Spor salonlarında KVKK: sağlık verisi ve açık rıza

Bir spor salonu, çoğu zaman farkında olmadan sağlık verisi işleyen bir işletmedir. Kilo, yağ oranı, çevre ölçüleri, sakatlık geçmişi, kronik rahatsızlık beyanı ve beslenme planları — bunların tamamı 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında özel nitelikli kişisel veri sayılır.

Özel nitelikli veri, sıradan kişisel veriden farklı bir rejime tabidir: kural olarak işlenmesi yasaktır, istisnası ise açık rızadır.

Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Salonunuzun özel durumu için bir hukukçuya danışmanız gerekir.

Salonda hangi veriler işlenir?

Tipik bir salonda dört farklı veri kümesi birikir:

1. Kimlik ve iletişim verisi. Ad, soyad, telefon, e-posta, doğum tarihi, TC kimlik numarası (fatura için). Sıradan kişisel veridir; sözleşmenin ifası hukuki sebebine dayanabilir.

2. Sağlık verisi. Ölçümler, sağlık beyanı, sakatlık bilgisi, kronik rahatsızlık, beslenme planı. Özel niteliklidir; açık rıza gerekir.

3. Biyometrik veri. Parmak izi ya da yüz tanımayla çalışan turnikeler biyometrik veri işler; bu da özel nitelikli veridir ve ayrı bir açık rıza gerektirir. QR kod ya da kart tabanlı geçiş biyometrik veri işlemez — bu, yöntem seçiminin hukuki bir boyutu olduğunu gösterir.

4. Hareket verisi. Turnike geçiş kayıtları. Sıradan kişisel veridir ama sürekli bir konum/varlık kaydı oluşturduğu için saklama süresi ve amaç sınırlaması önemlidir.

Dört temel yükümlülük

Aydınlatma

Üyeye, verilerinin hangi amaçla işlendiği, kimlere aktarılacağı, hangi hukuki sebebe dayandığı ve hangi haklara sahip olduğu açıkça anlatılmalıdır. Bu, üyelik sözleşmesinin içine sıkıştırılmış bir paragraf değil, ayrı bir metindir.

Aydınlatma yükümlülüğü rızadan bağımsızdır: rıza almasanız bile aydınlatmak zorundasınız.

Açık rıza — ama yalnız gereken yerde

Açık rıza; özgür iradeyle, belirli bir konuya ilişkin ve bilgilendirmeye dayalı olmalıdır. Buradan üç pratik sonuç çıkar:

• Toplu rıza olmaz. “Tüm kişisel verilerimin işlenmesini kabul ediyorum” tek kutusu geçersizdir. Sağlık verisi, ticari elektronik ileti ve fotoğraf kullanımı ayrı ayrı sorulmalıdır.
• Rıza hizmet şartı olamaz. Üyeliği, pazarlama iznine bağlayamazsınız. Üye kampanya bildirimlerini reddetse de salona girebilmelidir.
• Rıza geri alınabilir olmalıdır. Üye izni geri çektiğinde ilgili işleme durmalıdır.

Saklama ve imha

Her veri kategorisi için bir saklama süresi belirlenmeli, süre dolduğunda veri silinmeli, yok edilmeli veya anonim hâle getirilmelidir. Bunun yazılı hâli Saklama ve İmha Politikasıdır.

Pratikte en çok karıştırılan nokta şudur: mali belgeler (fatura vb.) vergi mevzuatı gereği belirli süre saklanmak zorundadır. Üye hesabını sildiğinde bu belgeler silinmez; kimlikten arındırılmış olarak kalır. Sistem bunu ayırt edebilmelidir.

Veri güvenliği

Şifreli bağlantı, rol bazlı erişim, denetim kaydı ve veri izolasyonu teknik tedbirlerin çekirdeğidir.

Rol bazlı erişim burada özellikle önemlidir: diyetisyenin üyenin kimlik numarasını görmesi için hiçbir sebep yoktur; resepsiyonistin sağlık beyanını okuması için de. Herkes yalnız kendi işini görmelidir.

Kart bilgisi konusu

Ödeme alırken kart bilgisi salonun sisteminde saklanmamalıdır. 3D Secure akışında kart verisi banka altyapısında işlenir; salon yalnızca işlem sonucunu alır.

Bu hem KVKK hem de kart saklama standartları açısından doğru yaklaşımdır. Kendi sanal POS sözleşmenizi kullanmak, araya giren üçüncü bir kuruluşa veri aktarmadığınız anlamına da gelir.

Üyenin hakları

Üye, kendisiyle ilgili şunları talep edebilir: verilerinin işlenip işlenmediğini öğrenme, bilgi talep etme, düzeltme, silme, aktarıldığı üçüncü kişileri öğrenme ve işlemeye itiraz.

Pratik karşılığı: uygulamada ya da web sitesinde hesap silme seçeneği bulunmalı, talep makul sürede sonuçlanmalıdır. Silme talebinde kayıt anonimleştirilir; mali belgeler yukarıda anlatıldığı gibi kimlikten arındırılmış olarak kalır.

Çok dilli salonlar için not

Sözleşme ve aydınlatma metinleri, üyenin anladığı dilde sunulmalıdır. Yabancı üyesi olan salonlarda metinlerin dil bazında yayınlanması ve onay kanıtının hangi dilde verildiğinin saklanması gerekir.

Pratik kontrol listesi

• Aydınlatma metni hazır ve üyelik akışında gösteriliyor mu?
• Sağlık verisi için ayrı açık rıza alınıyor mu?
• Ticari elektronik ileti izni ayrı kutu mu?
• Saklama ve imha politikası yazılı mı?
• Rol bazlı yetkilendirme tanımlı mı — kim neyi görüyor?
• Denetim kaydı tutuluyor ve silinemiyor mu?
• Kart bilgisi sistemde saklanmıyor mu?
• Üye hesabını silebiliyor mu?
• Sözleşmeler üyenin dilinde ve onay kanıtı saklanıyor mu?
• VERBİS kaydı gerekiyorsa yapıldı mı?

Bu listenin çoğu maddesi tek seferlik bir iş değil, sistemin nasıl kurulduğuyla ilgilidir. Yetkilendirmenin ve denetim kaydının sonradan eklenmesi zordur; baştan doğru kurulması ise ek bir maliyet getirmez.