Madde 89

Tüzüğün 89. maddesi, kamu yararına arşivleme, bilimsel veya tarihsel araştırma ve istatistik amaçlı işleme için bağımsız bir hukuki sebep oluşturmaz. Veri sorumlusu öncelikle GDPR m.6'daki uygun işleme sebebini belirlemelidir. Özel nitelikli veriler işleniyorsa m.9'daki şartlardan biri de karşılanmalıdır.1

Maddede öngörülen güvenceler, hukuki sebep incelemesinden sonra uygulanır.2 İşlemenin araştırma veya arşiv amacı taşıması, veri toplama ve sonraki kullanımın tamamını kendiliğinden hukuka uygun hale getirmez.

Hüküm dört ayrı amaç grubunu kapsar: kamu yararına arşivleme, bilimsel araştırma, tarihsel araştırma ve istatistik. Kamu yararı şartı yalnız arşivleme amacını niteler. Bilimsel araştırmanın kamu kurumu veya özel kuruluş tarafından yürütülmesi tek başına kapsamı belirlemez.1

İşlemenin adı değil, fiili amacı esas alınmalıdır. Kurumsal kayıtların ileride yararlı olabileceği düşüncesi, her saklama faaliyetini kamu yararına arşivlemeye dönüştürmez. Ticari bir kararın belirli kişiler hakkında alınmasına hizmet eden veri çözümlemesi de sırf istatistiksel yöntem kullanıldığı için 89. madde kapsamına girmez.2

Arşivleme, araştırma ve istatistik amaçlı işlemeler uygun teknik ve idari güvencelere tabi olmalıdır. Bu güvenceler özellikle veri minimizasyonu ilkesinin uygulanmasını sağlamalıdır. Amaç takma ad kullanılarak gerçekleştirilebiliyorsa bu yöntemin kullanılması değerlendirilmelidir.1

Amaç, ilgili kişilerin belirlenmesine imkan vermeyen veya artık imkan vermeyen verilerle gerçekleştirilebiliyorsa işleme bu biçimde yürütülmelidir.2 Verilerin ayrı tutulması veya erişim anahtarının sınırlandırılması riski azaltabilir, fakat takma ad kullanılan veriler yeniden ilişkilendirilebildikleri sürece kişisel veri niteliğini korur.

Bilimsel veya tarihsel araştırma ile istatistik amaçlı işlemelerde Birlik hukuku veya üye devlet hukuku, erişim, düzeltme, işlemeyi sınırlama ve itiraz haklarına istisna getirebilir. Kamu yararına arşivlemede bunlara m.19'daki alıcılara bildirim yükümlülüğü ve ilgili kişinin alıcılar hakkında bilgi isteme hakkı ile m.20'deki veri taşınabilirliği hakkı da eklenir.1

Bu imkan genel bir hak muafiyeti değildir. Hakkın kullanılması belirli amacı imkansız hale getirmeli veya ciddi biçimde güçleştirmeli, istisna da amaca ulaşmak için gerekli olmalıdır.2 Veri sorumlusu bu şartların her hak talebi bakımından somut olarak gerçekleşip gerçekleşmediğini değerlendirmelidir.

Kamu yararına arşivleme, kalıcı kamusal değeri bulunan kayıtların korunmasını amaçlar. Kamu makamlarının ve yetkili arşiv kuruluşlarının hukuki yükümlülükleri bu kapsamın belirlenmesinde önem taşır.1 Bir şirketin dava veya denetim ihtimaline karşı kayıt saklaması ise bu niteliği tek başına taşımaz.

Arşivlenen kayıtların zaman içinde kişisel, toplumsal veya tarihsel değeri değişebilir. Erişim koşulları belirlenirken kayıtların niteliği, üzerinden geçen süre ve ilgili kişiler üzerindeki muhtemel etkiler gözetilmelidir.2 Koruma amacı, arşivdeki bütün kişisel verilerin herkese açık tutulmasını gerektirmez.

Bilimsel araştırma kavramı, teknolojik geliştirme ile temel ve uygulamalı araştırmayı kapsayacak biçimde geniş yorumlanır. Araştırmanın özel kaynakla finanse edilmesi veya ticari bir kuruluşça yürütülmesi, tek başına m.89'un uygulanmasına engel olmaz.1

İstatistiksel işlemenin sonucu toplulaştırılmış bilgi olmalı ve belirli kişiler hakkında tedbir veya karar alınmasına hizmet etmemelidir. Veriler etkili biçimde anonim hale getirilene kadar kişisel veri niteliğini korur. İstatistiksel bir yöntem kullanılması, Tüzükteki yükümlülükleri ortadan kaldırmaz.2

Araştırma, istatistik veya arşivleme amacıyla birlikte başka bir amaç da izleniyorsa haklara ilişkin istisnalar yalnız işlemenin m.89/2-3'te sayılan amaçlara yönelik bölümüne uygulanır.1 Veri sorumlusu, bu amaçlarla yürütülen işleme ile ticari veya idari amaçlı sonraki kullanımları birbirinden ayırmalıdır.

Aynı veri kümesinin birden fazla amaçla kullanılması, bütün işleme faaliyetini araştırma istisnası altına sokmaz. Amaçların, erişim yetkilerinin ve saklama sürelerinin ayrı belirlenmesi, işlemenin hangi bölümünün istisnadan yararlanabileceğinin gösterilmesi bakımından önem taşır.2

KVKK m.28/1-b, kişisel verilerin resmi istatistik kapsamında veya anonim hale getirilmek şartıyla araştırma, planlama ve istatistik gibi amaçlarla işlenmesini Kanunun uygulama alanı dışında bırakır. KVKK m.28/1-c de sanat, tarih, edebiyat veya bilimsel amaçlı işlemeyi, maddede belirtilen menfaatlerin ve kişilik haklarının ihlal edilmemesi ve işlemenin suç oluşturmaması şartıyla tam istisna kapsamına alır.1

GDPR m.89 ise bu faaliyetleri Tüzüğün bütünüyle dışında bırakmaz. Uygun hukuki sebep ile teknik ve idari güvenceler aranır. İlgili kişi haklarından ayrılma da yalnız sayılan haklar ve sıkı zorunluluk şartları bakımından mümkündür.2 Bu nedenle iki düzenlemedeki araştırma ve istatistik istisnaları aynı kapsam ve yapıda değildir.