Üniversite bünyesinde kurulan yapay zeka ve veri bilimi merkezleri, yönetmelikle belirlenen amaç ve faaliyet alanları çerçevesinde araştırma yürütür. Bu merkezlerin faaliyetleri veri işlemeyi zorunlu kıldığından, yönetmeliğin kurumsal düzenlemesi ile 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun getirdiği yükümlülükler birlikte değerlendirilmelidir.
Merkezin Kurumsal Yapısı ve Sorumluluk
- Yönetim organları: Müdür, yönetim kurulu ve danışma kurulunun görev sınırları yönetmelikte belirlenir.
- Faaliyet alanı: Yönetmelikte sayılan faaliyetler dışına çıkan projeler, kurumsal dayanaktan yoksun kalır.
- Veri sorumlusu sıfatı: Kişisel veri işleyen projelerde veri sorumlusu genellikle üniversite tüzel kişiliğidir; merkez, işleme faaliyetini yürüten birim konumundadır.
Araştırma Projelerinde Veri Uyumu
- Projede işlenecek veri kategorilerini önceden belirleyin; özel nitelikli veri varsa ayrı bir hukuki dayanak gerekir.
- Verinin hangi hukuki sebebe dayanarak işlendiğini yazılı olarak kayda geçirin; açık rıza tek yol değildir ancak seçilen sebep gerekçelendirilmelidir.
- Aydınlatma yükümlülüğünü veri konusu kişilere, veri elde edilmeden önce yerine getirin.
- Anonimleştirme ya da takma adlandırma uygulanacaksa, yöntemin geri döndürülebilir olup olmadığını teknik olarak değerlendirin.
- Veri saklama sürelerini proje takvimiyle uyumlu belirleyin; süresiz saklama uyum riskini artırır.
Etik Kurul ile Hukuki Uyum Aynı Şey Değildir
Etik kurul onayı, araştırmanın bilimsel ve etik uygunluğunu değerlendirir; kişisel verilerin korunması mevzuatına uygunluğu ayrıca sağlanmalıdır. Etik onay alınmış olması, aydınlatma yükümlülüğünü veya veri güvenliği tedbirlerini ortadan kaldırmaz. Bu iki süreç paralel yürütülmelidir.
Dış Paydaşlı Projelerde Dikkat Edilecekler
- Sanayi iş birliklerinde verinin kimin kontrolünde olduğu sözleşmeyle netleştirilmelidir.
- Yurt dışına veri aktarımı söz konusuysa, aktarımın hukuki temeli önceden kurulmalıdır.
- Veri işleyen sıfatıyla hizmet alınan taraflarla yazılı sözleşme yapılmalı, güvenlik tedbirleri sözleşmede sayılmalıdır.
- Proje çıktısı model veya veri kümesi paylaşılacaksa, paylaşımın kapsamı baştan sınırlandırılmalıdır.
Bu içerik genel bilgilendirme sunar. Veri koruma mevzuatı ve kurumsal yönetmelikler değiştiğinden, yürütülecek proje için yürürlükteki düzenlemeler çerçevesinde ayrıca hukuki değerlendirme alınması önerilir.