Madde 1

GDPR m.1/1, kişisel verilerin işlenmesi karşısında gerçek kişilerin korunmasına ve kişisel verilerin Birlik içinde serbest dolaşımına ilişkin kuralları birlikte düzenler. Maddenin ikinci fıkrası, gerçek kişilerin temel hak ve özgürlüklerinin korunmasını güvence altına alırken kişisel verilerin korunması hakkını özellikle belirtir.1

Üçüncü fıkra, kişisel verilerin Birlik içindeki serbest dolaşımının kişilerin korunmasına ilişkin gerekçelerle sınırlandırılamayacağını veya yasaklanamayacağını belirtir.2 Böylece koruma ile veri dolaşımı aynı maddede düzenlenmiştir. Bununla birlikte madde, bu iki amaç arasında her uyuşmazlık için geçerli bir üstünlük veya eşit ağırlık kuralı kurmamıştır.

Doktrinde bir görüş temel hakların korunmasını belirleyici amaç sayarken başka bir görüş temel hak koruması ile iç pazar yönünün birlikte değerlendirilmesi gerektiğini savunur.3 Maddenin açıkça düzenlemediği bir ağırlık sırası, bu görüşlerden hareketle amaç hükmüne eklenemez. Somut uyuşmazlıkta hangi menfaatin ne ölçüde korunacağı, uygulanacak özel hükmün şartları ve etkilenen haklar gözetilerek belirlenecektir.

Avrupa Birliği Temel Haklar Şartı, özel hayata ve aile hayatına saygı hakkını 7. maddede, kişisel verilerin korunması hakkını ise 8. maddede düzenler. Şart'ın 8. maddesinde ayrıca verilerin adil biçimde ve belirli amaçlarla işlenmesi, işlemenin rızaya veya kanunda öngörülen başka bir meşru temele dayanması, erişim ve düzeltme hakları ile bağımsız denetim güvence altına alınmıştır.1

İki hakkın ayrı maddelerde düzenlenmesi, özel hayata saygı ile kişisel verilerin korunmasının özdeş olmadığını gösterir. Bununla birlikte tek bir veri işleme faaliyeti iki hakkı birlikte etkileyebilir. Avrupa Birliği Adalet Divanı (ABAD), Facebook Ireland and Schrems kararında kişisel verilere erişilmesini, bu verilerin saklanmasını ve kullanılmasını Şart m.7 ile m.8 bakımından ayrı fakat birlikte incelemiştir.2

Kişisel verilerin korunması hakkı mutlak değildir. Bu hak ancak kanunla, hakkın özüne saygı gösterilerek ve meşru amaç bakımından gerekli ve orantılı olduğu ölçüde sınırlandırılabilir.3 GDPR m.1/2'nin kişisel verilerin korunması hakkını özellikle belirtmesi, diğer hak ve menfaatleri değerlendirme dışı bırakmaz.

95/46/AT sayılı Direktif döneminde ABAD, veri koruma kurallarının uyumlaştırılması ile kişisel verilerin üye devletler arasındaki serbest dolaşımı arasında bağlantı kurmuştur. Divan, Commission v Germany kararında aynı düzenlemenin Birlik içinde yüksek bir koruma düzeyi sağlamayı amaçladığını belirtmiş, özel hayata saygı hakkı ile veri dolaşımını gerektiren menfaatler arasında adil bir denge kurulmasını aramıştır.1

GDPR döneminde verilen Facebook Ireland and Others kararında, Tüzüğün TFEU m.16'ya dayandığı ve yüksek koruma düzeyini sağlamaktan Birlik kurumları ile yetkili ulusal makamların sorumlu olduğu belirtilmiştir.2 Kararda ayrıca kuralların tutarlı ve yeknesak uygulanması ile Birlik içindeki veri dolaşımının önündeki engellerin kaldırılması birlikte değerlendirilmiştir.3

Bu kararlarda yüksek ve eşdeğer koruma ile veri dolaşımı birbirini dışlayan amaçlar olarak ele alınmamıştır. Ortak koruma düzeyi, kişilerin haklarını güvence altına alırken ulusal düzenleme ve uygulama farklılıklarından doğan engellerin azalmasına da hizmet eder. Ancak veri dolaşımının sağlanması, koruma düzeyinin ekonomik gerekçelerle düşürülmesine dayanak olamaz.

Avrupa Birliğinin İşleyişi Hakkında Antlaşma (TFEU) m.16/1, herkesin kendisine ilişkin kişisel verilerin korunması hakkına sahip olduğunu düzenler. Maddenin ikinci fıkrası, Birlik kurumlarının veri işlemesine ve Birlik hukuku kapsamındaki faaliyetleri yürütürken üye devletlerin yaptığı işlemelere ilişkin koruma ve serbest dolaşım kurallarının kabul edilmesine imkan tanır. Bu kurallara uyulup uyulmadığı bağımsız makamlarca denetlenmelidir.1

ABAD, Görüş 1/15'te kişisel verilerin korunmasının kabul edilecek düzenlemenin esas amaç veya bileşenlerinden birini oluşturması halinde TFEU m.16/2'nin uygun bir hukuki dayanak olabileceğini kabul etmiştir.2 Bu kabul, TFEU m.16 ile GDPR m.1 arasındaki sistematik bağlantıyı ortaya koyar. Bununla birlikte TFEU m.16, GDPR'ın üye devletlere bıraktığı düzenleme alanlarını ortadan kaldıran genel bir yetki dışlama kuralı değildir. Somut ulusal hükmün Tüzüğe uygunluğu, ilgili GDPR maddesi ve bu maddenin ulusal hukuka bıraktığı alan gözetilerek incelenecektir.3

Üçüncü ülkeye veri aktarıldığında Birlik içinde sağlanan yüksek koruma düzeyi korunmalıdır. Facebook Ireland and Schrems kararına göre GDPR'ın V. Bölümü, aktarım nedeniyle bu korumanın zayıflamasına izin vermeyecek biçimde uygulanmalıdır.4 Bu gereklilik GDPR m.1/3'ten çıkarılan genel bir aktarım kuralına değil, üçüncü ülke aktarımlarına ilişkin özel düzenlemelere dayanır.

GDPR m.1 ile 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) m.1, kişisel verilerin işlenmesi karşısında temel hak ve özgürlüklerin korunmasını amaçlar. GDPR, kişisel verilerin korunması hakkını özellikle belirtir. KVKK ise başta özel hayatın gizliliği olmak üzere temel hak ve özgürlüklerin korunmasının yanında, kişisel veri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasların düzenlenmesini de amaçları arasında sayar.1

GDPR m.1/1 ve m.1/3, kişisel verilerin Birlik içindeki serbest dolaşımını açıkça düzenler. KVKK m.1'de aynı yapıda bağımsız bir serbest dolaşım amacı bulunmaz.2 İki amaç maddesi bu nedenle aynı sistematiğe sahip değildir. Ancak bu fark, yurt dışına aktarım, veri yerelleştirme veya uygulanacak hukuk bakımından tek başına sonuç doğurmaz. Bu sorunlar, her iki düzenlemenin ilgili özel hükümleri uyarınca ayrıca değerlendirilecektir.