Uyuşmazlık nasıl doğdu?
Bir banka çalışanı, banka müşterisiyle kayıtlı hat üzerinden yaptığı görüşmede hakaret içerikli ifadeler bulunduğunu belirterek yasal yollara başvurmak için kayıtların kendisine verilmesini istedi. Banka, kayıtta müşteri sırrı niteliğindeki bilgiler de bulunabileceğini belirterek talebi reddetti.
Kurul, ilgili kişinin kendi sesini ve kendisiyle ilgili konuşmayı içeren kayda erişim talebini kişisel veriler hakkında bilgi edinme ve erişim hakkı kapsamında değerlendirdi. Talebin müşteri sırrı niteliğindeki bilgileri elde etmeye yönelik olmadığını ve üçüncü kişiye ait kısımlar maskelenerek erişim sağlanabileceğini belirtti.
Veri sorumlusu, görüşme kaydını üçüncü kişinin müşteri sırrı niteliğindeki bankacılık işlem verilerini maskeleyerek yazılı döküm veya dijital aktarım yoluyla ilgili kişiye sunmakla talimatlandırıldı.
Erişim hakkı neyi kapsar?
Kanun’un 11. maddesi ilgili kişiye, kişisel verilerinin işlenip işlenmediğini öğrenme ve işlenmişse buna ilişkin bilgi talep etme hakkı verir. Kurul, bu hakkın somut olayın koşullarında kişisel verilere erişimi de kapsadığını değerlendirdi.
Erişim talebi her durumda veri tabanının veya belgenin tamamının aynen teslim edilmesi anlamına gelmez. Veri sorumlusu, talebin kapsamını belirlemeli; başvurana ait kişisel veriyi ayırmalı ve üçüncü kişilerin haklarını koruyacak teknik önlemleri uygulamalıdır.
Bu denge, çağrı kayıtlarının yanı sıra e-posta zincirleri, kamera görüntüleri, işlem logları, toplantı kayıtları ve müşteri hizmetleri notlarında da gündeme gelebilir.
Maskeleme neden kilit çözüm?
Bir belgede hem başvurana hem de başka kişilere ait bilgi bulunması, talebin otomatik reddini gerektirmez. Uygun olduğunda üçüncü kişi verileri karartılabilir, ses kaydı bölünebilir, yalnızca ilgili bölümlerin dökümü çıkarılabilir veya erişim kontrollü bir kanaldan sağlanabilir.
Maskeleme işlemi geri döndürülemez olmalıdır. PDF üzerinde siyah dikdörtgen çizmek veya hücreyi görünmez yapmak yeterli değildir; alttaki metin kopyalanabiliyorsa veri hâlâ açıklanmış olur. Çıktı yeniden oluşturulmalı ve teslimden önce bağımsız kontrol yapılmalıdır.
Başvuru e-postasını doğru sınıflandırmak
Kararda veri sorumlusunun, çalışanın yazışmasını mevzuat danışmanlığı talebi gibi yorumlaması da eleştirildi. İlgili kişi “KVKK başvurusu” ifadesini kullanmasa bile talebin içeriği Kanun’daki haklara dayanıyorsa resmî iş akışına alınmalıdır.
Bu nedenle yalnızca hukuk veya KVK e-posta kutusunu izlemek yeterli değildir. İnsan kaynakları, müşteri hizmetleri, şube, sosyal medya ve çağrı merkezi çalışanları bir erişim, silme, düzeltme veya bilgi talebini tanıyıp merkezi sürece yönlendirebilmelidir.
İlgili kişi başvurusu için operasyon modeli
Başvuru yönetimi; hukuk, bilgi işlem ve iş birimlerinin birlikte yürüttüğü, süreli ve kanıt üreten bir süreç olmalıdır. Aşağıdaki kontrol noktaları en sık görülen gecikmeleri azaltır.
- Tüm başvuru kanallarını merkezi kayıt numarası altında birleştirin.
- Kimlik doğrulamayı talebin riskiyle orantılı yöntemle yapın.
- Talebi hak türlerine ve ilgili sistemlere ayırın.
- Üçüncü kişi verileri için maskeleme, bölümleme veya özetleme seçeneklerini değerlendirin.
- Kabul veya ret kararını somut ve anlaşılır gerekçeyle yazın.
- Cevap ve eklerin gönderildiğini gösteren teslim kanıtını saklayın.
- Benzer başvuruları ölçerek süreç ve saklama politikasındaki kök sorunu giderin.
Çağrı kaydı sistemleri için ek tedbirler
Çağrı kayıtlarının aranabilir olması, erişim talebini zamanında karşılamak için kritiktir. Arama anahtarları, çağrı kimliği, tarih aralığı ve temsilci bilgisi saklanmalı; ancak gereğinden uzun süreli kayıt tutulmamalıdır. Saklama süresi hukuki amaç ve sektörel yükümlülüklerle belirlenmelidir.
Kayıtların dışa aktarımı yetkilendirilmiş ve loglanan bir işlem olmalıdır. Dosya geçici alana çıkarılıyorsa otomatik silme, şifreli aktarım ve alıcı doğrulaması uygulanmalıdır. Böylece erişim hakkı karşılanırken yeni bir veri ihlali yaratılması önlenir.
Sık sorulan sorular
İlgili kişi telefon görüşmesi kaydını isteyebilir mi?
Kayıt ilgili kişinin kişisel verisini içeriyorsa erişim hakkı kapsamında talep gündeme gelebilir. Somut koşullar, talebin kapsamı ve üçüncü kişilerin hakları birlikte değerlendirilir.
Kayıtta üçüncü kişi bilgisi varsa talep tamamen reddedilir mi?
Her zaman değil. Kurulun 2024/592 sayılı kararında üçüncü kişiye ait müşteri sırrı niteliğindeki verilerin maskelenerek yazılı döküm veya dijital kayıt sağlanması gerektiği değerlendirildi.
Başvuruda “KVKK” yazmıyorsa işlem yapılmayabilir mi?
Talebin içeriği Kanun’daki haklardan birine karşılık geliyorsa kullanılan başlıktan bağımsız olarak ilgili kişi başvurusu sürecine alınması güvenli yaklaşımdır.
Bu içerik genel bilgilendirme amacıyla hazırlanmıştır; somut olaya ilişkin hukuki görüş yerine geçmez. Güncel metin ve kapsam için resmî karar özetini inceleyiniz.