Çağrı Merkezlerinde Ses Kaydı ve KVKK: Uyum İçin Bilinmesi Gerekenler
Çağrı merkezinde ses kaydı KVKK açısından kişisel veri işlemedir. Aydınlatma, hukuki dayanak, saklama süresi ve açık rıza kurallarını mevzuata dayalı açıklıyoruz.
Çağrı merkezinde alınan ses kaydı, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında bir kişisel veri işleme faaliyetidir ve kaydı alan işletme veri sorumlusu sıfatını taşır. Aramada geçen ad, soyad, telefon numarası, müşteri numarası, adres, sağlık veya finansal bilgiler gibi tüm içerik kişisel veri niteliğindedir. Bu nedenle ses kaydı almak için Kanun'un 5. maddesindeki işleme şartlarından en az birine dayanmak, Kanun'un 10. maddesi uyarınca ilgili kişiyi aydınlatmak ve Kanun'un 12. maddesi kapsamında kaydı güvenli biçimde saklamak zorunludur. Kaydın kalite ve eğitim amaçlı olması bu yükümlülükleri ortadan kaldırmaz.
İlk soru her zaman hukuki dayanaktır: ses kaydı hangi işleme şartına dayanarak alınıyor? Uygulamada işletmeler açık rızayı tek yol sanır, oysa Kanun'un 5. maddesi açık rıza dışında da işleme şartları sayar. Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla sözleşmenin taraflarına ait kişisel verilerin işlenmesi, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için zorunlu olması ve ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati bu şartlar arasındadır. Müşterinin talep ettiği bir işlemi telefonda yürütmek çoğu zaman sözleşmenin ifası kapsamında değerlendirilebilir; ihtilaf halinde ispat gücü sağlamak amacıyla kaydın tutulması ise meşru menfaat temelinde tartışılabilir. Doğru dayanağı belirlemek, sonraki tüm adımların şeklini belirler.
Aydınlatma ile açık rıza birbirinden ayrı iki yükümlülüktür ve karıştırılmamalıdır. Kişisel Verileri Koruma Kurulu'nun 26/07/2018 tarihli ve 2018/90 sayılı kararında, kişisel veri işlemenin açık rızaya dayandığı hallerde dahi aydınlatma yükümlülüğünün açık rızadan ayrı olarak yerine getirilmesi gerektiği vurgulanmıştır. Yani ses kaydı hangi şarta dayanırsa dayansın, ilgili kişiye aydınlatma yapılması zorunludur; aydınlatma yalnızca açık rıza alınan durumlarda değil, her işlemede istisnasız uygulanır. Aydınlatma metninin onayı ile açık rıza beyanını tek bir kutucukta veya tek bir sözlü onayda birleştirmek Kurul yaklaşımına aykırıdır.
Aydınlatma yükümlülüğü sözlü, yazılı, ses kaydı veya çağrı merkezi gibi araçlarla yerine getirilebilir. Telefonla gelen aramalarda en yaygın yol, görüşmenin başında sesli bir bilgilendirme anonsu çalmaktır. Bu anons; veri sorumlusunun kimliğini, ses kaydının hangi amaçla işlendiğini, aktarılıp aktarılmadığını, toplama yöntemini ve hukuki sebebini, ilgili kişinin Kanun'un 11. maddesindeki haklarını kısaca ve anlaşılır biçimde içermelidir. Detaylı aydınlatma metnine internet sitesinden erişim de sağlanmalı, ancak asgari bilgilendirme aramanın kendisinde verilmelidir. Aydınlatmanın yapıldığını ispat yükü veri sorumlusuna ait olduğu için anonsun kayıt altına alınması pratik önem taşır.
Açık rıza yalnızca 5. maddedeki diğer işleme şartlarının hiçbirinin uygulanamadığı hallerde gerekir. Açık rıza alınacaksa bunun belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle açıklanmış olması gerekir. Bir hizmeti almanın önkoşulu olarak dayatılan rıza özgür iradeyle verilmiş sayılmaz; belirli bir konuyla sınırlandırılmamış genel nitelikteki battaniye rızalar da hukuken geçersizdir. Rızanın yazılı olması şart değildir; çağrı merkezi ve elektronik ortam üzerinden de alınabilir, bu durumda görüşmenin kayıt altına alınmasıyla rıza belgelenebilir. Ancak kritik nokta, rızanın açık ve tereddüde yer bırakmayan olumlu bir irade beyanı içermesidir. Muğlak veya belirsiz ifadelerle alınan sözlü onaylar geçerli bir açık rıza sağlamaz; kişiye verinin ne amaçla işleneceği ve gerekiyorsa kimlerle paylaşılacağı yeterince açık biçimde ortaya konulmalıdır.
Ses kaydının içeriği bazen özel nitelikli kişisel veri barındırır. Kanun'un 6. maddesi; sağlık, cinsel hayat, ceza mahkumiyeti, din, siyasi görüş, üyelik ve biyometrik veriler gibi kategorileri özel nitelikli olarak tanımlar ve daha ağır bir koruma rejimi öngörür. Bir sigorta veya sağlık hizmeti çağrı merkezinde müşterinin hastalığından bahsetmesi ya da bir bankada müşterinin sesinin kimlik doğrulaması için biyometrik olarak işlenmesi bu kapsama girebilir. Özel nitelikli verilerin işlenmesi için Kurul'un belirlediği yeterli önlemlerin alınması ve çoğu halde açık rıza veya kanunlarda öngörülen özel şartlar aranır. Bu tür veri toplama ihtimali olan çağrı akışlarında dayanak ve önlemler ayrıca değerlendirilmelidir.
Amaçla sınırlılık ve ölçülülük ilkeleri saklama süresini doğrudan belirler. Ses kayıtları yalnızca işleme amacının gerektirdiği süre boyunca tutulmalı, amaç ortadan kalktığında silinmeli, yok edilmeli veya anonim hale getirilmelidir. Süreyi mevzuatta genel geçer tek bir rakam belirlemez; işletme, kaydı hangi amaçla ve hangi hukuki sebeple aldığını, varsa sektörel saklama zorunluluklarını ve olası uyuşmazlık zamanaşımı sürelerini dikkate alarak makul bir saklama süresi belirlemeli ve bunu saklama ve imha politikasında yazılı hale getirmelidir. Her ihtimale karşı süresiz saklama yaklaşımı ölçülülük ilkesine aykırıdır.
Kanun'un 12. maddesi, veri güvenliğine ilişkin teknik ve idari tedbirlerin alınmasını zorunlu kılar. Ses kayıtlarının şifreli saklanması, kayıtlara erişimin yetki matrisiyle sınırlandırılması, erişim ve işlem loglarının tutulması, personelin gizlilik taahhüdü ve eğitimi bu tedbirler arasındadır. Çağrı merkezi hizmeti dışarıdan bir sağlayıcıdan alınıyorsa, sağlayıcı veri işleyen konumundadır ve aralarında Kanun'a uygun bir veri işleme sözleşmesi bulunmalıdır; 12. madde uyarınca gerekli tedbirlerin alınmasından veri sorumlusu ile veri işleyen müştereken sorumludur. Dışarıya iş verilmesi, işletmenin sorumluluğunu ortadan kaldırmaz.
Yurt dışında konumlanan çağrı merkezi altyapıları veya bulut tabanlı kayıt sistemleri kullanılıyorsa, verinin yurt dışına aktarımı için Kanun'un 9. maddesindeki şartların sağlanması gerekir. Kayıtların bulut sunucularda tutulması, bu sunucuların bulunduğu ülkeye göre aktarım rejimini gündeme getirebilir. Ayrıca arayan kişiler çalışanlar veya iş ortakları olduğunda, veri sorumlusu ile ilgili kişi arasındaki ilişkinin niteliğine göre aydınlatma ve dayanak yeniden gözden geçirilmelidir. Kayıt sisteminin coğrafi yerleşimi, sözleşme yapısı kadar belirleyicidir.
Uyum için pratik bir kontrol listesi çıkarmak süreci somutlaştırır: her çağrı türü için işleme amacını ve 5. maddedeki hukuki dayanağı yazılı olarak belirleyin; aramanın başında asgari bilgilendirme anonsu verin ve ispat için kaydını tutun; açık rıza gerçekten gerekiyorsa net ve olumlu bir beyanla, aydınlatmadan ayrı olarak alın; saklama süresini politikaya bağlayıp süre sonunda imhayı otomatikleştirin; erişimi yetkiyle sınırlayın ve logları tutun; dış hizmet sağlayıcıyla veri işleyen sözleşmesi imzalayın; özel nitelikli veri ve yurt dışı aktarım ihtimallerini ayrıca değerlendirin. Bu adımların çoğu düşük maliyetlidir ancak denetim ve şikayet halinde ispat gücü sağlar.
Çağrı merkezi ses kaydı süreçlerinizin KVKK uyumunu gözden geçirmek isterseniz, KVKK Danışman ücretsiz bir ön değerlendirme sunuyor. Mevcut anons metinlerinizi, hukuki dayanaklarınızı ve saklama uygulamanızı birlikte inceleyip öncelikli iyileştirme alanlarını sade bir şekilde paylaşabiliriz.