Madde 18

İşlemenin sınırlanması, saklanan kişisel verilerin gelecekteki işlenmesini daraltmak amacıyla işaretlenmesidir.1 Veri silinmez ve saklama kural olarak devam eder. Buna karşılık verinin kullanılması, açıklanması ve diğer işleme faaliyetleri GDPR m.18/2'de sayılan hallerle sınırlanır.2

Doğruluk itirazı veya GDPR m.21/1 uyarınca yapılan itiraz incelenirken sınırlama geçici koruma sağlar. Hukuka aykırı işlemede ve ilgili kişinin hukuki talepleri için veriye ihtiyaç duyduğu hallerde ise sınırlama, verinin silinmesini önleyebilir.3

Sınırlamanın teknik biçimi tek bir yöntemle belirlenmemiştir. Verinin başka bir sisteme geçici olarak taşınması, kullanıcıların erişimine kapatılması veya internet sitesinden geçici olarak kaldırılması kullanılabilecek yöntemler arasındadır. Seçilen yöntem, sınırlamanın sistemde açıkça görülmesini ve verinin sınırlama dışında kalan işleme faaliyetlerine konu edilmemesini sağlamalıdır.4

İlgili kişi kişisel verilerin doğruluğuna itiraz ederse veri sorumlusu, doğruluğu denetlemek için gerekli süre boyunca işlemeyi sınırlamalıdır.1 İlgili kişi, doğruluğuna itiraz ettiği veriyi ve itirazının dayanağını veri sorumlusunun inceleme yapmasına elverecek açıklıkta göstermelidir. Talebin yeterliliği, doğruluk incelemesini başlatabilecek somutlukta olup olmadığına göre belirlenecektir.2

Sınırlamanın süresi sabit bir gün veya hafta sayısıyla belirlenmez. Ancak doğruluk incelemesi, GDPR m.5/1-d ile m.16'da öngörülen doğruluk ve gecikmeksizin düzeltme gerekleri karşısında gereksiz yere uzatılamaz.3 Verinin doğru olduğu belirlenirse sınırlama kaldırılabilir. Yanlış veya eksik olduğu anlaşılırsa GDPR m.16 uyarınca gecikmeksizin düzeltilmesi veya tamamlanması gerekir.4

İşleme hukuka aykırı olduğu halde ilgili kişi verilerin silinmesine karşı çıkabilir ve bunun yerine işlemenin sınırlanmasını isteyebilir.1 Bu düzenleme, verilerin varlığını korumakta menfaati bulunan kişinin silme sonucuna zorlanmasını önler. Uyuşmazlıkta delil olarak kullanılacak kayıtların korunması bu duruma örnek olabilir.2

Hakkın kullanılabilmesi için hangi işleme faaliyetinin hukuka aykırı olduğu gösterilmelidir. GDPR m.18/1-b, hukuka aykırılığın kesinleşmiş bir mahkeme veya denetim makamı kararıyla belirlenmesini açıkça şart koşmaz. Buna karşılık doktrinde, salt uyuşmazlık ileri sürülmesini yeterli görmeyen ve hukuka aykırılığın nesnel olarak belirlenmesini arayan bir görüş bulunmaktadır.3

Silme yerine sınırlama seçildikten sonra veri sorumlusu, saklama dışındaki işlemleri GDPR m.18/2'deki sebeplerden biri bulunmadıkça sürdüremez.4 Bu seçim, hukuka aykırı işlemin geleceğe dönük olarak hukuka uygun hale gelmesi sonucunu doğurmaz.5

Veri sorumlusunun işleme amacı bakımından veriye artık ihtiyacı bulunmasa bile ilgili kişi, bir hukuki talep ileri sürmek veya böyle bir talebe karşı savunma yapmak için veriye ihtiyaç duyabilir. Bu durumda silme yerine sınırlama istenebilir.1

Maddenin lafzı hukuki talebi açılmış bir davayla sınırlamaz.2 Ancak veriye duyulan ihtiyaç somutlaştırılmalıdır. Salt soyut bir uyuşmazlık ihtimali, verilerin belirsiz süreyle saklanmasını haklı kılamaz.3

Bu sebebe dayanan sınırlama, veri sorumlusuna veriyi kendi amaçları için kullanma yetkisi vermez. Saklanan verinin hukuki talep dışında işlenmesi, GDPR m.18/2'de ayrıca sayılan bir sebebe dayanmalıdır.4

İlgili kişi GDPR m.21/1 uyarınca işlemeye itiraz ettiğinde, veri sorumlusunun işlemeyi sürdürmek için ileri sürdüğü zorlayıcı meşru sebeplerin ilgili kişinin menfaat, hak ve özgürlüklerine üstün gelip gelmediği incelenecektir. Bu inceleme tamamlanıncaya kadar işlemenin sınırlanması istenebilir.1

Sınırlama, itirazın kabul edildiği veya verilerin silineceği anlamına gelmez. İnceleme boyunca veriler saklanabilir.2 Veri sorumlusu, işlemenin sürmesini haklı kılan zorlayıcı ve üstün meşru sebepleri ortaya koyamazsa işlemeyi durdurmalıdır. İlgili kişi silme talebinde bulunmuşsa GDPR m.17/1-c ayrıca uygulanacaktır.3

Veri sorumlusu talep üzerine işlem yapmayacaksa bunun gerekçesini ve başvurulabilecek idari veya yargısal yolları ilgili kişiye bildirmelidir.4 Sınırlama kaldırılacaksa ilgili kişiye ayrıca GDPR m.18/3 uyarınca önceden bilgi verilmesi gerekir.5

Sınırlanmış kişisel veriler saklama dışında ancak ilgili kişinin rızasıyla, hukuki talepler için, başka bir kişinin haklarının korunması amacıyla veya Birlik ya da üye devletin önemli bir kamu yararı nedeniyle işlenebilir.1 Bu liste, veri sorumlusunun önceki amaçlarına dayanarak işlemeye devam etmesine imkan vermez.2

İlgili kişinin rızası, yalnız rızanın kapsadığı işleme faaliyetlerine izin verir.3 Hukuki talep veya başka bir kişinin hakkı, yalnız bu amaç için gereken işleme ölçüsünde GDPR m.18/2'ye dayanak oluşturabilir.4

Sınırlama kaldırılmadan önce ilgili kişiye bilgi verilmesi zorunludur.5 Bildirim, kişinin duruma göre düzeltme, silme, itiraz veya başvuru yollarına zamanında başvurabilmesini sağlayacak kadar erken yapılmalıdır.6

KVKK'da GDPR m.18'e karşılık gelen açık ve genel bir işlemenin sınırlanması hakkı bulunmaz.1 KVKK m.7, işleme sebepleri ortadan kalktığında verilerin silinmesini, yok edilmesini veya anonim hale getirilmesini düzenler. Bu sonuçlar, kişisel verinin varlığını koruyup diğer işlemleri sınırlayan GDPR m.18 düzeniyle aynı değildir.2

KVKK m.11/1-d ila f düzeltme, silme veya yok etme ve bu işlemlerin üçüncü kişilere bildirilmesini isteme haklarını tanır. Maddenin lafzında doğruluk itirazı, hukuki talep veya genel itiraz incelemesi boyunca veriyi yalnız saklamaya özgüleyen bir hak yer almaz.3