Madde 6

GDPR m.6/1, kişisel veri işlemenin dayanabileceği altı hukuki sebebi sınırlı olarak sayar.1 Veri sorumlusu, somut işleme faaliyeti başlamadan önce işlemenin amacına ve biçimine uygun hukuki sebebi belirlemelidir. Veri sorumlusunun işlemeyi yararlı, alışılmış veya ticari bakımdan gerekli görmesi, bu sebeplerden birinin şartları gerçekleşmedikçe hukuka uygunluk sağlamaz.

Hukuki sebebin bulunması, GDPR m.5'teki ilkelere uyumu veya özel nitelikli veriler için GDPR m.9'da aranan ek şartı ortadan kaldırmaz.2 Aynı faaliyet içindeki toplama, birleştirme, açıklama ve saklama işlemleri farklı amaçlara hizmet ediyorsa her aşamanın hukuki sebebi ayrıca belirlenmelidir.

Rıza, özgürce verilmiş, belirli, bilgilendirilmiş ve tereddüde yer bırakmayan bir irade açıklamasına dayanmalıdır. Veri sorumlusu rızanın geçerli olduğunu gösterebilmelidir.1 Rıza, başka bir hukuki sebep bulunamadığında başvurulabilecek şekli bir onay değildir. Taraflar arasındaki güç dengesizliği, hizmetin gereksiz veri işlemeye bağlanması ve seçeneklerin nasıl sunulduğu, iradenin özgür olup olmadığı belirlenirken ayrıca incelenecektir.

Bir işleme faaliyeti rıza yerine başka bir hukuki sebebin şartlarını taşıyorsa GDPR ayrıca rıza alınmasını gerektirmez. Buna karşılık başlangıçta rızaya dayandırılan aynı amaçtaki işleme, rıza geri alındığında sona erdirilmelidir. Veri sorumlusu, işlemeyi sürdürmek için önceden belirlemediği başka bir sebebe sessizce geçemez.2 Verinin ayrı bir amaç için, baştan belirlenmiş bağımsız bir hukuki sebebe dayanılarak işlenmesi ise farklı bir durumdur. Bu amaca ilişkin şeffaflık yükümlülükleri ayrıca yerine getirilmelidir.

GDPR m.6/1-b, ilgili kişinin taraf olduğu bir sözleşmenin ifası veya onun talebi üzerine sözleşme kurulmadan önce atılacak adımlar için gerekli işlemeyi kapsar.1 İşlemenin sözleşme metnine yazılması yeterli değildir. Veri sorumlusu, sözleşmenin asli amacına kişisel veri işlemeden veya daha az müdahaleci ve uygulanabilir bir yöntemle ulaşılamayacağını göstermelidir.

Hizmetin iyileştirilmesi, kişiselleştirilmesi veya finansmanı veri sorumlusu bakımından yararlı olabilir. Ancak bu yarar, işlemeyi sözleşmenin ifası için nesnel olarak gerekli hale getirmez.2 İşleme sözleşmenin asli ediminden ayrılabiliyorsa başka bir hukuki sebebin şartları bulunmadıkça GDPR m.6/1-b'ye dayanılamaz.

GDPR m.6/1-c, veri sorumlusunun tabi olduğu hukuki yükümlülüğün yerine getirilmesi için gerekli işlemeyi hukuka uygun kılar.1 Yükümlülük, Birlik veya üye devlet hukukundan doğmalı ve belirli işleme faaliyetini gerçekten gerektirmelidir. Yalnızca işlemeye izin veren genel bir yetki veya kurumun görev alanını gösteren belirsiz bir hüküm bu şartı karşılayamaz.

Dayanak oluşturan hukuk kuralı kamu yararı amacına hizmet etmeli ve izlenen meşru amaçla ölçülü olmalıdır. Kuralın veri kategorileri, ilgili kişiler, işleme amacı, saklama süresi ve güvenceler hakkındaki ayrıntı düzeyi somut müdahalenin ağırlığına göre değerlendirilecektir. GDPR m.17/3-e gibi bir istisna hükmü, tek başına bağımsız bir hukuki sebep oluşturmaz.2

GDPR m.6/1-d, ilgili kişinin veya başka bir gerçek kişinin hayati menfaatlerinin korunması için gerekli işlemeyi düzenler. Bu sebebe, yaşam veya beden bütünlüğü gibi kişisel değerlerin ciddi biçimde tehlikede olduğu durumlarda dayanılabilir.1 Her sağlık, güvenlik veya refah yararı hayati menfaat ağırlığına ulaşmaz.

İşlemenin hayati menfaat için gerçekten gerekli olması gerekir. Özellikle başka bir kişinin hayati menfaati korunuyorsa bu sebebe, işlemenin açıkça başka bir hukuki sebebe dayandırılamadığı durumlarda başvurulmalıdır.2 Amaca daha az müdahaleci ve etkili bir araçla ulaşılabiliyorsa gereklilik şartı gerçekleşmez. İşlenen veri özel nitelik taşıyorsa GDPR m.9'daki uygun istisna da ayrıca bulunmalıdır.

GDPR m.6/1-e, kamu yararına yürütülen bir görevin yerine getirilmesi veya veri sorumlusuna verilmiş resmi yetkinin kullanılması için gerekli işlemeyi kapsar. Görev veya yetki, Birlik ya da üye devlet hukukuna dayanmalıdır.1 Veri sorumlusunun kamu tüzel kişisi olması, bütün işleme faaliyetlerini kendiliğinden bu sebebin kapsamına sokmaz.

Veri sorumlusu, belirli kamu görevi ile işlenen veri arasındaki gereklilik bağını gösterebilmelidir. Görevin genel biçimde tanımlanması, geniş ve ayrım gözetmeyen veri taleplerini haklı kılamaz.2 Amaca daha dar bir veri kapsamıyla ulaşılabiliyorsa talep veya kullanım gerekli olanla sınırlandırılmalıdır.

GDPR m.6/1-f uyarınca önce veri sorumlusunun veya üçüncü kişinin meşru menfaati belirlenir. Ardından işlemenin bu menfaat için gerekli olup olmadığı incelenir. Son aşamada ilgili kişinin menfaatleri ile temel hak ve özgürlüklerinin, veri sorumlusunun veya üçüncü kişinin menfaatine üstün gelip gelmediği belirlenir.1 Bir menfaatin meşru olması, diğer iki aşamanın da gerçekleştiğini göstermez.

Dengelemede verinin niteliği, işlemenin kapsamı, kişinin veri sorumlusuyla ilişkisi, makul beklentileri ve işlemenin muhtemel etkileri dikkate alınır. Çocuk söz konusuysa onun menfaatleri ve hakları özel ağırlık taşır. Kamu makamları, görevlerini yerine getirirken yürüttükleri işlemeyi bu bende dayandıramaz.2

GDPR m.6/2 ve m.6/3, hukuki yükümlülük ile kamu görevi veya resmi yetkiye dayanan işlemeler için Birlik ve üye devlet hukukunda daha özel hükümler öngörülmesine imkan tanır. Bu hükümler işlenebilecek veri türlerini, ilgili kişileri, amaçları, alıcıları, saklama sürelerini ve güvenceleri somutlaştırabilir.1

Üye devletlere bırakılan düzenleme alanı, GDPR m.6/1'deki sistemden bağımsız ve sınırsız yeni hukuki sebepler yaratma yetkisi vermez. Ulusal kural, GDPR'ın amaçlarıyla uyumlu olmalı, kamu yararına hizmet etmeli ve izlenen meşru amaçla orantılı olmalıdır.2

İlk amaçtan farklı bir amaçla sonraki işleme söz konusuysa GDPR m.5/1-b ile m.6/4 birlikte uygulanır. Yeni işleme rızaya veya demokratik bir toplumda gerekli ve ölçülü olan bir Birlik ya da üye devlet hukuku hükmüne dayanmıyorsa amaçlar arasındaki bağ, toplama bağlamı, verinin niteliği, muhtemel sonuçlar ve güvenceler birlikte değerlendirilir. Gerekçe 50'de, ilk amaçla bağdaşabilir sonraki işlemenin başlangıçtaki hukuki sebep kapsamında ayrıca yeni bir sebep gerektirmeden sürdürülebileceği belirtilir.1

İlk amaçla bağdaşmayan bir sonraki işleme için GDPR m.6/1'deki başka bir sebebe dayanılıp dayanılmayacağı tartışmalıdır. Bu konuda iki görüş vardır. İlk görüşe göre hukuki sebep sonradan değiştirilemez. Karşı görüş, yeni sebebin şartları işleme başladığında da mevcutsa böyle bir değişikliği bütünüyle dışlamaz.2 Bu nedenle hukuki sebebin sonradan değiştirilebileceğine ilişkin tek ve tartışmasız bir kural bulunduğu söylenemez.

KVKK m.5 ile GDPR m.6, rıza, sözleşme, hukuki yükümlülük, hayati menfaat ve meşru menfaat başlıklarında benzer işlevler taşır. Ancak GDPR m.6/1-e'de kamu görevi ve resmi yetki için ayrı bir sebep bulunurken KVKK m.5'te aynı yapıda bağımsız bir bent yer almaz. GDPR m.6/1-f üçüncü kişinin meşru menfaatini de anar ve çocuklara özel ağırlık verir. KVKK m.5/2-f ise veri sorumlusunun meşru menfaati ile ilgili kişinin temel hak ve özgürlüklerine zarar vermeme ölçütünü kullanır.1

KVKK m.5/2-d, ilgili kişinin kendisi tarafından alenileştirilen veriyi, m.5/2-e ise bir hakkın tesisi, kullanılması veya korunması için zorunlu işlemeyi ayrıca düzenler. GDPR'da alenileştirme genel nitelikli veriler için bağımsız bir m.6/1 sebebi değildir. Hukuki talepler de somut olayın niteliğine göre başka bir hukuki sebep altında değerlendirilecektir. Bu nedenle bentler yalnız başlık benzerliğine göre eşleştirilemez.2