Madde 14

GDPR m.14, kişisel verilerin ilgili kişinin kendisinden elde edilmediği hallere uygulanır. Verinin başka bir veri sorumlusundan, kamuya açık bir kaynaktan, veri ticareti yapan bir kuruluştan veya başka bir kişiden alınması bu kapsama girebilir. Kaynağın kamuya açık olması, bilgilendirme yükümlülüğünü kendiliğinden ortadan kaldırmaz.1

Doğrudan ve dolaylı elde etme arasındaki ayrım, ilgili kişinin verinin toplandığını bilip bilmemesine göre yapılmaz. ABAD, C-422/24 sayılı kararında kişinin veriyi bilerek sunmasının gerekmediğini ve kamera yoluyla kişiden doğrudan elde edilen görüntünün somut olayda GDPR m.13 kapsamına girdiğini kabul etmiştir.2 Kararda GDPR m.14'teki bilgilendirme zamanı ve istisnalar yorumlanmamıştır.

Veri sorumlusunun ve varsa temsilcisinin kimliği ile iletişim bilgileri, varsa veri koruma görevlisinin iletişim bilgileri, işleme amaçları ve hukuki sebepler, veri kategorileri ile alıcılar veya alıcı kategorileri açıklanmalıdır. Üçüncü ülkeye ya da uluslararası kuruluşa aktarım planlanıyorsa yeterlilik kararının bulunup bulunmadığı da bildirilmelidir. Aktarım uygun güvencelere dayanıyorsa bu güvencelerin neler olduğu ve bunlara nasıl erişilebileceği açıklanmalıdır.1

GDPR m.14/2 uyarınca ayrıca saklama süresi veya ölçütleri, GDPR m.6/1-f kapsamındaki meşru menfaat, ilgili kişi hakları, rızayı geri alma imkanı, denetim makamına şikayet hakkı, verinin kaynağı ve belirli otomatik karar bilgileri açıklanmalıdır. Veri kategorisinin açıklanması somut kaynağın veya kaynak hakkında mevcut bilginin verilmesi yerine geçemez.2

Bilgi, verilerin elde edilmesinden sonra somut koşullara göre makul bir süre içinde ve her halde en geç bir ay içinde verilmelidir. Dürüstlük ve hesap verebilirlik ilkeleri, ilgili kişinin makul beklentileri, işlemenin etkisi ve haklarını kullanabilmesi daha erken bir bilgilendirmeyi gerektirebilir. Veri sorumlusu seçtiği zamanın neden makul olduğunu gösterebilmelidir.1

Veriler ilgili kişiyle iletişim kurmak için kullanılacaksa bilgi en geç ilk iletişim sırasında verilmelidir. Verilerin başka bir alıcıya açıklanması planlanıyorsa en geç ilk açıklama anı esas alınır. İlk iletişim veya açıklama bir aylık süreden sonraya planlanmış olsa bile üst süre uzamaz. İlk iletişim veya açıklama bir aylık süre dolmadan gerçekleşecekse bilgilendirme bu tarihe kadar yapılmalıdır.2

Veri sorumlusu kişisel verileri elde edildikleri amaçtan başka bir amaçla işlemeyi tasarlıyorsa yeni amaç ile ikinci fıkradaki ilgili ek bilgileri sonraki işleme başlamadan önce açıklamalıdır. Yeni amacın ilk amaçla bağdaşabilir olması bilgilendirme yükümlülüğünü ortadan kaldırmaz. Bilgilendirme de hukuki sebep ve bağdaşabilirlik denetiminin yerine geçemez.1

İlgili kişi hangi bilgilere zaten sahipse istisna yalnız o bilgiler bakımından uygulanır. İnternette erişilebilir bir gizlilik metninin bulunması kişinin o bilgiye gerçekten sahip olduğunu tek başına gösteremez. Veri sorumlusu, hangi bilginin daha önce ne zaman ve nasıl verildiğini ve bilginin güncelliğini koruduğunu ortaya koymalıdır.2

GDPR m.14/5-b, bilgi vermenin imkansız olduğu veya orantısız çaba gerektirdiği halleri kapsar. Hüküm, bilginin verilmesi işleme amaçlarına ulaşılmasını imkansız hale getirecek veya ciddi ölçüde engelleyecekse de uygulanabilir. Yalnız kişi sayısının fazla olması, verinin eski olması veya iş yükünün artması bu şartlardan birinin gerçekleştiğini gösteremez.1

Kamu yararına arşivleme, bilimsel veya tarihsel araştırma ve istatistik amaçları otomatik bir istisna oluşturmaz. GDPR m.89/1'deki şart ve güvencelerin yanında bilgi vermenin gerçekten imkansız veya orantısız olduğunun ayrıca gösterilmesi gerekir. İstisnaya dayanıldığında ilgili kişinin hak, özgürlük ve meşru menfaatlerini koruyacak uygun tedbirler alınmalıdır. Bilginin kamuya açıklanması bu tedbirlerden biridir.2

Kişisel verilerin elde edilmesi veya açıklanması, veri sorumlusunun tabi olduğu Birlik ya da üye devlet hukukunda açıkça düzenlenmişse GDPR m.14/5-c gündeme gelebilir. İlgili düzenleme, kişinin meşru menfaatlerini koruyan uygun tedbirleri de içermelidir.1 ABAD, başka bir kişiden alınan verileri kullanarak veri sorumlusunun görevi sırasında ürettiği kişisel verilerin de GDPR m.14 kapsamına girebileceğini kabul etmiştir. Divana göre kanuni düzenleme, en az GDPR m.14/1 ila m.14/4'ün sağladığı düzeyde koruma sağlamalıdır.2

GDPR m.14/5-d, Birlik veya üye devlet hukukunda düzenlenen mesleki sır yükümlülüğü nedeniyle kişisel verinin gizli kalması gereken hallere ilişkindir. Yalnız sözleşmesel bir gizlilik kaydı bu bent için yeterli değildir. Sır yükümlülüğünün veri sorumlusunu bağladığı ve ilgili bilgilerin verilmesini yasakladığı gösterilmelidir.3

Profil oluşturma dahil olmak üzere GDPR m.22/1 ve m.22/4 kapsamındaki otomatik karar verme süreçleri bulunuyorsa bu durum, kullanılan mantık hakkında anlamlı bilgi, işlemenin taşıdığı önem ve ilgili kişi için öngörülen sonuçlarla birlikte açıklanmalıdır.1 Karmaşık bir formülün veya kaynak kodunun verilmesi tek başına anlamlı ve anlaşılır bilgilendirme sağlayamaz.2

ABAD, kredi skorunun üçüncü kişinin kararında belirleyici rol oynadığı hallerde skor üretiminin GDPR m.22/1 kapsamında otomatik karar sayılabileceğini kabul etmiştir. Mahkeme ayrıca erişim hakkı bağlamında, fiilen uygulanan usul ve esasların ilgili kişiye anlaşılır biçimde açıklanması gerektiğini belirtmiştir.3 Bu ölçütler, GDPR m.14/2-g'deki anlamlı bilgi yükümlülüğünün yorumunda dikkate alınabilir. Bununla birlikte, erişim talebi üzerine kişiye özgü olarak yapılacak açıklamanın kapsamı ile ilk bilgilendirmenin kapsamı aynı değildir.

KVKK m.10'da, kişisel verilerin ilgili kişiden veya başka bir kaynaktan elde edilmesine göre farklı bilgi unsurları öngörülmemiştir. Aydınlatma Tebliği uyarınca kişisel veriler ilgili kişiden elde edilmemişse bilgi makul süre içinde verilmelidir. İlgili kişiyle iletişim kurulacaksa bilgi en geç ilk iletişim sırasında, veri aktarılacaksa en geç ilk aktarım sırasında verilmelidir.1 GDPR'dan farklı olarak Aydınlatma Tebliğinde açık bir aylık üst sınır bulunmaz.2

GDPR m.14, veri kategorisi, kaynağın kamuya açık olup olmadığı ve otomatik kararlar gibi ek bilgi unsurlarını açıkça sayar. KVKK m.10 uyarınca ise toplama yöntemi açıklanmalıdır.3 Toplama yöntemi ile veri kaynağı aynı bilgi değildir. KVKK m.28'deki faaliyet ve amaç temelli istisnalar da GDPR m.14/5'teki bilgiye sahip olma, imkansızlık, kanuni düzenleme ve mesleki sır istisnalarıyla bire bir eşleştirilemez.4