Bir etkinliğin kayıt ve geçiş sistemi, katılımcılar hakkında çok sayıda kişisel veri toplar: ad soyad, kurum, iletişim bilgisi, fotoğraf ve hangi salona hangi saatte girildiği. Bu veriler 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamındadır. Bu yazıda etkinlik organizasyonlarında hangi verilerin toplandığını, kimin hangi sorumluluğu taşıdığını ve kayıt sürecinde dikkat edilmesi gereken noktaları genel hatlarıyla anlatıyoruz. Yazı bilgilendirme amaçlıdır; kendi etkinliğinize özel değerlendirme için hukuk danışmanınıza başvurmanızı öneririz.
Etkinlikte hangi kişisel veriler toplanır?
| Veri | Nerede toplanır | Ne için kullanılır |
|---|---|---|
| Ad soyad, kurum, unvan | Ön kayıt formu, kayıt masası | Katılımcının tanınması, yaka kartı baskısı |
| E-posta ve telefon | Ön kayıt formu | Kayıt onayı, etkinlik bilgilendirmesi |
| Barkod / QR kod / kart numarası | Yaka kartı, telefon ekranı | Girişte kimliğin doğrulanması |
| Geçiş kayıtları (saat, nokta) | Turnike ve okuyucular | Salon doluluğu, katılım raporu |
| Fotoğraf | Fotoğraflı yaka kartı, akreditasyon | Kartın sahibine ait olduğunun kontrolü |
Kim veri sorumlusu, kim veri işleyen?
KVKK'da kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen kişi veya kurum veri sorumlusudur. Etkinliklerde bu genellikle etkinliği düzenleyen kurum ya da organizasyon firmasıdır. Kayıt yazılımı, turnike ve yaka kartı sistemini sağlayan teknoloji firması ise çoğunlukla veri sorumlusunun talimatıyla ve onun adına veri işleyen konumundadır. Rollerin etkinlik öncesinde netleştirilmesi ve taraflar arasındaki sözleşmede verilerin hangi amaçla işleneceğinin, nasıl korunacağının ve etkinlik sonrasında ne olacağının yazılması önerilir.
Aydınlatma yükümlülüğü
Kanunun 10. maddesine göre veri sorumlusu, veriler toplanırken kişiyi bilgilendirmekle yükümlüdür: verileri kimin işlediği, hangi amaçla işlendiği, kimlere aktarılabileceği, toplama yöntemi ve hukuki sebebi ile kişinin hakları. Etkinliklerde bunun en pratik yolu, ön kayıt formunda aydınlatma metnine bağlantı vermek ve kayıt masasında metnin görülebileceği bir alan bulundurmaktır.
Açık rıza ne zaman gerekir?
Her veri işleme açık rızaya dayanmaz. Kanunun 5. maddesi, bir sözleşmenin kurulması veya ifası için gerekli olması, veri sorumlusunun hukuki yükümlülüğü ya da meşru menfaati gibi başka işleme şartları da tanır. Örneğin katılımcının etkinliğe girişini sağlamak için adının yaka kartına basılması çoğu durumda etkinlik katılımının doğal bir parçasıdır. Buna karşılık katılımcı verisinin sponsorlarla pazarlama amacıyla paylaşılması gibi etkinliğin zorunlu bir parçası olmayan işlemler için ayrı değerlendirme yapılmalıdır. Hangi işlemin hangi şarta dayandığına veri sorumlusu karar verir.
Fotoğraf ve yüz tanıma
Yaka kartına basılan fotoğraf, kartın sahibine ait olduğunun gözle kontrolü için kullanılabilir. Yüz tanıma gibi biyometrik doğrulama yöntemleri ise KVKK'da özel nitelikli kişisel veri kapsamına girer ve daha sıkı şartlara tabidir. Bu nedenle biyometrik yöntem düşünülüyorsa, aynı amaca kart veya QR kod gibi daha az veri gerektiren yöntemlerle ulaşılıp ulaşılamayacağı önce değerlendirilmelidir.
Veri güvenliği
Kanunun 12. maddesi, veri sorumlusunun verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için gerekli teknik ve idari tedbirleri almasını ister. Etkinlik sahasında bu; kayıt bilgisayarlarına yalnızca yetkili görevlilerin erişmesi, cihazların ortak Wi-Fi yerine ayrılmış bir ağa bağlanması, katılımcı listelerinin USB bellek veya kişisel e-posta ile dolaştırılmaması ve kiralanan cihazlardaki verilerin iade sonrasında silinmesi gibi uygulamalarla sağlanır.
Etkinlik sonrası: saklama ve silme
Kişisel veriler, işlendikleri amaç için gerekli olan süre kadar saklanmalıdır. Etkinlik bittikten sonra katılım raporu için gereken veriler belirlenir; geri kalan veriler silinir, yok edilir veya anonim hale getirilir. Kayıt ve geçiş sistemini sağlayan firmayla, verilerin etkinlik sonrasında ne zaman ve nasıl teslim edilip silineceği önceden kararlaştırılmalıdır.
Sıkça Sorulan Sorular
Etkinlik kayıt verilerinden kim sorumludur?+
Verilerin hangi amaçla ve nasıl işleneceğini belirleyen taraf veri sorumlusudur; bu genellikle etkinliği düzenleyen kurumdur. Kayıt ve geçiş sistemini sağlayan teknoloji firması çoğunlukla onun adına veri işleyen konumundadır.
Kayıt formunda aydınlatma metni zorunlu mu?+
Veri sorumlusu, kişisel veriler toplanırken kişiyi bilgilendirmekle yükümlüdür. Ön kayıt formunda aydınlatma metnine bağlantı vermek bu yükümlülüğü yerine getirmenin pratik bir yoludur.
Turnike geçiş kayıtları kişisel veri midir?+
Belirli bir kişiye ait kart veya kodla ilişkilendirilen geçiş kayıtları, o kişinin hangi saatte hangi noktadan geçtiğini gösterdiği için kişisel veri niteliğindedir.
Kiralanan kayıt bilgisayarlarındaki veriler ne oluyor?+
TGS Bilişim'de kiralanan cihazlar iade alındıktan sonra üzerlerindeki tüm veriler güvenli biçimde silinir.