Madde 28

6698 sayılı Kişisel Verilerin Korunması Kanununun (KVKK) 28. maddesindeki istisnalar, belirli bir veri sorumlusunu veya belirli bir veri kategorisine ilişkin bütün işleme faaliyetlerini Kanunun dışına çıkarmaz. Bu sistematikten hareketle, istisnanın uygulanabilmesi için önce somut kişisel veri işleme faaliyeti belirlenmeli, ardından bu faaliyetin ilgili bentte aranan şartları taşıyıp taşımadığı incelenmelidir.1 Bu incelemede işlemenin kim tarafından, hangi yetkiye dayanılarak ve hangi amaçla yürütüldüğü ilgili bendin şartları içinde değerlendirilecektir.

Somut işleme faaliyeti esas alındığında, aynı veri sorumlusunun bir işleme faaliyeti istisna kapsamında kalırken başka bir faaliyeti Kanunun genel hükümlerine tabi olabilir.2 Bir kamu kurumunun belirli bir istihbari faaliyeti istisna kapsamında kalabilirken personel işlemleri veya olağan idari faaliyetleri Kanunun genel hükümlerine tabi olabilir. Benzer biçimde gerçek kişinin aile hayatı içindeki bir işlemi istisnadan yararlanırken aynı kişinin mesleki faaliyeti kapsamında yaptığı başka bir işleme aynı istisna kapsamında değerlendirilmeyebilir.

Birinci fıkradaki bir bendin şartları gerçekleştiğinde KVKK hükümlerinin uygulanmaması, kişisel verilerin korunmasını isteme hakkını anayasal koruma alanından çıkarmaz. Anayasa Mahkemesi de kanuni istisnanın varlığıyla yetinmemiş, sınırlamanın anayasal dayanağı ile somut işlem için gereken güvenceleri ayrıca incelemiştir. İşlemenin amacı, kapsamı, süresi ve denetimi, ilgili anayasal güvence bakımından ayrıca değerlendirilecektir.3 Bu anayasal inceleme, tam istisna alanında KVKK'nin bütün hükümlerinin doğrudan uygulanmaya devam ettiği anlamına gelmez.

Tam istisna, medeni hukuk, ceza hukuku, iş hukuku, aile hukuku veya çocuk hukukundan doğabilecek korumaları kendiliğinden ortadan kaldırmaz.4 Aile ilişkisi içindeki işlemede aile ve çocuk hukuku, çalışma ilişkisindeki işlemede ise iş hukuku ayrıca uygulama alanı bulabilir. İşlemenin kişilik hakkını ihlal etmesi veya suç oluşturması halinde medeni hukuk ile ceza hukukunun ilgili hükümleri de uygulanabilir. Bu korumaların şartları kendi düzenlemelerine göre ayrı ayrı belirlenecektir.

KVKK m.28'in birinci ve ikinci fıkraları aynı hukuki sonucu doğurmaz. Birinci fıkradaki bir bendin bütün şartları gerçekleştiğinde KVKK hükümleri yalnız o bentte tanımlanan işleme faaliyeti bakımından uygulanmaz.1 Bendin konusu veya başlığı tek başına bu sonucu doğurmaya yetmez. Tam istisna için aktör, faaliyet, amaç ve bentte yer verilen diğer şartların somut işlem yönünden birlikte gerçekleşmesi gerekir.

İkinci fıkradaki istisna daha dar bir sonuçla sınırlandırılmıştır. Bu fıkranın şartları gerçekleştiğinde veri sorumlusunun aydınlatma yükümlülüğünü düzenleyen 10. madde, zararın giderilmesini talep etme hakkı dışındaki 11. madde ve Veri Sorumluları Siciline kayıt yükümlülüğünü düzenleyen 16. madde uygulanmaz.2 İkinci fıkra uygulandığında ilgili kişinin zararının giderilmesini talep etme hakkı saklı kalır.3 Ancak hakkın korunmuş olması, zararın ve sorumluluğun somut olayda kendiliğinden doğduğu anlamına gelmez. Tazminat talebinin şartları, uyuşmazlığa uygulanacak hükümlere göre belirlenecektir.

Kanunun amacına ve temel ilkelerine uygunluk ile orantılılık, ikinci fıkradaki dört bent için ortak koşuldur.4 Dolayısıyla ilgili bent gerçekleşse bile hangi verilerin işlendiği ve kullanılan yöntemin orantılı olup olmadığı ayrıca değerlendirilecektir.

İkinci fıkra bağımsız bir kişisel veri işleme şartı oluşturmadığından kısmi istisna kapsamındaki işleme, verinin niteliğine göre KVKK m.5 veya m.6'da bulunan bir sebebe dayanmalı ve KVKK m.12'de öngörülen veri güvenliği yükümlülüklerine uygun yürütülmelidir. Vergi incelemesine ilişkin Kişisel Verileri Koruma Kurulu kararında ayrı bir işleme şartı, kısmi istisnanın etkisi ve işlemenin orantılılığı incelenmiş, Danıştay da kısmi istisnanın kanunda bulunmayan yeni bir sağlık verisi işleme amacı yaratmak için kullanılamayacağını kabul etmiştir.5

İkinci fıkrada gereklilik şartı, suçun önlenmesi veya soruşturulması, denetleme, düzenleme veya disiplin faaliyeti ile Devletin ekonomik ve mali çıkarlarının korunmasına ilişkin bentlerde açıkça aranmıştır. Gereklilik şartı bulunan bentlerde, işleme ile korunan amaç arasındaki uzak veya genel bağlantı yeterli sayılamaz.6 Hangi verinin, ne ölçüde ve neden işlendiği somut faaliyet üzerinden gösterilmelidir.

Tam istisnanın temel ilkeler üzerindeki etkisi doktrinde tartışmalıdır. Bir görüş, tam istisna alanında KVKK hükümlerinin hiçbirinin uygulanmayacağını kabul etmektedir.7 Buna karşılık başka bir görüş, temel ilkelerin tam istisna alanında da korunmasını savunmaktadır. İkinci görüş bakımından dayanılan hukuki temel de farklılaşmaktadır. Temel ilkelerin korunması, KVKK m.4'ün doğrudan uygulanmasıyla, anayasal yorum yoluyla benzer güvencelerin sürdürülmesiyle veya yeni bir düzenleme yapılması gereğiyle açıklanmaktadır. Anayasal korumanın devam etmesi, bu görüş ayrılığını ortadan kaldırmaz. Anayasal kanunilik ve ölçülülük denetiminin sürmesi ile KVKK m.4'ün tam istisna alanında doğrudan kanuni yükümlülük doğurması farklı sorulardır.8

2008 tarihli Kanun Tasarısı, bugünkü tam ve kısmi istisna ayrımını kurmamış, belirli yükümlülüklerin uygulanmayacağı halleri ve gazetecilik amacıyla işlemeyi ayrı maddelerde düzenlemiştir.1 Bu yapı, güncel maddenin iki fıkrası arasında kurulan sonuç ayrımının henüz ortaya çıkmadığını göstermektedir.

Güvenlik, suçla mücadele, mali çıkarlar, resmi denetim ile bilimsel veya istatistiki kullanım, istisna tartışmasının hazırlık sürecindeki ilk başlıkları arasında yer almıştır.2 Bu başlıkların 2008 metninde bulunması, güncel düzenlemenin hazırlık sürecindeki gelişimini göstermektedir. Ancak bu durum, aynı başlıkların yürürlükteki hükümde 2008 metnindeki şart ve sonuçlarla korunduğu anlamına gelmez.

2014 tarihli Kanun Tasarısı, tam ve kısmi istisnayı açıkça ayırmış, soruşturma, kovuşturma, yargılama ve infaz işlemleri için özel kanunu önceleyen üçüncü bir model öngörmüştür.3 Bu nedenle 2014 metni güncel iki fıkralı sistemin önemli bir aşamasıdır, fakat yargı ve infaz alanını bugünkü gibi doğrudan tam istisna kapsamına almamıştır.

1/541 sayılı Kanun Tasarısının Hükümet metni, kişisel ve ailevi faaliyet bendine verilerin üçüncü kişilere verilmemesi ve veri güvenliğine ilişkin yükümlülüklere uyulması şartlarını eklemiş, sanat, tarih, edebiyat, bilim ve ifade özgürlüğü kapsamındaki işleme faaliyetlerini aynı bentte toplamıştır.4

Adalet Komisyonu, Hükümet metnini hem yeni şartlar hem de yeni faaliyet alanları bakımından değiştirmiştir. Komisyon, resmi istatistik ve suç teşkil etmeme kayıtlarıyla birlikte suç soruşturması, meslek kuruluşları, disiplin süreçleri ve Devletin ekonomik ve mali çıkarlarına ilişkin hükümleri metne eklemiştir.5

Yayımlanan metnin önleyici, koruyucu ve istihbari faaliyetlere ilişkin bendinde, işlemeyi kanunla görev ve yetki verilmiş kamu kurum veya kuruluşunun yürütmesi şartı bulunmaktadır. Bu kayıt, incelenen Adalet Komisyonu metninde yer almamaktadır. Komisyon metninden sonra bu kaydın hangi işlemle eklendiği ve hangi gerekçeye dayandığı mevcut hazırlık belgelerinden belirlenememiştir.6 Bu nedenle kanun koyucunun amacı veya değişikliğin nedeni hakkında varsayıma dayalı bir sonuca ulaşılamaz.

Resmi madde gerekçesi, 1/541 sayılı Kanun Tasarısının Hükümet metnini açıkladığından yalnız bu metinde bulunan düzenlemeler ve örnekler için kullanılabilir. Komisyon ve kabul aşamasında eklenen resmi istatistik, suç soruşturması, meslek kuruluşları, disiplin süreçleri ve Devletin ekonomik ve mali çıkarları hakkındaki ifadeler aynı gerekçeye mal edilemez.7

KVKK m.28'in ilk yayımlanan metni ile yürürlükteki metin aynı olduğundan 2016 sonrası ayrı bir kanun metni sürümü bulunmamaktadır. 2008 ve 2014 tasarıları ile 1/541 sayılı Kanun Tasarısının Hükümet ve Komisyon metinleri yürürlükte kalmış eski kanun sürümleri değil, kabul edilen hükmün yasama tarihçesidir.8

KVKK m.28/1-a'daki kişisel veya ailevi faaliyet istisnasında işlemeyi gerçek kişi yürütmeli, faaliyet de tamamen bu kişinin kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili olmalıdır.1 İşlemenin gerçek kişi tarafından yapılması tek başına yeterli değildir. Hükümde kullanılan tamamen sözcüğü, kişisel veya ailevi amaç yanında başka bir amaç da taşıyan karma faaliyetlerin aynı biçimde değerlendirilemeyeceğini gösterir.

Verilerin üçüncü kişilere verilmemesi ve veri güvenliğine ilişkin yükümlülüklere uyulması, istisnanın açık şartlarıdır.2 Bu şartlar, istisnadan yararlanan kişiye yöneltilmiş birer tavsiye değildir. Verinin üçüncü kişiye verilmesi veya güvenlik şartının yerine getirilmemesi halinde tam istisnanın devam ettiği kabul edilemez.

Mesleki, ticari veya kamusal faaliyet, yalnız gerçek kişi tarafından yürütüldüğü için kişisel veya ailevi faaliyet sayılamaz. Değerlendirme, faaliyetin nerede gerçekleştiğinden çok verinin hangi amaçla, kimler hakkında ve hangi çevreye yönelik işlendiği üzerinde yapılmalıdır.3

Kişisel Verileri Koruma Kurulu, bağımsız bir girişimcinin ticari tanıtım amacıyla üçüncü kişiye broşür gönderdiği somut olayı KVKK m.28/1-a kapsamında görmemiştir.4 Bu sonuç, gerçek kişilerin bütün ticari faaliyetlerine ilişkin genel bir kural değildir. İstisnanın reddi, incelenen işleme ile kişisel veya ailevi faaliyet arasında bendin aradığı bağın bulunmamasına dayanmaktadır.

Veri güvenliğine ilişkin yükümlülükler bendin açık şartı olmakla birlikte, bu ibarenin yalnız Kanunun 12. maddesine mi yoksa daha geniş bir güvenlik ödevine mi karşılık geldiği metinden tek başına belirlenemez.5 Bu ibareden kapalı ve tartışmasız bir yükümlülük listesi çıkarılamaz.

Aile içi istisna, aile fertlerinin özerk varlığını veya aile ve çocuk hukukundan doğan korumaları ortadan kaldıran sınırsız bir yetki vermez.6 Bu nedenle bent şartları gerçekleşse bile velayet, kişilik hakkı ve çocuğun korunması gibi başka kanuni güvencelerin somut olayda uygulanma ihtimali devam eder. Bu güvencelerin uygulanıp uygulanmayacağı, kendi kanuni şartları içinde ayrıca belirlenecektir.

Karşılaştırmalı bir değerlendirme olarak, Türk hükmünün aynı konutta yaşayan aile fertlerine özgü ifadesi, tamamen kişisel veya ev faaliyetine dayanan GDPR ölçütünden daha dardır.7 Aynı konutta yaşayan fakat aile ferdi olmayan kişilerle ilgili faaliyetler veya aynı konutta yaşamayan aile fertleri hakkındaki işlemler, yalnız GDPR'daki daha geniş ifade gerekçe gösterilerek Türk bendine dahil edilemez. GDPR'daki düzenleme, Türk hükmünün açık şartlarını genişletmek için değil, iki sistemin kişi ve faaliyet çevresindeki farkı göstermek için kullanılabilir.

KVKK m.28/1-b, resmi istatistiği ve kişisel verilerin anonim hale getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla işlenmesini aynı cümlede düzenlemektedir. Hüküm, bu iki unsur arasındaki ilişkiyi ayrıca açıklamamaktadır.1

Lafızdan hareketle, araştırma, planlama ve istatistik amaçlarından sonra kullanılan gibi sözcüğü sayımın örnekleyici olduğunu göstermektedir. Hangi başka amaçların sayılanlarla aynı nitelikte olduğunun açıklanmamış olması ise doktrinde bir belirlilik sorunu olarak değerlendirilmektedir.2 Bu nedenle yalnız araştırma veya benzer amaç ifadesinin kullanılması istisna için yeterli görülemez. Başka bir amacın istisna kapsamında bulunup bulunmadığı, bentte sayılan örneklerin niteliği ve anonim hale getirme şartı birlikte değerlendirilerek belirlenecektir.

Anonim hale getirme sonucundan söz edebilmek için veri, belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilememelidir. Kimlikle bağlantıyı yalnız güçleştiren her teknik veya idari önlem bu sonuçla özdeş değildir.3 Takma ad kullanılması, erişimin dar bir kişi grubuyla sınırlandırılması veya doğrudan tanımlayıcıların ayrı tutulması, yeniden ilişkilendirme imkanı devam ettiği sürece tek başına anonim hale getirme sonucunu göstermeyebilir. Bu işlemlerin anonim hale getirme sonucu doğurup doğurmadığı, verinin başka bilgilerle yeniden ilişkilendirilme ihtimali de gözetilerek belirlenecektir.

Resmi istatistik ibaresi, 1/541 sayılı Kanun Tasarısının Hükümet metninde bulunmamaktadır. İbare Adalet Komisyonu aşamasında hükme eklenmiştir.4 Resmi madde gerekçesi Hükümet metnini açıkladığından bu eklemenin amacı ve anonim hale getirmeyle ilişkisi gerekçeden belirlenememektedir.

Hükmün söz dizimi, resmi istatistiği anonim hale getirme şartından bağımsız bir istisna yolu sayan görüş ile anonim hale getirmenin resmi istatistik dahil bentteki amaçlar için yapılan işlemelerde aranmasını savunan görüşe elverişlidir. Mevcut gerekçe, bu iki görüşten hangisinin benimsenmesi gerektiğini kesinleştirmemektedir.5

Doktrinde bir görüş, istisnayı sayılan amaçlarla yürütülen anonim hale getirme sürecine bağlamaktadır.6 Başka bir görüş, gerçekten anonim olan verinin artık kişisel veri olmadığını ve sonraki kullanım için ayrıca istisna gerekmeyeceğini savunmaktadır. Görüşler arasındaki fark, verinin anonim hale gelmesinden sonraki kullanımda değil, kişisel veri niteliğinin sürdüğü dönüşüm aşamasında hangi hükümlerin uygulanacağı noktasında belirginleşmektedir.7

Veri koruma güvencelerinin zayıflamasının kişilerin doğru bilgi vermekten kaçınmasına ve üretilen istatistiğe duyulan güvenin azalmasına yol açabileceği gerekçesiyle, resmi istatistik faaliyetlerinin bütünüyle Kanunun dışında bırakılması doktrinde eleştirilmektedir. Bu eleştiri, her resmi istatistik faaliyetinin hukuka aykırı olduğu anlamına gelmez.8 Tartışmanın konusu, resmi istatistik için gerekli veri işlemenin hangi aşamada ve hangi güvencelerle yürütüleceğidir.

KVKK m.28/1-c bakımından bir kişisel veri işleme faaliyetinin basın alanında gerçekleşmesi veya ifade özgürlüğüyle ilişkilendirilmesi, istisnayı kendiliğinden doğuramaz. Somut işleme ile ifade veya basın özgürlüğünün kullanılması arasında gerçek bir bağ bulunmalıdır.1 Haber başlığı, yayıncının sıfatı veya kamusal tartışma konusu tek başına bendin diğer şartlarının incelenmesini gereksiz kılamaz.

İşleme, milli savunmayı, milli güvenliği, kamu güvenliğini, kamu düzenini veya ekonomik güvenliği ihlal etmemelidir.2 Bu kavramların her biri somut yayın ve işlenen veriyle bağlantılı olarak değerlendirilecektir. Bendin güvenlik alanına ilişkin olumsuz şartları, soyut bir kamu yararı açıklamasıyla karşılanmış sayılamaz.

Özel hayatın gizliliğini veya kişilik haklarını ihlal eden ya da suç oluşturan bir işleme, ifade özgürlüğüyle bağlantılı olsa bile bendin şartlarını karşılamaz.3 Kanun metni bu sınırları istisnaya giriş şartı olarak düzenlediğinden, iki hak arasında somut olayın şartlarından bağımsız bir üstünlük sırası kurulamaz. Değerlendirme, yayının konusu kadar açıklanan verinin kapsamına ve sunuluş biçimine de yönelmelidir.

Kişisel Verileri Koruma Kurulunun haber uyuşmazlıklarına ilişkin kararlarında kamu yararı, gerçeklik, güncellik ve haberin özü ile biçimi arasındaki denge birlikte ele alınmıştır.4 Bu ölçütler, kanun metnindeki şartların yerine geçen bağımsız bir liste değildir. Ölçütler, somut yayında ifade özgürlüğü ile özel hayat ve kişilik hakkı arasındaki sınırın belirlenmesinde kullanılmıştır.

Kurulun 2023/767 sayılı kararında haber konusu kamu yararı taşımasına rağmen kişinin sağlık durumu ve özel hayatına ilişkin gereksiz ayrıntıların yayımlanması öz ile biçim arasındaki dengeyi bozmuş, somut işleme KVKK m.28/1-c kapsamında görülmemiştir.5 Kurulun 2020/414 sayılı kararında ise haberin gerçek ve güncel olması, kamu yararı taşıması ve veri kapsamı ile anlatım biçimi arasındaki dengenin korunması nedeniyle istisna uygulanmıştır. İki karar birlikte değerlendirildiğinde kamu yararının tek başına yeterli olmadığı, yayımlanan verinin kapsamı ve haberin veriliş biçiminin sonucu değiştirebildiği görülmektedir.6

Doktrinde kabul edilen görüşe göre, yayının ticari bir gelir modeli içinde yapılması veya yayıncının ticari saik taşıması, faaliyeti tek başına gazetecilik amacı dışında bırakamaz. Bununla birlikte somut işleme, bendin amaç ve sınırları bakımından ayrıca incelenecektir.7

Bendin uygulanmasını işlemenin kişilik hakkını ihlal etmemesine ve suç oluşturmamasına bağlayan düzenleme, doktrinde sistematik bakımdan eleştirilmektedir. Eleştiri, Kanunun uygulanıp uygulanmayacağının medeni hukuk veya ceza hukuku bakımından yapılacak ayrı incelemenin sonucuna bağlanmasına yöneliktir.8 Düzenleme önerisi olarak, ifade, sanat ve bilim alanında tam istisna yerine veri güvenliğini ve şartlara bağlı ilgili kişi haklarını koruyan kısmi bir model savunulmaktadır. Önerilen model yürürlükteki KVKK m.28/1-c'de yer almadığından bendin açık şartlarını yorum yoluyla ortadan kaldıramaz.9

KVKK m.28/1-c bakımından sanat, tarih, edebiyat veya bilimsel amaç ifadesinin kullanılması, kişisel veri işleme faaliyetini tek başına Kanunun dışına çıkaramaz. Somut işleme ile bendin koruduğu amaç arasında gerçek bir bağ kurulmalıdır.1 Faaliyetin kurumsal adı, araştırma projesi olarak sunulması veya kültürel değer taşıması, kişisel veri işleme ile bu amaç arasındaki bağın yerini tutamaz.

Bilimsel veya kültürel amaçla işleme de güvenlikle ilgili sınırlar, özel hayatın gizliliği, kişilik hakları ve suç teşkil etmeme kayıtlarıyla birlikte değerlendirilecektir. Bilimsel amacın varlığı, bu sınırlar karşısında otomatik üstünlük sağlayamaz.2

Bilimsel amaçla kişisel veri işlenmesi ile anonim hale getirilmiş verinin araştırmada kullanılması aynı istisnaya dayanmaz. Kişisel veri niteliğini koruyan bilimsel işleme KVKK m.28/1-c bakımından, anonim hale getirilmiş verinin araştırmada kullanılması ise şartları gerçekleştiğinde KVKK m.28/1-b bakımından incelenecektir.3 Bu ayrım, bilimsel araştırmada anonim hale getirmenin gereksiz olduğu anlamına gelmez. Hangi bendin uygulanacağı, verinin işleme sırasında kişisel veri niteliğini koruyup korumadığına ve işlemenin amacına göre belirlenecektir.

Kişisel Verileri Koruma Kurulu, kimliği belirlenebilir hastalara ait kan, serum ve doku örneklerinin bilimsel amaçla kaydedildiği somut olayda KVKK m.28/1-c kapsamında işlem yapmamıştır.4 Kararın dar sonucu, incelenen örneklerin bilimsel amaçla işlenmesi ve somut olayda istisnanın uygulanmasıyla sınırlıdır. Yalnız bilimsel amacın belirtilmesinden, sağlık verilerinin işlendiği bütün durumlar için genel bir muafiyet sonucu çıkarılamaz.

Kurulun 2019/316 sayılı karar özeti, bilgilendirilmiş onam ile özel hayatın korunması arasındaki ilişkiyi ve bilimsel çalışmada veri güvenliği ile saklama şartlarını ayrıntılı biçimde açıklamamaktadır. Bu gerekçe sınırı, kararda bulunmayan şartların yorum yoluyla tamamlanmasına izin vermez.5 Karar yalnız taşıdığı dar olgusal sonuç için kullanılabilir.

Anayasal güvence bakımından, sağlık verisinin bilimsel amaçla işlenmesi kanunilik ve ölçülülük güvencelerinden bağımsız değerlendirilemez.6 Buna karşılık tam istisna alanında KVKK m.4 ile m.12'nin doğrudan uygulanması ayrıca tartışmalıdır. Anayasal güvencelerin devam ettiği kabul edilerek bu iki KVKK hükmünün tartışmasız biçimde doğrudan uygulandığı sonucuna varılamaz.7

Düzenleme önerisi olarak, sağlık verilerinin bilimsel araştırmalarda ikincil kullanımı için özel bir model savunulmaktadır. Model, hangi amaçlara izin verileceğinin önceden belirlenmesini, veriye uzmanlar aracılığıyla erişilmesini, işlemenin güvenli bir ortamda yürütülmesini ve ilgili kişiye itiraz imkanı tanınmasını içermektedir.8 Böyle bir izin ve güvenli erişim modeli yürürlükteki KVKK m.28'de düzenlenmiş değildir ve mevcut hükmün sonucu olarak kabul edilemez.

Kanunun 28. maddesinin birinci fıkrasının (ç) bendinin uygulanabilmesi için kişisel veri işlemenin milli savunma, milli güvenlik, kamu güvenliği, kamu düzeni veya ekonomik güvenliği sağlamaya yönelmesi gerekir.1 Veri işleme faaliyeti, kanunla görev ve yetki verilmiş bir kamu kurumu veya kuruluşu tarafından yürütülmelidir.2 Somut işlemenin bu kurumun yürüttüğü önleyici, koruyucu veya istihbari faaliyetin kapsamında kalması gerekir.3

Güvenlik alanında görev yapan bir kurumun olağan idari işlemleri, yalnız kurumun görev alanı güvenlikle ilgili olduğu için tam istisna kapsamında sayılamaz.4

Resmi gerekçede istihbarat birimleri ile suç gelirlerinin aklanması, terörizmin finansmanının önlenmesi ve mali suçların araştırılması alanındaki yetkili birimler örnek gösterilmiş olsa da bu örnekler tek başına bentteki istisnayı doğurmaz. İşlemenin güvenlik amacı taşıması, kanunla görev ve yetki verilmiş bir kamu kurumu veya kuruluşunca yürütülmesi ve bentte sayılan faaliyetlerden birine ilişkin olması ayrıca aranacaktır.5

Anayasa Mahkemesi, arşiv araştırmasında önceden elde edilmiş idari ve yargısal kayıtların kullanılmasını kendiliğinden istihbari faaliyet saymamıştır. Mahkeme, verinin niteliğinin ve tabi olduğu güvence rejiminin ayrıca belirlenmesini gerekli görmüştür.6

Bir veri işleme faaliyetinin tam istisna kapsamında bulunması, bu faaliyeti anayasal denetim dışında bırakmaz. İşlemenin amacıyla sınırlı tutulması, verilerin gereğinden uzun saklanmaması ve etkili bir denetim yolunun bulunması ayrıca aranacaktır.7

Doktrinde, güvenlik ve istihbarat alanı için veri korumaya özgü, öngörülebilir ve denetlenebilir ayrı bir düzenleme yapılması önerilmektedir. Bu öneri, yürürlükteki m.28/1-ç'nin içeriği olarak değerlendirilemez ve mevcut sistemin geliştirilmesine yöneliktir.8

Kanunun 28. maddesinin birinci fıkrasının (d) bendinin uygulanabilmesi için kişisel veri işlemenin soruşturma, kovuşturma, yargılama veya infaz işlemine ilişkin olması gerekir.1 Veri işleme faaliyeti, yargı makamı veya infaz mercii tarafından yürütülmelidir.2

Bir verinin dava dosyasına girmesi, veriyi mahkemeye aktaran kişinin işlemesini kendiliğinden tam istisna kapsamına taşıyamaz.3 Avukat, işveren, banka, bilirkişi veya özel hizmet sağlayıcı tarafından yapılan işlemenin hukuki dayanağı, bu kişilerin kendi sıfatları ve faaliyetleri gözetilerek belirlenecektir.4

Disiplin soruşturması ve kovuşturması, m.28/1-d'deki tam istisnanın faaliyetleri arasında sayılmamıştır. Gerekli şartlar varsa bu faaliyetlere m.28/2-c'deki kısmi istisna uygulanacaktır.5

Anayasa Mahkemesi, bir veri işleme faaliyetinin ceza infaz kurumunda yürütülmesinin bu faaliyeti kendiliğinden infaz işlemi haline getirmeyeceğini belirtmiştir. Mahkeme, yargısal süreçle ilgisi bulunmayan bir kuruma gönderilen üst yazıda suç türü, tevkif numarası ve ayrıntılı kimlik bilgilerinin açıklanmasını m.28/1-d kapsamında görmemiştir.6

Anayasa Mahkemesi, CMK m.80/2 ile m.82'yi incelerken yargı makamlarının genetik inceleme sonuçlarını işlemesine m.28/1-d uyarınca KVKK hükümlerinin uygulanmayacağını belirtmiştir. Mahkeme, bu istisnanın Anayasa m.20/3'ten doğan güvenceleri ortadan kaldırmadığını kabul etmiştir.7

Mahkemeye göre kanunda genetik verilerin kapsamı, saklanma süresi ve koşulları ile yok edilme usulü yeterince düzenlenmemiştir. İlgili kişinin verilere erişebilmesi ve bunların silinmesini isteyebilmesi için gerekli güvencelere, hukuka aykırı kullanıma karşı etkili bir başvuru yoluna da yer verilmemiştir. Mahkeme bu gerekçelerle CMK m.80/2'nin tamamını, m.82'yi ise m.80/2 yönünden iptal etmiştir. İptal hükümleri 18 Aralık 2026'da yürürlüğe girecektir.8

Kişisel Verileri Koruma Kurulu, 2023/1578 sayılı kararında tıp merkezinin mahkemeye belge sunmasını merkezin kendi hukuki dayanağı bakımından incelemiştir. Mahkemenin belgeyi teslim aldıktan sonraki veri işlemesi ise m.28/1-d kapsamında değerlendirilmiştir.9

Doktrinde, soruşturma, kovuşturma, yargılama ve infaz verileri için veri korumaya özgü ayrı bir düzenleme yapılması önerilmektedir. Bu öneri, yürürlükteki m.28/1-d'nin içeriği olarak değerlendirilemez ve mevcut sistemin geliştirilmesine yöneliktir.10

Kanunun amacına ve temel ilkelerine uygunluk, ikinci fıkradaki dört bent için ortak şarttır.1 Orantılılık da her bentte, işlenen verinin kapsamı ve izlenen amaç gözetilerek ayrıca değerlendirilecektir.2

İkinci fıkranın (a), (c) ve (ç) bentlerinde gereklilik şartı açıkça aranmış, alenileştirmeye ilişkin (b) bentte ise bu kayda yer verilmemiştir. Bu lafız farkı, alenileştirilen veriler bakımından Kanunun amacına ve temel ilkelere uygunluk ile orantılılık denetimini ortadan kaldıramaz.3

Kısmi istisna uyarınca yalnız m.10, zararın giderilmesini talep etme hakkı dışındaki m.11 ve m.16 uygulanmaz. Kişisel veri işleme şartları, veri güvenliği yükümlülükleri ve Kanunun diğer hükümleri uygulanmaya devam eder.4

İkinci fıkra, m.11'de düzenlenen zararın giderilmesini talep etme hakkını korur. Bu hüküm, tazminat şartlarının her somut olayda gerçekleştiği anlamına gelmez.5

Danıştay Onuncu Dairesi, sağlık verilerinin işlenme amaçlarının denetleme veya düzenleme görevine dayanılarak yönetmelikle genişletilemeyeceğine karar vermiştir. Kısmi istisna, kanunda bulunmayan yeni bir kişisel veri işleme amacı veya şartı oluşturmak için kullanılamaz.6

Kurul, 2020/120 sayılı kararında önce vergi incelemesindeki işlemenin ayrı bir hukuki sebebe dayanıp dayanmadığını incelemiştir. Ardından kısmi istisnanın hangi hükümleri uygulama dışında bıraktığını ve istenen banka hesaplarının incelemenin amacıyla orantılı olup olmadığını değerlendirmiştir.7

İkinci fıkranın (a) bendi, yalnız belirli bir suçun işlenmesini önlemek veya yürütülen bir suç soruşturmasını gerçekleştirmek için gerekli olan veri işleme faaliyetlerine uygulanır. Suçla kurulan genel ya da uzak bir bağlantı bu gereklilik şartını karşılamak için yeterli sayılamaz.1

Gereklilik değerlendirilirken, işlenen verilerin kapsamı ve işlemenin zamanı ile önleme veya soruşturma faaliyeti arasındaki somut bağ gösterilmelidir.2

Kovuşturma ve yargılama m.28/2-a'da sayılmamıştır. Bu süreçlerde yapılan işleme, m.28/1-d'nin aktör ve faaliyet şartları bakımından ayrıca incelenecektir.3

Suçun önlenmesi veya soruşturulması için gereklilik şartı gerçekleşse bile kısmi istisna uyarınca yalnız m.10, zararın giderilmesini talep etme hakkı dışındaki m.11 ve m.16 uygulanmaz. İşleme şartları ile veri güvenliği yükümlülükleri uygulanmaya devam eder.4

Bir veri işleme faaliyetinin kolluk tarafından yürütülmesi, faaliyeti kendiliğinden ikinci fıkranın (a) bendi kapsamına sokmaz. İdari, trafik veya genel önleme görevlerindeki işleme faaliyetin niteliğine göre değerlendirilecek, önleyici, koruyucu veya istihbari nitelik taşıyorsa m.28/1-ç'deki şartlar ayrıca aranacaktır.5

Kanunun 28. maddesinin ikinci fıkrasının (b) bendinin uygulanabilmesi için kişisel veriyi alenileştiren kişinin verinin ilgili kişisi olması gerekir.1 Bir sicilin, haber sitesinin, çevrim içi platformun veya başka bir üçüncü kişinin veriyi kamuya açması, ilgili kişinin alenileştirme iradesi ortaya konulmadan bu bent için yeterli sayılamaz.2

Doktrinde ileri sürülen bir görüşe göre alenileştirme iradesi açık olmalı ve açıklamanın yöneldiği kişi çevresi somut olayda belirlenmelidir. Gizlilik ayarlarıyla sınırlı bir çevreye açılan veri, kural olarak alenileştirilmiş sayılamaz.3

İlgili kişinin veriyi alenileştirmesi, verinin daha sonra her amaçla sınırsız biçimde işlenmesine izin vermez. İlk açıklamanın amacı ile sonraki kullanım arasındaki bağ ayrıca aranmalıdır.4

Alenileştirme bendinin uygulanmasında da Kanunun amacına ve temel ilkelere uygunluk ile orantılılık aranacaktır.5

Alenileştirme halinde yalnız m.10, zararın giderilmesini talep etme hakkı dışındaki m.11 ve m.16 uygulanmaz. Kanunun diğer hükümleri yürürlükte kalır.6

Kurul, 2020/508 sayılı kararında baro levhası ile Türkiye Barolar Birliğinin resmi internet sitesinde yayımlanan mesleki e-posta adresini somut olayda ilgili kişi tarafından alenileştirilmiş kabul etmiştir. Kurul, sonraki kullanımın ilk yayım amacından ayrıldığının gösterilmemesini dikkate almış ve temel ilkelere aykırılık bulunmadığı sonucuna varmıştır.7

Alenileştirme halinde zararın giderilmesini isteme hakkı korunurken m.11'deki diğer hakların uygulanmaması doktrinde sistematik bakımdan eleştirilmektedir. Bu eleştiri, yürürlükteki kısmi istisna sonucunu değiştiremez.8

Kanunun 28. maddesinin ikinci fıkrasının (c) bendinin uygulanabilmesi için kişisel veri işleme faaliyetinin kanunla verilmiş bir yetkiye dayanması gerekir.1 Veri işleme faaliyeti, görevli ve yetkili bir kamu kurumu veya kuruluşu ya da kamu kurumu niteliğindeki bir meslek kuruluşu tarafından yürütülmelidir.2 Somut işleme, denetleme veya düzenleme görevinin yürütülmesi ya da disiplin soruşturması veya kovuşturması için gerekli olmalıdır.3

Kısmi istisna, işlemenin KVKK m.5 veya m.6'daki şartlardan birine dayanması gereğini ortadan kaldıramaz.4

Disiplin soruşturması ve kovuşturması, tam istisna yerine m.28/2-c'deki kısmi istisna içinde düzenlenmiştir.5 Bu faaliyetler 1/541 sayılı Kanun Tasarısının ilk metninde bulunmamış, Adalet Komisyonunda bende eklenmiştir.6

Danıştay Onuncu Dairesi, sağlık verilerinin işlenme amaçlarının denetleme veya düzenleme görevine dayanılarak yönetmelikle genişletilemeyeceğine karar vermiştir.7 Kurul ise 2020/120 sayılı kararında vergi incelemesindeki işlemenin önce ayrı bir hukuki sebebe dayandığını belirlemiştir. Ardından m.28/2-c'nin hangi hükümleri uygulama dışında bıraktığını ve istenen banka hesaplarının inceleme amacıyla orantılı olup olmadığını değerlendirmiştir.8

Kurul, 2020/226 sayılı kararında valiliğin disiplin soruşturması kapsamındaki sonraki işlemesini m.28/2-c yönünden değerlendirmiştir. Ancak Kurul, ilk elde etmedeki muhtemel hukuka aykırılığın sonraki işlemeye etkisini çözmemiş ve bu aykırılığın giderildiği sonucuna varmamıştır.9

Kanunun 28. maddesinin ikinci fıkrasının (ç) bendinin uygulanabilmesi için kişisel veri işlemenin bütçe, vergi veya mali konulara ilişkin olması gerekir.1 Bent, özel kişilerin veya şirketlerin ekonomik menfaatlerini değil Devletin ekonomik ve mali çıkarını korur.2

Somut veri işleme, Devletin ekonomik ve mali çıkarını korumak için gerekli olmalıdır.3 Bir veri işleme faaliyetinin kamu geliri, kamu alacağı veya ekonomik faaliyetle bağlantılı olması tek başına yeterli sayılamaz. İşlemenin bentteki konu ve gereklilik şartlarını ayrıca karşılaması gerekir.4

Ekonomik güvenliği sağlamaya yönelik kanuni istihbarat faaliyetleri ile bütçe, vergi ve mali konularda Devletin ekonomik ve mali çıkarlarını korumaya yönelik diğer veri işleme faaliyetleri aynı istisnaya tabi değildir. İlk gruptaki işlemler, şartları varsa m.28/1-ç kapsamında, ikinci gruptaki işlemler ise m.28/2-ç kapsamında değerlendirilecektir.5

Devletin ekonomik ve mali çıkarlarına ilişkin şartlar gerçekleştiğinde yalnız m.10, zararın giderilmesini talep etme hakkı dışındaki m.11 ve m.16 uygulanmaz. Kanunun diğer hükümleri yürürlükte kalır.6