Kişisel veri işlemenin hukuki dayanağı, uygulamada en sık yanlış kurulan başlıktır. Yaygın kanı, her işleme için açık rıza alınması gerektiğidir. Oysa Kişisel Verilerin Korunması Kanunu açık rızayı altı ayrı istisnanın yanına koyar ve bazı durumlarda rıza almak, doğru dayanak olmadığı için işlemeyi hukuka aykırı hale bile getirebilir.
Kanunun kurduğu yapı
Kanun, kişisel verilerin ilgili kişinin açık rızası olmaksızın işlenemeyeceğini söyledikten sonra rıza aranmayan halleri sayar. Bunlar arasında kanunlarda açıkça öngörülmesi, sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi, verinin ilgili kişi tarafından alenileştirilmiş olması, bir hakkın tesisi, kullanılması veya korunması için zorunlu olması ve veri sorumlusunun meşru menfaati bulunur.
Bu altı halden biri varsa, ayrıca açık rıza aramak gereksizdir. Dahası, aslında rızaya dayanmayan bir işleme için rıza alınması, ilgili kişiye gerçekte var olmayan bir geri alma hakkı sunar ve süreci hukuken bulanıklaştırır.
Açık rızanın üç şartı
Açık rızaya dayanılacaksa, rızanın Kanun'un aradığı niteliği taşıması gerekir. Aksi halde alınmış sayılmaz.
Geçerli bir açık rızada aranan unsurlar
| Ölçüt | Karşılığı |
|---|---|
| Belirli bir konuya ilişkin | Genel ve kapsayıcı bir rıza metni geçersizdir. Hangi verinin hangi amaçla işleneceği tek tek belirtilmelidir. |
| Bilgilendirmeye dayalı | Rızadan önce, Kanunun öngördüğü aydınlatma yapılmış olmalıdır. Aydınlatma olmadan alınan rıza geçerli değildir. |
| Özgür iradeyle açıklanmış | Hizmetin verilmesi rızaya bağlanmışsa, rıza özgür iradeye dayanmaz. İş ilişkisi gibi bağımlılık içeren durumlarda rızanın geçerliliği ayrıca tartışılır. |
Üçüncü şart, işveren–çalışan ilişkisinde özel önem taşır. Çalışanın işverene verdiği rızanın özgür iradeye dayandığını savunmak zordur; bu nedenle iş ilişkilerinde genellikle başka bir dayanağa gidilir.
Meşru menfaat: sınırsız bir kapı değil
Kanun, veri sorumlusunun meşru menfaatleri için veri işlemeyi mümkün kılar; ancak açık bir kayıtla: ilgili kişinin temel hak ve özgürlüklerine zarar vermemek şartıyla. Bu, uygulamada bir dengeleme testi yapılmasını gerektirir.
- Menfaat gerçek ve güncel mi? Varsayıma dayalı veya ileride doğabilecek menfaatler yeterli değildir.
- İşleme bu menfaat için gerekli mi? Aynı sonuca daha az veriyle ulaşılabiliyorsa, gereklilik şartı sağlanmaz.
- Ölçülü mü? Toplanan veri miktarı ve saklama süresi amacı aşmamalıdır.
- İlgili kişi bunu makul olarak bekler mi? Kişinin öngöremeyeceği bir işleme, dengelemeyi olumsuz etkiler.
- Denge kimin lehine? Menfaat ile ilgili kişinin hak ve özgürlükleri karşılaştırıldığında sonuç kaydedilmelidir.
Bu testin yazılı olarak yapılması ve saklanması, sonradan bir denetim veya şikâyet halinde veri sorumlusunun en güçlü savunmasıdır. Sözlü olarak yapılmış bir dengeleme, yapılmamış sayılır.
Araştırma dosyalarında dayanak seçimi
Bir hukuki uyuşmazlık kapsamında yürütülen araştırmalarda en sık başvurulan dayanak, bir hakkın tesisi, kullanılması veya korunması için işlemenin zorunlu olmasıdır. Bu dayanak, araştırmanın somut bir hak talebine bağlı olduğu ölçüde geçerlidir.
Buradaki kritik nokta "zorunluluk" kavramıdır. Merak, genel bir güvensizlik ya da ihtimal üzerine kurulan bir araştırma bu kapsama girmez. Dosyada somut bir hak talebi ve bu talep ile toplanan veri arasında gösterilebilir bir bağ bulunmalıdır.
Alenileştirilmiş veri: yaygın bir yanılgı
Kanun, ilgili kişinin kendisi tarafından alenileştirilmiş verilerin işlenebileceğini söyler. Ancak bu, "internette bulunan her şey serbesttir" anlamına gelmez. Alenileştirme, kişinin veriyi kendi iradesiyle ve belirli bir amaçla kamuya açması demektir; işleme de o alenileştirme amacıyla bağdaşır olmalıdır.
Örneğin bir kişinin mesleki iletişim için paylaştığı telefon numarasının pazarlama amacıyla kullanılması, alenileştirme amacıyla bağdaşmaz. Aynı şekilde, dağınık haldeki açık verilerin bir araya getirilerek kişi profili oluşturulması, tek tek her veri açık olsa bile ayrı bir işleme faaliyetidir ve kendi dayanağını gerektirir.
Özel nitelikli veriler
Sağlık, cinsel hayat, din, siyasi görüş, felsefi inanç, sendika üyeliği, ırk ve etnik köken ile ceza mahkûmiyetine ilişkin veriler Kanunda özel nitelikli kabul edilir ve daha sıkı bir rejime tabidir. Araştırma faaliyetlerinde bu kategorideki verilerin toplanmasından kural olarak kaçınılmalıdır.
Bir dosyada özel nitelikli veriye rastlanması halinde doğru davranış, bu veriyi rapora taşımamak ve gerekmiyorsa kayıttan çıkarmaktır. Amaçla bağlantılı olmayan hassas veriyi saklamak, veri sorumlusu bakımından gereksiz bir risk oluşturur.
Bu yazı genel bilgilendirme amaçlıdır ve hukuki tavsiye yerine geçmez. Somut bir veri işleme faaliyetinin dayanağı için veri koruma alanında çalışan bir avukata danışın.
Araştırma dosyasında dayanak nasıl kurulur
Bir dedektiflik bürosunun yürüttüğü çalışma da kişisel veri işleme faaliyetidir ve kendi hukuki dayanağını gerektirir. İstanbul Özel Dedektiflik dosyalarında bu dayanak, kural olarak bir hakkın tesisi, kullanılması veya korunması için işlemenin zorunlu olmasıdır.
Bu dayanağın geçerli olması için dosyada somut bir hak talebi bulunmalı ve toplanan veri ile o talep arasında gösterilebilir bir bağ kurulmalıdır. Merak veya genel bir güvensizlik üzerine kurulan talepler bu kapsama girmez ve kabul edilmez.
Sıkça sorulan sorular
Her veri işleme için rıza almak güvenli değil mi?
Hayır. Aslında başka bir dayanağa giren bir işleme için rıza almak, ilgili kişiye gerçekte olmayan bir geri alma hakkı sunar ve süreci hukuken zayıflatır. Doğru dayanağı seçmek esastır.
Meşru menfaat testini kim yapar?
Veri sorumlusu yapar ve yazılı olarak saklar. Denetim veya şikâyet halinde bu belge, işlemenin hukuka uygunluğunun temel dayanağıdır.
Sosyal medyadaki açık bilgiler serbestçe kullanılabilir mi?
Alenileştirme amacıyla bağdaştığı ölçüde kullanılabilir. Dağınık açık verilerin birleştirilerek profil oluşturulması ise ayrı bir işleme faaliyetidir ve kendi dayanağını gerektirir.
Çalışanımdan aldığım rıza geçerli mi?
İş ilişkisindeki bağımlılık nedeniyle rızanın özgür iradeye dayandığını savunmak zordur. Bu tür işlemeler genellikle sözleşme, hukuki yükümlülük veya meşru menfaat dayanaklarına oturtulur.
Araştırma yaptığım kişiye bildirim yapmalı mıyım?
Kanundaki aydınlatma yükümlülüğü kural olarak geçerlidir. Hangi hallerde ve nasıl yerine getirileceği dosyanın niteliğine göre değişir ve avukat değerlendirmesi gerektirir.