Öneri Motoru ve Dinamik Fiyatlama: Profilleme Kurallarına Uyum

Kişiselleştirmenin Görünmeyen Yüzü

E-ticaret sitelerinde “Bunu alanlar şunu da aldı” kutusu, kişiye özel kampanya ve sepette değişen fiyat artık standart uygulamalar hâline geldi. Bu deneyimlerin arkasında, müşterinin gezinme ve satın alma geçmişinden tahmin üreten algoritmalar çalışır. Profilleme KVKK açısından tam olarak bu tahmin üretme faaliyetini ifade eder ve doğru kurgulanmadığında hem şeffaflık hem ayrımcılık riski doğurur.

Bu rehberde profillemenin ne olduğunu, öneri motorlarında hangi verilerin kullanıldığını, dinamik fiyatlamada ayrımcılık riskini, şeffaflık ve itiraz hakkını ve hassas kategorileri adım adım ele alıyoruz. Sonda, kendi uygulamanızı gözden geçirmek için kullanabileceğiniz bir uyum listesi var.

Profilleme nedir?

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) “profilleme” kavramını ayrıca tanımlamaz. Kavramın en yerleşik tanımı Avrupa Birliği Genel Veri Koruma Tüzüğü'nün (GDPR) 4. maddesindedir: kişisel verilerin, bir gerçek kişiye ilişkin belirli kişisel özellikleri değerlendirmek, özellikle iş performansı, ekonomik durum, sağlık, kişisel tercihler, ilgi alanları, güvenilirlik, davranış, konum veya hareketler hakkında analiz ya da tahmin yapmak için otomatik olarak işlenmesi.

KVKK'da bu konuya en yakın hüküm, ilgili kişinin haklarını sayan 11. maddedir. Maddenin (g) bendi, herkese “işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme” hakkı tanır. Bu hak, profillemenin kendisini yasaklamaz; ancak otomatik analizin kişi aleyhine sonuç doğurduğu durumlarda veri sorumlusunun bu itirazı alabilecek ve değerlendirebilecek bir süreç kurmasını gerektirir.

E-ticarette profillemenin üç tipik kullanımı vardır: ürün ve içerik önerisi, kişiye özel kampanya veya kupon ile fiyat ya da teslimat koşullarının kişiye göre değiştirilmesi. Kişi üzerindeki etki bu sırayla artar; uyum yükü de buna göre büyür.

Öneri motorunda kullanılan veriler

Uyum çalışmasının ilk adımı, öneri motorunun hangi verileri hangi kaynaktan aldığını çıkarmaktır. Ekipler çoğu zaman yalnızca sipariş verisini düşünür; oysa modeller genellikle çok daha geniş bir veri setiyle beslenir:

Son kalem özellikle önemlidir. Çıkarım verisi, müşterinin size hiç söylemediği ama sizin onun hakkında ürettiğiniz bir kişisel veridir. Bu etiketler de envantere girmeli, saklama süresi belirlenmeli ve ilgili kişi başvurularında kapsam dışında bırakılmamalıdır.

Hukuki sebep veri kaynağına göre değişir. Site içinde kendi sipariş verinizle yaptığınız basit öneriler için meşru menfaat değerlendirilebilir; ancak bu, menfaat dengesinin yazılı olarak yapılmasını gerektirir. Siteler arası takip ve davranışsal reklam amaçlı çerezlerle toplanan veriler için ise Kurum'un Çerez Uygulamaları Hakkında Rehberi açık rızayı esas alır. Bu ayrımı reklam etiketleri açısından meta pixel KVKK riskleri yazımızda anlattık.

Öneri motorunda kullanılan veri türleri

Dinamik fiyatlamada ayrımcılık riski

Dinamik fiyatlama iki farklı biçimde uygulanabilir. İlki, fiyatın stok, talep, saat veya rakip fiyatları gibi piyasa koşullarına göre herkes için birlikte değişmesidir; bu modelde kişisel veri ya hiç kullanılmaz ya da toplu istatistik olarak kullanılır. İkincisi, fiyatın veya indirimin kişinin profiline göre bireysel olarak belirlenmesidir. KVKK açısından asıl risk ikinci modeldedir.

Bireysel fiyatlamada model, cihaz türü, konum, geçmiş harcama veya fiyat hassasiyeti tahmini gibi değişkenlerle aynı ürün için farklı kişilere farklı fiyat gösterebilir. Bu durumun yarattığı başlıca riskler şunlardır:

Dolaylı ayrımcılık: posta kodu veya cihaz türü gibi masum görünen değişkenler gelir düzeyi, yaş ya da etnik köken gibi özelliklerle ilişkili olabilir ve belirli grupları sistematik olarak dezavantajlı duruma düşürebilir.

Aleyhe sonuç: daha yüksek fiyat veya kampanyadan dışlanma, münhasıran otomatik analizle belirlendiğinde KVKK 11/1-g kapsamında “aleyhe sonuç” olarak değerlendirilebilir.

Şeffaflık eksikliği: müşteri fiyatın kendisine özel belirlendiğini bilmiyorsa, aydınlatma metni gerçek işleme faaliyetini yansıtmıyor demektir.

Kişiye özel fiyatlama, KVKK'nın yanında tüketici mevzuatı ve rekabet hukuku açısından da ayrıca değerlendirilmesi gereken bir uygulamadır. Bu yazı yalnızca kişisel veri boyutunu ele alır; uygulamaya geçmeden önce somut olay özelinde hukuki değerlendirme alınmalıdır.

Şeffaflık ve itiraz

KVKK 10. madde, kişisel verilerin hangi amaçla işleneceğinin ilgili kişiye bildirilmesini zorunlu tutar. “Hizmetlerimizi geliştirmek” gibi genel ifadeler, öneri motoru veya kişiye özel fiyatlama için yeterli değildir. Aydınlatma metninde en az şu bilgilerin yer alması önerilir:

Kişiselleştirilmiş öneri ve kampanya için hangi veri kategorilerinin kullanıldığı,

Fiyat veya kampanya koşullarının kişiye göre belirlenip belirlenmediği,

Profil oluşturmak için iş ortaklarından veya reklam platformlarından veri alınıp alınmadığı,

Kişiselleştirmeyi kapatma ve otomatik karara itiraz etme yolları.

İtiraz hakkının işlevsel olması için itirazın bir insan tarafından incelenmesi gerekir. Müşteri hizmetleri ekibinin “sistem böyle belirliyor” yanıtı, itirazı değerlendirmiş olmak anlamına gelmez. Bunun için modelin hangi faktörlere ağırlık verdiğini açıklayabilen ve kararı düzeltme yetkisine sahip bir sorumlu belirlenmelidir.

İlgili kişi başvuruları KVKK 13. madde uyarınca en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırılır. Kişiye özel kampanya, kupon ve kişiselleştirme ayarlarının ticari elektronik ileti izinleriyle karıştırılmaması da gerekir; e-posta ve SMS ile gönderilen kişiye özel teklifler ayrıca 6563 sayılı Kanun kapsamındaki onaya tabidir. Bu konuyu terk edilmiş sepet hatırlatması yazımızda örnekledik.

Hassas kategoriler

KVKK 6. madde; sağlık, din, mezhep, cinsel hayat, siyasi düşünce ve dernek veya sendika üyeliği gibi bilgileri özel nitelikli kişisel veri sayar ve bunların işlenmesini kural olarak yasaklar. Profilleme modelleri bu bilgileri doğrudan toplamasa bile satın alma örüntülerinden çıkarım yapabilir. Örneğin hamilelik testi ve vitamin alışverişinden gebelik tahmini, belirli medikal ürünlerden kronik hastalık tahmini ya da dini gün alışverişlerinden inanç tahmini bu kapsamdadır.

Kurum'un Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehberi, bu verilerin özel olarak korunmasının amacını ilgili kişinin ayrımcılığa uğramasını önlemek olarak açıklar. Çıkarım yoluyla üretilen bir hassas etiket, açıkça sorulmuş bir bilgiyle aynı ayrımcılık riskini taşır. Bu nedenle pratik yaklaşım şudur:

Modelin girdileri arasından sağlık, din veya cinsel hayatla doğrudan ilişkili ürün kategorilerini çıkarın ya da bu kategorilerde kişiselleştirmeyi kapatın.

Modelin ürettiği segmentleri düzenli olarak gözden geçirin; hassas bir özelliğe vekâlet eden (proxy) segment oluşmuşsa kullanımdan kaldırın.

Bu kategorilerde kişiselleştirme iş açısından zorunluysa, KVKK 6/3'teki istisnaların karşılanıp karşılanmadığını yazılı olarak değerlendirin; tüketici hizmetinde bu çoğunlukla açık rızaya dayanmayı gerektirir.

Çocuklara yönelik ürün gruplarında profillemeyi en aza indirin ve reşit olmayan kullanıcıların hesaplarını profil tabanlı fiyatlamanın dışında tutun.

Hassas veri kategorilerinin genel çerçevesini özel nitelikli kişisel veriler rehberimizde bulabilirsiniz.

Uyum listesi

Aşağıdaki tablo, öneri motoru ve dinamik fiyatlama uygulamalarınızı gözden geçirirken ekip toplantısında kullanabileceğiniz bir kontrol aracıdır. Her satır için sorumlu birimi ve kanıt belgesini not edin.

Standart sözleşmeye dayanan yurt dışı aktarımlarda sözleşmenin imzadan itibaren beş iş günü içinde Kurum'a bildirilmesi gerektiğini hatırlatalım. Yapay zekâ tabanlı karar sistemlerinin Avrupa Birliği pazarındaki ek yükümlülüklerini AB Yapay Zekâ Yasası yazımızda ele aldık.

Profilleme uyum kontrol tablosu

Sonuç ve Sonraki Adım

Profilleme KVKK açısından yasak bir faaliyet değildir; ancak şeffaf olmayan, hassas çıkarımlar üreten veya kişiye özel fiyatla aleyhe sonuç doğuran profilleme ciddi risk taşır. Uyumun temeli, modelin hangi veriyle beslendiğini bilmek, her kaynak için doğru hukuki sebebi seçmek, aydınlatma metnini gerçek uygulamaya göre yazmak ve otomatik kararlara karşı insan incelemesine açık bir itiraz yolu sunmaktır.

Önerilen ilk adım, uyum listesindeki dokuz soruyu pazarlama, veri bilimi ve hukuk ekipleriyle birlikte yanıtlamaktır. “Hayır” yanıtı verilen her satır, önceliklendirilmesi gereken bir boşluğu gösterir. Kişiselleştirme ve yapay zekâ projelerinde uyum desteğinin kapsamını KVKK ve yapay zekâ danışmanlığı sayfamızda inceleyebilirsiniz.

Sık Sorulan Sorular