KVKK Uyum Paketi (Davetli, Fotoğraf & Kamera Verisi)

Bu paket, kişisel veri işleme yükümlülüğü taşıyan tüm düğün ve organizasyon işletmeleri için tasarlanmıştır. Düğün salonları, davetli listelerini yönetirken yüzlerce kişinin adını, telefon numarasını, e-posta adresini ve çoğu zaman fotoğrafını işlemektedir. Bu işlemler, Kişisel Verilerin Korunması Kanunu kapsamında veri sorumlusu sıfatını doğurmakta ve belirli yükümlülükler getirmektedir. Yükümlülük yalnızca büyük işletmelere değil, tek bir düğün organizasyonu yapan küçük aile şirketlerine de uygulanmaktadır.

Organizasyon şirketleri ise müşteri sözleşmelerinden tedarikçi iletişimine, etkinlik planlamasından çalışan takibine kadar geniş ve çeşitli bir veri havuzuyla çalışmaktadır. Bu çeşitlilik, farklı hukuki dayanak ve farklı saklama süresi gerektiren veri kategorilerinin bir arada yönetilmesini zorunlu kılmaktadır. Doğru kategorilendirme yapılmadığında hem uyum riski hem de veri minimizasyonu ilkesinin ihlali gündeme gelebilmektedir.

Fotoğraf ve video ajansları, çekimler sırasında bireylerin görüntülerini kayıt altına almakta; bu görüntüler sosyal medyada paylaşılmakta, portföy web sitelerinde sergilenmekte ya da müşterilere dijital olarak teslim edilmektedir. Görüntü paylaşımı için yeterli ve açık rızanın alınmamış olması, ciddi itibar ve hukuki riskler taşımaktadır. Rızanın usulüne uygun belgelenmesi de ayrıca önem taşımaktadır.

Güvenlik kamerası kullanan salonlar, etkinlik süresince ve etkinlik dışında da sürekli kişisel veri işlemektedir. Kamera alanı içinde kalan her birey için aydınlatma yükümlülüğü doğmaktadır. Catering firmaları, diyet kısıtlaması veya alerji bilgisi gibi özel nitelikli sağlık verisi toplayabilmekte; bu durum ek ve daha katı koruma gereksinimlerini beraberinde getirmektedir. Özel nitelikli veri kategorileri için açık rıza şartı daha sıkı koşullara bağlanmıştır.

Kısaca bu paket; davetli takip sistemi kullanan, fotoğraf veya video arşivi yöneten, güvenlik kamerası işleten ya da müşteri ile tedarikçi verilerini sistematik biçimde tutan her düğün ve organizasyon işletmesi için uygundur. İşletmenin dijital mi yoksa kâğıt bazlı mı çalıştığı önemli değildir; kişisel veri işliyorsa yükümlülük doğmaktadır.

Organizasyon sektöründe veri isleme yalnizca etkinlik aniyla sinirli degildir. Rezervasyon öncesi iletisim, etkinlik sonrasi tesekküler ve referans talepleri de kisisel veri isleme kapsamina girmektedir. Bu süreçlerin tamami için aydinlatma ve uyum altyapisinin kurulmus olmasi gerekmektedir.

Düğün ve organizasyon sektörü, kişisel veri yönetimi konusunda yapısal boşluklarla karşı karşıyadır. Aşağıdaki tablo yaygın sorunları, taşıdıkları riski ve uyum paketinin bu sorunlara yaklaşımını özetlemektedir:

Bu sorunların ötesinde, işletmeler çoğu zaman hangi verinin nerede tutulduğunu bile bilmemektedir. Veri envanteri olmadan doğru bir aydınlatma metni yazılamaz, saklama süresi belirlenemez ve olası bir denetimde yetkililere sunulacak belgeler bir araya getirilemez. Bu durum hem resmi denetim hem de müşteri şikâyetleri karşısında işletmeyi savunmasız bırakmaktadır.

Mevcut aydınlatma metinleri çoğunlukla internetten kopyalanmış, işletmenin gerçek veri akışını yansıtmayan genel ifadeler içermektedir. Bu tür şablonlar hukuki açıdan yeterli koruma sağlamamaktadır; aksine uyumsuzluğu belgelemek yerine gizlemektedir. Denetimde bu fark anında ortaya çıkmaktadır.

Rıza mekanizmaları da sıklıkla eksik kurgulanmaktadır. Rezervasyon formunun altındaki küçük punto genel şartlar metni, fotoğrafın sosyal medyada paylaşılması için geçerli açık rıza sayılmamaktadır. Rızanın özgür iradeyle, bilgilendirilmiş biçimde ve belirli bir amaç için alınmış olması gerekmekte; ayrıca belgelenmesi zorunlu tutulmaktadır. Paketin sunduğu belgeler ve süreçler bu eksiklikleri kapsamlı ve kalıcı biçimde gidermektedir.

Güvenlik kamerası konusunda en yaygın sorun kayıt sürelerinin belirsiz bırakılmasıdır. Bazı işletmeler kayıtları hiç silmemekte, bazıları ise yasal süreyi bilmemektedir. Saklama takvimi olmadan yönetilen kamera sistemi hem mevzuat hem de veri minimizasyonu ilkesi açısından sorun oluşturmaktadır. Özel nitelikli veriler yani sağlık ve biyometrik veriler çok daha katı koşullara tabidir. Catering firmalarının topladığı alerji ve diyet bilgisi bu kategori kapsamına girebilmektedir. Söz konusu işletmeler için ek dikkat ve ek belgeler gerekmektedir.

Veri minimizasyonu ilkesi de sıklıkla göz ardı edilmektedir. İşletmeler bazen fazla veri toplamakta; bu verileri ne zaman, nasıl sileceğini planlamamaktadır. Örneğin iptal edilen bir rezervasyona ait müsteri bilgilerinin ne kadar süre saklanacağı, hangi kanaldan davetlilere iletişim gönderilebileceği net kurallarla belirlenmelidir. Paket bu boşlukları kapsamlı biçimde kapatmaktadır.

Uygulama dört temel aşamadan oluşmaktadır. Her aşamada işletmeye aktarılabilir, kullanıma hazır ve özgün çıktılar sunulmaktadır. Süreç boyunca işletme ile yakın iletişim kurulmakta ve her adımda onay alınmaktadır.

1. Veri Keşif ve Envanter Aşaması

İşletmenin hangi kişisel veriyi, hangi sistemde, hangi amaçla, hangi hukuki dayanakla ve ne kadar süreyle sakladığı ayrıntılı biçimde tespit edilir. Davetli takip yazılımları, e-posta listeleri, fotoğraf arşiv klasörleri, sözleşme dosyaları, güvenlik kamerası kayıt sistemi ve çalışan verileri tek tek incelenir. Veri aktarımı yapılan üçüncü taraflar da haritalanır; fotoğraf baskı firmaları, davetiye yazılımı sağlayıcıları ve bulut depolama hizmetleri bu kapsamda değerlendirilir. Çıktı olarak işletmeye özel Kişisel Veri Envanteri hazırlanır ve bu belge VERBİS kaydında kullanılacak formata uygun düzenlenir.

2. Belge Hazırlık Aşaması

Envantere dayanarak işletmeye özel belgeler hazırlanır. Davetliler, müşteriler, tedarikçiler ve çalışanlar için ayrı ayrı Aydınlatma Metni oluşturulur; her metin ilgili veri kategorisini, işleme amacını, hukuki dayanağı ve veri sahibinin haklarını açık biçimde içermektedir. Fotoğraf ve video çekimi ile pazarlama iletişimi için Açık Rıza Formları onay kutusu mekanizmasıyla hazırlanır. Güvenlik kamerası için bilgilendirme levhası metni ve yerleşim önerileri sunulur. Veri kategorisi bazında saklama süresi ve imha yöntemini gösteren Saklama ve İmha Politikası ile ihlal tespitinden Kurula bildirime kadar adım adım Veri İhlali Müdahale Prosedürü tamamlanır.

3. Uygulama Rehberliği Aşaması

Hazırlanan belgelerin işletme süreçlerine nasıl entegre edileceği somut örneklerle açıklanır. Rezervasyon formuna rıza onay kutusu eklenmesi, çekim günü misafirlere aydınlatma metninin iletilmesi, güvenlik kamerası kayıtlarının zamanında silinmesi ve periyodik imha işlemlerinin kayıt altına alınması gibi adımlar birebir gösterilir. Çalışanlara yönelik kısa farkındalık özeti de hazırlanarak paylaşılır.

4. Kontrol ve Teslim Aşaması

Tüm belgeler ve süreçler hazırlanan kontrol listesiyle birlikte gözden geçirilir. Eksikler tamamlanır, gerekli düzeltmeler yapılır. İşletme ekibine kısa bir bilgilendirme sunumu gerçekleştirilir ve sorular yanıtlanır. Tüm belgeler düzenlenebilir dijital formatta, denetim sırasında sunulmaya hazır biçimde organize edilerek teslim edilir.

Süreç boyunca işletmenin mevcut belgeleri gözden geçirilmektedir. Daha önce hazırlanmış aydınlatma metni veya rıza formu varsa bunlar da değlendirilerek gerekli güncellemeler uygulanmaktadır. İşletme paketin sonunda tüm belgelere dijital olarak erişebilmekte ve kendi iç süreçlerine kolayca entegre edebilmektedir. Böylece uyum çalışması salt bir belge tesliminin ötesinde operasyonel bir dönüşüme dönüşmektedir.

Bu paket kapsamında hazırlanan belgeler ve prosedürler, Kişisel Verilerin Korunması Kanunu (KVKK / 6698 sayılı Kanun) ve Kişisel Verileri Koruma Kurulu ilke kararları esas alınarak tasarlanmaktadır. Güvenlik kamerası saklama süreleri, özel nitelikli veri kategorileri ve veri ihlali bildirim yükümlülükleri gibi konular mevcut Kurul kararları çerçevesinde ele alınmaktadır. Her belge işletmenin özgün koşullarını yansıtacak biçimde özelleştirilmektedir.

Önemli bir sınır olarak belirtmek gerekir: bu paket uyum süreçlerini kolaylaştıran belgeler ve prosedürler sunar. Nihai hukuki sorumluluk veri sorumlusu sıfatıyla işletme sahibine aittir. Paket avukatlık veya DPO (Veri Koruma Görevlisi) hizmeti yerine geçmez; karmaşık hukuki sorular ve bireysel uyuşmazlıklar için alanında uzman bir avukattan ya da sertifikalı DPO'dan destek alınması önerilmektedir.

Belgelerin güncel kalması için yıllık gözden geçirme önerilmektedir. Mevzuatta yapılan değişiklikler veya işletmenin faaliyet kapsamının genişlemesi durumunda ilgili belgeler güncellenmesi gerekmektedir. Bu durum öngörülerek tüm belgeler düzenlenebilir formatta teslim edilmektedir. Veri ihlali müdahale prosedürü sayesinde işletme, olası bir güvenlik olayında kimi arayacağını, ne kadar sürede Kurula bildirimde bulunması gerektiğini ve olayı nasıl belgeleyeceğini önceden bilmekte; panik yerine sistematik adımlarla hareket edebilmektedir.

Veri ihlali riskine karşı hazırlıklı olmak yalnizca teknik degil örgütsel bir süreçtir. Hangi çalışanın hangi veriye erişebildiği, şifre politikasının ne kadar güçlü olduğu ve sistemlerin güncel tutulup tutulmadığı da uyum değlendirmesinin parçasıdır. Paket bu örgütsel boyutu rehber dokümanlarla desteklemektedir. Veri sahiplerinin başvuru haklarını nasıl kullanacağı ve bu başvuruların nasıl yanıtlanacağı da prosedür kapsamında ele alınmaktadır. İşletme bir başvuru aldığında ne yapacağını önceden bilmektedir. Tüm bu hazırlık, uyum çalışmasını tek seferlik bir proje değil sürdürülebilir bir yapıya dönüştürmektedir.

Güvenlik açısından önemli bir not: uyum çalışması yalnızca belge hazırlamakla bitmemektedir. Hazırlanan belgelerin çalışanlara duyurulması, uygulamada tutarlılığın sağlanması ve periyodik gözden geçirme ile güncellenmeleri gerekmektedir. Paket bu döngüyü başlatmakta ve sürdürülmesi için araçlar sunmaktadır. Böylece uyum anlık bir proje değil, kurumsal bir disipline dönüşmektedir.