Topladığımız ilan verilerini şirket içinde raporlamada kullanacağız. Bunun KVKK ve site kuralları açısından sınırı nerede başlıyor?
Muhasebe ve finans tarafındayım. Yönetim, rakip fiyatlarını düzenli takip eden bir rapor istedi ve bot fikrini masaya koyduk. Ben teknik tarafı anlıyorum ama işin hukuki tarafında kafam net değil ve imzayı ben atacağım. Elimizde şu an manuel toplanmış bir tablo var: ilan başlığı, fiyat, tarih, bir de ilan sahibinin telefonu. Bu tabloyu botla otomatik doldurmayı düşünüyoruz. Ancak telefon kısmında tereddüt ediyorum, çünkü o veri kişisel veri sayılıyor sanırım. Netleştirmek istediklerim Herkese açık bir sayfadaki veriyi otomatik toplamak tek başına suç mu? Site kullanım şartlarına aykırılık ile kanuna aykırılık aynı şey mi? Topladığımız veriyi sadece kendi içimizde kullansak da KVKK kapsamına giriyor muyuz? Telefon numaralarını hiç toplamasak riski büyük ölçüde azaltmış olur muyuz? Şirkette bu konuda kimse net konuşamıyor, herkes "herkes yapıyor" diyor. Ben o cevapla rapor yazamam. Bu işi kullananlar pratikte nasıl bir çizgi çiziyor, onu merak ediyorum. Özellikle kurumsal tarafta çalışanların hangi alanları toplayıp hangilerini bilerek dışarıda bıraktığını duymak isterim. Bizim gibi denetime giren şirketlerde bu ayrımın yazılı olması gerekiyor.
Bilgi işlemdeyim, bu tartışmayı şirketimizde bir yıl önce yaptık. Önce iki şeyi ayırmak gerekiyor: sözleşmeye aykırılık ile kanuna aykırılık aynı kapıya çıkmıyor. Bir sitenin kullanım şartlarını ihlal etmek çoğu durumda özel hukuk meselesidir, sonucu hesabınızın kapatılması olur. Kişisel veriyi hukuka aykırı işlemek ise idari para cezası konusudur, tamamen ayrı bir başlık. Bizim çizdiğimiz çizgi şu oldu: fiyat, metrekare, model yılı, ilan tarihi gibi nesnel veriler serbest, kişiye bağlanabilen her şey yasak. Telefon, ad soyad, profil bağlantısı toplanmıyor. Bunu bir kere kural haline getirince tartışma bitti, çünkü elimizde kişisel veri olmayınca KVKK envanteri de basitleşti. Şunu da ekleyeyim: "herkese açık" olması "herkes istediğini yapabilir" demek değil. Açık kaynaktan toplanmış olması veriyi kişisel olmaktan çıkarmıyor. Serkan beyin ayrımı doğru, üzerine ürün tarafını ekleyelim. Önce şunu net söyleyelim: biz hukuk danışmanı değiliz ve kurumsal bir raporun altına imza atacaksanız kendi hukukçunuzdan görüş almanız gerekir. Bizim söyleyebileceğimiz, aracın nasıl davrandığı ve neyi kolaylaştırdığı. Bot yalnızca sizin tarayıcınızda, sizin görebildiğiniz sayfalarda çalışır. Kapalı bir alana girmez, şifre kırmaz, gizli uç nokta kullanmaz. Toplanan veri sizin cihazınızda kalır; bizim sunucularımıza kopyalanmaz. Veri sorumlusu siz olursunuz, bu yüzden neyi topladığınıza karar vermek de size aittir. Alan seçimi sizin elinizde. Telefon ve iletişim alanlarını tarama şablonundan çıkarabilirsiniz; birçok kurumsal kullanıcı bunu tercih ediyor. Sitelerin kullanım şartları değişebilir. Aracın çalışıyor olması, o sitenin izin verdiği anlamına gelmez; bu sorumluluk kullanıcıdadır. Sizin durumunuz için pratik öneri: rapor amacınız fiyat karşılaştırması olduğuna göre telefon alanına zaten ihtiyacınız yok. Onu şablondan çıkarın, hem hukuki yükünüz azalır hem tablo temizlenir. Veri analisti gözüyle bir uyarı ekleyeyim: kişisel veri toplamamak sadece hukuki bir tercih değil, veri kalitesi açısından da iyi bir karar. Telefon alanı olan tablolarda insanlar er geç o tabloyu birine gönderiyor, sonra kopyası dolaşıma giriyor. Kimin elinde kaç sürüm olduğunu takip edemiyorsunuz. Bizde kural şu: rapora giren her alanın bir sorusu olmak zorunda. "Bu alan hangi soruyu cevaplıyor?" diye soruyoruz. Telefon numarası fiyat analizinde hiçbir soruyu cevaplamıyor, o yüzden hiç toplanmıyor. Çok net oldu, teşekkürler. Telefon alanını komple çıkarıyoruz, şablondan sildim bile. Serkan beyin "kişiye bağlanabilen her şey yasak" cümlesini raporun ilkeler bölümüne aynen yazacağım; yönetime anlatmanın en anlaşılır yolu bu. Bir sorum daha var: topladığımız fiyat verisini altı ay saklamayı planlıyoruz, tarihsel karşılaştırma için. Bu sürede sadece fiyat, ilçe ve tarih tutuluyorsa saklama süresi diye bir mesele kalıyor mu, yoksa süresiz tutabilir miyiz? İçinde kişiyle ilişkilendirilebilir bir alan yoksa klasik anlamda kişisel veri saklama sorunu kalmıyor. Ama şuna dikkat: ilan bağlantısı ya da ilan numarası tuttuğunuzda, o bağlantıdan kişiye ulaşılabiliyorsa dolaylı ilişkilendirme tartışması açılabiliyor. Biz bunu şöyle çözdük: ilan numarasını tutuyoruz çünkü aynı ilanı takip etmek için gerekli, ama arşive alırken ilan sahibine dair hiçbir alan taşınmıyor. Yine de bunu kendi hukukçunuza bir cümleyle sorup yazılı cevap alın, sizin durumunuzda imza sizde.