Otomatik karar ve skorlama
Kredi ve risk skorlaması yalnızca otomatik sistemlerle yürütülüyorsa, ilgili kişinin sonuca itiraz etme ve kararın nasıl oluştuğunu öğrenme hakkı ayrıca karşılanmalıdır.
Sektör · Sektörel KVKK Çözümü
Finans Sektörüne Özel KVKK Çözümleri
Finansta mevzuat verinin toplanmasını zorunlu kılar; KVKK ise nasıl korunacağını belirler. İkisi çelişmez ama birlikte okunmadığında hem fazla veri toplanır hem de otomatik kararlar savunulamaz hâle gelir.
Kısa cevap
Finans sektöründe KVKK uyumunun ayırt edici konusu, mevzuattan doğan zorunlu veri toplama ile veri minimizasyonu ilkesinin bir arada yürütülmesidir. Müşteri tanıma, şüpheli işlem bildirimi ve kredi değerlendirme yükümlülükleri belirli verilerin toplanmasını zorunlu kılar; ancak bu zorunluluk yalnızca ilgili mevzuatın istediği veriyi, o amaçla ve o süreyle tutmayı meşru kılar. İkinci kritik başlık otomatik karar mekanizmalarıdır: kredi ve risk skorlamalarında ilgili kişinin itiraz hakkı ve kararın açıklanabilirliği ayrıca kurgulanmalıdır.
Finans Sektöründe KVKK Neden Ayrı Yönetilmeli?
Finans kuruluşları KVKK'dan önce de yoğun bir mevzuat yükü altındaydı: bankacılık, sigortacılık, sermaye piyasası ve mali suçların önlenmesi düzenlemeleri veri toplamayı zorunlu kılar. Bu yoğunluk bir yanılgı üretir; her veri toplama işleminin zaten mevzuata dayandığı varsayılır. Oysa pazarlama, çapraz satış, davranışsal profilleme ve grup içi paylaşım gibi işlemler bu zorunluluk kapsamında değildir ve ayrı bir hukuki sebep gerektirir.
Müşteri tanımada aşırı veri toplama
Mevzuatın istediği doğrulama kapsamı aşılarak belge kopyalarının biriktirilmesi; zorunluluk gerekçesiyle meşrulaştırılamaz.
Sigortada sağlık verisi
Sağlık ve hayat sigortası ürünlerinde alınan sağlık beyanları ve raporları özel nitelikli veridir; eksper ve tedarikçilerle paylaşımı sıkı sınırlandırılmalıdır.
Çapraz satış ve pazarlama
İşlem geçmişinden çıkarılan davranışsal profillerin pazarlamada kullanımı, hizmet ilişkisinin gerektirdiği işlemeden ayrıdır ve açık rıza gerektirir.
Açık bankacılık ve üçüncü taraflar
Hesap bilgisi paylaşım servislerinde verinin hangi tarafa, hangi kapsamda ve ne kadar süreyle aktığı müşteri açısından çoğu zaman şeffaf değildir.
Çağrı merkezi ve tahsilat
Ses kayıtları ve borç tahsilat görüşmeleri hassas ekonomik durum bilgisi taşır; dış kaynak kullanılan yapılarda erişim kontrolü zayıflar.
Finans Sektöründe İşlenen Kişisel Veriler
Aşağıdaki kırılım müşteri edinimi, ürün yönetimi ve risk süreçlerinden doğan veri kategorilerini gösterir. Her kalem için hangi mevzuatın hangi süreyi öngördüğü ayrıca eşlenir.
Müşteri tanıma ve kimlik
Kimlik belgesi bilgileri, adres teyidi, imza sirküleri, gerçek faydalanıcı beyanı, vergi kimlik bilgileri
Hukuki sebep ve not: Mali suçların önlenmesi mevzuatından doğan hukuki yükümlülük; kapsam mevzuatın istediğiyle sınırlı tutulur.
Finansal işlem ve hesap
Hesap hareketleri, kart işlemleri, havale ve EFT kayıtları, kredi ödeme geçmişi, teminat bilgileri
Hukuki sebep ve not: Sözleşme ve hukuki yükümlülük; pazarlama amaçlı analiz ayrı bir hukuki sebep gerektirir.
Kredi değerlendirme ve skorlama
Gelir beyanı, çalışma bilgisi, kredi notu, risk raporu, skorlama girdileri ve karar çıktıları
Hukuki sebep ve not: Otomatik karar niteliği varsa itiraz ve açıklama mekanizması ayrıca kurulur.
Sigorta ve sağlık beyanları
Özel nitelikliSağlık beyan formları, tıbbi raporlar, hasar dosyaları, eksper raporları, tazminat kayıtları
Hukuki sebep ve not: Sağlık bilgisi özel nitelikli veridir; erişim ilgili birimle sınırlandırılır ve aktarımlar daraltılır.
Şüpheli işlem ve uyum
İzleme sistemi uyarıları, şüpheli işlem bildirim dosyaları, yaptırım listesi taramaları, siyasi nüfuz sahibi kişi kayıtları
Hukuki sebep ve not: Hukuki yükümlülük; bildirim dosyalarına erişim uyum birimiyle sınırlı ve gizlilik esaslıdır.
Kanal ve iletişim kayıtları
Özel nitelikliÇağrı merkezi ses kayıtları, dijital kanal oturum ve cihaz bilgileri, şube kamera görüntüleri, biyometrik doğrulama verileri
Hukuki sebep ve not: Biyometrik doğrulama kullanılıyorsa özel nitelikli veri rejimi ve alternatif yöntem sunma şartı geçerlidir.
Çözüm Kapsamı
Program, sektörel mevzuat ile KVKK'yı tek envanter üzerinde çakıştırır ve en çok tartışılan alanı — otomatik kararları — savunulabilir hâle getirir.
Çok mevzuatlı veri envanteri
Her veri kalemi için KVKK ile sektörel mevzuat yükümlülükleri eşlenir; zorunlu olan ile iş tercihiyle toplanan ayrıştırılır.
Otomatik karar ve itiraz mimarisi
Skorlama süreçlerinde insan müdahalesi noktaları, itiraz kanalı ve karar gerekçesinin açıklanma biçimi tanımlanır.
Sağlık ve hassas veri ayrıştırması
Sigorta tarafındaki sağlık beyanları ayrı bir erişim düzeninde toplanır; eksper ve tedarikçi paylaşımları daraltılır.
Pazarlama ve rıza yönetimi
Çapraz satış ve profilleme için ayrı rıza akışı kurulur; izin kaydı kanıtlanabilir biçimde saklanır ve İYS ile eşlenir.
Tedarikçi ve dış kaynak sözleşmeleri
Çağrı merkezi, tahsilat, eksper ve yazılım firmalarıyla veri işleyen sözleşmeleri; erişim ve denetim hakları düzenlenir.
VERBİS ve ihlal müdahalesi
Kayıt envanterle uyumlu yapılandırılır; finansal veri ölçeğine uygun ihlal müdahale ve bildirim planı kurulur.
Zorunlu Olan Neydi, Fazlası Ne?
- Müşteri tanıma kapsamında istenen belgelerin kopyaları, mevzuatın gerektirdiğinden fazlasıyla arşivleniyor.
- Kredi reddi tamamen otomatik veriliyor ama itiraz eden müşteriye gerekçe anlatacak bir akış yok.
- Sigorta sağlık beyanları, satış ekibinin de eriştiği ortak bir sistemde tutuluyor.
- İşlem geçmişinden çıkarılan davranışsal segmentler pazarlamada kullanılıyor, aydınlatmada geçmiyor.
- Tahsilat için çalışılan dış firmayla imzalanmış bir veri işleyen sözleşmesi bulunmuyor.
- Çağrı merkezi ses kayıtlarına erişim yetkisi geniş tutulmuş ve erişimler incelenmiyor.
Uygulama Süreci
Keşif ve kapsam
Müşteri edinimi, kredi ve risk süreçleri ile uyum birimi işleyişi incelenir; skorlama modellerinin karar noktaları teknik ekiple birlikte çıkarılır.
Veri envanteri
Tüm veri işleme faaliyetleri; veri kategorisi, hukuki sebep, saklama süresi, alıcı grubu ve aktarım kırılımıyla çıkarılır.
Boşluk analizi
Mevcut durum mevzuatla karşılaştırılır; açıklar ihlal olasılığı ve etkisine göre önceliklendirilir.
Belgelendirme ve devreye alma
Politika, aydınlatma metni, sözleşme seti ve VERBİS adımları hazırlanıp uygulamaya alınır.
Eğitim ve sürdürme
İlgili ekiplere rol bazlı eğitim verilir; periyodik gözden geçirme takvimi kuruma devredilir.
Teslim Edilecek Çıktılar
- Kişisel veri işleme envanteri ve veri akış haritası
- Kişisel veri saklama ve imha politikası ile periyodik imha takvimi
- Veri işleyen sözleşmesi ve gizlilik taahhütnamesi seti
- VERBİS kayıt dosyası ve güncelleme kılavuzu
- İlgili kişi başvurusu karşılama prosedürü ve yanıt şablonları
- Veri ihlali müdahale planı ve Kurul'a bildirim akışı
- Müşteri, potansiyel müşteri, çalışan ve tedarikçi aydınlatma metinleri
- Sektörel mevzuat–KVKK yükümlülük eşleme tablosu
- Otomatik karar, itiraz ve açıklama prosedürü
- Sigorta sağlık verisi erişim ve paylaşım protokolü
- Çağrı merkezi, tahsilat ve eksper veri işleyen sözleşme seti
Kimler İçin Uygun?
Bankalar ve finansal kuruluşlar
Şube ve dijital kanal işleten, kredi ve kart ürünleri yöneten kuruluşlar.
Sigorta ve emeklilik şirketleri
Sağlık beyanı ve hasar dosyası işleyen, acente ve eksper ağı bulunan şirketler.
Fintek ve ödeme kuruluşları
Açık bankacılık, dijital cüzdan ve ödeme hizmeti sunan, hızlı ürün geliştiren yapılar.
Faktoring, leasing ve varlık yönetimi
Ticari ve bireysel müşteri verisiyle çalışan, tahsilat süreçleri yürüten kuruluşlar.
İlgili Hizmetler
Bu sektörel program, aşağıdaki danışmanlık hizmetlerinin sektöre uyarlanmış birleşimidir; her biri ayrı ayrı da alınabilir.
İlgili Sektörler
Benzer veri kategorilerini işleyen ya da aynı tedarik zincirinde yer alan sektörlerin uyum sayfaları.
Sık Sorulan Sorular
Dışında değildir. Mevzuattan doğan zorunluluk, KVKK'nın saydığı hukuki sebeplerden biridir; yani veriyi işlemenizi meşru kılar ama Kanun'un diğer yükümlülüklerini ortadan kaldırmaz. Aydınlatma yapmanız, veriyi mevzuatın istediği kapsamla sınırlı tutmanız, güvenlik tedbirlerini uygulamanız ve süre dolduğunda imha etmeniz gerekir. Uygulamada en sık karşılaştığımız hata, zorunluluğun sınırsız bir toplama yetkisi gibi yorumlanmasıdır.
KVKK, kişinin yalnızca otomatik sistemlerle analiz edilmesi sonucu aleyhine bir sonucun ortaya çıkmasına itiraz etme hakkını düzenler. Bu, otomatik skorlamayı yasaklamaz; ancak kişiye itiraz edebileceği bir kanal sunulmasını ve itiraz hâlinde kararın insan tarafından yeniden değerlendirilmesini gerektirir. Ayrıca kararın hangi ana kriterlere dayandığının anlaşılabilir biçimde açıklanabilmesi gerekir; modelin tamamının ifşası değil, gerekçenin anlaşılabilirliği aranır.
Sağlık beyanları ve raporlar KVKK m.6 anlamında özel nitelikli veridir ve satış, operasyon veya çağrı merkezi ekiplerinin serbestçe erişebileceği sistemlerde tutulmamalıdır. Erişim risk değerlendirme ve hasar birimiyle sınırlandırılmalı, her erişim kayda alınmalıdır. Eksper, sağlık kuruluşu ve reasürans şirketiyle paylaşımlarda kapsam gerekli olanla sınırlanmalı ve her aktarım yazılı bir sözleşmeye bağlanmalıdır.
Mevcut ürün ilişkisinin gerektirdiği bilgilendirmeler ile pazarlama iletişimi farklıdır. İşlem geçmişinden çıkarılan davranışsal profillere dayalı ürün teklifleri, hizmetin ifası için zorunlu olmadığından açık rıza gerektirir; elektronik kanaldan gönderilecekse ayrıca ticari elektronik ileti izni aranır. İzin, hizmet alımının koşulu hâline getirilemez ve her iletide kolayca geri alınabilmelidir.
Hayır. Mali suçların önlenmesi mevzuatı, şüpheli işlem bildiriminin ilgilisine açıklanmasını yasaklar ve bu yasak KVKK'daki aydınlatma yükümlülüğünün istisnasını oluşturur. Uygulamada dikkat edilmesi gereken, bu istisnanın yalnızca bildirim sürecine özgü olduğudur; müşterinin diğer verileri hakkındaki aydınlatma ve başvuru hakları normal şekilde işlemeye devam eder. Bildirim dosyalarına erişim uyum birimiyle sınırlı tutulmalıdır.
Tutabilirsiniz; bu firma veri işleyendir ve KVKK yazılı sözleşmeyi zorunlu kılar. Sözleşme; verinin yalnızca talimatınızla işleneceğini, alt yükleniciye devrin izne bağlı olduğunu, güvenlik tedbirlerini, denetim hakkınızı, iş bitiminde iade veya imhayı ve ihlal hâlinde derhal bildirimi düzenlemelidir. Teknik tarafta ise kayıtlara erişimin rol bazlı sınırlandırılması ve erişim loglarının düzenli incelenmesi gerekir; sözleşme tek başına yeterli bir tedbir değildir.
Zorunlu veriyle fazlasını ayıralım
Müşteri edinimi, skorlama ve pazarlama süreçlerinizi paylaşın; ücretsiz ön görüşmede mevzuatın gerektirdiğini aşan veri toplamayı birlikte tespit edelim.
