Belediye Kütüphane Üyeliğinde Hangi Veriler İstenebilir? KVKK 2023/1863
Kısa ve net cevap: Belediye veya kütüphane hizmeti sunan başka bir kamu kurumu, üyelik için yalnız hizmetin kurulması, kimlik doğrulama, ödünç alma süreçleri ve mevzuat yükümlülükleri bakımından gerekli kişisel verileri istemelidir. Kişisel Verileri Koruma Kurulunun 2023/1863 sayılı kararında kütüphane/üyelik hizmeti kapsamında kişisel verilerin toplanması ve dijital sistemde işlenmesi; 6698 sayılı Kanun m.4’teki amaçla bağlantılı, sınırlı ve ölçülü olma ilkesi, m.5’teki işleme şartları ve m.10’daki aydınlatma yükümlülüğü bakımından değerlendirilmiştir. Kamu hizmeti niteliği taşıyan bir üyelik sistemi, veri sorumlusuna ihtiyaçtan bağımsız bütün bilgileri toplama yetkisi vermez. Kimlik, iletişim, üyelik ve ödünç işlem verileri için amaç ve hukuki sebep ayrı belirlenmeli; mobil/web uygulama kullanılıyorsa erişim güvenliği, saklama süresi ve üçüncü taraf servisler de KVKK m.12 kapsamında kontrol edilmelidir.
Bu yazıyla ilgili genel bir sorunuz mu var? Anonim soru sor
KVKK 2023/1863 Kararının Hukuki Önemi
Kütüphane hizmeti basit görünse de üyelik sistemi çok sayıda kişisel veri üretebilir. Ad-soyad, kimlik bilgisi, telefon, e-posta, adres, üyelik tarihi, ödünç alınan kitaplar, gecikme kayıtları ve dijital uygulama logları aynı veri tabanında tutulabilir.
Belediye veya kamu kurumu hizmetin yürütülmesi için belirli bilgileri işleyebilir. Ancak kamu kurumu olmak KVKK’nın temel ilkelerinden muafiyet sağlamaz. Hangi verinin neden gerekli olduğu gösterilmeli ve gereksiz alanlar üyelik şartı yapılmamalıdır.
2023/1863 sayılı Kurul kararı, kütüphane veya benzeri üyelik hizmetlerinde veri minimizasyonu ve aydınlatma tasarımının önemini ortaya koyan kararlardandır. Fiziksel form, kiosk, mobil uygulama ve web ekranında aynı hukuki mantık uygulanmalıdır.
Özellikle “zorunlu alan” olarak işaretlenen her veri için hizmetle gerçek bağ kurulmalıdır. Kurum içi alışkanlık veya yazılımın varsayılan alanı, kişisel veri toplamak için hukuki sebep değildir.
Kütüphane Üyeliğinde Hangi Veriler Gerekli Olabilir?
Üyeyi tanımlamak, ödünç alınan materyali doğru kişiye bağlamak, gecikme veya iade iletişimi yapmak ve kütüphane kartı oluşturmak için kimlik ve iletişim verilerinin belirli bölümü gerekli olabilir.
Ancak her üyeden ayrıntılı meslek, gelir, aile bilgisi, sosyal medya hesabı veya hizmetle ilgisiz başka bilgi istemek ölçülülük sorununa yol açar. Veri sorumlusu üyelik formundaki her alan için “bu olmadan hangi işlem yapılamaz?” sorusunu cevaplamalıdır.
İstatistik amacıyla yaş grubu veya eğitim seviyesi gibi bilgi toplanacaksa, bu alanın üyelik için gerçekten zorunlu olup olmadığı ayrıca değerlendirilmelidir. İstatistik için anonim veya isteğe bağlı veri çoğu durumda yeterli olabilir.
Adres bilgisi de aynı şekilde otomatik zorunlu alan olmamalıdır. Materyalin adrese gönderilmesi veya yerleşim şartının mevzuatta aranması gibi somut gerekçe varsa kullanılabilir.
T.C. Kimlik Numarası Her Kütüphane Üyeliğinde Zorunlu mudur?
T.C. kimlik numarası güçlü tanımlayıcıdır ve yanlış kullanıldığında yüksek risk yaratabilir. Bu nedenle yalnız “benzersiz kullanıcı numarası lazım” gerekçesiyle otomatik olarak istenmesi yerine, mevzuat ve hizmet gerekliliği değerlendirilmelidir.
Kimlik doğrulamanın başka güvenli ve daha az müdahaleli yöntemle yapılabilmesi mümkünse veri minimizasyonu ilkesi bu alternatifin değerlendirilmesini gerektirir. Belediye bilgi sisteminin MERNİS/KPS entegrasyonu bulunması da her hizmette sınırsız sorgu yapılabileceği anlamına gelmez.
Kimlik numarası işleniyorsa erişim rol bazlı olmalı, kullanıcı ekranında gereksiz biçimde tam gösterilmemeli ve dışa aktarımlarda maskelenmelidir.
Üyelik kartı üzerinde T.C. kimlik numarasını açıkça yazmak çoğu durumda gereksiz ifşa riskini artırır. Kurum içi üye numarası kullanılabilir.
KVKK m.4 Veri Minimizasyonu Nasıl Uygulanır?
Kanun m.4/2-c kişisel verilerin belirli, açık ve meşru amaçlarla; m.4/2-ç ise işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olarak işlenmesini zorunlu kılar.
Bu ilke üyelik formunda yalnız veri alanını değil saklama süresini ve alıcı kitlesini de sınırlar. Hizmet için gerekli bilgi belirli personelce görülebilir; bütün belediye çalışanlarına açık olmamalıdır.
Üyelik sona erdikten sonra da verilerin ne kadar süre tutulacağı belirlenmelidir. Ödünç materyal borcu veya hukuki uyuşmazlık yoksa aktif profil ile arşiv verisi ayrılabilir.
Mobil uygulamada cihaz kimliği, konum, rehber veya reklam tanımlayıcıları gibi ek veriler toplanıyorsa bunların kütüphane hizmetiyle bağı ayrıca açıklanmalıdır. Uygulamanın teknik olarak erişebiliyor olması toplama yetkisi değildir.
Kamu Hizmetinde KVKK m.5 Hukuki Sebebi Nasıl Belirlenir?
Belediyeler ve diğer kamu kurumları kişisel verileri kanunda açıkça öngörülme, hukuki yükümlülük, hizmet ilişkisinin kurulması veya kamu görevini yerine getirmeyle bağlantılı diğer uygun m.5 şartları kapsamında işleyebilir.
Hukuki sebep somut veri alanı ve amaç için belirlenmelidir. “Kamu kurumu olmamız nedeniyle” şeklindeki genel ifade yeterli değildir. Hangi mevzuat hükmünün hangi veriyi gerektirdiği açıklanmalıdır.
Açık rıza, mevzuat gereği zorunlu bir hizmet verisi için kullanılmamalıdır. Kamu hizmetinden yararlanmak için kişinin zorunlu rıza vermesi, özgür irade unsurunu zedeleyebilir.
Gerçekten isteğe bağlı bülten veya etkinlik pazarlaması gibi faaliyetler varsa bunlar üyelik hizmetinden ayrılmalı ve kendi hukuki sebebiyle yürütülmelidir.
Kütüphane Üyeliğinde Aydınlatma Nasıl Yapılmalı?
KVKK m.10 uyarınca veri sorumlusu kimliği, işleme amaçları, aktarım, veri toplama yöntemi ve hukuki sebep ile m.11 hakları açıkça bildirilmelidir.
Fiziksel formda kısa katmanlı metin ve ayrıntılı metne QR kod; web veya mobil uygulamada ise kayıt ekranından kolay erişilebilir aydınlatma kullanılabilir. Aydınlatma gizlilik politikasının içinde belirsiz bir bağlantıya saklanmamalıdır.
Kişi hangi alanın zorunlu, hangisinin isteğe bağlı olduğunu anlayabilmelidir. İsteğe bağlı veri boş bırakıldığında üyelik engellenmemelidir.
Aydınlatma ile açık rıza aynı kutuda birleştirilmemelidir. Aydınlatma kurumun yükümlülüğüdür; rıza yalnız gerekli olduğu ayrı işlem faaliyeti için alınır.
Mobil Uygulama ve Web Üyeliğinde Ek Riskler
Dijital üyelikte parola güvenliği, MFA, bot saldırıları, kimlik doğrulama ve veri tabanı erişimleri m.12 kapsamında değerlendirilmelidir. Basit parola veya tahmin edilebilir üye numarası başka üyelerin ödünç geçmişine erişim riski yaratabilir.
Uygulama üçüncü taraf analitik veya bildirim SDK’ları kullanıyorsa bu servislerin hangi verileri aldığı tespit edilmelidir. Reklam tanımlayıcısı veya cihaz verisi, kütüphane hizmetinin zorunlu parçası olmayabilir.
Yurt dışındaki bulut veya analitik hizmetine veri aktarılıyorsa güncel yurt dışı aktarım hükümleri uygulanmalıdır. 2024 sonrası değişen aktarım rejimi 2026 itibarıyla güncel metin üzerinden değerlendirilmelidir.
Uygulama izinleri en az seviyede tutulmalı ve kullanıcıya gereksiz konum, rehber veya dosya erişimi zorunlu kılınmamalıdır.
Ödünç Alınan Kitap Geçmişi Ne Kadar Saklanabilir?
Ödünç alma geçmişi kişinin ilgi alanları hakkında bilgi verebilir. Bazı kitaplar siyaset, sağlık, din, cinsellik veya başka hassas konularda çıkarım yaratabilir. Bu nedenle geçmişin süresiz tutulması ayrıca değerlendirilmelidir.
Materyal iade edildiğinde operasyonel borç kaydı kapanabilir. İstatistik gerekiyorsa kişisel kimlikle bağlantı kaldırılarak anonim veri kullanılabilir.
Kullanıcıya “geçmişimi sakla” gibi isteğe bağlı özellik sunulabilir; ancak varsayılan ve sınırsız saklama yerine açık amaç ve süre belirlenmelidir.
Personel yalnız gecikme/borç yönetimi için gerekli güncel kayıtlara erişmeli; geçmiş okuma tercihleri gereksiz şekilde görüntülenmemelidir.
Çocuk Üyelerin Verileri Nasıl Korunmalı?
Çocuk kütüphane üyelikleri daha yüksek dikkat gerektirir. Yaş doğrulama, veli/vasi ilişkisi ve hizmet için gerekli veri miktarı ölçülü tasarlanmalıdır.
Çocuğun telefon, adres veya okul bilgisi yalnız hizmet için gerçekten gerekli olduğunda toplanmalıdır. Veli iletişim verisi kullanılabiliyorsa çocuktan ayrı iletişim kanalı istemek gereksiz olabilir.
Etkinlik fotoğrafı veya tanıtım kullanımı üyelik hizmetinden ayrı bir amaçtır ve ayrıca hukuki değerlendirme gerektirir.
Çocuklara yönelik aydınlatma metni yaşa uygun, sade ve anlaşılır hazırlanmalıdır.
Erişim ve Veri Güvenliği Nasıl Sağlanmalı?
Üye veri tabanına yalnız yetkili kütüphane personeli erişmelidir. Belediye genelindeki tüm personelin üyelik ve ödünç geçmişini görebilmesi uygun değildir.
Yönetici hesapları MFA ile korunmalı, sorgular loglanmalı ve toplu veri dışa aktarma yetkisi sınırlandırılmalıdır. Kütüphane bilgisayarlarında oturum kapatma ve ekran gizliliği de önemlidir.
Yedekler şifreli tutulmalı ve üretim sistemiyle aynı erişim hesabına bağlı olmamalıdır. Veri ihlali senaryosu hazırlanmalı ve yanlış üyeye bilgi gösterilmesi gibi olaylar da müdahale planına eklenmelidir.
Üçüncü taraf yazılım tedarikçisi kullanılıyorsa veri işleyen ilişkisi, güvenlik ve alt yüklenici şartları sözleşmede düzenlenmelidir.
Belediyeler İçin Uyum Modeli
Form envanteri çıkarın: Her zorunlu alanın amacını ve hukuki sebebini kaydedin.
Gereksiz alanları kaldırın: Yazılım varsayılanı olduğu için veri toplamaya devam etmeyin.
Kimlik numarasını maskeleyin: Güçlü tanımlayıcıları ekran ve raporlarda gereksiz göstermeyin.
Ödünç geçmişini sınırlayın: Operasyonel ihtiyaç sona erdiğinde anonimleştirme veya imha uygulayın.
Uygulama SDK’larını denetleyin: Analitik/reklam servislerinin veri akışını belgeleyin.
Çocuk verisini ayrı yönetin: Veli bilgisi ve yaşa uygun aydınlatma süreçleri kurun.
Yetkileri loglayın: Hangi personelin hangi üye kaydına eriştiğini denetlenebilir hâle getirin.
Sık Yapılan Hatalar
- Kamu kurumu olduğumuz için istediğimiz veriyi alabiliriz demek: KVKK temel ilkeleri kamu kurumlarına da uygulanır.
- T.C. kimlik numarasını varsayılan üyelik alanı yapmak: Gereklilik ve ölçülülük ayrıca gösterilmelidir.
- Ödünç geçmişini süresiz kişiye bağlı tutmak: Amaç sona erince imha/anonimleştirme değerlendirilmelidir.
- Mobil uygulama izinlerini kontrol etmemek: SDK’lar gereksiz veri toplayabilir.
- Aydınlatma ile rızayı birleştirmek: Hukuki işlevleri farklıdır.
- Üye verisini belediye içinde geniş erişime açmak: Bilmesi gereken prensibi uygulanmalıdır.
Resmî Kaynaklar
- Kişisel Verileri Koruma Kurumu – Kurul kararları
- 6698 sayılı Kişisel Verilerin Korunması Kanunu – m.4, m.5, m.10, m.11 ve m.12
- 5393 sayılı Belediye Kanunu
Sık Sorulan Sorular
1. Kütüphane üyeliğinde T.C. kimlik numarası zorunlu mudur?
Her durumda otomatik olarak zorunlu değildir; mevzuat ve hizmet gerekliliği somut olarak değerlendirilmelidir.
2. Belediye KVKK’ya tabi midir?
Evet. Kamu kurumlarının kişisel veri işleme faaliyetleri de Kanun hükümlerine tabidir; istisnalar ayrıca sınırlı olarak düzenlenmiştir.
3. Ödünç aldığım kitaplar kişisel veri midir?
Gerçek kişiyle ilişkilendirildiğinde ödünç kayıtları kişisel veridir.
4. Kütüphane okuma geçmişimi süresiz tutabilir mi?
İşleme amacı ve saklama süresi gerekliliği bulunmalıdır; amaç sona erdiğinde m.7 değerlendirilir.
5. Mobil uygulama konum izni isteyebilir mi?
Hizmet için gerçekten gerekli değilse zorunlu tutulmamalıdır.
6. Çocuk üyeliklerinde veli bilgisi alınabilir mi?
Yaş ve hizmet gereği gerekli ise ölçülü biçimde alınabilir.
7. Kütüphane üyelik verileri üçüncü taraf yazılım şirketine aktarılabilir mi?
Rol, hukuki sebep, güvenlik ve gerekiyorsa yurt dışı aktarım şartları sağlanmalıdır.
8. Üyelik formunda meslek zorunlu tutulabilir mi?
Hizmetle doğrudan gereklilik gösterilemiyorsa zorunlu alan yapılması ölçülülük sorunu doğurabilir.
9. Kütüphane verilerimi kimlerin gördüğünü sorabilir miyim?
M.11 kapsamında işleme ve aktarım faaliyetleri hakkında bilgi talep edebilirsiniz.
10. Karar yalnız kütüphaneler için mi önemlidir?
Hayır. Belediye spor tesisi, kurs, kültür merkezi ve benzeri üyelik hizmetlerinde de veri minimizasyonu ve aydınlatma ilkeleri uygulanır.
Hukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
Bakırcı & Keskin Hukuk Bürosu sitesinden daha fazla şey keşfedin
Son gönderilerin e-postanıza gönderilmesi için abone olun.
