Türkiye'de henüz ayrı bir YZ kanunu yok; ancak bir YZ sistemini kişisel veriyle eğitmek ve çalıştırmak KVKK'nın bütün hükümlerini devreye sokar. Aşağıda hukuki sebep, özel nitelikli veri, profilleme ve aydınlatmayı kapsayan, muhtemel Türk YZ Yasası'yla da uyumlu bir veri yönetişimi listesi bulabilirsiniz.
Şablonu indirinBir Türk YZ Yasası tartışılıyor, ancak henüz yürürlükte değil. Bu arada eğitim, çıkarım veya profilleme amacıyla kişisel veri işleyen her YZ sistemi bütünüyle KVKK kapsamındadır. Burada dört nokta öne çıkar:
KVKK'da GDPR m. 22'deki gibi ayrı bir "otomatik karara tabi olmama hakkı" yoktur; ancak m. 11(1)(g) kişiye, münhasıran otomatik analiz sonucunda aleyhine ortaya çıkan sonuca itiraz hakkı tanır ve Kanun'un genel ilkeleri profilleme için sınır oluşturur. Muhtemel YZ Yasası ve AB YZ Tüzüğü ile şimdiden uyum sağlamak da ileride her şeyi baştan düzenleme zorunluluğunu ortadan kaldırır.
| Hüküm | YZ adımı | Uygulamada anlamı |
|---|---|---|
| KVKK m. 4 | Tümü | Amaçla sınırlılık, en aza indirme ve doğruluk; veri setlerine ve çıktılara uygulanır |
| KVKK m. 5 | Eğitim / çıkarım | Hukuki sebep gerekir; verinin internette bulunması sebep değildir, m. 5(2)(d) yalnızca kişinin kendisinin alenileştirdiği veriyi kapsar |
| KVKK m. 6 | Özel nitelikli veri | Yalnızca m. 6(3)'teki sebeplerden biriyle (açık rıza veya diğer yedi sebep) ve Kurul'un belirlediği yeterli önlemlerle (m. 6(4)) |
| KVKK m. 10 | Kullanım | Aydınlatma metni YZ ile işlemeyi ve profillemeyi açıklamalı |
| KVKK m. 11 | Haklar | Erişim, düzeltme ve silme; girdi ve çıktıları kapsar. m. 11(1)(g): münhasıran otomatik analizle ortaya çıkan aleyhe sonuca itiraz |
| KVKK m. 12 | Güvenlik | Tedbirler YZ sürecinin riskine uygun olmalı |
| Muhtemel YZ Yasası / AB YZ Tüzüğü | Uyum | Yüksek riskli kullanımların şimdiden tespiti; ileride baştan düzenleme ihtiyacının önlenmesi |
Türkiye'de yürürlükte ayrı bir YZ kanunu yoktur; tablodaki uyum noktaları ileriye dönüktür. Güncel KVKK metni ayrıca teyit edilmelidir.
Aşağıdaki metni kopyalayabilir veya markdown olarak indirebilirsiniz. Kayıt gerekmez.
# KVKK × YZ — VERİ YÖNETİŞİMİ LİSTESİ
Belge kodu: TR-KVKK-AI-01 · Sürüm 1.0 · Gizlilik: Şirket içi
Kuruluş: [AD] Hazırlayan: [AD/GÖREV] Tarih: ……/……/20……
Dayanak: KVKK (6698 sayılı Kanun); muhtemel YZ Yasası / AB YZ Tüzüğü uyumu
BÖLÜM 1 — YZ SİSTEMİ VE VERİ HARİTASI
Sistem: [AD] Amaç: [……]
Eğitim verisi kaynağı: [……] Kişisel veri mi? [ ] E [ ] H
Çıkarım girdileri: [……] Profilleme üretiliyor mu? [ ] E [ ] H
BÖLÜM 2 — HUKUKİ SEBEP (m. 5 / m. 6)
[ ] EĞİTİM için sebep belirlendi: …… (not: "internette var" bir sebep
değildir; m. 5(2)(d) yalnızca kişinin alenileştirdiği veriyi kapsar)
[ ] ÇIKARIM için sebep belirlendi: ……
[ ] Özel nitelikli veri var mı? [ ] E [ ] H → m. 6(3) sebebi: ……
+ Kurul'un belirlediği yeterli önlemler (m. 6(4)) alındı mı? [ ] E [ ] H
BÖLÜM 3 — AYDINLATMA VE HAKLAR (m. 10 / m. 11)
[ ] Aydınlatma metni YZ işleme ve varsa profillemeyi tarif ediyor
[ ] Erişim / düzeltme / silme; girdi VE çıktıları kapsıyor
[ ] İlgili kişi talepleri için kanal tanımlı
[ ] Münhasıran otomatik analizle ortaya çıkan aleyhe sonuca itiraz (m. 11(1)(g))
BÖLÜM 4 — GÜVENLİK VE EN AZA İNDİRME (m. 4 / m. 12)
[ ] Veri seti amaca göre asgariye indirildi; saklama süresi belirlendi
[ ] Çıktılarda doğruluk / önyargı kontrolü
[ ] Teknik ve idari tedbirler riske uygun
BÖLÜM 5 — İLERİYE DÖNÜK UYUM
[ ] Kullanım, muhtemel YZ Yasası / AB YZ Tüzüğü risk kademelerine göre sınıflandı
[ ] Yüksek riskli kullanımlar işaretlendi; insan gözetimi tanımlandı
[ ] Yurt dışı aktarımlar KVKK m. 9 ile yönlendirildi (bkz. TR-KVKK-09)
BÖLÜM 6 — KAYITLAR
Veri haritası, sebep analizi, metinler ve uyum değerlendirmesini saklayın.
Sahibi: [GÖREV] Gözden geçirme: [SÜRE] Sonraki: ……/……/20……
Bu şablon geneldir ve hukuki tavsiye teşkil etmez.
Yürürlükte ayrı bir kanun yok. Bir Türk YZ Yasası tartışılıyor ve bu yasanın büyük olasılıkla AB YZ Tüzüğü ile uyumlu olması bekleniyor. Ancak kişisel veri işleyen YZ sistemleri bugün de bütünüyle KVKK kapsamındadır.
Verinin internette erişilebilir olması, KVKK m. 5 bakımından tek başına hukuki sebep oluşturmaz. m. 5(2)(d) yalnızca ilgili kişinin kendisi tarafından alenileştirilmiş verileri kapsar; özel nitelikli verilerde m. 6(3)(ç) ayrıca işlemenin alenileştirme iradesine uygun olmasını arar. Eğitim için de bir hukuki sebep gerekir; özel nitelikli veriler ise yalnızca m. 6(3)'te sayılan sebeplerden birine (açık rıza veya diğer yedi sebepten biri) dayanılarak ve Kurul'un belirlediği yeterli önlemler alınarak işlenebilir (m. 6(4)).
KVKK'da GDPR m. 22 gibi bir yasak yoktur; ancak m. 11(1)(g), işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme hakkı tanır. Genel ilkeler ve aydınlatma yükümlülüğü de profilleme için sınır oluşturur.
Yüksek riskli kullanımları ve belgeleri şimdiden tespit etmek, kanun çıktığında her şeyi baştan düzenlemekten çok daha az maliyetlidir. AB YZ Tüzüğü de 'Brüksel etkisi' sayesinde muhtemel düzenlemenin çerçevesini şimdiden belirliyor.