Hangi müşteri verilerini saklayabilirsiniz — ve hangileri ayrı bir dayanak ister

Küçük bir işletme müşteri verisini meraktan toplamaz; işletme onlarsız yürümediği için toplar. Bir randevu ad ve numara ister, bir fatura adres ister, ikinci uygulama birincinin sonucunu ister. 6698 sayılı Kişisel Verilerin Korunması Kanunu bunların hiçbirini yasaklamaz. Yalnızca her kayıt için ne işe yaradığını söyleyebilmenizi ister.

Geri kalan her şey buna bağlıdır: amaç hukuki sebebi belirler, hukuki sebep saklamayı, ikisi birlikte de bir notun zararsız bir hatırlatma mı yoksa daha katı kuralları olan bir veri kategorisi mi olduğunu. Bu yazı bunu üç kovaya ayırıyor ve sınırın nereden geçtiğini bir örnekte gösteriyor. Bir yön göstermedir — somut durumunuza Kişisel Verileri Koruma Kurumu ya da bir hukukçu karar verir.

KVKK m.4 başa genel ilkeleri koyar ve üçü sizi her gün ilgilendirir. Amaca bağlılık: veriler belirli, açık ve meşru amaçlar için işlenir. Ölçülülük: işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmak — yani yalnızca o amaç için gerekli olan. Süre sınırı: ilgili mevzuatta öngörülen ya da işlendikleri amaç için gerekli olan süre kadar muhafaza.

Buna m.5 eklenir; bir işlemenin hukuka uygun olmasını sağlayan sebeplerin listesi orada durur. Kural açık rızadır, ancak kanun rıza aranmayan hâlleri sayar ve bir hizmet işletmesi için dördü önemlidir: bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması; veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için zorunlu olması; bir hakkın tesisi, kullanılması veya korunması için zorunlu olması; ve ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati. Uygulamada açık rıza, en sık, hiç gerekmediği yerde durur.

Bu yalnızca bir sistematik değildir. Bir randevuyu yalnızca rıza verildiği için saklayan kişi, rıza geri alındığı anda dayanaksız kalır — oysa randevu hizmetin kendisi için gereklidir. Tersine, ilişki ne kadar sıcak olursa olsun sözleşme bülteni taşımaz. Hukuki sebep amacı izler, kolaylığı değil. Ve ilki uygunsuz çıktığında sonradan değiştirilemez.

Müşteri kartelanızı bir kez üç kovaya ayırın. Alıştırma yarım saat sürer ve sonrasında tek tek soruların çoğunu kendiliğinden yanıtlar. Yalnızca ikincisinin süresi size bırakılmamıştır — orada uzunluğu belge türüne bağlı saklama süresi belirler.

İşi çıkaran üçüncü kovadır; yasak olduğu için değil, karar verilmeden oluştuğu için. Yazılım sunduğu için bir doğum günü alanı açılır; üç yıl sonra onun kutlama için mi yoksa yaş denetimi için mi olduğunu kimse bilmez. İkisi de kabul edilebilir — ama farklı dayanakla ve farklı süreyle.

Üçüncü satıra Türkiye'ye özgü ve size karar yükünden kurtaran bir ayrıntı eşlik eder: ticari elektronik iletiler için 6563 sayılı Kanun ve İleti Yönetim Sistemi (İYS) ayrı bir düzen kurar. Pazarlama iletisi önceden onay ister, onay önceden işaretlenmiş olamaz ve alıcı ret hakkını istediği zaman, gerekçesiz kullanabilir — İYS üzerinden ya da e-Devlet'ten. Böyle bir ret, üzerinde takdir yürüttüğünüz bir rica değil, o işlemenin sonudur. Buna karşılık aldığı randevuya ilişkin onay ya da hatırlatma ticari elektronik ileti değildir ve İYS onayı gerektirmez.

Teori burada karara bağlanır. Randevuya bir not yazıyorsunuz — üç varyant, üç ayrı hukuki durum:

• Renk 7.3, 40 dakika bekleme süresi — hizmete ilişkin bir bilgi. Sözleşme, sorunsuz.
• Arka frenlere gelecek randevuda bakılacak — nesneye ilişkin bir bilgi, kişiye değil. Yine sorunsuz.
• Saç derisi tahriş olmuş, amonyağa karşı hassasiyet var — sağlığa ilişkin bir bilgi. Ve böylece kanunun başka bir maddesi.

KVKK m.6 özel nitelikli kişisel verileri ayrı bir rejime bağlar ve sağlık verilerini açıkça sayar. Bu kategori kişinin durumu hakkında bilgi veren her şeyi kapsar; hizmet verilirken ortaya çıkmış olması onu kapsam dışına çıkarmaz.

Yasak bir son değil, bir başlangıçtır. Kural olarak bu veriler açık rıza ile işlenebilir; 2024'te 7499 sayılı Kanun'la yapılan değişiklik rıza aranmayan hâlleri genişletmiştir, ancak bir kuaför, stüdyo ya da oto servis için pratik yanıt açık rızadır. Açık rızanın tanımı burada işi kolaylaştırır: belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza. Yani genel koşulların altındaki bir onay kutusu değil, tam olarak bu bilgi için bilinçli ve adı konmuş bir onay. Uygulamada bu büyük bir yük değildir — kayıt ya da anamnez formunda, bilginin isteğe bağlı olduğunu, ne için kullanılacağını ve istendiği zaman geri alınabileceğini söyleyen bir satır yeter.

Aynı sınır, çocuğa ilişkin nota (lateks kaldırmıyor), bir kutlamadaki beslenme bilgisine ve kısıtlı hareket kabiliyeti notuna da çarpar. Sınama sorusu hep aynıdır: orada kişinin durumu hakkında mı, yoksa hizmet hakkında mı bir şey yazıyor? Bunu güvenle yanıtlayamadığınız yerde bilgiyi sağlık verisi gibi ele alın. Hatanın ucuz olan yönü budur.

Veri minimizasyonu bir feragat gibi seslenir, gerçekte ise bir iş kolaylığıdır. Var olan her alan bir gün doldurulur; doldurulan her kayıt sonradan güncellenmek, bir başvuruda sayılmak ve bir gün silinmek zorundadır. Bir veriden kurtulmanın en ucuz anı, o veri doğmadan öncedir.

Her yeni alandan önce üç soru:

1. Burada bir şey yazıyorsa neyi farklı yapıyorum? Yanıt hiçbir şey ise o alana ihtiyacınız yok.
2. Daha kaba bir bilgi yeter mi? Doğum tarihi yerine on sekiz yaşından büyük: evet. Bir kişinin çalışma saatleri yerine öğleden önce tercih ediyor.
3. İşletmede kimin görmesi gerekiyor? Bir uygulama notu, uygulamayı yapan kişiye aittir — kasadaki bir ekrana değil, çünkü orada sıradaki müşteri de okur.

Üçüncü soruyu disiplin değil, yazılım yanıtlamalıdır. Randevuların, notların ve faturaların zaten tek bir sistemde durduğu yerde role göre ayrım bir ayardır; kâğıda, duvar takvimine ve tabloya dağıldıkları yerde bir niyet olarak kalır. Bunun bir salon için nasıl göründüğünü salon yazılımı, bir oto servis için oto servis programı gösteriyor. Sorunun kendisi, hangi aracı seçerseniz seçin aynı kalır.

Üç kovadan bir genel görünüm çıkar ve bu görünüm zaten kişisel veri işleme envanterinin çekirdeğidir: amaçlar, veri kategorileri ve ilgili kişi grupları, aktarılan taraflar, öngörülen saklama süreleri ve alınan teknik ve idari tedbirlerin genel tarifi.

Burada Türkiye ile AB arasında gerçek bir fark vardır ve tersi yöndedir. AB'de küçük işletmelere tanınan istisna pratikte neredeyse hiç işlemez. Türkiye'de ise Veri Sorumluları Sicili'ne (VERBİS) kayıt yükümlülüğünden istisna, küçük bir salon ya da servis için çoğunlukla gerçekten işler: Kişisel Verileri Koruma Kurulu'nun 04.09.2025 tarihli kararına göre, yıllık çalışan sayısı elliden az ve yıllık mali bilanço toplamı Kurul'un güncellediği eşiğin altında olan, ana faaliyet konusu özel nitelikli kişisel veri işlemek olmayan veri sorumluları kayıttan istisnadır. Bir kuaförün ana faaliyeti kuaförlüktür, sağlık verisi işlemek değil — arada sağlık notu tutuyor olması bunu değiştirmez. Bir poliklinik için ise durum başkadır.

Bunun yanlış okunması pahalıya patlar, o yüzden açıkça: VERBİS'ten istisna olmak KVKK'dan istisna olmak değildir. Aydınlatma yükümlülüğü, veri güvenliği tedbirleri, saklama süreleri ve silme yükümlülüğü kayıt olsanız da olmasanız da aynen sürer. Kayıt bir duyurudur, bir muafiyet değil. Envanteri de yine tutmak işinize yarar, çünkü bir başvuru geldiğinde yanıtı oradan çıkarırsınız.

Buradan bir veri koruma görevlisi de çıkmaz — çünkü Türk hukukunda böyle bir zorunluluk hiç yoktur. AB'nin veri koruma görevlisi kurumunun burada karşılığı bulunmaz; VERBİS'e kayıtlı veri sorumluları bir irtibat kişisi bildirir, ki bu bir bildirim muhatabıdır, bağımsız bir denetim görevlisi değil. Kayıttan istisna olan küçük bir işletmenin ikisine de ihtiyacı olmaz.