KVKK ve elektronik etiket: hangi veri işleniyor?

Elektronik raf etiketi projelerinde KVKK sorusu genellikle geç sorulur ve çoğu zaman gereğinden büyük bir endişeyle gelir.

Bu yazı hukuki görüş değil; hangi soruların sorulması gerektiğini anlatıyor. Kendi durumunuz için hukuk danışmanınıza ve varsa veri koruma sorumlunuza başvurun.

Etiketin kendisi kişisel veri göstermiyor

Rafta duran şey ürün adı, fiyat, birim fiyat, barkod. Bunların hiçbiri kişisel veri değil — kimliği belirli ya da belirlenebilir bir gerçek kişiyle ilişkili değiller.

Yani sistemin görünen kısmı KVKK açısından sade. Endişe genellikle buradan değil, çevresindeki katmanlardan doğuyor.

Asıl bakılacak yer: sistemin çevresi

Üç noktada kişisel veri işlenebiliyor.

Yönetim arayüzü kullanıcıları. Sisteme giren personelin adı, e-postası ve yaptığı işlemlerin kaydı. Bu bir çalışan verisi işleme faaliyeti ve aydınlatma yükümlülüğü doğuruyor.

Değişiklik kayıtları. "Kim ne zaman ne değiştirdi" kaydı, kişiyle ilişkilendirildiği anda kişisel veri oluyor. Bu kayıt denetim için değerli — denetimde hangi etiket kayıtları istenir — ama saklama süresi belirlenmeli.

Bulut kurulumlarda barındırma. Veri nerede tutuluyor, yurt dışına aktarım var mı? Ürün verisi kişisel veri olmasa da kullanıcı kayıtları için bu soru geçerli.

Sorulacak somut sorular

Tedarikçiye:

• Yönetim arayüzü hangi kullanıcı verilerini tutuyor?
• Değişiklik kayıtları ne kadar süre saklanıyor ve silinebiliyor mu?
• Sunucular nerede? Yurt dışıysa hangi ülke?
• Tedarikçi personeli sistemimize erişebiliyor mu, erişim kayıtlanıyor mu?
• Sözleşme sona erdiğinde veriler ne oluyor?

Dördüncü soru en çok atlanan. Destek için uzaktan erişim veriliyorsa, bu bir veri işleyen ilişkisi doğurabiliyor ve sözleşmede karşılığı olması gerekiyor.

ESL sistemi güvenli mi yazısı erişim ve kayıt tarafını ayrıntılandırıyor.

Müşteri verisi işin içine ne zaman giriyor?

Standart bir raf etiketi kurulumunda girmiyor. Ama bazı ek yetenekler bu tabloyu değiştiriyor:

NFC ile müşteri etkileşimi. Müşteri telefonunu etikete yaklaştırıp bir sayfaya yönlendiriliyorsa, o sayfada ne toplandığı ayrı bir değerlendirme konusu — NFC elektronik etikette ne işe yarar.

Kişiselleştirilmiş fiyat. Müşteri kartına bağlı fiyatın rafta gösterilmesi teknik olarak mümkün ama kişisel veriyi kamuya açık bir yüzeye taşıyor. Bu tasarım tercihinden uzak durulması yerinde oluyor.

Standart kurulumda ikisi de yok; ekleniyorsa baştan değerlendirilmeli.

Veri işleyen sözleşmesi gerekiyor mu?

Tedarikçi sizin adınıza kişisel veri işliyorsa — örneğin bulut barındırma sağlıyor ya da destek için sisteme erişiyorsa — aranızda bir veri işleyen ilişkisi doğabiliyor.

Bu ilişkinin yazılı bir sözleşmeye bağlanması gerekip gerekmediği kurulumun şekline bağlı. Kendi sunucunuzda çalışan, tedarikçinin erişmediği bir kurulumda tablo farklı oluyor.

Karar hukuk danışmanınızın; sizin işiniz kurulumun hangi şekilde olduğunu net biçimde ortaya koymak — bulut mu, yerel sunucu mu bu ayrımı yapıyor.

Aydınlatma metnini güncellemek

Sisteme personel girişi yapılıyor ve işlem kaydı tutuluyorsa, çalışan aydınlatma metninizin bunu kapsaması gerekebiliyor.

Bu, projenin kurulum aşamasında yapılacak küçük bir iş ama sonradan hatırlanınca geriye dönük düzeltilmesi zor. Kurulum kontrol listesine eklemek en pratiği.

Kendi veri politikamızı ve künyemizi veri politikası ve KVKK sayfalarında açık tutuyoruz; aynı şeffaflığı tedarikçinizden de isteyin.

Kamera ve sensörlü ürünler ayrı değerlendirilir

Katalogda etiket dışında iki ürün sınıfı var ve ikisi de KVKK açısından farklı bir yerde duruyor.

Raf kamerası. Boşluk ve stok takibi için kullanılan kameralar görüntü işliyor. Görüntüde müşteri yer alıyorsa bu, kişisel veri işleme faaliyeti ve aydınlatma, hukuki sebep ve saklama süresi soruları doğuruyor. Sistem yalnızca raf boşluğunu sayıp görüntüyü saklamıyor olabilir — bu ayrım önemli ve yazılı teyit edilmeli.

Sensörlü etiketler. Sıcaklık ve nem ölçüyorlar; kişisel veri işlemiyorlar — sensörlü etiketler: sıcaklık ve nem.

Yani endişe kameraya yönelmeli, etikete değil. Projede kamera varsa ayrı bir değerlendirme yapılması gerekiyor.

Saklama süresi belirlenmeli

Değişiklik kayıtları sınırsız tutulmamalı. Uzun tutmak bir uyuşmazlıkta işe yarıyor, sınırsız tutmak ise ne gerekli ne de savunulabilir.

Pratik yaklaşım: kampanya dönemlerini ve olası uyuşmazlık süresini kapsayacak kadar uzun, sistemi yormayacak kadar kısa bir süre belirleyip yazmak — denetimde hangi etiket kayıtları istenir.

Nereden başlamalı

Sıralama: önce kurulumun hangi şekilde olacağını (yerel / bulut, uzaktan erişim var/yok) netleştirin, sonra beş soruyu tedarikçiye yazılı sorun, sonra cevapları hukuk danışmanınıza götürün.

İhtiyaç analiziyle başlayıp kapsamınıza uygun teklif isteyebilirsiniz.