Madde 5

GDPR m.5/1, kişisel verilerin işlenmesinde uyulacak altı ilkeyi düzenler. Hukuka uygunluk şartlarından birinin bulunması, işlemenin bu ilkelere de uygun olması gereğini ortadan kaldırmaz. İlkeler de GDPR m.6, m.9 veya m.10'da aranan işleme şartının yerine geçmez.1 Bu nedenle her işleme faaliyeti, dayanağının yanı sıra amacına, kapsamına, süresine, doğruluğuna, şeffaflığına ve güvenliğine göre de incelenmelidir.

İlkeler yalnız veri toplanırken uygulanmaz. Verinin kopyalanması, başka bir veri tabanına aktarılması, yeni bir amaçla kullanılması ve saklanmaya devam edilmesi de ayrı işleme faaliyetleri oluşturabilir.2 Başlangıçta hukuka uygun olan bir işlemenin sonraki aşaması, o aşamanın amacı ve şartları bakımından ayrıca değerlendirilecektir.

Hukuka uygunluk, işlemenin GDPR'da tanınan bir sebebe dayanmasını gerektirir. Dürüstlük, veri sorumlusunun kişiyi yanıltmamasını ve işleme biçiminin açıklanan çerçeveyle bağdaşmasını arar. Şeffaflık ise verinin kim tarafından, hangi amaçla ve ne ölçüde işlendiğinin ilgili kişi tarafından anlaşılabilmesini gerektirir.1 Ölçütlerden birine uyulmuş olması, diğer ikisindeki eksikliği gideremez.

Şeffaflık için bilginin kolay erişilebilir, anlaşılır, açık ve sade olması gerekir.2 Yalnızca bir aydınlatma metni sunulması yeterli değildir. Açıklanan faaliyet ile fiilen yürütülen işleme de birbiriyle uyumlu olmalıdır. İlgili kişiye bilgi verilmiş olması ise hukuki sebebi bulunmayan bir işlemeyi hukuka uygun hale getiremez.

Başka bir GDPR yükümlülüğüne aykırılık, dayanakla ilişkisi kurulmadan kendiliğinden GDPR m.5/1-a ihlali sayılamaz.3

Kişisel veri, belirli, açık ve meşru amaçlarla toplanmalıdır. Amaç, veri toplanırken işlemenin sınırını gösterecek açıklıkta belirlenmelidir.1 Gelecekte yararlı olabilecek her kullanımı kapsayan genel ifadeler bu sınırı gösteremez. Amacın ilgili kişiye bildirilmiş olması da amacı meşru kılmaya veya işlemeyi hukuka uygun hale getirmeye tek başına yetmez.

Veri daha sonra başka bir amaçla işlenecekse ilk amaç ile yeni amaç arasındaki bağ, toplama bağlamı, taraflar arasındaki ilişki, verinin niteliği, ilgili kişi bakımından doğabilecek sonuçlar ve uygulanan güvenceler birlikte değerlendirilir.2 Bu ölçütlerden hiçbiri tek başına belirleyici değildir. Kamu yararı için arşivleme, bilimsel veya tarihi araştırma ve istatistik amaçları da GDPR m.89/1'deki güvenceler sağlanmadan kendiliğinden bağdaşabilir sayılamaz.

İşlenen veri, amaç bakımından yeterli ve ilgili olmalı, gerekli olanla sınırlı tutulmalıdır.1 İnceleme yalnız kaç kayıt toplandığına göre yapılamaz. Verinin türü ve ayrıntı düzeyi ile kapsanan kişi grubu, erişim yetkileri ve işleme süresi de dikkate alınmalıdır. Tek bir veri dahi niteliği veya kullanım biçimi nedeniyle amaç için gereksiz olabilir.

Amaca kişisel veri kullanmadan veya daha az müdahaleci ve uygulanabilir başka bir araçla ulaşılabiliyorsa seçilen işlemenin gerekli olduğu söylenemez. ABAD da veri minimizasyonu ilkesini ölçülülükle bağlantılı olarak uygulamıştır.2 Bir menfaatin meşru olması, genel ve sınırsız veri toplamayı veya erişimi tek başına haklı kılamaz.

Kişisel veriler doğru olmalı ve gerektiğinde güncel tutulmalıdır.1 Doğruluk, verinin kullanılma amacından bağımsız olarak değerlendirilemez. Geçmişteki bir durumu doğru biçimde gösteren kayıt, kişinin bugünkü durumu hakkında karar vermek için kullanıldığında güncelliğini yitirmiş veya yanıltıcı olabilir. Bu nedenle kaydın içeriği ile somut işleme amacı arasındaki ilişki birlikte değerlendirilecektir.

Veri sorumlusu, amaç bakımından yanlış olan verinin gecikmeden silinmesi veya düzeltilmesi için makul bütün adımları atmalıdır. Bu yükümlülük her verinin maddi doğruluğunun her durumda sağlanacağına ilişkin mutlak bir garanti vermez.2 Kaynağın güvenilirliği, yanlışlığın nasıl öğrenildiği, işlemenin ilgili kişi üzerindeki etkisi ve doğrulama imkanları somut olayda dikkate alınacaktır.

Kişisel veri, işleme amacı için gereken süreden daha uzun süre ilgili kişinin belirlenmesine imkan veren biçimde saklanmamalıdır. Veri sorumlusu, silme tarihini veya saklama gerekliliğinin yeniden değerlendirileceği dönemi önceden belirlemelidir.1 Bütün faaliyetlere uygulanan soyut bir süre, her veri grubu bakımından saklamanın gerekliliğini göstermeye yetmez.

Kanuni bir saklama yükümlülüğü veya hukuki taleplerin ileri sürülmesi ya da kamu yararı için arşivleme gibi başka bir amaç, verinin daha uzun süre saklanmasını gerektirebilir. Böyle bir durumda ilgili hükmün şartları ayrıca gösterilmeli ve erişim ile kullanım yeni amaçla sınırlı tutulmalıdır. Araştırma ve istatistik amacıyla daha uzun süreli saklama da GDPR m.89/1'deki teknik ve organizasyonel güvencelere bağlıdır.2

Bütünlük ve gizlilik ilkesi, kişisel verinin yetkisiz veya hukuka aykırı işlenmeye, kazara kayba, yok olmaya ve zarara karşı uygun teknik ve organizasyonel tedbirlerle korunmasını gerektirir. Tedbirlerin uygunluğu, işlemenin niteliği, kapsamı, bağlamı ve amacı ile kişiler bakımından doğan risk dikkate alınarak belirlenir.1 GDPR m.32, bu ilkeyi veri sorumlusu ve veri işleyen bakımından ayrıntılandırır.

Yetkisiz bir kişinin verilere erişmiş olması, alınan tedbirlerin kendiliğinden yetersiz olduğunu göstermez.2 Güvenlik olayı, tedbirlerin uygunluğuna ilişkin değerlendirmede dikkate alınacaktır. İlke ihlalinin bulunup bulunmadığı ise olaydan önce ve olay sırasında uygulanan tedbirlerin belirlenen risklere uygun olup olmadığı incelendikten sonra belirlenecektir.

Veri sorumlusu, GDPR m.5/1'deki ilkelere uymaktan ve uyduğunu gösterebilmekten sorumludur. Hesap verebilirlik, işlemenin amacı, dayanağı, veri kapsamı, saklama süresi, güvenlik tedbirleri ve sorumluluk dağılımı hakkında denetlenebilir bir iz bırakılmasını gerektirir. Belgelendirme, maddi uyumun yerine geçmez.1

Ortak veri sorumlularına ilişkin düzenlemenin veya işleme faaliyetleri kaydının eksik olması, kendi hukuki sonuçlarını doğurabilir. Bununla birlikte bu eksiklik, incelenen işlemenin sırf bu nedenle hukuka aykırı olduğunu veya verinin kendiliğinden silinmesi gerektiğini göstermez.2 Belgelendirme yükümlülüğüne uyulup uyulmadığı ile işlemenin ilkelere uygunluğu ayrı ayrı incelenecektir.

KVKK m.4 ile GDPR m.5, hukuka uygunluk, dürüstlük, belirli amaç, veri kapsamı, doğruluk ve saklama süresi bakımından yakın işlevler taşır. Bununla birlikte KVKK m.4'te şeffaflık, bütünlük ve gizlilik ile hesap verebilirlik GDPR m.5'teki adlar ve yapıyla ayrı bentler halinde düzenlenmemiştir. Aydınlatma yükümlülüğü KVKK m.10'da, veri güvenliği yükümlülüğü ise KVKK m.12'de düzenlenmiştir.1

İki düzenleme veri kapsamını farklı ifadelerle sınırlar. GDPR, verinin yeterli, ilgili ve gerekli olanla sınırlı olmasını ararken KVKK, amaçla bağlantılı, sınırlı ve ölçülü olma ölçütlerini kullanır. Saklama bakımından KVKK ilgili mevzuatta öngörülen süreyi ayrıca anar. Bu yakınlıklar, iki hükmün bütün unsurlarının ve uygulama sonuçlarının aynı olduğu anlamına gelmez.2