyla KVKK kapsamında işlediğini ve verilerin korunmasına yönelik yükümlülükleri bulunduğunu açıkça belirtiyor.
Kayıt formuna istediğimiz her alanı ekleyebilir miyiz?
Etkinlik için gerçekten gerekli olmayan verileri sırf “belki sonra lazım olur” düşüncesiyle toplamak doğru bir yaklaşım değildir. Kayıt formunu hazırlarken önce etkinliğin amacıyla hangi bilginin gerçekten gerekli olduğunu belirlemek gerekir.
Örneğin yalnız katılımcı sayısını ve iletişimi yönetmek için ad-soyad ile e-posta yeterliyse, ayrıca T.C. kimlik numarası, açık adres veya doğum tarihi istemek için ayrı ve güçlü bir gerekçe bulunması gerekir. Toplanan veri, amaçla ölçülü olmalıdır.
Aydınlatma metni gerekli mi?
Kişisel Verileri Koruma Kurumunun yayımladığı kurallara göre kişisel veri elde edilirken ilgili kişi aydınlatılmalıdır. Aydınlatmada en az şu noktaların açıklanması gerekir:
- veriyi kimin topladığı,
- verinin hangi amaçla işleneceği,
- kimlere ve hangi amaçla aktarılabileceği,
- verinin hangi yöntemle ve hangi hukuki sebeple toplandığı,
- katılımcının KVKK kapsamındaki hakları.
Bu yükümlülük yalnız açık rıza alınan durumlarda geçerli değildir. Veri başka bir hukuki işleme şartına dayanıyorsa da aydınlatma yapılması gerekir.
Her durumda açık rıza almak zorunlu mu?
Hayır. KVKK’da açık rıza, kişisel veri işlemenin hukuki şartlarından yalnız biridir. Kanunda belirtilen başka bir işleme şartı varsa veri açık rıza olmadan da işlenebilir. Ancak somut etkinlikte hangi hukuki sebebin geçerli olduğu ayrıca değerlendirilmelidir.
Veri işleme gerçekten açık rızaya dayanıyorsa, Kişisel Verileri Koruma Kurumu aydınlatma ile açık rıza işlemlerinin ayrı ayrı yürütülmesi gerektiğini belirtiyor. Başka bir deyişle, “formu doldurarak tüm koşulları kabul etmiş sayılırsınız” şeklindeki belirsiz bir ifade her ihtiyacı karşılamaz.
Fotoğraf ve video çekmek de kişisel veri işlemesi olabilir mi?
Bir kişinin kimliğinin belirlenebildiği fotoğraf ve video kayıtları kişisel veri kapsamına girebilir. Bu yüzden etkinlik girişinde kayıt almak başka, görüntüleri daha sonra sosyal medyada veya tanıtım materyallerinde kullanmak başka bir işleme amacı olabilir.
Katılımcıdan kayıt sırasında iletişim bilgisi alınmış olması, fotoğrafının her amaçla kullanılabileceği anlamına gelmez. Görsel/işitsel kayıt planlanıyorsa bunun amacı ve kullanım alanı ayrıca değerlendirilmelidir.
Google Forms veya başka bir form aracı kullanmak sorunu çözer mi?
Hayır. Kullanılan aracın teknik olarak form oluşturabiliyor olması, veri işlemenin otomatik olarak hukuka uygun olduğu anlamına gelmez. Hangi verilerin toplandığı, nerede saklandığı, kimlerin eriştiği, ne kadar süre tutulduğu ve gerekiyorsa üçüncü taraflara/yurt dışına aktarım konusu ayrıca değerlendirilmelidir.
Öğrenci topluluğu veya etkinlik ekibi adına form hazırlıyorsanız, özellikle fazla veri toplamaktan kaçınmak ve üniversitenin ilgili birimiyle kullanılacak aydınlatma/rıza metnini netleştirmek en güvenli yoldur.
Etkinliğin tarihini, görev dağılımını ve kayıt sürecindeki yapılacakları aynı plan içinde tutmak için gerekli.tr üzerinden öğrenci etkinliği hazırlığınızı daha düzenli organize edebilirsiniz; kişisel veri işlemenin hukuki zemini için ise Hacettepe’nin KVKK süreçleri ve ilgili mevzuat esas alınmalıdır.
Kaynaklar: Hacettepe Üniversitesi – Kişisel Verilerin İşlenmesi · Kişisel Verileri Koruma Kurumu – Aydınlatma Yükümlülüğü · Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ