Toplantı kaydı ve KVKK: kayda başlamadan önce

Toplantı kaydı KVKK açısından kişisel veri işlemektir, çünkü ses kaydı kimliği belirli ya da belirlenebilir kişilere ait bilgi taşır. Kayda başlamadan önce katılımcıları aydınlatmanız, kaydı Kanun’daki bir işleme şartına dayandırmanız, yalnızca amaca yetecek kadar veri toplamanız, saklama süresini belirlemeniz ve kaydı korumanız gerekir. Kaydı yurt dışındaki bir yapay zekâ servisine gönderiyorsanız yurt dışına aktarım kuralları da devreye girer.

Bu yazı, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun toplantı kaydına dokunan maddelerini sırayla ele alıyor ve sonunda kayıt öncesi bir kontrol listesi veriyor.

Bu yazı hukuki görüş değildir; kendi durumunuz için hukuk danışmanınıza başvurun.

Ses kaydı neden kişisel veridir?

Kanun’un 3. maddesi kişisel veriyi “kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi” olarak tanımlar. Toplantı kaydında bu bilgi birkaç katmanda bulunur:

• Katılımcının sesi ve konuşma biçimi.
• Toplantı başında söylenen ad, unvan ve e-posta adresi.
• Konuşmada adı geçen müşteriler, çalışanlar ve üçüncü kişiler.
• Kaydın yazıya dökülmüş hâli, özet ve rapor.

Kaydetmek, yazıya dökmek, saklamak ve e-postayla göndermek Kanun’un “işleme” tanımına girer. Yani kayıt düğmesine bastığınız an veri işlemeye başlamış olursunuz. Ses izi gibi teknik özelliklerin biyometrik veri sayılıp sayılmayacağı ise ayrıca değerlendirilmesi gereken bir sorudur; biyometrik veri Kanun’un 6. maddesinde özel nitelikli kişisel veriler arasında sayılır.

Kimi, ne zaman aydınlatmalısınız? (md. 10)

Kanun’un 10. maddesine göre veri sorumlusu, veriyi elde ederken ilgili kişilere şunları bildirmek zorundadır:

• Veri sorumlusunun ve varsa temsilcisinin kimliği.
• Verinin hangi amaçla işleneceği.
• Kimlere ve hangi amaçla aktarılabileceği.
• Toplama yöntemi ve hukuki sebebi.
• 11. maddede sayılan hakları (bilgi isteme, düzeltme, silme, itiraz gibi).

Aydınlatma Tebliği iki önemli ayrıntı ekler. Birincisi, aydınlatma veri işlendiği her durumda yapılır; açık rızaya dayanıp dayanmamanız bunu değiştirmez. İkincisi, aydınlatmanın yapıldığını ispat yükü veri sorumlusundadır. Tebliğ sözlü, yazılı ve ses kaydı gibi yöntemleri kabul eder. Toplantıda bunun pratik karşılığı şudur: kayda başlamadan önce kısa bir sözlü bilgilendirme yapın, bu anın kayda girmesini sağlayın ve ayrıntılı metni yazılı olarak ulaştırın.

Hangi hukuki sebebe dayanacaksınız? (md. 5)

Kanun’un 5. maddesi önce genel kuralı koyar: kişisel veriler ilgili kişinin açık rızası olmadan işlenemez. Ardından açık rıza aranmayan şartları sayar. Toplantı kaydı için en sık tartışılanlar şunlardır:

• Bir sözleşmenin kurulması ya da ifasıyla doğrudan ilgili olması (md. 5/2-c).
• Veri sorumlusunun hukuki yükümlülüğü (md. 5/2-ç).
• Bir hakkın tesisi, kullanılması ya da korunması (md. 5/2-e).
• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati (md. 5/2-f).

Açık rıza ne zaman gündeme gelir?

Açık rıza, Kanun’un tanımıyla “belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan” rızadır. Başka bir şart yoksa ya da hukuk danışmanınız rızayı uygun görürse ona dayanırsınız. Kişisel Verileri Koruma Kurulu’nun 18.02.2026 tarihli ve 2026/347 sayılı ilke kararı burada iki şey söyler: açık rızaya dayanıyorsanız aydınlatma metni ile açık rıza metni ayrı başlıklar altında, ayrı metinler olarak düzenlenmelidir; başka bir şarta dayanıyorsanız yalnızca aydınlatma yapılmalı, ayrıca açık rıza metni sunulmamalıdır.

Rızaya dayanırsanız rızanın geri alınabileceğini de hesaba katın. Rızasını geri alan katılımcının konuşmalarını kayıttan çıkarabilmeniz gerekir.

Ceza hukukundaki ayrı kural

KVKK’nın yanında Türk Ceza Kanunu’nun 133. maddesi de vardır. Bu madde, katıldığı aleni olmayan bir söyleşiyi diğer konuşanların rızası olmadan ses alma cihazıyla kayda almayı suç olarak düzenler. Bu nedenle KVKK’daki hukuki sebebiniz meşru menfaat olsa bile, katılımcıların kaydedildiklerini bilmesi ve buna karşı çıkmaması pratikte vazgeçilmez bir adımdır. İki kuralın birlikte nasıl uygulanacağını hukuk danışmanınızla netleştirin.

Ölçülülük: neyi kaydetmeniz gerekiyor? (md. 4)

Kanun’un 4. maddesi her işlemde uyulması zorunlu ilkeleri sayar: hukuka ve dürüstlük kurallarına uygunluk, doğruluk, belirli, açık ve meşru amaç, amaçla bağlantılı, sınırlı ve ölçülü olma, gerekli süre kadar saklama. Toplantı kaydında bunlar şöyle somutlaşır:

• Amacı yazın. “Görüşme raporunu hazırlamak ve verilen sözleri takip etmek” gibi açık bir amaç, neyin gerekli olduğunu belirler.
• Yalnızca toplantıyı kaydedin. Toplantı öncesi ve sonrasındaki sohbetler amacın dışında kalır.
• Erişimi daraltın. Kaydı herkesin görmesi gerekmez; toplantıyı yapan kişi ve yöneticisi çoğu amaç için yeterlidir.
• Kaydı başka amaçla kullanmayın. Satış raporu için alınan kaydı sonradan performans değerlendirmesinde kullanmak yeni bir amaçtır ve Tebliğ’e göre yeni amaç için aydınlatma ayrıca yapılmalıdır.

Ne kadar saklayacaksınız, nasıl sileceksiniz? (md. 7)

Kanun’un 7. maddesine göre, işlenmesini gerektiren sebepler ortadan kalktığında kişisel veriler resen ya da ilgili kişinin talebi üzerine silinir, yok edilir veya anonim hâle getirilir. Kanun gün sayısı vermez; süreyi amacınız belirler. Bu yüzden:

• Toplantı kayıtları için bir saklama süresi belirleyin ve yazılı politikanıza ekleyin.
• Süre dolduğunda silmenin elle hatırlanmasına bırakılmaması gerekir; kendiliğinden işleyen bir süreç kurun.
• Bir katılımcı silme isterse yalnızca onun verisini bulup silebilmeniz gerekir. Tüm kaydı silmek çoğu zaman gereğinden fazladır, hiçbir şey yapamamak ise yetersizdir.

Kayıtları nasıl koruyacaksınız? (md. 12)

Kanun’un 12. maddesi veri sorumlusunu hukuka aykırı işlemeyi ve erişimi önlemek ve verinin muhafazasını sağlamak için gerekli her türlü teknik ve idari tedbiri almakla yükümlü tutar. Veriyi sizin adınıza başka biri işliyorsa, yani bir hizmet sağlayıcı kullanıyorsanız, bu tedbirlerden onunla birlikte müştereken sorumlusunuz. Veriler kanuni olmayan yollarla başkalarınca elde edilirse durumu en kısa sürede ilgilisine ve Kurul’a bildirmeniz gerekir.

Kurum’un Kişisel Veri Güvenliği Rehberi bu tedbirleri ayrıntılandırır. Toplantı kaydı için öne çıkanlar şunlardır: şifreleme, rol bazlı yetki, erişim kayıtları, yedekleme ve kaydın personelin kişisel telefonunda ya da kişisel hesabında kalmaması.

Yurt dışındaki bir yapay zekâ servisi kullanıyorsanız (md. 9)

Kanun’un 9. maddesi 7499 sayılı Kanun ile değişti ve yeni hâli 1 Haziran 2024’te yürürlüğe girdi. Yeni düzende yurt dışına aktarım üç aşamalıdır:

1. Aktarılan ülke için Kurul’un verdiği bir yeterlilik kararı.
2. Yeterlilik kararı yoksa uygun güvencelerden biri, örneğin Kurul’un ilan ettiği standart sözleşme. Standart sözleşme imzalandıktan sonra beş iş günü içinde Kurum’a bildirilir.
3. İkisi de yoksa yalnızca arızi olmak kaydıyla sayılan istisnalar, örneğin risklerin anlatıldığı açık rıza.

Toplantı sesini yazıya dökmek ya da özetlemek için yurt dışındaki bir yapay zekâ servisine gönderiyorsanız bu bir yurt dışına aktarımdır. Kurum’un Kasım 2025’te yayımladığı üretken yapay zekâ rehberi de yurt dışındaki sağlayıcılar aracılığıyla bu sistemleri kullanan veri sorumlularının aktarımı 9. madde ve ilgili yönetmeliğe uygun yapması gerektiğini belirtir. Bu konuyu yerel yapay zekâ yazımızda ayrıntılı ele alıyoruz.

Kayda başlamadan önce kontrol listesi

Sesorel bunu nasıl yapıyor?

Sesorel, yüz yüze toplantıları kaydedip Türkçe yazıya döken ve satış raporu hazırlayan bir sistemdir. Yukarıdaki listedeki bazı adımlar ürünün içinde karşılanır:

• Onayın işaretlenmesi: Yeni toplantı açılırken katılımcılardan onay alındığı uygulamada işaretlenir. Toplantı başında söylenen e-posta adresleri, kullanıcı onaylamadan rapor alıcısı yapılmaz.
• Yerel yapay zekâ: Deşifre ve rapor modelleri Sesorel’in Türkiye’deki sunucularında ya da sizin sunucunuzda çalışır. Ses ve metin üçüncü taraf bir yapay zekâ servisine gönderilmez ve model eğitiminde kullanılmaz.
• Saklama süresi: Şirket yöneticisi süreyi gün olarak belirler; süre dolunca ses, deşifre ve rapor kendiliğinden silinir.
• Kişi bazlı silme: Bir katılımcı isterse yalnızca onun cümleleri deşifreden, sesi kayıttan, adı ve e-postası rapordan çıkarılır.
• Şifreleme ve denetim kaydı: İçerik kuruluşunuza özel anahtarla şifrelenir; yapılan işlemler zincirlenmiş, doğrulanabilir bir denetim kaydında tutulur.

Ayrıntılar güvenlik sayfasında ve BT ve KVKK sorumlusu sayfasında yer alıyor. Sesorel hukuki sebebi sizin yerinize seçmez ve aydınlatma metninizi yazmaz; bunlar veri sorumlusu olarak kuruluşunuzun kararıdır.

Sonraki adım

Kayda başlamadan önce yukarıdaki listeyi KVKK sorumlunuz ve hukuk danışmanınızla birlikte doldurun. Sesorel’in bu listedeki adımları kendi kurulumunuzda nasıl karşıladığını görmek isterseniz teklif formundan bize yazın; kurulum seçeneğini ve saklama ayarlarını birlikte değerlendirelim.