Madde 23

GDPR m.23, Tüzüğün bütün hükümleri için geçerli genel bir istisna düzenlemez. Birlik veya üye devlet hukuku, m.12 ila m.22'deki hak ve yükümlülükler ile m.34'teki veri ihlali bildiriminin kapsamını ancak maddede aranan şartlarla sınırlayabilir.1

GDPR m.5'teki ilkeler de doğrudan ve bütünüyle sınırlamaya açık değildir. Bir ilke, m.12 ila m.22'deki hak veya yükümlülüklerden birine karşılık geldiği ölçüde m.23 kapsamına alınabilir.2 Bu bağlantı kurulmadan amaçla sınırlılık veya saklama süresi gibi bir ilkenin m.23'e dayanılarak genel biçimde etkisiz bırakılması mümkün değildir.3

Maddenin saydığı hükümler dışında kalan bir yükümlülük için başka bir hukuki dayanak aranacaktır. Bu nedenle sınırlamaya konu hüküm ile sınırlamanın kapsamı, düzenleyici metinde ayrı ayrı gösterilmelidir.4

Sınırlama, veri sorumlusunun uygulaması veya kamu makamının genel talimatıyla kurulamaz. Birlik veya üye devlet hukukunda yasama tedbiri niteliği taşıyan bir düzenlemeye dayanmalıdır. Bu ifade, her durumda parlamentonun kabul ettiği biçimsel bir kanunu zorunlu kılmaz. Ancak dayanak, sınırlamanın hangi şartlarda ve ne ölçüde uygulanacağını ilgililerin öngörebileceği açıklıkta göstermelidir.1

ABAD, SIA “SS” kararında vergi idaresinin bilgi talebini m.23 bakımından incelemiştir. Divana göre uygulanacak hukuk, sınırlamanın kapsamını belirleyen açık ve kesin kurallar ile kötüye kullanma riskine karşı asgari güvenceleri içermelidir.2 İdarenin görevine ilişkin genel bir yetki hükmü, sınırlamanın şartlarını göstermiyorsa m.23'ün aradığı kanuni dayanağın yerini alamaz.3

Düzenleme, sınırlanan hakkı ve uygulama şartlarını önceden belirlemelidir. Yetkili makamın sonradan kuracağı sınırsız bir takdir alanı, öngörülebilirlik eksikliğini gideremez.4

GDPR m.23/1-a ila j, sınırlamanın dayanabileceği amaçları sınırlı biçimde sayar. Milli güvenlik, savunma, kamu güvenliği, suçla mücadele, önemli kamu yararı amaçları, yargı bağımsızlığının korunması, düzenlenmiş mesleklerde etik ihlallerinin denetlenmesi, belirli kamu gücü işlevleri, başkalarının hakları ve özel hukuktan doğan taleplerin icrası bu kapsamda yer alır.1

Sayılmış bir amacın bulunması, sınırlamayı kendiliğinden hukuka uygun hale getirmez. Tedbir temel hak ve özgürlüklerin özüne saygı göstermeli, demokratik bir toplumda gerekli ve orantılı olmalıdır.2 Bunun için sınırlamanın amaca ulaşmaya elverişli olup olmadığı, aynı amaca daha az müdahaleyle ulaşılıp ulaşılamayacağı ve hakka verilen ağırlık ile elde edilen kamu yararı arasındaki denge incelenecektir.3

Gerekçe 73, bu şartların Avrupa Birliği Temel Haklar Şartı ile Avrupa İnsan Hakları Sözleşmesi'ndeki güvencelerle birlikte uygulanacağını belirtir. Kamu yararının genel biçimde anılması, gereklilik ve ölçülülük incelemesini ortadan kaldıramaz.4

Sınırlamayı getiren düzenleme, ilgili olduğu ölçüde m.23/2'de sayılan hususlar hakkında özel hükümler içermelidir. İşlemenin amacı, veri kategorileri, sınırlamanın kapsamı, veri sorumlusu veya sorumlu grupları ile saklama süreleri bu çerçevenin başlıca unsurlarıdır.1

Düzenlemede kötüye kullanmayı, hukuka aykırı erişimi ve aktarımı önleyecek güvenceler de gösterilmelidir. İlgili kişilerin hak ve özgürlükleri bakımından doğan riskler belirlenmeli, sınırlamanın ilgili kişiye bildirilip bildirilmeyeceği açıklanmalıdır. Bildirim ancak sınırlamanın amacına zarar verecekse kaldırılabilir.2

İkinci fıkradaki “ilgili olduğu ölçüde” kaydı, düzenleyici makama unsurları gerekçesiz biçimde atlama yetkisi vermez. Bir unsurun somut tedbir bakımından neden ilgisiz olduğu açıklanabilmelidir. Aksi halde sınırlamanın kapsamı ve denetlenebilirliği belirsiz kalacaktır.3

GDPR m.23/1, m.5'teki bir ilkenin ancak m.12 ila m.22'deki hak ve yükümlülüklere karşılık geldiği ölçüde sınırlanmasına izin verir. Bu kayıt, m.5 için bağımsız ve genel bir istisna oluşturulmasını önler.1

ABAD, SIA “SS” kararında m.23 uyarınca kabul edilmiş bir yasama tedbiri bulunmadıkça m.5'teki yükümlülüklerden sapılamayacağını belirtmiştir.2 Bu nedenle kamu makamının bilgi isteme yetkisi, talep edilen işlemenin amaçla sınırlılık, veri minimizasyonu veya saklama süresi ilkelerinden kendiliğinden ayrılmasını sağlayamaz.3

Bir ilkeye getirilen sınırlama, ilgili hakla bağlantısı ve amaç için gerekli olduğu bölümle sınırlı tutulmalıdır. Hakkın kullanımının geçici olarak ertelenmesi ile ilkenin bütün işleme süresince uygulanmaması aynı müdahale değildir.4

GDPR m.23, bütün sınırlamalar için tek bir azami süre belirlemez. Bununla birlikte saklama süresi ve uygulanacak güvenceler, ilgili olduğu ölçüde sınırlamayı getiren düzenlemede gösterilmelidir.1 Süresiz veya gözden geçirilmeyen bir sınırlamanın gerekliliği, yalnız amacın devam ettiği varsayımına dayandırılamaz.2

İlgili kişiye sınırlama hakkında bilgi verilmesi, m.23/2-h'de ayrıca düzenlenmiştir. Bilgilendirme sınırlamanın amacına zarar verecekse ertelenebilir veya kaldırılabilir. Amaca zarar verme ihtimali sona erdiğinde bilginin sonradan verilip verilmeyeceği, ilgili hakkın etkili kullanılabilmesi ve düzenlemedeki özel şartlar gözetilerek belirlenmelidir.3

Süre, gözden geçirme ve sonradan bilgilendirme güvenceleri sınırlamanın yoğunluğuna göre kurulmalıdır. Bir soruşturmanın belirli aşamasında gerekli olan gizlilik, soruşturma sona erdikten sonra aynı kapsamda sürdürülemeyebilir.4

GDPR m.23, belirli hak ve yükümlülüklerin Birlik veya üye devlet hukukuyla sınırlandırılmasına ilişkin şartları düzenler. KVKK m.28/1 ise bentlerde sayılan işlemeleri KVKK hükümlerinden bütünüyle istisna eder. KVKK m.28/2'deki hallerde yalnız aydınlatma yükümlülüğü, tazminat dışındaki ilgili kişi hakları ve Veri Sorumluları Siciline kayıt yükümlülüğü uygulanmaz.1

KVKK m.28/2, istisnanın KVKK'nin amacına ve temel ilkelerine uygun ve orantılı olmasını arar. GDPR m.23 ise buna ek olarak temel hakların özüne saygı, demokratik toplumda gereklilik ve sınırlamayı getiren düzenlemede bulunacak özel unsurlar hakkında ayrıntılı bir çerçeve kurar.2 Bu nedenle iki hükümdeki sınırlama alanı ve düzenleme tekniği aynı değildir.

KVKK m.28'in şartları, her bent ve istisna edilen hüküm bakımından ayrıca incelenecektir. GDPR m.23'teki amaç veya güvence listesi, Türk hukukundaki istisnanın kapsamını metinde bulunmayan bir yolla genişletmek için kullanılamaz.3