Sporcu Verisinin Hukukî Çerçevesi

1. Giriş

Modern spor dünyasında teknoloji, performans ölçümünün ayrılmaz bir parçası hâline gelmiştir. Akıllı saatler, kalp atış monitörleri, GPS izleme cihazları ve giyilebilir sensörler aracılığıyla milyonlarca veri toplanmaktadır.
Bu veriler yalnızca antrenman performansını değil, aynı zamanda sağlık, biyometrik yapı ve psikolojik durumu da yansıtır.
Ancak bu durum, Kişisel Verilerin Korunması Kanunu (KVKK) ve GDPR kapsamında ciddi hukuki riskleri beraberinde getirir.

2. Sporcu Verilerinin Hukukî Niteliği

KVKK m. 6’ya göre sağlık verileri ve biyometrik bilgiler “özel nitelikli kişisel veri” kapsamındadır.
Bir futbolcunun nabzı, koşu hızı, oksijen seviyesi veya sakatlık geçmişi gibi bilgiler, hem kişisel hem de sağlık verisidir.

Yargıtay 12. CD 2021/4312 E., 2021/7196 K. kararında da belirtildiği üzere:

“Kişisel verinin fiziksel performans ölçümleriyle ilişkilendirilmesi, kişiyi doğrudan tanımlayabilir hale getirir.”

Dolayısıyla bu tür verilerin işlenmesi için açık rıza, güvenlik önlemleri ve veri minimizasyonu ilkeleri büyük önem taşır.

3. Veri Sorumlusu: Kulüpler mi, Federasyonlar mı?

KVKK m. 3’e göre “veri sorumlusu”, verinin işleme amaç ve vasıtalarını belirleyen kişidir.
Bu bağlamda:

• Spor kulüpleri, antrenman ve performans verilerini topladığında veri sorumlusudur.

• TFF veya federasyonlar, lisans ve sağlık kontrolleri için veriyi işlerse ortak veri sorumlusu kabul edilir.

Kişisel Verileri Koruma Kurulu’nun 31.03.2022 tarihli Kararı da bu durumu açıklar:

“Spor federasyonları tarafından toplanan performans verileri, açık rızaya dayalı olarak ve ilgili kulüp ile paylaşım koşullarına göre işlenebilir.”

4. Açık Rıza ve İşleme Şartları

Sporcu verilerinin işlenmesi için KVKK m. 5/2 ve 6/2 çerçevesinde:

• Açık rıza alınmalı,

• Veri yalnızca belirli, açık ve meşru amaçlarla işlenmeli,

• Gereğinden fazla bilgi toplanmamalıdır.

Uygulama Örneği:
Bir kulüp, oyuncularının GPS ve nabız verilerini performans değerlendirmesi için toplayabilir. Ancak bu verileri reklam kampanyası veya sponsorluk analizinde kullanamaz.

5. Giyilebilir Teknolojiler ve Hukukî Riskler

Giyilebilir cihazlar (ör. Polar, Garmin, Catapult) gerçek zamanlı veri gönderir.
Bu veriler, kulüp altyapısında veya bulut sistemlerde depolanır.
Buradaki riskler:

• Bulut sağlayıcısının yurtdışı merkezli olması (ör. AWS, Google Cloud) → yurt dışına veri aktarımı yasağı (KVKK m. 9)

• Siber saldırılar ve veri sızıntısı riski

• Sporcunun veri üzerinde kontrol kaybı

KVKK Kararı – 10.06.2021:

“Yurt dışı bulut sistemlerine veri aktarımı için açık rıza alınmalı ve teknik güvenlik önlemleri ispatlanmalıdır.”

6. Veri Güvenliği Yükümlülükleri

KVKK m. 12 uyarınca kulüplerin yükümlülükleri:

1. Veriye erişimi yalnızca yetkili personele açmak,

2. Sunucuları güvenli sistemlerde barındırmak,

3. Anonimleştirme ve şifreleme uygulamak,

4. Veri işleme faaliyetlerini Veri Sorumluları Sicili (VERBİS) sistemine kaydetmek.

Aksi hâlde 1 milyon TL’ye kadar idari para cezası ve TCK m. 136 kapsamında hapis cezası söz konusu olabilir.

7. Veri Analitiği ve Rızaya Dayalı İşleme Modeli

Günümüzde kulüpler, sporcu verilerini analitik algoritmalarla işleyerek sakatlık riskini, kondisyon düşüşünü veya performans artışını öngörmektedir.
Bu durumda, veri analitiği, “rızaya dayalı işleme” çerçevesinde yürütülmelidir.

CAS kararlarında da bu yaklaşım desteklenmektedir.
CAS 2018/A/5799 – Player v. Club:

“Kulübün oyuncu verilerini performans analitiği dışında reklam veya pazarlama amacıyla kullanması sözleşmeye aykırıdır.”

8. Sporcu Hakları ve Başvuru Yolları

Sporcular, KVKK m. 11 uyarınca şu haklara sahiptir:

• Verilerinin işlenip işlenmediğini öğrenme,

• Yanlış veya eksik verinin düzeltilmesini isteme,

• Silinmesini veya anonimleştirilmesini talep etme,

• Kurul’a şikâyet başvurusu yapma.

Uygulama:
Bir futbolcu, kulübünün giyilebilir cihaz verilerini üçüncü firmalarla paylaştığını fark ederse, önce kulübe başvurabilir, ardından KVKK Kurulu’na şikâyet edebilir.

9. Uluslararası Çerçeve: GDPR ve WADA

AB’deki GDPR m. 9, sağlık verilerinin işlenmesini sıkı şekilde düzenler.
WADA (World Anti-Doping Agency) ise doping kontrolü kapsamında sporcu verilerini işlerken International Standard for Protection of Privacy and Personal Information (ISPPPI) standartlarını uygular.

Bu çerçevede Türkiye’deki kulüplerin, hem KVKK hem de WADA–FIFA veri politikalarıyla uyumlu hareket etmesi gerekir.

10. Sonuç ve Değerlendirme

Giyilebilir teknoloji, performans analitiği ve veri bilimi, sporun geleceğini belirlemektedir.
Ancak bu gelişim, sporcuların mahremiyet hakkı ve veri güvenliği pahasına olmamalıdır.

Kulüpler, antrenman verilerini toplarken yalnızca belirli ve ölçülü verilerle yetinmeli, açık rızayı somut biçimde almalı ve verilerin üçüncü kişilerle paylaşımını açıkça sınırlandırmalıdır.
Aksi takdirde hem KVKK cezaları hem de itibar kaybı kaçınılmaz olacaktır.