Spor Salonu KVKK Uyum Paketi (Sağlık, Biyometrik, Kamera)

Bu paket, Kişisel Verileri Koruma Kanunu kapsamında özel nitelikli kişisel veri işleyen her spor ve fitness tesisi için tasarlanmıştır. KVKK'nın 6. maddesi, sağlık ve biyometrik veriyi en hassas kategori olarak tanımlar; bu verilerin işlenmesi için açık, aydınlatılmış ve özgür iradeyle verilen rıza şarttır.

Paketten en çok yararlanan tesis profilleri şunlardır:

• Parmak izi veya yüz tanıma ile turnike sistemi kuran salonlar: Biyometrik veri KVKK'da ayrı bir kategori; üyelik sözleşmesine gömülü onay yeterli değildir.
• Üye sağlık anket formu veya PAR-Q dolduran tesisler: Tansiyon, kalp hastalığı, kronik rahatsızlık gibi bilgiler sağlık verisidir; saklama süresi ve güvenlik önlemleri yasal zorunluluktur.
• Kabin, havuz, lobi veya antrenman alanını kamera ile izleyen tesisler: Kamera kayıtları, görüntünün kişiyi tanımlamaya yettiği her durumda kişisel veri kapsamına girer; aydınlatma yükümlülüğü yerine getirilmelidir.
• Yıllık 50.000 üzeyi veri kaydı bulunan veya ticari amaçla veri işleyen zincir salonlar: VERBİS kaydı zorunludur ve denetimde ilk sorgulanacak belge budur.
• Çocuk üye kabul eden tesisler: 18 yaş altı için ebeveyn açık rızası ayrıca gereklidir; bu grup için özel akış hazırlanır.

KVKK denetimleri her geçen dönem daha kapsamlı bir hal almaktadır. Uyumsuzluk tespitinde Kişisel Verileri Koruma Kurulu, veri kategorisine ve kusur ağırlığına göre 50.000 TL ile 1.000.000 TL arasında idari para cezası uygulayabilmektedir. Bu paket, hem halihazırda açık olan yasal riskinizi kapatmak hem de sistematik bir uyum kültürü oluşturmak isteyenlere yöneliktir.

Spor salonlarının büyük çoğunluğu KVKK uyumunu "sözleşmeye bir madde ekledik" düzeyinde tutmaktadır. Ancak bu yaklaşım, özellikle özel nitelikli veri söz konusu olduğunda hukuki koruma sağlamaz.

Tespit ettiğimiz başlıca riskler:

• Biyometrik rıza eksikliği: Parmak izi veya yüz tanıma kullanan salonların çoğu, üyelik formuna "biyometrik sistem kullanıyoruz" yazarak yetinmektedir. Oysa bu veri için açık rıza; ayrı, özgürce ve bilgiye dayalı olarak alınmalıdır. Üye sistemi reddettiğinde alternatif giriş yöntemi sunulmalıdır.
• Sağlık verisi saklama ihlali: Kâğıt PAR-Q formları dosya dolabında, dijital sağlık anketleri ise şifresiz Excel veya üyelik yazılımında tutulmaktadır. Yetkisiz erişim önlemi olmayan bu saklama, veri güvenliği ihlalidir.
• Kamera aydınlatma yükümlülüğünün ihmal edilmesi: Çoğu salonda kapı önünde yalnızca "kamera kayıt altındadır" uyarısı bulunmaktadır. Bu, KVKK'nın öngördüğü aydınlatma yükümlülüğünü karşılamamaktadır; kayıt süresi, saklama amacı ve ilgili kişi hakları da belirtilmelidir.
• VERBİS kaydı yokluğu: Kayıtlı olmayan ama yükümlü olan tesisler, denetimde doğrudan ihlal statüsüne düşer.
• Personel farkındalığı sıfır: Resepsiyon çalışanı üye verisini WhatsApp'tan kolayca paylaşabilmektedir; bu eylem veri ihlali bildirim yükümlülüğü doğurur.

Bu paket tüm bu boşlukları teknik ve hukuki bütünlük içinde kapatır; uyumsuzluğun yarattığı idari, cezai ve itibar riskini ortadan kaldırır. KVKK'da kasıt aranmaz; yeterli teknik ve idari önlem alınmamışsa sorumluluk otomatik doğar. Denetimde en sık karşılaşılan ihlal türleri arasında ihmale dayalı veri güvenliği açıkları başı çekmektedir.

1. Veri Envanter Tespiti (1. Hafta): Tesiste hangi kişisel ve özel nitelikli verinin işlendiği, hangi sistemlerde saklandığı, kimlere aktarıldığı ve ne kadar süre tutulduğu yerinde inceleme ve anket yöntemiyle belirlenir. Sonuçlar Veri İşleme Envanteri (VİE) belgesine aktarılır.
2. Risk Analizi ve Boşluk Raporu (1–2. Hafta): Mevcut durum KVKK yükümlülükleriyle kıyaslanır. Hangi süreçlerin hukuki dayanağı olmadığı, hangi teknik önlemlerin eksik olduğu ve acil kapatılması gereken güvenlik açıkları raporlanır.
3. Yasal Metin Hazırlığı (2–3. Hafta): Biyometrik veri için ayrı açık rıza formu, sağlık verisi aydınlatma metni, kamera aydınlatma metni, çocuk üye ebeveyn rızası ve KVKK kapsamında güncellenmiş gizlilik politikası taslakları hazırlanır.
4. Teknik Önlemler (3–4. Hafta): Mevcut yazılım veya sistemlerde erişim yetkilendirme, şifreleme ve loglama kontrolleri gözden geçirilir; boşluk varsa teknik gereksinim dokümanı hazırlanır. Kamera saklama süreleri ve fiziksel erişim kısıtlamaları da bu aşamada değerlendirilir.
5. VERBİS Kaydı (4–5. Hafta): Yükümlülük kapsamındaki tesisler için VERBİS sistemine kayıt yapılır; veri kategorileri, işleme amaçları ve alıcı grupları sisteme işlenir.
6. Personel Eğitimi (5–6. Hafta): Resepsiyon, eğitmen ve yönetici personele KVKK farkındalık eğitimi verilir. Veri ihlali tespit ve bildirim prosedürü yazılı hale getirilir.
7. İlgili Kişi Hakları Akışı (6–7. Hafta): Üyelerin erişim, düzeltme, silme ve itiraz haklarını kullanabileceği bir talep akışı (dijital form veya e-posta yolu) kurulur; yanıt süresi ve sorumluluk zinciri tanımlanır.
8. Uyum Raporu ve Teslim: Tüm belgelerin tamamlandığını gösteren nihai uyum raporu, imzalı form örnekleri ve sürdürme rehberi teslim edilir.
9. Sürdürme Rehberi: Yeni sistem veya teknoloji eklendiğinde (yeni biyometrik cihaz, yeni kamera, yeni yazılım) hangi adımların atılması gerektiğini açıklayan pratik rehber hazırlanır. Uyum tek seferlik bir proje değil, süreklilik gerektiren bir süreçtir; bu rehber o sürekliliği destekler.

Bu paketin özü, spor salonlarının en yüksek riskle yüz yüze olduğu özel nitelikli veri kategorisini güvence altına almaktır. KVKK'nın 6. maddesi; sağlık, biyometrik ve genetik veriyi en hassas kategori olarak tanımlar ve bu verilerin işlenmesinde açık rızanın yanı sıra yeterli teknik ve idari önlemlerin alınmasını şart koşar.

Teknik önlemler yalnızca belge hazırlamakla bitmez. Erişim yetkilendirme; hangi personelin hangi veriye ulaşabildiğini netleştiren rol tabanlı bir yapı gerektirir. Resepsiyonun sağlık anket dosyasına erişmesi ile yöneticinin erişmesi aynı yetki düzeyinde olmamalıdır. Kamera sistemine fiziksel ve dijital erişim logları, denetimde sistematik veri güvenliği önleminin kanıtıdır.

Veri ihlali prosedürü, KVKK'nın 12. maddesi uyarınca zorunludur. İhlal tespit edildiğinde 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildirim yapılması gerekir. Bu süreyi yönetecek iç prosedür ve sorumluluk zinciri paketle birlikte hazırlanır.

Hazırlanan tüm belgeler ve prosedürler, denetim anında ibraz edilmeye hazır formattadır. Paket; hukuki danışmanlık yerine geçmez, ancak hukuk danışmanınıza iletilmek üzere tüm teknik ve idari altyapıyı eksiksiz sunar. Gerektiğinde KVKK uzmanı avukatlarla ortak çalışma seçeneği de sunulmaktadır.