KVKK Gözüyle Yorum Cevabı: Müşterinin Adı, Sipariş Ayrıntısı Ve Sağlık Bilgisi Cevapta Yazılır Mı?

Serinin ilk yazısında cevabın nasıl aleyhe delil olabileceğine, ikincisinde cevapsızlığın maliyetine bakmıştık. Bu yazının konusu cevabın içine ne yazılacağı: hangi bilgi müşteriye aittir, hangisi sizin kayıtlarınızdan gelir ve ikisi arasındaki çizgi nerede durur.

Yorum cevabı neden bir veri işlemesidir

Kişisel Verilerin Korunması Kanunu’nun 3. maddesi kişisel veriyi “kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi” diye tanımlar. Yorumu yazan kişi, adı ekranda duran gerçek bir kişidir. O kişi hakkında cevaba yazdığınız her cümle, yani ne zaman geldiği, ne yediği, ne ödediği, kiminle geldiği, neyden şikâyet ettiği, bu tanımın içindedir. Cevap da herkese açık yayımlandığı için işleme değil, üstelik aktarım niteliğinde bir yayındır.

Kanun’un 4. maddesi her işlemeye dört ölçü koyar: hukuka uygunluk, doğruluk, belirli ve meşru amaç, amaçla sınırlı ve ölçülü olma. Yorum cevabının meşru amacı bellidir: müşteriye ve onu okuyanlara işletmenin karşılığını vermek. Bu amaç için müşterinin hesap tutarını, oturduğu masayı ya da telefon numarasını yazmak gerekmez. Gerekmiyorsa ölçülü değildir; ölçülü değilse hukuka uygun değildir. Çizginin ilk yarısı budur.

“Kendisi yazdı, o hâlde serbest” yanılgısı

En sık duyulan savunma şudur: müşteri adını da, olayı da kendisi herkese açık yazdı; biz yalnız cevap verdik. Kanun’un 5. maddesi gerçekten de kişinin kendisi tarafından alenileştirilmiş veriyi açık rıza aranmadan işlenebilir sayar. Ama bu istisna, kişinin alenileştirdiği bilgiyle ve alenileştirme amacıyla sınırlıdır. Müşteri “yemek geç geldi” yazdıysa, alenileştirdiği şey budur. Sizin kayıtlarınızdaki sipariş saati, ödeme yöntemi, adres ya da daha önceki ziyaretleri alenileşmiş değildir; onları cevaba taşıdığınız an yeni bir veriyi siz alenileştirmiş olursunuz. Müşterinin yazdığı ada hitap etmek ile müşterinin yazmadığı bilgiyi yazmak arasındaki fark tam burada durur.

Pratik kural basittir: cevapta, yorumda görmediğiniz hiçbir kişisel bilgi bulunmaz. Ekranda hangi adla görünüyorsa o adla hitap edilir; sisteminizde kayıtlı tam adı, soyadı ya da unvanı eklenmez.

Sağlık bilgisi ayrı bir ligdir

Kanun’un 6. maddesi sağlık verisini özel nitelikli kişisel veri sayar; işlenmesi açık rızaya ya da kanunda tek tek sayılan dar hâllere bağlıdır. Bir yorum cevabı yazan işletmenin bu istisnalara yaslanması akıllıca değildir, çünkü gerek yoktur: hassas veriyi tekrar etmeden karşılık vermek her zaman mümkündür.

Müşteri “glüten alerjim olduğunu söyledim, yine de normal ekmek geldi” yazdıysa cevap “alerjinizi dikkate almadığımız için” diye başlamaz. “Belirttiğiniz hassasiyetin mutfağa doğru iletilmesi bizim sorumluluğumuz” cümlesi aynı işi görür ve sağlık bilgisini sizin ağzınızdan bir daha yayımlamaz. Aynı kural din, etnik köken, engellilik ve benzeri her hassas başlık için geçerlidir. Klinik, diyetisyen, fizyoterapi gibi sağlık hizmeti veren işletmelerde çizgi daha da nettir: tedavinin adı, tanı, kullanılan ilaç ya da işlem bölgesi cevapta geçmez; “yapılan işlemden memnun kalmanıza sevindik” yeter.

Çalışanınız da ilgili kişidir

Şikâyet bir çalışanı hedef aldığında işletmeler sık sık adıyla cevap verir: “Ahmet arkadaşımızı uyardık” ya da daha kötüsü “ilgili personelin işine son verdik.” Çalışan da Kanun önünde ilgili kişidir; adı, görevi ve hakkındaki disiplin işlemi kişisel veridir. Üstelik ikinci cümle serinin ilk yazısındaki delil sorununu da açar. Doğrusu rol üzerinden konuşmaktır: “ekip arkadaşımızla konuyu değerlendirdik.”

Sayılar ne söylüyor

Türkçe Google yorumları üzerinde çalışan ReviewVoice’un on sektörden 20 binin üzerinde yorumluk havuzunda 6.699 işletme cevabı var. Bu cevapların yüzde 2’si bir telefon numarası içeriyor; baktığımız örneklerde numara işletmenin kendi numarası ve müşteriyi “bizi arayın” diye platform dışına çağırıyor. Bu, müşterinin verisini ifşa etmez; ama konuşmayı herkesin gördüğü yerden kimsenin görmediği yere taşır ve sonraki okuyucuya hiçbir şey anlatmaz. Ziyaret tarihi ya da hesap tutarı yazan cevaplar yüzde 1’in altında, fakat var. Asıl yaygın alışkanlık ise müşterinin yazdığı ayrıntıyı cevapta genişleterek tekrar etmek; bu, sayıma girmez ama en çok görülen çizgi ihlalidir.

Google’ın kendi içerik kuralları da aynı yöne bakar: katkı sağlanan içerikte kişisel ve gizli bilgi paylaşımı yasaktır ve işletme cevabı da bu kuralın altındadır. Yani sınırı aşan cevap yalnız Kanun’la değil, platformla da sorun yaşar.

Nasıl yapılır: üç soruluk kontrol

Cevabı göndermeden önce içindeki her müşteri bilgisi için üç soru sorun.

1. Bu bilgiyi müşteri yorumunda kendisi yazdı mı? Yazmadıysa siz de yazmayın. Kayıtlarınıza baktığınızı söyleyebilirsiniz; kayıtların içeriğini yazamazsınız.
2. Bu bilgi cevabın amacı için gerekli mi? Amaç karşılık vermektir; hesap tutarı, masa numarası, sipariş saati bu amaca hizmet etmez. Gerekmiyorsa ölçülü değildir.
3. Bu bilgi sağlık, din, etnik köken, engellilik, cinsel hayat ya da ceza mahkûmiyeti ile ilgili mi? Öyleyse müşteri yazmış olsa da siz yazmayın; genel bir ifadeye çevirin.

Üç soruya da doğru cevabı veren bir metin, müşterinin adını ve yorumun konusunu taşır, başka hiçbir şey taşımaz. Konuşmanın devamı gerekiyorsa kapıyı işletmenin genel kanalıyla açın, müşteriden telefon ya da e-posta istemeyin ve kendi numaranızı her cevaba yapıştırmayın; profilinizde zaten yazıyor.

Bir örnek

Yorum: “Cumartesi akşamı dört kişi geldik, iki ana yemek soğuk geldi, hesap da 3.800 lira tuttu. Garson Ayşe ilgisizdi.”

Çizgiyi aşan cevap: “Merhaba Selin Hanım, 14 Haziran saat 20.40’taki rezervasyonunuzu inceledik; 3.800 TL’lik hesabınızda iki ana yemek ve iki tatlı var. Garson Ayşe ile görüştük, kendisi uyarıldı. Lütfen 05xx numaradan bizi arayın.”

Bu cevap müşterinin yazmadığı rezervasyon saatini ve sipariş dökümünü yayımlıyor, çalışanı adıyla hedef gösteriyor ve konuşmayı telefona taşıyor.

Çizgide kalan cevap: “Sayın Selin Hanım, yemeğin sıcaklığı ve masadaki ilgi bizim işimizin özü; yazdıklarınızı ekibimizle birlikte ele aldık. Bir sonraki gelişinizde farkı görmenizi isteriz.”

İkincisi yorumu okuduğunu gösteriyor, konuya değiniyor, hiçbir kaydı ve hiçbir kişiyi ifşa etmiyor. Okuyan bir sonraki müşteri için de daha güven verici olan budur: veri saçan değil, ölçüyü bilen bir işletme.

Bu yazıdaki oranlar ReviewVoice’un işlediği yorum havuzundan gelir; Türkiye genelini temsil eden bir anket değildir. Yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık niteliği taşımaz; somut bir olayda KVKK uyumu için uzman görüşü alınmalıdır.