Madde 91

Tüzüğün 91. maddesine göre bir üye devletteki kilise, dini dernek veya dini topluluk, Tüzük yürürlüğe girdiğinde gerçek kişilerin kişisel verilerinin işlenmesine ilişkin kapsamlı kurallar uyguluyorsa bu kuralların uygulanmasına devam edebilir.1

Hüküm, dini kuruluşlara yeni ve bağımsız bir veri koruma düzeni kurma yetkisi vermez. Yalnız yürürlük tarihinde mevcut olan kapsamlı kurallar, Tüzükle uyumlu hale getirilmeleri şartıyla sürdürülebilir.2

Devam ettirilecek kurallar, kişisel verilerin işlenmesine ilişkin parçalı hükümlerden ibaret olmamalıdır. Kapsamlılık değerlendirmesinde veri koruma ilkelerinin, ilgili kişi haklarının, veri sorumlusunun ve veri işleyenin yükümlülüklerinin bir bütün olarak düzenlenip düzenlenmediğine bakılır.1 Özel denetim makamı kapsamlılık ölçütünün bir unsuru değildir. Bu makam, m.91/2'de ayrıca düzenlenmiştir.2

Madde metni, kuralların Tüzüğün yürürlüğe girdiği 24 Mayıs 2016 tarihinde uygulanıyor olmasını başlangıç noktası olarak kabul eder.3 Bu ifade, korumanın o tarihte mevcut kurallarla sınırlı olduğu görüşünü destekler. Buna karşı bir görüş, dini kuruluşların özerkliği dikkate alındığında daha sonra kabul edilen kapsamlı kuralların da Tüzükle uyumlu olmaları şartıyla 91. madde kapsamında uygulanabileceğini savunur.4

Mevcut kurallar ancak Tüzükle uyumlu hale getirildikleri takdirde uygulanmaya devam edebilir. Uyum şartı, yalnız kullanılan kavramların değiştirilmesini değil, koruma düzeyinin ve hakların Tüzükteki gereklere uygun olmasını ifade eder.1

Özel kuralla Tüzük arasında çatışma varsa 91. madde dini kuruluşun kendi kurallarına genel bir üstünlük tanımaz.2 Açık, öngörülebilir ve Tüzüğün maddi güvenceleriyle bağdaşan özel hüküm uygulanabilir. Bu şartları taşımayan işlemeye Tüzüğün genel hükümleri uygulanacaktır.

Özel kuralların kapsamı konusunda dar ve geniş iki yaklaşım bulunmaktadır. Dar yaklaşım, 91. maddeyi kuruluşun dini ve kurumsal amaçlarıyla doğrudan bağlantılı işlemelerle sınırlar.1 Dini amaç taşımayan ticari veya dışa dönük faaliyetlerde Tüzüğün genel hükümleri uygulanır.

Daha geniş yaklaşım, kapsamlı ve Tüzükle uyumlu özel düzenin çalışan verileri ile kuruluşun idari işlemlerini de kapsayabileceğini kabul eder.2 Her iki durumda da işlemeyi yapan kuruluşun dini niteliği tek başına yeterli değildir. Özel kuralların kapsamı ve somut işleme faaliyetiyle bağlantısı gösterilmelidir.

Dini kuruluşların kişisel veri işlemesi, yalnız dini amaç taşıdığı için veri koruma hukukunun dışında kalmaz. ABAD, 95/46/AT sayılı Direktif döneminde kapı kapı yürütülen vaaz faaliyeti sırasında toplanan kişisel veriler bakımından veri koruma hukukundaki istisnaların dar yorumlanması gerektiğini belirtmiştir.1 Karar GDPR m.91'i doğrudan yorumlamaz.

Birlik veri koruma kurallarının uygulanması, dini topluluğun örgütlenme özgürlüğüne kendiliğinden aykırı değildir. ABAD, gerçek kişilerin kişisel verilerinin korunmasını sağlayan kurallara uyulmasının dini topluluğun örgütsel özerkliğine müdahale oluşturmadığını kabul etmiştir.2

Kapsamlı özel kurallar uygulayan dini kuruluşlar bağımsız bir denetim makamının gözetimine tabi olmalıdır. Bu makam dini kuruluşlara özgü olabilir, fakat Tüzüğün VI. Bölümünde denetim makamları için öngörülen şartları karşılamalıdır.1

Özel denetim makamının kuruluşla kurumsal bağlantısı, bağımsızlık şartını ortadan kaldırmaz. Makam görevini dış etkiden uzak yerine getirebilmeli, yeterli yetki ve kaynağa sahip olmalı ve kararları yargısal denetime açık olmalıdır.2

KVKK'da dini kuruluşların mevcut kapsamlı veri koruma kurallarını sürdürmesine veya özel bir denetim makamı kurmasına ilişkin hüküm bulunmaz. Din ve mezhep bilgileri KVKK m.6/1 uyarınca özel nitelikli kişisel veridir.1

Güncel KVKK m.6/3-g, siyasi, felsefi, dini veya sendikal amaçlarla kurulmuş vakıf, dernek ve diğer kar amacı gütmeyen kuruluş ya da oluşumların belirli kişilere ilişkin özel nitelikli verileri, kuruluş mevzuatına ve amacına uygun olmak, faaliyet alanıyla sınırlı kalmak ve üçüncü kişilere açıklamamak şartıyla işlemesine imkan verir.2 Bu hüküm, işleme şartı kurması bakımından GDPR m.9/2-d'ye yakındır. GDPR m.91'deki kapsamlı özel kurallar ve özel denetim makamı düzeninin karşılığı değildir.