Madde 21

Genel itiraz hakkı, GDPR m.6/1-e uyarınca kamu yararına yürütülen bir göreve veya veri sorumlusuna verilen resmi yetkinin kullanılmasına ve m.6/1-f uyarınca meşru menfaate dayanan işlemelere karşı kullanılabilir. Bu hukuki sebeplere dayanan profil oluşturma da hakkın kapsamındadır.1

İtiraz, başlangıçta hukuka uygun olan bir işlemenin ilgili kişinin özel durumu nedeniyle yeniden değerlendirilmesini sağlar. Bu yönüyle işlemenin baştan beri hukuka aykırı olduğu iddiasından ayrılır.2

Hakkın kapsamı m.6/1-e ve f ile sınırlıdır. Rıza veya sözleşmeye dayanan bir işlemeye sırf m.21/1 uyarınca itiraz edilemez.3

İlgili kişi, itirazını kendi özel durumuyla ilişkilendiren olguları veri sorumlusunun anlayabileceği ölçüde ortaya koymalıdır. İtirazın herhangi bir gerekçe içermemesi, m.21/1'de aranan özel durum unsurunun ortaya konulması için yeterli olmayabilir.1 Bununla birlikte ilgili kişiden, veri sorumlusunun menfaatlerinin kendi hak ve özgürlüklerine üstün gelmediğini kanıtlaması beklenemez.2

İşlemeyi sürdürmek isteyen veri sorumlusu, ilgili kişinin hak ve özgürlüklerine üstün gelen zorlayıcı meşru sebepleri veya işlemenin hukuki taleplerin ileri sürülmesi, kullanılması ya da savunulması için gerekli olduğunu kanıtlamalıdır.3 Daha önce m.6/1-f kapsamında yapılan genel menfaat değerlendirmesinin tekrarlanması yeterli değildir. İtirazın reddedilebilmesi için, ilgili kişinin özel durumuna rağmen ağır basan zorlayıcı sebepler gösterilmelidir.4

İtirazın sonucu, itiraza konu amaç ve işleme faaliyeti bakımından belirlenecektir. Bir amaca yönelik itirazın kabul edilmesi, başka bir hukuki sebebe dayanan bağımsız bir işlemeyi kendiliğinden sona erdirmez.5

İtirazın incelenmesi sırasında, veri sorumlusunun sebeplerinin ağır basıp basmadığı belirleninceye kadar işlemenin sınırlanması istenebilir. Bu geçici koruma, itirazın kabul edildiği veya verilerin silineceği anlamına gelmez.1 Sınırlama süresince veriler saklanabilir. GDPR m.18/2'de sayılan haller dışında başka bir işleme yapılamaz.2

Veri sorumlusu zorlayıcı ve ağır basan sebepleri kanıtlayamazsa itiraza konu işleme sürdürülemez.3 GDPR m.17/1-c, itirazın başarılı olması ile silme hakkı arasında bağlantı kurar. İlgili kişi silme talebinde bulunursa veri sorumlusu, m.17/3'teki bir istisna bulunmadıkça verileri silecektir.4

ABAD, itiraz üzerine ağır basan sebepleri kanıtlama yükünün veri sorumlusunda olduğunu ve şartlar oluştuğunda ilgili kişinin silme talebinde bulunabileceğini belirtmiştir.5 Karardan, itirazın ulaştığı anda bütün verilerin ayrıca talep aranmadan kesin olarak silineceği sonucu çıkarılamaz.6

Kişisel veriler doğrudan pazarlama amacıyla işleniyorsa ilgili kişi bu işlemeye her zaman itiraz edebilir. Bunun için özel durum açıklanması veya menfaatlerin yeniden dengelenmesi gerekmez. İtiraz, doğrudan pazarlamayla bağlantılı profil oluşturmayı da kapsar.1

İtirazdan sonra kişisel veriler doğrudan pazarlama amacıyla artık işlenemez. Bu sonuç yalnız doğrudan pazarlama amacı bakımından kesindir.2 Aynı verinin başka bir amaçla işlenmesi, o amaca özgü geçerli bir hukuki sebep varsa ve amaçların ayrılması mümkünse devam edebilir.3

Gelecekte aynı kişiye yeniden pazarlama yapılmasını önlemek için sınırlı bir itiraz kaydının tutulabileceği doktrinde kabul edilmektedir.4 Bu kayıt doğrudan pazarlama için kullanılamaz. Tutulacak veri, itiraza uyulmasını sağlayacak asgari içerik ve bunun için gerekli süreyle sınırlı olmalıdır.5

İtiraz hakkı en geç ilgili kişiyle kurulan ilk iletişim sırasında açıkça bildirilmelidir. Bildirim diğer bilgilerden ayrı, anlaşılır ve görünür biçimde sunulacaktır. Hakkın yalnız uzun bir gizlilik metni içinde anılması bu ölçüyü karşılamayabilir.1

Bilgi toplumu hizmetlerinde itiraz, teknik özelliklerden yararlanan otomatik yöntemlerle kullanılabilir. Ancak belirli bir tarayıcı ayarının veya sinyalin her durumda geçerli itiraz sayıldığı söylenemez. Sinyalin anlamı, kapsamı ve veri sorumlusuna ulaşıp ulaşmadığı somut teknik düzende incelenecektir.2

Veri sorumlusu talebi kural olarak bir ay içinde ve ücretsiz olarak sonuçlandırmalıdır. Talep reddedilirse ret gerekçesi ile denetim makamına ve yargı yoluna başvuru imkanları açıklanacaktır.3

Bilimsel veya tarihsel araştırma ile istatistik amaçlı işlemelerde ilgili kişi, kendi özel durumuyla ilgili sebeplere dayanarak itiraz edebilir. Hüküm, m.89/1'deki güvencelerle birlikte uygulanır.1

İşleme kamu yararı gerekçesiyle yürütülen bir görevin yerine getirilmesi için gerekliyse m.21/6'daki itiraz hakkı uygulanmaz. Bu istisna, bütün araştırma veya istatistik faaliyetlerini kapsam dışına çıkarmaz. İstisnaya dayanılabilmesi için görevin kamu yararı amacıyla yürütüldüğü ve işlemenin bu görev için gerekli olduğu gösterilmelidir.2

İspat yükünün nasıl dağıtılacağı ve kamu yararı istisnasının sınırı doktrinde tartışmalıdır. GDPR m.21/1'deki zorlayıcı ve ağır basan sebep ölçütü, m.21/6'nın farklı lafzı göz ardı edilerek aynen uygulanamaz.3

KVKK m.11/1-g, yalnız kişisel verilerin münhasıran otomatik sistemlerle analiz edilmesi sonucunda kişinin aleyhine bir sonucun ortaya çıkmasına itirazı düzenler. Bu hüküm, GDPR m.21/1'deki kamu görevi veya meşru menfaat temelli işlemeye yönelik genel itiraz hakkının karşılığı değildir.1

KVKK m.11'de doğrudan pazarlamaya özgü, özel durum açıklanmadan kullanılabilen bir itiraz hakkı bulunmaz.2

GDPR m.17/1-c, başarılı itiraz ile silme hakkı arasında açık bağlantı kurar. KVKK m.7 ve m.11'de aynı bent yapısı yer almaz. Türk hukukunda silme sonucu, işleme sebeplerinin ortadan kalkıp kalkmadığı ve uygulanabilir özel hükümler üzerinden belirlenecektir.3