Görüşme kaydı tutmanın hukuki sınırı: rıza, süre, silme

Çağrı merkezi kurmuş hemen her şirkette aynı cümle çalar: *"Bu görüşme hizmet kalitesinin artırılması amacıyla kayıt altına alınmaktadır."* Cümle doğru kurulmuş olabilir, ama tek başına kaydı meşru hale getirmiyor.

Kayıt üç ayrı soruyu birden doğurur: kaydetmeye hakkım var mı, ne kadar tutacağım, gerçekten siliyor muyum? Üçü de ayrı ayrı cevaplanmak zorunda ve üçüncüsü en çok atlanan.

Kaydın kendisi ayrı bir işleme faaliyetidir

Bir kişiyi arama hakkınızın olması, o görüşmeyi kaydetme hakkınızı doğurmaz. Aramanın dayanağı ile kaydın dayanağı ayrı ayrı kurulur. Aramanın hukuki zemini için KVKK ve İYS yazımıza bakabilirsiniz; burada kaydın kendisine odaklanıyoruz.

Kayıt söz konusu olduğunda elinizde aslında üç ayrı veri oluşuyor ve çoğu şirket bunları tek şey sanıyor:

Bu ayrımın pratik sonucu şu: hepsini aynı süre tutmak zorunda değilsiniz. Ses kaydını kısa tutup, türetilmiş analiz çıktısını daha uzun saklamak hem işinize yarar hem risk yüzeyinizi küçültür. Çoğu şirket bunun tersini yapıyor — her şeyi aynı kutuda, aynı süre, "ne olur ne olmaz" diye tutuyor.

Amaç ne kadar dar, zemin o kadar sağlam

"Kalite ve eğitim amacıyla" demek, o kaydı her işe kullanma hakkı vermez. Amaç ne kadar geniş tarif edilirse, denetimde savunması o kadar zorlaşır. Somut örnek:

• Temsilcinin performansını değerlendirmek — bildirilen amaçla uyumlu.
• Aynı kayıtlardan müşteri profili çıkarıp farklı bir ürün için pazarlama listesi kurmak — ayrı amaç, ayrı dayanak ister.
• Kayıtları bir dil modelini eğitmek için kullanmak — kesinlikle ayrı bir mesele ve genelde ayrıca rıza gerektirir.

Üçüncü madde son yıllarda en sık yapılan hata. Kayıt sizde diye, o kayıttan model eğitme hakkınız doğmuyor.

Bu yüzden hizmet sağlayıcınızla sözleşmenizde şu cümlenin bulunup bulunmadığına bakın: konuşma verisi model eğitimi için kullanılmaz. Bulunmuyorsa, varsayılan davranışın ne olduğunu sormanız gerekir.

Saklama süresi nasıl belirlenir

Mevzuat size "şu kadar gün tut" demiyor; amaç için gerekli süreyi aşmamanızı istiyor. Yani süreyi siz belirliyorsunuz ama gerekçesini de siz kuruyorsunuz.

İşleyen bir yöntem şu: süreyi, kaydın hangi somut soruyu cevaplamak için gerektiğine bakarak tespit edin.

Kendi kararımızı örnek verelim: canlı veritabanında konuşma kayıtları için 30 gün belirledik. Bu, koçluk ve kalite döngüsünün kapanması için yeterli, ama "ne olur ne olmaz" arşivi kurmaya yetmeyecek kadar kısa. Süreyi politikada yazdık ve silme işini elle değil, zamanlanmış bir görevle yürüyecek şekilde kurduk.

Herkesin unuttuğu yer: yedekler

Burası yazının en önemli bölümü. Canlı veritabanından bir kaydı silmek, o kaydı yok etmez — yedeklerde durmaya devam eder.

Şirketlerin büyük çoğunluğu günlük yedek alır ve bu yedekleri 14, 30, bazen 90 gün tutar. Yani "30 günde siliyoruz" diyen bir şirket, aslında en kötü ihtimalle 30 + yedek süresi kadar tutuyordur. Politikada bu yazmıyorsa, politika gerçeği anlatmıyordur.

Üç seçenek var ve üçü de meşru — meşru olmayan tek şey bunu hiç düşünmemek:

1. 1.Yedek süresini kısaltmak. Basit ama felaket kurtarma pencerenizi daraltır; sistemi riske atabilir.
2. 2.Yedekten seçici silme. Teknik olarak zor ve çoğu yedekleme mimarisinde pratik değil.
3. 3.Şeffaflık. Yedek süresini olduğu gibi bırakıp politikada açıkça yazmak: canlı sistemde 30 gün, şifreli yedeklerde ek 14 gün.

Biz üçüncüsünü seçtik. Yedek saklama süresini bilerek korumaya aldık, çünkü kısaltmak kurtarma penceresini daraltıyor ve bu, veri güvenliği açısından net bir kayıp. Bunun yerine süreyi metne yazdık.

Silme çalışıyor mu, nasıl bilirsiniz

Yazılmış bir politika ile çalışan bir sistem arasındaki fark, denetimde ortaya çıkar. Silmenin fiilen çalıştığını göstermenin yolu, sonucu ölçmekten geçiyor:

• Silme işi zamanlanmış mı, yoksa birinin hatırlamasına mı bağlı?
• Her çalıştığında kaç satır sildiğini kaydediyor mu?
• "Politikada belirlenen süreden eski kayıt sayısı" sorgusunu bugün çalıştırsanız sıfır mı dönüyor?
• Silme işi hata verdiğinde birine haber gidiyor mu, yoksa sessizce mi duruyor?

Son madde en kritiği. Sessizce duran bir silme görevi, hiç kurulmamış bir silme görevinden daha tehlikelidir — çünkü yanlış bir güven duygusu üretir.

Toplarsak

Görüşme kaydı, doğru kurulduğunda hem yasal hem faydalı. Yanlış kurulduğunda ise şirketin en büyük veri riski oluyor — çünkü ses kaydı, kişinin söylediği her şeyi olduğu gibi içeriyor.

Üç cümlelik özet: amacı dar tutun, süreyi gerekçesiyle belirleyin, yedekleri hesaba katın. Ve silmenin çalıştığını bir kez değil düzenli olarak ölçün.

Bir görüşmeden hangi verinin türetildiğini merak ediyorsanız: Bir görüşmeden ne çıkarılabilir?