6698 sayılı Kişisel Verilerin Korunması Kanunu'nun yürülüğe girmesi ile kişisel veriyi işleme fiiline uygun düşen hukuki durumun tespiti önem kazanmıştır. Hukuka aykırı olarak kişisel verinin işlenmesi durumunda idari para cezasının yanında hapis cezası da verilebilmektedir. Bu yazı ve şekiller ile hukuki durum doğru tespit edilmesinin kolaylaştırılması amaçlanmıştır. Bir kişisel veri işlemenin hangi bölgeye düştüğü bulunduğunda uyulması gereken hukuk kuralları da bulunur.
Bölge ayrımları Kanun'da yazan kurallar çerçevesinde belirlenmiştir. Kanun maddeleri farklı unsurlar içerdiğinden doğru bölgenin tespitinde etkili olan unsurlar şunlardır:
- Veri sorumlusu (kanunla özel yetkilendirilmiş olması, istisnalardan sayılması, ilgili kişi ile hukuki ilişkisi v.b.)
- İlgili kişi (veri sorumlusu ile hukuki ilişkisi, müşteri, çalışan, taraf v.b.)
- İşlenen kişisel verinin türü (kimlik bilgileri, sağlık bilgileri, biyometrik veriler, telefon numarası v.s.)
- İşlenme amacı (pazarlama, kanuni zorunluluğa uyma v.b.)
- İşlenme yöntemi ( dijital ortam, kağıt, internet, aktarma, silme, toplama v.b.)
- Hukuki sebebi ( işlenmesine zemin hazırlayan kanun, sözleşme, meşru menfaat v.b.)
- Bilinirlik (aleni olup olmaması, paylaşıldığı ortam, paylaşıldığı kişiler v.b.)
Bölgenin Bulunmasında İzlenecek Yöntem
Kişisel veri işleminin ait olduğu bölgenin bulunabilmesi için 4 aşamalı bir prosedür işletildikten sonra uygulanacak kanun hükümlerine ulaşılır.
- 1.Kanun'un uygulanıp uygulanmayacağının tespiti: Kişisel Verilerin Korunması Kanunu kural olarak tüm kişisel verilerin işlenmesinde uyulması gereken hukuk normudur. Ancak kanun koyucu bazı durumların Kanun'un uygulama olmadığına karar vermiştir. Bu istisnalardan olup olmadığının tespitinin yapılması gerekir.
- 2.Özel nitelikli kişisel veri tespiti: Kanun bazı tür kişisel verileri özel nitelikli saymıştır. Sınırlı sayıda olan bu tür verilerden olmasına ya da olmamasına göre aydınlatma yükümlülüğü ve açık rıza uygulamasında farklılıklar bulunmaktadır.
- 3.Aydınlatma yükümlülüğünün tespiti: Genel kural olarak veri sorumlusunun aydınlatma yükümlülüğü vardır. Kanun'da sayılan aydınlatma yükümlülüğünden muaf tutulan durumlar incelenerek aydınlatma konusunda yükümlü olup olmadığı tespit edilmelidir. Aydınlatma yükümlülüğü yok ise açık rıza alınmasına da gerek yoktur.
- 4.Açık rıza gerekliliğinin tespiti: Yine genel olarak ilgili kişinin açık rızanın alınması kural olmasına rağmen Kanun bazı durumlarda ilgili kişinin açık rızasının alınmasına gerek görmemiştir. Özel nitelikli kişisel veriler için de bu muafiyet daha az sayıda olsa da tanınmıştır.
Kanun'un Uygulanmadığı İstisnalar
Öncelikle işlenen verinin kişisel veri olması gerekir. Kişisel veri gerçek kişilerle ilgili verilerdir. Tüzel kişiliklere ya da tüzel kişiliği olmayan oluşumlara ait veriler kişisel veri olarak kabul edilmezler ve Kanun uygulanamaz.
Kanunun Uygulanmadığı Durumlar
Kanunda Kişisel Verilerin Korunması Kanunu'nun uygulanmayacağı durumlar
Daha detaylı bilgiye yukarıdaki ilgili yazıdan ulaşabilirsiniz
Ayrıca Kanun dijital (sayısal) olmayan ve bir veri kayıt sistemine dahil olmayan kişisel verilere uygulanmaz. Örneğin dosyalama işlemi kağıtta yapılıyorsa bu Kanun uygulanır.
Kanun'un 28. maddesinin 1. fıkrasında bu durumlar sayılmıştır.
- 1.Kişisel verilerin, üçüncü kişilere verilmemek ve veri güvenliğine ilişkin yükümlülüklere uyulmak kaydıyla gerçek kişiler tarafından tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetler kapsamında işlenmesi.
- 2.Kişisel verilerin resmi istatistik ile anonim hâle getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla işlenmesi
- 3.Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini, ekonomik güvenliği, özel hayatın gizliliğini veya kişilik haklarını ihlal etmemek ya da suç teşkil etmemek kaydıyla, sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamında işlenmesi
- 4.Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini veya ekonomik güvenliği sağlamaya yönelik olarak kanunla görev ve yetki verilmiş kamu kurum ve kuruluşları tarafından yürütülen önleyici, koruyucu ve istihbari faaliyetler kapsamında işlenmesi
- 5.Kişisel verilerin soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafından işlenmesi
Bu durumlar sayılıdır ve örnekleme yoluyla çoğaltılamaz. Ayrıca istisna olduğundan dar yorumlanması gerekir.
Özel Nitelikli Kişisel Veriler
Kanun bazı kişisel veri türlerini işlenmesi sonucunda olabilecek sonuçların ağırlığı sebebiyle özel nitelikli kişisel veri olarak Kanun'un 6. maddesinin ikinci fıkrasında saymıştır. Buna göre
Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir
Aydınlatma Yükümlülüğü
Kanun genel olarak veri sorumlusunu ilgili kişiyi aydınlatmakla yükümlü tutmuştur. Kanun aydınlatma yükümlülüğünden muaf tutulan istisnai durumları Kanun'un 28. maddesinin 2. fıkrasında saymıştır.
Veri sorumlusnun aydınlatma yükümlülüğünden muaf tutulduğu durumlar:
- 1.Kişisel veri işlemenin suç işlenmesinin önlenmesi veya suç soruşturması için gerekli olması
- 2.İlgili kişinin kendisi tarafından alenileştirilmiş kişisel verilerin işlenmesi
- 3.Kişisel veri işlemenin kanunun verdiği yetkiye dayanılarak görevli ve yetkili kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarınca, denetleme veya düzenleme görevlerinin yürütülmesi ile disiplin soruşturma veya kovuşturması için gerekli olması
- 4.Kişisel veri işlemenin bütçe, vergi ve mali konulara ilişkin olarak Devletin ekonomik ve mali çıkarlarının korunması için gerekli olması
Sayılı sayıda olduğundan örnekleme yoluyla genişletilemez. Ayrıca Kanun'da sayılan durumlarda dahi Kanun'un amacına ve temel ilkelerine uygun ve orantılı olmak zorundadır. İstisna olduğundan dar yorumlanmalıdır.
Aydınlatma yükümlülüğü olmayan konularda da veri sorumlusu isterse aydınlatma yükümlüsü gibi davranabilir. Böyle bir durumda da ilgili kişiye verdiği bilgilerin eksiksiz, doğru ve güncel olması gerekir. İlgili kişinin iradesini yanıltabilecek bilgilerden ve ifadelerden kaçınılması gerekir.
Açık rıza sadece aydınlatma yükümlülüğünün bulunduğu durumlarda gerekli olabileceğinden bu bölgedeki işlemler için aydınlatma yükümlülüğü olmadığından açık rıza gerekmez. Veri sorumlusu aydınlatma yükümlülüğü bulunmamasına rağmen aydınlatma yükümlüsüymüş gibi davransa dahi açık rıza gerekmez. Ancak hukuki boşluk olabilecek durumlar ihtimaline karşı açık rıza alınması veri sorumlusunun sorumluluğunu azaltacaktır.
Açık Rıza
Genel ilke olarak kişisel verilerin işlenmesi ilgili kişinin belirli bir konudaki, bilgilendirmeye dayanan ve özgür iradeyle açıklanan açık rızasına bağlıdır. Açık rızanın aranmayacağı durumlar da Kanun'da istisna olarak sayılmıştır.
Sağlık ve cinsel hayat dışındaki özel nitelikli kişisel veriler ancak kanunlarda öngörülen hâllerde ilgili kişinin açık rızası aranmaksızın işlenebilir. Sağlık ve cinsel hayata ilişkin özel nitelikli kişisel veriler ise sadece kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgili kişinin açık rızası aranmaksızın işlenebilir (Md. 6/3).
Özel nitelikli olmayan kişisel verilerin işlenmesinde açık rızanın aranmadığı durumlar daha fazladır ve Kanun'un 5. maddesinin 2. fıkrasında belirtilmektedir. Buna göre:
- 1. Kanunlarda açıkça öngörülmesi,
- 2. Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması
- 3. Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması
- 4. Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması
- 5. İlgili kişinin kendisi tarafından alenileştirilmiş olması
- 6. Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması
- 7. İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması
durumlarında ilgili kişinin açık rızası aranmaz.
Kanun açık rızanın aranmayacağı durumları istisnai olarak sıralamış olmakla birlikte mümkünse açık rızanın alınması veri sorumlusu açısından tercih edilmesi gereken bir yoldur. Kanun'da sayılan şartların oluştuğu kanaati ile düşülecek bir hata sonucunda açık rızanın alınmaması veri sorumlusu açısından hukuki sorunları da beraberinde getirecektir. Açık rızanın alınması ya da alınmaması konusunda bir şüphe var ise alınmaması istisna olduğundan açık rızanın alınması tercih edilmelidir.
- 1. Bölge - Kişisel Verilerin Korunması Kanunu'nun uygulanmadığı alanlar
- 2. Bölge - Kanun'un uygulandığı, özel nitelikli kişisel veri olmayan, aydınlatma yükümlülüğü bulunmayan ve açık rıza gerektirmeyen işlemler
- 3. Bölge - Kanun'un uygulandığı, özel nitelikli kişisel veri olan, aydınlatma yükümlülüğü bulunmayan ve açık rıza gerektirmeyen işlemler
- 4. Bölge - Kanun'un uygulandığı, özel nitelikli kişisel veri olmayan, aydınlatma yükümlülüğü bulunan ve açık rıza gerektirmeyen işlemler
- 5. Bölge - Kanun'un uygulandığı, özel nitelikli kişisel veri olan, aydınlatma yükümlülüğü bulunan ve açık rıza gerektirmeyen işlemler
- 6. Bölge - Kanun'un uygulandığı, özel nitelikli kişisel veri olmayan, aydınlatma yükümlülüğü bulunan ve açık rıza gerektiren işlemler
- 7. Bölge - Kanun'un uygulandığı, özel nitelikli kişisel veri olan, aydınlatma yükümlülüğü bulunan ve açık rıza gerektiren işlemler
Hızlı erişim için bölüm açıklamasına tıklayabilirsiniz
Bölgenin Bulunması
Aşağıdaki şekilde her bölge ayrı renklerle ifade edilmiş, her bölgedeki kişisel veri işleminin hangi şartları taşıması gerektiği sıralanmıştır. Kişisel veri işleminin bulunduğu bölge işlemle ilgili unsurların Kanun'daki kurallara göre değerlendirilmesi ile bulunabilir. Eğer değerlendirme sonucunda bulunan bölgede aydınlatma yükümlülüğü ya da açık rızanın bulunması işleyişe engel oluyorsa örneğin açık rıza gerekiyor ancak alınması teknik olarak mümkün değilse işleyişin değiştirilmesi ve açık rızanın aranmasını gerektiren sebebin işleyişten çıkartılması gerekir. Ya da işin farklı şekilde yapılması mümkün değilse ilgili kişinin açık rızasının nasıl alınacağının bulunması gerekecektir.
1. Bölge
Kişisel Verilerin Korunması Kanunu'nun uygulanmadığı alanlar
Bu bölgedeki kişisel veri işlemleri kanun hükümlerine tabi değildir. Kişisel veri işlemenin bu bölgede olabilmesi için Kanun'da yazan istisnai durumlardan birine girmesi gerekir.
1.Kişisel verilerin kişiler tarafından tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetler kapsamında işlenmesi
2.Resmi istatistik ile anonim hâle getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla işlenmesi
3.Millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini, ekonomik güvenliği, özel hayatın gizliliğini veya kişilik haklarını ihlal etmemek ya da suç teşkil etmemek kaydıyla, sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamında işlenmesi
4.Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini veya ekonomik güvenliği sağlamaya yönelik olarak kanunla görev ve yetki verilmiş kamu kurum ve kuruluşları tarafından yürütülen önleyici, koruyucu ve istihbari faaliyetler kapsamında işlenmesi
5.Soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafından işlenmesi
gerekir.
Bu durumlar sayılıdır ve örnekleme yoluyla çoğaltılamaz. Ayrıca istisna olduğundan dar yorumlanması gerekir.
2. Bölge
Kanun'un uygulandığı, özel nitelikli kişisel veri olmayan, aydınlatma yükümlülüğü bulunmayan ve açık rıza gerektirmeyen işlemler
Bu bölgedeki kişisel veri işlemleri Kanun hükümlerine tabidir. Bir kişisel veri işleminin bu bölgede olabilmesi için özel nitelikli kişisel veri olmaması, aydınlatma yükümlülüğü yüklememesi ve açık rıza gerektirmemesi gerekir.
Bu bölgedeki işlenen kişisel veriler kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri olamaz.
Bu bölgedeki kişisel veri işlemlerinin aydınlatma yükümlülüğüne tabi olmaması gerekir.
Açık rıza sadece aydınlatma yükümlülüğünün bulunduğu durumlarda gerekli olabileceğinden bu bölgedeki işlemler için aydınlatma yükümlülüğü olmadığından açık rıza gerekmez.
3. Bölge
Kanun'un uygulandığı, özel nitelikli kişisel veri olan, aydınlatma yükümlülüğü bulunmayan ve açık rıza gerektirmeyen işlemler
Bu bölgedeki kişisel veri işlemleri Kanun hükümlerine tabidir. Bir kişisel veri işleminin bu bölgede olabilmesi için özel nitelikli kişisel veri olması, aydınlatma yükümlülüğü yüklememesi ve açık rıza gerektirmemesi gerekir.
Bu bölgede işlenen kişisel veriler kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verilerinden olmalıdır.
Bu bölgedeki özel nitelikli kişisel veri işlemlerinin aydınlatma yükümlülüğüne tabi de olmaması gerekir.
Açık rıza sadece aydınlatma yükümlülüğünün bulunduğu durumlarda gerekli olabileceğinden bu bölgede açık rıza gerekmemektedir.
4. Bölge
Kanun'un uygulandığı, özel nitelikli kişisel veri olmayan, aydınlatma yükümlülüğü bulunan ancak açık rıza gerektirmeyen işlemler
Bu bölgedeki kişisel veri işlemleri Kanun hükümlerine tabidir. Bir kişisel veri işleminin bu bölgede olabilmesi için özel nitelikli kişisel veri olmaması, aydınlatma yükümlülüğü yüklemesi ve açık rıza gerektirmemesi gerekir.
Bu bölgedeki işlenen kişisel veriler kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri olamaz.
Bu bölgedeki kişisel veri işlemlerinin aydınlatma yükümlülüğüne tabidir. Aydınlatma yükümlülüğü genel kuraldır. Aydınlatma yükümlülüğünün bulunmaması için yukarıdaki şartlardan en az birini taşımalıdır.
Aydınlatma yükümlülüğü olmasına rağmen açık rızanın gerekmediği durumlar da bu bölgedeki işlemlerdir. Açık rıza gerektirmeyen istisnalar yukarıda sayılmıştır. Bu istisnalar örnekleme yoluyla genişletilemez ve dar yorumlanmalıdır.
5. Bölge
Kanun'un uygulandığı, özel nitelikli kişisel veri olan, aydınlatma yükümlülüğü bulunan ancak açık rıza gerektirmeyen işlemler
Bu bölgedeki kişisel veri işlemleri Kanun hükümlerine tabidir. Bir kişisel veri işleminin bu bölgede olabilmesi için özel nitelikli kişisel veri olması, aydınlatma yükümlülüğü yüklemesi ve açık rıza gerektirmemesi gerekir.
Bu bölgedeki kişisel veriler Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileridir
Bu bölgedeki kişisel veri işlemlerinin aydınlatma yükümlülüğüne tabi olması gerekir. Kanun'daki aydınlatma yükümlülüğü istisnaları yukarıda sayıldı.
Aydınlatma yükümlülüğü olmasına rağmen açık rızanın gerekmediği durumlar da bu bölgedeki işlemlerdir. Açık rıza gerektirmeyen durumlar Kanun'un 6. maddesinin 3. fıkrasında sınırlı sayıda sayılmıştır. Bu istisnalar örnekleme yoluyla genişletilemez ve dar yorumlanmalıdır.
Aşağıdaki durumlarda özel nitelikli kişisel verilerin işlenmesi için ilgili kişinin açık rızası aranmaz :
Sağlık ve cinsel hayat dışındaki kişisel veriler: kanunlarda öngörülen hâllerde işlenebilir
Sağlık ve cinsel hayata ilişkin özel nitelikli kişisel veriler: kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından işlenebilir
6. Bölge
Kanun'un uygulandığı, özel nitelikli kişisel veri olmayan, aydınlatma yükümlülüğü bulunan ve açık rıza gerektiren işlemler
Bu bölgedeki kişisel veri işlemleri Kanun hükümlerine tabidir. Bir kişisel veri işleminin bu bölgede olabilmesi için özel nitelikli kişisel veri olmaması, aydınlatma yükümlülüğü yüklemesi ve açık rıza gerektirmemesi gerekir.
Bu bölgedeki kişisel veriler kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri olamaz.
Bu bölgedeki kişisel veri işlemlerinin aydınlatma yükümlülüğüne tabidir. Aydınlatma yükümlülüğü genel kuraldır. Aydınlatma yükümlülüğünün bulunmaması için yukarıdaki şartlardan en az birini taşımalıdır.
Bu bölgedeki işlemler için açık rıza gerekir. Yukarıda sayılan istisnaların dışındaki işlemlerde ilgili kişinin açık rızası alınmalıdır.
7. Bölge
Kanun'un uygulandığı, özel nitelikli kişisel veri olan, aydınlatma yükümlülüğü bulunan ve açık rıza gerektiren işlemler
Bu bölgedeki kişisel veri işlemleri Kanun hükümlerine tabidir. Bir kişisel veri işleminin bu bölgede olabilmesi için özel nitelikli kişisel veri olması, aydınlatma yükümlülüğü yüklemesi ve açık rıza gerektirmemesi gerekir.
Bu bölgedeki kişisel veriler kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileridir
Bu bölgedeki kişisel veri işlemlerinin aydınlatma yükümlülüğüne tabi olması gerekir. Kanun'daki aydınlatma yükümlülüğü istisnaları yukarıda sayıldı.
Aydınlatma yükümlülüğü olmasına rağmen açık rızanın gerekmediği durumlar da bu bölgedeki işlemlerdir. Açık rıza gerektirmeyen durumlar Kanun'un 6. maddesinin 3. fıkrasında sınırlı sayıda sayılmıştır. Bu istisnalar örnekleme yoluyla genişletilemez ve dar yorumlanmalıdır.
Bu bölgedeki işlemler için açık rıza gerekir. Yukarıda sayılan istisnaların dışındaki işlemlerde ilgili kişinin açık rızası alınmalıdır.