Sesli Asistan Kurarken Kişisel Veri Tarafında Neye Bakmalı

Sesli asistan hangi veriyi üretiyor

Bir konuşma akışı çalıştığında ortaya birkaç ayrı veri çıkar ve bunların hepsi aynı şey değildir. Neyin toplandığını ayırt etmeden ne kadarının gerekli olduğuna karar veremezsiniz.

• Ham ses kaydı — kullanıcının söylediklerinin sesi. Sesin kendisi, konuşanı ayırt etmeye elverdiği ölçüde kişisel veridir.
• Konuşma dökümü — sesin yazıya çevrilmiş hali. İçeriğinde ad, adres, sağlık ya da finans bilgisi geçebilir.
• Toplanan alanlar — akışın bilerek sorduğu bilgiler: ad, telefon, tarih, tutar.
• Yüklenen belgeler — kimlik, fatura, rapor. Görüntünün kendisi ve içinden çıkarılan alanlar ayrı ayrı veridir.
• Teknik kayıtlar — IP adresi, tarayıcı bilgisi, oturum zamanı.

KVKK bu konuda ne diyor

Türkiye'de kişisel verilerin işlenmesi 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamındadır. Kanun, kişisel veriyi "kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi" olarak tanımlar; bir ses kaydı ya da konuşma dökümü bu tanıma girebilir.

Kanunun pratikte en çok karşınıza çıkacak iki başlığı şunlardır: verinin işlenmesi için hukuki bir dayanağın bulunması ve kişinin işleme hakkında aydınlatılması. Aydınlatma yükümlülüğü, açık rıza alınsın ya da alınmasın, ayrıca yerine getirilmesi gereken bir yükümlülüktür.

Sağlık ve biyometrik veriler gibi bazı kategoriler kanunda özel nitelikli sayılır ve daha sıkı koşullara tabidir. Sesin kendisinin hangi durumlarda biyometrik veri sayılacağı, kullanım amacına göre değerlendirilen bir konudur — bu yüzden "ses kaydı hep biyometriktir" ya da "hiç değildir" demek doğru olmaz.

Kurmadan önce cevaplamanız gereken sorular

Aşağıdakiler hukuki sorular değil, tasarım sorularıdır — ama cevapları hukuki sonucu doğrudan belirler. Akışı kurmadan önce cevaplarsanız, sonradan geri dönüp veri temizlemek zorunda kalmazsınız.

• Ham ses kaydını saklamanız gerekiyor mu, yoksa yazıya çevrilmiş hali yetiyor mu? Yetiyorsa sesi hiç saklamayın.
• Konuşma dökümünü ne kadar süre tutacaksınız? Süresiz saklamak bir karar değil, karar vermemektir.
• Akış gerçekten ihtiyacınız olmayan bir bilgiyi soruyor mu? Sorulmayan veri, korunması gerekmeyen veridir.
• Belgeden çıkarılan alanlar yeterliyse belgenin görüntüsünü tutmanız gerekiyor mu?
• Bu veriye kurumunuzda kimler erişebilecek?
• Kullanıcı konuşmanın kaydedildiğini akışın neresinde öğreniyor?

Akış tasarımıyla çözülebilen kısım

Veri koruma tarafındaki işin önemli bir bölümü hukuk metniyle değil, akışın kendisiyle çözülür. Toplanmayan veri, sonradan korunması, saklanması ve silinmesi gereken veri olmaktan çıkar.

Pratikte işe yarayan birkaç yaklaşım: akışın ilk adımını bir bilgilendirme mesajı yapmak; her alanı "buna gerçekten ihtiyacım var mı" diye gözden geçirmek; belge adımlarında yalnız gereken alanları çıkarmak; ve kullanıcıya yazarak devam etme seçeneği bırakmak.

agenola'da akışı kuran kişi hangi adımın sorulacağına, hangi belgenin isteneceğine ve hangi bilginin kaydedileceğine karar verir. Toplanan alanlar ve konuşma dökümü kendi workspace'inizde durur ve panelden görünür. Bu, aracın size uyum sağladığı anlamına gelmez — kararların sizde olduğu anlamına gelir.

Sık yapılan üç hata

• Her şeyi kaydedip sonra ayıklamayı düşünmek. Toplanan veri, toplandığı andan itibaren sorumluluk doğurur.
• Aydınlatmayı akışın sonuna koymak. Kişi veriyi verdikten sonra bilgilendirilmiş olmaz.
• Bir aracın "uyumlu" olduğuna güvenmek. Uyum, aracın değil, veriyi işleyenin ve işleme amacının özelliğidir.