5. Uygulama alanı ve istisnalar

Kişisel veri bulunduğunun saptanması, her somut faaliyete aynı yükümlülüklerin uygulanacağı sonucunu vermez. Kaydın tutulma biçimi, işlemenin yeri ve zamanı, faaliyetin amacı ve ileri sürülen istisnanın koşulları ayrı sorulardır. Bu bölüm, önce kapsamı kurmakta, sonra tam ve kısmi istisnaların hangi sonuçları doğurduğunu incelemektedir. Böylece bir istisnanın adını söylemekle yetinmeyip hangi güvencenin neden uygulanıp uygulanmadığını açıklayan bir değerlendirmeye ulaşılması amaçlanmaktadır.

5.1. Kişi ve konu bakımından kapsam; otomatik olmayan kayıtlar

Bir apartmanda aidat ödemelerinin el yazısıyla bir deftere geçirilmesi, kişisel verilerin korunmasını yalnızca bilgisayar kullanan kurumları ilgilendiren bir mesele olarak görmenin neden yetersiz olduğunu gösterir. Daire, malik veya kiracıyla ilişkilendirilen ödeme ve borç bilgileri, kâğıt üzerinde de kişisel veri olabilir. Bununla birlikte, kişisel verinin varlığı ile 6698 sayılı Kişisel Verilerin Korunması Kanununun (KVKK) uygulanması aynı soru değildir. Önce bilginin kime ilişkin olduğu, sonra hangi yöntemle işlendiği, ardından da somut faaliyetin bir istisnaya girip girmediği belirlenmelidir.¹

Kanunun 2. maddesi, kişisel verileri işlenen gerçek kişiler ile bu verileri işleyen gerçek ve tüzel kişileri birbirinden ayırarak kapsamı kurar. Korunan bilginin bir gerçek kişiyle ilgili olması gerekir; buna karşılık veriyi işleyen taraf bir insan, şirket veya kamu tüzel kişisi olabilir. Dolayısıyla “şirket verisi Kanunun dışındadır” cümlesi iki farklı durumu örter: Şirketin yalnızca kendisine ilişkin ticari bilgi ile şirket kayıtlarında yer alan çalışan, temsilci veya müşteri bilgisi aynı değildir. Şirket adına düzenlenmiş bir belgede kimliği belirlenebilir gerçek kişiye ilişkin bilgi bulunması, o bilgi bakımından kapsam incelemesini gerekli kılar.²

Kamu hizmeti yürütülmesi, ticari amaç güdülmemesi veya faaliyetin küçük ölçekli olması, 2. maddede genel bir muafiyet sebebi olarak düzenlenmemiştir. Yasama gerekçesi de kamu ve özel sektör arasında kapsam bakımından ayrım yapılmadığını açıklar. Bir derneğin üyelik kaydı ile işletmenin müşteri kaydı bu bakımdan aynı başlangıç sorularına tabidir. Ancak bu, bütün veri sorumlularının her yükümlülük ve yaptırım karşısındaki durumunun özdeş olduğu anlamına gelmez. Özel bir faaliyet istisnası veya belirli bir yükümlülüğe ilişkin ayrık düzenleme, genel kapsamdan sonra ayrıca incelenir.³

Konu bakımından kapsamın ikinci eşiği işleme yöntemidir. Tamamen veya kısmen otomatik yollarla işlenen kişisel veriler ile bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel veriler kapsama alınmıştır. Buradaki ayrım “elektronik veri–kâğıt veri” biçiminde kurulamaz. Kanunun 3. maddesindeki veri kayıt sistemi tanımı, belirli ölçütlere göre yapılandırılmış kayıt düzenini esas alır; gerekçe bu düzenin fiziksel ortamda da kurulabileceğini belirtir. Bu nedenle elle doldurulmuş belgelerin bulunması tek başına kapsam dışında kalmayı sağlamaz.⁴

Örneğin aidat defterinde her daire için ayrılmış satırlarda borcun ve ödemenin izlenmesi, kişiye ilişkin kayıtların belirli bir düzene göre tutulmasına dayanır. Aynı şekilde hastanın adı veya dosya numarası üzerinden erişilen kâğıt dosyalar, elektronik olmamalarına rağmen kayıt sisteminin parçası olabilir. Buna karşılık başka bir kayıt düzenine dâhil edilmeyen, bütünüyle manuel ve arızi bir telefon notunun durumu farklıdır. Öğretide Turan Başara da fiziksel kayıt sistemindeki doğum bilgileri ile bir telefon numarasının tek seferlik kâğıda yazılması arasındaki ayrımı vurgular. Ölçüt, belgenin malzemesi veya sayısı değil, bilginin hangi işleme ve kayıt düzeni içinde bulunduğudur.⁵

Karma süreçlerde inceleme tek bir aşamada durdurulmamalıdır. Başlangıçta kâğıda alınan bir notun daha sonra müşteri uygulamasına kaydedilmesi, sonraki otomatik işleme bakımından ayrıca değerlendirilir. Tersine, elektronik kaydın çıktısının alınması, önceki otomatik işlemenin varlığını ortadan kaldırmaz. Bu sonuç, Kanunun yalnızca son belgeye değil; elde etme, kaydetme, saklama, açıklama ve aktarma gibi veriler üzerinde gerçekleştirilen işlemlere yönelmesinden doğar. Bir dosyanın kapağına bakmak yerine verinin izlediği sürecin belirlenmesi gerekir.⁶

Apartman örneği, kapsam ile veri sorumlusu sıfatının da ayrılmasını gerektirir. Kurulun 22 Temmuz 2020 tarihli ve 2020/560 sayılı kararına ilişkin yayımlanmış değerlendirmelerinde, kat malikleri kurulunun tüzel kişiliğinin bulunmamasına rağmen kural olarak veri sorumlusu kabul edilebileceği belirtilmiştir. Kurul, somut olayda amaç ve araçları belirleyen, kayıt sistemini kuran ve yöneten birimin saptanmasını istemektedir. Bu, Kanundaki gerçek veya tüzel kişi tanımına ilişkin bir uygulama yorumudur; her yöneticinin kendiliğinden veri sorumlusu olduğu veya tüzel kişiliği bulunmayan her topluluğun aynı statüde sayıldığı sonucu çıkarılamaz. Ayrıntılı sıfat incelemesi 6. bölümün konusudur.⁷

Son olarak kapsam dışında kalma, kişisel veri niteliğinin kaybı veya her türlü hukuki korumanın sona ermesi demek değildir. Manuel bir notun veri kayıt sistemine dâhil olmaması hâlinde bile içerdiği bilginin bir insana ilişkin olması değişmez. Yasama gerekçesi de kapsam ayrımının veri niteliğini etkilemediğini özellikle belirtir. Bununla birlikte buradan her hukuka aykırı kullanımın zorunlu olarak suç olduğu sonucu çıkmaz; ceza sorumluluğu ilgili suçun kendi unsurlarına bağlıdır. Kapsam testi, işlemenin Kanuna tabi olup olmadığını; hukuka uygunluk ve sorumluluk incelemesi ise hangi davranışın hangi sonuçları doğurduğunu belirler.⁸

5.2. Yer ve zaman bakımından uygulama sorunları

Yurt dışındaki bir hizmete Türkiye’den erişilmesi, en az üç ayrı hukuki soruyu gündeme getirebilir: Türk veri koruma kurallarının faaliyete uygulanması, yabancılık unsuru taşıyan bir özel hukuk uyuşmazlığında uygulanacak hukukun belirlenmesi ve bir yurt dışına aktarımın bulunup bulunmadığı. Bunların biri için verilen cevap diğerlerini kendiliğinden çözmez. Özellikle hizmet sağlayıcının yabancı olması ile somut veri akışının yurt dışına aktarım oluşturması aynı tespit değildir; aktarımın hukuki şartları 13. bölümde ayrıca ele alınır.⁹

6698 sayılı Kanunun kapsam hükmü, ilgili kişinin vatandaşlığına dayalı bir ayrım getirmez. Bununla birlikte Kanunda, Avrupa Birliği Genel Veri Koruma Tüzüğünün (GDPR) 3. maddesindeki gibi ayrı ve ayrıntılı bir yer bakımından uygulama hükmü bulunmaz. AB Tüzüğünde Birlik içindeki işletmenin faaliyetleri bağlamında işleme ile Birlikte bulunan kişilere mal veya hizmet sunulması ya da davranışlarının izlenmesi farklı bağlantılardır. Bu ölçütler karşılaştırmada yararlı olmakla birlikte Türk Kanununda aynen düzenlenmiş gibi uygulanamaz. Türk hukukundaki bağlantının dayanağı, faaliyetin ve uyuşmazlığın özellikleri içinde ayrıca gösterilmelidir.¹⁰

Kurulun 23 Temmuz 2019 tarihli ve 2019/225 sayılı karar özetinde, Türkiye’de doğrudan veya şubesi aracılığıyla veri işleyen yurt dışında yerleşik veri sorumluları sicil yükümlülüğü bakımından değerlendirilmiştir. Karar, yurt dışında kurulmuş olmanın tek başına Kanundan uzaklaşma sonucu doğurmadığını gösterir. Ancak şube ve irtibat bürosuna ilişkin bu karar, internetten erişilebilen bütün yabancı hizmetlerin aynı kapsamda bulunduğunu belirleyen sınırsız bir yetki kuralı değildir. Üstelik sicil yükümlülüğünün varlığı ile Kanunun bütün yükümlülüklerinin uygulanması da ayrı incelemelerdir.¹¹

Yabancılık unsuru taşıyan özel hukuk taleplerinde ise kanunlar ihtilafı kuralları devreye girer. 5718 sayılı Milletlerarası Özel Hukuk ve Usul Hukuku Hakkında Kanunun 35. maddesinin üçüncü fıkrası, kişisel verilerin işlenmesi veya bunlar hakkında bilgi alma hakkının sınırlandırılması yoluyla kişiliğin ihlalinden doğan taleplere birinci fıkradaki bağlama kuralını yöneltir. Birinci fıkrada zarar görenin seçimi esas alınmakta; kendi mutad meskeni ve zararın meydana geldiği ülke hukukuna başvuru, zarar verenin öngörebilirliği koşuluna bağlanmaktadır. Bu düzenleme, bir Türk mahkemesindeki özel hukuk talebini hangi ülkenin maddi hukukuyla değerlendireceğimiz sorusuna yöneliktir; Kurulun idari yetkisinin yerine konulamaz.¹²

Bu bağlama kuralının kapsamı da tartışmasız değildir. Doğan Kaya, kitle iletişim araçları üzerinden gerçekleşmeyen ihlallerde genel haksız fiil kuralına başvurulmasını savunurken Akgül, üçüncü fıkradaki atfın her türlü kişisel veri işleme yoluyla gerçekleşen kişilik hakkı ihlalini kapsadığını belirtmektedir. İlk yaklaşım birinci fıkranın özel amacını, ikincisi üçüncü fıkranın sınırlama içermeyen lafzını öne çıkarır. Bu tartışma, “kişi Türkiye’deyse her talebe Türk hukuku uygulanır” biçiminde kestirme bir sonucun neden yetersiz olduğunu gösterir. Somut talebin niteliği ve ilgili bağlama kuralı saptanmadan uygulanacak hukuk belirlenemez.¹³

Zaman bakımından ise verinin ilk elde edildiği tarih, işlemenin tek tarihi değildir. Kanunun 32. maddesi, bazı hükümleri yayım tarihinde, sayılan diğer hükümleri yayımından altı ay sonra yürürlüğe sokmuştur. Geçici 1. maddenin üçüncü fıkrası da yayım öncesinde işlenmiş veriler için uyum düzenlemesi getirmiş; hukuka uygun alınmış eski rızaları belirli koşullarla korumuştur. Buradaki “hukuka uygun alınmış” şartı önemlidir: Eski bir rızaya itiraz edilmemesi, hukuka aykırı rızaların tamamını sonradan geçerli kılan genel bir hüküm değildir. Önceden toplanmış verinin sonradan saklanması veya yeni bir alıcıya aktarılması ayrıca incelenir.¹⁴

Aynı yöntem 2024 değişikliklerinde de izlenmelidir. 7499 sayılı Kanunla değiştirilen hükümler 1 Haziran 2024’te yürürlüğe girmiş; yurt dışına aktarımın önceki rıza hükmü için 1 Eylül 2024’e kadar özel bir birlikte uygulama dönemi öngörülmüştür. Dolayısıyla eski bir karardaki hukuka uygunluk değerlendirmesi, karar tarihi ile işlem tarihi ve uygulanan hüküm ayrılmadan yeni olaya taşınamaz. İşlemenin dönemi, devam eden saklama, yeni kullanım ve aktarım aşamaları ayrı ayrı tarihlendirilmelidir.¹⁵

5.3. Kişisel ve aile içi faaliyetler; çevrim içi paylaşımın sınırları

Aile albümü oluşturmak ile o albümdeki fotoğrafları herkese açık bir hesapta yayımlamak aynı işleme faaliyeti değildir. Kanunun 28. maddesinin birinci fıkrasının (a) bendi; gerçek kişilerin tamamen kendileriyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetlerini, üçüncü kişilere vermeme ve veri güvenliğine ilişkin yükümlülüklere uyma koşullarıyla istisna tutar. Bu koşullar birlikte okunmalıdır. Faaliyetin aileyle bağlantılı olması, diğer koşulları gereksiz kılmaz.¹⁶

İlk sınır faaliyetin niteliğidir. Bir kişinin evinde çalışması, müşterilerine ilişkin kayıtları aile içi faaliyete dönüştürmez; aile şirketi de bu sebeple istisna kazanmaz. Hüküm işleme mekânını tek başına ölçüt yapmadığı gibi, aralarında akrabalık bulunan kişilerin bütün mesleki ve ticari ilişkilerini de kapsamaz. Aile fertleri bakımından metinde ayrıca aynı konutta yaşama şartı bulunmaktadır. Bu nedenle “yakınımdır” veya “benim kişisel hesabımdır” açıklamaları somut faaliyetin istisnaya girdiğini göstermeye yetmez.¹⁷

Aile kavramının sınırı ise ayrıca yorum gerektirir. Atılkan, öğretide dar, geniş ve en geniş aile ayrımlarını inceleyerek hizmetli ve bakıcı gibi çalışanların en geniş aile anlayışı yoluyla istisnaya dâhil edilmesine karşı çıkmaktadır. Bu görüş, aynı evde bulunmak ile aile ferdi olmak arasındaki farkı görünür kılar. Bununla birlikte Kanunda aile çevresinin tek tek sayıldığı veya bir hısımlık derecesiyle kesinleştirildiği söylenemez. Somut aile ilişkisi ile mesleki ilişki ayrılmalı; öğreti önerisi kanunun açık hükmü gibi sunulmamalıdır.¹⁸

İkinci sınır, verinin üçüncü kişilere verilmemesidir. Kurumun 2025 tarihli açıklaması, doğum gününde aile içinde çekilen fotoğrafın herkese açık sosyal medya paylaşımını istisnanın dışında değerlendirmektedir. Fotoğrafın aile ortamında çekilmiş olması, sonraki yayının niteliğini belirlemez. Bir çocuğun veya başka bir aile ferdinin verisini paylaşan kişi bakımından da aynı ayrım yapılır. Ebeveynlik sıfatı, bütün paylaşım işlemlerini aile içi istisna kapsamında tutan sınırsız bir yetki değildir.¹⁹

Kapalı bir grubun varlığı da tek başına üçüncü kişiye vermeme koşulunun gerçekleştiğini göstermez. Gruba kimlerin katıldığı, aynı konutta yaşayan aile çevresinin dışına çıkılıp çıkılmadığı ve veriye fiilen kimlerin erişebildiği değerlendirilmelidir. Burada iki soru özellikle ayrılmalıdır: İstisnanın dışında kalan bir paylaşımın hangi işleme şartına dayanabileceği ile paylaşımın hâlâ istisna içinde olup olmadığı. Bir işleme şartının bulunması, aile içi istisnanın koşullarını değiştirmez; işlemi Kanunun genel rejimi içinde değerlendirme imkânı sağlar.²⁰

Üçüncü sınır güvenliktir. Aileyle ilgili faaliyetin istisna tutulması, verilerin yetkisiz erişime açık bırakılabileceği anlamına gelmez; güvenlik şartı doğrudan istisna hükmünde yer almaktadır. Şifresiz ve herkese açık bir paylaşım alanıyla yalnızca yetkililerin erişebildiği saklama ortamı bu açıdan aynı değildir. Her somut teknik önlemin gerekliliği verinin ve ortamın özelliklerine göre tartışılabilir; fakat “Kanun uygulanmıyor” denilerek hükümdeki güvenlik şartı yok sayılamaz. Bu kayıt, tam istisna adlandırmasının bile koşulsuz bir muafiyet olarak anlaşılmaması gerektiğini gösterir.²¹

İstisna uygulanmadığında ise paylaşımın her durumda yasaklandığı veya mutlaka yalnızca açık rızayla yapılabileceği sonucu doğmaz. Önce verinin niteliğine göre 5. veya 6. maddedeki işleme şartları ve ilgili diğer yükümlülükler incelenir. Aynı şekilde aile içi istisna uygulanıyor olsa dahi başka bir kişinin özel hayatına veya kişilik hakkına müdahalenin meşru olup olmadığı ayrı sorudur. Aile yakınlığı, kişinin hukuk düzenindeki bağımsız varlığını ortadan kaldırmaz.²²

5.4. Tam ve kısmi istisnaların koşulları ve sonuçları

İstisna, bir kurumun veya kişinin taşıdığı etiketten önce belirli bir işleme faaliyetinin hukuki durumunu ifade eder. Aynı kamu kurumu, soruşturmaya ilişkin bir kaydı ve çalışanlarının izin kaydını farklı amaçlarla tutabilir. Birinci işlem için öngörülen istisna, yalnızca aynı kurum tarafından yapılıyor diye ikinci işleme taşınamaz. Değerlendirmede faaliyetin amacı, yetkili aktör, işlenen veri ve istisnanın hangi hükümlere etki ettiği birlikte gösterilmelidir.²³

Kanunun 28. maddesinin birinci fıkrası, belirtilen hâllerde Kanun hükümlerinin uygulanmayacağını düzenler. İkinci fıkra ise Kanunun tamamını değil, sayılan hükümleri devre dışı bırakır. Öğreti ve Kurum açıklamalarında kullanılan tam ve kısmi istisna adlandırmaları bu farkı ifade eder. Bununla birlikte birinci fıkradaki her istisnanın da kendine özgü koşulları vardır: Aile içi faaliyet için üçüncü kişilere vermeme ve güvenlik, önleyici veya istihbari faaliyet için kanunla görev ve yetki verilmiş kamu kurumu olma şartı gibi. “Tam” sözcüğü, bu koşullardan bağımsız bir serbestlik anlamına gelmez.²⁴

Bu ayrım doğrudan Kanunun 16 ve 28. maddelerinin farklı düzenleme konularına dayanır. Bir işletmenin sicile kayıt yükümlülüğünün bulunmaması, müşterileri hakkında hangi verileri toplayabileceğini veya bunları yayımlayabileceğini tek başına cevaplamaz.²⁵

Kısmi istisnanın özellikle önemli yönü, yalnızca belirli bir konuya ilişkin veri işlendiği için otomatik işlememesidir. Kanun, kendi amacına ve temel ilkelerine uygunluk ile orantılılığı ayrıca aramaktadır. Dolayısıyla denetim, disiplin soruşturması veya suçun önlenmesi gerekçesinin belirtilmesi yeterli değildir; ilgili bentteki gereklilik ve yetki koşulları somut işleme bağlanmalıdır. Amaca ulaşmak için ihtiyaç duyulmayan üçüncü kişi verilerinin toplanması, yalnızca dosyanın bir soruşturma dosyası olmasıyla haklı gösterilemez.²⁶

İlgili kişinin kendisi tarafından alenileştirilmiş veri de kısmi istisnalar arasındadır. Başkasının internete koyduğu bir bilginin bulunabilir olması ile kişinin kendi iradesiyle alenileştirmesi aynı değildir. Dahası, 28. maddenin ikinci fıkrasındaki ilke ve orantılılık kaydı, bu veriyi her amaç için kullanıma açık bir kaynak olarak görmeyi engeller. Alenileştirme hem 5. maddedeki işleme şartıyla hem 28. maddedeki belirli yükümlülük istisnasıyla ilişkilidir; bu iki hukuki işlev birbirine karıştırılmamalıdır.²⁷

Kısmi istisnada zararın giderilmesini talep etme hakkının korunması da tazminatın kendiliğinden doğduğu anlamına gelmez. Kanun bu hakkı istisnanın dışında bırakır; somut tazminat talebinin koşulları ise ayrıca değerlendirilir. Aynı nedenle bir hakkın kullanılmasına ilişkin istisna bulunduğu söylenerek veri güvenliği veya işleme şartları bütünüyle inceleme dışına çıkarılamaz. Önce hangi hükmün uygulanmadığı saptanmalı, uygulanmaya devam eden kurallar kendi koşullarıyla işletilmelidir.²⁸

5.5. İfade, araştırma, istatistik, kolluk, yargı ve mali menfaat istisnaları

Bilimsel araştırma, ifade özgürlüğü veya kamu güvenliği, kişisel veri işleme bakımından aynı türden istisnalar değildir. Kanun bunları farklı bentlerde ve farklı şartlarla düzenler. Bu nedenle yalnızca faaliyetin adının belirtilmesiyle yetinilemez; ilgili bentteki amaç, aktör ve güvence koşulları ayrı ayrı aranır. Bir üniversitenin araştırma kaydı, araştırmacının personel dosyası ve araştırmanın tanıtımında kullanılan fotoğraf, aynı kurumda bulunsa da aynı amaçla işlenmiş sayılmaz.²⁹

Resmî istatistik ile anonim hâle getirilerek araştırma, planlama ve istatistik gibi amaçlarla işleme, 28. maddenin birinci fıkrasının (b) bendinde yer alır. Bu metin, özel bir araştırmaya “istatistik” adı verilmesiyle bütün süreçlerin kendiliğinden istisna kazanacağı anlamına gelmez. Resmî istatistik niteliği ile anonimleştirmeye dayanan diğer faaliyetler ayrılmalıdır. Ayrıca isim sütununun çıkarılması tek başına anonimleştirmeyi kanıtlamaz; 3. maddedeki tanım başka verilerle eşleştirme yoluyla kişiye yeniden ulaşılmasını da dikkate alır. Bu sebeple kimliği belirlenebilir verinin toplanması, saklanması, anonimleştirilmesi ve anonim sonuçların kullanılması aynı aşama gibi ele alınmamalıdır.³⁰

Sanat, tarih, edebiyat, bilim ve ifade özgürlüğü ise birinci fıkranın (c) bendinde düzenlenir. Hüküm, saydığı kamusal menfaatler yanında özel hayat, kişilik hakları ve suç oluşturmamaya ilişkin kayıtlar içermektedir. Bir yazının “haber”, bir veri kümesinin “araştırma” olarak adlandırılması bu kayıtları ortadan kaldırmaz. Burada 3. bölümde açıklanan haklar arası dengeleme önem taşır: Yayının konusu ve kamusal değeri ile açıklanan kişisel bilginin o konu bakımından gerekliliği ayrılmalıdır. İstisnayı yalnızca yayın türüne bağlamak da kişisel veri bulunmasını her yayını engelleyen bir sebep saymak da yeterli bir hukuki değerlendirme değildir.³¹

Önleyici, koruyucu ve istihbari faaliyet istisnasında ise kamu güvenliği veya millî güvenlik amacının belirtilmesi yanında kanunla görev ve yetki verilmiş kamu kurumu veya kuruluşu bulunması aranır. Bir özel işletmenin kendi güvenliğine yönelik işleme yapması, sırf bu amaç benzerliği nedeniyle bu bende girmez. Aynı kamu kurumunun bütün kayıtları da istihbari faaliyetin parçası sayılamaz. Atlı’nın incelemesi, bu alanda istisnanın anayasal güvence ve denetim ihtiyacını sona erdirmediğini vurgulamaktadır. Kanuni yetkinin somut faaliyetle bağlantısı ve anayasal sınırlar birlikte değerlendirilmelidir.³²

Kurumun 2026/921 sayılı biyometrik mesai takibi ilke kararına ilişkin görüş talepleri üzerine yayımladığı duyuru da bu faaliyet ayrımını görünür kılar. Duyuruda mesai takibi ile kritik alanların güvenliği için kimlik doğrulama farklı değerlendirilmiş; 28. maddenin birinci fıkrasının (ç) bendinin sınırsız biyometrik kullanım imkânı sağlamadığı belirtilmiştir. Bu açıklama, istisna hükmünün yerine geçen yeni bir yetki kaynağı değildir. Faaliyete “güvenlik” adı verilmesiyle yetinilmeden amaç, alternatif yöntemler ve somut riskin incelenmesi gerektiğini gösteren kurumsal bir yorumdur.³³

Yargı ve infaz istisnası da aktör ile faaliyet bağlantısını birlikte kurar. Birinci fıkranın (d) bendi; soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercilerince yapılan işlemeyi kapsar. Kurul, 19 Aralık 2024 tarihli ve 2024/2158 sayılı kararının resmî özetinde, ceza infaz kurumundaki tahsilat ve reddiyat makbuzlarının ilgili kişiye ulaştırılması sürecini bu bent içinde değerlendirmiş ve Kanun kapsamında yapılacak işlem bulunmadığına karar vermiştir. Bu sonuç, verilerin bütün yönleriyle hukuka uygun işlendiğine ilişkin genel bir tespit veya infaz kurumunun her idari kaydı için muafiyet olarak genişletilmemelidir.³⁴

Suçun önlenmesi ve suç soruşturması, ikinci fıkranın (a) bendinde ayrıca kısmi istisna olarak yer alır. Bu nedenle “suçla bağlantı” tek başına hangi fıkranın uygulanacağını söylemez; işlemi yapan makam ve faaliyetin niteliği belirlenmelidir. Denetleme, düzenleme ve disiplin işlemlerinde de ikinci fıkranın (c) bendi, kanunun verdiği yetkiye dayanılarak görevli ve yetkili kamu kurumları ile kamu kurumu niteliğindeki meslek kuruluşlarınca yapılan gerekli işlemeyi esas alır. Bu bent, her özel işverenin kurum içi incelemesini aynı kapsamda istisna tutan genel bir disiplin yetkisi değildir.³⁵

Mali menfaat istisnası ise bütçe, vergi ve mali konulara ilişkin olarak Devletin ekonomik ve mali çıkarlarının korunması için gerekli işlemeye yöneliktir. Bir şirketin tahsilat veya kâr beklentisi, bu ifadenin kendiliğinden karşılığı değildir. Aynı şekilde ekonomik güvenliğe ilişkin birinci fıkra istisnası ile ikinci fıkradaki mali çıkar istisnası farklı hukuki sonuçlara sahiptir. Kurumun adı veya ekonomik amaç ortaklığı yerine hangi bentteki koşulların gerçekleştiği gösterilmelidir; kısmi istisnada temel ilkeler ve orantılılık kaydı yine geçerlidir.³⁶

5.6. Özel kanunlarla ilişki ve istisna hâlinde devam eden güvenceler

Bir kanunun veri işlemeye izin vermesi, o işleme ilişkin bütün soruları tek hükümle çözmez. 6698 sayılı Kanunun 4. maddesi, kendi hükümleriyle diğer kanunlardaki usul ve esasları birlikte dikkate alır; 5. madde de kanunlarda açıkça öngörülmeyi ve hukuki yükümlülüğün yerine getirilmesi için zorunlu işlemeyi ayrı işleme şartları olarak düzenler. Bu sebeple özel kanunda bir kayıt veya bildirim görevinin bulunması, doğrudan “KVKK uygulanmaz” sonucuna çevrilemez. Önce hükmün bir işleme yetkisi mi, yükümlülük mü, özel sınırlama mı yoksa açık bir istisna mı getirdiği belirlenmelidir.³⁷

Özel hükümle genel veri koruma rejimi arasındaki ilişki de madde düzeyinde kurulmalıdır. Kanunun yurt içi ve yurt dışı aktarıma ilişkin hükümlerinde diğer kanunlara yönelik saklı tutma kayıtları bulunması, her özel düzenlemenin genel rejimi bütünüyle kaldırdığı anlamına gelmez. Somut aktarım yetkisinin konusu, alıcısı ve amacı saptandıktan sonra birlikte uygulanabilen kurallar ile gerçekten farklı sonuç doğuran hükümler ayrılır. Alt düzey bir kurum talimatı veya uygulama alışkanlığı ise tek başına kanuni istisna yaratamaz.³⁸

Birinci fıkra kapsamındaki tam istisnada, Kanunun bütün ödevlerini başka ad altında aynen geri getirmek de doğru değildir. Bununla birlikte Anayasanın bağlayıcılığı ile kişisel verilerin korunması ve temel hakların sınırlanmasına ilişkin güvenceleri ortadan kalkmaz. Hangi müdahalenin hangi yetkiye dayanabileceği, yetkinin amacı ve sınırı, ilgili hukuk alanındaki düzenlemelerle incelenir. İstisna, bir veri işleme yetkisiyle karıştırılmamalıdır: “Bu Kanun uygulanmaz” önermesi, tek başına “bu veri istenen yöntemle toplanabilir ve açıklanabilir” önermesini içermez.³⁹

Özel hukukta kişilik hakkına yönelik koruma da ayrı bir dayanağa sahiptir. Türk Medenî Kanununun 24 ve 25. maddeleri, hukuka aykırı saldırıya karşı koruma ile tehlikenin önlenmesi, devam eden saldırının durdurulması ve etkileri süren saldırının hukuka aykırılığının tespiti gibi talepleri düzenler. Maddi ve manevi tazminat istemleri ise kendi koşullarına tabidir. Bu nedenle Kanundaki bir istisna nedeniyle idari veri koruma mekanizmasının uygulanmaması, aynı fiil bakımından bütün özel hukuk taleplerinin de reddedileceği anlamına gelmez. Ancak bu talepler de kendi hukuka aykırılık ve diğer şartları incelenmeden kabul edilmiş sayılamaz.⁴⁰

Güvencelerin parçalı kalması ayrıca hukuk politikası sorunudur. Kaya, güvenlik ve yargı faaliyetlerine ilişkin tam istisnalarda başka korumalar bulunsa da kuralların dağınıklığını eleştirmekte ve bütüncül bir çerçeve önermektedir. Bu eleştiri, mevcut istisnanın yok sayılması veya önerilen yeni rejimin yürürlükte kabul edilmesi demek değildir. Aynı çalışmada avukatların mesleki faaliyetlerine ilişkin genel muafiyet yerine somut hak koruma gerekliliğinin işleme şartları içinde değerlendirilmesi savunulur. İşleme şartı, meslek yetkisi ve kapsam istisnası farklı araçlardır; birbirlerinin yerine geçirilmemelidir.⁴¹

Böylece bölümün başındaki aidat defteri örneğinde önce gerçek kişiye ilişkin kayıt ve işleme düzeni, aile fotoğrafı örneğinde sonraki paylaşımın çevresi, kamu kurumu örneğinde ise yetki ve faaliyetin amacı belirleyici hâle gelir. Her üçünde de uygulanacak hüküm, işlemi yapanın kendisine verdiği adla değil somut faaliyetin özellikleriyle seçilir. Sağlıklı bir kapsam değerlendirmesi, istisnanın varlığı yanında onun hangi hükmü etkilediğini ve geriye hangi hukuki güvencelerin kaldığını da göstermelidir.⁴²

İçindekiler · Ayrıntılı kitap planı