Madde 28

KVKK m.28, belirli veri sorumlularını veya veri türlerini baştan Kanunun dışına çıkaran bir statü kuralı değildir. Her bent, belirli bir işleme faaliyetine bağlanmıştır. Bu nedenle önce verinin kim tarafından, hangi faaliyet içinde ve hangi amaçla işlendiği belirlenir. Ardından bentte sayılan ek şartların o işlem bakımından gerçekleşip gerçekleşmediği incelenir.1

Maddenin birinci fıkrası Kanunun bütün hükümlerini uygulama dışı bırakır. İkinci fıkra ise yalnız m.10, m.11'deki zarar giderimi istemi dışındaki haklar ve m.16 bakımından sonuç doğurur. Bu ayrım, istisna hükmünü bağımsız bir işleme şartı olarak değil, Kanunun somut faaliyete ne ölçüde uygulanacağını belirleyen bir düzenleme olarak okumayı gerektirir.2

Aynı kişinin veya kurumun yürüttüğü işlemler bu sebeple tek bir sonuca bağlanamaz. Gerçek kişinin ev içindeki faaliyeti ile mesleki faaliyeti, kamu kurumunun olağan idari işlemi ile kanuni yetkiye dayalı istihbari faaliyeti ayrı ayrı değerlendirilir.3

Birinci fıkradaki bir bent gerçekleşirse o işleme bakımından KVKK hükümleri uygulanmaz. İkinci fıkradaki bentlerden biri gerçekleştiğinde ise veri sorumlusunun aydınlatma yükümlülüğünü düzenleyen m.10, ilgili kişinin haklarını düzenleyen m.11 ve Sicile kayıt yükümlülüğünü düzenleyen m.16 uygulanmaz. KVKK m.11 yönünden istisna, kanuna aykırı işleme sebebiyle zararın giderilmesini isteme hakkını kapsamaz.1

Bu sınırlı sonuç, işlemenin Kanunun amacına ve temel ilkelerine uygun ve orantılı olması şartını kaldırmaz. Ayrıca genel nitelikli verilerde m.5'te, özel nitelikli verilerde m.6'da öngörülen işleme şartlarından birinin bulunması ve m.12'deki veri güvenliği yükümlülüklerine uyulması gerekir.2

Vergi incelemesine ilişkin 2020/120 sayılı karar, bu sıralamanın uygulamadaki karşılığını gösterir. Kurul, Bakanlığın kanundan doğan denetim yetkisi kapsamında işleme şartının bulunduğunu belirledikten sonra, m.28/2-c sebebiyle yalnız m.10, m.11 ve m.16'nın belirtilen kısmının uygulanmayacağını değerlendirmiştir.3

İstisna sisteminin bugünkü yapısı tasarı metinlerinde aynı biçimde yer almamıştır. 2008 Tasarısı, belirli yükümlülükler için genel sınırlama sebepleri öngörürken Kanunun tamamından istisna edilen alanları ayrı bir grup olarak kurmamıştı. 2014 Tasarısı ise tam istisna alanlarını belirlemiş, fakat bunları madde hükümlerine yapılan atıflarla düzenlemişti.1

Yürürlüğe giren m.28, birinci fıkrada tam istisnayı, ikinci fıkrada ise hangi hükümlerin uygulanmayacağını doğrudan sayarak iki farklı sonuç oluşturmuştur. Komisyon aşamasındaki değişiklikler önceki Hükümet Tasarısının gerekçesiyle tek başına açıklanamaz. Nihai metnin kapsamı, karşılaştırma cetveli ve Komisyonun değişiklikleri birlikte değerlendirilerek belirlenir.2

Birinci fıkranın (a) bendi, gerçek kişinin tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetine yöneliktir. İstisna, üçüncü kişilere vermeme ve veri güvenliğine ilişkin yükümlülüklere uyma şartlarıyla kurulmuştur. Bu şartlar, aile çevresindeki her veri hareketinin kendiliğinden istisna sayılmasını engeller.1

Hükümdeki tamamen sözcüğü, işlemenin mesleki veya ekonomik bir boyut kazanmadığı alana işaret eder. Aile hayatı içindeki fotoğrafın kişisel kullanım için saklanması ile bu fotoğrafın belirsiz bir çevreye açılması aynı faaliyet değildir. Kurul, 2022/776 sayılı kararında bağımsız ticari faaliyeti kapsamında sekiz yaşındaki çocuğa tanıtım broşürü gönderen gerçek kişinin m.28/1-a'ya dayanamayacağını kabul etmiştir. Dış çevreye yönelen paylaşımın kapsamı ve faaliyetin ticari niteliği, işlemenin ailevi niteliğini kaybedip kaybetmediği bakımından önem taşır.2

Anayasa Mahkemesi, bu istisnayı gündelik hayatı gereksiz prosedürlerle ağırlaştırmama amacıyla anayasal denetime tabi tutmuştur. Karar, bentteki açık şartları bertaraf eden bir genel aile hayatı muafiyeti kurmamaktadır.3

Bent, resmi istatistik ile anonim hale getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla işlemeyi aynı cümlede düzenler. Resmi istatistik bakımından anonimleştirme aranıp aranmadığı, ikinci grupta ise anonimleştirmenin işlemenin başında mı sonunda mı devreye girdiği metinden açıkça anlaşılmaz.1

Bir görüş, verinin baştan anonim olarak toplanmasını da kişisel veri toplandıktan sonra anonim hale getirilmesini de bent kapsamında görür.2 Buna karşılık diğer görüş, anonim hale gelen verinin artık kişisel veri niteliğini kaybettiğine işaret eder ve özellikle anonimleştirme öncesindeki işlemenin veri koruma ilkelerine uygun yürütülmesi gerektiğini savunur.3 Ayrışma, anonimleştirmenin yalnız son aşamayı mı yoksa araştırma amacıyla başlayan süreci de mi kapsadığı noktasındadır.

Bu nedenle yalnız kimliği güçleştiren bir tedbir yeterli değildir. KVKK m.3'teki tanım uyarınca verinin başka bilgilerle eşleştirilse dahi belirli veya belirlenebilir kişiyle ilişkilendirilememesi gerekir. Anonim hale getirme öncesindeki toplama ve saklama için hangi hükümlerin uygulanacağı, seçilen yorum ve somut işleme zinciri üzerinden ayrıca gösterilmelidir.4

İfade veya basın özgürlüğü kapsamında gerçekleştirilen işleme, bendin saydığı kayıtlar gerçekleşmeden tam istisna doğurmaz. İşlemenin kamu yararına hizmet edip etmediği, haberin gerçek ve güncel olup olmadığı ile haberin özü ile veriliş biçimi arasındaki denge, özel hayatın gizliliği ve kişilik haklarıyla birlikte değerlendirilir.1

Kurulun 2020/414 sayılı kararında, kesinleşmiş mahkumiyete ilişkin haber bakımından kamunun bilgi alma menfaatinin sürdüğü, haberin görünürde gerçeğe uygun ve güncel olduğu, kullanılan dil ve görsellerin haberin gerektirdiği ölçüde kaldığı sonucuna varılmıştır. Bu nedenlerle kişilik hakları karşısında ifade özgürlüğüne üstünlük tanınmış ve m.28/1-c kapsamında Kanun çerçevesinde işlem yapılmamıştır.2

2023/767 sayılı kararda ise hastanedeki olayın haber değeri bulunmasına rağmen, sağlık ve özel hayata ait ayrıntıların haberin amacını aşacak ölçüde yayımlandığı belirlenmiştir. Aynı bent, bu kez öz ile biçim arasındaki denge kurulmadığı için uygulanmamış ve idari para cezasına karar verilmiştir. İki karar, kamu yararının tek başına sonucu belirlemediğini gösterir.3

Gazete arşivindeki haberin güncel bir arama sonucunda görünmesi, kaynak yayının basın istisnası içindeki konumuyla aynı soru değildir. Kurul, 2023/2185 sayılı kararda incelenen arşiv haberini basın hürriyeti kapsamında m.28/1-c istisnası içinde değerlendirmiştir. Ad ve soyadla yapılan arama sonucundan çıkarma talebini ise arama motoruna yöneltilmesi gereken ayrı bir başvuru saymıştır.4

Sanat, tarih, edebiyat ve bilimsel amaçlar, ifade özgürlüğünden ayrı olarak bendin metninde sayılmıştır. Ancak bu faaliyetlerden birine bir ad verilmesi yeterli değildir. İşleme ile sanat eseri, tarihsel çalışma, edebi çalışma veya bilimsel araştırma arasında somut bağ bulunmalı, ayrıca bentteki güvenlik, özel hayat, kişilik hakkı ve suç teşkil etmeme kayıtları korunmalıdır.1

2019/316 sayılı karar, hastalara ait kan, serum ve doku örneklerinin kişiye bağlanabildiği, buna rağmen örneklerin bilimsel amaçla kaydedildiği somut olayda verilmiştir. Kurul, bu işlemenin bentteki kayıtları ihlal etmediği sonucuna ulaşarak işlem yapmamıştır. Karar, özellikle biyolojik örneklerin kaydı bakımından dar bir uygulama örneğidir.2

Karar özetindeki etik kurul ve onam tartışması ile örneklerin saklanmasına ilişkin bilgiler, bilimsel amaç taşıyan bütün işlemelerin aynı sonuca bağlanmasına elverişli değildir. Sanat, tarih ve edebiyat alanlarında da istisnanın uygulanması, faaliyetin niteliği ve bentteki koruyucu kayıtlar bakımından ayrı değerlendirme gerektirir.3

Bu bentte tam istisna, kanunla görev ve yetki verilmiş kamu kurum veya kuruluşunun yürüttüğü önleyici, koruyucu ya da istihbari faaliyete bağlanmıştır. Faaliyetin de milli savunma, milli güvenlik, kamu güvenliği, kamu düzeni veya ekonomik güvenliği sağlamaya yönelmesi gerekir. Güvenlik alanında çalışan kurumun her işlemi bu iki şartı karşılamaz.1

AYM E.2021/60, K.2024/200 sayılı kararında, istihbari nitelikteki veriler bakımından kişiyi bilgilendirme, erişim, düzeltme ve silme istemi ile silme ve yok etme güvencelerine getirilen istisnaları Anayasa'ya uygun bulmuştur. Mahkeme, bu sonuca verilerin amaçla bağlantılı, sınırlı ve ölçülü kullanılmasına, doğru ve güncel tutulmasına, gizliliğinin korunmasına ve yargısal denetimde mahkemeye sunulmasına ilişkin güvenceleri dikkate alarak ulaşmıştır.2

Bestami Eroğlu kararında Anayasa Mahkemesi, milli güvenlik ve suçun önlenmesi amacıyla kişisel verilerin korunmasına ilişkin özel güvencelere istisna getirilebileceğini kabul etmiştir. Bununla birlikte istisnanın Anayasa m.13'teki kanunilik, meşru amaç, demokratik toplum düzeni ve ölçülülük gereklerini kaldırmadığını belirtmiştir.3

Mahkeme, somut ByLock incelemesinde verilerin amaçla sınırlı kullanılması, gereğinden uzun saklanmaması, kişi hakkında otomatik sonuç doğurmaması ve etkili yargısal denetime açık olması güvencelerini ayrıca incelemiştir.4

Birinci fıkranın (d) bendi, veri işlemenin yargı makamı veya infaz mercii tarafından yapılmasını ve soruşturma, kovuşturma, yargılama ya da infaz işlemiyle ilgili olmasını birlikte arar. Mahkemeye belge sunan işverenin, avukatın veya başka bir üçüncü kişinin kendi işleme faaliyeti bu nedenle yargı makamının sonraki işlemesinden ayrılır. Kurulun 2023/1578 sayılı kararında tıp merkezinin terapi notlarını boşanma dosyasına göndermesi, mahkemenin sonraki UYAP işlemesinden ayrı tutulmuştur. Talep edilenden geniş veri aktarımı bakımından tıp merkezinin sorumluluğu incelenmiştir.1

AYM B.2019/4055 sayılı kararda, ceza infaz kurumundaki her işlemin infaz işlemi sayılamayacağı belirtilmiştir. Mahpusun yargısal süreçle ilgisi bulunmayan kurumlara gönderilen dilekçelerinin üst yazılarında suç türü, tevkif numarası ve ayrıntılı kimlik bilgilerinin yer alması, infaz istisnası içinde görülmemiştir. Mahkeme, bu paylaşım için ayrıca açık kanuni dayanak veya açık rıza aranacağını kabul etmiştir.2

AYM E.2023/128, K.2026/36, CMK m.134'teki bilgisayarlarda arama, kopyalama ve elkoymayı incelemiştir. Karar CMK m.138 hakkında değildir ve çoğunluk gerekçesi KVKK m.28/1-d'nin kapsamını doğrudan yorumlamaz. Bu karar, şerhte yalnız yargısal veri işlemesinde saklama, silme ve işlemenin sınırlarının kanunda gösterilmesi gereğini açıklamak için kullanılmaktadır.3

AYM E.2025/141, K.2025/274 ise CMK m.80/2 ile m.82'deki genetik verilerin saklanması ve imhasına ilişkin kuralları denetlemiştir. Mahkeme, m.28/1-d sebebiyle KVKK'nın uygulanmamasının anayasal güvenceleri ortadan kaldırmadığını belirterek CMK m.80/2'yi tümüyle, m.82'yi ise bu hükme bağlı olduğu ölçüde iptal etmiştir.4

Kurul, infaz merciinin işlemi ile infaz süreci arasındaki bağı iki yeni kararda doğrudan uygulamıştır. Ceza infaz kurumundaki kapalı zarfın açılması ve dosyaya erişim taleplerini infaz işlemleri kapsamında değerlendirmiştir. Tahsilat ve reddiyat makbuzlarının ilgili kişiye ulaştırılmasını da infaz merciinin infaz işlemine ilişkin veri işlemesi saymıştır.5

İkinci fıkradaki dört bent, Kanunun amacına ve temel ilkelerine uygun ve orantılı işleme şartıyla başlar. Gereklilik kaydı, suçun önlenmesi veya soruşturulması, denetim, düzenleme ya da disiplin faaliyeti ve Devletin ekonomik veya mali çıkarlarının korunması bakımından bent metinlerinde ayrıca aranır. Alenileştirme bendinde bu sözcük bulunmasa da temel ilkeler ve orantılılık şartı devam eder.1

Bu nedenle m.28/2-a'da önleme veya soruşturma ile işlenen veri arasındaki gereklilik, m.28/2-c'de denetleme, düzenleme veya disiplin görevi için gereklilik, m.28/2-ç'de ise Devletin ekonomik veya mali çıkarının korunması için gereklilik ayrı ayrı gösterilmelidir. Faaliyetin yalnız adı, bu gereklilik bağının yerine geçmez.2

Bu bent, kişisel veri işlemenin suç işlenmesini önlemek veya bir suç soruşturmasını yürütmek için gerekli olduğu hallerle sınırlıdır. Suçla soyut bir bağlantı kurmak yeterli değildir. İşlenen verinin kapsamı ile yürütülen önleme veya soruşturma faaliyeti arasındaki gereklilik gösterilmelidir.1

Kolluğun suçun önlenmesi veya soruşturulmasıyla ilgisi bulunmayan görevleri bu bent nedeniyle genel olarak istisna sayılmaz. Kovuşturma, yargılama ve infaz söz konusu olduğunda ise faaliyetin yargı makamı veya infaz mercii tarafından yürütülüp yürütülmediği, birinci fıkranın (d) bendi bakımından ayrıca incelenir.2

Kısmi istisna, veriyi alenileştiren kişinin ilgili kişi olmasını gerektirir. Başka bir kişinin, sicilin veya çevrim içi platformun yaptığı yayım, ilgili kişinin bu yöndeki iradesi gösterilmeden aynı sonucu doğurmaz. Alenileştirme iradesinin kapsamı ile sonraki işlemenin amacı birlikte değerlendirilir.1

İlgili kişi bir veriyi belirli bir erişim çevresine açmışsa, bu açıklama verinin her amaçla yeniden kullanılmasına izin vermez. Kurulun 2020/508 sayılı kararında, avukatın Baro ve Türkiye Barolar Birliği kayıtlarında yer alan mesleki e-posta adresinin aynı amaçla gösterilmesini bu bağ içinde değerlendirmiştir. Karar, kamuya açık mesleki verinin sınırsız yeniden kullanımını değil, ilk açıklamayla uyumlu amaç ve veri kapsamını esas alır.2

Bent, kanunun verdiği yetkiye dayanan, görevli ve yetkili kamu kurum veya kuruluşu yahut kamu kurumu niteliğindeki meslek kuruluşu tarafından yürütülen denetleme, düzenleme veya disiplin faaliyetinde gerekli olan işlemeyi kapsar. Bu şartlar, faaliyetin adından değil kanuni yetki, görev ve işlenen verinin o görev için gerekliliğinden anlaşılır.1

KVKK m.28/2-c, veri sorumlusu için yeni ve bağımsız bir işleme şartı oluşturmaz. Danıştay 10. Dairesinin E.2019/10346, K.2023/5654 sayılı kararı da denetim bağlamında işleme şartının ve temel ilkelerin ayrı değerlendirilmesi gerektiğini göstermektedir. İşleme önce m.5 veya m.6'daki hukuki sebeplerden birine dayanmalı, ardından m.10, m.11'deki zarar giderimi dışındaki haklar ve m.16 bakımından kısmi istisnanın sonucu incelenmelidir.2

2020/226 sayılı kararda Kurul, Valilik çalışanının veriyi hukuka aykırı elde ettiği iddiasının Türk Ceza Kanunu kapsamında ayrı değerlendirilmesi gerektiğini belirtmiştir. Valiliğin veriyi sonraki disiplin soruşturması kapsamında işlemesini ise m.28/2-c bakımından ayrıca ele almıştır. Karar, ilk elde etme iddiası ile Valiliğin sonraki disiplin işlemesinin farklı hukuki sorular olduğunu gösterir.3

İkinci fıkranın (ç) bendi, bütçe, vergi ve mali konularda Devletin ekonomik ve mali çıkarlarının korunması için gerekli kişisel veri işlemelerine yöneliktir. Özel kişilerin ekonomik menfaati veya kamu kurumunun her mali işlemi bu bent kapsamına girmez. İşlemenin Devletin sayılan mali çıkarını korumaya neden gerekli olduğu somut faaliyet üzerinden ortaya konulmalıdır.1

Ekonomik güvenliği sağlamaya yönelik kanuni istihbari faaliyet, birinci fıkranın (ç) bendindeki aktör ve faaliyet şartlarını taşıyorsa tam istisna bakımından değerlendirilir. Bütçe, vergi veya mali çıkarı korumak için yürütülen ve istihbari nitelik taşımayan işleme ise ikinci fıkranın (ç) bendi uyarınca yalnız sınırlı istisna sonucuna bağlanır.2