Madde 4

Kişisel veri, kimliği belirli veya belirlenebilir bir gerçek kişiyle ilgili her türlü bilgidir. Bilginin kişiye ad veya kimlik numarasıyla doğrudan bağlanması gerekmez. Konum verisi, çevrim içi tanımlayıcı ya da kişinin fiziksel, ekonomik, kültürel veya toplumsal kimliğine ilişkin bir unsur da somut bağlamda kişiyi belirlenebilir kılabilir.1

Bilginin kişiyle ilgili olup olmadığı yalnız içeriğine bakılarak belirlenmez. İşlemenin amacı veya kişi üzerindeki muhtemel etkisi de bu bağlantıyı kurabilir. Belirlenebilirlik değerlendirmesinde, kişinin kimliğini tespit etmek için veri sorumlusu veya başka bir kişi tarafından kullanılması makul ölçüde beklenebilecek araçlar dikkate alınır. Bu incelemede maliyet, süre, mevcut teknoloji ve teknolojik gelişmeler de gözetilir.2

ABAD, Nowak kararında sınav kağıdındaki cevapları ve değerlendiricinin notlarını adayla ilgili kişisel veri saymıştır.3 Breyer kararında dinamik IP adresinin niteliği, veriyi elinde tutan kişinin üçüncü bir taraftaki ek bilgiye hukuken ve fiilen ulaşma imkanı gözetilerek değerlendirilmiştir.4 IAB Europe kararında ise bir karakter dizisinin başka bilgilerle makul biçimde birleştirilerek kullanıcıyla ilişkilendirilebildiği ölçüde kişisel veri olabileceği kabul edilmiştir.5

İşleme, kişisel veriler üzerinde otomatik yollarla veya başka biçimde gerçekleştirilen herhangi bir işlem ya da işlem dizisidir. Toplama, kaydetme, düzenleme, saklama, değiştirme, sorgulama, açıklama, silme ve yok etme hükümde örnek olarak sayılmıştır. Sayılan işlemler sınırlı değildir.1

Bir hareketin m.4/2 anlamında işleme sayılması, GDPR'ın o faaliyete uygulanması için tek başına yeterli değildir. Maddi ve ülkesel kapsam şartları ile varsa istisnalar ayrıca incelenecektir. ABAD, IAB Europe kararında aynı veri akışındaki farklı işleme aşamalarını ve ortak veri sorumluluğunu birbirinden ayırarak değerlendirmiştir.2 Bu nedenle bir kişinin toplama, üretme, paylaşma veya kullanma aşamalarından birine katkıda bulunması, onu bütün aşamalardan sorumlu hale getirmez.

İşlemenin kısıtlanması, saklanan kişisel verinin daha sonra işlenmesini sınırlamak üzere işaretlenmesidir. Kısıtlama, silme veya anonim hale getirmeden farklıdır. Kısıtlanan veri kural olarak saklanabilir, ancak GDPR m.18/2'de sayılan haller dışında işlenemez. Verinin ayrı bir sisteme taşınması, erişimin kaldırılması veya yayımlanmış verinin geçici olarak siteden çıkarılması kısıtlama için kullanılabilecek yöntemlerdendir.3

Profilleme, bir gerçek kişiye ilişkin belirli kişisel yönleri değerlendirmek amacıyla kişisel verilerin otomatik biçimde işlenmesidir. İş performansının, ekonomik durumun, sağlığın, kişisel tercihlerin, ilgi alanlarının, güvenilirliğin, davranışların, konumun veya hareketlerin çözümlenmesi ya da tahmin edilmesi hükümde örnek olarak sayılmıştır.1

Profilleme ile GDPR m.22'de düzenlenen, yalnız otomatik işlemeye dayalı karar aynı kavram değildir. Bir faaliyet m.4/4 anlamında profilleme oluşturduğu halde hukuki sonuç doğuran veya kişiyi benzer ölçüde önemli biçimde etkileyen bir karar bulunmayabilir. ABAD, SCHUFA kararında kredi skorunun üçüncü kişinin kararında belirleyici rol oynaması halinde m.22 kapsamındaki kararın bir parçası sayılabileceğini kabul etmiştir.2 Bu sebeple profilleme çıktısının sonraki karardaki fiili etkisi somut olayda ayrıca incelenecektir.

Profilin hazırlanması, başka bir kişiye iletilmesi ve nihai kararda kullanılması ayrı işleme aşamalarıdır. Her kişinin sıfatı ve sorumluluğu, bu aşamalardaki kararları ve katkısı dikkate alınarak belirlenecektir.3 İlgili kişinin m.15/1-h uyarınca talep edebileceği anlamlı bilgi, kullanılan yöntemin yalnız teknik ayrıntılarıyla sınırlı değildir.4

Takma ad kullanımı, kişisel verinin ek bilgi olmadan belirli bir kişiyle ilişkilendirilemeyecek biçimde işlenmesini ve bu ek bilginin ayrı tutulmasını gerektirir. Ek bilgiye teknik ve idari tedbirlerin uygulanması da tanımın bir unsurudur. Bu işlem, veriyi kural olarak GDPR'ın kapsamından çıkarmaz. Ek bilgi yardımıyla kişiyle yeniden bağlantı kurulabildiği sürece veri, kişisel veri niteliğini korur.1

Takma ad kullanımı, anonim hale getirmeden farklıdır. Makul biçimde kullanılması beklenebilecek araçlarla kişi artık belirlenemiyorsa anonim veriden söz edilebilir. Değerlendirmede, ilgili kişinin kimliğini belirleyebilecek kişilerin imkanları ve ek bilgiye erişim olasılığı gözetilecektir.2 Bu nedenle yalnızca adın kaldırılması veya verinin bir kodla değiştirilmesi anonimlik için yeterli değildir.

Dosyalama sistemi, belirli ölçütlere göre erişilebilen yapılandırılmış bir kişisel veri kümesidir. Sistemin merkezi veya dağınık olması sonucu değiştirmez. ABAD, Jehovan todistajat kararında özel bir liste biçimi veya sabit sayıda erişim ölçütü aramamıştır.3 Bu yaklaşım, otomatik olmayan işlemenin m.2/1 uyarınca maddi kapsama girip girmediği belirlenirken kayıt düzeninin işlevine bakılmasını gerektirir.

Veri sorumlusu, işlemenin amaç ve araçlarını tek başına veya başkalarıyla birlikte belirleyen gerçek ya da tüzel kişi, kamu makamı, kurum veya başka bir organdır. Sözleşmede kullanılan adlandırma değil, fiili karar yetkisi belirleyicidir. Veri sorumluluğu için bütün araçların belirlenmesi şart değildir. Amaçların ve temel araçların belirlenmesi yeterli olabilir.1

Veri işleyen, kişisel verileri veri sorumlusu adına işleyen ayrı bir kişidir. Talimatlara bağlı olması, işlemenin hiçbir ayrıntısında takdir yetkisi kullanamayacağı anlamına gelmez. Buna karşılık kendi amaçlarını belirlediği faaliyetler bakımından veri sorumlusu sayılabilir. Aynı tüzel kişinin çalışanları ise işverenlerinin yetkisi altında hareket ettikleri sürece ayrıca veri işleyen sıfatını kazanmaz.2

Ortak veri sorumluluğu, tarafların eşit ölçüde karar vermesine, aralarında yazılı bir sözleşme bulunmasına veya verilere birlikte erişmelerine bağlı değildir. Kararlar birlikte alınmış olabileceği gibi, ayrı ayrı alınan kararlar da birbirini tamamlayarak işlemenin amaç ve araçlarını belirleyebilir.3 Her bir tarafın sorumluluğu, bu belirlemeye katıldığı işlem veya işlem aşamaları esas alınarak tayin edilecektir.4

Alıcı, üçüncü taraf olup olmadığına bakılmaksızın kişisel verilerin açıklandığı gerçek ya da tüzel kişi, kamu makamı, kurum veya başka bir organdır. Bu sebeple veri işleyen de verilerin kendisine açıklanması halinde alıcı olabilir. Belirli bir soruşturma kapsamında, Birlik veya üye devlet hukukuna dayanarak veri alan kamu makamları ise m.4/9'daki istisnanın şartları gerçekleştiğinde alıcı sayılmaz.1

Üçüncü taraf, ilgili kişi, veri sorumlusu ve veri işleyen ile bunların doğrudan yetkisi altında veri işlemeye yetkili kişiler dışında kalan kişidir. Bir kişinin alıcı veya üçüncü taraf sayılması, verilerin ona açıklanmasını kendiliğinden hukuka uygun hale getirmez. Açıklamanın hangi işleme şartına dayandığı, toplama amacıyla bağdaşıp bağdaşmadığı ve diğer yükümlülüklerin yerine getirilip getirilmediği ayrıca incelenecektir.2 İlgili kişi erişim hakkını kullandığında alıcıların kimliği bildirilmelidir. Alıcılar henüz belirlenemiyorsa bunların kategorilerinin açıklanması yeterli olabilir.3

Rıza, ilgili kişinin özgür iradesiyle verdiği, belirli, bilgilendirmeye dayanan ve tereddüde yer bırakmayan irade açıklamasıdır. İlgili kişi, kişisel verilerinin işlenmesini kabul ettiğini bir beyanla veya açık bir olumlu hareketle göstermelidir. Sessizlik, önceden işaretlenmiş kutu veya hareketsizlik geçerli bir rıza oluşturmaz.1

Rızanın özgür iradeye dayanması için ilgili kişinin gerçek bir seçim imkanına sahip olması ve rıza vermediğinde ya da rızasını geri aldığında bir zarara uğramaması gerekir. Bir hizmetin, rıza gerektirmeyen veri işleme faaliyetlerine rıza gösterilmesi şartına bağlanması veya taraflar arasında belirgin bir güç dengesizliğinin bulunması bu değerlendirmede dikkate alınacaktır. Pazar gücü, rızayı tek başına geçersiz hale getirmez. Bununla birlikte ilgili kişinin gerçek bir seçim imkanına sahip olup olmadığının daha sıkı incelenmesini gerektirir.2

Tanım, geçerli rızanın temel unsurlarını gösterir. Rızanın ispatı, geri alınması ve bir sözleşmenin rıza şartına bağlanması m.7 uyarınca ayrıca değerlendirilecektir. GDPR m.9/2-a ile m.49/1-a'da aranan açık rızada, kabul iradesinin tereddüde yer bırakmayacak biçimde ortaya konması gerekir.3 ABAD, imzalanmış bir sözleşmede önceden hazırlanmış bir kayıt bulunmasının veri sorumlusunu rızayı ispat yükünden kurtarmayacağını Orange Romania kararında belirtmiştir.4

Kişisel veri ihlali, iletilen, saklanan veya başka biçimde işlenen kişisel verinin hukuka aykırı olarak ya da kazara yok edilmesine, kaybına, değiştirilmesine, yetkisiz açıklanmasına veya veriye erişilmesine yol açan güvenlik ihlalidir. Gizlilik, bütünlük ve erişilebilirlik kayıplarından biri ya da birkaçı aynı olayda gerçekleşebilir.1

Her bilgi güvenliği olayı kişisel veri ihlali değildir. Olayın, kişisel veriler bakımından tanımda sayılan sonuçlardan en az birine yol açması gerekir. Buna karşılık yetkisiz kişinin verilere eriştikten sonra bunları kullandığının kanıtlanması her durumda aranmaz. Yetkisiz erişimin gerçekleşmiş olması, tanımın uygulanması için yeterli olabilir.2

Bir olayın m.4/12 anlamında ihlal oluşturması, denetim makamına veya ilgili kişiye bildirimde bulunulmasını ve tazminat ödenmesini kendiliğinden gerektirmez. GDPR m.33 ve m.34'teki risk eşikleri ile m.82'deki zarar ve illiyet şartları ayrıca incelenecektir.3 ABAD, saldırının üçüncü bir kişi tarafından gerçekleştirilmiş olmasının alınan güvenlik tedbirlerini tek başına uygun veya uygunsuz hale getirmediğini Natsionalna agentsia za prihodite kararında belirtmiştir.4

Genetik veri, gerçek kişinin kalıtımla geçen veya sonradan kazanılmış genetik özellikleri hakkında bilgi veren kişisel veridir. Bu özelliklerin kişinin fizyolojisi veya sağlığı hakkında benzersiz bilgi vermesi gerekir. Bilgi özellikle biyolojik bir numunenin analizinden elde edilebilir, ancak tanım yalnız bu yolla elde edilen verilerle sınırlı değildir.1

Biyometrik veriden söz edilebilmesi için üç unsurun birlikte bulunması gerekir. Veri, kişinin fiziksel, fizyolojik veya davranışsal bir özelliğine dayanmalı ve özel bir teknik işlemden geçirilmelidir. Ayrıca kişiyi benzersiz biçimde belirlemeye veya kimliğini doğrulamaya elverişli olmalıdır. Bu sebeple sıradan bir fotoğraf, yalnızca bir kişinin görüntüsünü içerdiği için her durumda biyometrik veri sayılmaz. Fotoğrafın yüz tanıma gibi özel bir teknikle kimliği benzersiz biçimde belirlemek amacıyla işlenmesi halinde değerlendirme değişebilir.2

Sağlık verisi, sağlık hizmetlerinin sunulması sırasında elde edilenler de dahil olmak üzere, kişinin fiziksel veya ruhsal sağlığı hakkında bilgi veren kişisel veridir.3 Bilginin sağlık durumunu doğrudan açıklaması şart değildir. Başka verilerle birlikte değerlendirildiğinde sağlık durumunu ortaya çıkaran veya buna ilişkin bir çıkarıma imkan veren bilgiler de tanımın kapsamına girebilir.4 Bu verilerin m.4'te tanımlanmış olması, bunlara ilişkin her işleme faaliyetinin yasak olduğu anlamına gelmez. İşlemenin hukuka uygunluğu, GDPR m.9'daki özel nitelikli veri düzenine göre ayrıca belirlenecektir.5

Ana kuruluş, veri sorumlusu ile veri işleyen bakımından farklı ölçütlere göre belirlenecektir. Veri sorumlusunun Birlik içinde birden fazla kuruluşu varsa kural olarak merkezi idaresinin bulunduğu yer esas alınır. İşlemenin amaç ve araçlarına ilişkin kararlar Birlik içindeki başka bir kuruluşta alınıyor ve bu kuruluş kararları uygulatma yetkisine sahip bulunuyorsa ana kuruluş bu ikinci yer olabilir. Veri işleyenin Birlik içinde merkezi idaresi yoksa, GDPR uyarınca belirli yükümlülüklere tabi olduğu başlıca işleme faaliyetlerinin yürütüldüğü kuruluş dikkate alınacaktır.1

Temsilci, GDPR m.27 uyarınca yazılı olarak görevlendirilen ve Birlik içinde yerleşik bulunan gerçek veya tüzel kişidir.2 Bir temsilcinin atanması, veri sorumlusu veya veri işleyenin kendi yükümlülük ve sorumluluğunu ortadan kaldırmaz. Ayrıca temsil edilen kişi bakımından tek başına Birlik içinde bir kuruluş veya ana kuruluş meydana getirmez.3

Denetim makamı, bir üye devletin GDPR m.51 uyarınca kurduğu bağımsız kamu makamıdır. Veri sorumlusu veya veri işleyenin o üye devlette kurulu olması, orada ikamet eden kişilerin işlemeden önemli ölçüde etkilenmesi ya da etkilenme ihtimali veya makama şikayette bulunulması, ilgili denetim makamı sıfatının kazanılmasını sağlayabilir. İlgili denetim makamı olmak, sınır ötesi bir dosyada lider denetim makamı olmayı kendiliğinden sağlamaz.4

Sınır ötesi işleme iki durumda söz konusu olur. İlkinde, kişisel veriler veri sorumlusunun veya veri işleyenin birden fazla üye devlette bulunan kuruluşlarının faaliyetleri kapsamında işlenir. İkincisinde ise işleme Birlik içindeki tek bir kuruluşun faaliyeti kapsamında yapılmakla birlikte, birden fazla üye devletteki kişileri önemli ölçüde etkiler veya etkileme ihtimali taşır.1

Kişisel verilerin bir ülke sınırını geçmesi, tek başına sınır ötesi işleme sayılması için yeterli değildir. Birden fazla üye devlette kuruluş veya önemli etki bağlantısı bulunmadan gerçekleşen her sınır aşan iletim m.4/23 kapsamına girmez. Tanım, esas olarak lider denetim makamı ile ilgili denetim makamları arasındaki iş birliği düzeninin uygulanıp uygulanmayacağını belirler.2 ABAD, tek durak mekanizmasının diğer ilgili makamların yetkisini bütünüyle ortadan kaldırmadığını Facebook Ireland kararında açıklamıştır.3

İlgili ve gerekçeli itiraz, karar taslağındaki ihlal tespitine veya öngörülen tedbirin GDPR'a uygunluğuna yönelmelidir. İtiraz eden denetim makamı, taslağın ilgili kişiler ile bunların temel hak ve özgürlükleri bakımından doğurduğu riskin önemini açıkça ortaya koymalıdır. Gerektiğinde kişisel verilerin Birlik içindeki serbest dolaşımı bakımından doğacak risk de gösterilecektir. Karar taslağından duyulan genel hoşnutsuzluk, başka bir çözüm önerilmesi veya soyut bir risk ileri sürülmesi tek başına yeterli değildir.4

Teşebbüs, hukuki biçimi ne olursa olsun ekonomik faaliyette bulunan gerçek veya tüzel kişiler ile düzenli biçimde ekonomik faaliyette bulunan ortaklık ve birlikleri kapsar. Kar amacı güdülmemesi, bir faaliyetin ekonomik niteliğini kendiliğinden ortadan kaldırmaz.1 Bununla birlikte m.4/18'deki tanım, idari para cezasının üst sınırının hesaplanmasında kullanılan rekabet hukuku kaynaklı teşebbüs kavramıyla her durumda aynı sonucu doğurmaz.2

Teşebbüsler topluluğu, kontrol eden teşebbüs ile onun kontrolü altındaki teşebbüslerden oluşur. Kontrol, sahiplik veya oy haklarından doğabileceği gibi, sözleşme veya başka yollarla belirleyici etki kurma imkanına da dayanabilir. Şirketlerin aynı topluluk içinde bulunması, onları kendiliğinden ortak veri sorumlusu yapmaz ve topluluk içindeki veri aktarımlarına tek başına hukuki dayanak oluşturmaz.3

Bağlayıcı şirket kuralları, bir üye devlette yerleşik veri sorumlusu veya veri işleyenin, aynı teşebbüsler topluluğu ya da ortak ekonomik faaliyette bulunan teşebbüsler grubu içindeki üçüncü ülke aktarımlarında uyacağı veri koruma politikalarıdır. Bir belgenin bu adla hazırlanması, onu kendiliğinden geçerli bir aktarım aracı haline getirmez. GDPR m.46/2-b ve m.47'de öngörülen içerik ve bağlayıcılık şartları ile yetkili denetim makamının onayı da aranır.4

Bilgi toplumu hizmeti, GDPR m.4/25'in gönderme yaptığı 2015/1535 sayılı Direktife göre kural olarak ücret karşılığında, uzaktan, elektronik araçlarla ve hizmet alıcısının bireysel talebi üzerine sunulur. Ücretin doğrudan kullanıcı tarafından ödenmesi şart değildir. Reklamla veya başka bir ekonomik modelle finanse edilen çevrim içi hizmetler de tanımın diğer unsurlarını taşımaları halinde bu kapsama girebilir.1

Bir aracılık hizmetinin çevrim içi bölümünün aracılık edilen fiziksel veya mesleki hizmetten ayrılıp ayrılamadığı ayrıca incelenecektir. ABAD, Doctipharma kararında internet sitesi üzerinden eczaneler ile müşteriler arasında reçetesiz ilaç satışını kolaylaştıran hizmeti bu ölçüte göre değerlendirmiştir.2 Bir faaliyetin bilgi toplumu hizmeti sayılması, o faaliyet sırasında yapılan her kişisel veri işleme faaliyetini hukuka uygun hale getirmez.

Uluslararası kuruluş, uluslararası kamu hukukuna tabi bir kuruluş ve ona bağlı organlar ile iki ya da daha fazla devlet arasındaki anlaşmayla veya böyle bir anlaşmaya dayanılarak oluşturulan diğer organları ifade eder. Uluslararası alanda faaliyet gösteren her özel kuruluş bu tanıma girmez. Kavram, özellikle GDPR m.44-49 uyarınca yapılacak aktarım incelemesinde önem taşır. Bir kuruluşun m.4/26 kapsamına girmesi, GDPR'ın uygulanıp uygulanmayacağını, kuruluşun bağışıklıklarını veya aktarımın hukuka uygunluğunu tek başına belirlemez.3

KVKK m.3/1-d ile GDPR m.4/1, kişisel veriyi kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi olarak tanımlar. Bununla birlikte GDPR gerekçe 26, belirlenebilirliği makul araçlar, maliyet, süre ve teknoloji bakımından ayrıntılandırır. KVKK m.3'te aynı ayrıntıda bir açıklama bulunmaz.1

İşleme kavramları da geniş ölçüde örtüşür. KVKK m.3/1-e, otomatik yollarla veya bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla gerçekleştirilen hareketleri tanıma dahil eder. GDPR ise işleme hareketlerini m.4/2'de tanımlar, otomatik olmayan işlemenin dosyalama sistemiyle bağını m.2/1'de kurar.2

GDPR'daki takma ad kullanımı, KVKK m.3/1-b'de tanımlanan anonim hale getirmeden farklıdır. Takma ad kullanılan veri, ek bilgi yardımıyla kişiyle yeniden ilişkilendirilebildiği sürece kişisel veri niteliğini korur. KVKK'daki veri kayıt sistemi ile GDPR'daki dosyalama sistemi benzer bir düzeni ifade eder. Buna karşılık bu kavramların kapsam hükümleriyle ilişkisi her iki düzenlemeye göre ayrı ayrı incelenecektir.3

Veri sorumlusu, veri işleyen ve rıza tanımlarının ortak yönleri bulunmakla birlikte, bu kavramların hukuki sonuçları her düzenlemenin diğer hükümlerine göre belirlenecektir. GDPR m.4/11 genel rıza kavramını tanımlar, açık rızayı ise özel nitelikli veriler ve belirli aktarımlar bakımından ayrıca arar. KVKK m.3/1-a'da tanımlanan temel rıza kavramı ise açık rızadır.4 GDPR m.4'te yer alan alıcı, üçüncü taraf, kişisel veri ihlali, ana kuruluş, ilgili denetim makamı, sınır ötesi işleme ve ilgili ve gerekçeli itiraz gibi kavramların KVKK m.3'te bire bir karşılığının bulunmaması, bunlarla bağlantılı bütün sorunların KVKK bakımından düzenleme dışında kaldığı anlamına gelmez.