Madde 6

GDPR m.6/1, kişisel verinin hukuka uygun işlenebilmesini altı sebepten birinin bulunmasına bağlar.1 Avrupa Birliği Adalet Divanı bu listeyi sınırlı saymış, bentlerden hiçbirine girmeyen işlemenin bu maddeye göre hukuka uygun sayılamayacağını kabul etmiştir.2 Sebepler arasında bir üstünlük sırası bulunmadığından, rıza dışında bir bendin şartları gerçekleşmişse ayrıca rıza aranmaz.3

Veri sorumlusu, işlemeye başlamadan önce hangi amaç ve işleme faaliyeti için hangi sebebe dayanacağını belirler.4 Aynı veri kümesi baştan belirlenmiş farklı amaçlarla işlenebilir. Bu durumda her amaç için ayrı bir hukuki sebep bulunur. Birden çok sebebin şartlarının aynı anda gerçekleşmesi, tek bir faaliyet için sebeplerin yedek olarak sıralanmasına izin vermez. Rızaya dayandırılmış bir faaliyet, rıza geri alındıktan sonra sessizce başka bir sebebe dayandırılarak sürdürülemez.5 İşleme başladıktan sonra geriye etkili biçimde yeni bir sebep seçilemez.6

Bir hukuki sebebin bulunması, GDPR m.5'teki ilkelerin, aydınlatma yükümlülüğünün ve ilgili kişinin haklarının uygulanmayacağı anlamına gelmez.7 Özel nitelikli verilerin işlenmesinde GDPR m.9, mahkumiyet ve suçlara ilişkin verilerde ise GDPR m.10 ayrıca uygulanır.8 GDPR m.17/3-e'deki hukuki talepler istisnası da bağımsız bir hukuka uygunluk sebebi oluşturmaz.9

Rıza, ilgili kişinin belirli bir veya birkaç amaç için kişisel verisinin işlenmesine özgür, belirli, bilgilendirilmiş ve tereddütsüz olarak razı olmasıdır.1 Rızanın verildiğini göstermek veri sorumlusuna düşer.2 Rıza, diğer sebeplerin ön şartı veya yedek onayı değildir.3 Sözleşmenin kurulmuş olması da rıza anlamına gelmez.4

Rızanın özgür sayılması, ilgili kişinin gerçekten seçim yapabilmesine ve reddettiğinde zarar görmemesine bağlıdır. Hizmet için gerekli olmayan bir işlemenin, hizmetin sunulmasının şartı haline getirilmesi özgür iradeyi zedeleyebilir.5 Kamu makamı veya işveren karşısındaki güç dengesizliği rızayı her durumda geçersiz kılmaz. Kişi herhangi bir hizmetten mahrum kalmadan seçim yapabiliyorsa rızanın geçerliliği somut olayın koşullarına göre belirlenecektir.6

Rızayı geri almak, rıza vermek kadar kolay olmalıdır.7 İşleme baştan rızaya dayanıyorsa, rıza geri alındığında işlemenin de durması gerekir. Veri sorumlusu, daha önce bildirmediği başka bir sebebe dayanarak işlemeyi sürdüremez. Baştan beri ayrı bir amaç için ayrı bir sebep bulunuyorsa, geri alma yalnız rızaya dayanan kısmı etkiler. Bu amaç için aydınlatma yükümlülüğü de ayrıca yerine getirilir.8

Maddede rızadan sonra gelen sebep, sözleşmenin ifasıdır. GDPR m.6/1-b iki durumu kapsar: ilgili kişinin taraf olduğu sözleşmenin ifası için gerekli olan işleme ile sözleşme kurulmadan önce, ilgili kişinin talebi üzerine atılacak adımlar için gerekli olan işleme.1 Gereklilik nesnel biçimde belirlenir. İşlemenin sözleşme metnine yazılmış olması tek başına yeterli değildir. Sözleşmenin asli edimi o veri işlenmeden de yerine getirilebiliyorsa bu sebebe dayanılamaz.2

Divan, gerekliliğin sınırını çevrim içi platform kararlarında çizmiştir. Kişiselleştirilmiş reklamı sözleşmenin ifası için zorunlu görmemiştir. Aynı hizmet daha az veriyle sunulabiliyorsa seçilen işleme gerekli sayılamaz.3 Sözleşme birden çok bağımsız hizmet içeriyorsa gereklilik her hizmet bakımından ayrı incelenir.4

Sözleşme öncesi işleme ise ilgili kişinin talebine dayanır. Veri sorumlusunun kendi isteğiyle yaptığı pazarlama veya profil çıkarma faaliyeti, yalnız sözleşme öncesinde yapıldığı için bu bende dayandırılamaz.5 İşlenen veri özel nitelikliyse GDPR m.9/2'deki istisnalardan birinin de bulunması aranır.6

İşlemenin dayanağı her zaman ilgili kişinin iradesi veya sözleşme değildir. GDPR m.6/1-c, veri sorumlusunun Birlik veya üye devlet hukukundan doğan bir yükümlülüğü yerine getirirken gerekli olan veriyi işlemesine izin verir.1 Yükümlülüğün somut işlemeyi gerçekten gerektirmesi aranır. Genel bir izin veya kurumun görev alanını anlatan belirsiz bir hüküm bu şartı karşılamaz. Bir belgenin açıklanmasının istenmesi, belgedeki her kişisel verinin yayımlanmasını da zorunlu kılmaz.2

GDPR m.6/3, hukuki temelden üç şartı birlikte arar: işlemenin amacını göstermesi, kamu yararına hizmet etmesi ve izlenen amaçla ölçülü olması.3 Yerleşik, açık ve öngörülebilir ulusal içtihat mevcut kanuni düzenlemenin kapsamını açıklabilir, ancak tek başına yeni bir hukuki sebep yaratamaz.4

Divan, NTH Haustechnik kararında GDPR m.17/3-e'deki hukuki talepler istisnasının bağımsız bir hukuka uygunluk sebebi oluşturmadığını belirtmiştir.5 Kararda ayrıca, önceki hukuka aykırılığı bilen veya bilmesi gereken sonraki veri sorumlusunun veriyi edinme işlemini meşru menfaate dayandıramayacağı kabul edilmiştir. Bu belirleme, sonraki her işlemin kendiliğinden yasak olduğu anlamına gelmez. Her aktörün işlemesi kendi amacı ve hukuki sebebi bakımından ayrıca incelenir.6

İlgili kişinin veya başka bir gerçek kişinin yaşamı için esaslı bir menfaat tehlikeye girdiğinde, bu menfaati korumak için gerekli olan işleme GDPR m.6/1-d'ye dayanılarak yapılabilir.1 Her sağlık, güvenlik veya ekonomik yarar bu sebebe girmez. Divan, sosyal ağ işletmecisinin ileri sürdüğü soyut güvenlik iddiasını bütün kullanıcı verileri bakımından hayati menfaat saymamıştır.2

Gerekçe 46, başka bir kişinin hayati menfaatine dayalı işlemeyi özellikle başka bir sebebe açıkça dayanılamayan haller için öngörür. Bu kayıt, hükmün meşru menfaatin bir türü olarak okunmasını gerektirmez.3 Yaşamı korumak için daha hafif ve uygun bir yol varsa bu sebebe dayanılamaz.4 İşlenen veri özel nitelikliyse GDPR m.9/2-c'deki istisna ayrıca aranır.5

Kamu yararına yürütülen bir görev veya veri sorumlusuna verilmiş resmi bir yetki için gerekli olan işleme GDPR m.6/1-e'ye dayanılarak yapılabilir. Görev veya yetkinin Birlik ya da üye devlet hukukunda gösterilmesi ve işlemenin bu görev için gerekli olması aranır.1 Veri sorumlusunun kamu tüzel kişisi olması tek başına yeterli değildir. Kanun, kamu yararına bir görevi özel kişiye verebilir. Şartları gerçekleşen bu kişi de aynı bende dayanır.2

Görevin varlığı, veri talebini sınırsız hale getirmez. Divan, vergi makamının genel ve ayrım gözetmeyen veri talebini hukuka uygun bulmamıştır. Karar, vergi makamından görevin belirli amacını ve daha dar bir yolun neden yeterli olmadığını göstermesini istemiştir.3 Kamu makamı görevini yerine getirirken GDPR m.6/1-f'ye dayanamaz. Bu yasak, makamın bütün faaliyetlerini değil görev sırasındaki işlemeyi kapsar. Kanunla kamu görevi verilen özel kişinin bu yasağın kapsamına girip girmediği ise tartışmalıdır.4

Maddenin son bendi olan meşru menfaat, üç şartı bir arada arar: veri sorumlusunun veya üçüncü bir kişinin hukuka uygun menfaati, işlemenin bu menfaat için gerekli olması ve ilgili kişinin haklarının üstün gelmemesi.1 Menfaatin kanunda yazılı olması gerekmez. Ticari menfaat de ilk aşamada meşru olabilir. Bununla birlikte menfaatin ticari niteliği, işlemenin gerekli olduğunu veya dengenin veri sorumlusu lehine kurulacağını göstermez.2

Gereklilik aşamasında aynı sonuca daha az veriyle ulaşılabiliyorsa işleme gerekli değildir.3 Dengelemede tarafların ilişkisi, ilgili kişinin makul olarak bekleyebileceği kullanım, verinin niteliği ve çocuğun durumu gözetilir. Takma ad veya itiraz hakkı gibi güvenceler dengelemeyi etkileyebilir, ancak baştan bulunmayan gerekliliği sonradan tamamlayamaz.4

Kamu makamı, görevini yerine getirirken bu bende dayanamaz.5 GDPR m.21'deki itiraz hakkı ise zaten hukuka uygun başlayan bir işlemeye karşı kullanılır. Sonradan itiraz edilebilecek olması, başta gereksiz olan işlemeyi gerekli hale getirmez.6

GDPR m.6/2, üye devletlere hukuki yükümlülük ile kamu görevi sebeplerine ve IX. Bölümdeki özel durumlara ilişkin daha belirli kurallar koyma veya mevcut kuralları koruma imkanı tanır. Kural, kimin verisinin hangi amaçla, kime ve ne kadar süreyle işleneceğini ve hangi güvencelerin uygulanacağını gösterebilir.1 Bu imkan, m.6/1'deki listeye yeni bir sebep ekleme hakkı vermez. Meşru menfaatin şartları da bu yolla yeniden düzenlenemez.2

Hukuki temel, Birlik hukukunda veya veri sorumlusunun tabi olduğu üye devlet hukukunda bulunur. GDPR m.6/3, bu dayanağın açık, öngörülebilir ve kamu yararına yönelik olmasını, ayrıca izlenen amaçla ölçülü olmasını ister. Her işleme için ayrı bir kanun aranmaz.3 Buna karşılık belirsiz bir görev hükmünün her veriyi kapsadığı söylenemez.4

Toplanan veri aynı amaçla kullanılmaya devam ediyorsa GDPR m.6/4 uygulanmaz. Amaç değiştiğinde ve yeni işleme rızaya ya da GDPR m.23/1'deki amaçlardan birini koruyan, demokratik toplumda gerekli ve ölçülü bir kurala dayanmıyorsa, yeni amaç ile ilk amaç arasındaki bağdaşabilirlik incelenir. Bu incelemede amaçlar arasındaki bağ, verinin toplandığı bağlam, verinin niteliği, ilgili kişiler üzerindeki muhtemel sonuçlar ve güvenceler birlikte değerlendirilir.1 Divan, bağdaşan sonraki işlemenin ayrı bir hukuki sebep gerektirmeyebileceğini kabul etmiştir. Bu sonuç, ilk toplamanın hukuka uygun olmasına ve sonraki işlemenin GDPR'ın kalan şartlarına uymasına bağlıdır. Bağdaşan sonraki işleme, baştaki hukuka aykırılığı veya gereksiz saklamayı gidermez.2

İlk amaçla bağdaşmayan işleme ise ilk sebebin kapsamı içinde yürütülemez. Yeni rıza alınması veya GDPR m.23'ü karşılayan özel bir kuralın bulunması halinde beş ölçütün uygulanmasına gerek kalmaz.3 Bu iki yolun dışında bağdaşmayan yeni amaç için m.6/1'deki başka bir sebebe, özellikle meşru menfaate dayanıp dayanılamayacağı tartışmalıdır. Bir görüş, bağdaşmazlığın başka bir genel sebeple giderilemeyeceğini savunmaktadır.4 Karşı görüş, yeni amaç bakımından başka bir sebebin bütün şartları gerçekleşirse işlemenin sürebileceğini kabul etmektedir.5 İncelenen Divan kararları ve Avrupa Veri Koruma Kurulunun nihai belgeleri bu ayrılığı henüz çözmemiştir.

KVKK m.5 ile GDPR m.6, rıza, sözleşme, hukuki yükümlülük, hayati menfaat ve meşru menfaat başlıklarında birbirine yaklaşır. Başlıkların benzerliği, unsurların ve uygulama sonucunun da aynı olduğunu göstermez.1 KVKK önce açık rıza olmadan işlemeyi yasaklar, ardından rızanın aranmayacağı halleri sayar. GDPR m.6/1 ise altı sebebi aynı fıkrada alternatifler olarak sayar. Bu kuruluşa rağmen KVKK'da açık rıza, diğer sebeplerden üstün bir dayanak değildir.2

Benzerlik kuruluş düzeyinden öteye gitmez. GDPR m.6/1-e, kamu görevi ve resmi yetki için bağımsız bir bent kurar. KVKK m.5'te aynı yapıda bir karşılık yoktur.3 GDPR m.6/1-f üçüncü kişinin menfaatini de kapsar ve çocuklara ayrı ağırlık verir. KVKK m.5/2-f ise yalnızca veri sorumlusunun meşru menfaatine yer verir ve ilgili kişinin temel haklarına zarar vermemeyi arar.4 İlgili kişinin kendisi tarafından alenileştirilen verilerin işlenmesi KVKK m.5/2-d'de bağımsız bir şart olarak düzenlenmiştir. GDPR'da ise alenileştirme, genel nitelikli veriler bakımından m.6/1'de bağımsız bir işleme sebebi değildir.5 Bir hakkın tesisi, kullanılması veya korunması için zorunlu işleme KVKK m.5/2-e'de ayrıca düzenlenmiştir. GDPR'da hukuki taleplere ilişkin işleme, somut olayın niteliğine göre başka bir sebep altında değerlendirilecektir.6

Amaç değişikliği bakımından da fark vardır. GDPR m.6/4'teki bağdaşabilirlik ölçütleri KVKK'da karşılıksızdır ve yorumla KVKK'ya eklenemez. KVKK m.4'teki amaçla bağlılık ilkesi kendi düzeni içinde uygulanır.7