Kulüplerin üyelik, etkinlik, iletişim ve organizasyon süreçlerinde dijital araçları daha fazla kullanması, kişisel verilerin korunmasını da önemli bir yönetim konusu haline getiriyor. Spor, kültür, sanat, meslek, hobi ve sosyal sorumluluk alanlarında faaliyet gösteren kulüpler; üyelerinin iletişim bilgileri, üyelik kayıtları, etkinlik katılımları ve çeşitli başvuru bilgileri gibi verileri işleyebiliyor. Bu nedenle kişisel veri güvenliği, kulüp faaliyetlerinin düzenli biçimde yürütülmesinin yanı sıra üyelerin bilgilerinin korunması açısından da önem taşıyor.
Türkiye’de kişisel verilerin işlenmesine ilişkin temel kurallar 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında düzenleniyor. Kişisel verilerin hukuka ve dürüstlük kurallarına uygun, belirli ve meşru amaçlarla, amaçla bağlantılı ve ölçülü şekilde işlenmesi ve gerekli süre kadar muhafaza edilmesi gerekiyor. Veri sorumlularının ayrıca verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için uygun teknik ve idari tedbirleri alması gerekiyor.
Kulüplerde Hangi Kişisel Veriler İşlenebiliyor
Kulüplerin faaliyetlerine göre işlediği verilerin kapsamı değişebiliyor. Üyelik sırasında ad, soyad, iletişim bilgileri ve üyelik tarihi gibi bilgiler alınabilirken etkinlik kayıtlarında katılım bilgileri veya organizasyonun gerektirdiği başka bilgiler işlenebiliyor. Bu verilerin tamamının aynı amaçla veya aynı süre boyunca tutulması gerekmiyor. Verinin hangi amaçla toplandığı ve ne kadar süreyle gerekli olduğu önceden değerlendirilerek hareket edilmesi gerekiyor.
Kişisel verilerin işlenmesi, yalnızca dijital sistemlerle sınırlı da kalmıyor. Basılı üyelik formları, etkinlik kayıtları, e-posta yazışmaları veya kulüp arşivleri de kişisel veri içerebiliyor. Bu nedenle kulübün veri güvenliği yaklaşımının yalnızca internet sitesini veya üyelik yazılımını değil, kişisel bilgilerin bulunduğu bütün ortamları kapsaması gerekiyor. KVKK kapsamında verilerin belirli, açık ve meşru amaçlarla işlenmesi ve amaçla bağlantılı, sınırlı ve ölçülü olması temel ilkeler arasında bulunuyor.
Veri İşleme Amacı Önceden Belirleniyor
Bir kulübün üyelerinden kişisel bilgi toplarken bu bilgilerin neden gerekli olduğunu belirlemesi önem taşıyor. Üyelik işlemi için gerekli olmayan bilgilerin yalnızca ileride kullanılabileceği düşüncesiyle toplanması, ölçülülük açısından sorun oluşturabiliyor. Bu nedenle her veri kategorisinin kulübün gerçekleştirdiği faaliyetle bağlantısının değerlendirilmesi gerekiyor.
Veri işleme amacı, üyeye yapılacak bilgilendirmede de açık biçimde ortaya konulabiliyor. Örneğin etkinlik kaydı için alınan iletişim bilgilerinin etkinlik hakkında bilgilendirme amacıyla kullanılması ile aynı bilgilerin farklı amaçlarla kullanılması arasında hukuki açıdan fark bulunabiliyor. Veri işleme faaliyetlerinin belirli, açık ve meşru amaçlara dayanması KVKK’nın temel ilkeleri arasında yer alıyor.
Üyeler Veri İşleme Süreci Hakkında Bilgilendiriliyor
Kulüplerin kişisel veri işleme faaliyetlerinde şeffaf bir iletişim kurması önem taşıyor. Üyelerin hangi bilgilerin işlendiği, verilerin hangi amaçlarla kullanılabileceği ve ilgili kişilerin hakları konusunda gerekli bilgilendirmelerin yapılması, veri koruma sürecinin önemli parçalarından biri olarak değerlendiriliyor. Bu yaklaşım, üyelerin kendi verileri üzerindeki farkındalığının artmasına da yardımcı olabiliyor.
Aydınlatma yükümlülüğü, kişisel veri işleme süreçlerinin şeffaf yürütülmesi açısından önem taşıyor. Kulübün hukuki yapısına ve gerçekleştirdiği veri işleme faaliyetlerine göre gerekli bilgilendirmelerin uygun biçimde hazırlanması gerekiyor. Veri sorumlusu kavramı da burada önem kazanıyor; kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen taraf veri sorumlusu olarak kabul ediliyor.
Erişim Yetkileri Sınırlandırılıyor
Kulüp içerisinde kişisel verilere erişen kişi sayısının gereksiz biçimde artırılması, veri güvenliği açısından çeşitli riskler oluşturabiliyor. Üyelik kayıtlarına ulaşması gerekmeyen kişilerin bu bilgilere erişmemesi, yetkilerin görev tanımlarına göre belirlenmesi ve erişimlerin kontrol altında tutulması önemli görülüyor.
Yetkilendirme sistemi, kulüp yönetiminin hangi kişinin hangi verilere ulaşabileceğini belirlemesine yardımcı olabiliyor. KVKK Kurulu da kişisel verilere erişim yetkisi bulunan kişilerin yetkilerini aşarak veya işleme amacı dışında verileri kullanmasının önlenmesi için uygun teknik ve idari tedbirlerin alınması gerektiğini belirtiyor.
Dijital Üyelik Sistemlerinde Güvenlik Önlemleri Artırılıyor
Kulüplerin internet siteleri, üyelik platformları veya dijital veri tabanları üzerinden bilgi toplaması, teknik güvenlik önlemlerinin önemini artırıyor. Kullanıcı hesaplarının güvenli olması, parolaların uygun yöntemlerle korunması ve sisteme yetkisiz girişlerin önlenmesi, dijital üyelik süreçlerinde dikkate alınması gereken konular arasında bulunuyor.
Dijital veri güvenliği açısından çift kademeli kimlik doğrulama, güvenli bağlantı protokolleri ve güvenli parola saklama yöntemleri gibi teknik önlemler kullanılabiliyor. KVKK Kurumu, veri sorumlularına yönelik kullanıcı güvenliği tavsiyeleri kapsamında iki kademeli kimlik doğrulama ve HTTPS gibi güvenlik uygulamalarına dikkat çekiyor.
Özel Nitelikli Veriler İçin Daha Sıkı Koruma Gerekiyor
Bazı kulüp faaliyetlerinde genel kişisel verilerden daha hassas kabul edilen özel nitelikli kişisel veriler de gündeme gelebiliyor. KVKK kapsamında dernek, vakıf veya sendika üyeliği, sağlık, biyometrik ve genetik veriler gibi çeşitli veri kategorileri özel nitelikli kişisel veri kapsamında değerlendiriliyor. Bu verilerin işlenmesi için Kanun’da öngörülen şartların ayrıca dikkate alınması gerekiyor.
Örneğin bir spor faaliyetinde sağlık bilgilerine ihtiyaç duyulması halinde kulübün bu veriyi hangi hukuki şart kapsamında işlediğini ve hangi amaçla gerekli olduğunu ayrıca değerlendirmesi gerekiyor. Özel nitelikli verilerin korunması için veri sorumlularının verinin niteliğine ve ortaya çıkabilecek risklere uygun teknik ve idari tedbirleri alması gerektiği KVKK’nın ilgili rehberlerinde de belirtiliyor.
Fotoğraf Ve Video Kullanımında Veri Koruması Dikkate Alınıyor
Kulüpler etkinliklerini tanıtmak amacıyla fotoğraf ve video çekimleri gerçekleştirebiliyor. Etkinlik sırasında kişilerin görüntülerinin kaydedilmesi ve daha sonra internet sitesi veya sosyal medya hesaplarında paylaşılması, kişisel veri işleme boyutu taşıyabilecek faaliyetler arasında değerlendirilebildiğinden, kullanım amacının ve hukuki dayanağın etkinliğin özelliklerine göre değerlendirilmesi gerekiyor.
Etkinlik fotoğrafları, kulübün dijital arşivinde saklanabildiği gibi sosyal medya platformlarında da paylaşılabiliyor. Bu nedenle çekim ve paylaşım süreçlerinin gelişigüzel yürütülmemesi, gerekli bilgilendirmelerin ve hukuki değerlendirmelerin yapılması önem taşıyor. Özellikle çocukların veya özel nitelikli veri içerebilecek görüntülerin söz konusu olduğu durumlarda daha dikkatli bir veri koruma yaklaşımı gerekiyor.
Verilerin Saklama Süresi Belirleniyor
Kişisel verilerin süresiz biçimde saklanması yerine, verinin işlenme amacı ve ilgili mevzuat dikkate alınarak gerekli muhafaza süresinin belirlenmesi gerekiyor. Bir üyelik ilişkisinin sona ermesi veya belirli bir etkinliğin tamamlanması, ilgili verilerin her durumda hemen silinmesi gerektiği anlamına gelmediği gibi verilerin sınırsız şekilde saklanabileceği anlamına da gelmiyor.
Veri saklama süresi, işleme amacı ve ilgili mevzuatla bağlantılı olarak belirlenebiliyor. KVKK kapsamında kişisel verilerin, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesi temel ilkeler arasında bulunuyor. Veri sorumlularının kendi veri işleme faaliyetlerine göre saklama ve imha süreçlerini düzenlemesi gerekebiliyor.
Veri İhlallerine Karşı Hazırlık Yapılıyor
Kulüplerin kullandığı sistemlerde yetkisiz erişim, hesabın ele geçirilmesi, yanlış kişiye e-posta gönderilmesi veya fiziksel belgelerin kaybolması gibi farklı veri güvenliği riskleri ortaya çıkabiliyor. Bu nedenle yalnızca önleyici tedbirlerin alınması değil, olası bir ihlal gerçekleştiğinde izlenecek sürecin de önceden belirlenmesi önem taşıyor.
Veri ihlali yönetimi, ihlalin fark edilmesi, olayın değerlendirilmesi, gerekli kayıtların oluşturulması ve mevzuat kapsamında yapılması gereken bildirimlerin ele alınmasını kapsayabiliyor. KVKK’ya göre kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde veri sorumlusunun durumu en kısa sürede ilgili kişiye ve Kurula bildirmesi gerekiyor.
Kulüp Yönetiminde Veri Koruma Kültürü Oluşturuluyor
Kişisel verilerin korunması yalnızca kullanılan yazılımın güvenli olmasına bağlı bulunmuyor. Kulüp içerisinde görev alan kişilerin veri koruma konusunda bilinçlendirilmesi, üyelik kayıtlarının kontrollü tutulması ve kişisel bilgilerin yetkisiz kişilerle paylaşılmaması da sürecin önemli parçalarını oluşturuyor. Bu nedenle veri güvenliği, kulübün genel yönetim anlayışının bir parçası haline getirilebiliyor.
Kulüp veri güvenliği, teknik önlemlerle idari uygulamaların birlikte değerlendirilmesini gerektiriyor. KVKK, veri sorumlularının kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve verilerin muhafazasını sağlamak amacıyla gerekli teknik ve idari tedbirleri almasını öngörüyor. Alınacak önlemlerin ise veri sorumlusunun yapısına, faaliyetlerine ve taşıdığı risklere uygun olması gerekiyor.
