Madde 4

KVKK'nin 4. maddesi, kişisel verilerin işlenmesinde uyulacak genel ilkeleri sayar.1 Aynı faaliyetin hangi hukuki sebebe dayanabileceği ise genel nitelikli verilerde KVKK m.5, özel nitelikli verilerde KVKK m.6 uyarınca belirlenecektir.2 İşleme şartı ile genel ilkeler aynı soruya cevap vermez. Birinci soru faaliyete izin veren sebebi, ikincisi ise izin verilen faaliyetin amaç, kapsam ve süre bakımından nasıl yürütüleceğini ilgilendirir.3

Bu ayrım, verinin yaşamı boyunca önem taşır. Kanundaki işleme tanımı, verinin elde edilmesi yanında kaydedilmesini, muhafaza edilmesini, aktarılmasını ve erişilebilir hale getirilmesini de kapsar.4 Bu aşamalardan biri ilk amacın dışına çıkıyor veya amaç sona erdikten sonra devam ediyorsa, o aşamanın hem işleme şartı hem de genel ilkeler bakımından yeniden değerlendirilmesi gerekir.5

Kişisel Verileri Koruma Kurulunun 2023/692 sayılı kararı, randevu hizmeti için istenen bilgiler ile tanıtım amacıyla alınan onayın aynı işlem olarak ele alınamayacağını göstermektedir.6 Kararda belirleyici olan, formda iki bilginin aynı anda bulunması değil, randevu hizmeti ile tanıtımın farklı amaçlara yönelmesidir. Bu nedenle somut olayda hangi verinin hangi amaç için istendiği ve o amaç bakımından hangi şartın ileri sürüldüğü ayrı ayrı gösterilmelidir.7

KVKK m.4/2-a, kişisel verilerin hukuka ve dürüstlük kurallarına uygun işlenmesini zorunlu kılar.1 Hukuka uygunluk bakımından önce somut işleme için KVKK m.5 veya m.6'da bir şart bulunup bulunmadığı incelenecektir.2 Dürüstlük kuralı ise hukuki bir sebebe dayanıldığı iddia edilen işlemde, ilgili kişinin makul beklentisinin ve gerçek seçim imkanının korunup korunmadığı sorusunu açar.3

Bu iki inceleme her zaman aynı sonuca varmaz. Hukuki sebebin yanlış veya belirsiz gösterilmesi, ilgili kişinin hangi faaliyete izin verdiğini yahut hangi seçeneği reddedebileceğini anlamasını engelleyebilir.4 Bununla birlikte her yanlış adlandırma kendiliğinden ayrı bir dürüstlük ihlali kurmaz. Sonuç, hizmetin yapısı, açıklamanın içeriği ve kişinin fiilen başka bir seçeneğinin bulunup bulunmadığı birlikte değerlendirilerek belirlenecektir.5

Kurulun 2021/389 sayılı kararında, çevrim içi hizmetin kullanılmasının açık rızaya bağlanması ile aydınlatma ve rıza metinlerinin birbirine karıştırılması incelenmiştir.6 2023/692 sayılı karar ise randevu formundaki tanıtım onayını hizmetten ayrı bir amaç bakımından ele almıştır.7 İki kararın ortak noktası, onay kutusunun varlığı değildir. Kurul, somut formda hizmet için gerekli işlem ile kişiye seçim hakkı tanınması gereken ek faaliyetin ayrılıp ayrılmadığını değerlendirmiştir.8

Yeni kararlar, dürüstlük incelemesinin yalnız rızanın biçimine indirgenemeyeceğini ortaya koymaktadır. Kurul, canlı maç yayınını pazarlama iznine bağlayan uygulamada gerçek seçim imkanının zedelendiğini belirlemiştir. Başka işleme şartlarıyla yürütülen uçak interneti ve abonelik süreçlerinde ayrıca açık rıza görünümü oluşturulmasını ise ilgili kişiyi yanıltan bir uygulama olarak değerlendirmiştir. Kanuni bilgilendirme amacı bulunan bir olayda aynı içerikli mesajın yirmiden fazla kez gönderilmesi de kullanım sıklığı ilgili kişinin makul beklentisini aştığı için dürüstlük kuralına aykırı bulunmuştur.9

KVKK m.4/2-b, işlenen verinin doğru ve gerektiğinde güncel olmasını arar.1 Doğruluk, kaydın işleme anında ilgili olguyu gerçeğe uygun yansıtıp yansıtmadığıyla ilgilidir. Güncelleme ihtiyacı ise verinin hangi amaçla kullanılacağına ve güncel olmayan kaydın kişi bakımından doğurabileceği sonuca göre değişir.2

Bu ilke, bütün kayıtların kesintisiz araştırılmasını gerektirmez. Buna karşılık veri sorumlusu, kişi hakkında sonuç doğuran bir işlemde kullanacağı bilginin yanlışlığına ilişkin açık işaretleri görmezden gelemez.3 Kişi, eksik veya yanlış işlenen verisinin düzeltilmesini ve bu düzeltmenin verinin aktarıldığı üçüncü kişilere bildirilmesini isteyebilir.4

Kurulun 2020/966 sayılı İlke Kararı, fatura, ekstre veya rezervasyon belgesinin yanlış iletişim kanalına gönderilmesi riskini ele almıştır.5 Karar, ilgili kişi hakkında sonuç doğuran işleme bakımından veri sorumlusunun aktif özen yükümlülüğünü, bunun dışında ise bilgilerin doğru ve güncel kalmasını sağlayacak kanalları açık tutma gereğini ayrı ayrı belirtmektedir.6 Aynı karar, bu belgelerin üçüncü kişilere iletilmesini önlemek için beyan edilen telefon numarası ve e-posta adreslerinin doğruluğunu teyit edecek mekanizmaların kurulmasını gerekli görmektedir.7

Danıştay Onuncu Dairesinin E.2020/2598, K.2024/3991 sayılı kararı da yanlışlığın etkisini görünür kılar. Karara konu düzenleme, kesinleşmemiş bir işten ayrılış nedenini elektronik kayıt üzerinden sonraki işverenlerin erişimine açıyordu.8 Daire, bilginin kesinleşmemiş olması ile bu kaydın kişi bakımından doğurabileceği sonucu birlikte değerlendirmiştir. Karar, bütün işten ayrılış kayıtları için genel bir sonuç kurmaz.9

Güncellik kanalının açık tutulması, bildirilen değişikliğin veri kayıt sistemine yansıtılmasını da gerektirir. Kurul, ilgili kişinin yeni telefon numarasını bildirmesine rağmen Covid-19 test sonucunun eski numaraya gönderildiği olayda doğru ve gerektiğinde güncel olma ilkesinin ihlal edildiğine karar vermiştir. Ayrıca eski numaranın kayıttan çıkarılarak imha edilmesini istemiştir.10

KVKK m.4/2-c uyarınca işleme amacı belirli, açık ve meşru olmalıdır.1 Amaç, yalnız veri sorumlusunun iç ihtiyacını anlatan bir ifade olarak kalamaz. İlgili kişinin verisinin hangi faaliyet için kullanılacağını anlayabileceği somutlukta kurulmalıdır.2

Bu amaç, veri ilk elde edilirken belirlenmiş olmalıdır.3 Açıklamanın uzunluğu tek başına belirliliği göstermez. Buna karşılık genel nitelikte ve muğlak sözler ile ileride doğabilecek her kullanımı kapsar görünen ifadeler, kişinin hangi işleme faaliyetiyle karşı karşıya olduğunu belirsizleştirir.4

Kurulun 2019/277 sayılı kararında, kişinin bankaya kendi işlemleri için verdiği telefon numarasının eşe ulaşmak amacıyla kullanılması, amaçla bağ bakımından uygun bulunmamıştır.5 2022/31 sayılı kararda ise hasta kaydı sırasında alınan e-posta adresinin ticari ileti için kullanılması ayrı bir işleme sorusu doğurmuştur.6 Bu ikinci olayda hasta kaydının amacı, ticari ileti için yeterli açıklama veya işleme şartı sayılmamıştır. Her iki karar da verinin elde edildiği bağın, sonraki kullanımın amacını kendiliğinden açıklamadığını göstermektedir.7

Verinin ilk toplandığı amaçtan başka bir amaçla kullanılmak istenmesi, ilk işleme şartının yeni faaliyet bakımından da yeterli olup olmadığı sorusunu doğurur.1 KVKK, sonraki işlemenin ilk amaçla uyumunu değerlendirmek için genel bir ölçüt listesi vermez.2 Bu nedenle ilk amaçtan ayrılan her kullanımın aynı hukuki sebebe dayandığı da her sonraki kullanımın zorunlu olarak uyumsuz olduğu da peşinen söylenemez.

Kurum rehberi, ilgili kişiye bildirilen amaç dışında bir kullanıma karşı sıkı bir yaklaşım benimser.3 Buna karşılık doktrinde, ilk amaçla gerçekten uyumlu kalan ve ilgili kişinin öngörebileceği bir kullanımda başlangıçtaki işleme şartının etkisini sürdürebileceği görüşü de bulunmaktadır.4 Bu görüş ayrılığı, amaçlar arasında soyut benzerlik kurulmasıyla çözülemez. İlk toplama bağlamı, verinin kullanım biçimi ve kişi bakımından doğacak sonuç ayrı ayrı değerlendirilmelidir.5

Amaç değiştiğinde Aydınlatma Tebliği, yeni işleme faaliyetinden önce o amaç için ayrıca aydınlatma yapılmasını öngörür.6 Aydınlatma, kişinin ne hakkında bilgilendirildiğini gösterir. Yeni amaç için KVKK m.5 veya m.6 kapsamında bir işleme şartı bulunup bulunmadığı ise ayrıca belirlenecektir.7

Kurulun 2019/78 sayılı kararı, EPDK yükümlülüğüyle tutulan plaka ve yakıt bilgilerinin Araç Tanıma Projesinde kullanılmasını yeni bir işleme faaliyeti olarak ele almıştır.8 Kurul, bu yeni faaliyeti ilk toplama amacından bağımsız biçimde m.5'teki şartlar ve m.4'teki ilkeler yönünden değerlendirmiştir.9

2023/567 sayılı karar, ödeme için gerekli kart bilgisinin sonraki alışverişleri kolaylaştırmak üzere cüzdanda tutulmasını ödeme işleminden ayırmıştır.10 Karardaki ayrım, kart bilgisinin mevcut alışverişte kullanılmasına değil, alışveriş tamamlandıktan sonra devam eden kullanıma ilişkindir. Bu nedenle karar, sonraki kullanımı ilk faaliyetin doğal devamı saymak için amaç ve şart bakımından ayrı bir açıklamanın gerektiği sınırı göstermektedir.11

KVKK m.4/2-ç, işlenen verinin amaçla bağlantılı, sınırlı ve ölçülü olmasını gerektirir.1 İnceleme yalnız veri türüne göre yapılmaz. İstenen veri miktarı, verinin ne kadar süre tutulacağı ve aynı amaca ulaşmak için seçilen yöntem de amaçla kurulan bağ içinde ele alınır.2

Bir verinin ileride yararlı olabileceği düşüncesi, onu şimdi toplamak veya saklamak için yeterli değildir.3 Veri sorumlusu, belirli amaca ulaşmak için hangi veriye neden ihtiyaç duyduğunu göstermelidir. Aynı sonuca daha az müdahaleci bir araçla ulaşılması mümkünse seçilen veri kapsamı ve yöntem somut olayda yeniden değerlendirilecektir.4

Kurulun 2019/294 sayılı kararında, parola değiştirmek isteyen kişiden arkalı önlü kimlik görüntüsü istenmesi bu ölçütle incelenmiştir.5 Kurul, kimlik doğrulamasının ek bilgiyle sağlanıp sağlanamayacağını ve görüntünün işlem tamamlandıktan sonra tutulmasının gerekip gerekmediğini ayrı sorular olarak ele almıştır.6

Danıştay On İkinci Dairesi, mesai takibinde avuç içi damar verisi kullanılmasını daha hafif araçların varlığı karşısında ölçülülük bakımından incelemiş ve işlemi iptal etmiştir.7 İdari Dava Daireleri Kurulu da bu hükmü onamıştır.8 Spor salonu girişindeki biyometrik veri kullanımını konu alan 2019/81 ve 2019/165 sayılı kararlar da alternatif araçlar karşısında veri kapsamını değerlendirmiştir.9 Bu kararlar, 7499 sayılı Kanun öncesindeki özel nitelikli veri rejiminde verilmiştir. Bu sebeple güncel KVKK m.6'nın şartlarını açıklamazlar. Yalnız m.4/2-ç bakımından araç seçiminin ayrıca sorgulanacağını gösterirler.10

Yakın tarihli iki karar, araç seçiminin sonucu nasıl değiştirdiğini karşıt olaylarla açıklamaktadır. Kurul, ders yoklamasında parmak izi kullanılmasını daha hafif yöntemler bulunduğu için açık rıza bulunsa dahi ölçüsüz kabul etmiştir. Buna karşılık çalışanların talebiyle hırsızlığı önlemek amacıyla kurulan, kapalı devre çalışan ve görüntüleri altmış gün sonunda imha eden kamera sistemi somut olayda genel ilkelere aykırı bulunmamıştır.11

KVKK m.4/2-d, kişisel verilerin ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesini öngörür.1 Somut süre belirlenirken önce özel bir saklama yükümlülüğü bulunup bulunmadığı araştırılır. Böyle bir düzenleme yoksa verinin hangi amaçla tutulduğu ve bu amacın devam edip etmediği esas alınacaktır.2

İşlemeyi gerektiren sebepler ortadan kalktığında KVKK m.7, silme, yok etme veya anonim hale getirmeyi gündeme getirir.3 Kişisel veri saklama ve imha politikası hazırlamakla yükümlü olan veri sorumluları, saklama ve periyodik imha sürelerini bu politikada göstermelidir.4 Politikanın hazırlanmış olması, verinin gerçekten süresinde imha edildiğini veya saklama sebebinin sürdüğünü tek başına göstermez.5

Kurulun 2018/142 sayılı kararında banka, son işlemden itibaren on yıllık süre dolmadan silme talebini kabul etmemiştir.6 Kurul, bu sonucu 5411 sayılı Bankacılık Kanununun 42. maddesindeki belge ve kayıt saklama yükümlülüğüyle birlikte değerlendirmiştir. On yıllık süre, bu hükümde sayılan banka belgeleri ve faaliyet kayıtlarıyla sınırlıdır. Bütün veri kategorilerine taşınamaz.7

Anayasa Mahkemesi, amaç için gerekli süre ölçütünün belirsiz ve sınırsız bir saklama yetkisi vermediğini kabul etmiştir.8 Kurulun 2019/294 sayılı kararında da kimlik doğrulama için alınan görüntünün işlem tamamlandıktan sonra tutulması ayrıca incelenmiştir.9 Bu iki karar, saklama süresinin yalnız takvimsel bir süreyle değil, verinin tutulmasını haklı kılan amacın devam edip etmediğiyle birlikte değerlendirilmesi gerektiğini göstermektedir.10