Kulüplerde Veri Koruma: Gönüllülerle Yürüyen Bir Grubun Gerçekte Ne Yapması Gerekiyor?

Birleşik Krallık'ta UK GDPR'ın 33. maddesine göre üye verisini kaybeden ya da sızdıran ve bununla kişileri risk altına sokan bir kulübün bunu ICO'ya bildirmek için 72 saati var. Türkiye'de Kişisel Verileri Koruma Kurulu da aynı 72 saati arıyor. Çoğu kulüp hangi veriyi nerede tuttuğunu o 72 saatin içinde öğreniyor. Bu rehber, bunu daha önce öğrenmeniz için.

Veri koruma kuralları küçük bir kulübe gerçekten uygulanır mı?

Evet, ve kulübün büyüklüğü hiçbir şeyi değiştirmez.

60 oyunculu bir altyapı futbol kulübü, bekleme listesi olan bir yüzme kulübü ya da 40 aileli bir cumartesi dil kursu; hepsi kişisel veri tutar: isimler, doğum tarihleri, velilerin telefon numaraları, alerjiler, fotoğraflar, yoklama. Bu, kulübü Birleşik Krallık'ta UK GDPR, Türkiye'de 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında veri sorumlusu yapar. Birleşik Krallık'ta ICO'nun veri koruma ücreti rehberi pek çok kâr amacı gütmeyen kuruluşu yıllık ücretten muaf tutuyor; Türkiye'de de bazı kuruluşlar VERBİS kaydından muaf olabiliyor. Pek çok yönetim kurulu okumayı tam burada bırakıyor. Muafiyet yalnızca o yükümlülüğü kapsar. Diğer bütün görevler yerinde durur.

İyi haber şu: yasa gönüllü bir yönetim kurulundan banka gibi davranmasını beklemiyor. Ne tuttuğunuzu, neden tuttuğunuzu, kimin görebildiğini ve ne zaman sileceğinizi yazılı olarak cevaplayabilmenizi bekliyor.

Bir kulübün üye verisi gerçekte nerede duruyor?

Bir veri haritasıyla başlayın: kişisel verinin durduğu her yeri listeleyen tek bir sayfa. Bunu bir yönetim kurulu toplantısında; üye kayıt sorumlusu, çocuk koruma sorumlusu, sayman ve bir antrenör odadayken yapın, çünkü her biri farklı bir parçayı tutuyor.

İlk harita insanları şaşırtır. Derby'deki Brookfield Gençler Yüzme Kulübü'nü düşünün: kurgusal ama tipik bir kulüp, 140 yüzücü. Yönetim kurulu üye verisinin nerede durduğunu listelemek için oturduğunda 11 yer buldu: çevrim içi kayıt formu, üyelik tablosu, saymanın bankacılık uygulaması, havuz kenarındaki kutuda duran kâğıt yoklama defteri, çocuk koruma sorumlusunun e-postası, iki veli WhatsApp grubu, acil durum numaralarını tutan üç antrenörün telefonu ve içinde hâlâ 2019'dan kalma sağlık anketleri duran "ESKİ FORMLAR" adlı ortak bir klasör. Hiçbiri saklanmış değildi. Sadece birikmişti.

Harita, işin tamamının küçük bir modelidir. 11 yeri gördüğünüzde sonraki adımlar kendiliğinden ortaya çıkar: ihtiyacınız olmayanı kapatın, ihtiyacınız olanı erişim kontrolü olan bir yere taşıyın ve süresi geçmiş olanı silin.

Bir kulüp hangi hukuki sebebe dayanmalı?

Her formun altına "Kulübün verilerimi tutmasına açık rıza veriyorum" yazan kulüplerle burada ayrılıyoruz. Bir kulübü yürütmek için açık rıza çoğu zaman yanlış dayanaktır.

Açık rıza özgür iradeyle verilmeli ve her an geri alınabilmelidir. Bir veli, kulübün acil durum numarasını tutmasına verdiği rızayı geri çekerse çocuk antrenmana devam edebilir mi? Elbette hayır; demek ki o rıza baştan beri özgür değildi. ICO'nun hukuki sebep rehberi, açık rızanın altı dayanaktan yalnızca biri olduğunu ve varsayılan olmadığını açıkça söylüyor; KVKK da açık rızanın yanında sözleşmenin ifası ve meşru menfaat gibi işleme şartları sayıyor. Üyeliği yürütmek için gereken veri (iletişim bilgisi, acil durumda aranacak kişi, yoklama, aidat) için sözleşmeye ya da meşru menfaate dayanın. Açık rızayı gerçekten isteğe bağlı şeylere saklayın: kulübün herkese açık sayfalarındaki fotoğraflar, bir bağış bülteni, bir üye rehberi.

Sağlık bilgisi özel nitelikli veridir ve üstüne ikinci bir şart ister. Bir antrenörün acil durumda bilmesi gereken alerji, astım ve ilaç bilgisi için bu genellikle çocuğun hayati çıkarlarını korumak ya da velinin kayıt formunda verdiği açık rızadır. Hangisine dayandığınızı yazın. Üye iletişim, sağlık ve izin kayıtları rehberimiz formun kendisini anlatıyor.

Kulüpte kim neyi görmeli?

Şu an görenlerden daha az kişi. En sık gördüğümüz hata bir saldırı değil. Ortak bir tabloda durduğu için her antrenörün ve yardımcının gördüğü bir sağlık notu ya da 200 velinin olduğu bir grup sohbetinde duran bir çocuğun ev adresi.

Üç seviye koyun. Bir seansta görevli her antrenör isimleri, acil durumda aranacak kişiyi ve müdahale etmesi gereken sağlık bilgisini görür. Çocuk koruma kayıtlarını çocuk koruma sorumlusu görür, başka kimse görmez. Üye kayıt sorumlusu ve sayman iletişim ve ödeme bilgilerini görür. Bir gönüllü görevi bıraktığında erişimi genel kurulda değil, aynı hafta kalkar.

Konuştuğumuz antrenörler çoğu zaman şuna benzer bir şey söylüyor: "Bir veli numaralarını silmemi isteyene kadar, üç sezon önceki takımın bütün numaralarının hâlâ telefonumda olduğunu fark etmemiştim."

Bir kulüp kayıtları ne kadar saklamalı?

Kural, gerektiğinden uzun değil der; yani gerekenin ne olduğuna sizin karar vermeniz gerekir. Bir çocuk kulübünün saklama takvimi genellikle şöyle görünür:

• İletişim, acil durum ve sağlık bilgileri: üye ayrıldıktan sonraki üç ay içinde silin.
• Bir çocukla ilgili kaza ve olay kayıtları: Birleşik Krallık'ta çocuk 21 yaşına girene kadar saklanır, çünkü bir yaralanma davası 18. doğum gününden sonraki üç yıl içinde açılabilir. Türkiye'de kendi zamanaşımı sürelerinize göre karar verin.
• Sabıka kaydı belgeleri: kontrolün yapıldığını ve tarihini kaydedin, belgenin kendisini altı aydan uzun tutmayın.
• Bağış ve aidat makbuzları dahil mali kayıtlar: altı yıl.
• Çocuk koruma endişesi kayıtları: bağlı olduğunuz federasyonun rehberine uyun; bu genellikle çok daha uzundur.

Sonra yılda bir tarih seçin; genel kuruldan sonraki hafta iyi çalışır. O hafta üye kayıt sorumlusu silme işlemlerini yapar ve bunu tutanağa geçirir.

Bir şeyler ters gittiğinde ne olmalı?

İlk aranacak kişi olarak tek bir kişiyi, genellikle sekreteri ya da çocuk koruma sorumlusunu belirleyin. Veri yanlış yere gittiğinde bu kişi yayılmayı durdurur (mesajı siler, alanlardan silmelerini ister), ne olduğunu ve ne zaman olduğunu yazar ve 72 saat içinde bunun birini risk altına sokup sokmadığına karar verir. Sokuyorsa Birleşik Krallık'ta ICO'ya, Türkiye'de Kurul'a bildirir. Etkilenen kişiler için risk yüksekse onlara da doğrudan haber verir. Bir veli sohbetine atılan, çocukların doğum tarihlerini ve sağlık durumlarını içeren bir tablo bildirilmesi gereken bir ihlaldir. Yanlış bir veliye giden ve istenince silinen bir e-posta genellikle değildir, ama yine de ihlal kaydına girer.

Veri sahibi başvuruları da benzer bir kurala bağlı. Bir üye ya da veli hakkında tuttuğunuz her şeyin bir kopyasını isteyebilir; Birleşik Krallık'ta cevap için bir ayınız, Türkiye'de KVKK'ya göre 30 gününüz var. Bir veri haritasıyla bu bir öğleden sonralık iştir. Haritasız, 11 yerde yapılan bir aramadır.

Bitir bunda nasıl yardımcı olur?

Bitir o 11 yerin birkaçını tek bir yerde toplar. Üyeler numaraları elden ele dolaşarak değil, bir davetle kanala katılır ve telefon numaraları diğer üyelere gösterilmez. Her üyenin kaydı iletişim, acil durum ve sağlık bilgilerini tutar ve kanal rolleri hangi yetişkinin bunları göreceğine karar verir; böylece seanstaki antrenör ihtiyacı olanı görür, çocuk koruma sorumlusunun notları da onda kalır. Biri görevden ayrıldığında rolü kaldırmak erişimi de kaldırır. Aydınlatma metni kanalda sabitlenebilir; her yeni aile onu, gerçekten açık rıza gerektiren fotoğraf ve video izni seçeneklerinin yanında görür.

İlgili okumalar: Mersin'deki bir satranç kulübünün çocukların kimlik bilgilerini veli grubundan nasıl çıkardığı ve Gaziantep'teki bir cimnastik kulübünün akşam teslimlerini nasıl düzene soktuğu.