Spor Okullarında KVKK: Açık Rıza ve Sağlık Verisi

Bir spor okulu, farkında olmadan hassas veri toplayan bir kurumdur. Kayıt formunda çocuğun doğum tarihi vardır, velinin telefonu vardır, çoğu zaman "kronik hastalığı var mı, ilaç kullanıyor mu, alerjisi var mı" soruları vardır. Antrenörün telefonunda üç yıllık maç fotoğrafı, WhatsApp'ta yedi ayrı veli grubu, bir de kimsenin nereden geldiğini hatırlamadığı bir Excel dosyası durur.

Bunların hepsi kişisel veridir; sağlıkla ilgili olanlar ise 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun özel nitelikli dediği, korunması daha ağır şartlara bağlı veridir. Üstelik veri sahibi çocuktur — yani rızayı veren de veli olur.

Bu yazı hukuki görüş değil; sahada uygulanabilir bir düzen önerisidir. Sözleşme ve metin tarafında bir avukatla çalışmak, bu düzenin yerine değil üstüne gelir.

Önce iki kavramı ayıralım: aydınlatma ve açık rıza

En sık yapılan hata, ikisini tek bir kâğıtta birleştirmektir.

Aydınlatma yükümlülüğü her durumda vardır. Veliye kim olduğunuzu, hangi veriyi topladığınızı, neden topladığınızı, kimlerle paylaştığınızı ve ne kadar sakladığınızı söylersiniz. Bunun için rıza istemezsiniz; bilgilendirmek zorunlu bir görevdir.

Açık rıza ise ayrı bir şeydir ve her veri için gerekmez. Aidat tahsil etmek için velinin adını ve telefonunu tutmanız sözleşmenin ifasıyla ilgilidir; bunun için ayrıca rıza almanız gerekmez. Ama çocuğun sağlık bilgisini tutmak, fotoğrafını sosyal medyada yayınlamak, tanıtım amaçlı mesaj göndermek — bunlar rızaya bağlıdır.

Kanunun aradığı açık rızanın üç niteliği var: belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilmiş olmalı. Pratikte bu şu demek:

Tek bir "her şeyi kabul ediyorum" kutucuğu yeterli değildir. Sağlık verisi ayrı, fotoğraf ayrı, ticari mesaj ayrı onay ister.
Rıza vermeyen veliye hizmeti reddederseniz o rıza özgür iradeyle verilmiş sayılmaz. Çocuğun kulübe kaydı, fotoğrafının paylaşılmasını kabul etmesine bağlanamaz.
Rıza geri alınabilir. Veli "artık çocuğumun fotoğrafını paylaşmayın" dediğinde bunun uygulanabilir bir karşılığı olmalı.

Sağlık verisi: en az veriyi, en dar erişimle

Çocuğun kronik hastalığını, kullandığı ilacı ve alerjisini bilmek sahada gerçek bir ihtiyaçtır. Astım krizi geçiren ya da fıstık alerjisi olan bir çocuğun antrenörü bunu bilmek zorundadır. Yani soru "toplamalı mıyız" değil, "nasıl toplamalıyız".

Üç kural işi büyük ölçüde çözer:

Az toplayın. Sahada bir karar değiştirmeyecek hiçbir sağlık bilgisini istemeyin. Tanı geçmişinin tamamı değil, acil durumda gereken bilgi yeterlidir.

Erişimi rolle sınırlayın. O çocuğun antrenörü ve kulüp yönetimi görsün; muhasebeyle ilgilenen kişi görmesin. "Herkes her şeyi görüyor" düzeni, ihlalin en yaygın biçimidir ve genelde kötü niyetle değil, kolaylık olsun diye kurulur.

Nerede durduğunu bilin. Sağlık verisi antrenörün kişisel telefonunda bir not uygulamasında duruyorsa, o telefon kaybolduğunda ne olacağının cevabı yoktur. Verinin şifreli saklandığı, kimin ne zaman baktığının kayda geçtiği bir yer gerekir — sistem içinde tutulmasının asıl sebebi budur, düzen değil sorumluluktur.

Sağlık belgesi çoğu kulüpte aynı zamanda bir lisans evrakıdır; bu belgelerin nasıl toplandığını, nerede durduğunu ve süresinin nasıl takip edildiğini sporcu lisansı yazımızda ayrıca anlattık.

Kâğıt form da bir veri deposudur

Kayıt formlarının fotokopisi ofiste bir klasörde duruyorsa o klasör kilitli olmalıdır. Sezon sonunda çuvala doldurup depoya kaldırılan formlar, dijital bir sızıntıdan daha kolay ihlale dönüşür.

Fotoğraf ve sosyal medya

Çocuk fotoğrafı, spor okullarının en doğal pazarlama malzemesi ve en sık yapılan hatanın kaynağıdır. Uygulanabilir düzen şudur:

Kayıt sırasında ayrı bir görsel kullanım onayı alın; onay veren ve vermeyen listesini tutun.
Onay vermeyen bir çocuk kadro fotoğrafındaysa o kare paylaşılmaz. "Arka planda kalmış" savunması işe yaramaz.
Paylaşımda çocuğun tam adını, doğum tarihini ve okulunu birlikte yazmayın. Tek başına zararsız görünen bilgiler bir araya geldiğinde bir çocuğun günlük rutinini tarif eder.
Onay geri alınabilir; geri alındığında eski paylaşımların kaldırılabilir olması gerekir.

WhatsApp grupları: en görünmez ihlal

Veli gruplarında herkesin telefon numarası herkese açıktır. Bir veli grubunu kurarken aslında tüm velilerin iletişim bilgisini birbirleriyle paylaşmış olursunuz — ve bunun için kimseye sormamışsınızdır.

Pratik çözüm, duyuruları gruptan değil toplu ama bireysel mesajla yapmaktır: mesajı herkes alır, kimse diğerinin numarasını görmez. Grup gerekiyorsa "yalnızca yöneticiler yazabilir" ayarı hem gürültüyü hem veri paylaşımını azaltır. Bir de şu kural iyi çalışır: çocuğun sağlığı, borcu ve performansıyla ilgili hiçbir şey gruba yazılmaz. Bunlar birebir konuşulur.

Ne kadar saklamalı, ne zaman silmeli

Veriyi süresiz saklamak, KVKK'nın en çok atlanan yükümlülüklerinden biridir. Kulüpten üç yıl önce ayrılmış bir çocuğun sağlık bilgisini hâlâ tutuyorsanız, o veri artık bir varlık değil bir risktir.

Basit bir saklama politikası kurun: hangi veri, ne kadar süreyle, hangi sebeple saklanıyor ve süre dolunca ne oluyor. Mali kayıtların yasal saklama süreleri farklıdır; sağlık verisi ve fotoğraf için ise süreyi siz belirlersiniz. Sezon sonu kapanış işlerine "ayrılan sporcuların özel nitelikli verilerinin silinmesi" satırını eklemek, yılda bir kez yapılan on dakikalık bir iştir.

Kulüp için asgari kontrol listesi

Aydınlatma metni var mı, veliye kayıt anında veriliyor mu?
Sağlık verisi, fotoğraf ve ticari mesaj için ayrı onaylar alınıyor mu?
Onay veren/vermeyen listesi güncel mi, geri alma nasıl işliyor?
Sağlık verisini kimler görebiliyor? Ayrılan antrenörün erişimi kapatıldı mı?
Veriler nerede duruyor: sistemde mi, birinin telefonunda mı, ortak bir sürücüde mi?
Ayrılan sporcuların verisi için bir silme takvimi var mı?

Bu listeye "hayır" cevabı çıkması normaldir; hiç bakmamış olmak normal değildir. KVKK uyumu bir belge işi değil, bir işletme alışkanlığıdır: veriyi kimin girdiği, kimin gördüğü ve ne zaman silindiği belliyse zaten büyük ölçüde uyumlusunuzdur. Tennumber'da sağlık adımının kayıt sihirbazında ayrı durması ve erişimin rolle sınırlanması da tam olarak bu alışkanlığı kolaylaştırmak içindir — ama asıl iş, kulübün kendi düzenini kurmasıdır. Somut olarak: aydınlatma metni ve açık rıza kayıt sırasında sürüm ve tarih damgasıyla kayda geçer; kronik rahatsızlık, ilaç, alerji ve sakatlık geçmişi alanları şifreli saklanır ve yalnız yetkili roller açar; sporcu belgeleri de sunucuda şifrelidir. Veli yalnız kendi çocuğunun verisini görür. Grup yerine "toplu ama bireysel" duyuru için de WhatsApp mesajları kişiye özel ve akademinin kendi numarasından gider — kimse diğer velinin numarasını görmez. KVKK tarafında soru işaretleriniz varsa kısa bir demo görüşmesinde kayıt akışını ekranda birlikte inceleyebiliriz.

Sık Sorulan Sorular

Spor okulunda veli açık rızası hangi veriler için gerekir?

Aidat için velinin adını ve telefonunu tutmak sözleşmenin ifasıdır, ayrıca rıza gerektirmez. Çocuğun sağlık bilgisini saklamak, fotoğrafını sosyal medyada paylaşmak ve tanıtım mesajı göndermek ise açık rızaya bağlıdır ve her biri için ayrı onay alınmalıdır.

Aydınlatma metni ile açık rıza aynı şey mi?

Hayır. Aydınlatma, hangi verinin neden toplandığını ve ne kadar saklandığını veliye bildirme yükümlülüğüdür ve her durumda vardır. Açık rıza ise belirli bir konu için, bilgilendirmeye dayalı ve özgür iradeyle verilen onaydır; tek bir "her şeyi kabul ediyorum" kutucuğu yeterli değildir.

Sporcu sağlık verisi nasıl saklanmalı?

Az toplanmalı (sahada karar değiştirmeyecek bilgi istenmemeli), erişim rolle sınırlanmalı (o çocuğun antrenörü ve yönetim görmeli) ve nerede durduğu bilinmeli. Antrenörün kişisel telefonundaki not uygulaması ya da kilitsiz klasördeki kâğıt form uygun bir yer değildir.

Veli WhatsApp grubu KVKK'ya aykırı mı?

Grup kurmak, tüm velilerin telefon numarasını birbirleriyle paylaşmak anlamına gelir ve bunun için genelde kimseye sorulmamıştır. Duyuruları toplu ama bireysel mesajla göndermek, grup gerekiyorsa "yalnızca yöneticiler yazabilir" ayarı kullanmak ve sağlık, borç, performans konularını gruba hiç yazmamak riski büyük ölçüde azaltır.