Spor Kulüpleri ve Spor Okulları İçin KVKK Rehberi: Çocuk ve Veli Verisi

Kısa cevap: Spor kulüpleri ve spor okulları, sporcu ve veli bilgilerini işlediği için KVKK kapsamında veri sorumlusudur. Kayıt sırasında veliye aydınlatma metni sunmak, fotoğraf paylaşımı gibi zorunlu olmayan işlemler için velinin açık rızasını almak, sağlık raporu gibi özel nitelikli verileri sıkı korumak, verileri yalnız yetkili kişilerin görebileceği bir sistemde tutmak ve olası bir ihlali 72 saat içinde Kurul'a bildirmek temel yükümlülüklerdir.

Spor kulüpleri çocuklarla çalışır ve çocukların verisi, veliler için en hassas konulardan biridir. Buna rağmen birçok kulüpte sporcu listeleri WhatsApp gruplarında dolaşır, sağlık raporları telefon galerilerinde durur, maç fotoğrafları izinsiz paylaşılır. Bu rehber, kulüplerin KVKK'ya uyum için atması gereken pratik adımları anlatıyor.

Kulüp hangi verileri işliyor?

• Kimlik ve iletişim: sporcunun adı, doğum tarihi, velinin adı ve telefonu
• Sportif bilgiler: grup, pozisyon, yoklama, maç ve gelişim kayıtları
• Mali bilgiler: aidat, ödeme ve dekontlar
• Görsel kayıtlar: antrenman ve maç fotoğrafları, videolar
• Sağlık bilgileri: sağlık raporu, kan grubu, alerji, sakatlık bilgisi

Son madde özellikle önemlidir: sağlık verileri, KVKK'nın 6. maddesinde sayılan özel nitelikli kişisel verilerdendir ve diğer verilere göre daha sıkı korunmalıdır.

1. Aydınlatma metni: kayıtta veliye bilgi verin

KVKK'nın 10. maddesine göre veriyi toplarken kişiye; verinin hangi amaçla işlendiğini, kimlere aktarılabileceğini, hangi hukuki sebebe dayandığını ve haklarını anlatmanız gerekir. Çocuk sporcular için bu bilgilendirme veliye yapılır. Aydınlatma metni kayıt formunun bir parçası olmalı ve velinin okuduğu kayıt altına alınmalıdır.

2. Açık rıza: zorunlu olmayan işlemler için

Yoklama ve aidat gibi kayıt ilişkisinin gereği olan işlemler için ayrıca açık rıza gerekmeyebilir. Ancak şu işlemler genellikle velinin açık rızasını gerektirir:

• Çocuğun fotoğraf ve videolarının sosyal medyada ya da web sitesinde paylaşılması
• Tanıtım ve reklam amaçlı kullanım
• Kanunda sayılan diğer şartlar yoksa özel nitelikli verilerin işlenmesi

Açık rıza belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilmiş olmalıdır. Veli rızasını istediği zaman geri alabilir; geri alındığında paylaşım durdurulmalıdır.

3. WhatsApp grupları ve Excel dosyaları: en büyük risk

Kulüplerdeki veri ihlallerinin çoğu kötü niyetten değil, alışkanlıktan doğar:

• Tüm sporcuların telefon ve doğum tarihlerini içeren listeler veli gruplarına atılır.
• Sağlık raporları antrenörlerin kişisel telefonlarında kalır.
• Excel dosyaları e-posta ile dolaşır, ayrılan antrenörün bilgisayarında kalır.

KVKK'nın 12. maddesi, veri sorumlusunun verilerin hukuka aykırı erişimini önlemek için uygun teknik ve idari tedbirleri almasını ister. Pratikte bu; verilerin yetki seviyeli bir sistemde tutulması, antrenörün yalnız kendi grubunu görmesi, ayrılan personelin erişiminin kapatılması ve verilerin kişisel cihazlara dağılmaması demektir.

4. Veriyi kim saklıyor? Yazılım sağlayıcınızın rolü

Kulübün kullandığı bir yönetim yazılımı varsa, yazılım sağlayıcısı genellikle veri işleyen konumundadır, kulüp ise veri sorumlusudur. Bu ilişkinin bir veri işleme sözleşmesiyle yazılı hale getirilmesi gerekir: veriler hangi amaçla işlenecek, nasıl korunacak, hizmet bitince iade mi edilecek silinecek mi. Verilerin yurt dışındaki sunucularda tutulması ayrıca yurt dışına aktarım kurallarını gündeme getirebilir; sağlayıcınıza sunucuların nerede olduğunu sorun.

5. Saklama süresi ve imha

Veriler, işlenme amacı için gereken süre kadar saklanmalıdır. Kulüpten ayrılan bir sporcunun verilerinin ne kadar süre tutulacağı, yasal saklama yükümlülükleri (ör. mali kayıtlar) göz önünde bulundurularak belirlenmeli ve süre dolunca veriler silinmeli ya da anonim hale getirilmelidir.

6. Veri ihlali olursa

Kişisel Verileri Koruma Kurulu'nun kararına göre bir veri ihlali, veri sorumlusunun öğrendiği andan itibaren en geç 72 saat içinde Kurul'a bildirilmelidir. Etkilenen kişilere de makul sürede haber verilmelidir. Bir telefonun kaybolması ya da bir listenin yanlış gruba gönderilmesi de ihlal sayılabilir.

Kulüpler için KVKK kontrol listesi

1. Kayıt formunda aydınlatma metni var mı, veli okuduğunu onaylıyor mu?
2. Fotoğraf ve tanıtım paylaşımları için ayrı açık rıza alınıyor mu?
3. Sağlık bilgileri yalnız yetkililerin erişebildiği bir yerde mi?
4. Sporcu listeleri WhatsApp gruplarında paylaşılıyor mu?
5. Antrenörler yalnız kendi gruplarının verisini mi görüyor?
6. Ayrılan personelin erişimi kapatılıyor mu?
7. Yazılım sağlayıcıyla veri işleme sözleşmesi var mı?
8. Saklama süreleri belirlenmiş mi?
9. İhlal durumunda kimin ne yapacağı belli mi?
10. VERBİS kayıt yükümlülüğünüzü ve istisnaları kontrol ettiniz mi?

KVKK uyumunu kolaylaştıran yazılım

ALSIFT'in geliştirdiği Spor Okulu Yönetim Sistemi, kulübe özel aydınlatma ve açık rıza metinlerini hazır getirir, velinin onayını kayıt altına alır, antrenörlerin yalnız kendi gruplarını görmesini sağlar ve sağlık ile mali bilgileri yetki seviyeleriyle korur. Kulüplerle veri işleme protokolü imzalıyoruz. Sistemi etkileşimli demoda deneyebilirsiniz.

Bu yazı genel bilgilendirme amaçlıdır, hukuki görüş değildir. Kulübünüze özel durumlar için bir hukukçuya danışmanızı öneririz.