Bir spor kulübü, boyutu ne olursa olsun ciddi miktarda kişisel veri işler. Kayıt formundaki doğum tarihi, veli telefonu, sağlık raporu, alerji notu, antrenman fotoğrafları, aidat kayıtları. Bunların bir kısmı KVKK’nın özel nitelikli veri dediği, en korunaklı kategoridedir ve çoğu zaman bir çocuğa aittir.
Bu yazı uyumun tamamını anlatmıyor, kulüplerin gerçekten takıldığı yerleri anlatıyor: hangi veri hangi sebeple tutulur, açık rıza ne zaman gerekir ne zaman gerekmez, ne kadar saklanır ve kulüp içinde kim neyi görür.
Kulüp veri sorumlusudur
İlk ve en çok karıştırılan nokta bu. Sporcu ve veli verisini toplama kararını kulüp verir, hangi amaçla işleneceğini kulüp belirler. KVKK anlamında veri sorumlusu kulüptür. Kullandığınız yazılım, muhasebeciniz ya da mesaj gönderdiğiniz SMS sağlayıcısı sizin talimatınızla çalışan veri işleyenlerdir.
Bunun pratik sonucu şu: veliye aydınlatma yapan, rızayı alan, silme talebini cevaplayan ve bir ihlal olduğunda Kuruma bildiren taraf kulüptür. Yazılım bu süreçleri kolaylaştırır, hukuki sorumluluğu üstlenmez. Sorumluluk ayrımının tam hâli veri işleme şartları sayfasında yazılı.
Kulübün elindeki veri ve dayanağı
Her veri kalemi için iki soruya cevap vermeniz gerekir: bu veri hangi kategoride ve onu işlemenizin hukuki sebebi ne? Tipik bir spor okulunda tablo şöyle görünür:
| Veri | Kategori | Tipik hukuki sebep |
|---|---|---|
| Sporcu adı, doğum tarihi, veli iletişim bilgisi | Genel nitelikli | Kayıt sözleşmesinin kurulması ve ifası |
| Yoklama ve devamsızlık kaydı | Genel nitelikli | Sözleşmenin ifası, hizmetin takibi |
| Aidat, tahsilat ve fatura kayıtları | Genel nitelikli | Hukuki yükümlülük (vergi ve ticaret mevzuatı) |
| Sağlık raporu, kronik rahatsızlık, alerji notu | Özel nitelikli (sağlık verisi) | Kanunun özel nitelikli veriler için aradığı ayrı şartlar |
| Beslenme ve diyet takibi kayıtları | Özel nitelikli (sağlık verisi) | Aynı şekilde ayrı şartlara tabi |
| Antrenman fotoğrafı ve videosu | Genel nitelikli, paylaşım amacı ayrı değerlendirilir | Kulüp içi kullanım ile tanıtım amaçlı paylaşım aynı sebebe dayanmaz |
Açık rıza her şeyin cevabı değil
Kulüplerin en sık yaptığı hata, kayıt formunun altına tek bir "kişisel verilerimin işlenmesine izin veriyorum" kutusu koyup her şeyi ona dayandırmak. Bu hem gereksiz hem risklidir.
Gereksiz, çünkü kayıt sözleşmesinin ifası için zaten gereken veriler açık rızaya dayandırılmaz: sporcunun adını, doğum tarihini ve velinin telefonunu almadan hizmeti veremezsiniz. Riskli, çünkü açık rıza her zaman geri alınabilir. Hizmetin yürümesi için zorunlu bir veriyi rızaya bağlarsanız, veli rızasını geri aldığında elinizde hukuki dayanak kalmaz. Üstelik hizmetin şartı hâline getirilen bir rıza, özgür iradeye dayanmadığı için geçerli de sayılmaz.
Açık rızanın gerçekten gerektiği yerler daha dar ve daha nettir: tanıtım amaçlı fotoğraf ve video paylaşımı, ticari elektronik ileti gönderimi ve sağlık verisinin kanunda sayılan diğer şartlardan hiçbirine girmeyen kullanımları. Bu ayrımın çocuk sporcu tarafındaki hâli ayrı bir yazıda: çocuk sporcunun verisi ve veli rızası.
Aydınlatma ile açık rıza aynı şey değil
Aydınlatma bir bilgilendirmedir ve her durumda yapılması gerekir: kim olduğunuzu, veriyi hangi amaçla işlediğinizi, kime aktardığınızı ve ilgili kişinin haklarını anlatırsınız. Karşı tarafın onayına bağlı değildir, veri işlemenin şartı da değildir.
Açık rıza ise bir izindir: belirli bir konuda, bilgilendirmeye dayanarak ve özgür iradeyle verilir. Aydınlatma metnini "okudum, kabul ediyorum" diye onaylatmak ikisini birbirine karıştırmaktır. Doğrusu, aydınlatmanın okunduğunun teyit edilmesi, rızanın ise ayrı ve konu bazında alınmasıdır.
Altı adımlık uyum listesi
- Veri envanteri çıkarın. Hangi veriyi nerede tuttuğunuzu yazın: kayıt formu, defter, Excel dosyası, WhatsApp grubu, antrenörün telefonu, muhasebecinizin bilgisayarı. Envanterde görünmeyen veri korunamaz.
- Aydınlatma metnini kulübünüze göre yazın. İnternetten alınan hazır metinler sizin topladığınız verileri ve gerçek aktarımlarınızı anlatmadığı için işe yaramaz.
- Rızayı yalnızca gerekli yerde ve konu bazında alın. Fotoğraf paylaşımı ayrı, ticari ileti ayrı. Tek kutuda toplanan rızada veli birini reddedemez, bu da rızayı geçersiz kılar.
- Saklama sürelerini belirleyin ve süre dolduğunda silin. "Her ihtimale karşı duruyor" bir gerekçe değildir.
- Kulüp içinde yetkilendirme yapın. Antrenörün kendi grubundaki sporcuları görmesi yeterlidir; tüm kulübün veli telefonlarına erişmesi gerekmez.
- İhlal durumunda ne yapacağınızı önceden yazın. Kimin haberdar edileceği, kimin bildirim yapacağı ve süreler bir kağıtta hazır dursun.
VERBİS kaydı gerekli mi
Veri sorumluları sicili kaydı her kuruma zorunlu değil. Kurul kararlarıyla belirlenen eşiklerin altında kalan, yani yıllık çalışan sayısı ve yıllık mali bilanço toplamı belirli sınırların altındaki veri sorumluları için istisna tanınmış durumda. Ancak ana faaliyet konusu özel nitelikli kişisel veri işlemek olanlar bu istisnadan yararlanamıyor.
Bir spor okulunun ana faaliyeti spor eğitimi vermektir, sağlık verisi işlemek değil. Buna rağmen kaydın gerekip gerekmediğini kendi çalışan sayınız ve bilançonuzla değerlendirmeniz gerekir. Eşik değerler Kurul kararıyla güncellendiği için buraya rakam yazmıyoruz; güncel hâli VERBİS’in kendi sitesinde duruyor.
Ne kadar saklarsınız
Saklama süresi kulübün tercihi değil, verinin işlenme amacına bağlı. Amaç ortadan kalktığında ve saklamayı gerektiren bir hukuki yükümlülük de yoksa veriyi silmek, yok etmek ya da anonim hâle getirmek bir yükümlülüktür. Veli talep etmese de doğar.
Pratikte bu, tek bir süre demek değil. Ayrılan bir sporcunun yoklama kaydıyla aynı sporcunun fatura kaydı aynı anda silinmez: faturalar için vergi ve ticaret mevzuatı kaynaklı ayrı bir saklama yükümlülüğü vardır. Kategori bazında süre tablosu çıkarmanız gerekir; örnek bir tablo gizlilik politikamızda yayında.
Kulüplerde en sık görülen beş hata
- Veli telefonlarının WhatsApp grubunda herkese açık olması. Gruba eklenen her veli diğerlerinin numarasını görür ve bunun için kimseden izin alınmamıştır.
- Sporcu listesinin antrenörün kişisel telefonundaki bir dosyada yaşaması. Antrenör ayrıldığında liste onunla birlikte gider ve nereye gittiğini kimse bilmez.
- Fotoğrafın sınırsız paylaşılması. Kayıt formunun altındaki tek onay kutusu, her mecrada ve süresiz paylaşım hakkı vermez.
- Ayrılan sporcunun verisinin süresiz durması. Beş yıl önce ayrılmış bir sporcunun sağlık raporunun hâlâ dosyada olması için bir sebep yoktur.
- Kulüpte herkesin her şeyi görmesi. Tek bir yönetici hesabını üç kişinin paylaşması, aynı zamanda kimin ne yaptığını da silmiş olur.
Yazılım nereye kadar yardım eder
Bir yazılım size uyum sertifikası veremez ama işin mekanik tarafını üstlenir: kimin neyi göreceğini rol bazlı yetkilendirme ile sınırlar, kişisel veri içeren listelerin dışarı çıkmasını ayrı bir yetkiye bağlar ve çıktığında iz bırakır, aydınlatma ve rıza kayıtlarını gösterilen metnin sürümüyle birlikte tutar.
Geri kalanı kulübün kendi süreci: metni yazmak, süreyi belirlemek, kimin hangi yetkiyle çalışacağına karar vermek. Uyum ikisinin toplamıdır.