Madde 5

İşleme şartı, veri işlenmeye başladıktan sonra seçilen bir açıklama değildir. Veri sorumlusu, faaliyete geçmeden önce hangi veriyi hangi amaçla işleyeceğini ve açık rıza yoksa Kanunda sayılan hangi şartın bu faaliyeti taşıdığını belirlemelidir.1

Bir işleme şartı bulunsa da KVKK'nin 4. maddesindeki amaçla bağlantılı olma ve ölçülülük ilkeleri uygulanmaya devam eder.2 Aynı verinin saklanması, aktarılması veya yeni bir amaçla kullanılması ayrı işleme faaliyetleri oluşturabilir. Bu işlemlerin her biri, kendi amacı ve hukuki sebebi bakımından ayrıca değerlendirilmelidir.3

Bu ayrım, ilk amaçla toplanan verinin yeni bir projeye aktarılması halinde özellikle önem kazanır. Kurul, 2019/78 sayılı kararda dağıtım şirketinin denetim sistemi için tuttuğu plaka ve yakıt türü bilgilerini hatalı yakıt dolumunu önlemeye yönelik başka bir projede kullanmasını ayrı bir faaliyet olarak incelemiş, yeni kullanımı meşru menfaat ve genel ilkeler bakımından değerlendirmiştir.4

İşleme faaliyetine ilişkin aydınlatmada amaç ve hukuki sebep açıkça belirtilmelidir. Kurul, 2026/347 sayılı İlke Kararında, açık rıza dışındaki bir işleme şartına dayanan faaliyet için ayrıca açık rıza metni sunulmaması gerektiğini belirtmiştir. Kararda, aydınlatma metninde veri kategorileriyle birlikte amaç ve hukuki sebebin de açıkça gösterilmesi istenmiştir.5

İşleme şartının bulunması, korumanın geri kalanını ikincil hale getirmez. Anayasa Mahkemesi de m.5/2-c, ç, e ve f bentlerini incelerken ilgili kişinin haklarını, veri güvenliğini ve başvuru yollarını aynı güvence düzeni içinde değerlendirmiştir.6

Açık rızanın geçerli olabilmesi için belirli bir işleme konusuna yönelmesi, yeterli bilgiden sonra açıklanması ve özgür iradeye dayanması gerekir. İlgili kişi hangi verinin hangi amaçla işleneceğini anlayamıyorsa, belirli bir konuya ilişkin karar verdiği söylenemez.1

Birbirinden ayrılabilen amaçlar, ilgili kişiye de ayrılabilir bir karar alanı bırakmalıdır. Kurul, ödeme veya üyelik için gönderildiği bildirilen doğrulama koduyla ticari ileti onayının da alındığı olayda, her işlem için ayrı karar verme imkanının tanınması gerektiğini belirtmiştir.2

Aydınlatma, faaliyetin çerçevesini ilgili kişiye bildirir. Açık rıza ise koşulları gerçekleştiğinde belirli bir faaliyet için hukuki sebep olabilir.3 Bu nedenle aynı onay akışında hangi bilginin aydınlatma, hangi seçimin rıza olduğu anlaşılmalıdır.

Özgür irade bakımından belirleyici soru, rıza verilmediğinde ilgili kişinin asıl hizmete erişiminin fiilen daralıp daralmadığıdır. Kurul, sözleşme, aydınlatma ve rızanın tek onayda birleştirildiği uygulamayı bu açıdan sorunlu bulmuştur.4 Tanıtım işlemine rıza vermeyen kişinin sağlık randevusunu tamamlayamadığı olayda da rızanın özgür iradeyle açıklanmadığı sonucuna varmıştır.5

Bununla birlikte ek program ile temel hizmetin gerçekten ayrılabildiği her olay aynı sonuca götürmez. Kurul, 2023/890 sayılı kararda temel uçuş hizmetine üyelik olmadan da erişilebilmesini ve biriken millerin başka kanallardan görüntülenebilmesini dikkate almış, bu koşullarda program üyeliğini rızanın geçersizliği için tek başına yeterli görmemiştir.6

Rıza geri alındıktan sonra aynı işleme bu rızaya dayanılarak sürdürülemez.7 Doktrinde, işlemenin başlangıcında rıza dışında başka bir işleme şartı da mevcutsa, faaliyetin rıza geri alındıktan sonra bu şartın amaç ve kapsamı içinde sürdürülebileceği savunulmaktadır.8

Bir hizmetin ek fayda olarak adlandırılması, pazarlama rızasının o faydaya bağlanmasını tek başına haklı kılmaz. Kurul, canlı maç yayınından yararlanmayı ticari ileti iznine bağlayan uygulamada özgür iradenin zedelendiğine ve geçerli bir işleme şartı bulunmadığına karar vermiştir.9

Rıza gereken çerez ve pazarlama faaliyetlerinde seçim, veri işlenmeden önce ve ayrılabilir konular için alınmalıdır. Kurul, reklam ve kampanya rızasının hizmetin ön şartı yapılmamasını istemiştir. Marka elçiliği programında geçerli açık rıza veya başka bir işleme şartı bulunmadan gönderilen reklam mesajları ile yapılan aramaları da hukuka aykırı bulmuştur.10

Kanunda açıkça öngörülme, yalnız bir kanun adının anılmasıyla gerçekleşmez. Veri sorumlusu, dayandığı hükmün hangi görev veya yetkiyi verdiğini ve işlenecek verinin bu görevle neden bağlantılı olduğunu gösterebilmelidir.1

Bu bağlantının ilgililer bakımından öngörülebilir olması gerekir. İşlenecek veri türü, amaç, etkilenen kişi çevresi ve işlemenin temel kapsamı anlaşılabilir değilse, kanuni dayanağın sınırı da belirsiz kalır. Bu eksikliği ikincil düzenleme ile yeni bir veri işleme yetkisi kurarak gidermek mümkün değildir.2

İşlemenin kanunda açıkça öngörülmesi, saklama süresini ve veriye erişebilecek kişileri belirleme gereğini ortadan kaldırmaz. Veri kanuni görevin gerektirdiğinden daha uzun süre saklanıyor veya daha geniş bir kişi çevresine açılıyorsa, bu işlemler amaçla bağlılık ve ölçülülük ilkeleri bakımından değerlendirilmelidir.3

Kurul, 2023/932 sayılı kararda kredi başvurusunda bildirilmeyen telefon numarasına gönderilen dolandırıcılık uyarısını, Bankacılık Kanunu ile Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik'teki riskli başvuru hükümleri bakımından incelemiştir.4

KVKK m.5/2-b hükmüne dayanılabilmesi için ilgili kişinin fiili imkansızlık nedeniyle rıza açıklayamaması veya rızasına hukuki geçerlilik tanınmaması gerekir. Bunun yanında, ilgili kişinin veya bir başkasının hayatını ya da beden bütünlüğünü korumak için veri işlemenin zorunlu olması aranır.1

Rıza almanın güçleşmesi veya işlemi hızlandırma isteği bu şartı tek başına doğurmaz. Hayat ya da beden bütünlüğüne yönelik risk somut olmalı, işlenecek veri de bu riskin giderilmesiyle doğrudan bağlantı kurmalıdır.2

Acil müdahale sona erdikten sonra verinin saklanması, aktarılması veya başka bir amaçla kullanılması için dayanılacak hukuki sebep ayrıca incelenecektir. Veri özel nitelikliyse KVKK m.6'daki işleme şartları da uygulanacaktır.3

Sözleşmeye bağlı işleme, sözleşmenin varlığından değil, somut edimin kurulması veya ifası için duyulan gereklilikten doğar. Bu nedenle işleme sözleşmeyle doğrudan bağlantılı olmalı ve sözleşmenin taraflarına ait verilerle sınırlı kalmalıdır.1

Sözleşmede veri işlemeye ilişkin bir hükmün bulunması, bu gereklilik incelemesinin yerini tutmaz. Hangi aşamadaki edimin hangi veriyi gerektirdiği, aynı sonuca daha az veriyle ulaşılıp ulaşılamayacağı da göz önünde tutularak açıklanmalıdır.2

Kurul, 2021/389 sayılı kararda sözleşmenin ifası için gerekli işleme bakımından bu bende dayanılabileceğini belirtmiştir. Aynı kararda aydınlatma ile açık rızanın tek bir onay metninde birleştirilmesinin, işlemenin hangi hukuki sebebe dayandığını belirsizleştirdiğini kabul etmiştir.3

Kurul, 2023/567 sayılı kararda kart bilgisinin mevcut alışverişi tamamlamak için girilmesi ile sonraki alışverişleri kolaylaştırmak için üyelik hesabında tutulmasını farklı amaçlar bakımından ele almıştır. Kart bilgisinin sonraki alışverişler için saklanması ayrı bir hukuki sebebe dayanmalıdır.4

Hukuki yükümlülük, genel bir uyum ihtiyacından ayrılmalıdır. Önce veri sorumlusunu bağlayan yükümlülük, ardından bu yükümlülüğün yerine getirilmesi için hangi verinin neden gerekli olduğu belirlenmelidir.1

Yükümlülük, gerekli verinin ötesinde toplama, erişim veya saklama yetkisi veremez. Bu işlemlerin kapsamı ile saklama süresi, yükümlülüğün gerektirdiği ölçü içinde ayrıca sınırlandırılmalıdır.2

Kurul, 2023/1563 sayılı kararda Merkezi Kayıt Kuruluşunun Kamuyu Aydınlatma Platformunda (KAP) yaptığı duyuruyu, yalnız Pay Tebliği'nde öngörülen yükümlülük ve bu kapsamda açıklanması gereken veriler bakımından değerlendirmiştir.3

Verinin görünür olması, onu her amaçla kullanılabilir hale getirmez. Bu bent için verinin ilgili kişi tarafından alenileştirilmesi ve sonraki kullanımın bu iradeyle bağlantı kurması gerekir.1

Alenileştirme iradesinin kapsamı, verinin paylaşıldığı bağlam dikkate alınarak belirlenmelidir. Kişi, mesleki iletişim bilgisini yalnız mesleki faaliyeti kapsamında kendisine ulaşılması için açıklamış olabilir.2

Kurul, 2019/331 sayılı kararda avukatın internet sitesinde yer alan telefon numarasının sigorta teklifi için aranmasını m.5/2-d kapsamında görmemiştir. Kurul, kullanım amacının kişinin veriyi hangi amaçla alenileştirdiğiyle bağlantılı olup olmadığını incelemiştir.3

Alenileştirme şartı bulunsa da KVKK'nin 4. maddesindeki ilkeler uygulanmaya devam eder. Veri belirli bir amaçla veya sınırlı bir kişi çevresine açıklanmışsa, bu sınırları aşan sonraki kullanım alenileştirme şartını karşılamayabilir.4

Bir hakka dayanmak, uyuşmazlıkla uzaktan ilgili her veriyi işleme imkanı vermez. Hak, veri ve zorunluluk arasındaki bağ somutlaştırılmalı, işlemenin bu hakkın tesisi, kullanılması veya korunması için neden gerekli olduğu açıklanmalıdır.1

Bu bağ, ilk elde etme ile sonradan yargılamada kullanma ayrımı yapılmadan kurulamaz. Kurul, 2020/494 sayılı kararda kamera sisteminin kurulmasını posta gönderilerine ilişkin güvenlik düzenlemesi kapsamında, görüntülerin işe iade davasına sunulmasını ise m.5/2-e bakımından ayrı incelemiştir.2

Bu ayrım, kaydın kimin tarafından, hangi koşullarda oluşturulduğu ve veri sorumlusuna nasıl ulaştığı sorusunu da gündeme getirir. Kurul, 2023/1548 sayılı kararda bir kullanıcının oluşturup veri sorumlusuna ilettiği ses kaydının yargılamada kullanımını bu olgularla birlikte incelemiştir. Ani gelişen olayda başka türlü delil elde edilememesi, kaydın sınırlı erişimle saklanması ve mahkemeye sunulması üzerinde durmuştur.3

Bir hakkın tesisi, kullanılması veya korunması için gerekli görülen işleme, aydınlatma yükümlülüğünü ortadan kaldırmaz. Kurul, 2023/924 sayılı kararda otopark alacağının ispatı için plaka sorgusu ile araç fotoğraflarının dava dosyasına sunulmasını bu bent kapsamında değerlendirmiştir. Aynı olayda ilgili kişiye aydınlatma yapılmamasını ayrıca ihlal saymıştır.4

Hakkın korunması şartı, uyuşmazlıkla doğrudan bağlantılı verinin sınırlı kullanımını taşıyabilir. Kurul, aynı kazaya ilişkin değer kaybı ödemesinde daha önce hukuka uygun elde edilen banka hesap bilgisinin kullanılmasını ve iş uyuşmazlığında savunma hakkı için çalışan kayıtlarının erişime kapalı biçimde saklanmasını bu şart kapsamında değerlendirmiştir.5

Meşru menfaat, soyut işletme yararına dayanılarak kurulamaz. Veri sorumlusunun somut ve hukuken korunmaya değer menfaati ortaya konulduktan sonra, işlemenin bu menfaate ulaşmak için gerekli olup olmadığı ve ilgili kişinin temel hak ve özgürlüklerine etkisi ayrı ayrı değerlendirilmelidir.1

Gereklilik incelemesi, tek bir alternatif aramakla tamamlanmaz. Aynı amaca daha az müdahaleyle ulaşan bir yol bulunup bulunmadığı, verinin niteliği, işlemin kapsamı, erişen kişiler, saklama süresi ve ilgili kişinin makul beklentisiyle birlikte değerlendirilmelidir.2

Kurul, 2019/78 sayılı kararda plaka ve yakıt türü verisinin hatalı yakıt dolumunu önlemek amacıyla kullanılmasını, incelenen proje özelinde gereklilik bakımından değerlendirmiştir.3

Anayasa Mahkemesi, kurumsal e-posta incelemesinde işverenin denetim amacını ve çalışanın önceden bilgilendirilip bilgilendirilmediğini değerlendirmiştir. Mahkeme, aynı amaca daha hafif bir araçla ulaşılıp ulaşılamayacağını ve incelemenin amaçla sınırlı tutulup tutulmadığını da dikkate almıştır.4 Kurul da 2023/86 sayılı kararda, önceden bilgilendirilmiş çalışanın e-posta hesabında somut bir şüphe üzerine yürütülen sınırlı incelemeyi olayın koşulları içinde değerlendirmiştir.5

İşlemenin biçimi değiştiğinde, aynı güvenlik amacı gereklilik ve haklara etki bakımından aynı ağırlıkla değerlendirilemez. Görüntü kaydı güvenlik amacına elverişli olduğunda, ayrıca ses kaydı alınmasının hangi ek yararı sağladığı ve iletişimin sürekli kayda alınmasının ilgili kişilerin özel hayatına etkisini ağırlaştırıp ağırlaştırmadığı gösterilmelidir. Kurul, 2023/1461 sayılı kararda görüntü kaydının güvenlik amacı için yeterli olduğu olayda ses kaydının eklenmesini gerekli görmemiştir. Bu ek işlemenin ilgili kişilerin makul beklentilerini ve özel hayatın gizliliğini daha ağır etkilediğini değerlendirmiştir.6

İşyeri izlemesinde görüntü ile ses kaydı aynı zorunluluk değerlendirmesine tabi tutulamaz. Kurul, görüntü kaydı güvenlik amacına ulaşmak için yeterliyken ayrıca ses kaydı alınmasını meşru menfaat bakımından gerekli görmemiştir. Buna karşılık çalışanların talebiyle kurulan, kapalı devre çalışan, belirli alanla sınırlı tutulan ve kayıtları altmış gün sonunda imha eden kamera sistemi somut olayda meşru menfaat şartına uygun bulunmuştur.7