Spor Salonları Üyeden Parmak İzi ve Sağlık Raporu İsteyebilir mi? Fitness Merkezlerinde KVKK

Kısa cevap: parmak izi ya da avuç izi ile turnike geçişi hayır, sağlık raporu şartlı olarak evet. Kurul spor salonlarının biyometrik giriş sistemlerini üç ayrı dosyada inceledi ve üçünde de aynı yere vardı: üye rıza vermiş olsa bile parmak izi okutmak ölçülülük ilkesine aykırı, çünkü kapıdan geçişi kartla ya da üye numarasıyla doğrulamak da mümkün. 27 Şubat 2020 tarihli ve 2020/167 sayılı kararda salon, üyelere kart gösterme seçeneğinin de sunulduğunu savundu; Kurul bunu yeterli görmedi, 6698 sayılı Kanun'un 4. maddesinin ikinci fıkrasının (ç) bendine aykırılık tespit etti, 18. maddenin birinci fıkrasının (b) bendi kapsamında 225.000 TL idari para cezası uyguladı ve biyometrik verilerin ivedilikle yok edilmesini istedi. Sağlık raporu tarafı farklı işliyor. 15 Ekim 1999 tarihli ve 23847 sayılı Resmî Gazete'de yayımlanan Özel Beden Eğitimi ve Spor Tesisleri Yönetmeliği'nin 25. maddesi, tesisten yararlanacak kişilerden tek hekimden alınacak sağlık raporu istiyor. Raporu istemek ile raporun içindeki teşhisi süresiz arşivlemek ise aynı şey değil.

İlk iki karar 2019'a ait. 25 Mart 2019 tarihli ve 2019/81 sayılı ile 31 Mayıs 2019 tarihli ve 2019/165 sayılı kararlara konu olan salonlarda üyeler giriş çıkışta el ve avuç okutuyordu; dosyalardan birinde üyelerin vesikalık fotoğrafının ve tesise geliş saatlerinin salondaki ekranda görüntülenmesi de şikâyet konusuydu. Kurul, biyometrik veriyi bir gerçek kişinin özgün biçimde teşhis edilmesini sağlayan fiziksel, fizyolojik veya davranışsal özelliklere ilişkin veri olarak tanımladıktan sonra basit bir soru sordu: aynı sonuca manyetik kart, RFID etiketi ya da bir kontrol listesiyle ulaşılabiliyor mu? Cevap evet olduğu için biyometrik yöntem orantısız bulundu. İkinci tespit rızaya ilişkin. Hizmetten yararlanmayı avuç izi okutmaya onay vermeye bağlamak, rızanın özgür iradeyle açıklanmış olması şartını ortadan kaldırıyor. Kurul her iki dosyada idari para cezası verdi, alternatif giriş yöntemine geçilmesini ve toplanmış biyometrik verilerin yok edilmesini talimatlandırdı. Talimat kısmı çoğu zaman gözden kaçıyor: Kurul kararını yerine getirmemek ayrı bir ceza kalemi ve 2026 tutarlarıyla alt sınırı 427.263 TL.

Cihaz satan firmaların 'KVKK uyumlu turnike' ifadesi tek başına bir şey ifade etmiyor. Kurul'un 16 Ekim 2021'de yayımladığı Biyometrik Verilerin İşlenmesinde Dikkat Edilmesi Gereken Hususlara İlişkin Rehber, biyometrik yöntemin ancak amaca başka bir yolla ulaşılamadığında düşünülebileceğini söylüyor ve buna teknik şartlar ekliyor. Biyometrik veriler ve şablonlar güncel teknolojiye uygun kriptografik yöntemlerle şifrelenmeli, türetilmiş şablon orijinal biyometrik özelliğin yeniden elde edilmesine izin vermeyecek biçimde saklanmalı, bulut ortamında tutulacaksa yalnızca şifreli tutulmalı, saklama süresi ve amacı saklama ve imha politikasında yazılı olmalı. Rehberin en çok atlanan cümlesi de şu: biyometrik çözümü kullanamayan ya da kullanmaya açık rızası olmayan kişiler için hiçbir kısıtlama olmaksızın alternatif bir sistem sağlanmalı. Spor salonunda o alternatif zaten tek başına yeterli olduğu için biyometrik yöntemin kendisi gereksiz kalıyor.

Sağlık raporunun hukuki dayanağı ilk bakışta rahat görünüyor, yakından bakıldığında değil. Kanun'un 6. maddesi sağlık verisini özel nitelikli kişisel veri sayıyor ve işlemeyi ancak üçüncü fıkradaki hâllerden birine bağlıyor. Salonun aklına gelen ilk bent, kanunlarda açıkça öngörülme bendi oluyor. Sorun şu ki raporu isteyen düzenleme bir kanun değil, yönetmelik. Sağlık hizmeti sunanlara tanınan bent de kurtarmıyor, çünkü o bent sır saklama yükümlülüğü altında bulunan kişi ve kurumlar tarafından tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi amacıyla işlemeyi kapsıyor; fitness merkezi ne sağlık kuruluşu ne de teşhis koyan bir yer. Savunulabilir yol şöyle: raporu görün, üyelik kaydına rapor tarihini ve 'spor yapmasına engel bir durum bildirilmemiştir' sonucunu yazın, teşhis içeren nüshayı arşivlemeyin. Nüshayı tutmanız gerekiyorsa dayanağınız açık rıza olur ve o rıza üyeliğin koşulu olarak sunulamaz. Yönetmeliğin aynı maddesi reşit olmayanlar için veli veya vasi onayı da istiyor; çocuk üyelerde aydınlatmanın veli üzerinden yapılması gerekiyor.

Üyelik sözleşmesinin kendisi de denetime konu oldu. Kurul'un 23 Aralık 2022 tarihli ve 2022/1357 sayılı kararında, bir spor salonu işletmecisinin üyelik sözleşmesinde kan grubu bilgisinin yer aldığı ve bu özel nitelikli veri için açık rıza alınmadığı tespit edildi. Karar üç biçim hatasını da işaret ediyor. Birincisi, işlenen veriler hakkındaki aydınlatma sözleşme metninin içine gömülmüş; Kurul aydınlatma metninin sözleşmeden ayrı olarak sunulması gerektiğini belirtti, Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ de aydınlatmanın açık rızanın alınmasından ayrı yerine getirilmesini şart koşuyor. İkincisi, formda tanıtım mesajı almak istediğini belirten kutu varken istemediğini belirten seçenek yok; tek yönlü kutu geçerli rıza üretmiyor. Üçüncüsü, üyenin e-postayla yaptığı bilgi talebi süresi içinde cevapsız kalmış. İşletmeciye 100.000 TL idari para cezası verildi. Aynı eksiklikler 2026'da denetlenirse rakamlar başka: aydınlatma yükümlülüğünün ihlali 85.437 TL ile 1.709.200 TL, veri güvenliğine ilişkin yükümlülüklerin ihlali 256.357 TL ile 17.092.242 TL arasında.

Kan grubu özel nitelikli sayıldıysa üyelik yazılımındaki diğer alanlar için de aynı soruyu sormak gerekiyor. Vücut analizi çıktısı, yağ oranı, kas kütlesi, kilo takibi, tansiyon ölçümü, geçirilmiş sakatlık notu, kullanılan ilaç bilgisi; hepsi sağlık verisi. Program hazırlamak için ölçüm almak makul, ama iki noktaya dikkat gerekiyor. Ölçümü açık rızaya bağladıysanız, rıza geri alındığında ölçüm geçmişini de silmeniz gerekiyor. İkincisi erişim. Resepsiyondaki her çalışanın üye kartındaki sağlık notlarını görebildiği bir yazılım kurulumu, Kurul'un beklediği yetki tanımıyla uyuşmuyor; eğitmen kendi üyesinin verisini görsün, diğerlerini görmesin. Bir de kayıt dışı akış var: eğitmenin telefonuyla çektiği ölçüm fotoğrafları, mesajla gidip gelen tartı görüntüleri, kişisel not defterleri. Salonun kadrosunda çalışan eğitmen bu verileri salonun sistemine kaydetmek zorunda; kendi cihazında biriktirdiğinde salon, kontrol edemediği bir veri yığınının sorumlusu oluyor. Kendi müşterisini kendi getiren bağımsız eğitmen ise çoğu zaman ayrı bir veri sorumlusu ve bu ayrımın sözleşmede yazılı olması iki tarafı da koruyor.

Kamera tarafında elimizde çok yeni bir metin var. Kurum 8 Haziran 2026'da iş yerlerinde güvenlik kamerası sistemi kullanımına dair bir kamuoyu duyurusu yayımladı ve sınırları net çizdi: tuvalet, soyunma odası, mescit ve dinlenme alanı gibi özel alanlarda kamera kullanılmamalı, ses kaydı mahremiyete ağır müdahale olduğu için ancak açıkça ortaya konmuş hukuki bir gerekçe varsa değerlendirilmeli, kayıtlara yalnızca yetki matrisinde tanımlı kişiler erişebilmeli, saklama süresi mümkün olan en kısa süre olmalı ve otomatik imha mekanizması kurulmalı. Duyuru, çalışanların performansını ya da verimliliğini izlemenin meşru bir işleme amacı sayılmadığını da söylüyor. Spor salonunda karşılığı somut. Soyunma odası ve duş bölümü tamamen kamera dışı, giriş ve koridor savunulabilir, ağırlık alanında güvenlik gerekçesi kurulabilir; aynı görüntüyü eğitmenin ne kadar çalıştığını denetlemek için kullanmak duyurunun karşı çıktığı şey. Resepsiyon monitörünün üyelerin göreceği açıda durması da ayrı bir eksiklik, çünkü o ekran bir erişim noktası.

Tanıtım tarafında Kurul'un 3 Eylül 2021 tarihli ve 2021/889 sayılı kararı yol gösteriyor. Bir spor tesisi işletmecisi, tesiste oynanan maçları kaydedip internette yayınlamış, görüntüde yer alan kişinin açık rızası alınmamış. İşletmeci rıza formu uygulamasına yeni geçtiğini belirtti, Kurul olay tarihinde rıza bulunmadığını tespit etti ve idari para cezası uyguladı. Grup dersi videoları, turnuva yayınları, 'üyemiz altı ayda şu kadar verdi' gönderileri hep aynı kapıya çıkıyor. Kadraja tesadüfen giren kalabalık ile odağa alınmış kişi arasında fark var; ikincisi için ayrı, yazılı ve geri alınabilir bir rıza gerekiyor. Rıza geri alındığında paylaşımın kaldırılması da işin parçası ve içeriğin platformdan silinmesi her zaman tek tıkla olmuyor. Bunu baştan planlamak sonradan uğraşmaktan kolay.

VERBİS sorusu spor salonlarında sık soruluyor, cevabı da eczanelerden farklı. Kurul, yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 25 milyon TL'den az olan veri sorumlularını Sicile kayıttan muaf tuttu, ama ana faaliyet konusu özel nitelikli kişisel veri işleme olanları bu muafiyetin dışında bıraktı. Bir fitness merkezinin ana faaliyeti spor hizmeti sunmak; sağlık verisi işlemesi bu faaliyetin yanında yürüyor. Eşiklerin altında kalan tek şubeli bir salon kural olarak muafiyetten yararlanıyor. Zincir işletmeler, çok şubeli salonlar ve bilanço eşiğini aşanlar için kayıt zorunlu; aykırılık 2026'da 341.809 TL ile 17.092.242 TL arasında cezaya bağlı. Muafiyetin ne olmadığını da söylemek gerekiyor. Sicile kayıttan muaf olmak aydınlatma, veri güvenliği, saklama süresi belirleme ve ilgili kişi başvurularını cevaplama yükümlülüklerini ortadan kaldırmıyor. Muaf salonlarda en sık rastlanan hata, 'VERBİS'e girmiyoruz, o zaman KVKK bizi ilgilendirmiyor' varsayımı.

Üyelik bittikten sonra verinin ne olacağı çoğu salonda yazılı değil. Belgeleri gruplara ayırmak gerekiyor. Ödeme ve fatura kayıtları muhasebe tarafına ait: 213 sayılı Vergi Usul Kanunu'nun 253. maddesi beş yıl, 6102 sayılı Türk Ticaret Kanunu'nun 82. maddesi ticari defterler ve belgeler için on yıl öngörüyor. Sağlık raporu, ölçüm geçmişi ve antrenman notları için böyle bir süre yok; işleme amacı sona erdiğinde Kanun'un 7. maddesi silme, yok etme veya anonim hale getirme yükümlülüğü doğuruyor. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik periyodik imha aralığının altı ayı geçemeyeceğini, ilgili kişi talep ettiğinde işlemin en geç otuz günde sonuçlandırılmasını söylüyor. İki başlık daha var. Üyelik ve randevu yazılımınız yurt dışı sunucuda çalışıyorsa bu bir yurt dışına aktarım ve ayrı bir hukuki dayanak gerektiriyor. Tesiste üyelere ücretsiz Wi-Fi veriyorsanız 5651 sayılı Kanun kapsamında toplu kullanım sağlayıcı sıfatını taşıyorsunuz ve iç IP dağıtım kayıtlarını tutmakla yükümlüsünüz.

Kontrol listesi kısa. Turnikede biyometrik yöntem duruyor mu, duruyorsa karta veya üye numarasına geçiş planı var mı; üyelik sözleşmesi, aydınlatma metni ve rıza formu üç ayrı belge mi; rıza formunda her faaliyet için hem onay hem ret seçeneği var mı; sağlık raporunun hangi kısmını sakladığınız yazılı mı; kameralar soyunma odası ve duşu görüyor mu, kayıt kaç gün duruyor; üye ölçüm verilerine kimlerin eriştiği tanımlı mı; ayrılan eğitmenin yazılım hesabı kapatıldı mı; üyelikten çıkan kişinin verisi ne zaman siliniyor. Çoğu tesiste bu listenin üç ya da dört satırı eksik çıkıyor. KVKK Danışman'ın ücretsiz ön değerlendirmesinde tesisinizin bu başlıklardaki durumunu birlikte gözden geçirebiliriz.

Randevu Al