Veri analizi uygulama ve araştırma merkezleri, akademik çalışmalar için toplanan verinin işlendiği birimlerdir. Osmaniye Korkut Ata Üniversitesi Veri Analizi Uygulama ve Araştırma Merkezi Yönetmeliği merkezin görev alanını çizerken, işlenen veri kişisel nitelik taşıdığında devreye 6698 sayılı Kişisel Verilerin Korunması Kanunu girer. Bu rehber, riski işlem öncesinde azaltmaya odaklanır.
Veri Kişisel mi, Anonim mi?
Ayrımın pratik ölçütü şudur: kayıtlar tek başına ya da başka verilerle birleştirildiğinde belirli bir kişiye ulaşılabiliyorsa, veri hâlâ kişisel veridir. Yalnızca ad ve soyadın silinmesi anonimleştirme sayılmaz; kurum, tarih, konum ve nadir görülen özelliklerin birleşimi kimliği yeniden ortaya çıkarabilir. Bu nedenle anonimleştirmenin geri döndürülemez olduğu ayrıca değerlendirilmelidir.
İşleme Öncesi Kontrol Listesi
- Hangi veri kategorileri toplanıyor ve her biri araştırma amacı için gerçekten gerekli mi?
- İşleme hangi hukuki sebebe dayanıyor; açık rıza mı alınacak, başka bir şart mı var?
- Aydınlatma metni veri sahibine, veri toplanmadan önce ulaştırılıyor mu?
- Sağlık ve benzeri özel nitelikli veriler için ek koruma önlemleri tanımlanmış mı?
- Saklama süresi ve süre sonunda imha yöntemi yazılı olarak belirlenmiş mi?
Paylaşım ve Yurt Dışı Aktarım
Ortak projelerde veri başka kurum veya araştırmacılarla paylaşılabilir. Bu durumda tarafların rolleri (veri sorumlusu mu, veri işleyen mi) yazılı olarak belirlenmelidir. Bulut hizmeti kullanımı, sunucunun bulunduğu yere göre yurt dışı aktarım sonucunu doğurabilir; bu ihtimal proje başında değerlendirilmezse sonradan düzeltmek zorlaşır.
İhlal Anında Refleks
Yetkisiz erişim veya veri sızıntısı fark edildiğinde, önce olayın kapsamı belirlenir: hangi kayıtlar, kaç kişi, hangi zaman aralığı. Kanun, ihlalin ilgili kişiye ve Kurula bildirilmesini öngörür. Bu aşamada olayın tespit anına ilişkin iç kayıt tutulması, sonraki değerlendirmede kurumun lehine bir unsurdur.
Belge Düzeni
- Aydınlatma metni ve rıza kayıtlarını proje dosyasında tutun.
- Erişim yetkilerini kişi bazında listeleyin ve dönemsel gözden geçirin.
- Saklama/imha takvimini yazılı hâle getirin.
- Paylaşım yapılan her tarafla ilişkiyi sözleşmeyle tanımlayın.
Yukarıdaki liste genel bir uyum çerçevesidir. Her araştırma projesinin veri seti farklı riskler taşıdığından, çalışma tasarlanırken hukuki değerlendirme alınması önerilir.