Veri, modern işletmelerin en değerli varlığıdır. Ancak Türkiye’de bu varlığı kullanmak için tek başına teknik yetkinlik yeterli değildir; yasal çerçeveye uygunluk da en az analiz kalitesi kadar önemlidir. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), 2016 yılından bu yana Türkiye’deki tüm veri işleme süreçlerini düzenleyen temel mevzuattır. KVKK uyumlu veri analizi, yalnızca yasal bir zorunluluk değil, aynı zamanda müşteri güvenini kazanmanın da en güçlü yoludur.
Kişisel Verileri Koruma Kurumu (KVKK), son yıllarda denetim faaliyetlerini hızla artırmış ve uyumsuzluk durumunda milyonlarca liralık idari para cezaları uygulamıştır. Yalnızca 2024 yılında verilen para cezalarının toplamı 250 milyon lirayı aşmıştır. Bu rakam, hukuki uyumun artık göz ardı edilebilir bir konu olmadığını net biçimde gösterir.
Bu rehberde, KVKK kapsamında veri analizinin nasıl yürütüleceğini, hangi süreçlerin uyumlu olması gerektiğini ve yaygın hata tuzaklarını adım adım ele alacağız.
KVKK Neyi Düzenler?
KVKK, gerçek kişilere ait her türlü bilginin işlenmesini düzenler. Kanun kapsamında “işleme” kavramı oldukça geniştir; verilerin toplanması, kaydedilmesi, saklanması, değiştirilmesi, açıklanması, aktarılması ve hatta silinmesi de işleme sayılır. Veri analizi, doğası gereği bu süreçlerin neredeyse tamamını kapsadığı için KVKK’nın doğrudan ilgi alanındadır.
KVKK’nın veri analizine ilişkin temel ilkeleri şunlardır:
Hukuka ve dürüstlük kurallarına uygunluk: Veriler, açık ve meşru bir amaç doğrultusunda işlenmelidir. Müşterilere gizli kalan veya yanıltıcı amaçlarla yapılan analizler, kanun kapsamında ihlal sayılır.
Belirli, açık ve meşru amaçlarla işleme: Veri analizi süreci başlamadan önce, hangi verinin neden işlendiği yazılı olarak belirlenmelidir. “Belki ileride lazım olur” mantığıyla yapılan veri toplama, KVKK’ya aykırıdır.
Verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması: Bir pazarlama analizi için müşterinin sağlık bilgisini toplamak veya bir sadakat programı için kimlik numarası talep etmek, bu ilkenin ihlalidir.
Doğru ve gerektiğinde güncel olma: Eksik veya hatalı verilerle yapılan analizler hem teknik olarak hatalı hem de hukuken sorunludur.
Saklama süresinin sınırlandırılması: Veriler, işlenme amacının gerektirdiği süreyle sınırlı tutulmalıdır. Analiz sonrasında işlevi kalmayan kişisel verilerin imha edilmesi yasal zorunluluktur.
Açık Rıza ve Hukuki Sebep
Veri analizi yapabilmek için en temel hukuki gereklilik, verilerin işlenmesine ilişkin geçerli bir hukuki sebebin bulunmasıdır. KVKK altı farklı hukuki sebep tanımlar; bunların en bilineni açık rızadır.
Açık rıza; özgür iradeyle, belirli bir konuya ilişkin ve bilgilendirilmeye dayanan onay anlamına gelir. Bir kullanıcının “kabul ediyorum” kutucuğunu işaretlemesi, ancak yanında ne için onay verdiğini açıkça gösteren bir bilgilendirme metni varsa geçerli sayılır. Genel ifadelerle alınan rızalar (ör. “her türlü pazarlama amacıyla”) KVKK tarafından geçersiz kabul edilir.
Ancak veri analizi her zaman açık rızayla yapılmak zorunda değildir. Diğer hukuki sebepler şunlardır:
- Sözleşmenin kurulması veya ifası için zorunlu olması
- Veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi
- İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla meşru menfaat
- Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması
Örneğin bir e-ticaret sitesinde, satın alma geçmişine dayalı temel sipariş yönetimi sözleşmenin ifası kapsamındadır ve ayrı açık rıza gerektirmez. Ancak aynı verilerin pazarlama amacıyla profil çıkarmak için kullanılması, açık rıza gerektirir.
Anonimleştirme: Veri Analizinin Yasal Sığınağı
KVKK uyumlu veri analizinde en güçlü teknik araç anonimleştirmedir. Anonim hale getirilmiş veriler, KVKK kapsamı dışında kalır ve özgürce analiz edilebilir.
Anonimleştirme; kişisel verilerin, başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir. Bunu sağlayan teknikler şunlardır:
Maskeleme: Verilerin bir kısmının yıldız veya benzeri karakterlerle gizlenmesi (ör. “0532 *** ** 45”).
Toplulaştırma (aggregation): Bireysel verilerin yerine grup istatistiklerinin kullanılması (ör. “25-34 yaş grubunun ortalama harcaması”).
Genelleştirme: Spesifik değerlerin daha geniş kategorilerle değiştirilmesi (ör. yaş yerine yaş aralığı, posta kodu yerine ilçe).
Gürültü ekleme (noise addition): Verilere kasıtlı küçük sapmalar eklenerek istatistiksel anlamı koruyup bireysel tanımlanabilirliği ortadan kaldırma.
k-anonimlik: Veri kümesindeki her kaydın, en az k-1 başka kayıttan ayırt edilemez hale getirilmesi.
Önemli bir uyarı: Sadece isim ve T.C. kimlik numarasını silmek anonimleştirme sayılmaz. Geri kalan verilerden kişinin kimliği yine de tespit edilebiliyorsa (örneğin nadir bir meslek + doğum tarihi + ilçe kombinasyonu), veri hâlâ kişiseldir. Gerçek anonimleştirme için verinin geri döndürülemez biçimde işlenmesi gerekir.
Veri Analizi Süreçlerinde KVKK Kontrol Listesi
KVKK uyumlu bir veri analizi projesi yürütürken her aşamada belirli kontrolleri yapmak gerekir.
Veri toplama öncesi:
- VERBİS kaydı yapıldı mı?
- Aydınlatma metni güncel ve erişilebilir mi?
- Hangi hukuki sebebe dayanıldığı belirlendi mi?
- Açık rıza gerekliyse, rıza metni özgür, belirli ve bilgilendirilmiş mi?
Veri toplama sırasında:
- Sadece analiz amacı için gerekli veriler toplanıyor mu?
- Hassas veri kategorilerine (sağlık, din, biyometrik) giriliyor mu? Girilirse, ek güvenlik önlemleri var mı?
- Çocuklara ait veri işleniyorsa, veli onayı alınmış mı?
Analiz aşamasında:
- Veriler mümkün olduğunca anonim/takma adlandırılmış (pseudonymized) çalışma ortamına aktarılıyor mu?
- Analizi yapan ekibin yetkileri sınırlandırılmış mı?
- Veriler şifreli ortamlarda mı saklanıyor?
- Yurt dışı aktarımı varsa, KVKK madde 9 koşulları sağlanıyor mu?
Analiz sonrası:
- Saklama süresi sona eren veriler imha ediliyor mu?
- Analiz çıktıları (raporlar, modeller) kişisel veri içeriyor mu?
- Otomatik karar verme sistemleri için itiraz mekanizması var mı?
Yaygın KVKK Hataları
Türkiye’de KVKK denetimleri ve verilen cezalar incelendiğinde, veri analizi projelerinde tekrar eden bazı hatalar dikkat çeker.
Sınırsız veri saklama: “İleride lazım olur” mantığıyla verileri süresiz saklamak, KVKK’nın saklama süresi sınırlaması ilkesini ihlal eder. Her veri kategorisi için saklama süresi belirlenmeli ve süresi dolan veriler otomatik olarak imha edilmelidir.
Bulanık açık rıza metinleri: “Verilerimin işlenmesini kabul ediyorum” gibi genel ifadeler geçersizdir. Rıza metni hangi verinin hangi amaçla işleneceğini açıkça belirtmelidir.
Üçüncü taraf araçların kontrolsüz kullanımı: Google Analytics, Meta Pixel ve benzeri araçlar, doğru yapılandırılmadığında yurt dışına veri aktarımı oluşturur. Bu araçların KVKK uyumlu konfigürasyonu kritik öneme sahiptir.
Yetersiz teknik önlemler: Veri tabanı şifrelemesi, erişim logları, güçlü kimlik doğrulama gibi temel güvenlik önlemleri eksikse, bir veri ihlali durumunda ceza katlanarak artar.
VERBİS kaydının ihmal edilmesi: Belirli kriterleri karşılayan veri sorumluları VERBİS’e kayıt olmak zorundadır. Bu yükümlülüğün ihmali, başlı başına ceza nedenidir.
KVKK ve Yapay Zeka Destekli Veri Analizi
Yapay zeka destekli veri analizi, KVKK açısından yeni soru işaretleri doğurmaktadır. Otomatik karar verme sistemleri (örneğin kredi skorlama, işe alım algoritmaları), KVKK madde 11 kapsamında ilgili kişiye itiraz hakkı tanımayı gerektirir. Yapay zeka modellerinin eğitiminde kullanılan veriler için ise hem hukuki sebep hem de saklama süresi titizlikle yönetilmelidir.
2024 yılında yürürlüğe giren AB Yapay Zeka Yasası (EU AI Act) ile uyumlu çalışan Türk şirketleri için, KVKK’ya ek olarak GDPR ve AI Act uyumluluğu da gündemdedir. Özellikle yurt dışı müşterisi olan veya AB pazarına hizmet veren KOBİ ve kurumsal işletmeler için bu çoklu uyumluluk çerçevesi giderek daha kritik hale gelmektedir.
Sonuç
KVKK uyumlu veri analizi, bürokratik bir yük değil, sürdürülebilir bir veri stratejisinin temelidir. Müşterilerin gizliliğine saygı duyan ve şeffaf veri pratikleri uygulayan işletmeler, hem hukuki risklerden korunur hem de uzun vadeli müşteri güveni kazanır. Bu güven, bir markanın en değerli sermayelerinden biridir.
KVKK uyumlu veri analizi süreçlerinizi tasarlamak veya mevcut süreçlerinizi gözden geçirmek için profesyonel destek ihtiyacı duyduğunuzda, VeriAnalizi.net olarak Türkiye’deki yasal çerçeveye tam uyumlu çözümlerimizle yanınızdayız.