Yapay zekâ ve veri bilimi alanında kurulan üniversite araştırma merkezleri, klasik akademik birimlerden farklı olarak büyük ölçekli veri işleme faaliyeti yürütür. Bu durum, merkez yönetmeliğinin yanında kişisel verilerin korunması mevzuatını da denklemin içine sokar. Aşağıda, bu iki katmanın birlikte nasıl yönetileceği ele alınmaktadır.
Merkezin Faaliyet Alanı ve Sınırları
Yönetmelikte sayılan faaliyet konuları, merkezin yetki çerçevesini oluşturur. Merkez, yönetmelikte öngörülmeyen bir alanda bağımsız olarak ticari faaliyet yürütemez; üniversite dışı iş birlikleri kural olarak rektörlük onayı ve ilgili mevzuata uygun sözleşmelerle yapılır.
Veri Sorumlusu Kimdir?
Araştırma projelerinde en sık atlanan nokta, kişisel verilerin işlenmesinde veri sorumlusunun kim olduğudur. Uygulamada veri sorumlusu genellikle merkez değil, tüzel kişiliği bulunan üniversitedir. 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında:
- İşleme faaliyetinin hukuki sebebi önceden belirlenmeli ve kayda geçirilmelidir.
- Aydınlatma yükümlülüğü, veri elde edilmeden önce yerine getirilmelidir.
- Özel nitelikli veri işlenecekse ek koruma tedbirleri gündeme gelir.
- Veri işleme faaliyetinin sicil kaydına yansıtılması gerekebilir.
Anonimleştirme ve Araştırma İstisnası Yanılgısı
"Akademik araştırma" olması tek başına her işlemeyi hukuka uygun hâle getirmez. Gerçek anlamda anonim hâle getirilmiş veri Kanun kapsamı dışında kalır; ancak yeniden kimliklendirilebilen takma adlı veri hâlâ kişisel veridir. Bu ayrımın proje başlangıcında teknik olarak belgelenmesi, sonradan yapılacak incelemelerde belirleyici olur.
Model, Yazılım ve Yayın Üzerindeki Haklar
- Proje sözleşmesinde eser ve buluş haklarının kime ait olacağı açıkça yazılmalıdır.
- Dış paydaşla yürütülen çalışmalarda kaynak kod ve eğitim verisi üzerindeki kullanım lisansı ayrıca düzenlenmelidir.
- Üniversitenin fikrî mülkiyet yönergesi ile proje sözleşmesi arasında çelişki bırakılmamalıdır.
- Yayın sırası ve gizlilik süresi konusu baştan karara bağlanmalıdır.
Uyuşmazlık Çıktığında
Merkez kararlarına karşı üniversite içi başvuru yolları tüketilirken, idari işlem niteliğindeki kararlar için yargısal süreler de takip edilmelidir. Veri ihlali iddiası söz konusuysa ayrıca ilgili kuruma başvuru gündeme gelir ve bu süreç idari davadan bağımsız işler.
Aktarılanlar genel çerçeve niteliğindedir; proje türüne, veri kaynağına ve taraflara göre değişen ayrıntılar için sözleşme metinlerinizle birlikte hukuki değerlendirme yaptırmanız önerilir.