Ek I — Dört kurumda bütünleşik olay çözümleri

Aşağıdaki olaylar kurgu niteliğindedir. Her birinde sonuç, açıklanan varsayımlara bağlıdır; kurumun türü tek başına bütün işlemlere hukuki sebep sağlamaz. İnceleme sırası bilgi ve kişi, amaç, aktör, işleme şartı, aktarım, tedbir, süre ve haklardır. Bu sıra, birden çok işlemin aynı dosyada bulunmasına rağmen ayrı gerekçelendirilmesini sağlar.¹

Üniversite: dilekçenin sınıflandırılması ile ret kararı

Bir üniversite, öğrencilerin ders değişikliği dilekçelerini bir yazılımla ilgili birime yönlendirsin. Daha sonra aynı yazılımın “reddedilmeli” puanını görevlinin dosyayı okumadan onayladığı anlaşılsın. İlk işlemin amacı idari yönlendirme, ikincisinin sonucu ise öğrenci talebinin reddidir. İdarenin eğitim hizmetini yürütmesi, bu iki işleme aynı gerekçenin verilmesi için yeterli değildir. Somut görev ve yetki dayanağı, gerekli veri alanları ve kullanılan yöntemin kişiye etkisi belirlenmelidir.

Çözüm, yalnız imza ekranına insan eklemek değildir. Dosyayı değerlendiren görevlinin dilekçeye ve dayanak belgelere erişmesi, öneriden ayrılabilmesi, itirazı incelemesi ve gerçek gerekçeyi açıklaması gerekir. Münhasıran otomatik analiz sonucunda aleyhe bir sonuca itiraz hakkı, bu kurguda özellikle önem taşır. Hız ve tutarlılık güçlü bir karşı gerekçedir; ancak yanlış yönlendirme düzeltilebilirken gerekçesiz otomatik ret öğrencinin başvurusunu sonuçsuz bırakabilir. Bu nedenle sınıflandırma hizmeti ile nihai kararın koşulları ayrı sınanır.²

Uygulamada dilekçedeki sağlık ekinin yönlendirme sağlayıcısına bütünüyle gönderilmesi gerekmeyebilir. Özel kategori, alıcı rolü ve dış erişim ayrıca incelenir. Öğrenciye yalnız “sistem reddetti” denilmesi, veri kaynağı ve yanlışlığın düzeltilmesi sorularını karşılamaz. Kurum önce iş akışını ve yetkili incelemeyi düzeltmeli; veri talebini de kendi usulünde cevaplamalıdır. Eğitimdeki özel meseleler 27. bölümde, otomatik analiz 30. bölümde açıklanmıştır.

Küçük işletme: sipariş kaydı ile sürekli izleme

Örnek Atölye, müşterinin istediği ürünü hazırlamak ve teslim etmek için ad, iletişim ve sipariş bilgisini tutsun. Aynı işletme, hırsızlığı önlemek amacıyla bütün ziyaretçilerin parmak izini toplamayı da düşünsün. Siparişin ifası için gerekli kayıt, sözleşmeyle doğrudan ilişki üzerinden değerlendirilebilir. Güvenlik için düşünülen biyometrik işlem ise ayrı amaç, özel kategori ve zorunluluk sorunu doğurur. Bir siparişin varlığı, ziyaretçinin parmak izini almaya sebep sağlamaz.³

İşletmenin malını koruma menfaati ciddidir. Bununla birlikte özel nitelikli veriye genel meşru menfaat şartı doğrudan uygulanamaz; yeni 6. maddedeki bir şartın bulunması gerekir. Daha az müdahaleli tedbirler değerlendirilmeden rızayı giriş koşuluna dönüştürmek de çözüm değildir. İşletmenin küçük olması, yükümlülüklerin yokluğunu göstermez. Sicil istisnası ayrıca H01 koşullarıyla ele alınır.

Bu kurguda sipariş için gerekli kayıt tutulur; biyometrik giriş önerisi mevcut gerekçeyle uygulanmaz. Saklama kararı da dosya adına göre verilmez: teslimata ilişkin operasyonel ihtiyaç ile ispat için gerekli kayıt ayrılır; uygulanabilir kanuni süre belirlenmeden rastgele yıl sayısı yazılmaz. Ek C değerlendirme kaydını, Ek D bu ayrımı faaliyet matrisinde gösterir.

Sağlık kuruluşu: tedavi dosyası ile yeni modelin eğitimi

Bir sağlık kuruluşunun tedavi amacıyla tuttuğu hasta dosyalarını, kendi genel amaçlı tanı modelini geliştirmek üzere dış şirkete göndermek istediği varsayılsın. Hastanın tedavisi, kuruluşun her sonraki veri kullanımını kapsayan tek bir amaç değildir. Sağlık verisinin işlenmesinde yeni 6/3-e hükmünün amaç ve kişi/kurum koşulları somutlaştırılır. Tedaviye verilen onam, bu şartların veya başka bir amaç için gerekli veri işleme değerlendirmesinin yerine konulamaz.⁴

Model geliştirme sağlık hizmetini iyileştirebilir; bu, dikkate alınması gereken güçlü bir gerekçedir. Fakat dosyaların şirkete verilmesinin kapsamı, şirketin kendi amacı ve ilerideki kullanımı ayrıca incelenir. Şirketin yalnız talimatla işleyip işlemediği, verinin dış erişime açılıp açılmadığı ve gerekli özel veri şartı bilinmeden paylaşım uygun ilan edilemez. Kod kullanılması da kod anahtarı ve diğer bağlantılar sürerken anonimlik sonucunu tek başına doğurmaz.

Kurgunun verileriyle verilebilecek sonuç, tedavi dosyasının bütününü dışarı göndermeye başlanmamasıdır. Önce amaç, gerçek anonimleştirme imkânı, özel şart, rol ve aktarım koşulları belirlenmelidir. Bu olay bir klinik araştırmanın özel izin ve onam rejimini çözmez; klinik araştırma olduğu ayrıca saptanırsa özel mevzuat incelemesi gerekir. Genel sağlık uygulaması 24. bölümde, kavram ayrımı 2.6 ve imha sonucu 14.5’te yer alır.

Hukuk bürosu: savunma için dosya kullanımı ile dış yapay zekâ hizmeti

Bir hukuk bürosu müvekkilinin alacak davası için yazışma ve sağlık belgesi içeren bir dosyayı incelemektedir. Avukatın davayı hazırlarken dosyayı kullanması ile tamamını genel amaçlı bir yapay zekâ hizmetine yüklemesi iki ayrı işlemdir. Bir hakkın tesisi, kullanılması veya korunması için gerekli işleme şartı, gerekli olmayan kişilerin bütün bilgilerinin her alıcıya verilmesini haklı kılmaz. Özel kategoride yeni 6. maddenin ilgili şartı ayrıca değerlendirilir.⁵

Çeviri ve belge inceleme yardımının mesleki iş yükünü azaltması güçlü bir ihtiyaçtır. Bununla birlikte bu ihtiyaç, hizmet sağlayıcının bağımsız model eğitimi amacına veya belirsiz dış erişime otomatik olarak genişletilemez. Büro; kullanılacak belge bölümünü, kimliklerin azaltılmasını, sözleşmedeki ve gerçek faaliyetteki rolü, kayıt ve silme imkânını incelemelidir. Müvekkilin genel kabul beyanı, dosyadaki karşı taraf ve tanıkların bilgileri bakımından bütün soruları cevaplamaz.

Bu nedenle kurguda toplu yükleme yapılmaz; gerekli bölümün ayrılması ve uygun hizmet koşullarının doğrulanması üzerinde çalışılır. Yurt dışı akış varsa Ek F, büro güvenliği ve meslek sırrı bakımından 29. bölüm birlikte uygulanır. Dosyanın mahkemede bulunması da büronun her faaliyetini yargısal faaliyet istisnasına dönüştürmez; 28. maddenin ilgili koşulları ve aktörü ayrı incelenir.

Ekler