Bir uygulama için gizlilik kontrol listesi

Başlamadan önce

1. Uygulamayı ne için kullanmak istediğini biliyorsun. Amacı tek bir cümleyle yaz, örneğin: “Danışanım nasıl uyuduğunu not ediyor, böylece bunu her hafta konuşabiliriz.” Çünkü verileri sadece önceden açıkça belirlediğin bir amaç için toplarsın. Bu tek cümleyle, diğer maddelerde uygulamanın gerekenden fazlasını isteyip istemediğine karar verebilirsin.

2. Uygulamayı kimin yaptığını biliyorsun. Geliştiricinin adına ve iletişim bilgilerine bak, örneğin uygulama mağazasında ya da uygulamanın web sitesinde. Danışanının kendi verileri hakkında bir sorusu ya da şikâyeti olursa, bu önce geliştiriciye gider. Birlikte çözemezlerse danışanın, Hollanda’nın kişisel veri koruma kurumu Autoriteit Persoonsgegevens’e (AP) şikâyet edebilir.

3. Uygulamayı güvenilir bir mağazadan indiriyorsun. Uygulamaları örneğin Google Play Store’dan ya da Apple App Store’dan yükle. Dikkat: uygulamaların gizlilik riskleri, para ödediğin uygulamalar için de aynen geçerli. Yani fiyat, bir uygulamanın verileri ne kadar güvenli kullandığı hakkında hiçbir şey söylemez.

4. Anladığın bir gizlilik beyanı var. Gizlilik beyanında uygulamanın hangi verileri topladığı, neden topladığı ve geliştiricinin bunları paylaşıp paylaşmadığı ya da satıp satmadığı yazar. Böyle bir beyan çok uzun ve karmaşık olmamalı. Çoğu zaman beyanı uygulamayı indirmeden önce okuyabilirsin; bazı uygulama mağazaları bir özet de gösterir. Beyanı bulamıyor musun ya da beyan anlaşılır değil mi? O zaman başka bir uygulama ara.

Uygulama hangi verileri istiyor

5. Uygulama sadece gereken verileri istiyor. Örneğin ruh hâlini takip etmek için bir uygulamanın telefon rehberine ya da konumuna ihtiyacı yoktur. Uygulama yine de bunları istiyorsa, bu daha yakından bakmak ya da başka bir uygulama seçmek için bir neden.

6. Uygulama her veri türü için ayrı izin istiyor. Örneğin rehber, fotoğraflar ve konum ayrı ayrı veri türleridir. Uygulama bu verileri telefondan almadan önce izin istemeli. Uygulama yüklendikten sonra bile bu erişimi telefonun ayarlarından yeniden kapatabilirsin.

7. Danışanının bir sosyal medya hesabıyla giriş yapması gerekmiyor. Her yere aynı hesapla giriş yapmak kolaydır, ama böylece bazen verileri gereksiz yere yayar ve birbirine bağlarsın. Ayrı bir hesapla da oluyorsa, ayrı hesabı seç.

8. Uygulamaya sağlıkla ilgili veriler girip girmeyeceğini biliyorsun. Birinin ruhsal olarak nasıl hissettiğine dair veriler de bunlara dahildir. Yasa bir istisna tanımadıkça bu tür verileri işlemek yasaktır. Bu yüzden daha sıkı kurallar geçerlidir ve bu listenin geri kalanı özellikle önemlidir.

9. Uygulama verileri reklamcılara vermiyor. Bazı uygulamalar ne yaptığını izler ve bunu örneğin reklamcılarla paylaşır. Gizlilik beyanına bak: geliştirici verileri paylaşıyor ya da satıyor mu, kiminle? Sadece “iş ortaklarıyla” yazıyorsa, bunların kim olduğunu geliştiriciye sor.

Veriler nerede kalıyor

10. Verilerin nerede saklandığını biliyorsun. Veriler sadece telefonda mı duruyor, yoksa geliştiricide de mi? Bu yer Avrupa Ekonomik Alanı’nın (AEA) içinde mi, dışında mı? AEA dışında veriler başka yasalara tabi olabilir.

11. Uygulama verileri koruyor. Bu, şifreleme gibi teknik konularla ilgili, ama geliştiricinin kendi kurallarıyla da: verilere kim erişebiliyor? Bir uygulama verileri internet üzerinden şifrelemeden gönderirse, başkaları bu verileri ele geçirebilir.

12. Uygulama verileri gerekenden uzun saklamıyor. Veriler ne kadar uzun saklanırsa, bir veri sızıntısının sonuçları o kadar büyük olabilir. Geliştiricinin verileri ne kadar süre sakladığını gizlilik beyanında ara. Yazmıyorsa sor.

13. Danışanın uygulamayı bırakabiliyor ve verilerini sildirebiliyor. İyi bir uygulamada iznini geri alabilir, uygulamayı kaldırabilir ve toplanan verileri silebilirsin. İzni geri almak, izin vermek kadar kolay olmalı. İzni tek dokunuşla veriyorsun ama geri almak için telefon etmen ya da mektup göndermen mi gerekiyor? Bu, kurallara aykırı.

Kurumundaki kurallar

14. Verileri uygulamaya kimin girdiğini biliyorsun. Danışanın uygulamayı sadece kendisi için mi kullanıyor? Yoksa kurumun danışanların verilerini uygulamaya mı giriyor? İkinci durumda verilerin ne için ve nasıl kullanılacağına kurumun karar verir. Yani o zaman sorumlu olan kurumundur ve daha fazla şeyi düzenlemesi gerekir.

15. Gerekiyorsa bir veri işleme sözleşmesi var. Geliştirici, kurumunun adına danışanların verileriyle mi çalışıyor? O zaman bir veri işleme sözleşmesi (verwerkersovereenkomst) zorunludur: geliştiricinin verilerle neler yapabileceğini belirleyen bir sözleşme. İçinde nelerin yazması gerektiğini Yardım ve destek işinde AVG (GDPR) yazısında okuyabilirsin.

16. Veri koruma sorumlusu (functionaris gegevensbescherming, FG) bundan haberdar. FG gizlilik konusunda tavsiye verir. FG’ye bir gizlilik incelemesinin, yani veri koruma etki değerlendirmesinin (DPIA) gerekip gerekmediğini de sor. Genel kural şu: dokuz risk ölçütünden ikisi ya da daha fazlası varsa DPIA gerekir. Sağlık verileri ve hastalar gibi kırılgan durumdaki insanlara ait veriler, birlikte zaten iki ölçüt eder.

17. Veri sızıntısında ne yapacağını biliyorsun. Verileri yanlış kişiye mi gönderdin? Ya da içinde şifrelenmemiş veriler olan bir telefonu mu kaybettin? Bunlar veri sızıntısıdır (datalek), o yüzden hemen kurumuna bildir. Kurumun bazı veri sızıntılarını 72 saat içinde AP’ye, bazen de ilgili kişilere bildirmek zorundadır.

Danışanınla birlikte

18. Danışanın, uygulamanın verilerle ne yaptığını biliyor. Bunu gündelik kelimelerle anlat. Danışanının neleri yapabilmesi gerektiğini, uygulamanın ne kadar tuttuğunu, hangi risklerin ya da dezavantajların olduğunu ve başka hangi seçeneklerin olduğunu da söyle. Sağlık hizmeti ve gençlik yardımı sunan kurumların da bunu yapması beklenir, böylece danışan iyi bir seçim yapabilir.

19. Danışanın özgürce seçiyor. Danışanın hayır diyebilmeli ve bunun ona bir zararı olmamalı. Aranızdaki ilişkiye dikkat et, çünkü örneğin hastalar her zaman özgürce evet ya da hayır diyemez. Bu yüzden şunu da söyle: danışanın uygulamayı istemezse yardım aynen devam eder ve o zaman birlikte başka bir şey ararsınız.

20. Çocuklarla çalışıyorsan, daha da dikkatli oluyorsun. Dayanak izinse, 16 yaşından küçük bir çocuk bu izni kendisi geçerli olarak veremez: bunu bir ebeveyn ya da veli yapar. 12 yaşında ya da daha büyük bir çocuk ise bu izni kendisi geri alabilir. Uygulama ayrıca çocukların verilerini onlara yönelik reklamlar için kullanamaz. Uygulamanın açıklaması da çocukların yaşına uygun ve basit bir dilde olmalı.

Dikkat et

• Bir maddeyi işaretleyemiyorsan, uygulamayı henüz kullanma. Önce FG ile konuyu netleştir ya da başka bir araç seç. Bu liste hukuki tavsiye değildir.
• Sırf garanti olsun diye izin isteme. Bir uzmanın hangi verileri kaydedebileceğini çoğu zaman yasa zaten düzenler ve fazladan bir izin işi gereksiz yere karmaşık yapar. Senin durumunda neyin geçerli olduğunu FG bilir.
• Uygulamanın etrafında olanlara da bak. Uygulama hakkında yazılan bir rapor sonra sıradan bir e-postaya ya da bir sohbet robotuna giderse, güvenli bir uygulama pek işe yaramaz. Ekibinle bu konuda kurallar belirle.
• Büyük bir değişiklikten sonra yeniden kontrol et. Örneğin uygulamanın yeni özellikleri olan yeni bir sürümü çıkarsa ya da uygulamayı başka bir şirket devralırsa. Bir uygulama, verilerini hangi amaçlarla kullandığını senin iznin olmadan sonradan değiştiremez.

Daha fazla bilgi

• Yardım ve destek işinde AVG (GDPR): gizlilik kuralları gündelik kelimelerle ve verileri güvende tutmak için her gün neler yaptığın.
• Danışanın için dijital bir araç seçmek: gizlilik, dikkat ettiğin şeylerden biri.
• Listeyi bir kez, zaten tanıdığın bir uygulamada dene. Örneğin nasıl hissettiğini takip etmek için yaptığımız uygulama Moodnu üzerinde.