GDPR İlgili Dibaceler 8 dibace
Recital 156
The processing of personal data for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes should be subject to appropriate safeguards for the rights and freedoms of the data subject pursuant to this Regulation. Those safeguards should ensure that technical and organisational measures are in place in order to ensure, in particular, the principle of data minimisation. The further processing of personal data for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes is to be carried out when the controller has assessed the feasibility to fulfil those purposes by processing data which do not permit or no longer permit the identification of data subjects, provided that appropriate safeguards exist (such as, for instance, pseudonymisation of the data). Member States should provide for appropriate safeguards for the processing of personal data for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes. Member States should be authorised to provide, under specific conditions and subject to appropriate safeguards for data subjects, specifications and derogations with regard to the information requirements and rights to rectification, to erasure, to be forgotten, to restriction of processing, to data portability, and to object when processing personal data for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes. The conditions and safeguards in question may entail specific procedures for data subjects to exercise those rights if this is appropriate in the light of the purposes sought by the specific processing along with technical and organisational measures aimed at minimising the processing of personal data in pursuance of the proportionality and necessity principles. The processing of personal data for scientific purposes should also comply with other relevant legislation such as on clinical trials.
Recital 157
By coupling information from registries, researchers can obtain new knowledge of great value with regard to widespread medical conditions such as cardiovascular disease, cancer and depression. On the basis of registries, research results can be enhanced, as they draw on a larger population. Within social science, research on the basis of registries enables researchers to obtain essential knowledge about the long-term correlation of a number of social conditions such as unemployment and education with other life conditions. Research results obtained through registries provide solid, high-quality knowledge which can provide the basis for the formulation and implementation of knowledge-based policy, improve the quality of life for a number of people and improve the efficiency of social services. In order to facilitate scientific research, personal data can be processed for scientific research purposes, subject to appropriate conditions and safeguards set out in Union or Member State law.
Recital 158
Where personal data are processed for archiving purposes, this Regulation should also apply to that processing, bearing in mind that this Regulation should not apply to deceased persons. Public authorities or public or private bodies that hold records of public interest should be services which, pursuant to Union or Member State law, have a legal obligation to acquire, preserve, appraise, arrange, describe, communicate, promote, disseminate and provide access to records of enduring value for general public interest. Member States should also be authorised to provide for the further processing of personal data for archiving purposes, for example with a view to providing specific information related to the political behaviour under former totalitarian state regimes, genocide, crimes against humanity, in particular the Holocaust, or war crimes.
Recital 159
Where personal data are processed for scientific research purposes, this Regulation should also apply to that processing. For the purposes of this Regulation, the processing of personal data for scientific research purposes should be interpreted in a broad manner including for example technological development and demonstration, fundamental research, applied research and privately funded research. In addition, it should take into account the Union's objective under Article 179(1) TFEU of achieving a European Research Area. Scientific research purposes should also include studies conducted in the public interest in the area of public health. To meet the specificities of processing personal data for scientific research purposes, specific conditions should apply in particular as regards the publication or otherwise disclosure of personal data in the context of scientific research purposes. If the result of scientific research in particular in the health context gives reason for further measures in the interest of the data subject, the general rules of this Regulation should apply in view of those measures.
Recital 160
Where personal data are processed for historical research purposes, this Regulation should also apply to that processing. This should also include historical research and research for genealogical purposes, bearing in mind that this Regulation should not apply to deceased persons.
Recital 161
For the purpose of consenting to the participation in scientific research activities in clinical trials, the relevant provisions of Regulation (EU) No 536/2014 of the European Parliament and of the Council should apply.
Recital 162
Where personal data are processed for statistical purposes, this Regulation should apply to that processing. Union or Member State law should, within the limits of this Regulation, determine statistical content, control of access, specifications for the processing of personal data for statistical purposes and appropriate measures to safeguard the rights and freedoms of the data subject and for ensuring statistical confidentiality. Statistical purposes mean any operation of collection and the processing of personal data necessary for statistical surveys or for the production of statistical results. Those statistical results may further be used for different purposes, including a scientific research purpose. The statistical purpose implies that the result of processing for statistical purposes is not personal data, but aggregate data, and that this result or the personal data are not used in support of measures or decisions regarding any particular natural person.
Recital 163
The confidential information which the Union and national statistical authorities collect for the production of official European and official national statistics should be protected. European statistics should be developed, produced and disseminated in accordance with the statistical principles as set out in Article 338(2) TFEU, while national statistics should also comply with Member State law. Regulation (EC) No 223/2009 of the European Parliament and of the Council provides further specifications on statistical confidentiality for European statistics.
Dibace 156
Kamu yararına arşivleme amaçlarıyla, bilimsel veya tarihi araştırma amaçlarıyla veya istatistiki amaçlarla kişisel verilerin işlenmesi faaliyeti, bu Tüzük uyarınca veri öznesinin hakları ve özgürlükleri açısından uygun güvencelere tabi olmalıdır. Bu güvenceler ile özellikle veri minimizasyonu ilkesine uygun hareket edilmesinin sağlanması amacıyla teknik ve kurumsal tedbirlerin uygulamaya konulması sağlanmalıdır. Kamu yararına arşivleme amaçlarıyla, bilimsel veya tarihi araştırma amaçlarıyla veya istatistiki amaçlarla kişisel verilerin daha fazla işlenmesi, uygun güvencelerin mevcut olması koşuluyla (örneğin, verilerde takma ad kullanılması), veri sorumlusunun, veri öznesinin kimliğinin belirlenmesine izin vermeyen veya artık izin vermeyen verileri işleyerek söz konusu amaçlara ulaşılıp ulaşılamayacağını değerlendirmiş olması halinde gerçekleştirilir. Üye Devletler, kamu yararına arşivleme amaçlarıyla, bilimsel veya tarihi araştırma amaçlarıyla veya istatistiki amaçlarla kişisel verilerin işlenmesi faaliyeti için uygun güvenceler öngörmelidirler. Üye Devletlerin, belirli koşullar altında ve veri öznelerine yönelik uygun güvencelere tabi olarak, bilgi gereklilikleriyle ve düzeltme, kalıcı olarak silme, unutulma, işlemeyi kısıtlama, veri taşınabilirliği ve kişisel veriler kamu yararına arşivleme, bilimsel veya tarihsel araştırma veya istatistiki amaçlarla işlenirken itiraz etme haklarıyla ilgili olarak koşullar ve derogasyonlar öngörmesine izin verilmelidir. Söz konusu koşullar ve güvenceler, orantılılık ve gereklilik ilkeleri uyarınca, kişisel verilerin işlenmesini en aza indirmeyi amaçlayan teknik ve kurumsal tedbirlerin yanı sıra, spesifik işlemenin amaçları ışığında uygun olduğu takdirde, veri öznelerinin bu hakları kullanmaları için özel usulleri gerektirebilir. Kişisel verilerin bilimsel amaçlarla işlenmesi, klinik araştırmalar hakkındaki gibi diğer ilgili mevzuat ile de uyumlu olmalıdır.
Dibace 157
Araştırmacılar, kayıtlardan alınan bilgileri birleştirerek, kalp damar hastalıkları, kanser ve depresyon gibi yaygın tıbbi durumlarla ilgili çok değerli yeni bilgiler elde edebilirler. Kayıtlar daha geniş bir nüfus kitlesine dayalı olduğundan, araştırma sonuçları kayıtlardan yararlanılarak geliştirilebilir. Sosyal bilimlerde kayıtlara dayanılarak yapılan araştırma, araştırmacıların, işsizlik ve eğitim gibi bir dizi sosyal koşulun diğer yaşam koşullarıyla uzun vadeli ilişkisi hakkında temel bilgileri elde etmelerini sağlar. Kayıtlar aracılığıyla elde edilen araştırma sonuçları, bilgiye dayalı politikanın oluşturulması ve uygulanması için temel teşkil edebilecek güvenilir, yüksek kaliteli bilgi sağlar, birçok kişi için yaşam kalitesini iyileştirir ve sosyal hizmetlerin etkinliğini artırır. Bilimsel araştırmayı kolaylaştırmak için kişisel veriler, Birlik veya Üye Devlet mevzuatında belirtilen uygun şartlara ve güvencelere tabi olmak şartıyla, bilimsel araştırma amaçları doğrultusunda işlenebilir.
Dibace 158
Bu Tüzük'ün vefat etmiş kişilere uygulanmaması gerektiği akılda tutularak, kişisel verilerin arşivleme amaçları doğrultusunda işlenmesi halinde, bu Tüzük söz konusu işleme için de geçerli olmalıdır. Kamu yararına ilişkin kayıtları tutan kamu makamları ile kamu organları veya özel organlar, Birlik veya Üye Devlet mevzuatına göre, genel kamu yararı için değeri olan kayıtları edinme, koruma, değerlendirme, düzenleme, betimleme, iletme, tanıtma, yayma ve bu kayıtlara erişim sağlamaya yönelik yasal yükümlülüğü olan birimler olmalıdır. Üye Devletlerin ayrıca, örneğin eski totaliter devlet rejimleri sırasındaki siyasi davranışlar, soykırım, Holokost başta olmak üzere insanlığa karşı işlenen suçlar veya savaş suçları ile ilgili özel bilgilerin sağlanması bakımından, arşivleme amaçları doğrultusunda kişisel verilerin daha fazla işlenmesini öngörmelerine izin verilmelidir.
Dibace 159
Kişisel verilerin bilimsel araştırma amaçları doğrultusunda işlenmesi halinde, bu Tüzük söz konusu işleme için de uygulanmalıdır. Bu Tüzük'ün amaçları doğrultusunda, kişisel verilerin bilimsel araştırma amaçlarıyla işlenmesi, örneğin teknolojik gelişme ve gösteri, temel araştırma, uygulamalı araştırma ve özel olarak finanse edilen araştırma dâhil olmak üzere geniş bir şekilde yorumlanmalıdır. Buna ilave olarak, söz konusu işlemede, ABİA'nın 179(1) maddesi kapsamında yer alan Birlik'in bir Avrupa Araştırma Alanı oluşturma hedefi de dikkate alınmalıdır. Bilimsel araştırma amaçları, halk sağlığı alanında kamu yararına yapılan çalışmaları da içermelidir. Kişisel verilerin bilimsel araştırma amaçları doğrultusunda işlenmesinin belirliliğini sağlamak için, kişisel verilerin özellikle bilimsel araştırma amaçları bağlamında yayımlanması veya başka bir şekilde açıklanması bakımından özel koşullar uygulanmalıdır. Özellikle sağlık bağlamında olmak üzere, bilimsel araştırmanın sonucu, veri öznesinin yararına olacak ilave tedbirlerin alınması için gerekçe oluşturuyorsa, bu tedbirler bakımından bu Tüzük'ün genel kuralları uygulanmalıdır.
Dibace 160
Kişisel verilerin tarihi araştırma amaçları doğrultusunda işlenmesi halinde, bu Tüzük söz konusu işleme için de uygulanmalıdır. Bu işleme, bu Tüzük'ün vefat etmiş kişilere uygulanmaması gerektiği akılda tutularak, tarihi araştırma ve kalıtımsal amaçlar doğrultusunda yapılan araştırmaları da içermelidir.
Dibace 161
Klinik araştırmalarda bilimsel araştırma faaliyetlerine katılıma rıza verilmesi amacı doğrultusunda, (AB) 536/2014 sayılı Avrupa Parlamentosu ve Konsey Tüzüğü'nün ilgili hükümleri uygulanmalıdır.
Dibace 162
Kişisel verilerin istatistiki amaçlarla işlenmesi halinde, bu Tüzük hükümleri söz konusu işleme için uygulanmalıdır. Birlik veya Üye Devlet mevzuatı, bu Tüzük'ün sınırları dâhilinde, istatistiki içeriği, erişimin kontrolünü, kişisel verilerin istatistiki amaçlarla işlenmesine yönelik koşulları ve veri öznesinin hak ve özgürlüklerini güvence altına almak ve istatistiki gizliliği sağlamak amacıyla uygun tedbirleri belirlemelidir. İstatistiki amaçlar, istatistiki anketler veya istatistiki sonuçların üretimi için gerekli olan kişisel verilerin toplanması ve işlenmesine yönelik her türlü işlemdir. Bu istatistiki sonuçlar, bilimsel bir araştırma amacı dâhil olmak üzere, farklı amaçlar için de kullanılabilir. İstatistiki amaç, istatistiki amaçlarla işlemeden elde edilen sonucun kişisel veri değil, toplulaştırılmış veril olduğuna ve bu sonucun veya kişisel verilerin belirli bir gerçek kişiye ilişkin tedbirleri veya kararları desteklemek için kullanılmadığına işaret eder.
Dibace 163
Birlik ve ulusal istatistik makamları tarafından resmi Avrupa istatistiklerinin ve resmi ulusal istatistiklerin üretimi için toplanan gizli bilgiler korunmalıdır. Avrupa istatistiklerinin, ABİA'nın 338(2) maddesinde belirtilen istatistiki ilkelere uygun olarak geliştirilmesi, üretilmesi ve yayılması, ulusal istatistiklerin de Üye Devlet mevzuatına uygun olması gerekir. (AT) 223/2009 sayılı Avrupa Parlamentosu ve Konsey Tüzüğü'nde , Avrupa istatistiklerine yönelik istatistiki gizlilik hakkında daha fazla açıklama öngörülmüştür.
Hukuki sebep ile güvence ayrımı
Tüzüğün 89. maddesi, kamu yararına arşivleme, bilimsel veya tarihsel araştırma ve istatistik amaçlı işleme için bağımsız bir hukuki sebep oluşturmaz. Veri sorumlusu öncelikle GDPR m.6'daki uygun işleme sebebini belirlemelidir. Özel nitelikli veriler işleniyorsa m.9'daki şartlardan biri de karşılanmalıdır.1
Maddede öngörülen güvenceler, hukuki sebep incelemesinden sonra uygulanır.2 İşlemenin araştırma veya arşiv amacı taşıması, veri toplama ve sonraki kullanımın tamamını kendiliğinden hukuka uygun hale getirmez.
Kapsamdaki amaçlar
Hüküm dört ayrı amaç grubunu kapsar: kamu yararına arşivleme, bilimsel araştırma, tarihsel araştırma ve istatistik. Kamu yararı şartı yalnız arşivleme amacını niteler. Bilimsel araştırmanın kamu kurumu veya özel kuruluş tarafından yürütülmesi tek başına kapsamı belirlemez.1
İşlemenin adı değil, fiili amacı esas alınmalıdır. Kurumsal kayıtların ileride yararlı olabileceği düşüncesi, her saklama faaliyetini kamu yararına arşivlemeye dönüştürmez. Ticari bir kararın belirli kişiler hakkında alınmasına hizmet eden veri çözümlemesi de sırf istatistiksel yöntem kullanıldığı için 89. madde kapsamına girmez.2
Veri minimizasyonu ve kimliksizleştirme
Arşivleme, araştırma ve istatistik amaçlı işlemeler uygun teknik ve idari güvencelere tabi olmalıdır. Bu güvenceler özellikle veri minimizasyonu ilkesinin uygulanmasını sağlamalıdır. Amaç takma ad kullanılarak gerçekleştirilebiliyorsa bu yöntemin kullanılması değerlendirilmelidir.1
Amaç, ilgili kişilerin belirlenmesine imkan vermeyen veya artık imkan vermeyen verilerle gerçekleştirilebiliyorsa işleme bu biçimde yürütülmelidir.2 Verilerin ayrı tutulması veya erişim anahtarının sınırlandırılması riski azaltabilir, fakat takma ad kullanılan veriler yeniden ilişkilendirilebildikleri sürece kişisel veri niteliğini korur.
İlgili kişi haklarına getirilebilecek istisnalar
Bilimsel veya tarihsel araştırma ile istatistik amaçlı işlemelerde Birlik hukuku veya üye devlet hukuku, erişim, düzeltme, işlemeyi sınırlama ve itiraz haklarına istisna getirebilir. Kamu yararına arşivlemede bunlara m.19'daki alıcılara bildirim yükümlülüğü ve ilgili kişinin alıcılar hakkında bilgi isteme hakkı ile m.20'deki veri taşınabilirliği hakkı da eklenir.1
Bu imkan genel bir hak muafiyeti değildir. Hakkın kullanılması belirli amacı imkansız hale getirmeli veya ciddi biçimde güçleştirmeli, istisna da amaca ulaşmak için gerekli olmalıdır.2 Veri sorumlusu bu şartların her hak talebi bakımından somut olarak gerçekleşip gerçekleşmediğini değerlendirmelidir.
Kamu yararına arşivleme
Kamu yararına arşivleme, kalıcı kamusal değeri bulunan kayıtların korunmasını amaçlar. Kamu makamlarının ve yetkili arşiv kuruluşlarının hukuki yükümlülükleri bu kapsamın belirlenmesinde önem taşır.1 Bir şirketin dava veya denetim ihtimaline karşı kayıt saklaması ise bu niteliği tek başına taşımaz.
Arşivlenen kayıtların zaman içinde kişisel, toplumsal veya tarihsel değeri değişebilir. Erişim koşulları belirlenirken kayıtların niteliği, üzerinden geçen süre ve ilgili kişiler üzerindeki muhtemel etkiler gözetilmelidir.2 Koruma amacı, arşivdeki bütün kişisel verilerin herkese açık tutulmasını gerektirmez.
Araştırma ve istatistik sonuçları
Bilimsel araştırma kavramı, teknolojik geliştirme ile temel ve uygulamalı araştırmayı kapsayacak biçimde geniş yorumlanır. Araştırmanın özel kaynakla finanse edilmesi veya ticari bir kuruluşça yürütülmesi, tek başına m.89'un uygulanmasına engel olmaz.1
İstatistiksel işlemenin sonucu toplulaştırılmış bilgi olmalı ve belirli kişiler hakkında tedbir veya karar alınmasına hizmet etmemelidir. Veriler etkili biçimde anonim hale getirilene kadar kişisel veri niteliğini korur. İstatistiksel bir yöntem kullanılması, Tüzükteki yükümlülükleri ortadan kaldırmaz.2
Birden çok amaçla işleme
Araştırma, istatistik veya arşivleme amacıyla birlikte başka bir amaç da izleniyorsa haklara ilişkin istisnalar yalnız işlemenin m.89/2-3'te sayılan amaçlara yönelik bölümüne uygulanır.1 Veri sorumlusu, bu amaçlarla yürütülen işleme ile ticari veya idari amaçlı sonraki kullanımları birbirinden ayırmalıdır.
Aynı veri kümesinin birden fazla amaçla kullanılması, bütün işleme faaliyetini araştırma istisnası altına sokmaz. Amaçların, erişim yetkilerinin ve saklama sürelerinin ayrı belirlenmesi, işlemenin hangi bölümünün istisnadan yararlanabileceğinin gösterilmesi bakımından önem taşır.2
KVKK ile karşılaştırma
KVKK m.28/1-b, kişisel verilerin resmi istatistik kapsamında veya anonim hale getirilmek şartıyla araştırma, planlama ve istatistik gibi amaçlarla işlenmesini Kanunun uygulama alanı dışında bırakır. KVKK m.28/1-c de sanat, tarih, edebiyat veya bilimsel amaçlı işlemeyi, maddede belirtilen menfaatlerin ve kişilik haklarının ihlal edilmemesi ve işlemenin suç oluşturmaması şartıyla tam istisna kapsamına alır.1
GDPR m.89 ise bu faaliyetleri Tüzüğün bütünüyle dışında bırakmaz. Uygun hukuki sebep ile teknik ve idari güvenceler aranır. İlgili kişi haklarından ayrılma da yalnız sayılan haklar ve sıkı zorunluluk şartları bakımından mümkündür.2 Bu nedenle iki düzenlemedeki araştırma ve istatistik istisnaları aynı kapsam ve yapıda değildir.