Kişi bakımından kapsam
KVKK m.1, kişisel verilerin işlenmesinde temel hak ve özgürlükleri korumayı amaçlar, ancak hüküm tek başına kanunun uygulama alanını belirlemez. KVKK m.2, bu korumanın kimler ve hangi işleme yöntemleri bakımından uygulanacağını belirler. İlgili kişi, veri sorumlusu ve veri işleyen sıfatları ise KVKK m.3'te tanımlanır.1
Bu başlangıç kapsamı içinde ilgili kişi, kişisel verisi işlenen gerçek kişidir.2 Veri sorumlusu, işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu gerçek veya tüzel kişidir.3 Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına işleyen gerçek veya tüzel kişidir.4 Veri sorumlusu sıfatı, sözleşmede kullanılan adla değil, somut işleme faaliyetinde amaç ve vasıtaları belirleme konusunda hukuki veya fiili yetkinin kimde bulunduğuna göre belirlenecektir.5
İlgili kişi sıfatının yalnız gerçek kişiye ait olması, tüzel kişinin kendi verisiyle yaptığı başvurunun sınırını da gösterir. Kurul, 2018/131 sayılı kararda tüzel kişinin kendi verisine ilişkin talebini ilgili kişi başvurusu saymamıştır.6
Tüzel kişinin ilgili kişi sıfatına ilişkin bu sınır, faaliyetin kamu veya özel kesimde yürütülmesi sorusundan ayrıdır. KVKK m.2 bakımından kamu ve özel kesim arasında genel bir ayrım yapılmadığı gerekçede belirtilmiştir.7 Bu nedenle, bir işlemenin kamu hizmeti veya ticari faaliyet kapsamında yürütülmesi onu tek başına KVKK kapsamı dışına çıkarmaz.8
İşleme yöntemi bakımından kapsam
Kişi ve sıfat bakımından kapsam belirlendikten sonra, işleme faaliyetinin KVKK'ye girip girmediği kullanılan yönteme göre de incelenir. Kişisel verilerin tamamen veya kısmen otomatik yollarla işlenmesi ilk kapsam yolunu oluşturur. Otomatik olmayan işleme ise ancak bir veri kayıt sisteminin parçasıysa KVKK kapsamına girer.1
İkinci yolun sınırı, veri kayıt sisteminin varlığıdır. KVKK'de bu sistem, kişisel verilerin belirli ölçütlere göre yapılandırılarak işlendiği düzen olarak tanımlanmıştır.2 Bu ayrımda fiziki dosya ile elektronik ortam arasında tek başına belirleyici bir fark yoktur. Kişiye ad, tarih veya başka bir ölçüt üzerinden erişmeyi sağlayan düzen, fiziki biçimde kurulmuş olsa da veri kayıt sistemi olabilir.3
Bunun sonucu olarak, veri kayıt sistemine bağlı olmadan elle tutulan kayıt kişisel veri niteliğini kaybetmez.4 Ancak kayıt otomatik işlenmiyor ve veri kayıt sisteminin parçasını oluşturmuyorsa, bu işleme KVKK m.2 kapsamına girmez.5 Böyle bir kaydın TCK m.135 veya m.136'da düzenlenen suçlardan birini oluşturup oluşturmayacağı, fiilin ve ilgili suç tipinin unsurlarına göre ayrıca belirlenecektir.6
Kişisel veya ailevi faaliyet istisnası
Bununla birlikte, kişi ve yöntem bakımından kurulan başlangıç kapsamı bütün işlemleri kapsamaz. Kişisel veya ailevi faaliyet istisnası m.2'de değil, m.28/1-a'da düzenlenmiştir.1 İstisna, gerçek kişinin verileri tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetler kapsamında işlemesine bağlıdır.2
Bu daraltmanın uygulanabilmesi için verilerin üçüncü kişilere verilmemesi ve veri güvenliğine ilişkin yükümlülüklere uyulması gerekir.3 Bu şartlar birlikte gerçekleşmediğinde işleme faaliyeti KVKK m.28/1-a'daki istisna içinde kalmaz.
Yer bakımından kapsam
Buna karşılık, önceki notlarda kurulan kişi, yöntem ve istisna ölçütleri coğrafi bağlantının ne olacağını cevaplamaz. KVKK m.2, kişi ve işleme yöntemi bakımından başlangıç kapsamını düzenler, fakat yabancı unsurlu işlemeler için genel bir coğrafi bağlama noktası öngörmez.1
Bu sessizlik karşısında kararların her birini kendi hukuki sorusuyla sınırlı okumak gerekir. Kurul, 2019/225 sayılı kararda Sicile kayıt yükümlülüğü bakımından yabancı merkez, Türkiye'deki şube ve irtibat bürosu arasında ayrım yapmıştır.2 Kurul, 2020/471 sayılı kararda ise yabancı bankanın Türkiye temsilciliğindeki tanıtım ve piyasa araştırması faaliyetleri ile kişisel veri işlemesi arasındaki somut bağı incelemiştir.3
Bu dar okuma 2021/1218 sayılı karar için de geçerlidir. Kurul bu kararda, tüzel kişiliği bulunmayan irtibat bürosu yerine yabancı şirket hakkında inceleme yürütmüştür.4
Bu kararlar genel bir yer bakımından kapsam testi kurmadığından, idari yaptırım ile tazminat talebine ilişkin sonuçlar kendi hukuki dayanakları içinde ayrı ayrı incelenir. Kabahatler Kanunu m.6 uyarınca TCK m.8'deki yer bakımından uygulama kuralı kabahatler için de geçerlidir.5 Bu gönderme, KVKK m.18'deki idari para cezalarının yer bakımından uygulanmasıyla sınırlıdır.6 KVKK m.14/3 ise kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkını saklı tutar.7
Karşılaştırma bakımından GDPR m.3, Tüzüğün Birlik içindeki bir kuruluşun faaliyetleri bağlamında yürütülen işlemelere uygulanacağını düzenler. GDPR m.3 ayrıca Birlik içinde yerleşik olmayan veri sorumlusu veya veri işleyenin Birlik içinde bulunan kişilere mal veya hizmet sunması ya da bu kişilerin Birlik içindeki davranışlarını izlemesiyle bağlantılı işlemeleri kapsar. Üye devlet hukukunun uluslararası kamu hukuku gereğince uygulandığı yerlerdeki işlemeler de bu kapsamda yer alır.8 Bu bağlama noktaları KVKK m.2'de yer almadığından, KVKK'ye doğrudan eklenemez.9