Bilişim ve iletişim teknolojileri alanında kurulan bir üniversite araştırma merkezi, çalışmalarının doğası gereği sürekli veriyle temas eder. Merkez yönetmeliği merkezin amacını ve organlarını belirlerken, uygulamada asıl belirleyici olan soru genellikle şudur: toplanan veri kime aittir, hangi amaçla işlenmektedir ve kim sorumludur?
Yönetmelik Neyi Düzenler, Neyi Düzenlemez
Yönetmelik; merkezin faaliyet alanını, müdür ve yönetim kurulunun görevlerini, çalışma gruplarının oluşumunu ve merkezin üniversite içindeki konumunu belirler. Buna karşılık veri işleme, gizlilik ve fikri hak paylaşımı gibi konular çoğunlukla proje sözleşmeleri ve kurum içi politikalarla düzenlenir. Bu ayrımın farkında olmamak, yönetmelikte bulunmayan bir konuda yetkiyi varsaymaya yol açar.
Araştırma Verisi ve Kişisel Veri Ayrımı
Ağ trafiği, kullanıcı davranışı veya sensör kayıtları üzerinde yürütülen çalışmalarda, verinin bir kişiyle ilişkilendirilebilir olması hâlinde 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamındaki yükümlülükler devreye girer. Bu durumda aydınlatma yapılması, işleme şartının belirlenmesi, veri minimizasyonu ve saklama süresinin sınırlandırılması gerekir. Anonimleştirmenin gerçekten geri döndürülemez olup olmadığı ise teknik olduğu kadar hukuki bir değerlendirmedir.
Proje Sözleşmesinde Netleştirilecek Başlıklar
- Veri setinin kaynağı, aktarım biçimi ve proje bitiminde ne olacağı
- Yayın hakkı ile ticari kullanım hakkının birbirinden ayrılması
- Ortaya çıkan yazılım ve buluş üzerindeki hakların paylaşımı ve lisans koşulları
- Gizlilik yükümlülüğünün süresi ve istisnaları
- Test ortamında elde edilen sonuçların üçüncü kişilere karşı bağlayıcı olmadığına dair sınırlama
Sorumluluk Doğuran Tipik Durumlar
- Görevlendirme yazısı olmadan merkez adına yürütülen çalışma.
- Etik kurul onayı gerektiren bir araştırmanın onay alınmadan başlatılması.
- Öğrenci ve bursiyerlerin katkısının, hak paylaşımında hiç değerlendirilmemesi.
- Sunucu ve laboratuvar erişim yetkilerinin proje bitiminde geri alınmaması.
Kayıt Düzeni Bir Savunma Aracıdır
Bir veri ihlali iddiası veya hak talebi gündeme geldiğinde, merkezin elinde tarihli karar defteri, erişim logları, sözleşme nüshaları ve görevlendirme yazıları bulunması belirleyici olur. Belge düzeni, yalnızca denetim için değil, iyi niyetin ve özenin gösterilmesi bakımından da işlevseldir.
Burada anlatılanlar genel bir çerçeve sunar. Merkezinizin bağlı olduğu üniversitenin iç düzenlemeleri ve projenin niteliği farklı sonuçlar doğurabileceğinden, sözleşme imzalanmadan önce konuya özgü hukuki değerlendirme alınmasında yarar vardır.