KVKK Genel İlkeleri ve Kişisel Veri İşleme Şartları: Madde 4, 5 ve 6 Rehberi

6698 sayılı Kişisel Verilerin Korunması Kanunu'nda kişisel veri işlemenin iki temel dayanağı vardır: Madde 4'te sayılan ve her işleme faaliyetinde uyulması zorunlu olan genel ilkeler ile Madde 5 ve Madde 6'da sayılan işleme şartları. Genel ilkeler bir işlemenin nasıl yürütüleceğini belirler ve istisnasız her durumda geçerlidir. İşleme şartları ise o işlemenin hangi hukuki temele dayandığını gösterir. Bir veri sorumlusu geçerli bir işleme şartına dayansa bile genel ilkelere aykırı davranırsa işleme hukuka aykırı hale gelir. Bu nedenle iki katmanı birlikte değerlendirmek gerekir.

Kanun'un 4. maddesi beş genel ilke sayar. Kişisel veriler hukuka ve dürüstlük kurallarına uygun işlenmeli; doğru ve gerektiğinde güncel tutulmalı; belirli, açık ve meşru amaçlar için işlenmeli; işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmalı; ilgili mevzuatta öngörülen ya da işlendikleri amaç için gerekli olan süre kadar muhafaza edilmelidir. Uygulamada bu ilkeler, amaçla bağlantılı ve sınırlı olma ile saklama süresi sınırı üzerinden en çok denetlenen noktalardır. İhtiyaç duyulmayan verinin toplanması ölçülülük ilkesine, amacı sona eren verinin silinmeyip tutulması ise saklama süresi ilkesine aykırılık oluşturur.

Madde 5'in birinci fıkrasına göre kural, kişisel verilerin ilgili kişinin açık rızasıyla işlenmesidir. Açık rıza, belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan onaydır. İkinci fıkra ise açık rıza aranmaksızın işleme yapılabilecek halleri sayar. Bir işleme bu şartlardan birine giriyorsa ayrıca rıza almaya gerek yoktur. Hatta rıza almak sakıncalı olabilir, çünkü açık rıza her zaman geri alınabilir ve dayanılan diğer şartla çelişerek belirsizlik yaratır.

Madde 5/2'de sayılan işleme şartları şunlardır: kanunlarda açıkça öngörülmesi; fiili imkansızlık nedeniyle rızasını açıklayamayacak veya rızasına hukuki geçerlilik tanınmayan kişinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması; bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla sözleşme taraflarına ait verilerin işlenmesinin gerekli olması; veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için zorunlu olması; ilgili kişinin kendisi tarafından alenileştirilmiş olması; bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması; ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri için işlemenin zorunlu olması. Bu şartlar sınırlı sayıdadır ve listede bulunmayan bir gerekçeye dayanılamaz.

Meşru menfaat şartı en esnek görünen ancak en dikkatli kullanılması gereken dayanaktır. Burada veri sorumlusunun menfaati ile ilgili kişinin temel hak ve özgürlükleri arasında bir denge testi yapılması beklenir. Menfaat gerçek ve güncel olmalı, işleme bu menfaate ulaşmak için gerekli olmalı ve ilgili kişi üzerindeki etki orantısız olmamalıdır. Denge ilgili kişi aleyhine bozuluyorsa bu şarta dayanılamaz.

Özel nitelikli kişisel veriler Madde 6'da ayrıca düzenlenir ve daha katı bir korumaya tabidir. Bu kategoriye kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri girer. Bu veriler kişi hakkında hassas değerlendirmelere ve ayrımcılığa açık olduğu için işlenmeleri ek koşullara bağlanmıştır.

Madde 6, 7499 sayılı Kanun ile değiştirilmiş ve yeni hali 1 Haziran 2024 tarihinde yürürlüğe girmiştir (ilgili Kanun 12 Mart 2024 tarihli Resmî Gazete'de yayımlanmıştır). Değişiklikten önce sağlık ve cinsel hayata ilişkin veriler ile diğer özel nitelikli veriler farklı işleme rejimlerine tabiydi. Değişiklikle bu ayrım kaldırılmış ve tüm özel nitelikli veriler için ortak bir işleme şartları listesi getirilmiştir. Yeni düzenleme, açık rızanın yanında birden fazla alternatif hukuki sebep tanıyarak uygulamadaki katılığı gidermeyi ve GDPR ile uyumu artırmayı hedeflemiştir.

Değişiklik sonrası Madde 6'ya göre özel nitelikli veriler açık rıza dışında şu hallerde de işlenebilir: kanunlarda açıkça öngörülmesi; fiili imkansızlık nedeniyle rızasını açıklayamayacak veya rızasına hukuki geçerlilik tanınmayan kişinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması; ilgili kişinin alenileştirdiği verilerin alenileştirme iradesine uygun işlenmesi; bir hakkın tesisi, kullanılması veya korunması için zorunlu olması; sır saklama yükümlülüğü altındaki kişiler veya yetkili kurum ve kuruluşlarca kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla işlenmesi; istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması; siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kar amacı gütmeyen kuruluşların faaliyet alanlarına ilişkin olarak mevcut ya da eski üyelerine veya bunlarla düzenli temasta olan kişilere yönelik, üçüncü kişilere açıklanmaması koşuluyla yürütülen işlemeler.

İki maddeyi birlikte uygularken pratik sıra şudur: önce işlenecek verinin genel nitelikli mi yoksa özel nitelikli mi olduğu belirlenir, buna göre Madde 5 veya Madde 6 devreye girer. Ardından işlemenin dayanacağı somut hukuki sebep tespit edilir ve bu sebep ilgili maddedeki listeden gösterilebilmelidir. Sebep açık rıza değilse, rıza almak yerine ilgili şarta dayanmak doğru yaklaşımdır. Son olarak, dayanak ne olursa olsun Madde 4'teki genel ilkelere uygunluk her aşamada korunmalı, toplanan veri amaçla sınırlı tutulmalı ve saklama süreleri tanımlanmalıdır. Bu tespitlerin işleme envanteri ve aydınlatma metinleriyle belgelenmesi, olası bir denetimde hesap verebilirliğin temelini oluşturur.

Doğru hukuki sebebin seçilmesi; aydınlatma yükümlülüğünün kapsamını, açık rıza alınıp alınmayacağını ve saklama sürelerini doğrudan etkiler. Yanlış sebebe dayanmak, sonradan tüm işleme faaliyetinin hukuka aykırı sayılmasına yol açabilir. Bu nedenle her işleme kaleminin hangi maddeye ve hangi şarta dayandığının tek tek gözden geçirilmesi önerilir.

KVKK Danışman olarak, işleme faaliyetlerinizin Madde 4 ilkeleri ile Madde 5 ve Madde 6 şartlarına uygunluğunu değerlendiren kısa bir ücretsiz ön değerlendirme sunuyoruz. Mevcut aydınlatma metinlerinizi ve işleme dayanaklarınızı birlikte gözden geçirerek eksik veya hatalı hukuki sebepleri tespit edebiliriz.

Randevu Al