Davetli listesi neden kişisel veridir
Türkiye’de 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kimliği belirli ya da belirlenebilir kişilere ait her bilgiyi kapsar. Avrupa Birliği’nden misafir ağırlıyorsanız ya da etkinliği AB’de düzenliyorsanız GDPR de devreye girer. Her davetli listesi bu kapsamdadır: bir ad ve bir e-posta adresi yeter. Kimin ne zaman girdiğini kaydeden kapı listesi ve misafirlerin tanınabildiği bir fotoğraf galerisi de öyle.
Bazı cevaplar ek özen ister. Dini inancı ortaya koyan bir yemek notu, bir alerji ya da bir engellilik bilgisi KVKK’da özel nitelikli kişisel veri sayılabilir. Bu bilgiyi yalnızca kullanacaksanız isteyin ve yalnızca gereğini yapacak kişilerle paylaşın.
Her kullanım için bir hukuki sebep
Hem KVKK hem GDPR, etkinliğin tamamı için tek bir gerekçe değil, her amaç için ayrı bir hukuki sebep ister. Çalışanlara şirket etkinliği daveti göndermek, bir misafirin LCV cevabını işlemek ve onu kapıdan içeri almak, etkinlikten sonra onu bir pazarlama listesine eklemekten farklı dayanaklara oturur. İlk davetiye çıkmadan önce her amacı dayanağıyla birlikte yazın.
- Sözleşmenin kurulması ya da ifası: misafir kayıt olur ya da bir yer satın alır; bunu sağlamak için bilgilerine ihtiyacınız vardır.
- Meşru menfaat: örneğin mevcut iş bağlantılarını davet etmek; misafirin makul beklentisiyle tartılarak.
- Açık rıza: isteğe bağlı her şey için; etkinlik sonrası pazarlama ya da bilgilerin bir sponsorla paylaşılması gibi. Belirli bir konuya ilişkin, bilgilendirmeye dayanan, özgür iradeyle verilmiş olmalı ve geri alınması verilmesi kadar kolay olmalı.
- Hukuki yükümlülük: bir kanunun kayıt tutmayı gerektirdiği durumlar.
Yalnızca etkinliğin ihtiyacı olanı toplayın
Veri minimizasyonu, en çok sorunu önleyen ilkedir. Cevap formundaki her alan korumanız, açıklamanız ve sonunda silmeniz gereken bir alandır. Bir soru eklemeden önce cevabı ne için kullanacağınızı ve kimin göreceğini sorun. Doğum tarihi, ev adresi ve unvan çoğu zaman alışkanlıktan istenir ve hiç kullanılmaz.
KVKK’daki aydınlatma yükümlülüğü burada devreye girer: misafire neyi, neden topladığınızı veriyi aldığınız anda sade bir dille söyleyin. Cevap formunun yanında kısa bir not ve tam aydınlatma metnine bağlantı yeterlidir. Veri sorumlusunun kim olduğunu, verinin ne için kullanıldığını, kimlerle paylaşıldığını ve ne kadar saklandığını belirtin.
Gerçek anlamı olan açık rıza
Açık rızaya dayanıyorsanız bu gerçek bir seçim olmalı. Önceden işaretlenmiş bir kutu ya da genel şartların içine gömülmüş bir rıza geçerli sayılmaz. İsteğe bağlı her amaç için ayrı sorun, kimin neye ne zaman onay verdiğinin kaydını tutun ve fikrini değiştirmeyi kolay kılın. Açık rızayı hizmetin ön şartı yapmayın; davete katılmak için pazarlama iznine onay istenmemeli.
Aynı şey fotoğraf ve video için de geçerli. Etkinlik çekilecekse bunu davetiyede ve girişte söyleyin, mümkünse çekilmek istemeyenler için bir yol sunun ve bunu beklemeyen misafirlerin tanınabilir görüntülerini yayımlamadan önce iki kez düşünün.
Sponsorlar, katılımcı firmalar ve diğer alıcılar
Stant parası ödediği için bir sponsora katılımcı listesini vermek, etkinliklerde en sık yapılan gizlilik hatalarından biridir. Sponsor ayrı bir kurumdur; misafir bilgilerini ona aktarmak normalde misafirin kendi, o konuya özel onayını gerektirir. Daha güvenli düzen şudur: her ziyaretçi standda bilgilerini o sponsorla paylaşıp paylaşmayacağını kendisi seçer ve bu seçim kaydedilir.
Tedarikçileriniz farklı bir durumdur. Sizin adınıza veri işleyen bir kayıt platformu, e-posta servisi ya da yaka kartı basan firma veri işleyendir; her biriyle yazılı bir sözleşme yapın. Verilerin nerede saklandığını, yurt dışına aktarılıp aktarılmadığını ve sözleşme bitince ne olacağını kontrol edin.
Güvende tutun, yalnızca gerektiği kadar saklayın
Güvenlik kanunun bir parçasıdır, ek bir özen değil. Ekipte tam listeyi kimlerin görebileceğini sınırlayın, misafir tablolarını e-postayla dolaştırmayın, kapı cihazlarını koruyun ve etkinlik bitince erişimleri kaldırın. Bir liste yanlış kişiye gittiğinde olduğu gibi bir veri ihlali yaşanırsa, KVKK durumun en kısa sürede Kişisel Verileri Koruma Kurulu’na ve ilgili kişilere bildirilmesini bekler; GDPR de benzer bir yükümlülük getirir.
Her veri türü için bir saklama süresi belirleyin ve ona uyun. Kapı kaydı birkaç hafta gerekebilir, gelecek etkinliklerden haber almak isteyenlerin listesi daha uzun, akşam yemeği bittikten sonra bir diyet notu hiç gerekmez.
Misafirlerden gelen erişim ve silme talepleri
Misafirler hakkında ne tuttuğunuzu sorabilir, düzeltilmesini ya da silinmesini isteyebilir. KVKK’da bu başvurular en geç otuz gün içinde, GDPR’da normalde bir ay içinde cevaplanır. Bu talepleri kimin karşılayacağını, kişinin kimliğini nasıl doğrulayacağınızı ve nerelere bakacağınızı önceden belirleyin; dizüstü bilgisayarlardaki tablolar ve tedarikçilere gönderilen dışa aktarımlar dahil.
- Kişisel veri başvuruları için isimli bir kişi ya da adres.
- Misafir verisinin bulunduğu her yerin listesi; kopyalar ve tedarikçiler dahil.
- Erişim, düzeltme ve silme için kısa bir şablon cevap.
- Her başvurunun ve ne zaman cevaplandığının kaydı.
- Gerekiyorsa sponsorların ve tedarikçilerin de kopyalarını sildiğinin kontrolü.