Mağazada Müşteri Sayma, Isı Haritası ve Wi-Fi Takibi: KVKK Sınırları

Mağaza Analitiğinde Görünmeyen Soru

Perakende zincirleri, e-ticaret sitelerinin sahip olduğu ölçüm gücünü fiziksel mağazaya taşımak istiyor: kaç kişi girdi, hangi reyonda durdu, ne kadar kaldı, tekrar geldi mi? Kapı üstü sayaçlar, ısı haritası üreten kameralar ve Wi-Fi sinyali dinleyen cihazlar bu soruları yanıtlıyor. Mağaza müşteri sayma KVKK açısından ise asıl soru, bu sistemlerin kişiyi tanıyıp tanımadığıdır.

Bu yazıda mağaza içi analitik teknolojilerini, anonim sayım ile tekil takip arasındaki farkı, MAC adresi ve Wi-Fi verisinin durumunu, bilgilendirme levhalarını ve tedarikçi sözleşmelerini ele alıyor, uyumlu bir kurulum için dikkat edilecek noktaları sıralıyoruz.

Mağaza İçi Analitik Teknolojileri

Mağaza analitiği tek bir teknoloji değildir. Aynı “ziyaretçi sayısı” raporu, kişisel veri işlemeyen bir sensörden de, her müşteriyi ayrı ayrı izleyen bir sistemden de üretilebilir. Değerlendirme, raporun kendisinden değil verinin toplandığı yöntemden başlar.

Teknolojilere Göre Kişisel Veri Riski

Anonim Sayım ile Tekil Takip Farkı

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kişisel veriyi kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi olarak tanımlar. Kişinin adının bilinmesi gerekmez; onu diğerlerinden ayırt etmeye ve tekrar tanımaya yarayan bir tanımlayıcı yeterlidir.

Anonim hale getirme ise Kanun'da, verilerin başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir kişiyle ilişkilendirilemeyecek hale getirilmesi olarak tanımlanır. Bu tanım yüksek bir eşik koyar. Bir cihaz tanımlayıcısını karma (hash) fonksiyonundan geçirmek, aynı cihaz her geldiğinde aynı sonucu ürettiği sürece tekrar ziyareti tanımaya devam eder. Bu işlem takma adlandırmadır (pseudonymization), anonimleştirme değildir.

Pratik ayrım şöyledir: sistem “bugün mağazaya 1.240 kişi girdi” diyor ve kimseyi ayrı tutmuyorsa kişisel veri işlemesi zayıf bir ihtimaldir. Sistem “bu ziyaretçi geçen hafta da geldi, önce kozmetik reyonuna gitti” diyebiliyorsa, kişiyi adıyla bilmese bile tekil takip yapıyor ve kişisel veri işliyordur. Kamera tabanlı sistemlerde ise yüz görüntüsünün teknik işlemeye tabi tutulması biyometrik veri işleme sonucunu doğurabilir; biyometrik veri KVKK'nın 6. maddesinde özel nitelikli veri olarak sayılır. Mağaza kameralarındaki genel kuralları güvenlik kamerası KVKK riski yazımızda ele aldık.

MAC Adresi ve Wi-Fi

MAC adresi, bir cihazın ağ donanımına ait tanımlayıcıdır. Telefonlar Wi-Fi ağı ararken bu tanımlayıcıyı çevreye yayabilir ve mağazadaki alıcılar bunu kaydedebilir. Telefon çoğu zaman tek bir kişiye ait olduğundan, cihazı tanımak kişiyi belirlenebilir kılar. Birçok güncel cihaz ağ ararken rastgele MAC adresi kullansa da, bu özellik her cihazda ve her durumda aynı şekilde çalışmaz; analitik tedarikçisinin başka sinyallerle eşleştirme yapıp yapmadığı ayrıca sorulmalıdır.

Misafir Wi-Fi hizmeti ayrı bir yükümlülük alanı açar. 5651 sayılı Kanun'un 7. maddesi, ticari amaçla olup olmadığına bakılmaksızın bütün internet toplu kullanım sağlayıcılarının, kullanıma ilişkin erişim kayıtlarının tutulması konusunda yönetmelikle belirlenen tedbirleri almasını öngörür. Bu kayıtlar kanuni yükümlülük kapsamında tutulabilir; ancak aynı kayıtların pazarlama analizi veya müşteri profili için kullanılması, KVKK'nın amaçla bağlantılı ve sınırlı işleme ilkesine aykırı düşer.

Wi-Fi girişinde alınan telefon numarasıyla ticari ileti gönderilmesi ise açık rıza ve ticari elektronik ileti kurallarına tabidir. Kişisel Verileri Koruma Kurulu, 28.09.2023 tarihli ve 2023/1653 sayılı kararında, mağazada hediye kartı işlemi sırasında SMS ile alınan pazarlama rızasını incelemiş; rızayı geçerli bulmakla birlikte, rıza sürecinin müşteri tarafından alışverişin bir parçası gibi algılanmayacak şekilde düzenlenmesini ve aydınlatma metni ile onay kodunun ayrı mesajlarla gönderilmesini talimat olarak vermiştir. Aynı yaklaşım Wi-Fi giriş ekranları için de yol göstericidir.

Bilgilendirme Levhaları

KVKK'nın 10. maddesi, kişisel veri elde edilirken ilgili kişinin bilgilendirilmesini zorunlu tutar. Mağazada müşteriyle yazılı bir etkileşim olmadığı için bu bilgilendirme çoğu zaman girişteki levhalarla yapılır. Uygulamada iki katmanlı bir yapı işe yarar: girişte kısa ve okunaklı bir levha, levhada da tam aydınlatma metnine yönlendiren bir kare kod ve kısa internet adresi.

Levha bilgilendirme sağlar, rıza üretmez. Açık rıza Kanun'da belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlanır; mağazaya girmek bu tanımı karşılayan bir irade beyanı değildir. Açık rıza gerektiren bir işlem levhayla meşrulaştırılamaz. Aydınlatma ile rızanın farkını açık rıza metinlerinin geçerliliği yazımızda anlattık.

Levhada Yer Alması Gereken Bilgiler

Tedarikçi Sözleşmeleri

Mağaza analitiği çoğunlukla bir yazılım veya hizmet sağlayıcı üzerinden kurulur. Tedarikçi veriyi yalnızca perakendecinin talimatıyla ve onun adına işliyorsa veri işleyen konumundadır. KVKK'nın 12. maddesi, veri sorumlusunun veri işleyenle birlikte veri güvenliği tedbirlerinden müştereken sorumlu olduğunu düzenler. Bu nedenle sözleşme, perakendecinin kendi yükümlülüğünü koruyan bir araçtır.

Sözleşmede özellikle şu sorular yanıtlanmalıdır: tedarikçi toplanan veriyi kendi ürününü geliştirmek veya sektörel karşılaştırma raporları üretmek için kullanabiliyor mu; veri hangi ülkedeki sunucularda işleniyor; alt yükleniciler kimler; karma işleminde kullanılan gizli değerleri (salt) kim yönetiyor ve ne sıklıkla değiştiriliyor; sözleşme sona erdiğinde veri nasıl iade ediliyor veya siliniyor? Veri yurt dışında işleniyorsa KVKK'nın 9. maddesi uygulanır; standart sözleşme kullanılıyorsa imzadan itibaren beş iş günü içinde Kurum'a bildirilmesi gerekir.

Uyumlu Kurulum İçin Dikkat Edilecek Noktalar

Mağaza içi analitiği KVKK ile uyumlu kurmak, çoğu zaman teknolojiden vazgeçmek değil, doğru tasarım tercihlerini baştan yapmak anlamına gelir. Bu yaklaşımın yazılım projelerindeki karşılığını privacy by design yazımızda ele aldık.

Soruyu netleştirin: yalnızca toplam ziyaretçi sayısı gerekiyorsa kişiyi ayırt etmeyen sensörleri tercih edin.

Görüntü analitiğinde hesaplamayı cihaz üzerinde yapın; ham görüntünün analitik amacıyla saklanmasına ve buluta gönderilmesine izin vermeyin.

Wi-Fi tabanlı ölçüm kullanılacaksa tanımlayıcıları kısa aralıklarla değişen gizli değerlerle işleyin ve tekrar ziyaret analizini gerçekten gerekli olan süreyle sınırlayın.

Mağaza içi verileri sadakat kartı veya uygulama hesabıyla birleştirmeden önce ayrı bir hukuki değerlendirme yapın; bu birleşimin kurallarını sadakat kartı KVKK kuralları yazımızda anlattık.

Misafir Wi-Fi erişim kayıtlarını 5651 sayılı Kanun kapsamındaki amaçla sınırlı tutun; pazarlama izni için ayrı ve işaretsiz bir onay adımı kullanın.

Levhaları tüm girişlere asın ve tam aydınlatma metnini güncel tutun.

Saklama sürelerini veri sorumlusunun saklama ve imha politikasına yazın; ham verileri kısa, toplulaştırılmış raporları daha uzun süre saklayın.

Sonuç ve Sonraki Adım

Mağaza müşteri sayma KVKK açısından tek başına sorun değildir; sorun, sayımın fark edilmeden tekil takibe dönüşmesidir. Kişiyi ayırt etmeyen sensörler düşük risk taşırken MAC adresi, kamera görüntüsü veya Wi-Fi girişiyle kurulan sistemler kişisel veri işler ve hukuki dayanak, aydınlatma, tedarikçi sözleşmesi ile ölçülü saklama gerektirir.

Mevcut sisteminizin tedarikçisine “bu sistem aynı ziyaretçiyi ikinci gelişinde tanıyabiliyor mu?” sorusunu sormak, değerlendirmenin en hızlı başlangıcıdır. Perakendeye özgü diğer başlıklar için perakende ve mağazacılık KVKK sayfamıza göz atabilirsiniz. Somut olay özelinde hukuki değerlendirme alınmalıdır.

Sık Sorulan Sorular