Madde 87

Tüzüğün 87. maddesi, üye devletlerin ulusal kimlik numarası veya genel kullanıma açık başka bir tanımlayıcının işlenmesi için özel şartlar belirleyebileceğini düzenler. Tüzük bu alanda tam bir uyumlaştırma yapmamış, ulusal sistemler arasındaki farklılıkların sürmesine imkan vermiştir.1

Üye devletler özel bir düzenleme yapmak zorunda değildir. Böyle bir düzenleme bulunmadığında ulusal kimlik numarasının işlenmesine Tüzüğün genel hükümleri uygulanır.2 Özel şartların kabul edilmesi de hukuki sebep, amaçla bağlılık, veri minimizasyonu ve güvenlik yükümlülüklerini ortadan kaldırmaz.

Ulusal kimlik numarası, kişiyi farklı işlemlerde sürekli ve tekil biçimde belirlemeye yarar. Genel kullanıma açık başka bir tanımlayıcının da benzer bir düzenleme ve eşleştirme işlevi bulunmalıdır.1 Yalnız kısa süre için ve dar bir amaçla oluşturulan çevrim içi reklam tanımlayıcıları, bu özellikleri taşımadıkları ölçüde 87. maddenin özel kapsamına girmez.

Başlangıçta belirli bir sektör için kullanılan numara, kullanım alanı zamanla genişlediğinde genel kullanıma açık bir tanımlayıcıya dönüşebilir.2 Nitelendirme yalnız tanımlayıcının adına veya oluşturulduğu tarihteki amacına göre yapılmamalıdır. Fiili kullanım alanı ve farklı kurumlar arasında kişiyi eşleştirme gücü de dikkate alınmalıdır.

Üye devlet özel işleme şartları belirlerse ulusal kimlik numarası yalnız ilgili kişinin hak ve özgürlüklerini koruyan uygun güvenceler altında kullanılabilir. Bu güvenceler, Tüzüğün sağladığı korumanın yerine geçmez ve onun altında bir koruma düzeyi kuramaz.1

Gerekli güvenceler kullanım bağlamına göre belirlenecektir. Erişim yetkilerinin sınırlandırılması, işlem kayıtlarının tutulması, farklı veri tabanları arasında otomatik eşleştirmenin kısıtlanması ve hukuka aykırı kullanımın tespit edilmesi bu kapsamda değerlendirilebilir.2 Yalnız numaranın gizli tutulduğunun belirtilmesi, geniş ve belirsiz bir kullanım alanını haklı kılmaz.

Tekil ve sürekli bir numara, farklı veri tabanlarındaki kayıtların aynı kişiyle ilişkilendirilmesini kolaylaştırır. Bu özellik kişinin doğru kayda bağlanmasını sağlayabilir, fakat kamu ve özel sektördeki faaliyetlerinin birlikte izlenmesini de kolaylaştırabilir.1

İlişkilendirme riski, tanımlayıcının tek başına ne kadar bilgi verdiğinden bağımsızdır. Numarayı kullanan kuruluşların sayısı, verilerin merkezileştirilmesi ve erişimin sınır ötesine açılması riskin ağırlığını değiştirebilir.2 Bu nedenle değerlendirme yalnız numaranın görünür olup olmamasına indirgenemez.

Ulusal kimlik numarası, kişiyi kesin biçimde belirleme ihtiyacının bulunduğu işlemlerle sınırlı tutulmalıdır. Aynı sonuca ad, işlem numarası veya dar amaçlı bir tanımlayıcıyla ulaşılabiliyorsa genel kullanıma açık numaranın işlenmesi gerekli olmayabilir.1

Tanımlayıcının doğum tarihi, cinsiyet veya vatandaşlık gibi kişisel özellikleri kendi yapısında göstermesi ek risk doğurur. Bu tür bilgi taşıyan numaraların oluşturulması ve kullanılması, veri minimizasyonu ile tasarımdan itibaren veri koruma ilkeleri yönünden ayrıca değerlendirilmelidir.2

Ulusal kimlik numarası, sırf kişiyi tekil biçimde belirlediği için GDPR m.9'daki özel veri kategorilerinden biri sayılmaz.1 Bununla birlikte numaranın sağlık, din veya biyometrik veri gibi özel bir kategoriyle bağlantılı kullanılması, işlemenin m.9 yönünden ayrıca incelenmesini gerektirebilir.

Numaranın farklı kayıtları ilişkilendirerek özel nitelikli bilgileri açığa çıkarıp çıkarmadığı da incelenmelidir. Böyle bir durumda 87. maddeye uygunluk yeterli değildir. Özel nitelikli veriler bakımından geçerli işleme şartı ve güvenceler de aranmalıdır.2

KVKK'da ulusal kimlik numarasının işlenmesine özgü bir hüküm bulunmaz. T.C. kimlik numarası kişisel veridir ve işlenmesi KVKK m.4'teki ilkelere, m.5'teki işleme şartlarına ve m.12'deki veri güvenliği yükümlülüklerine tabidir.1

T.C. kimlik numarası KVKK m.6'da sayılan özel nitelikli kişisel veri kategorileri arasında yer almaz. Ancak numaranın özel nitelikli verilerle birlikte kullanılması veya bu verileri açığa çıkaran bir ilişkilendirmeye imkan vermesi halinde m.6'daki şartların ayrıca karşılanması gerekir.2 GDPR m.87'nin ulusal hukukta özel şart koyma yetkisine KVKK'da doğrudan karşılık gelen bir düzenleme yoktur.