Satış, sadakat kartı ya da e-ticaret verileriyle yapılan analizler, şirketlere müşterilerini daha iyi tanıma imkânı verir. Ancak bu verilerin önemli kısmı kişisel veridir ve 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamındadır. Kişisel Verileri Koruma Kurumu’nun Mart 2025’te yayımladığı “Doğru Bilinen Yanlışlar” rehberi, bu konudaki yaygın hataları ele alıyor. Aşağıdaki ilkeler, rehberdeki genel prensiplerin analitik projelerine nasıl yansıdığını özetliyor.
1. Önce hukuki dayanağı belirleyin
Her veri işleme faaliyeti için açık rıza gerekmez. Önce Kanun’un 5. ve 6. maddelerindeki işleme şartlarından hangisinin uygulandığı belirlenmeli. Başka bir şart uygulanıyorsa aynı faaliyet için ayrıca açık rıza istemek, kişiyi yanıltabileceği için önerilmiyor.
2. Açık rıza gerekiyorsa amaca özel olsun
Açık rıza belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilmiş olmalı. “Verilerim her amaçla işlenebilir” gibi genel ifadeler geçerli kabul edilmiyor. Analitik amaçla rızaya dayanılıyorsa rızanın bu amacı açıkça kapsaması gerekiyor.
3. Aydınlatma yükümlülüğünü atlamayın
Aydınlatma yükümlülüğü rızadan ayrı bir yükümlülük. Veri işleme rızaya dayanmasa bile kişilerin hangi verilerinin hangi amaçla işlendiği konusunda bilgilendirilmesi gerekiyor. Rıza alınacaksa aydınlatma ve rıza ayrı adımlar olarak yürütülmeli.
4. Mümkünse anonim veriyle çalışın
Gerçekten anonim hale getirilmiş, yani kişiyle yeniden ilişkilendirilemeyen veri artık kişisel veri sayılmıyor. Çoğu analitik soru, örneğin mağaza veya ürün bazlı satış eğilimleri, kişiyi tanımlayan alanlara ihtiyaç duymaz. Ancak yalnızca ad-soyadı silmek her zaman yeterli değildir; diğer alanların birleşimi kişiyi yeniden tanımlanabilir kılabilir.
5. Hizmet sağlayıcı kullanmak sorumluluğu devretmez
Analitik işini dış bir firmaya ya da bulut servisine vermek, veri sorumlusunun yükümlülüklerini ortadan kaldırmıyor. Sözleşmelerde veri güvenliği yükümlülüklerinin netleştirilmesi, yurt dışına sürekli veri aktarımı söz konusuysa bunun ayrıca değerlendirilmesi gerekiyor.
6. Saklama süresi ve ihlal bildirimi
Veriler yalnızca amaç için gerekli süre kadar saklanmalı; işleme şartları ortadan kalktığında silinmeli, yok edilmeli ya da anonim hale getirilmeli. Bir veri ihlali fark edildiğinde Kurul’a gecikmeksizin ve en geç 72 saat içinde bildirim yapılması gerekiyor.
Sonuç
KVKK uyumu, veri analitiğinin önünde bir engel değil; doğru tasarlanmış bir veri altyapısının parçası. Veri modelini kurarken kişisel veriyi analitik veriden ayırmak, erişimleri sınırlamak ve mümkün olan her yerde anonim veriyle çalışmak hem uyumu hem de güvenliği kolaylaştırır. Bu yazı genel bilgilendirme amaçlıdır, hukuki tavsiye niteliği taşımaz. Kendi durumunuz için bir hukuk danışmanına başvurmanızı öneririz.