Sesli Asistan Kurarken Kişisel Veriler İçin Neye Dikkat Etmeli?

Sesli asistan hangi veriyi üretiyor?

Bir konuşma akışı çalıştığında birkaç farklı türde veri oluşur ve bunlar aynı ağırlıkta değildir. Neyin toplandığını ayırt etmeden ne kadarının gerekli olduğuna karar veremezsiniz.

• Ham ses kaydı — ziyaretçinin konuşurken kaydedilen sesi. Sesin kendisi, konuşanı ayırt etmeye elverdiği ölçüde kişisel veridir.
• Konuşma dökümü — sesin yazıya çevrilmiş hâli. İçeriğinde ad, adres, sağlık ya da finans bilgisi geçebilir.
• Toplanan alanlar — akışın bilerek sorduğu bilgiler: ad, telefon, tarih, tutar.
• Yüklenen belgeler — kimlik, fatura, rapor. Görüntünün kendisi ve içinden çıkarılan alanlar ayrı ayrı veridir.
• Teknik kayıtlar — IP adresi, tarayıcı bilgisi, ziyaret zamanı.

KVKK bu konuda ne diyor?

Türkiye'de kişisel verilerin işlenmesi 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamındadır. Kanun, kişisel veriyi "kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi" olarak tanımlar; bir ses kaydı ya da konuşma dökümü bu tanıma girebilir.

Kanunun pratikte en çok karşınıza çıkacak iki başlığı şunlardır: verinin işlenmesi için hukuki bir dayanağın bulunması ve kişinin işleme hakkında aydınlatılması. Açık rıza alınsa da alınmasa da aydınlatma yükümlülüğü ayrıca yerine getirilmelidir.

Sağlık ve biyometrik veriler gibi bazı kategoriler kanunda özel nitelikli sayılır ve daha sıkı koşullara tabidir. Sesin kendisinin hangi durumlarda biyometrik veri sayılacağı, kullanım amacına göre değerlendirilen bir konudur — bu yüzden "ses kaydı hep biyometriktir" ya da "hiç değildir" demek doğru olmaz. Örneğin sesi kişiyi tanımak için kullanmak, söyleneni yazıya çevirmekle aynı şey değildir.

Kurmadan önce cevaplamanız gereken sorular

Aşağıdakiler hukuki sorular değil, tasarım sorularıdır — ama cevapları hukuki sonucu doğrudan belirler. Akışı kurmadan önce cevaplarsanız, sonradan geri dönüp veri temizlemek zorunda kalmazsınız.

• Ham ses kaydını saklamanız gerekiyor mu, yoksa yazıya çevrilmiş hâli yetiyor mu? Yetiyorsa sesi hiç saklamayın.
• Konuşma dökümünü ne kadar süre tutacaksınız? Süresiz saklamak bir karar değil, karar vermemektir.
• Akış gerçekten ihtiyacınız olmayan bir bilgiyi soruyor mu? Sorulmayan veri, korunması gerekmeyen veridir.
• Belgeden çıkarılan alanlar yeterliyse belgenin görüntüsünü tutmanız gerekiyor mu?
• Bu veriye kurumunuzda kimler erişebilecek?
• Ziyaretçi, konuşmanın kaydedildiğini akışın neresinde öğreniyor?

Akış tasarımıyla çözülebilen kısım

Veri korumayla ilgili işin önemli bir bölümü aydınlatma metniyle değil, akışın kendisiyle çözülür. Toplamadığınız veriyi sonradan korumak, saklamak ya da silmek zorunda kalmazsınız.

Pratikte işe yarayan birkaç yaklaşım: akışın ilk adımını bir bilgilendirme mesajı yapmak; her alanı "buna gerçekten ihtiyacım var mı" diye gözden geçirmek; dosya yükleme adımında belgeden yalnız gereken alanları okumak ve ziyaretçiye yazarak devam etme seçeneği bırakmak.

Agenola'da akışı kuran kişi hangi soruların sorulacağına, dosya yükleme adımında hangi belgenin isteneceğine ve hangi bilginin kaydedileceğine karar verir. Toplanan alanlar ve konuşma dökümü kendi çalışma alanınızda durur; panelinizden görebilirsiniz. Bu, aracın sizi mevzuata uyumlu hâle getirdiği anlamına gelmez; kararların sizde olduğu anlamına gelir.

Sık yapılan üç hata

• Her şeyi kaydedip sonra ayıklamayı düşünmek. Toplanan veri, toplandığı andan itibaren sorumluluk doğurur.
• Aydınlatmayı akışın sonuna koymak. Aydınlatma veri toplanırken yapılır; veri verildikten sonra yapılan bilgilendirme geç kalmıştır.
• Bir aracın "uyumlu" olduğuna güvenmek. Uyum, aracın değil, veriyi işleyenin ve işleme amacının özelliğidir.