Meşru Menfaat Açık Rızanın Yerine Geçer mi? KVKK'da Denge Testi ve Kurul'un Kabul Etmediği Haller

Kısa cevap: geçer, ama her işleme faaliyetini kurtaran bir joker değil. 6698 sayılı Kanun'un 5. maddesinin ikinci fıkrasının (f) bendi meşru menfaate dayalı işlemeyi üç koşula bağlıyor. Veri sorumlusunun gerçek, belirli ve halihazırda var olan bir menfaati bulunacak; o menfaate ulaşmak için kişisel veri işlemek zorunlu olacak; işleme ilgili kişinin temel hak ve özgürlüklerine zarar vermeyecek. Üçü birlikte sağlanmazsa dayanak çöker, elinizde hukuka aykırı işlenmiş veri kalır. Kurumun kendi yayınındaki uyarı da açık: meşru menfaat şartı, diğer haller uygulanamadığında başvurulacak son çare olmadığı gibi, tüm işleme faaliyetlerini Kanun'a uygun hale getiren bir hüküm de değil. Sahada en sık görülen hata şu: aydınlatma metnine “meşru menfaatimiz gereği” cümlesi yazılıyor ve konu kapanıyor. Kurul dosyayı incelediğinde o cümlenin arkasında bir değerlendirme olup olmadığına, yoksa işlemenin hangi şarta dayandığına bakıyor.

Bendin metni şöyle: “İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.” İki kelime bütün işi yapıyor. Birincisi zorunluluk. Faydalı, verimli ya da işi kolaylaştıran bir işleme zorunlu sayılmaz; zorunluluk, aynı sonuca daha az veriyle veya veri işlemeden ulaşılamadığı anlamına gelir. İkincisi “zarar vermemek kaydıyla” ifadesi. Bu bir tavsiye değil, şartın parçası. Kurumun rehberi bir ayrımı da özellikle vurguluyor: veri sorumlusunun meşru menfaati ile kişisel verileri işleme amacı aynı şey değil. Amaç, verinin neden işlendiğine ilişkin somut sebeptir; menfaat ise işleme sonucunda şirketin elde edeceği faydadır. Çalışanın banka bilgisinin ücret ödemesi için işlenmesi bir amaçtır ve dayanağı sözleşmedir. Aynı verinin ekip maliyetlerini planlamak üzere analiz edilmesi ise menfaat tartışmasına girer. Bu ikisini karıştıran envanterlerde hukuki sebep sütunu genellikle yanlış doldurulmuş oluyor.

Kurumun “Kişisel Verilerin İşlenme Şartları” yayını menfaatin taşıması gereken nitelikleri sayıyor: elde edilecek fayda meşru olmalı, ilgili kişinin temel hak ve özgürlüğüyle yarışabilecek düzeyde etkin olmalı, belirli ve halihazırda mevcut olmalı, veri sorumlusunun güncel faaliyetleriyle ilişkili ve yakın gelecekte fayda sağlayacak nitelikte olmalı. Bu ölçütler, ileride bir gün işe yarar düşüncesiyle veri biriktirmeyi baştan dışarıda bırakıyor. Kurumun verdiği örnekler de fikir veriyor. Çalışanların terfisi, ücret zammı veya sosyal haklarının düzenlenmesinde, işletmenin yeniden yapılandırılması sürecinde görev ve rol dağılımında çalışan verisinin işlenmesi meşru menfaat kapsamında değerlendirilebiliyor. Şirketin satılması, devralınması ya da ortaklık yapısının değişmesi hallerinde alıcının şirketin güncel durumunu görmek amacıyla kişisel veri de içeren bilgileri ölçülülük ilkesine uygun biçimde ve gerekli güvenlik önlemlerini alarak incelemesi de aynı başlık altında ele alınıyor. Yayının hatırlattığı sınır ise hükmün Kanun'un amacı ve ruhuna uygun yorumlanması.

Testi sahada uygulamanın en pratik yolu, Kurumun iki aşamalı değerlendirmesini üç soruya bölmek. Menfaat gerçekten var mı, tam olarak ne? Bu menfaate kişisel veri işlemeden, daha az veriyle, maskelenmiş veya toplu veriyle ulaşmak mümkün mü? Mümkün değilse, tartıda kimin tarafı ağır basıyor? Üçüncü soruda bakılacak unsurlar somut: verinin kategorisi, ilgili kişinin böyle bir işlemeyi makul olarak bekleyip beklemeyeceği, taraflar arasındaki güç dengesi, işlemenin kişi üzerindeki etkisi, alınan teknik ve idari tedbirler. Üç aşama kümülatif çalışıyor; birini geçip diğerinde takılan işleme ayakta kalmıyor. Kanun yazılı bir test formu şart koşmuyor. Ama dayanağı gösterme yükü veri sorumlusunda olduğu için, tarihli ve gerekçeli bir not tutmayan şirket denetimde elinde belge olmadan savunma yapmak zorunda kalıyor. Kurumun çerez rehberi de bu şarta dayanılacaksa denge testi yapılmasını açıkça tavsiye ediyor.

Kurulun kabul ettiği somut bir örnek var. 25 Mart 2019 tarihli ve 2019/78 sayılı kararda bir akaryakıt dağıtım şirketi, istasyonlarda yanlış ürün ikmalini engelleyecek araç tanıma projesi kurmak istedi ve halihazırda kaydettiği plaka ile yakıt türü verisini bu projede kullanıp kullanamayacağını Kuruma sordu. Kurul olayı iki şart bakımından değerlendirdi: hukuki yükümlülük ve meşru menfaat. Yanlış yakıt ikmalinden doğan zararın hem tüketiciyi hem şirketi ve bayileri etkilediğini, işlemenin bu somut riski önlemek bakımından gerekli olduğunu, plaka ve yakıt türünün amaçla sınırlı kaldığını gördü. Sonuç, açık rıza aranmaksızın işlemenin önünde 6698 sayılı Kanun yönünden hukuken engel bulunmadığı oldu. Kararda altı çizilen şart ise aydınlatmaydı: ilgili kişilere erişilebilir ve görünür biçimde bilgi verilecek. Meşru menfaat, aydınlatma yükümlülüğünü ortadan kaldırmıyor; tam tersine ilgili kişinin durumu öğrenebileceği tek kanal aydınlatma metni oluyor.

Reddedilen bir örnek, aynı mantığın ters yönde nasıl işlediğini gösteriyor. 30 Kasım 2023 tarihli ve 2023/2007 sayılı kararda işveren, işyerinde kamera görüntüsünün yanında ses de kaydediyordu; çalışan bunu ancak işverenle arasındaki dava dosyasında gördü ve işyerinde ses kaydına dair bir uyarı ya da bilgilendirme yoktu. Kurul meşru menfaat ölçütlerini sıraladıktan sonra şu noktada durdu: güvenliğin sağlanması amacı bakımından görüntü kaydı zaten yeterliyken, buna ek olarak ses kaydı alınmasında veri sorumlusunun meşru menfaati bulunmuyor. Karar 125 bin TL idari para cezası, hukuka aykırı işlenen ses kayıtlarının imhası ve yapılan işlemin Kurula bildirilmesi talimatıyla sonuçlandı. Buradaki ders ölçü sorusu: gereklilik testi veri miktarını değil, amaca ulaşmak için hangi verinin şart olduğunu tartıyor. Amacınıza görüntüyle ulaşıyorsanız, sesi eklediğiniz anda dayanağınız kalmıyor.

Meşru menfaatin en çok yanlış kullanıldığı alan pazarlama. Kurulun 16 Ekim 2018 tarihli ve 2018/119 sayılı ilke kararı, ilgili kişilerin rızası alınmadan ya da 5. maddenin ikinci fıkrasındaki işleme şartları sağlanmadan SMS, arama ve e-posta yoluyla reklam yönlendiren veri sorumluları ile veri işleyenlerin bu faaliyeti derhal durdurmasını istiyor. Kurulun yaklaşımı, reklam amaçlı işlemede şirketin menfaatinin ilgili kişinin temel hak ve hürriyetleriyle yarışabilir düzeyde olmadığı yönünde. 27 Ocak 2020 tarihli ve 2020/67 sayılı kararda bir gayrimenkul şirketi, internette açık bulduğu ad, soyad ve telefon numarasına reklam SMS'i gönderdi ve 50 bin TL ceza aldı; Kurul, kişinin bu verileri reklam amacıyla kendisiyle iletişim kurulması için alenileştirmediğini vurguladı. Bir ayrıntı daha: ticari elektronik iletide 6563 sayılı Kanun ve İYS onayı ayrı bir yükümlülük. İYS onayı KVKK'daki işleme şartının yerine geçmiyor, tersi de geçerli.

Özel nitelikli verilerde meşru menfaat cümlesi baştan geçersiz. Kanun'un 6. maddesinin üçüncü fıkrası sağlık, biyometrik ve genetik veri, din, sendika üyeliği, ceza mahkumiyeti gibi veriler için sayılı işleme şartları getiriyor ve bu listede veri sorumlusunun meşru menfaati yer almıyor. Parmak izi, yüz tanıma veya sağlık raporu söz konusuysa 5/2-f'ye dayanma imkanı yok. Kurulun 29 Nisan 2026 tarihli ve 2026/921 sayılı ilke kararı alanı daha da daraltıyor: mesai takibinin biyometrik tanımlama sistemleriyle yürütülmesini zorunlu kılan açık bir kanuni düzenleme bulunmadığı, ölçülülük ilkesinin sağlanmadığı, işçi ile işveren arasındaki güç dengesizliği sebebiyle açık rızanın özgür iradeye dayandığının söylenemeyeceği belirtiliyor. Karar mesai takibinin şifreli kart veya PIN tabanlı sistemlerle sağlanmasına işaret ediyor. Özel nitelikli veride sorulacak ilk soru meşru menfaatin varlığı değil, 6. maddedeki hallerden birine girip girmediğiniz.

Çerez bannerları da benzer hatayı tekrarlıyor. Kurumun Çerez Uygulamaları Hakkında Rehberi, kullanıcının talep ettiği hizmet için kesinlikle gerekli çerezlerde açık rıza dışındaki şartlara gidilebileceğini kabul ediyor ve iki somut örnek veriyor: sunucu taleplerini havuzdaki sunuculara dağıtan yük dengeleme çerezi ile web uygulaması güvenlik duvarının oturum başına talep sayısını sınırlamak için kullandığı çerez. İkisinde de dayanak 5/2-f olabiliyor, çünkü çerez kullanıcının istediği hizmetin ayakta kalması için gerekiyor. Reklam, pazarlama ve profilleme çerezlerinde tablo değişiyor; oradaki işlemenin açık rızaya dayanması gerekiyor ve rıza, kullanım koşulları ya da gizlilik bildirimi metninin içine iliştirilerek alınamıyor. Banner'ında bütün çerez gruplarını meşru menfaat etiketiyle açık gelen bir sitede iki sorun birden var: geçersiz dayanak ve yanlış aydınlatma.

Sık atlanan bir ayrım daha: işleme şartı ile yurt dışına aktarım şartı aynı kapı değil. Meşru menfaatinizi doğru kurgulamış olsanız bile, veriyi yurt dışındaki bir bulut hizmetine ya da grup şirketine göndermek için Kanun'un 9. maddesine ayrıca bakmanız gerekiyor. Sıra şöyle işliyor: aktarımın yapılacağı ülke, sektör veya uluslararası kuruluş hakkında yeterlilik kararı varsa ona dayanırsınız. Yeterlilik kararı yoksa standart sözleşme, taahhütname veya bağlayıcı şirket kuralları gibi uygun güvencelerden biri kurulur; standart sözleşme imzalandığında Kuruma beş iş günü içinde bildirim yapılır. İkisi de yoksa arızi haller çok sınırlı bir kapı bırakıyor. Uygulamada sıkça karşılaştığımız tablo, aydınlatma metninde hukuki sebep olarak meşru menfaatin yazılması ve aktarım ayağının hiç kurulmamış olması. Kurul incelemelerinde bu iki eksik genelde birlikte çıkıyor.

Dayanağı belgelemenin iki ayağı var. Birincisi aydınlatma. Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ, hukuki sebebin açıkça belirtilmesini istiyor; yani hangi işleme faaliyetinin Kanun'un hangi bendine dayandığını eşleştirmek gerekiyor. Metne “5 ve 6. maddedeki şartlar kapsamında” diye blok halinde bir liste yazmak aydınlatma sayılmıyor. Kurulun 18 Şubat 2026 tarihli ve 2026/347 sayılı ilke kararı ise açık rıza ile aydınlatmanın ayrı ayrı düzenlenmesi gerektiğini söylüyor; tek metinde harmanlanan yapı hem aydınlatmayı hem rızayı sakatlıyor. İkinci ayak iç kayıt: testi kim yaptı, hangi alternatifler değerlendirildi, hangi tedbirler eklendi. Amaç, kapsam veya kullanılan teknoloji değiştiğinde test yenilenmeli. İlgili kişi tarafında yol açık; 11. madde kapsamında bilgi ve silme talep edilebiliyor, cevap alınamazsa Kurula şikayet gidiyor.

Kendi meşru menfaat dosyanızı hızlıca yoklamak isterseniz şu sorular yeterli: envanterinizde hukuki sebep olarak meşru menfaat yazan kaç işleme faaliyeti var, bunların kaçında tarihli bir denge testi notu duruyor, testlerde daha az müdahaleci alternatifler gerçekten değerlendirilmiş mi, özel nitelikli veri içeren süreçlerde yanlışlıkla 5/2-f'ye dayanılmış mı, pazarlama ve çerez tarafında açık rıza yerine meşru menfaat kullanılmış mı, aydınlatma metniniz her faaliyet için hangi bende dayandığını gösteriyor mu, yurt dışına aktarım varsa 9. madde ayağı kurulmuş mu. Birkaçında cevabınız net değilse, KVKK Danışman'ın ücretsiz ön değerlendirmesinde işleme envanterinizi ve aydınlatma metninizi birlikte gözden geçirip hangi süreçte dayanağın gerçekten ayakta durduğunu, hangisinde açık rızaya veya başka bir şarta geçmeniz gerektiğini çıkarabiliriz.

Randevu Al