This article is published in Turkish.
Kişisel Verilerin İşlenme Şartları
KVKK Madde 5 kapsamında kişisel verilerin işlenmesinin hukuka uygun sayılacağı haller, açık rıza ve açık rıza aranmayan işleme şartları, GDPR ile karşılaştırma ve Kurul kararları ışığında pratik uygulamalar.
1. Giriş
Kişisel verilerin işlenmesi, ancak KVKK'da öngörülen şartlardan birinin varlığı halinde hukuka uygundur. Bu şartlar, veri işleme faaliyetlerinin meşruiyet temelini oluşturur. KVKK, GDPR'a benzer şekilde, kişisel verilerin işlenmesi için alternatif hukuki temeller öngörmüştür. İlgili kişinin açık rızası temel işleme şartı olmakla birlikte, Kanun belirli durumlarda açık rıza aranmaksızın veri işlenmesine izin vermektedir.
2. Açık Rıza
KVKK'nın 5. maddesinin 1. fıkrası uyarınca, kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez. Bu kural, veri işlemenin temel şartını oluşturur. Ancak açık rızanın geçerli olabilmesi için belirli unsurları taşıması gerekir.
Kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez.
2.1. Açık Rızanın Unsurları
| Unsur | Açıklama | Geçersizlik Sebebi |
|---|---|---|
| Belirli bir konuya ilişkin | Rıza, hangi verilerin hangi amaçla işleneceğini açıkça belirtmelidir | Genel ve belirsiz ifadeler ("tüm verilerim işlenebilir") |
| Bilgilendirilmeye dayanan | İlgili kişi, rıza vermeden önce yeterli düzeyde aydınlatılmalıdır | Aydınlatma yapılmadan alınan rıza |
| Özgür iradeyle açıklanan | Rıza, herhangi bir baskı veya zorlama olmaksızın verilmelidir | Sözleşme şartı olarak dayatılan rıza |
2.2. Açık Rızanın Alınma Şekli
KVKK, açık rızanın yazılı alınmasını zorunlu kılmamaktadır. Ancak ispat kolaylığı açısından yazılı veya elektronik ortamda alınması uygulamada yaygındır. Rıza; fiziksel form, elektronik onay kutusu, SMS onayı veya sesli onay gibi yöntemlerle alınabilir.
Açık rıza, ilgili kişinin aktif bir eylemiyle verilmelidir. Önceden işaretlenmiş onay kutuları (pre-ticked boxes) veya susma yoluyla rıza alınması KVKK'ya aykırıdır. GDPR Recital 32 de aynı ilkeyi benimsemektedir.
2.3. Rızanın Geri Alınması
İlgili kişi, verdiği açık rızayı her zaman geri alabilir. Rızanın geri alınması, geri alma tarihine kadar yapılan işlemlerin hukuka uygunluğunu etkilemez. Ancak geri alma tarihinden itibaren veri işleme faaliyetinin başka bir hukuki temele dayanması veya sona ermesi gerekir.
3. Açık Rıza Aranmayan Haller
KVKK'nın 5. maddesinin 2. fıkrası, açık rıza aranmaksızın kişisel veri işlemenin mümkün olduğu yedi hali sınırlı sayıda (numerus clausus) düzenlemiştir.
Aşağıdaki şartlardan birinin varlığı hâlinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesi mümkündür:
- Kanunlarda açıkça öngörülmesi
- Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması
- Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması
- Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması
- İlgili kişinin kendisi tarafından alenileştirilmiş olması
- Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması
- İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması
3.1. Kanunlarda Açıkça Öngörülmesi
Bir kanun hükmü, kişisel verilerin işlenmesini açıkça öngörüyorsa, ilgili kişinin rızası aranmaksızın veri işlenebilir. Burada "kanun" kavramı dar yorumlanmalı; kanun hükmünde kararname, yönetmelik veya tebliğ bu kapsamda değerlendirilmemelidir.
| Kanun | İşlenen Veri | Amaç |
|---|---|---|
| 5510 sayılı SGK Kanunu | Çalışan kimlik ve sigorta bilgileri | Sosyal güvenlik bildirimleri |
| 213 sayılı VUK | Müşteri/tedarikçi kimlik ve finansal bilgileri | Vergi beyannameleri |
| 6102 sayılı TTK | Ortak ve yönetici bilgileri | Ticaret sicili bildirimleri |
| 5651 sayılı İnternet Kanunu | IP adresi, erişim kayıtları | Log tutma yükümlülüğü |
3.2. Hayati Menfaatin Korunması
Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda olan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin veya bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması halinde açık rıza aranmaz.
3.3. Sözleşmenin Kurulması veya İfası
Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesi gerekli olduğunda açık rıza aranmaz. Bu şartın uygulanabilmesi için veri işlemenin sözleşmeyle "doğrudan" ilişkili ve "gerekli" olması zorunludur.
| Sözleşme Türü | Gerekli Veri İşleme | Kapsam Dışı |
|---|---|---|
| E-ticaret satış sözleşmesi | Teslimat adresi, ödeme bilgileri | Pazarlama tercihleri |
| İş sözleşmesi | Kimlik, banka hesabı, SGK bilgileri | Aile üyesi bilgileri (istisnalar hariç) |
| Sigorta sözleşmesi | Risk değerlendirmesi için gerekli bilgiler | Üçüncü kişi verileri |
| Kredi sözleşmesi | Mali durum, gelir bilgileri | Eşin gelir bilgisi |
3.4. Hukuki Yükümlülüğün Yerine Getirilmesi
Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması halinde açık rıza aranmaz. Bu şart, "kanunlarda açıkça öngörülme" şartından farklı olarak, mevzuattan kaynaklanan dolaylı yükümlülükleri de kapsar.
3.5. Alenileştirme
İlgili kişinin kendisi tarafından alenileştirilmiş kişisel verilerin işlenmesi için açık rıza aranmaz. Burada önemli olan, alenileştirme iradesinin ilgili kişiye ait olması ve alenileştirmenin bizzat ilgili kişi tarafından yapılmış olmasıdır.
3.6. Hakkın Tesisi, Kullanılması veya Korunması
Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması halinde açık rıza aranmaz. Bu şart, özellikle hukuki uyuşmazlıklarda delil olarak kullanılmak üzere verilerin saklanması veya işlenmesi durumlarında uygulanır.
| Durum | İşlenen Veri | Hukuki Temel |
|---|---|---|
| İş davası | Eski çalışan kayıtları | Savunma hakkı |
| Alacak takibi | Borçlu iletişim bilgileri | Alacak hakkının korunması |
| Miras davası | Muris kayıtları | Miras hakkının tesisi |
| Tazminat davası | Kaza kayıtları, tanık bilgileri | Tazminat hakkının kullanılması |
3.7. Meşru Menfaat
İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması halinde açık rıza aranmaz. Bu şart, en esnek ancak en dikkatli uygulanması gereken hukuki temeldir.
Meşru menfaat şartının uygulanabilmesi için üç aşamalı bir test yapılmalıdır:
- Meşru menfaatin varlığı: Veri sorumlusunun gerçek ve meşru bir menfaati olmalıdır
- Zorunluluk: Veri işleme, bu menfaatin gerçekleştirilmesi için zorunlu olmalıdır
- Denge testi: Veri işleme, ilgili kişinin temel hak ve özgürlüklerine zarar vermemelidir (KVKK m.5/2-f); menfaatler dengesi ilgili kişi aleyhine bozulmamalıdır
4. KVKK ve GDPR Karşılaştırması
| KVKK Madde 5/2 | GDPR Madde 6/1 | Fark |
|---|---|---|
| Kanunlarda açıkça öngörülme | Hukuki yükümlülük (c) | KVKK daha dar kapsamlı |
| Hayati menfaat | Hayati menfaat (d) | Benzer düzenleme |
| Sözleşme | Sözleşme (b) | Benzer düzenleme |
| Hukuki yükümlülük | Hukuki yükümlülük (c) | KVKK'da iki ayrı bent |
| Alenileştirme | Açık düzenleme yok (Madde 9/2-e özel veriler için) | KVKK'da genel kural |
| Hakkın tesisi/korunması | Açık düzenleme yok (meşru menfaat altında) | KVKK'da ayrı bent |
| Meşru menfaat | Meşru menfaat (f) | GDPR'da kamu kurumları hariç |
| - | Kamu görevi (e) | KVKK'da açık düzenleme yok |
5. İşleme Şartlarının Seçimi
Veri sorumluları, veri işleme faaliyetleri için uygun hukuki temeli doğru belirlemelidir. İşleme şartının yanlış seçilmesi, idari para cezası ve tazminat sorumluluğuna yol açabilir.
6. Sonuç
Kişisel verilerin işlenme şartları, veri koruma hukukunun temel yapı taşlarından biridir. KVKK, açık rızayı genel kural olarak benimsemekle birlikte, yedi adet açık rıza aranmayan hal öngörmüştür. Her veri işleme faaliyeti için uygun hukuki temelin doğru belirlenmesi, KVKK uyumu açısından belirleyici bir adımdır.
Uygulamada en sık karşılaşılan sorunlardan biri, açık rızanın gereksiz yere alınması veya yanlış hukuki temele dayanılmasıdır. Özellikle sözleşme ilişkisi veya kanuni yükümlülük gibi şartların varlığında ayrıca açık rıza alınması, hem ilgili kişileri yanıltabilir hem de rızanın geri alınması durumunda hukuki belirsizlik yaratabilir. Kurul kararlarında da bu husus sıklıkla vurgulanmaktadır.