KVKK Kapsamında Kişisel Verilerin Hukuka Uygun İşlenmesi: Hukuki Sebepler
Şirketiniz Türkiye ile bağlantılı kişisel verileri işliyorsa, her bir işleme faaliyetinin Türk Kişisel Verilerin Korunması Kanunu'nda (Kişisel Verilerin Korunması Kanunu No. 6698, kısaca "KVKKKVKK6698 sayılı Kişisel Verilerin Korunması KanunuTürkiye'nin veri koruma kanunu — kişisel verinin toplanması, saklanması ve aktarılmasına dair kurallar ile bunları uygulayan kurum.Sözlük →") öngörülen bir hukuki sebebe dayanması gerekir. Sıradan kişisel veriler için bu, ya ilgili kişinin açık rızası ya da 5/2. maddede sayılan alternatif hukuki sebeplerden biri anlamına gelir — örneğin bir kanuni yükümlülük, bir sözleşmenin ifası veya meşru menfaatiniz gibi. Özel nitelikli kişisel veriler (özel nitelikli kişisel veri) ise 6. maddedeki daha katı bir rejime tabidir; bu rejim 2024 yılında 7499 sayılı Kanun ile önemli ölçüde genişletilmiştir. Bu rehber, veri akışlarınızı savunulabilir bir hukuki zemine oturtabilmeniz için her bir sebebi sade bir dille açıklamaktadır.
KVKK kapsamında "hukuka uygun işleme" ne demektir
Türk Kişisel Verilerin Korunması Kanunu (Kişisel Verilerin Korunması Kanunu No. 6698) uyarınca, bunun için bir hukuki sebebiniz olmadıkça kişisel verileri işleyemezsiniz. "İşleme" çok geniş tanımlanmıştır — verilerin toplanması, kaydedilmesi, saklanması, düzenlenmesi, aktarılması, açıklanması ve hatta silinmesi dahi buna girer. Dolayısıyla mesele kişisel veri işleyip işlemediğiniz değildir; kimliği belirli veya belirlenebilir bir kişiye ait herhangi bir bilgiyi elinizde tutuyorsanız, işliyorsunuzdur. Asıl mesele, her bir faaliyeti hangi hukuki sebebin desteklediğidir.
Burada iki rol önemlidir. Veri sorumlusu (veri sorumlusu), verilerin neden ve nasıl işleneceğine karar veren taraftır — genellikle sizin şirketinizdir. Veri işleyen (veri işleyen) ise verileri veri sorumlusu adına ve onun talimatları doğrultusunda işler; örneğin bir bulut barındırma sağlayıcısı ya da bordro hizmeti veren bir firma gibi. Hukuki sebebi belirleme yükümlülüğü veri sorumlusuna aittir.
Kanunun yapısı. 4. madde, her işleme faaliyetinin uyması gereken genel ilkeleri düzenler. 5. madde sıradan kişisel verilerin işlenmesindeki hukuki sebepleri düzenler. 6. madde ise özel nitelikli kişisel veriler için daha katı bir rejim öngörür. Bunları birlikte okumanız gerekir: 5. veya 6. madde uyarınca geçerli bir sebep zorunludur, ancak ayrıca 4. maddedeki ilkelere de uymanız şarttır.
Her sebebe uygulanan 4. madde ilkeleri
Hukuki sebeplere geçmeden önce, 4. madde hangi sebebe dayanırsanız dayanın tüm işleme faaliyetlerini bağlayan ilkeler getirir. Bir hukuki sebep seçmiş olmanız sizi bu ilkelerden muaf tutmaz. Sade bir ifadeyle, işleme faaliyetiniz şu nitelikleri taşımalıdır:
- Hukuka ve dürüstlük kurallarına uygun olmalı (hukuka ve dürüstlük kurallarına uygun). Verileri dürüstçe, kanun çerçevesinde ve ilgili kişinin makul olarak bekleyeceği şekilde işlersiniz.
- Doğru ve gerektiğinde güncel olmalı. Hatalı verileri düzeltmek için makul adımları atarsınız.
- Belirli, açık ve meşru amaçlarla işlenmeli (amaçla bağlılık). Amacı toplamadan önce belirler ve verileri sonradan sessizce başka bir amaca tahsis etmezsiniz.
- Amaçla bağlantılı, sınırlı ve ölçülü olmalı (veri minimizasyonu). Yalnızca gerçekten ihtiyaç duyduğunuzu toplarsınız — "ne olur ne olmaz diye her şeyi" değil.
- Yalnızca gerekli olan süre kadar saklanmalı (saklama sınırlaması). Hukuki veya ticari gerekçe sona erdiğinde verileri silersiniz, yok edersiniz ya da anonim hale getirirsiniz.
Faydalı bir ölçüt: Belirli bir veri alanını neden tuttuğunuzu ve onu ne kadar süreyle saklayacağınızı tek bir cümleyle açıklayamıyorsanız, hangi hukuki sebebi yazmış olursanız olun, o alan büyük ihtimalle 4. maddeye aykırıdır.
Açık rıza (açık rıza) — ve neden çoğu zaman en zayıf sebeptir
Akla ilk gelen sebep açık rızadır (açık rıza). KVKK uyarınca geçerli bir açık rıza, (1) belirli bir konuya ilişkin olmalı, (2) önceden verilen yeterli bilgilendirmeye dayanmalı ve (3) özgür iradeyle açıklanmalıdır. Önceden işaretlenmiş bir kutu, "her şeyi kabul ediyorum" şeklinde toptan bir hüküm ya da ilgisiz koşulların arasına gizlenmiş bir rıza genellikle geçerli sayılmaz.
Rızanın iki özelliği, onu rutin ticari işleme için zayıf bir sebep haline getirir:
- Geri alınabilir. İlgili kişi rızasını geri çekebilir ve geri çektiği anda o faaliyete ilişkin hukuki sebebiniz ortadan kalkar. Yalnızca rızaya dayanıyorduysanız, işlemeyi durdurmanız gerekir.
- Hizmetin koşulu haline getirilemez — işleme o hizmet için gerçekten gerekli değilse. İlgili kişinin vermekten başka gerçek bir seçeneğinin olmadığı bir rıza "özgür iradeyle" verilmiş sayılmaz ve bu nedenle geçerli değildir.
Bu sebeple veri sorumluları rızayı genellikle başka bir dayanağı olmayan işlemeler için saklar — örneğin isteğe bağlı pazarlama gibi — ve ilişkiyi yürütmek için yapmak zorunda oldukları işleme bakımından öncelikle 5/2. maddedeki alternatif sebeplere yönelirler.
"Garanti olsun" diye rızayı başka bir geçerli sebebin üstüne yığmayın. İlgili kişiye verilerinin rıza temelinde işlendiğini söyler ve kişi rızasını geri çekerse, sözleşmeye veya kanuni yükümlülüğe dayalı bir sebep mevcut olsa dahi işlemeyi durdurmak zorunda kalabilirsiniz. Gerçekten uyan sebebi seçin ve yalnızca ona dayanın.
5/2. maddedeki alternatif hukuki sebepler
5/2. madde, içinde sayılan şartlardan biri uygulandığında sıradan kişisel verileri rıza olmaksızın işlemenize imkan tanır. Bunlar günlük uyumun asıl yük taşıyıcılarıdır. Sade bir ifadeyle, kişisel verileri şu hallerde işleyebilirsiniz:
- Kanunlarda açıkça öngörülmesi. Bir kanun, işlemeyi doğrudan yetkilendirir veya zorunlu kılar.
- Rıza veremeyecek durumda bulunan (örneğin fiili imkânsızlık nedeniyle) ya da rızasına hukuki geçerlilik tanınmayan bir kişinin hayatının veya beden bütünlüğünün korunması için zorunlu olması.
- Bir sözleşmenin ifası için gerekli olması — kişiyle kurulan veya ifa edilen bir sözleşmeyle doğrudan ilgili olması. Bir siparişi teslim etmek için müşterinin adresini işlemek bunun klasik bir örneğidir.
- Veri sorumlusunun bir hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması. Vergi, istihdam ve defter tutma yükümlülükleri çoğunlukla buraya girer.
- Verinin ilgili kişinin kendisi tarafından alenileştirilmiş olması. Onu, o açıklamanın amacıyla bağdaşır biçimde işleyebilirsiniz.
- Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması. Örneğin, ileride doğabilecek bir uyuşmazlıkta savunma yapmak için kayıtların saklanması.
- Veri sorumlusunun meşru menfaatleri için zorunlu olması (meşru menfaat) — ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla.
Son sebep — meşru menfaat — esnektir, ancak gerçek bir dengeleme çalışması gerektirir. Ticari menfaatinizi, ilgili kişinin haklarına ve beklentilerine karşı tartmanız ve menfaatinizin bunların önüne geçmediğini neden düşündüğünüzü belgelemeniz gerekir. Bu, her şeyi kapsayan bir torba hüküm değildir; gerekçelendirilmiş ve kayda geçirilmiş bir değerlendirmedir.
Her işleme faaliyetini, aynı anda birkaç sebebe değil, tek bir belirli 5/2 sebebine eşleyin. "Faturayı göndermek" sözleşmenin gerekliliği ya da kanuni yükümlülüktür; "dolandırıcılığı önleme kaydı tutmak" ise daha çok meşru menfaattir. Kurum sorduğunda göstereceğiniz şey, işte bu net eşleştirmedir.
7499 sayılı Kanun (2024) sonrası özel nitelikli veriler (6. madde)
Özel nitelikli kişisel veriler (özel nitelikli kişisel veri), kötüye kullanımları daha büyük zarara yol açtığı için daha katı muameleye tabidir. KVKK uyarınca bunlar; sağlık ve cinsel hayata ilişkin veriler, ırk veya etnik köken, siyasi düşünce, felsefi inanç, din veya mezhep, kılık ve kıyafet, dernek/vakıf/sendika üyeliği, ceza mahkûmiyeti ve güvenlik tedbirleri ile biyometrik ve genetik verileri kapsar.
Bu verilere ilişkin rejim, 6. maddeyi değiştiren 2024 tarihli 7499 sayılı Kanun ile esaslı biçimde değişmiştir. Değişiklikten önce, özel nitelikli verileri açık rıza olmaksızın işlemek yalnızca dar ve kategoriye özgü durumlarda mümkündü. Değişiklik, alternatif hukuki sebepleri genişletmiştir; böylece özel nitelikli veriler artık daha geniş ve tanımlanmış bir dizi durumda açık rıza olmaksızın işlenebilmektedir — örneğin bir kanunun bunu açıkça öngörmesi halinde, rızanın alınamadığı hallerde hayatın veya beden bütünlüğünün korunması için, ilgili kişinin alenileştirdiği verilere ilişkin olarak, hakların tesisi veya korunması için ve maddede sayılan belirli istihdam, kamu sağlığı ve benzeri amaçlar için — her biri kendi şartlarına ve bazı hallerde Kişisel Verileri Koruma Kurulu'nun belirleyebileceği güvencelere tabi olmak kaydıyla.
2024 genişlemesinden sonra bile 6. madde, 5. maddeden daha katı kalmaya devam etmektedir. Mevcut sebepler daha dar, bazıları ek güvencelerle birlikte gelmekte ve Kurul, özel nitelikli verilerin işlenmesi için ilave yeterli tedbirler talep edebilmektedir. Sağlık, biyometri veya inançla ilgili her türlü veriyi yüksek riskli sayın ve işlemeden önce dayandığınız belirli sebebi teyit edin.
Değiştirilen metin, yürürlük tarihi ve izin verilen sebeplerin tam listesi ayrıntılı olduğundan ve yakın zamanda yeniden düzenlendiğinden, genel bir özete güvenmek yerine kendi somut kullanım durumunuz için 6. maddenin güncel lafzını yürürlükteki konsolide kanun metniyle karşılaştırarak teyit etmelisiniz.
Türkiye ile bağlantılı veri işleyen yabancı bir şirket için pratik adımlar
Şirketiniz yurt dışında kurulmuş olsa bile Türkiye'deki kişiler veya operasyonlarla bağlantılı kişisel verileri işliyorsa, KVKK yine de size uygulanabilir ve bir hukuki sebep belirleme yükümlülüğü aynıdır. İşe yarar bir yaklaşım:
- İşleme faaliyetlerinizin envanterini çıkarın. Her bir faaliyeti — işe alım, bordro, pazarlama, destek, analitik — ve dokunduğu verileri listeleyin.
- Her faaliyete bir hukuki sebep atayın. Operasyonel işlemelerin çoğu için rızadan önce 5/2. maddeye (sözleşmenin gerekliliği, kanuni yükümlülük, meşru menfaat) bakın.
- Özel nitelikli verileri ayrıca işaretleyin. Sağlık, biyometri veya inançla ilgili her alan bir 6. madde sebebine ve çoğu zaman ek güvencelere ihtiyaç duyar.
- Baştan sona 4. maddeye uyun. Topladığınızı en aza indirin, saklama sürelerini belirleyin ve amaçlarınızı yazıya dökün.
- Aktarımları ve kayıt yükümlülüklerini kontrol edin. Yurt dışına aktarım kuralları ile veri sorumluları siciline (VERBİS) kayıt yükümlülükleri kendi şart ve eşiklerini taşır — bunlar teknik niteliktedir ve yeniden düzenlenmiştir, bu nedenle size güncel olarak neyin uygulandığını teyit edin.
Hukuka uygunluğu ispat yükü, veri sorumlusu olarak size aittir. "Bir yerlerde rıza almıştık" demek nadiren yeterlidir. Kısa bir yazılı kayıt — faaliyet, hukuki sebep, amaç, saklama süresi — savunulabilir bir konum ile açıkta kalan bir konum arasındaki pratik farkı yaratır.
Sıkça sorulan sorular
KVKK kapsamında kişisel verileri işlemek için her zaman rızaya mı ihtiyacımız var?
Hayır. Açık rıza (açık rıza) hukuki sebeplerden yalnızca biridir. Sıradan kişisel veriler için KVKK No. 6698'in 5/2. maddesi alternatif sebepler öngörür — kanuni yükümlülük, bir sözleşmenin ifası ve veri sorumlusunun meşru menfaati gibi — ve bu sebepler, şartları sağlandığında rıza olmaksızın işleme yapmanıza imkan tanır. Pek çok rutin ticari işleme için bu alternatifler, geri alınabilen rızaya kıyasla daha sağlam bir zemindir.
Türkiye'de özel nitelikli kişisel veri olarak ne sayılır?
KVKK uyarınca özel nitelikli veriler (özel nitelikli kişisel veri); sağlık ve cinsel hayata ilişkin veriler, ırk veya etnik köken, siyasi düşünce, felsefi inanç, din veya mezhep, kılık ve kıyafet, dernek/vakıf/sendika üyeliği, ceza mahkûmiyeti ve güvenlik tedbirleri ile biyometrik ve genetik verileri kapsar. Bu veriler daha katı olan 6. madde rejimine tabidir ve genellikle ekstra özen ile güvenceler gerektirir.
7499 sayılı Kanun, 2024'te özel nitelikli verilere ilişkin neyi değiştirdi?
7499 sayılı Kanun, özel nitelikli verilerin işlenmesine ilişkin hukuki sebepleri genişletmek üzere KVKK'nın 6. maddesini değiştirmiştir. Önceden, bu tür verilerin açık rıza olmaksızın işlenmesine yalnızca dar durumlarda izin veriliyordu. Değişiklik, özel nitelikli verilerin açık rıza olmaksızın işlenebileceği, her biri kendi şartlarına sahip daha geniş bir tanımlı koşullar dizisi eklemiştir. Lafız ve yürürlük tarihi yakın zamanda yeniden düzenlendiğinden, tam ve güncel sebepler konsolide kanun metniyle karşılaştırılarak teyit edilmelidir.
Türkiye'de veri işlemek için meşru menfaate dayanabilir miyiz?
Evet, sıradan kişisel veriler için KVKK'nın 5/2. maddesi veri sorumlusunun meşru menfaatini (meşru menfaat) bir hukuki sebep olarak tanır — ancak yalnızca işlemenin ilgili kişinin temel hak ve özgürlüklerine zarar vermediği hallerde. Bu, menfaatinizi bireyin haklarına ve makul beklentilerine karşı tartan, belgelenmiş bir dengeleme çalışmasını gerektirir. Her şeyi kapsayan bir torba hüküm değildir ve 6. maddeyle düzenlenen özel nitelikli verilere uygulanmaz.
KVKK, Türkiye'de ofisi olmayan yabancı bir şirkete uygulanır mı?
Uygulanabilir. KVKK yükümlülükleri, Türkiye'deki kişiler veya faaliyetlerle bağlantılı kişisel verileri işleyen yabancı veri sorumlularına da uzanabilir. KVKK sizin işleme faaliyetinize uygulanıyorsa, 5. veya 6. madde uyarınca bir hukuki sebep belirlemeniz, 4. maddedeki ilkelere uymanız ve aktarım ile kayıt kurallarını gözetmeniz gerekir. Kanunun sizin somut yapınıza uygulanıp uygulanmadığı ve nasıl uygulandığı, Türk hukuk müşaviriyle teyit edilmeye değer, olaya özgü bir sorudur.
