Bilişim, Yapay Zekâ ve KVKK Hukuku

Çalışmalarımız başta 6698 sayılı Kişisel Verilerin Korunması Kanunu olmak üzere; internet yayınları, elektronik ticaret, elektronik imza, bilişim suçları, siber güvenlik, tüketici hukuku ve fikrî mülkiyet düzenlemeleriyle birlikte yürütülür.

Hizmet verdiğimiz başlıca alanlar şunlardır:

• KVKK uyum programları ve kişisel veri işleme envanteri
• VERBİS yükümlülüğünün ve sicil bildirimlerinin değerlendirilmesi
• Aydınlatma metinleri, açık rıza süreçleri ve çerez yönetimi
• Çalışan, müşteri, ziyaretçi ve tedarikçi verilerinin işlenmesi
• Kamera, ses kaydı, biyometrik veri ve giriş-çıkış sistemleri
• Yurt dışına kişisel veri aktarımı ve standart sözleşmeler
• Veri sorumlusu ile veri işleyen arasındaki sözleşmeler
• Veri ihlali bildirimi ve siber olay müdahale süreçleri
• Yazılım geliştirme, SaaS, lisans, bulut ve bakım sözleşmeleri
• Yapay zekâ kullanım politikaları ve algoritmik karar süreçleri
• İnternet içeriklerinin kaldırılması ve erişimin engellenmesi
• Sosyal medya hesabı ele geçirme, sahte profil ve dijital dolandırıcılık
• Bilişim suçlarına ilişkin suç duyurusu, savunma ve delil süreçleri
• Elektronik ticaret, abonelik, üyelik ve dijital platform sözleşmeleri
• Ticari elektronik ileti ve İleti Yönetim Sistemi yükümlülükleri
• Kripto varlık ve blokzincir tabanlı projelerin hukuki değerlendirilmesi

Kişisel veri uyumu, internetten bulunan örnek metinlerin şirket adına uyarlanmasıyla tamamlanamaz. İnsan kaynakları, satış, pazarlama, muhasebe, çağrı merkezi, kamera sistemi, mobil uygulama, internet sitesi, tedarikçi yönetimi ve bilgi işlem süreçleri ayrı ayrı incelenmelidir.

Çalışma sırasında hangi kişisel verilerin işlendiği, veri işlemenin hukuki sebebi, saklama süresi, erişim yetkileri, alıcı grupları ve yurt dışı aktarım kanalları belirlenir. Sicile kayıt yükümlülüğü bulunan veri sorumlularında, VERBİS bildirimi ile şirketin gerçek veri işleme faaliyetlerinin birbiriyle uyumlu olup olmadığı kontrol edilir.

Özel nitelikli kişisel veriler bakımından sağlık, biyometrik veri, ceza mahkûmiyeti ve benzeri hassas veri süreçleri güncel mevzuat üzerinden ayrıca değerlendirilmelidir.

Aydınlatma yükümlülüğü ile açık rıza aynı işlem değildir. Aydınlatma, kişiye verilerinin nasıl kullanılacağı hakkında bilgi verilmesini sağlar. Açık rıza ise yalnızca kanunda başka bir işleme şartı bulunmadığında veya yürütülen işlem bakımından gerçekten gerekli olduğunda gündeme gelir.

Açık rızanın sözleşmenin veya hizmetin zorunlu koşulu hâline getirilmesi, farklı amaçların tek bir onay kutusunda birleştirilmesi ya da aydınlatma metninin içine gizlenmesi geçerlilik tartışması doğurabilir.

Günser + Partners; çalışan, çalışan adayı, müşteri, ziyaretçi, kamera, çerez, mobil uygulama, kampanya ve tedarikçi süreçlerine özgü metinler hazırlar. İlgili kişilerin erişim, düzeltme, silme veya diğer talepleri karşısında hangi verinin bulunduğu, saklamanın devam edip etmediği ve talebin nasıl cevaplandırılması gerektiği dosya özelinde incelenir.

Veri sorumlusuna yapılan başvuruların süresinde ve kayıtlı biçimde cevaplandırılması gerekir. Bu nedenle başvuruların standart bir cevapla geçiştirilmesi yerine kimlik doğrulama, birimler arası araştırma ve cevap kayıtlarının birlikte yürütülmesi önem taşır.

İşverenin yönetim hakkı, çalışanların sınırsız biçimde izlenmesine izin vermez. Kurumsal e-posta, internet kullanımı, konum, performans, giriş-çıkış, biyometrik veri ve kamera kayıtları; amaç, gereklilik, ölçülülük ve önceden bilgilendirme yönünden değerlendirilmelidir.

Kamera sistemlerinde kayıt alanı, görüş açısı, saklama süresi, görüntülere erişebilecek kişiler ve kayıtların paylaşılma koşulları belirlenir. Güvenlik amacıyla kurulan kameraların çalışan performansını kesintisiz izlemek için kullanılması, başlangıçtaki amaçtan farklı bir veri işleme faaliyeti oluşturabilir. Ses kaydı ise görüntü kaydına göre daha ağır bir müdahale niteliği taşıyabileceğinden ayrıca incelenmelidir.

Çalışan veri politikaları hazırlanırken uzaktan çalışma, kişisel cihaz kullanımı, şirket e-postası, dosya paylaşımı, erişim yetkileri ve işten ayrılan çalışanın hesaplarının kapatılması gibi fiilî süreçler de düzenlenir.

E-posta, CRM, insan kaynakları yazılımı, analitik hizmeti, bulut depolama veya yapay zekâ aracı kullanılması, kişisel verilerin yabancı ülkelerde bulunan sunuculara ya da yurt dışındaki hizmet sağlayıcılara aktarılması sonucunu doğurabilir.

Yurt dışına veri aktarımında kullanılacak hukuki mekanizmanın doğru belirlenmesi gerekir. Standart sözleşmenin yalnızca imzalanması yeterli değildir. Doğru sözleşme türünün seçilmesi, yetkili kişilerce imzalanması, eklerinin gerçek veri akışını yansıtması ve gerekli bildirimlerin yapılması önem taşır.

Tedarikçi sözleşmelerinde veri ihlalinin bildirilmesi, alt işleyen kullanımı, denetim hakkı, erişim kayıtları, silme veya iade yükümlülüğü, hizmet sona erdiğinde veriye erişim ve sorumluluk paylaşımı açıkça düzenlenmelidir.

Yanlış kişiye gönderilen e-posta, kayıp cihaz, ele geçirilen kullanıcı hesabı, fidye yazılımı, internete açık bırakılan veri tabanı veya eski çalışanın devam eden sistem erişimi kişisel veri ihlaline dönüşebilir.

Her teknik arıza aynı hukuki sonucu doğurmaz. Buna karşılık olayın kapsamı araştırılmadan "veri sızmadığı" veya "önemsiz olduğu" sonucuna varılması da doğru değildir. Log kayıtları korunmalı, etkilenen sistemler ve veri grupları belirlenmeli, olayın ne zaman öğrenildiği kayıt altına alınmalı ve gerekli bildirimler değerlendirilmelidir.

Günser + Partners; teknik ekip, adli bilişim uzmanı, sigortacı ve iletişim birimiyle koordinasyon kurarak delillerin korunması, bildirim metinlerinin hazırlanması, ilgili kişilerin bilgilendirilmesi ve olay sonrası düzeltici önlemlerin kayıt altına alınması süreçlerini yürütür.

Yapay zekâ araçlarının dışarıdan satın alınması veya genel kullanıma açık bir hizmet üzerinden çalıştırılması, kullanan şirketin sorumluluğunu ortadan kaldırmaz. İşe alım, müşteri puanlama, reklam, içerik üretimi, çağrı merkezi, sözleşme inceleme veya karar destek süreçlerinde kullanılan sistemler; kişisel veri, ayrımcılık, tüketici hukuku, fikrî hak, ticari sır ve sözleşmesel sorumluluk bakımından birlikte değerlendirilmelidir.

İncelemede kullanılan veri setlerinin kaynağı, sisteme girilen bilgiler, insan denetimi, çıktıların doğrulanması, hatalı sonuca itiraz imkânı ve tedarikçinin sorumluluğu ele alınır. Genel kullanıma açık yapay zekâ araçlarına kişisel veri, müşteri dosyası veya ticari sır yüklenmesi açık kurallara bağlanmalıdır.

Kurumsal yapay zekâ kullanım politikası; kullanılabilecek araçları, sisteme girilemeyecek verileri, çıktı kontrolünü, kayıt tutma yöntemini ve nihai kararı verecek kişileri somut biçimde göstermelidir.

Yazılım geliştirme, lisans, SaaS, bakım, barındırma, veri merkezi, API ve dijital platform sözleşmelerinde teknik hizmet ile hukuki sorumluluk aynı metinde düzenlenir. Kabul testinin, hizmet seviyesinin, kesinti hâlindeki sorumluluğun, veri kaybının, kaynak kodunun, fikrî hakların ve fesih sonrası veri erişiminin açık bırakılması ciddi uyuşmazlıklara yol açabilir.

Sözleşme incelemesinde yalnızca ücret ve süre maddelerine bakılmaz. Ürünün gerçek ekranları, kullanıcı akışı, veri toplama noktaları ve üçüncü taraf entegrasyonları sözleşme hükümleriyle karşılaştırılır.

Hesap ele geçirme, sahte profil, izinsiz görüntü, çevrim içi dolandırıcılık veya ticari itibar saldırısı gibi olaylarda ise öncelik delilin korunmasıdır. İçerik silinebilir, kullanıcı adı değiştirilebilir ve platform kayıtlarına ulaşmak zamanla güçleşebilir. Platform başvurusu, içerik kaldırma, erişimin engellenmesi, ihtar, delil tespiti, suç duyurusu ve tazminat yolları birbirinden ayrı değerlendirilir.

İlk değerlendirmede hukuki metinlerden önce olayın veya sistemin nasıl çalıştığı anlaşılır. Kullanılan yazılımlar, veri kaynakları, tedarikçiler, sözleşmeler, ekran görüntüleri, erişim kayıtları, loglar, başvuru yazışmaları ve olay tarihleri birlikte incelenir.

Ardından uygulanacak mevzuat, kritik süreler, deliller ve tarafların sorumlulukları belirlenir. Uyum projelerinde uygulanabilir bir görev planı hazırlanır; uyuşmazlıklarda ise idari başvuru, dava, ceza soruşturması, içerik kaldırma ve tazminat seçenekleri ayrı ayrı değerlendirilir.

Ankara merkezli Günser + Partners, bilişim ve veri koruma süreçlerinde Türkiye genelindeki bireysel ve kurumsal müvekkillere danışmanlık, başvuru ve dava takibi desteği sunar.

KVKK uyumu, yapay zekâ kullanımı, veri ihlali veya teknoloji sözleşmesi konusunda yapılacak ilk görüşmede kullanılan sistemlerin, mevcut metinlerin, tedarikçi ilişkilerinin ve olay tarihlerinin birlikte değerlendirilmesi gerekir. Böylece yalnızca görünür sorun değil, aynı veri akışından doğabilecek diğer hukuki riskler de belirlenebilir.