Kişisel veriler kural olarak ilgili kişinin açık rızası olmadan işlenemez; ancak kanunda sayılan başka işleme şartlarından biri varsa açık rıza aranmaksızın da işlenebilir (KVKK m. 5). Açık rıza belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızadır (m. 3); veri sorumlusunun ayrıca aydınlatma yükümlülüğü vardır ve bu yükümlülük açık rızadan ayrıdır (m. 10).
Bu yazı açık rızanın ne olduğunu, rıza aranmayan halleri, işleme ilkelerini, özel nitelikli verileri, yurt içi ve yurt dışı aktarımı, aydınlatma metninde bulunması gerekenleri ve iş yeri e-postaları ile okul fotoğrafı gibi günlük örnekleri anlatır.
Bu yazıda
- Açık rıza nedir, nasıl alınmalıdır?
- Rıza olmadan veri işlenebilen haller
- Genel ilkeler, özel nitelikli veriler ve aktarım
- Aydınlatma yükümlülüğü
- Aydınlatma ile açık rıza aynı şey değildir
- İşyeri, okul ve internet örnekleri
- Veri sorumlusu ve veri işleyen
- Haklarınız ve yaptırımlar için nereye bakmalısınız?
- Kaynaklar
Açık rıza nedir, nasıl alınmalıdır?
Kısa cevap: Açık rıza, belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızadır.
Yani genel ve belirsiz bir onay yetmez; neye onay verildiğinin anlaşılır biçimde bildirilmiş ve baskı olmadan verilmiş olması gerekir (m. 3). Tek bir onay kutusuyla bütün işleme faaliyetlerine rıza verilmiş olmaz: farklı amaçlar tek bir genel onaya bağlanırsa rızanın belirli olma ve bilgilendirmeye dayanma özelliği zedelenebilir; her işleme amacı ayrı ve anlaşılır biçimde açıklanmalıdır. Rıza istenirken hangi verinin neden ve kimlere aktarılmak üzere işleneceği söylenmemişse bu onay açık rıza tanımına uymayabilir; veri sorumlusunun aydınlatma yükümlülüğünü de yerine getirmesi gerekir (m. 3, 10).
Rıza olmadan veri işlenebilen haller
Kısa cevap: Açık rıza işleme şartlarından yalnızca biridir; kanun, rıza aranmaksızın işlemeye imkân veren başka şartlar da sayar.
Kanunun 5. maddesinin ikinci fıkrası şu şartlardan birinin varlığında açık rıza aranmamasını öngörür:
- Kanunlarda açıkça öngörülmesi: Bir kanun belirli bir veri işleme faaliyetini açıkça düzenliyorsa o kapsamda rıza aranmaz; ancak dayanak gösterilen kanun hükmünün gerçekten bu işlemeyi öngörüp öngörmediğine bakmak gerekir.
- Hayati zorunluluk: Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması. Örneğin bilinci kapalı bir kişinin verileri bu çerçevede rızasız işlenebilir.
- Sözleşme: Bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması ve gerekli olması kaydıyla, sözleşme taraflarına ait kişisel verilerin işlenmesi. Sözleşme yaparken kimlik bilgilerinizin işlenmesi için ayrıca rıza gerekmez; ancak işlenen veri sözleşmeyle bağlantılı olmalı, gereğinden fazlası istenmemelidir.
- Hukuki yükümlülük: Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması. Kanunun gerektirdiği saklama ve bildirimler için rıza almak zorunlu değildir, ancak yükümlülüğün gerektirdiği kapsamla sınırlı kalınmalıdır.
- Alenileştirme: İlgili kişinin kendisi tarafından alenileştirilmiş olması. Bu, sosyal medyada herkese açık paylaştığınız bilginin her amaçla kullanılabileceği anlamına gelmez; amaçla bağlantılı, sınırlı ve ölçülü işleme ilkeleri yine geçerlidir (m. 4).
- Hakkın tesisi: Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması. Dava delili olarak veri kullanırken uyuşmazlıkla bağlantılı ve ölçülü olmak, gereksiz bilgileri dosyaya koymaktan kaçınmak gerekir.
- Meşru menfaat: İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması. İşlemenin zorunlu olması ve sizin haklarınızı zedelememesi gerekir; bu dengeyi veri sorumlusu gözetmek zorundadır.
Bir şartın var olması, işlemenin her yönüyle uygun olduğu anlamına gelmez. Rıza istenmesi ya da istenmemesi tek başına uygunluğu göstermez; amaç, veri türü ve dayanak birlikte incelenir. Açık rıza ya da sayılan şartlardan biri yoksa veya genel ilkelere uyulmamışsa işleme hukuka aykırı hale gelir (m. 4, 5).
Genel ilkeler, özel nitelikli veriler ve aktarım
Kişisel veriler ancak kanunda ve diğer kanunlarda öngörülen usul ve esaslara uygun olarak işlenebilir (m. 4). Her veri işlemede mutlaka rıza alınması gerekmez; uygun hukuki sebep ve genel ilkeler birlikte değerlendirilir. Sağlık verisi sıradan iletişim verisi gibi işlenmez: sağlık, cinsel hayat, ceza mahkûmiyeti, biyometrik ve genetik veriler gibi veriler özel nitelikli kişisel veridir; bunların işlenmesi yasaktır, ancak kanunda sayılan hallerde (örneğin açık rıza, kanunda açıkça öngörülme, hayati zorunluluk, hakkın tesisi, kamu sağlığı ve tıbbi hizmetlerin yürütülmesi, istihdam ve sosyal güvenlik yükümlülükleri) mümkündür ve ayrıca Kurulun belirlediği yeterli önlemler alınmalıdır (m. 6). Kişisel verilerin başka bir şirkete aktarılması için de genel kural açık rızadır; ancak işleme şartlarını düzenleyen maddede sayılan şartlardan biri varsa rıza aranmaksızın aktarım da yapılabilir (m. 8). Yurt dışı bulut sunucusu gibi yurt dışına aktarımlarda ise yeterlilik kararı veya uygun güvencelerden birinin bulunması gibi özel koşullar aranır; güncel mekanizmayı Kişisel Verileri Koruma Kurumu'nun duyurularından kontrol edin (m. 9).
Aydınlatma yükümlülüğü
Kısa cevap: Veri sorumlusu, kişisel veriler elde edilirken ilgili kişileri kimlik, işleme amacı, aktarım, toplama yöntemi ve hukuki sebep ile sahip oldukları haklar konusunda bilgilendirmek zorundadır.
- Ne zaman: Kişisel verilerin elde edilmesi sırasında. Üyelik formu doldurulurken veya başvuru alınırken bilgilendirme de sunulmalıdır; sonradan yapılan bilgilendirme kanunun öngördüğü anı kaçırmış olabilir.
- Metinde neler olmalı: Veri sorumlusunun ve varsa temsilcisinin kimliği, verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, verilerin toplanma yöntemi ve hukuki sebebi ile ilgili kişinin diğer hakları. Veri sorumlusunun kimliği bildirilmemişse aydınlatma eksik yerine getirilmiş olabilir; böylece hangi kuruluşa başvuracağınızı bilirsiniz.
- Kim yapar: Veri sorumlusu veya yetkilendirdiği kişi. Çalışan veya hizmet sağlayıcı yetki verilmişse bilgilendirmeyi yapabilir; sorumluluk yine veri sorumlusundadır.
- Yerine getirilmezse: Aydınlatma yükümlülüğünü yerine getirmeyenler hakkında idari para cezası verilir; ceza veri sorumlusuna uygulanır ve Kurul tarafından karara bağlanır. Tutar her yıl değiştiği için güncel miktarı resmî kaynaktan kontrol edin (m. 18).
Aydınlatma ile açık rıza aynı şey değildir
Aydınlatma metnini okumuş olmanız her işleme izin verdiğiniz anlamına gelmez; bilgilendirme yükümlülüğü ile rıza farklıdır (m. 3, 5, 10). Çerez bildirimi göstermek de bütün izleme faaliyetlerini kendiliğinden meşru yapmaz; verinin niteliği, amaç ve uygun hukuki sebep değerlendirilir, bildirim göstermek tek başına yeterli değildir. Şirketin kendi verisi, yani tüzel kişiye ait bilgi KVKK kapsamında kişisel veri sayılmaz, çünkü kanun gerçek kişilere ilişkin verileri korur; ancak şirket belgesindeki çalışan veya müşteri bilgileri ayrıca kapsama girebilir.
İşyeri, okul ve internet örnekleri
- Çalışan verileri: İş sözleşmesinin kurulması veya ifasıyla doğrudan ilgili olması kaydıyla taraflara ait verilerin işlenmesi ve işverenin hukuki yükümlülüğünü yerine getirmesi için zorunlu olması hallerinde açık rıza aranmaz. Sözleşmeyle ilgisiz veriler için ayrı dayanak aranmalıdır.
- İşten ayrılan çalışanın e-postaları: Kurumsal hesabın incelenmesinde meşru amaç, ön bilgilendirme ve ölçülülük önemlidir. İşverenin cihazı sağlaması sınırsız erişim anlamına gelmez; inceleme kapsamını ve ilgili politikaları olayla birlikte değerlendirmek gerekir (m. 4, 5, 10). İşten ayrılan çalışanın öğrendiği müşteri verilerini başkasına açıklaması ve işleme amacı dışında kullanması ise yasaktır; bu yasak görev sona erdikten sonra da devam eder (m. 12).
- Çocuğunuzun fotoğrafı okul hesabında paylaşıldıysa: Paylaşımın amacı, dayanağı ve çocuğun menfaati değerlendirilir. Okuldan yayının kaldırılmasını ve işleme hakkında bilgi verilmesini yazılı isteyebilirsiniz; kayıt sırasında verilen iznin kapsamını ve güncel durumu birlikte inceleyin (m. 4-6, 11).
- İnternette görünen adınız: Adınızın internette bulunması sınırsız kullanım izni değildir; alenileştirme amacı ve işleme koşulları önemlidir (m. 4-5).
Veri sorumlusu ve veri işleyen
Verinin işleme amaç ve araçlarını belirleyen veri sorumlusu ile onun adına veri işleyen aynı kişi olmak zorunda değildir; sözleşmedeki gerçek rolleri belirlemek gerekir (m. 3). Bulut hizmeti kullanıyorsanız yedekleme sorumluluğu, sözleşme, hizmet kapsamı ve veri güvenliği yükümlülükleri birlikte değerlendirilerek belirlenir; yedek süresi ve geri dönüş koşullarını yazılı hale getirin (m. 12).
Haklarınız ve yaptırımlar için nereye bakmalısınız?
Verilerinizin silinmesini, düzeltilmesini veya hangi amaçla işlendiğini sormak, başvuruya cevap alamamak ve Kurul'a şikâyet gibi konular için KVKK'da başvuru, şikâyet ve yaptırımlar yazımıza bakın. Anayasa Mahkemesi'nin kişisel verilerin korunmasına ilişkin ihlal kararları için ilgili makalemizi inceleyebilirsiniz.
