TBMM Madde Gerekçesi
Güncel metinYürürlükte
Maddeyle, Kanunda kullanılan bazı terimlerin tanımları yapılmıştır. Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade etmektedir. Bu bağlamda sadece bireyin adı, soyadı, doğum tarihi ve doğum yeri gibi onun kesin teşhisini sağlayan bilgiler değil, aynı zamanda kişinin fiziki, ailevi, ekonomik, sosyal ve sair özelliklerine ilişkin bilgiler de kişisel veridir. Bir kişinin belirli veya belirlenebilir olması, mevcut verilerin herhangi bir şekilde bir gerçek kişiyle ilişkilendirilmesi suretiyle, o kişinin tanımlanabilir hale getirilmesini ifade eder. Yani verilerin; kişinin fiziksel, ekonomik, kültürel, sosyal veya psikolojik kimliğini ifade eden somut bir içerik taşıması veya kimlik, vergi, sigorta numarası gibi herhangi bir kayıtla ilişkilendirilmesi sonucunda kişinin belirlenmesini sağlayan tüm halleri kapsar. İsim, telefon numarası, motorlu taşıt plakası, sosyal güvenlik numarası, pasaport numarası, özgeçmiş, resim, görüntü ve ses kayıtları, parmak izleri, genetik bilgiler gibi veriler dolaylı da olsa kişiyi belirlenebilir kılabilme özellikleri nedeniyle kişisel verilerdir.
Kişisel verilerin işlenmesi kavramı geniş bir alanı kapsamaktadır. Buna göre kişisel verilerin işlenmesi, verilerin ilk defa elde edilmesinden başlayarak veriler üzerinde gerçekleştirilen tüm işlem türlerini ifade etmektedir.
Açık rıza, 95/46 EC sayılı Direktif dikkate alınarak tanımlanmaktadır. Buna göre, açık rıza ilgili kişinin kendisiyle ilgili veri işlenmesine, özgürce, konuyla ilgili yeterli bilgi sahibi olarak, tereddüde yer bırakmayacak açıklıkta ve sadece o işlemle sınırlı olarak verdiği onay beyanı şeklinde anlaşılmalıdır.
Kişisel verilerin anonim hale getirilmesi, verilerin başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesini ifade etmektedir. Bu kapsamda, elde kalan veri üzerinden bir izleme yapılarak başka verilerle eşleştirme ve destekleme sonrasında verinin kime ait olduğu anlaşılabiliyorsa, bu verinin anonim hale getirildiği kabul edilemez.
Veri kayıt sistemi, kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemini ifade etmektedir. Bu sistemler elektronik yahut fiziki ortamda oluşturulabilir. Buna göre, veri kayıt sisteminde kişisel veriler, ad, soyad veya kimlik numarası üzerinden sınıflandırılabileceği gibi, kredi borcunu ödemeyenlere ilişkin oluşturulacak sınıflandırma da bu kapsamda değerlendirilecektir.
Veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olanlardır. Bu kişiler, gerçek kişiler olabileceği gibi, kamu kurumları, şirketler, dernekler veya vakıflar gibi tüzel kişiler de olabilecektir.
Veri işleyen, veri sorumlusu adına verileri işleyen gerçek ve tüzel kişilerdir. Bu kişiler, kişisel verileri kendisine verilen talimatlar çerçevesinde işleyen çalışanlar olabileceği gibi, veri sorumlusunun hizmet satın almak suretiyle belirlediği ayrı bir gerçek veya tüzel kişi de olabilir. Herhangi bir gerçek veya tüzel kişi aynı zamanda hem veri sorumlusu, hem de veri işleyen olabilir. Örneğin, bir muhasebe şirketi kendi personeliyle ilgili tuttuğu verilere ilişkin olarak veri sorumlusu sayılırken, müşterisi olan şirketlere ilişkin tuttuğu veriler bakımından ise veri işleyen olarak kabul edilecektir.
2014 Tasarısı2014
Maddeyle, Kanunda kullanılan terimlerin tanımları yapılmıştır.
Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade etmektedir. Bu bağlamda sadece bireyin adı, soyadı, doğum tarihi ve doğum yeri gibi onun kesin teşhisini sağlayan bilgiler değil, aynı zamanda kişinin fiziki, ailevi, ekonomik, sosyal ve sair özelliklerine ilişkin bilgiler de kişisel veridir. Bir kişinin belirli veya belirlenebilir olması, mevcut verilerin herhangi bir şekilde bir gerçek kişiyle ilişkilendirilmesi suretiyle, o kişinin tanımlanabilir hale getirilmesini ifade eder. Yani verilerin; kişinin fiziksel, ekonomik, kültürel, sosyal veya psikolojik kimliğini ifade eden somut bir içerik taşıması veya kimlik, vergi, sigorta numarası gibi herhangi bir kayıtla ilişkilendirilmesi sonucunda kişinin belirlenmesini sağlayan tüm halleri kapsar. İsim, telefon numarası, motorlu taşıt plakası, sosyal güvenlik numarası, pasaport numarası, özgeçmiş, resim, görüntü ve ses kayıtları, parmak izleri, genetik bilgiler gibi veriler dolaylı da olsa kişiyi belirlenebilir kılabilme özellikleri nedeniyle kişisel verilerdir.
Kişisel verilerin işlenmesi kavramı geniş bir alanı kapsamaktadır. Buna göre verilerin ilk defa elde edilmesinden başlayarak veriler üzerinde gerçekleştirilen tüm işlem türlerini ifade etmektedir.
Veri kayıt sistemi, kişisel verileri belirli bir kritere göre sınıflandırarak bunlara ulaşımı kolaylaştıracak şekilde yapılandınlmış sistemleri ifade etmektedir. Buna göre, veri kayıt sisteminde kişisel veriler, ad, soyad veya kimlik numarası üzerinden sınıflandınlabileceği gibi, kredi borcunu ödemeyenlere ilişkin oluşturulacak sınıflandırma da bu kapsamda değerlendirilecektir.
Veri sorumlusu, kişisel verilerin işlenmesine yönelik veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek ve tüzel kişileri ifade etmektedir. Bu kişiler, verilerin işlenmesini kontrol eden ve bundan sorumlu olan gerçek kişiler olabileceği gibi, kamu kurumları, şirketler, demekler veya vakıflar gibi tüzel kişiler de olabilecektir.
Veri işleyen, veri sorumlusu adına verileri işleyen gerçek ve tüzel kişilerdir. Bu kişiler, kişisel verileri kendisine verilen talimatlar çerçevesinde işleyen çalışanlar olabileceği gibi, veri sorumlusunun hizmet satın almak suretiyle belirlediği ayn bir gerçek veya tüzel kişi de olabilir. Herhangi bir gerçek veya tüzel kişi aynı zamanda hem veri sorumlusu, hem de veri işleyen olabilir. Örneğin bir muhasebe şirketi kendi personeliyle ilgili tuttuğu verilere ilişkin olarak veri sorumlusu sayılırken, müşterisi olan şirketlere ilişkin tuttuğu veriler bakımından ise veri işleyen olarak kabul edilecektir.
2008 Tasarısı2008
Maddede, Kanunda kullanılan deyim ve terimlerin tanımlarına yer verilmiştir. Kanun kapsamına giren kişisel veriler, sadece bireyin adı, soyadı, doğum tarihi ve doğum yeri gibi onun kesin teşhisini sağlayan bilgiler değil, aynı zamanda kişinin aklî, psikolojik, fizikî, kültürel, ekonomik, sosyal ve sair özelliklerine ilişkin verilerdir. Bir kişinin belirli veya belirlenebilir olması, mevcut verilerin herhangi bir şekilde bir gerçek kişiyle ilişkilendirilmesi suretiyle, o kişinin tanımlanabilir hale getirilmesini ifade eder. Yani verilerin; kişinin fiziksel, ekonomik, kültürel, sosyal veya psikolojik kimliğini ifade eden somut bir içerik taşıması veya kimlik, vergi, sigorta numarası gibi herhangi bir kayıtla ilişkilendirilmesi sonucunda kişinin belirlenmesini sağlayan tüm halleri kapsar. İsim, telefon numarası, motorlu taşıt plakası, sosyal güvenlik numarası, pasaport numarası, özgeçmiş, resim, görüntü ve ses kayıtları, parmak izleri, genetik bilgiler gibi veriler dolaylı da olsa kişiyi belirlenebilir kılabilme özellikleri nedeniyle kişisel verilerdir. İlgili kişi (data subject) tanımı, hakkında kişisel veri işlenen gerçek ve tüzel kişileri ifade etmektedir. Yukarıda da belirtildiği gibi Avrupa Birliğinin son direktifleri doğrultusunda veri konusu kişi kapsamına tüzel kişiler de dahil edilmiştir. Kişisel verilerin işlenmesi tanımı; geniş bir alanı kapsamaktadır. Buna göre verilerin toplanmasından başlayarak tüm işlem türleri tanım kapsamı altına alınmaktadır. Kişisel verilerin, bilgisayar gibi otomasyon sistemlerinin kullanıldığı yöntemlerle işlenmesi gibi, otomatik sistemler kullanılmadan elden işlenmesi hali de tanım kapsamına dahil olacaktır. Veri kütüğü, gerçek veya tüzel kişilere ilişkin belli bir kritere göre kişisel verilere ulaşımı kolaylaştıracak şekilde yapılandırılmış herhangi bir kişisel veri grubunu ifade etmektedir. Buna göre kişisel verilerin; örneğin herhangi bir kuruluşta, o kuruluşun faaliyetini sürdürmek için düzenli olarak tuttuğu dosyalama sisteminin bir parçası olması gerekmektedir. Ayrıca bu dosyalama sistemi kişilere ilişkin herhangi bir kritere göre yapılandırılmış olmalıdır. Yine bu dosyanın halen ulaşılabilir olması gerekmektedir. Buna göre, bir dosyanın üzerinde herhangi bir kişinin ad ve soyadı veya kimlik numarası bulunması halinde, bu dosya tanım kapsamına dahil olacağı gibi, örneğin kredi borcunu ödemeyenler gibi bir kritere göre oluşturulacak dosyalama sistemi de tanım kapsamına girecektir. Veri kütüğü sahibi ise, kişisel verilerin işlenmesinin amaç ve metotlarını tek başına veya başkaları ile birlikte belirleyen gerçek ve tüzel kişileri ifade etmektedir. Bu kişiler, verilerin saklanması ve kullanılmasını (işlenmesini) kontrol eden ve bundan sorumlu olan tüccarlar gibi gerçek kişiler olabileceği gibi, kamu kurumları veya dernek ve vakıflar gibi tüzel kişiler de olabilir. Grup şirketlerde ise, gruba dahil olan her şirket ayrı ayrı veri kütüğü sahibi olarak kabul edilecektir. Kişisel verileri işleyenler, veri kütüğü sahibi adına verileri işleyen gerçek ve tüzel kişilerdir. Bu kişiler verileri işlemekte ancak, kişisel veriler üzerinde kontrol yetkisi ve sorumluluk veri kütüğü sahibine ait bulunmaktadır. Veri işleyenlere örnek olarak; muhasebeciler, acenteler gibi başkası adına veri işleyen kurumlar sayılabilir. Herhangi bir gerçek veya tüzel kişi aynı zamanda hem veri kütüğü sahibi, hem de veri işleyen olabilir. Örneğin bir muhasebe şirketi kendi personeliyle ilgili tuttuğu verilere ilişkin olarak veri kütüğü sahibi sayılırken, müşterisi olan şirketlere ilişkin tuttuğu veriler bakımından ise kişisel verileri işleyen olarak kabul edilecektir. Ancak veri kütüğü sahibi ile işçi işveren ilişkisi içerisinde olan veya doğrudan talimatı altında bulunan kişiler kişisel verileri işleyen olarak kabul edilmeyecektir. Üçüncü kişi; ilgili kişi bakımından, veri kütüğü sahibi ile kişisel veri işleyen ve bunların doğrudan talimatı altında bulunan kişilerin dışında kalan ve kişisel veri işleyen gerçek ve tüzel kişiler ile kamu kurum veya kuruluşunu ifade etmektedir.
Tanımların işlevi ve yasama gelişimi
6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 2. maddesi, Kanunun kişi ve işleme yöntemi bakımından uygulama alanını belirler.1 Kanunun 3. maddesi ise bu incelemede kullanılacak temel kavramları tanımlar.2 Bu iki hüküm farklı sorulara cevap verir. Bir kaydın kişisel veri niteliğinde olması, o kayıt üzerindeki her faaliyetin KVKK kapsamında bulunduğunu tek başına gösteremez. Özellikle otomatik olmayan işlemede ayrıca veri kayıt sistemi bağlantısının bulunması gerekir.3
Kişisel veri, veri sorumlusu veya işleme tanımının gerçekleşmesi, faaliyetin hukuka uygun olduğunu göstermez. Verinin hangi şartla işlenebileceği, ne kadar süre saklanabileceği ve ilgili kişinin hangi hakkı kullanabileceği yalnız tanım hükmünden çıkarılamaz. Bu sorular sırasıyla genel ilkeler, işleme şartları, silme yükümlülüğü ve ilgili kişi haklarını düzenleyen hükümlerle birlikte cevaplandırılacaktır.4
Tanımların bugünkü kapsamı yasama sürecinde iki önemli değişiklik geçirmiştir. 2008 tarihli tasarı, ilgili kişi ve kişisel veri tanımlarına tüzel kişileri de dahil etmişti.5 2014 tarihli tasarı bu kavramları gerçek kişilerle sınırlamış ve veri sorumlusunu veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu kişi olarak tanımlamıştır. Kabul edilen metinde veri sorumlusunun işleme amaçlarını ve vasıtalarını belirlemesi de açıkça tanıma eklenmiştir.6 Yasama sürecindeki bu tercihler kavramların geçmişini açıklar, ancak yürürlükteki sınırlar kabul edilen metne göre belirlenecektir.
Kişisel veri ve kişiyle ilişki
Kişisel veri tanımı üç unsurdan oluşur. Ortada bir bilgi bulunmalı, bu bilgi bir gerçek kişiyle ilgili olmalı ve kişinin kimliği belirli veya belirlenebilir olmalıdır.1 Tanımdaki her türlü bilgi ibaresi, korumayı önceden belirlenmiş veri türleriyle sınırlamaz. Buna karşılık bir bilginin önemli, gizli veya kişiye özgü görünmesi de tek başına yeterli değildir. Bilgi ile gerçek kişi arasında kurulabilen ilişki gösterilmelidir.2
Bu ilişki önce bilginin içeriğinde aranabilir. Sağlık kaydı, değerlendirme formu veya bir kişi hakkında tutulan görüş, içeriği itibarıyla o kişiyle ilgilidir. Bilgi doğrudan kişi hakkında görünmese bile belirli bir kişiyi değerlendirmek, ona nasıl davranılacağına karar vermek veya davranışını etkilemek amacıyla kullanılıyorsa amaç bakımından bağ kurulabilir. İşlemenin kişinin hakları ya da menfaatleri üzerinde etkide bulunması veya böyle bir etki doğurmasının muhtemel olması da kişiyle ilişkiyi sonuç bakımından gösterebilir.3
İçerik, amaç ve sonuç birbirinin zorunlu tamamlayıcısı değildir. Bunlardan biri, somut olayda bilgi ile kişi arasındaki bağı kurmaya yetebilir. Üstelik aynı bilgi farklı kişilerle farklı sebeplerle ilgili olabilir. Bir kayıt içeriği nedeniyle bir kişi hakkında bilgi verirken, başka biri hakkında karar almak için kullanılması nedeniyle o ikinci kişiyle de ilişki kurabilir.4 Bu sebeple kişisel veri niteliği yalnız kaydın adı veya biçimi üzerinden değil, kaydın hangi bağlamda ve ne için kullanıldığı gözetilerek değerlendirilecektir.
Tüzel kişiye ait bir kayıtta gerçek kişinin adının bulunması da bu ayrımı gerektirir. Adın kayıtta geçmesi, kişiyle ilişkiyi her olayda kendiliğinden kurmaz. Kayıt kişinin davranışını anlatıyor, kişi hakkında karar vermek için kullanılıyor veya onun hak ve menfaatlerini etkiliyorsa kişisel veri niteliği kazanabilir. Kayıt yalnız tüzel kişinin borcu, adresi veya ticari faaliyeti hakkındaysa gerçek kişiyle ayrıca bir bağ kurulması gerekir.5
Kişisel Verileri Koruma Kurulu, 2022/103 sayılı kararda bu ölçütleri şirket unvanı bakımından uygulamıştır. İncelenen sosyal medya paylaşımında şirket unvanı bir gerçek kişinin adını taşıyordu. Kurul, paylaşım ve yorumların tüzel kişiliği hedeflediğini, şirketin unvanı, borcu, adresi ve vergi kimlik numarası bilgilerinin somut olayda gerçek kişinin hak ve menfaatleri üzerinde etkide bulunmadığını ve kişiye belirli biçimde davranılması amacıyla kullanılmadığını kabul etmiştir. Bu nedenle söz konusu bilgileri o gerçek kişi bakımından kişisel veri saymamıştır.6 Karar, gerçek kişi adı taşıyan bütün şirket unvanları için genel bir sonuç vermez. Değerlendirme, kaydın kullanıldığı bağlama göre yapılacaktır.7
Anayasa Mahkemesi de KVKK'den önce verdiği E.2014/74, K.2014/201 sayılı kararda kişisel veriyi belirli veya belirlenebilir kişiler hakkındaki geniş bilgi alanı içinde açıklamıştır.8 Bu karar anayasal korumanın kapsamını gösterir. KVKK bakımından yapılacak nitelendirmede ise Kanunun 3. maddesindeki gerçek kişiyle ilişki ve belirlenebilirlik unsurları esas alınacaktır.
Belirlenebilirlik ve takma ad kullanımı
Kişinin adı, kimlik numarası veya ayırt edici görüntüsü kayıtta açıkça yer alıyorsa kayıt belirli bir gerçek kişiyi doğrudan gösterir. Bu tür bir tanımlayıcı bulunmadığında inceleme sona ermez. Kayıt, başka bilgilerle birleştirildiğinde belirli bir gerçek kişiye ulaşılabiliyorsa belirlenebilirlik söz konusu olabilir.1
Her teorik eşleştirme ihtimali belirlenebilirlik için yeterli değildir. Ek bilginin kimde bulunduğu, bu bilgiye hukuken ve fiilen erişilip erişilemeyeceği, erişimin gerektirdiği zaman, emek ve maliyet somut olayın şartları içinde incelenecektir.2 Üçüncü kişideki bilgiye ulaşmak hukuken yasaksa veya elde etme imkanı gerçekte kullanılamayacak kadar uzaksa, yalnız varsayımsal bir imkan üzerinden kişi belirlenebilir sayılamaz. Buna karşılık veriyi elinde tutan kişinin makul biçimde başvurabileceği hukuki veya fiili bir yol varsa ek bilgi değerlendirmeye dahil edilebilir.3
Bu yaklaşım, aynı veri setinin farklı kişiler bakımından neden başka sonuçlar doğurabileceğini de açıklar. Doğrudan tanımlayıcıların kodla değiştirilmesi, veri ile kişi arasındaki bağı ortadan kaldırmaz. Eşleştirme anahtarını elinde bulunduran veya bu anahtara makul biçimde ulaşabilen kişi, kodu yeniden gerçek kişiyle ilişkilendirebilir. Anahtara erişemeyen alıcı bakımından ise kendi imkanları ayrıca incelenecektir.4 Dolayısıyla takma ad kullanımı, tek başına anonim hale getirme sonucu doğurmaz.
Görüntüler bakımından da yalnız yüzün bir bölümünün kapatılmış olması belirlenebilirliği mutlaka sona erdirmez. Kurul, 2022/630 sayılı kararda gözler kapatılmış olsa da kaş ve bıyık gibi ayırt edici yüz unsurlarının açık kaldığını belirlemiş ve fotoğraftaki kişinin belirlenebilir olduğu sonucuna ulaşmıştır.5 Başka bir görüntü hakkında aynı sonuca varılıp varılamayacağı, görüntüde kalan unsurlar ve erişilebilir ek bilgiler birlikte değerlendirilerek belirlenecektir.6
İlgili kişi, tüzel kişiler ve ölüm
İlgili kişi, bir dosyayı elinde bulunduran, sözleşmenin tarafı olan veya başvuruyu yapan kişi değil, kişisel verisi işlenen gerçek kişidir.1 Bu sıfatın belirlenmesinde kaydın kimin adına tutulduğundan önce, kayıttaki bilginin hangi gerçek kişiyle ilgili olduğu araştırılacaktır.
Tüzel kişi kendi ticari ve kurumsal verileri bakımından ilgili kişi değildir. Bununla birlikte bir tüzel kişiye ait sicil, sözleşme veya yazışma kaydı, aynı zamanda ortağın, yöneticinin, çalışanın ya da temsilcinin kişisel verisini içerebilir. Kurumsal bilgi ile gerçek kişiye ilişkin bilgi aynı belgede yer alsa bile bunların hukuki niteliği ayrı ayrı belirlenecektir.2
Kurul, 2018/131 sayılı kararda tüzel kişinin kendi verilerine erişme talebini KVKK kapsamında ilgili kişi başvurusu saymamıştır. Aynı başvuruda şirket ortakları ve yetkilileri hakkında bilgi istenmiş olsa da talep bu kişiler tarafından veya onların yasal temsilcileri aracılığıyla yapılmadığı için KVKK m.11 ve m.13 kapsamında kabul edilmemiştir.3 Buna göre şirketin başvurusu, ortak veya yetkilinin kendi kişisel verileri için yapacağı başvurunun yerine geçemez.
Kurul, 2019/273 sayılı kararda kişiliğin ölümle sona erdiğinden hareketle vefat etmiş eşe ait sağlık kaydını başvurucunun kendi kişisel verisi olarak kabul etmemiştir.4 Ancak ölen kişiye ait bir kayıt, yaşayan kişinin sağlık durumu, mirasçılığı veya başka bir kişisel özelliği hakkında da bilgi veriyorsa yaşayan kişiyle kurulan bağ ayrıca incelenecektir.5 Böyle bir durumda korumanın konusu ölen kişinin kişiliği değil, kaydın yaşayan gerçek kişi hakkında taşıdığı bilgidir.
Kişisel verilerin işlenmesi ve veri kayıt sistemi
Kişisel verilerin işlenmesi, yalnız verinin ilk kez toplanmasını anlatmaz. Elde etme, kaydetme, saklama, değiştirme, açıklama, aktarma, erişilebilir hale getirme, sınıflandırma ve kullanılmasını engelleme, Kanunda sayılan işleme örnekleridir.1 Sayım sınırlı değildir. Veri üzerinde gerçekleştirilen başka bir faaliyet de niteliğine göre işleme sayılabilir.2
İşleme tanımının genişliği ile Kanunun uygulama alanı aynı mesele değildir. KVKK m.2, kişisel verilerin tamamen veya kısmen otomatik yolla işlenmesini yöntem bakımından Kanunun uygulama alanına alır. Otomatik olmayan bir işlemede ise kişisel verinin bulunması tek başına yeterli olmaz. Faaliyetin, kişisel verilerin belirli ölçütlere göre yapılandırıldığı bir veri kayıt sisteminin parçası olması gerekir.3
Bu şart, fiziki kayıtların bütünüyle kapsam dışında olduğu anlamına gelmez. Kişi adına, tarihe, dosya numarasına veya başka bir ayırıcı ölçüte göre düzenlenen ve aranan kayda bu ölçüt üzerinden ulaşılmasını sağlayan fiziki arşiv veri kayıt sistemi oluşturabilir. Buna karşılık başka kayıtlarla bağlantısı bulunmayan gelişigüzel bir el yazısı not, yalnız kişisel veri içerdiği için veri kayıt sisteminin parçası sayılamaz.4 Ayrım, ortamın kağıt veya elektronik olmasına değil, kayıtların belirli ölçütlere göre yapılandırılıp yapılandırılmadığına dayanır.
Kurulun 2019/47 sayılı kararında kişisel bilgilerin çeşitli mercilere yazılan dilekçelerde paylaşıldığı ileri sürülmüştür. Kurul, şikayet edilen kişinin kısmen veya tamamen otomatik yolla ya da bir veri kayıt sisteminin parçası olarak gerçekleştirdiği bir işleme faaliyeti tespit edememiş ve bu kişiyi veri sorumlusu saymamıştır.5 Karar, bütün dilekçeleri veya fiziki kayıtları Kanun dışında bırakan genel bir kural oluşturmaz. Başka bir olayda dilekçelerin düzenli bir dosya sistemi içinde tutulduğu gösterilirse veri kayıt sistemi şartı yeniden değerlendirilecektir.6
Veri sorumlusu, veri işleyen ve ortak veri sorumluluğu
Veri sorumlusu, kişisel verilerin hangi amaçla ve hangi vasıtalarla işleneceğine karar veren gerçek veya tüzel kişidir. Kanundaki tanım, bu kişinin veri kayıt sisteminin kurulmasından ve yönetilmesinden de sorumlu olduğunu belirtir.1 Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işler.2
Bu sıfatlar, tarafların sözleşmede kendilerine verdiği adla değil, somut işleme faaliyetindeki yetki ve görev dağılımıyla belirlenir. Verinin neden işleneceği, hangi kişi ve veri kategorilerinin kapsama alınacağı, veriye kimin erişeceği, verinin ne kadar süre saklanacağı ve kimlere aktarılacağı gibi temel tercihler veri sorumlusunu gösterir. Yalnız yazılımın seçilmesi, güvenlik yönteminin uygulanması veya veri sorumlusunun çizdiği sınırlar içinde teknik ayrıntıların kararlaştırılması ise tek başına veri sorumlusu sıfatı doğurmaz.3
Kurulun 2020/71 sayılı kararı da amaç ve temel araçlar üzerindeki karar yetkisini esas alır. Kararda veri sorumlusunun işlemenin neden ve nasıl yapılacağını belirlediği, veri işleyenin ise verilen yetki ve talimat çerçevesinde daha çok teknik aşamalarda hareket ettiği açıklanmıştır.4 Bununla birlikte bir teknik tercihin tali olup olmadığı soyut biçimde söylenemez. Tercih işleme amacını veya kişilerin hakları üzerindeki etkiyi esaslı biçimde değiştiriyorsa rol tespitindeki ağırlığı somut olayda ayrıca değerlendirilecektir.5
KVKK, ortak veri sorumlusu kavramını ayrıca tanımlamaz. Buna rağmen bir işleme faaliyetinin amacı ve temel vasıtaları birden çok kişinin ortak ya da birbirini tamamlayan kararlarıyla belirlenebilir. Bu halde her aktörün işleme amacının ve temel vasıtaların belirlenmesine ne ölçüde katıldığı ile veri üzerindeki fiili etkisi incelenecektir. Katkıların eşit olmaması veya aktörlerden birinin veriye doğrudan erişememesi, ortak sorumluluk ihtimalini tek başına ortadan kaldıramaz.6
Kurul, 2021/1303 sayılı kara liste kararında araç kiralama firmaları ile yazılım şirketlerinin konumunu bu çerçevede değerlendirmiştir. Yazılım şirketlerinin verileri kendi veri tabanlarında toplaması, başka araç kiralama firmalarının erişimine açması ve aktarımın nasıl yapılacağına kendi ticari faaliyeti içinde karar vermesi ortak veri sorumluluğu sonucunda etkili olmuştur. Kurul, sözleşmedeki sorumsuzluk kayıtlarını sıfatın belirlenmesi bakımından yeterli görmemiştir.7
Aynı hizmet sağlayıcı her işleme faaliyetinde aynı sıfatı taşımak zorunda değildir. Müşterinin belirlediği amaç ve süre doğrultusunda yalnız depolama hizmeti sunan şirket bu faaliyet bakımından veri işleyen olabilir. Aynı şirket, elde ettiği verileri kendi ticari amacı için bir risk havuzunda birleştiriyor ve kimlerin erişeceğine kendisi karar veriyorsa bu ayrı faaliyet bakımından veri sorumlusu sayılabilir.8 Bu nedenle sıfat, şirketin bütünü için bir kez değil, her işleme faaliyetinin amacı ve esaslı araçları bakımından ayrı ayrı belirlenecektir.
Açık rıza
Açık rıza, herhangi bir kabul beyanından ibaret değildir. KVKK, rızanın belirli bir konuya ilişkin olmasını, bilgilendirmeye dayanmasını ve özgür iradeyle açıklanmasını arar.1 Bu unsurlardan biri bulunmadığında beyan, Kanundaki açık rıza tanımını karşılayamaz.
Belirli bir konuya ilişkin olma şartı, ilgili kişinin hangi işleme faaliyetine izin verdiğini anlayabilmesini gerektirir. Birbiriyle ilgisiz amaçların tek bir genel kabul içinde birleştirilmesi, rızanın kapsamını belirsizleştirir. Bilgilendirmeye dayanma şartı ise ilgili kişinin işlenecek veriler, amaç ve rızanın sonuçları hakkında kararını vermeden önce yeterli bilgiye sahip olmasını gerektirir.2
Özgür irade, rıza verilmemesi halinde ilgili kişinin gerçek bir seçim imkanına sahip olup olmadığıyla ilgilidir. İşleme faaliyeti hizmetin sunulması için gerekli olmadığı halde hizmete erişim bu faaliyete rıza gösterilmesine bağlanmışsa, rızanın serbestçe verilip verilmediği kuşkulu hale gelir.3 Her hizmet ve veri işleme ilişkisi kendiliğinden geçersiz değildir. İşlemenin hizmet için gerekli olup olmadığı, taraflar arasındaki güç dengesi ve rıza vermemenin doğuracağı sonuçlar birlikte değerlendirilecektir.
Kurul, 2023/692 sayılı kararda sağlık kuruluşunun randevu sayfasındaki pazarlama onayını incelemiştir. Tanıtım amacıyla veri işleme sağlık hizmetinin sunulması için gerekli olmadığı halde onay kutusu işaretlenmeden randevu işlemi tamamlanamıyordu. Kurul, bu uygulamanın ilgili kişinin özgür iradesini sakatladığı sonucuna ulaşmıştır.4
Açık rızanın bilgilendirmeye dayanması ile KVKK m.10'daki aydınlatma yükümlülüğü birbirine karıştırılmamalıdır. Kurul, 2026/347 sayılı İlke Kararında aydınlatmanın işleme şartından bağımsız olduğunu ve işleme açık rızaya dayanıyorsa aydınlatma metni ile açık rıza metninin ayrı düzenlenmesi gerektiğini belirtmiştir.5 İşlemenin açık rızaya dayandırılıp dayandırılamayacağı ve rıza geri alındıktan sonra başka bir işleme şartıyla sürdürülüp sürdürülemeyeceği ise KVKK m.5 kapsamında ayrıca değerlendirilecektir.6
Anonim hale getirme
Anonim hale getirme, kullanılan yöntemin adına değil, ulaşılan hukuki sonuca göre belirlenir. KVKK'ye göre veri, başka verilerle eşleştirilse dahi belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemiyorsa anonim hale getirilmiştir.1 Bu sebeple yalnız adın, kimlik numarasının veya başka bir doğrudan tanımlayıcının çıkarılması yeterli olmayabilir.
Veri setindeki dolaylı tanımlayıcılar veya erişilebilir ek bilgiler kişiye yeniden ulaşmayı mümkün kılıyorsa kişiyle bağ kopmamıştır. Böyle bir veri setinde yeniden belirleme imkanının maliyeti, gerektirdiği zaman, mevcut teknoloji ve ek bilgiye erişebilecek kişiler göz önünde bulundurulacaktır.2 Değerlendirme, varsayımsal olarak herhangi bir kişinin değil, somut şartlarda makul biçimde kullanılabilecek imkanların esas alınmasını gerektirir.
Takma ad kullanımı bu nedenle anonim hale getirmeden ayrılır. Kod ile gerçek kişi arasındaki eşleştirme anahtarı mevcut olduğu sürece veri, anahtara erişebilen kişi bakımından yeniden ilişkilendirilebilir.3 KVKK m.7'de düzenlenen silme ve yok etme de anonim hale getirmeyle aynı işlem değildir. Bu yöntemlerden hangisinin uygulanacağı, işleme sebeplerinin ortadan kalkması ve ilgili imha yükümlülükleri çerçevesinde belirlenecektir.4
Kurum, Kurul ve Başkan
Kurum, Kurul ve Başkan aynı makamı anlatmaz. Kişisel Verileri Koruma Kurumu, kamu tüzel kişiliğine sahip idari teşkilattır.1 Kişisel Verileri Koruma Kurulu, Kanunla verilen görev ve yetkileri bağımsız biçimde kullanan karar organıdır.2 Başkan ise hem Kurulun hem Kurumun başkanıdır.3
Şikayet üzerine veya resen inceleme sonunda karar veren makam Kişisel Verileri Koruma Kuruludur.4 Kurumun teşkilatı, Kurulun görevleri ve Başkanın yetkileri ise KVKK'nin 19 ila 25. maddelerinde ayrı ayrı düzenlenmiştir.5