6698 sayılı Kişisel Verilerin Korunması Kanunu'nun yürülüğe girmesi ile kişisel veriyi işleme fiiline uygun düşen hukuki durumun tespiti önem kazanmıştır. Hukuka aykırı olarak kişisel verinin işlenmesi durumunda idari para cezasının yanında hapis cezası da verilebilmektedir. Bu yazı ve şekiller ile hukuki durum doğru tespit edilmesinin kolaylaştırılması amaçlanmıştır. Bir kişisel veri işlemenin hangi bölgeye düştüğü bulunduğunda uyulması gereken hukuk kuralları da bulunur.

Bölge ayrımları Kanun'da yazan kurallar çerçevesinde belirlenmiştir. Kanun maddeleri farklı unsurlar içerdiğinden doğru bölgenin tespitinde etkili olan unsurlar şunlardır:

• Veri sorumlusu (kanunla özel yetkilendirilmiş olması, istisnalardan sayılması, ilgili kişi ile hukuki ilişkisi v.b.)
• İlgili kişi (veri sorumlusu ile hukuki ilişkisi, müşteri, çalışan, taraf v.b.)
• İşlenen kişisel verinin türü (kimlik bilgileri, sağlık bilgileri, biyometrik veriler, telefon numarası v.s.)
• İşlenme amacı (pazarlama, kanuni zorunluluğa uyma v.b.)
• İşlenme yöntemi ( dijital ortam, kağıt, internet, aktarma, silme, toplama v.b.)
• Hukuki sebebi ( işlenmesine zemin hazırlayan kanun, sözleşme, meşru menfaat v.b.)
• Bilinirlik (aleni olup olmaması, paylaşıldığı ortam, paylaşıldığı kişiler v.b.)

Bölgenin Bulunmasında İzlenecek Yöntem

Kişisel veri işleminin ait olduğu bölgenin bulunabilmesi için 4 aşamalı bir prosedür işletildikten sonra uygulanacak kanun hükümlerine ulaşılır.

• 1.Kanun'un uygulanıp uygulanmayacağının tespiti: Kişisel Verilerin Korunması Kanunu kural olarak tüm kişisel verilerin işlenmesinde uyulması gereken hukuk normudur. Ancak kanun koyucu bazı durumların Kanun'un uygulama olmadığına karar vermiştir. Bu istisnalardan olup olmadığının tespitinin yapılması gerekir.
• 2.Özel nitelikli kişisel veri tespiti: Kanun bazı tür kişisel verileri özel nitelikli saymıştır. Sınırlı sayıda olan bu tür verilerden olmasına ya da olmamasına göre aydınlatma yükümlülüğü ve açık rıza uygulamasında farklılıklar bulunmaktadır.
• 3.Aydınlatma yükümlülüğünün tespiti: Genel kural olarak veri sorumlusunun aydınlatma yükümlülüğü vardır. Kanun'da sayılan aydınlatma yükümlülüğünden muaf tutulan durumlar incelenerek aydınlatma konusunda yükümlü olup olmadığı tespit edilmelidir. Aydınlatma yükümlülüğü yok ise açık rıza alınmasına da gerek yoktur.
• 4.Açık rıza gerekliliğinin tespiti: Yine genel olarak ilgili kişinin açık rızanın alınması kural olmasına rağmen Kanun bazı durumlarda ilgili kişinin açık rızasının alınmasına gerek görmemiştir. Özel nitelikli kişisel veriler için de bu muafiyet daha az sayıda olsa da tanınmıştır.

Kanun'un Uygulanmadığı İstisnalar

Öncelikle işlenen verinin kişisel veri olması gerekir. Kişisel veri gerçek kişilerle ilgili verilerdir. Tüzel kişiliklere ya da tüzel kişiliği olmayan oluşumlara ait veriler kişisel veri olarak kabul edilmezler ve Kanun uygulanamaz.

Kanunun Uygulanmadığı Durumlar

Kanunda Kişisel Verilerin Korunması Kanunu'nun uygulanmayacağı durumlar

Daha detaylı bilgiye yukarıdaki ilgili yazıdan ulaşabilirsiniz

Ayrıca Kanun dijital (sayısal) olmayan ve bir veri kayıt sistemine dahil olmayan kişisel verilere uygulanmaz. Örneğin dosyalama işlemi kağıtta yapılıyorsa bu Kanun uygulanır.

Kanun'un 28. maddesinin 1. fıkrasında bu durumlar sayılmıştır.

• 1.Kişisel verilerin, üçüncü kişilere verilmemek ve veri güvenliğine ilişkin yükümlülüklere uyulmak kaydıyla gerçek kişiler tarafından tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetler kapsamında işlenmesi.
• 2.Kişisel verilerin resmi istatistik ile anonim hâle getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla işlenmesi
• 3.Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini, ekonomik güvenliği, özel hayatın gizliliğini veya kişilik haklarını ihlal etmemek ya da suç teşkil etmemek kaydıyla, sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamında işlenmesi
• 4.Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini veya ekonomik güvenliği sağlamaya yönelik olarak kanunla görev ve yetki verilmiş kamu kurum ve kuruluşları tarafından yürütülen önleyici, koruyucu ve istihbari faaliyetler kapsamında işlenmesi
• 5.Kişisel verilerin soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafından işlenmesi

Bu durumlar sayılıdır ve örnekleme yoluyla çoğaltılamaz. Ayrıca istisna olduğundan dar yorumlanması gerekir.

Özel Nitelikli Kişisel Veriler

Kanun bazı kişisel veri türlerini işlenmesi sonucunda olabilecek sonuçların ağırlığı sebebiyle özel nitelikli kişisel veri olarak Kanun'un 6. maddesinin ikinci fıkrasında saymıştır. Buna göre

Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir

Aydınlatma Yükümlülüğü

Kanun genel olarak veri sorumlusunu ilgili kişiyi aydınlatmakla yükümlü tutmuştur. Kanun aydınlatma yükümlülüğünden muaf tutulan istisnai durumları Kanun'un 28. maddesinin 2. fıkrasında saymıştır.

Veri sorumlusnun aydınlatma yükümlülüğünden muaf tutulduğu durumlar:

• 1.Kişisel veri işlemenin suç işlenmesinin önlenmesi veya suç soruşturması için gerekli olması
• 2.İlgili kişinin kendisi tarafından alenileştirilmiş kişisel verilerin işlenmesi
• 3.Kişisel veri işlemenin kanunun verdiği yetkiye dayanılarak görevli ve yetkili kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarınca, denetleme veya düzenleme görevlerinin yürütülmesi ile disiplin soruşturma veya kovuşturması için gerekli olması
• 4.Kişisel veri işlemenin bütçe, vergi ve mali konulara ilişkin olarak Devletin ekonomik ve mali çıkarlarının korunması için gerekli olması

Sayılı sayıda olduğundan örnekleme yoluyla genişletilemez. Ayrıca Kanun'da sayılan durumlarda dahi Kanun'un amacına ve temel ilkelerine uygun ve orantılı olmak zorundadır. İstisna olduğundan dar yorumlanmalıdır.

Aydınlatma yükümlülüğü olmayan konularda da veri sorumlusu isterse aydınlatma yükümlüsü gibi davranabilir. Böyle bir durumda da ilgili kişiye verdiği bilgilerin eksiksiz, doğru ve güncel olması gerekir. İlgili kişinin iradesini yanıltabilecek bilgilerden ve ifadelerden kaçınılması gerekir.

Açık rıza sadece aydınlatma yükümlülüğünün bulunduğu durumlarda gerekli olabileceğinden bu bölgedeki işlemler için aydınlatma yükümlülüğü olmadığından açık rıza gerekmez. Veri sorumlusu aydınlatma yükümlülüğü bulunmamasına rağmen aydınlatma yükümlüsüymüş gibi davransa dahi açık rıza gerekmez. Ancak hukuki boşluk olabilecek durumlar ihtimaline karşı açık rıza alınması veri sorumlusunun sorumluluğunu azaltacaktır.

Açık Rıza

Genel ilke olarak kişisel verilerin işlenmesi ilgili kişinin belirli bir konudaki, bilgilendirmeye dayanan ve özgür iradeyle açıklanan açık rızasına bağlıdır. Açık rızanın aranmayacağı durumlar da Kanun'da istisna olarak sayılmıştır.

Sağlık ve cinsel hayat dışındaki özel nitelikli kişisel veriler ancak kanunlarda öngörülen hâllerde ilgili kişinin açık rızası aranmaksızın işlenebilir. Sağlık ve cinsel hayata ilişkin özel nitelikli kişisel veriler ise sadece kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgili kişinin açık rızası aranmaksızın işlenebilir (Md. 6/3).

Özel nitelikli olmayan kişisel verilerin işlenmesinde açık rızanın aranmadığı durumlar daha fazladır ve Kanun'un 5. maddesinin 2. fıkrasında belirtilmektedir. Buna göre:

• 1. Kanunlarda açıkça öngörülmesi,
• 2. Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması
• 3. Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması
• 4. Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması
• 5. İlgili kişinin kendisi tarafından alenileştirilmiş olması
• 6. Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması
• 7. İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması

durumlarında ilgili kişinin açık rızası aranmaz.

Kanun açık rızanın aranmayacağı durumları istisnai olarak sıralamış olmakla birlikte mümkünse açık rızanın alınması veri sorumlusu açısından tercih edilmesi gereken bir yoldur. Kanun'da sayılan şartların oluştuğu kanaati ile düşülecek bir hata sonucunda açık rızanın alınmaması veri sorumlusu açısından hukuki sorunları da beraberinde getirecektir. Açık rızanın alınması ya da alınmaması konusunda bir şüphe var ise alınmaması istisna olduğundan açık rızanın alınması tercih edilmelidir.

Hızlı erişim için bölüm açıklamasına tıklayabilirsiniz

Bölgenin Bulunması

Aşağıdaki şekilde her bölge ayrı renklerle ifade edilmiş, her bölgedeki kişisel veri işleminin hangi şartları taşıması gerektiği sıralanmıştır. Kişisel veri işleminin bulunduğu bölge işlemle ilgili unsurların Kanun'daki kurallara göre değerlendirilmesi ile bulunabilir. Eğer değerlendirme sonucunda bulunan bölgede aydınlatma yükümlülüğü ya da açık rızanın bulunması işleyişe engel oluyorsa örneğin açık rıza gerekiyor ancak alınması teknik olarak mümkün değilse işleyişin değiştirilmesi ve açık rızanın aranmasını gerektiren sebebin işleyişten çıkartılması gerekir. Ya da işin farklı şekilde yapılması mümkün değilse ilgili kişinin açık rızasının nasıl alınacağının bulunması gerekecektir.