TBMM Madde Gerekçesi
Güncel metinYürürlükte
Maddeyle, kişisel verilerin işlenme koşulları düzenlenmektedir.
Kural olarak kişisel verilerin ilgili kişinin açık rızası veya maddede sayılan istisnalar dışında işlenmesi yasaktır, 95/46 EC sayılı Avrupa Birliği Direktifine göre rıza, ilgili kişinin kendisiyle ilgili veri işlenmesine, özgürce, konuyla ilgili yeterli bilgi sahibi olarak, tereddüde yer bırakmayacak açıklıkta ve sadece o işlemle sınırlı olarak verdiği onay beyanıdır.
Maddenin ikinci fıkrasıyla ilgili kişinin açık rızası olmasa dahi bazı hallerde kişisel verilerin işlenebilmesi öngörülmektedir.
Fıkranın (a) bendine göre ilgili kişinin açık rızası olmasa dahi kanunlarda açıkça öngörülen hallerde kişisel veri işlenebilecektir. Örneğin, kolluk tarafından bir suç soruşturması sebebiyle, 2559 sayılı Polis Vazife ve Salahiyet Kanununun 5 inci maddesi uyarınca şüphelilerin parmak izlerinin alınması; 5352 sayılı Adli Sicil Kanunu uyarınca Adalet Bakanlığının kişilerin ceza mahkûmiyetlerine ilişkin verilerini işlemesi gibi.
Fıkranın (b) bendine göre, rızanın açıklanamadığı ya da geçerli olmadığı hallerde, kişilerin hayat veya beden bütünlüğünün korunması için kişisel verilerin işlenmesi öngörülmektedir. Örneğin kişinin şuurunun yerinde olmadığı veya akıl hastası olması sebebiyle rızasının geçerli olmadığı bir durumda, hayat veya beden bütünlüğünün korunması amacıyla, tıbbi müdahale yapılması sırasında, kişisel verileri işlenebilecektir. Bu bağlamda kan grubu, geçirilen hastalıklar ve ameliyatlar, kullanılan ilaçlar gibi veriler, ilgili sağlık sistemi üzerinden işlenebilecektir. Yine hürriyeti tahdit edilen bir kişinin kurtarılması amacıyla, kendisinin veya şüphelinin taşımakta olduğu telefon, bilgisayar, kredi kartı, banka kartı veya diğer teknik bir araç üzerinden yerinin belirlenmesi için bu veriler işlenebilecektir.
Fıkranın (c) bendine göre, bir sözleşmenin kurulması veya ifasıyla ilgili olarak kişisel veri işlenebilecektir. Örneğin, yapılan bir sözleşme gereği paranın ödenmesi için alacaklı tarafın hesap numarası alınabilecektir. Yine bir bankayla kredi sözleşmesi yapılması sırasında bankanın, o kişiye ait maaş bordrosunu, tapu kayıtlarını, icra borcu olmadığına dair belgeyi edinmesi bu kapsamda değerlendirilecektir.
Fıkranın (ç) bendine göre, veri sorumlusu, hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olan verileri, ilgili kişinin rızası olmasa dahi işleyebilecektir. Örneğin bir şirketin çalışanına maaş ödeyebilmesi için, banka hesap numarası, evli olup olmadığa bakmakla yükümlü olduğu kişiler, eşinin çalışıp çalışmadığı, sosyal sigorta numarası gibi verileri işlemesi bu bendin verdiği yetkiye istinaden olacaktır.
Fıkranın (d) bendine göre, ilgili kişinin kendisi tarafından alenileştirilen bir başka ifadeyle herhangi bir şekilde kamuoyuna açıklanmış olan kişisel verileri işlenebilecektir. Çünkü ilgili kişi tarafından alenileştirilen ve böylelikle herkes tarafından bilinebilecek hale gelen bu tür verilerin işlenmesinde, korunması gereken hukuki yararın ortadan kalktığı kabul edilmektedir.
Fıkranın (e) bendine göre, bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması durumunda kişisel veriler işlenebilecektir. Bu bağlamda, bir şirketin kendi çalışanı tarafından açılan bir davada ispat için bazı verileri kullanması veya kısıtlı bir kişinin haklarının korunması amacıyla vasinin veya kayyımın, kısıtlının mali bilgilerini tutması hukuka uygun sayılacaktır.
Fıkranın (f) bendine göre, ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması durumunda da açık rıza şartı aranmaksızın kişisel veriler işlenebilecektir. Buna göre, örneğin bir şirket sahibi, çalışanlarının temel hak ve özgürlüklerine zarar vermemek kaydıyla, onların terfileri, maaş zamları yahut sosyal haklarının düzenlenmesinde ya da işletmenin yeniden yapılandırılması sürecinde görev ve rol dağıtımında esas alınmak üzere çalışanların kişisel verilerini işleyebilecektir. Burada, işletmenin yeniden yapılandırılması ya da ehliyetli ve liyakatli çalışanların terfi almaları, veri sorumlusu statüsündeki şirket sahibinin meşru menfaati cümlesindendir. Kişisel verilerin korunmasına ilişkin temel ilkelere uyulması ve veri sorumlusu ile ilgili kişinin menfaat dengesinin gözetilmesi gerekmektedir.
2014 Tasarısı2014
Maddeyle, verilerin işlenme koşulları düzenlenmektedir.
Kural olarak kişisel verilerin ilgili kişinin açık rızası veya maddede sayılan istisnalar dışında işlenmesi yasaktır. 95/46 EC sayılı Avrupa Birliği Direktifine göre rıza, ilgili kişinin kendisiyle ilgili veri işlenmesine, özgürce, konuyla ilgili yeterli bilgi sahibi olarak, tereddüde yer bırakmayacak açıklıkta ve sadece o işlemle sınırlı olarak verdiği onay beyanıdır.
Maddenin ikinci fıkrasıyla ilgili kişinin rızası olmasa dahi bazı hallerde kişisel verilerin işlenebilmesi öngörülmektedir.
Fıkranın (a) bendine göre ilgili kişinin rızası olmasa bile kanunlarda açıkça öngörülen hallerde kişisel veri işlenebilecektir. Örneğin kolluk tarafından bir suç soruşturması sebebiyle, 2559 sayılı Polis Vazife ve Salahiyet Kanununun 5 inci maddesi uyarınca şüphelilerin parmak izlerinin alınması, 5352 sayılı Adli Sicil Kanunu uyarınca Adalet Bakanlığının kişilerin ceza mahkûmiyetlerine ilişkin verilerini işlemesi gibi.
Fıkranın (b) bendine göre, rızanın açıklanamadığı ya da geçerli olmadığı hallerde, kişilerin hayat veya beden bütünlüğünün korunması için verilerin işlenmesi öngörülmektedir. Örneğin kişinin şuurunun yerinde olmadığı veya akıl hastası olması sebebiyle rızasının geçerli olmadığı bir durumda, hayat veya beden bütünlüğünün korunması amacıyla, tıbbi müdahale yapılması sırasında, kişisel verileri işlenebilecektir. Bu bağlamda kan grubu, geçirilen hastalıklar ve ameliyatlar, kullanılan ilaçlar gibi veriler, ilgili sağlık sistemi üzerinden işlenebilecektir. Yine hürriyeti tahdit edilen bir kişinin kurtarılması amacıyla, kendisinin veya şüphelinin taşımakta olduğu telefon, bilgisayar, kredi kartı, banka kartı veya diğer teknik bir araç üzerinden yerinin belirlenmesi için bu veriler işlenebilecektir.
Fıkranın (c) bendine göre, bir sözleşmenin kurulması veya ifasıyla ilgili olarak kişisel veri işlenebilecektir. Örneğin, yapılan bir sözleşme gereği paranın ödenmesi için alacaklı tarafın hesap numarası alınabilecektir. Yine bir bankayla kredi sözleşmesi yapılması sırasında bankanın, o kişiye ait maaş bordrosunu, tapu kayıtlarını, icra borcu olmadığma dair belgeyi edinmesi bu kapsamda değerlendirilecektir.
Fıkranın (ç) bendine göre, veri sorumlusu, hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olan verileri, ilgili kişinin rızası olmasa dahi işleyebilecektir. Örneğin bir şirketin çalışanına maaş ödeyebilmesi için, banka hesap numarası, evli olup olmadığı, bakmakla yükümlü olduğu kişiler, eşinin çalışıp çalışmadığı, sosyal sigorta numarası gibi verileri işlemesi bu bendin verdiği yetkiye istinaden olacaktır.
Fıkranın (d) bendine göre, ilgili kişinin kendisi tarafından kamuoyuna açıklanmış olan kişisel verileri işlenebilecektir. Çünkü ilgili kişi tarafından alenileştirilen ve böylelikle herkes tarafından bilinen bu tür verilerin işlenmesinde, korunması gereken hukuki yararın ortadan kalktığı kabul edilmektedir.
Fıkranın (e) bendine göre, bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması durumunda kişisel veriler işlenebilecektir. Bu bağlamda, bir şirketin kendi çalışanı tarafından açılan bir davada ispat için bazı verileri kullanması veya kısıtlı bir kişinin haklarının korunması amacıyla vasinin veya kayyımın, kısıtlının mali bilgilerini tutması hukuka uygun sayılacaktır.
2008 Tasarısı2008
Kural olarak kişisel verilerin ilgili kişinin açık rızası ve maddede sayılan istisnalar dışında işlenmesi yasaktır. 95/46 EC sayılı Avrupa Birliği Direktifinin ikinci maddesinin (h) bendinde rızanın tanımı yapılmıştır. Buna göre rıza beyanı, ilgili kişinin kendisiyle ilgili veri işlenmesi fiiline, özgürce ve konuyla ilgili yeterli bilgi sahibi olarak verdiği ve sadece o işlemle sınırlı onay beyanıdır. Buna göre ilgili kişi, kendisine ait verilerin işlenmesini kabul etmektedir. Yine Direktifin 7 nci maddesine göre rıza, ilgili kişi tarafından "tereddüde yer bırakmayacak şekilde" verilmiş olmalıdır. Maddenin birinci fıkrasındaki hükmün doğal sonucu olarak; kanunlarda öngörülen yükümlülüklerin yerine getirilmesi dışında, ilgili kişinin bir itirazda bulunması halinde veri işlenemeyecektir. Maddenin son fıkrasında ise, birinci fıkranın diğer istisnaları sayılmıştır.
İşleme şartının belirlenmesi
Bir veri işleme faaliyeti bakımından önce hangi verinin, hangi amaçla ve ne şekilde işleneceği belirlenmelidir. Açık rızaya dayanılmıyorsa, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) m.5/2'de sayılan şartlardan hangisinin somut faaliyet bakımından gerçekleştiği de gösterilmelidir.1
Bir işleme şartı bulunsa da KVKK'nin 4. maddesindeki amaçla bağlantılı olma ve ölçülülük ilkeleri uygulanmaya devam eder.2 Aynı verinin saklanması, aktarılması veya yeni bir amaçla kullanılması ayrı işleme faaliyetleri oluşturabilir. Bu işlemlerin her birinin amacı ile hukuki sebebi açıklanmalıdır.6
Kişisel Verileri Koruma Kurulu, 2019/78 sayılı kararda dağıtım şirketinin yasal denetim sistemi için tuttuğu plaka ve yakıt türü bilgilerini hatalı yakıt dolumunu önlemeye yönelik başka bir projede kullanmasını ayrı bir işleme faaliyeti olarak ele almıştır. Kararda yeni amaçla kullanım, m.5/2-f ile m.4 ilkeleri bakımından ayrıca değerlendirilmiştir.3
İşleme faaliyetine ilişkin aydınlatmada amaç ve hukuki sebep açıkça belirtilmelidir. Kurul, 2026/347 sayılı İlke Kararında, açık rıza dışındaki bir işleme şartına dayanan faaliyet için ayrıca açık rıza metni sunulmaması gerektiğini belirtmiştir. Kararda, aydınlatma metninde veri kategorileriyle birlikte amaç ve hukuki sebebin de açıkça gösterilmesi istenmiştir.4
Anayasa Mahkemesi, m.5/2-c, ç, e ve f bentlerinin anayasal denetiminde işleme şartlarının yanı sıra ilgili kişinin haklarını, veri güvenliğini ve başvuru yollarını da birlikte değerlendirmiştir.5
Açık rızanın geçerlilik şartları
Açık rıza, belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızadır. İlgili kişi hangi verinin hangi amaçla işleneceğini anlayamıyorsa, rızanın belirli bir konuya ilişkin olduğu kabul edilemez.1
Kurul, ödeme veya üyelik işlemi için gönderildiği açıklanan doğrulama koduyla ticari ileti onayının da alındığı olayda, ilgili kişiye her işlem için ayrı karar verme imkanı tanınmasını gerekli görmüştür.2
Aydınlatmayla veri işleme faaliyetinin çerçevesi ilgili kişiye bildirilir. Açık rıza ise kanundaki şartları taşıyan belirli bir işleme faaliyetinin hukuki sebebini oluşturabilir. Hangi faaliyetin hangi sebebe dayandığının anlaşılabilmesi için bu iki süreç birbirinden ayrılmalıdır.3
Rızanın özgür iradeyle verilip verilmediği değerlendirilirken, rıza verilmediğinde ilgili kişinin temel hizmete erişip erişemeyeceği incelenmelidir.4 Kurul, tanıtım amaçlı işlemeye rıza vermeyen kişinin sağlık randevusunu tamamlayamadığı olayda rızanın özgür iradeyle açıklanmadığı sonucuna varmıştır.5
Kurul, 2023/890 sayılı kararda temel uçuş hizmetine program üyeliği olmadan da erişilebildiğini ve programda biriken millerin farklı kanallardan görüntülenebildiğini dikkate almıştır. Kurul, temel hizmetten ayrılabilen böyle bir programın varlığını rızanın geçersizliği için tek başına yeterli saymamıştır.6
Rıza geri alındıktan sonra aynı işleme bu rızaya dayanılarak sürdürülemez.7 Buna karşılık doktrinde, işlemenin başlangıcında rıza dışında başka bir işleme şartı da mevcutsa, faaliyetin rıza geri alındıktan sonra bu şartın amaç ve kapsamı içinde sürdürülebileceği savunulmaktadır.8
Kanunda açıkça öngörülme
KVKK m.5/2-a'daki şart, veri işleme için kanunda açık bir dayanak bulunmasını gerektirir. Veri sorumlusu, dayandığı hükmün kendisine hangi görev veya yetkiyi verdiğini ve işlenecek verinin bu görev veya yetkiyle bağlantısını açıklamalıdır.1
Kanuni dayanak gösterilirken yalnız kanunun adının anılması yeterli değildir. İlgili kişi, en azından işlenecek veri türünü, işlemenin amacını, etkilenecek kişi çevresini ve işlemenin temel kapsamını öngörebilmelidir. Kanuni dayanağı bulunmayan veya kapsamı belirsiz bir veri işleme yetkisi ikincil düzenlemeyle kurulamaz.2
İşlemenin kanunda açıkça öngörülmesi, saklama süresini ve veriye erişebilecek kişileri belirleme gereğini ortadan kaldırmaz. Veri kanuni görevin gerektirdiğinden daha uzun süre saklanıyor veya daha geniş bir kişi çevresine açılıyorsa, bu işlemler amaçla bağlılık ve ölçülülük ilkeleri bakımından değerlendirilmelidir.3
Kurul, 2023/932 sayılı kararda kredi başvurusunda bildirilmeyen telefon numarasına gönderilen dolandırıcılık uyarısını, Bankacılık Kanunu ile Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik'teki riskli başvuru hükümleri bakımından incelemiştir.4
Rıza verememe ve hayat veya beden bütünlüğü
KVKK m.5/2-b hükmüne dayanılabilmesi için ilgili kişinin fiili imkansızlık nedeniyle rıza açıklayamaması veya rızasına hukuki geçerlilik tanınmaması gerekir. Bunun yanında, ilgili kişinin veya bir başkasının hayatını ya da beden bütünlüğünü korumak için veri işlemenin zorunlu olması aranır.1
Rızanın alınmasının güç olması veya işlemin hızlandırılmak istenmesi, (b) bendine dayanmak için yeterli değildir. Hayat ya da beden bütünlüğüne yönelik riskin somut olması ve işlenecek veri ile bu risk arasında doğrudan bir bağ bulunması gerekir.2
Acil müdahale sona erdikten sonra verinin saklanması, aktarılması veya başka bir amaçla kullanılması için dayanılacak hukuki sebep ayrıca incelenecektir. Veri özel nitelikliyse KVKK m.6'daki işleme şartları da uygulanacaktır.3
Sözleşmeye bağlı veri işleme
Sözleşmenin kurulması veya ifası için gerekli olan veri işleme, sözleşmeyle doğrudan bağlantılı ve sözleşmenin taraflarına ait verilerle sınırlı olmalıdır.1 Bir sözleşmenin bulunması veya sözleşmede veri işlemeye ilişkin hükme yer verilmesi, KVKK m.5/2-c'nin uygulanması için tek başına yeterli değildir. İşlemenin sözleşmenin hangi aşamasında ve neden gerekli olduğu ayrıca açıklanmalıdır.2
Kurul, 2021/389 sayılı kararda sözleşme kapsamındaki işleme bakımından m.5/2-c'ye dayanılabileceğini belirtmiştir. Kararda, aydınlatma ile açık rızanın tek bir onay metninde birleştirilmesinin işlemenin hangi hukuki sebebe dayandığını belirsizleştirdiği kabul edilmiştir.3
Kurul, 2023/567 sayılı kararda kart bilgisinin mevcut alışverişi tamamlamak için girilmesi ile sonraki alışverişleri kolaylaştırmak için üyelik hesabında tutulmasını farklı amaçlar bakımından ele almıştır. Kart bilgisinin sonraki alışverişler için saklanması ayrı bir hukuki sebebe dayanmalıdır.4
Hukuki yükümlülük için zorunlu işleme
KVKK m.5/2-ç uyarınca önce veri sorumlusunun hangi hukuki yükümlülüğe tabi olduğu belirlenmelidir. Ardından bu yükümlülüğün yerine getirilmesi için hangi verinin neden gerekli olduğu açıklanmalıdır.1
Bir hukuki yükümlülüğün bulunması, veri sorumlusuna kişisel verileri sınırsız biçimde toplama, bunlara erişme veya bunları saklama yetkisi veremez. İşlenecek veri yükümlülüğün gerektirdiği kapsamla, saklama ise gerekli süreyle sınırlı olmalıdır.2
Kurul, 2023/1563 sayılı kararda Merkezi Kayıt Kuruluşunun Kamuyu Aydınlatma Platformunda (KAP) yaptığı duyuruyu, yalnız Pay Tebliği'nde öngörülen yükümlülük ve bu kapsamda açıklanması gereken veriler bakımından değerlendirmiştir.3
Alenileştirme iradesi ve kullanım amacı
İlgili kişinin verisini kamuya açık bir yerde paylaşmış olması, verinin her amaçla kullanılabileceği anlamına gelmez. KVKK m.5/2-d'nin uygulanabilmesi için verinin ilgili kişi tarafından alenileştirilmiş olması ve sonraki kullanımın bu iradeyle bağlantı kurması gerekir.1
Alenileştirme iradesinin kapsamı, verinin paylaşıldığı bağlam dikkate alınarak belirlenmelidir. Kişi, mesleki iletişim bilgisini yalnız mesleki faaliyeti kapsamında kendisine ulaşılması için açıklamış olabilir.2
Kurul, 2019/331 sayılı kararda avukatın internet sitesinde yer alan telefon numarasının sigorta teklifi için aranmasını m.5/2-d kapsamında görmemiştir. Kurul, kullanım amacının kişinin veriyi hangi amaçla alenileştirdiğiyle bağlantılı olup olmadığını incelemiştir.3
Alenileştirme şartı bulunsa da KVKK'nin 4. maddesindeki ilkeler uygulanmaya devam eder. Veri belirli bir amaçla veya sınırlı bir kişi çevresine açıklanmışsa, bu sınırları aşan sonraki kullanım alenileştirme şartını karşılamayabilir.4
Bir hakkın tesisi, kullanılması veya korunması
Bir hakka dayanılarak veri işleniyorsa, işlemenin bu hakkın tesisi, kullanılması veya korunması için neden zorunlu olduğu açıklanmalıdır. Uyuşmazlığın varlığı tek başına yeterli değildir.1
Delilin ilk kez elde edilmesi ile önceden elde edilmiş verinin bir davada kullanılması aynı işlem değildir. Kurul, 2020/494 sayılı kararda kamera sisteminin kurulmasını posta gönderilerine ilişkin güvenlik düzenlemesi kapsamında, görüntülerin işe iade davasına sunulmasını ise m.5/2-e kapsamında incelemiştir.2
Kurul, 2023/1548 sayılı kararda veri sorumlusunun oluşturmadığı bir ses kaydını yargılamada kullanmasını incelemiştir. Kararda, olayın ani gelişmesi, başka türlü delil elde edilememesi ve kullanımın sınırlı kalması dikkate alınmıştır.3
Kurul, 2023/924 sayılı kararda plaka sorgusu ile dava dosyasına sunulan araç fotoğraflarını m.5/2-e bakımından ele almıştır. Aynı kararda aydınlatma yükümlülüğünün ayrıca ihlal edildiğine karar verilmiştir.4
Meşru menfaatte denge
Meşru menfaat şartının uygulanabilmesi için veri sorumlusunun somut ve hukuken korunmaya değer bir menfaatinin bulunması gerekir. Menfaat somutlaştırıldıktan sonra, veri işlemenin bu menfaati gerçekleştirmek için gerekli olup olmadığı ve ilgili kişinin temel hak ve özgürlükleri üzerindeki etkisi ayrı ayrı değerlendirilmelidir.1
Gereklilik incelemesinde, amaca daha az müdahaleyle ulaşılabilecek başka bir yol bulunup bulunmadığı da dikkate alınmalıdır. İşlenen verinin niteliği, işlemin kapsamı, veriye erişen kişiler, saklama süresi ve ilgili kişinin makul beklentisi bu değerlendirmede önem taşıyabilir.2
Kurul, 2019/78 sayılı kararda plaka ve yakıt türü verisinin hatalı yakıt dolumunu önlemek amacıyla kullanılmasını, incelenen proje özelinde gereklilik bakımından değerlendirmiştir.3
Anayasa Mahkemesi, kurumsal e-posta incelemesinde işverenin denetim amacını ve çalışanın önceden bilgilendirilip bilgilendirilmediğini değerlendirmiştir. Mahkeme, aynı amaca daha hafif bir araçla ulaşılıp ulaşılamayacağını ve incelemenin amaçla sınırlı tutulup tutulmadığını da dikkate almıştır.4 Kurul da 2023/86 sayılı kararda, önceden bilgilendirilmiş çalışanın e-posta hesabında somut bir şüphe üzerine yürütülen sınırlı incelemeyi olayın koşulları içinde değerlendirmiştir.5
Kurul, 2023/1461 sayılı kararda görüntü kaydı için ileri sürülen güvenlik gerekçesinin ses kaydı bakımından yeterli olmadığı sonucuna varmıştır.6