OSGB belgeleri ve yapay zekâ: KVKK ne diyor?

Bir OSGB'nin dosyalarında çalışanın adı, kimlik bilgisi ve muayene sonuçları gibi bilgiler yer alabilir. Rehbere göre anonim hâle getirilene kadar veri kişisel veri niteliğini korur; anonim hâle getirilmiş veri ise mevzuatın kapsamı dışında kalır (Rehber, s. 26).

6698 sayılı Kanun veri sorumlusunu "kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi", veri işleyeni ise "veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi" olarak tanımlar (6698 sayılı Kanun m. 3/1-ı ve 3/1-ğ; Rehber, s. 27).

Rehbere göre rolü sözleşme tek başına belirlemez; belirleyici olan, tarafların işleme üzerindeki fiili kontrolü ve karar alma yetkisidir (Rehber, s. 28). Hazır bir modeli kendi işine katan ve hangi verinin yükleneceğine, hangi amaçla inceleneceğine karar veren şirket veri sorumlusu olarak değerlendirilebilir (Rehber, s. 29, Örnek 4).

Bizim okumamız: asistana hangi belgenin hangi amaçla verileceğine OSGB karar veriyorsa, rehberin örneğindeki şirketin yerindedir. Bu bir çıkarımdır, kesin hüküm değildir.

Sağlık verisi özel nitelikli kişisel veridir; işlenmesi kural olarak yasaktır, Kanun'da sayılan hâllerde mümkündür (6698 sayılı Kanun m. 6; Rehber, s. 45). Bu hâllerden biri "istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması"dır; bir diğeri, sır saklama yükümlülüğü altındaki kişilerce koruyucu hekimlik, tıbbi teşhis ve tedavi amacıyla işlemedir (Rehber, s. 45).

Rehber, özel nitelikli verinin üretken yapay zekâ sistemlerinde işlenmesinde risklerin dikkatle değerlendirilmesini ve en aza indirecek önlemlerin alınmasını ister; Kurul'un 31.01.2018 tarihli ve 2018/10 sayılı Kararı'ndaki önlemlerin bu işlemelerde de dikkate alınmasını, sağlık verisinde sağlık mevzuatına da uyulmasını söyler (Rehber, s. 46). Her işleme faaliyeti ayrı tespit edilmeli ve ona uygun işleme şartı belirlenmelidir (Rehber, s. 46).

Kişisel verinin yurt dışına aktarımı 6698 sayılı Kanun m. 9'a tabidir: önce yeterlilik kararı aranır; yoksa, ilgili kişinin o ülkede de haklarını kullanabilmesi kaydıyla m. 9/4'teki uygun güvencelerden biri gerekir; o da yoksa aktarım yalnız arızi olarak m. 9/6'daki hâllerde mümkündür (Rehber, s. 47). Usul, 10.07.2024 tarihli ve 32598 sayılı Resmî Gazete'de yayımlanan Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik'tedir (Rehber, s. 47-48).

Rehber bu durumu açıkça anar: Türkiye'deki bir veri sorumlusu yurt dışında yerleşik bir hizmet sağlayıcı üzerinden üretken yapay zekâ kullanıyor ve kişisel veri yurt dışına gidiyorsa, aktarım m. 9'a ve bu Yönetmelik'e uygun olmalıdır (Rehber, s. 48).

Veri sorumlusu, hukuka aykırı işlemeyi ve erişimi önlemek ve verinin muhafazasını sağlamak için gerekli teknik ve idari tedbirleri almak zorundadır; veriyi kendi adına başka biri işliyorsa bu tedbirlerden onunla birlikte müştereken sorumludur (6698 sayılı Kanun m. 12/1 ve 12/2; Rehber, s. 54).

Rehberin örnek olarak saydığı tedbirler (Rehber, s. 55-56):

• Tasarımdan itibaren ve varsayılan olarak mahremiyet
• Veri koruma etki değerlendirmesi
• İstem enjeksiyonu (prompt injection) gibi bilinen zafiyetlere karşı kontroller
• Çalışanlara bilinçlendirme ve eğitim
• Düzenli yama ve yazılım güncellemesi
• Çok faktörlü kimlik doğrulama
• İşlem kayıtlarının güvenli ve denetlenebilir saklanması

Aydınlatma yükümlülüğü yapay zekâ için de geçerlidir: veri sorumlusunun kimliği, işleme amacı, verinin kimlere aktarılabileceği, toplama yöntemi ve hukuki sebep ile ilgili kişinin m. 11'deki hakları bildirilir; amaç değişirse yeniden aydınlatma yapılır (6698 sayılı Kanun m. 10; Rehber, s. 49).

Rehber bireylere de şunu önerir: ad-soyad, adres, telefon ve kimlik bilgisi paylaşmaktan, üçüncü kişilerin verisini paylaşmaktan ve sağlık gibi hassas bilgileri paylaşmaktan kaçınmak; mümkünse anonimleştirilmiş, genel ifadeler kullanmak (Rehber, s. 57-58). Bizim okumamız: asistana belge veren OSGB çalışanı için bu, belgedeki kimlik ve sağlık bilgisinin işin gerektirmediği yerde çıkarılması demektir.

• Belgedeki kişisel veriyi ve sağlık verisini belirleyin; anonim hâle getirilebilecek alanları ayırın (Rehber, s. 26).
• Asistana hangi belgenin hangi amaçla verileceğine kimin karar verdiğini yazın; bu, veri sorumlusunu gösterir (Rehber, s. 28-29).
• Sağlık verisi için hangi işleme şartına dayandığınızı belirleyin (Rehber, s. 45-46).
• Kurul'un 2018/10 sayılı Kararı'ndaki önlemlere bakın (Rehber, s. 46).
• Asistanın verisi yurt dışına gidiyorsa m. 9 şartlarını kontrol edin (Rehber, s. 47-48).
• Teknik ve idari tedbirleri gözden geçirin; belgeyi sizin adınıza başka bir firma işliyorsa tedbirlerden onunla birlikte sorumlu olduğunuzu unutmayın (Rehber, s. 54-56).
• Aydınlatma metninizi güncelleyin (Rehber, s. 49).

Bu yazı hukuki görüş değildir; rehberin ne dediğini aktarır.