TBMM Madde Gerekçesi
Güncel metinYürürlükte
Maddeyle, kişisel verilerin işlenmesine ilişkin genel ilkeler düzenlenmektedir. Buna göre kişisel veriler ancak Kanunda ve diğer Kanunlarda öngörülen usul ve esaslar çerçevesinde işlenebilecektir.
Maddenin ikinci fıkrasında kişisel verilerin işlenmesine ilişkin ilkeler sayılmaktadır. Bu ilkeler; hukuka ve dürüstlük kurallarına uygun olma, doğru ve gerektiğinde güncel olma, belirli, açık ve meşru amaçlar için işlenme, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ve ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmektir.
Belirli, açık ve meşru amaçlar için işlenme ilkesi, veri sorumlusunun, veri işleme amacını açık ve kesin olarak belirlemesini ve bu amacın meşru olmasını zorunlu kılmaktadır. Veri sorumluları, belirttikleri bu amaçlar dışında, başka amaçlarla veri işlemeleri halinde, bu fiillerinden dolayı sorumlu olacaklardır. Amacın meşru olması, veri sorumlusunun işlediği verilerin, yapmış olduğu iş veya sunmuş olduğu hizmetle bağlantılı ve bunlar için gerekli olması anlamına gelmektedir. Örneğin, bir hazır giyim mağazasının, müşterilerinin kimlik ve iletişim bilgilerini işlemesi meşru amaç kapsamındayken, kan gruplarını işlemesi meşru amaç kapsamında değerlendirilemeyecektir.
Kişisel verilerin, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ilkesi, işlenen verilerin, belirlenen amaçların gerçekleştirilebilmesine elverişli olmasını, amacın gerçekleştirilmesiyle ilgili olmayan veya ihtiyaç duyulmayan kişisel verilerin işlenmesinden kaçınılmasını gerektirmektedir. Yine, sonradan ortaya çıkması muhtemel ihtiyaçların karşılanmasına yönelik veri işlenebilmesi için, işlemeye ilk kez başlıyor gibi, 5 inci maddede düzenlenmiş olan kişisel verilerin işlenme şartlarından birinin gerçekleşmesi gerekecektir. Ayrıca işlenen veri, sadece amacın gerçekleştirilmesi için gerekli olanla sınırlı tutulacaktır.
Kişisel verilerin, ancak ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesi zorunludur. Buna göre, veri sorumluları, ilgili mevzuatta verilerin saklanması için öngörülen bir süre varsa bu süreye uyacak; yoksa verileri, ancak işlendikleri amaç için gerekli olan süre kadar muhafaza edebilecektir. Bir verinin daha fazla saklanması için geçerli bir sebep olmaması durumunda, o veri silinecek veya anonim hale getirilecektir. Gelecekte kullanma ihtimalinin varlığına dayanarak veri saklanamayacaktır. Veri sorumlusu, Kanunun 16 ncı maddesi uyarınca Sicile kayıt için başvuru yaparken kişisel verilerin işlendikleri amaç için gerekli olan azami süreyi bildirmek zorundadır.
2014 Tasarısı2014
Maddeyle, kişisel verilerin işlenmesine ilişkin genel ilkeler düzenlenmektedir. Buna göre kişisel veriler ancak Kanunda ve diğer kanunlarda öngörülen usul ve esaslar çerçevesinde işlenebilecektir.
Maddenin ikinci fıkrasında kişisel verilerin işlenmesine ilişkin ilkeler sayılmaktadır. Bu ilkeler; hukuka ve dürüstlük kurallarına uygun olmak, doğru ve gerektiğinde güncel olmak, belirli, açık ve meşru amaçlar için işlenmek, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmak ve işlendikleri amaç için gerekli olan süre kadar muhafaza edilmektir.
Belirli, açık ve meşru amaçlar için işlenmek ilkesi, veri sorumlusunun, veri işleme amacım açık ve kesin olarak belirlemesini ve bu amacın meşru olmasım zorunlu kılmaktadır. Veri sorumluları, belirttikleri bu amaçlar dışında, başka amaçlarla veri işlemeleri halinde, bu fiillerinden dolayı sorumlu olacaklardır. Amacın meşru olması, veri sorumlusunun işlediği verilerin, yapmış olduğu iş veya sunmuş olduğu hizmetle bağlantılı ve bunlar için gerekli olması anlamına gelmektedir. Örneğin bir hazır giyim mağazasının, müşterilerinin kimlik ve iletişim bilgilerini işlemesi meşru amaç kapsamındayken, kan gruplarını işlemesi meşru amaç kapsamında değerlendirilemeyecektir.
Kişisel verilerin, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ilkesi, işlenen verilerin, belirlenen amaçların gerçekleştirilebilmesine elverişli olmasını, amacın gerçekleştirilmesiyle ilgili olmayan veya ihtiyaç duyulmayan kişisel verilerin işlenmesinden kaçınılmasını gerektirmektedir. Yine, sonradan ortaya çıkması muhtemel ihtiyaçların karşılanmasına yönelik veri işlenebilmesi için, işlemeye ilk kez başlıyor gibi, 5 inci maddede düzenlenmiş olan kişisel verilerin işlenme şartlarından birinin gerçekleşme gerekecektir. Ayrıca işlenen veri, sadece amacın gerçekleştirilmesi için gerekli olanla sınırlı tutulacaktır.
Verilerin, ancak işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesi zorunludur. Buna göre, veri sorumlularının verilerin saklanma sürelerini açıkça belirlemeleri gerekmektedir. Herhangi bir veri, daha fazla saklanması için geçerli bir sebep yoksa silinecek veya anonim hale getirilecektir. Gelecekte kullanma ihtimali gerekçesiyle veri saklanamayacaktır.
2008 Tasarısı2008
Madde 4 gerekçesi
Kamu kurum ve kuruluşlarının kişisel verileri işleyebilmesi, ancak kanunlarda öngörülen hallerle sınırlandırılmak suretiyle, bireylerin özel hayatlarının korunması ve verilerin işlenmesinde keyfiliğin önüne geçilebilmesi amaçlanmaktadır.
Madde 5 gerekçesi
Maddenin birinci fıkrası, kişisel verilerin işlenmesine ilişkin temel ilkeleri düzenleyen en önemli hükümdür. "Kişisel Verilerin Otomatik İşleme Tâbi Tutulması Karşısında Bireylerin Korunmasına İlişkin 108 sayılı Sözleşmenin 5 inci maddesine göre, onaylayan devletlerin söz konusu temel ilkeleri iç hukuklarında yaşama geçirmek yükümlülüğü bulunmaktadır. Maddeyle Sözleşmeye ve 95/46 EC sayılı Avrupa Topluluğu Direktifinin 6 ncı maddesine uygun olarak kişisel verilerin işlenmesiyle ilgili genel ilkeler belirlenmiştir. Bu fıkrada belirlenen ilkeler, diğer maddelerde sözü geçen bütün veri işlemelerinde dikkate alınacaktır. Kişisel verilerin kamunun yararlanmasına açık olduğu veya ilgili kişinin veri işlenmesine itirazının bulunmadığı hallerde dahi, bu fıkrada belirtilen koşulların varlığı aranacaktır. Birinci fıkranın (a) ve (b) bentlerine göre kişisel verilerin hukuka ve dürüstlük kurallarına uygun olarak işlenmesi, verilerin belirli, açık ve meşru amaçlar için toplanması ve bu amaçlara aykırı olarak yeniden işlenmemesi gerekir. Buna göre veri kütüğü sahibi, veri işleme amacını açık ve kesin olarak belirlemeli ve bu amaç meşru olmalı, yine bu amaç ilgili kişiler tarafından biliniyor olmalıdır. Ayrıca veri kütüğü sahipleri, oluşturulacak sicile kaydolurken, veri işleme amaçlarını da açıkça belirteceklerdir. Belirttikleri bu amaçlar dışında başka amaçlarla veri işleyen veri kütüğü sahipleri ise bu fiillerinden dolayı sorumlu olacaklardır. Aynı zamanda bu verilerin, belirlenen amaçlara aykırı olarak üçüncü kişilere açıklanmaması gerekir. (c) bendine göre, veri kütüğü sahipleri tarafından işleme tabi tutulan kişisel veriler, toplandıkları amaçla bağlantılı, yeterli ve orantılı olmalıdır. Buna göre, işlenen kişisel verilerin, belirlenen amaçların gerçekleştirilmesi için yeterli olması, amacın gerçekleştirilmesiyle ilgili olmayan veya ihtiyaç duyulmayan kişisel verilerin işlenmesinden kaçınılması gerekmektedir. Yine, olası kullanıma olanak yaratılması için verilerin toplanması yasak olacaktır. (ç) bendine göre, işlenen veriler doğru olmalı ve gerektiğinde güncellenmelidir. Kişisel verilerin doğru ve güncel olması, ilgili kişilere ait kişisel verilerin özellikle üçüncü kişilere aktarımı neticesinde ilgili kişilerin zarara uğramaları durumunda önem kazanmaktadır. Bu halde verileri doğru olarak tutmayan veya güncellemeyen veri kütüğü sahibi, ilgili kişilerin uğradıkları zararlar nedeniyle sorumlu olacaktır. (d) bendine göre, verilerin ilgili kişilerin kimliklerini belirtecek biçimde ve kaydedildikleri veya yeniden işlenecekleri amaç için gerekli olan süre kadar muhafaza edilmesi zorunludur. Buna göre, veri kütüğü sahiplerinin, verilerin saklanma sürelerini açıkça belirlemeleri, gerekmektedir. Herhangi bir veri, daha fazla saklanması için geçerli bir sebep yoksa silinecek veya yok edilecektir. Gelecekte kullanma ihtimali gerekçesiyle veri saklanamaz. Maddenin ikinci fıkrasıyla, birinci fıkranın (d) bendine istisnalar getirilmektedir. Buna göre, sadece tarihi, istatistiki veya bilimsel amaçlarla, kişisel veriler (d) bendinde öngörülenden daha uzun bir süre saklanabilecektir.
Genel ilkeler ve işleme şartları
6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) m.4, kişisel verilerin işlenmesinde uyulacak genel ilkeleri belirler.1 Kişisel verilerin hangi şartlar altında işlenebileceği ise özel nitelikli olmayan veriler bakımından m.5'te, özel nitelikli veriler bakımından m.6'da düzenlenmiştir.2 Bu nedenle bir işleme şartına dayanan faaliyetin amacı, işlenen verilerin kapsamı ve saklama süresi de KVKK m.4'e uygun olmalıdır.3
İşleme, verinin ilk kez elde edilmesiyle sınırlı değildir. Kanun, kaydetme, depolama, aktarma ve erişilebilir hale getirme gibi işlemleri de kişisel veri işleme sayar.4 İlk amaç için hukuka uygun biçimde toplanan veri daha sonra başka bir amaçla kullanılırsa ya da amaç sona erdiği halde saklanırsa, sonraki işleme KVKK m.4 bakımından ayrıca incelenecektir.5
Kişisel Verileri Koruma Kurulunun 2023/692 sayılı kararında, randevu formundaki tanıtım onayı ile randevu için istenen veriler birlikte değerlendirilmiştir.6 Kararda, randevu hizmeti için gerekli verilerin işlenmesi ile tanıtım amacıyla alınan onayın farklı işleme faaliyetlerine ilişkin olduğu kabul edilmiştir.7
Hukuka ve dürüstlük kurallarına uygunluk
KVKK m.4/2-a uyarınca kişisel veriler hukuka ve dürüstlük kurallarına uygun işlenmelidir.1 Hukuka uygunluk incelemesinde, m.5 veya m.6'da yer alan işleme şartının yanı sıra somut işleme faaliyeti bakımından uygulanması gereken diğer hukuk kuralları da dikkate alınır.2 Dürüstlük kuralı uyarınca veri sorumlusu, işleme faaliyetini ilgili kişinin çıkarlarını ve makul beklentilerini gözeterek yürütmelidir.3
İşleme için yanlış hukuki sebebin gösterilmesi, ilgili kişiyi neye rıza verdiği veya rızasını geri aldığında hangi sonucun doğacağı konusunda yanıltabilir.4 Bununla birlikte hukuki sebebin yanlış adlandırılması, dürüstlük kuralına aykırılık sonucuna varmak için her olayda tek başına yeterli değildir. İlgili kişinin yanıltılıp yanıltılmadığı ve gerçek bir seçim imkanına sahip olup olmadığı somut işlem üzerinden değerlendirilecektir.5
Kurulun 2021/389 sayılı kararında çevrim içi hizmete erişimin açık rızaya bağlanması ile aydınlatma ve rıza metinlerinin ayrılmaması incelenmiştir.6 2023/692 sayılı kararda da randevu formundaki tanıtım onayı, hizmete erişimle bağlantısı bakımından değerlendirilmiştir.7 Kurul, her iki kararda da formda bir onay kutusunun bulunmasıyla yetinmemiş, hizmet için gerekli işleme faaliyeti ile ayrıca rıza istenen faaliyetin birbirinden ayrılıp ayrılmadığını da incelemiştir.8
Doğru ve gerektiğinde güncel olma
KVKK m.4/2-b, işlenen verinin doğru olmasını ve gerektiğinde güncel tutulmasını zorunlu kılar.1 Doğruluk ilkesi, kaydın ilgili olguyu gerçeğe uygun yansıtıp yansıtmadığıyla ilgilidir. Verinin güncel tutulmasının gerekip gerekmediği ise kullanım amacına ve güncel olmayan verinin ilgili kişi bakımından doğurabileceği sonuçlara bağlıdır.2
Veri sorumlusunun bütün kayıtların doğruluğunu sürekli denetlemesi beklenemez. Bununla birlikte ilgili kişi bakımından sonuç doğuran işlemlerde daha fazla özen gösterilmesi gerekebilir. İlgili kişinin yanlış veya güncelliğini yitirmiş verilerin düzeltilmesini isteyebilmesi için veri sorumlusu başvuru kanallarını açık tutmalıdır.3 KVKK m.11, eksik veya yanlış verinin düzeltilmesini ve yapılan işlemin verinin aktarıldığı üçüncü kişilere bildirilmesini bu çerçevede düzenler.4
Kurulun 2020/966 sayılı İlke Kararı, fatura, ekstre ve rezervasyon belgesi gibi kişisel veri içeren belgelerin yanlış iletişim kanallarına gönderilmesi riskini ele almıştır.5 Kararda, iletişim bilgilerinin kesintisiz doğrulanması değil, yanlış gönderim riskini makul ölçüde azaltacak bir doğrulama yönteminin kullanılması aranmıştır.6
Danıştay Onuncu Dairesinin E. 2020/2598 K. 2024/3991 sayılı kararına konu olan düzenleme, kesinleşmemiş bir işten ayrılış nedeninin elektronik kayda işlenerek sonraki işverenlerin erişimine açılmasına imkan tanıyordu. Danıştay, düzenlemeyi iptal ederken bilginin henüz kesinleşmemiş olmasını ve sonraki işverenlerce görülebilmesinin ilgili kişi bakımından doğurabileceği sonuçları birlikte değerlendirmiştir.7
Belirli, açık ve meşru amaç
KVKK m.4/2-c, kişisel verilerin belirli, açık ve meşru amaçlarla işlenmesini öngörür.1 İşleme amacı, yalnız veri sorumlusunun bildiği bir ihtiyaçtan ibaret kalamaz. Amaç, ilgili kişinin verisinin hangi faaliyet için işleneceğini anlayabileceği açıklıkta belirtilmelidir.2
İşleme amacı en geç verinin ilk toplandığı anda belirlenmelidir.3 Belirlilik için her zaman uzun ve teknik bir metin gerekmez. Buna karşılık, gerçek işleme faaliyetiyle ancak dolaylı bağ kuran genel ifadeler veya gelecekte doğabilecek bütün kullanımları kapsayan sözler amaç açıklamasını belirsizleştirir.4
Kurul, 2019/277 sayılı kararında kişinin bankaya kendi işlemleri için verdiği telefon numarasının eşe ulaşmak amacıyla kullanılmasını m.4/2-c ve ç bakımından uygun bulmamıştır.5
Kurul, 2022/31 sayılı kararında hasta kaydı sırasında alınan e-posta adresinin ticari ileti için kullanılmasını incelemiştir.6 Hasta kaydı sırasında elde edilen e-posta adresi ticari ileti göndermek için kullanılacaksa, bu amaç açıklanmalı ve işlemenin dayanacağı hukuki sebep ayrıca gösterilmelidir.7
Sonraki işleme ve amaç değişikliği
Verinin belirli bir amaçla toplanmış olması, sonraki her kullanımın da bu amaç kapsamında kaldığını göstermez.1 KVKK'de sonraki kullanım ile ilk amaç arasındaki uyumu belirleyen genel ölçütler sayılmamıştır.2 Sonraki kullanımın ilk amaçla uyumlu olup olmadığı, ilk amaçla kurduğu bağlantı ve verinin toplandığı koşullar dikkate alınarak değerlendirilmelidir.11
Kişisel Verileri Koruma Kurumunun Kişisel Verilerin İşlenmesine İlişkin Temel İlkeler rehberinde, veri sorumlusunun ilgili kişiye açıklanan amaç dışında veri işlemesi halinde sorumluluğunun doğabileceği belirtilmektedir.3 Doktrindeki karşı görüşe göre, sonraki kullanım ilk amaçla uyumluysa ve ilgili kişi bu kullanımı öngörebiliyorsa başlangıçtaki işleme şartına bu kullanım için de dayanılabilir.4 Aynı verinin yeniden kullanılması, sonraki işlemenin ilk amaçla uyumlu olduğunu tek başına gösteremez.5
Kişisel veriler yeni bir amaçla işlenmeden önce ilgili kişi bu amaç hakkında yeniden aydınlatılmalıdır.6 Yalnız aydınlatma yapılması, yeni kullanım için gerekli işleme şartının yerine geçemez.7
Kurulun 2019/78 sayılı kararında, Enerji Piyasası Düzenleme Kurumu (EPDK) yükümlülüğü çerçevesinde tutulan plaka ve yakıt bilgilerinin Araç Tanıma Projesinde kullanılması incelenmiştir.8 Kurul, bu kullanımı ilk toplama amacından farklı bir amaca yönelik ayrı bir veri işleme faaliyeti olarak değerlendirmiştir.9 Kurul, 2023/567 sayılı kararda da ödeme için işlenen kart bilgisinin sonraki alışverişler için cüzdanda saklanmasını ödeme işleminden ayrı değerlendirmiştir.10
Amaçla bağlantılı, sınırlı ve ölçülü işleme
KVKK m.4/2-ç, işlenen verinin amaçla bağlantılı, sınırlı ve ölçülü olmasını zorunlu kılar.1 Bu incelemede veri türünün yanı sıra istenen veri miktarı ve aynı amaca ulaşmak için seçilen yöntem de önem taşır.2 Amaç meşru olsa bile, bu amaca ulaşmak için gerekli olmayan veri işlenemez.3
Kurulun 2019/294 sayılı kararında, parola değiştirme talebinde bulunan kişiden arkalı önlü kimlik görüntüsü istenmesi incelenmiştir.4 Kurul, kimlik doğrulamanın daha az veriyle sağlanıp sağlanamayacağını ve görüntünün işlem tamamlandıktan sonra saklanmasının gerekip gerekmediğini değerlendirmiştir.5 Kimlik doğrulama amacı bulunsa bile istenen veri kapsamının ayrıca gerekçelendirilmesi gerektiği sonucuna ulaşmıştır.6
Danıştay On İkinci Dairesi, mesai takibinde avuç içi damar verisi kullanılmasını ölçülülük yönünden incelemiş ve aynı amaca daha az müdahaleci bir yöntemle ulaşılabileceği gerekçesiyle işlemi iptal etmiştir.7 Danıştay İdari Dava Daireleri Kurulu bu iptal hükmünü onamıştır.8
Spor salonu girişinde biyometrik veri kullanımını konu alan 2019/81 ve 2019/165 sayılı kararlar da alternatif yöntemler karşısında veri kapsamını incelemiştir.9 Bu kararlar, KVKK m.6'nın 7499 sayılı Kanunla değiştirilmesinden önce verilmiştir. Bu nedenle kararların işleme şartlarına ilişkin değerlendirmeleri, yürürlükteki KVKK m.6 bakımından doğrudan esas alınamaz. Buna karşılık, daha az müdahaleci bir aracın bulunup bulunmadığına ilişkin değerlendirmeler KVKK m.4/2-ç bakımından kullanılabilir.10
Gerekli süreyle muhafaza
KVKK m.4/2-d, kişisel verilerin ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesini öngörür.1 Somut süre belirlenirken önce verinin tutulmasına ilişkin özel bir düzenleme bulunup bulunmadığı araştırılmalıdır. Böyle bir süre yoksa, işleme amacının devam edip etmediği ve veriye bu amaç için halen ihtiyaç duyulup duyulmadığı dikkate alınacaktır.2
Kişisel verilerin işlenmesini gerektiren sebepler ortadan kalktığında, veriler KVKK m.7 uyarınca silinir, yok edilir veya anonim hale getirilir.3 Saklama ve imha politikasında azami sürelerin gösterilmesi gerekir.4 Ancak bir politikanın hazırlanmış olması, verinin öngörülen süre içinde gerçekten silindiğini veya saklamayı gerektiren sebebin halen sürdüğünü tek başına gösteremez.5
Kurul, 2018/142 sayılı kararında bankanın son işlemden itibaren on yıl dolmadan silme talebini kabul etmemesini 5411 sayılı Bankacılık Kanunu m.42 ile birlikte değerlendirmiştir. Karar, bankanın belirli belge ve kayıtları için kanunda öngörülen saklama süresine dayanmaktadır.6 Bu on yıllık süre yalnız 5411 sayılı Kanun m.42 kapsamındaki belge ve kayıtlar için geçerlidir.7
Anayasa Mahkemesi, amaç için gerekli süre ölçütünün belirsiz ve sınırsız bir saklama yetkisi vermediğini, sürenin somut işleme amacına göre belirleneceğini kabul etmiştir.8 Kurulun 2019/294 sayılı kararında da kimlik doğrulama için alınan görüntünün işlem tamamlandıktan sonra saklanması ayrıca incelenmiştir.9