Misafir Wi-Fi'de KVKK: telefon numarası özel nitelikli veri mi?

Misafir Wi-Fi kurarken toplanan veri azdır ama kişiseldir: telefon numarası ya da e-posta adresi, cihaz bilgisi, bağlantı zamanı. Bu veriler KVKK kapsamındadır.

Bu yazıda pratikte ne yapmanız gerektiğini ve sık yapılan bir hatayı ele alıyoruz.

Yaygın yanlış: "Telefon numarası özel nitelikli veridir"

Bu doğru değil.

KVKK madde 6, özel nitelikli kişisel verileri sayılı bir liste halinde belirler:

"ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri"

Telefon numarası, e-posta adresi ve T.C. kimlik numarası bu listede yoktur. Bunlar genel nitelikli kişisel veridir.

Bu ayrım işinize yarar: özel nitelikli veriler için çok daha ağır işleme koşulları ve ek güvenlik tedbirleri gerekir. Misafir Wi-Fi'de topladığınız veriler o kategoride olmadığı için yükünüz daha hafiftir.

Yine de "genel nitelikli" demek "önemsiz" demek değildir. Aşağıdaki yükümlülükler aynen geçerlidir.

Not: KVKK madde 6, 7499 sayılı Kanun ile 2024'te değiştirildi. 2024 öncesine dayanan kaynaklar bu maddede güncel değildir.

Aydınlatma yükümlülüğü

Misafir, verisinin işlendiğini giriş anında öğrenmelidir. Aydınlatma metninde şunlar bulunmalı:

• Veri sorumlusunun kimliği (işletmenizin adı)
• Hangi verinin toplandığı (telefon numarası, cihaz bilgisi, bağlantı zamanı)
• İşleme amacı (kullanıcı tanımlama ve yasal kayıt yükümlülüğü)
• Ne kadar saklanacağı
• Kimlere aktarılabileceği (varsa SMS sağlayıcısı)
• İlgili kişinin hakları ve başvuru yolu

Metin giriş ekranında okunabilir olmalı. Küçük bir bağlantının arkasına saklanmış, açılmayan bir sayfa yeterli sayılmaz.

Açık rıza: her durumda gerekli mi?

Burada önemli bir ayrım var.

Erişim kayıtlarını tutmanız yasal bir yükümlülüktür. KVKK madde 5/2, hukuki yükümlülüğün yerine getirilmesi için gereken veri işlemeyi açık rıza olmadan mümkün kılar. Yani kaydı tutmak için misafirden ayrıca rıza almanız gerekmez.

Açık rıza, yasal yükümlülüğün ötesine geçtiğinizde gerekir. Örneğin:

• Misafirin telefon numarasını sonradan kampanya mesajı göndermek için kullanmak
• Ziyaret alışkanlıklarını pazarlama amacıyla analiz etmek
• Veriyi bir iş ortağıyla paylaşmak

Bunlar için ayrı ve açık bir rıza gerekir. Kritik nokta: bu rıza ayrı bir kutucuk olmalıdır. Aydınlatma onayıyla pazarlama rızasını tek kutucukta birleştirmek doğru değildir.

KVKK madde 3'teki tanıma göre açık rıza "özgür iradeyle açıklanan" olmalıdır. Önceden işaretlenmiş gelen bir kutucuk bu tanıma uymaz.

Veri güvenliği: madde 12

Veri güvenliğine ilişkin yükümlülükler KVKK madde 12'de düzenlenir. Maddenin başlığı doğrudan budur: "Veri güvenliğine ilişkin yükümlülükler".

Misafir Wi-Fi bağlamında pratik karşılıkları:

• İletişim verisini şifreli saklayın. Telefon numarası veritabanında düz metin durmamalı.
• Erişimi sınırlayın. Yönetim paneline kimlerin girebileceği tanımlı olmalı; herkes her şeyi görmemeli.
• Denetim izi tutun. Kim ne zaman ne yaptı, kayıtlı olmalı.
• Portalı HTTPS üzerinden sunun. Misafirin telefon numarasını şifresiz bir sayfaya yazması kabul edilemez.
• Yönetim arayüzünü internete açmayın. Açmanız gerekiyorsa en azından ikinci bir doğrulama katmanı koyun.

Veri minimizasyonu

En sık yapılan hata gereğinden fazla veri toplamaktır. Giriş formunda ad, soyad, doğum tarihi, cinsiyet, meslek istemek hem misafiri yavaşlatır hem KVKK açısından savunması zor bir durum yaratır.

Sorulması gereken soru basit: "Bu alanı neden topluyorum?" Cevabınız "belki lazım olur" ise, o alanı kaldırın.

Kullanıcıyı tanımlamak için tek bir iletişim bilgisi yeterlidir.

Saklama süresi ve silme

İki yükümlülük burada kesişir:

• 5651 mevzuatı erişim kayıtlarını iki yıl saklamanızı ister.
• KVKK, amacı sona eren verinin silinmesini bekler.

Pratik sonuç: iki yılı dolduran kayıtları otomatik silen bir düzen kurun. Hem yasal saklama yükümlülüğünü yerine getirmiş hem de gereksiz veri tutmamış olursunuz.

SMS sağlayıcısı ve veri aktarımı

Misafire SMS göndermek için telefon numarası bir SMS sağlayıcısına iletilir. Bu bir veri aktarımıdır.

İki nokta:

1. Aydınlatma metninde bu aktarımdan söz edilmelidir.
2. Sağlayıcınızla aranızdaki ilişkinin sözleşmeyle tanımlanmış olması beklenir.

Bu nedenle misafirin telefon numarasının kaç aracıdan geçtiği önemlidir. Numaranın doğrudan kutudan sağlayıcıya gitmesi, arada üçüncü bir platform bulunmasından daha sade bir yapıdır.

Kontrol listesi

• Aydınlatma metni giriş ekranında okunabiliyor mu?
• Pazarlama rızası ayrı bir kutucukta mı?
• Hiçbir kutucuk önceden işaretli geliyor mu?
• Telefon numarası veritabanında şifreli mi?
• Portal HTTPS üzerinden mi sunuluyor?
• Yönetim paneline erişim sınırlı ve kayıtlı mı?
• İki yılı dolan kayıtlar siliniyor mu?
• Gerçekten ihtiyaç duymadığınız bir alan topluyor musunuz?

---

Bu yazı bilgilendirme amaçlıdır, hukuki görüş değildir. Kendi durumunuz için bir hukukçuya danışın. Alıntılar yazının yayımlandığı tarihteki mevzuat metinlerinden alınmıştır.