8. Kişisel verilerin işlenme şartları

Aynı kayıt, ücretin ödenmesinde, bir yükümlülüğün yerine getirilmesinde veya bir hakkın korunmasında kullanılabilir. Bu işlemlerin amaçlarıyla hukuki sebeplerini ayırmak, kişisel veriyi bir kez elde edenin onu her iş için kullanabileceği varsayımını önler. Bölümde açık rıza dışındaki genel işleme şartları kendi unsurlarıyla incelenmekte; hangi sebebin somut işleme uygun olduğu ve birden çok sebebin nasıl değerlendirileceği açıklanmaktadır. Açık rızanın ayrıntılı rejimi sonraki bölümde ele alınacaktır.

8.1. İşleme şartlarının sistematiği ve doğru hukuki sebebin belirlenmesi

Kişisel veri işlemek isteyen veri sorumlusu, önce somut işleme faaliyeti için Kanunda bir hukuki sebep bulunup bulunmadığını belirlemelidir. 6698 sayılı Kanunun 5. maddesi genel nitelikli kişisel veriler bakımından açık rızayı ve açık rıza aranmaksızın işlemeye imkân veren şartları sınırlı biçimde sayar. Bu şartlardan hiçbiri yoksa faydalı, alışılmış veya güvenli olduğu düşünülen bir işlem sırf bu gerekçelerle hukuka uygun hâle gelmez. Bir şartın bulunması da incelemeyi bitirmez; işlem ayrıca 4. maddedeki genel ilkelere ve uygulanabilir diğer yükümlülüklere uymalıdır.¹

İşleme amacı ile hukuki sebep aynı şey değildir. Amaç, veri sorumlusunun veriyi hangi somut sonuç için kullandığını; hukuki sebep ise bu kullanımın Kanunun 5 veya 6. maddesindeki hangi şarta dayandığını gösterir. “Ücret bordrosu düzenlemek” amaç, sözleşmenin ifası veya hukuki yükümlülük ise koşulları gerçekleştiği ölçüde hukuki sebeptir. “İnsan kaynakları süreçlerini yürütmek” gibi geniş bir hedefi yazıp yanına 5. maddedeki bütün bentleri sıralamak, amaçla sebep arasındaki bağlantıyı göstermez.²

Doğru başlangıç noktası kurumun elindeki belge veya veri kategorisi değil, fiilî işlemdir. Aynı kimlik bilgisi çalışanın ücretini ödemek, özlük dosyasını tutmak, iş kazasını bildirmek veya bir davada delil sunmak için kullanılabilir. Veri aynı kalsa da amaç, işlem ve buna bağlı hukuki sebep değişebilir. Tersinden, tek bir iş süreci içinde toplama, kullanma, aktarma ve saklama aşamalarının tümü aynı sebebe dayanmayabilir. Bu nedenle değerlendirme; ilgili kişi grubu, veri kategorisi, somut amaç, işlem türü ve gerektiğinde alıcı ile saklama aşaması görülebilecek ayrıntıda yapılmalıdır.³

Kanundaki şartlar, veri sorumlusunun dilediğini seçebileceği eş anlamlı seçenekler değildir. Her bent kendi olgularını ve sınırlarını taşır. Sözleşme başlıklı bir ilişkinin bulunması, işlenen her veriyi sözleşmenin kurulması veya ifası için gerekli kılmaz; bir kanuni yükümlülüğün varlığı da yükümlülüğün kapsamını aşan veri ve işlemleri kapsamaz. Birçok bentte yer alan “zorunlu” veya “gerekli” olma ölçüsü, işlemin yalnız yararlı ya da kolaylaştırıcı olmasından daha güçlü bir bağlantı ister. Bu bağlantı kurulamadığında başka bir bende soyut atıf yapılarak eksiklik giderilemez.⁴

Hukuki sebep faaliyet bazında ve denetlenebilir biçimde gösterilmelidir. Kurulun 2020/765 sayılı karar özetinde, farklı bankacılık ürünlerine özgülenmemiş genel metin ile 5 ve 6. maddelerdeki bentlerin topluca sıralanması yeterli görülmemiştir. 2024/540 sayılı kararda da yalnız Kanunun 5, 6, 8 ve 9. maddelerine genel atıf yapılması eleştirilmiş; kamera görüntüsünün hangi somut şartla işlendiğinin açıklanması aranmıştır. Aydınlatma Tebliğinin 5/1-h bendi de “hukuki sebep”ten, verinin 5 ve 6. maddelerdeki hangi işleme şartına dayanılarak işlendiğinin anlaşılmasını bekler.⁵

Bir faaliyet bakımından birden çok hukuki sebebin koşulları aynı anda gerçekleşebilir. Kurumun işleme şartları rehberi, maaş bordrosu düzenlenmesinde sözleşmenin ifası ile veri sorumlusunun hukuki yükümlülüğünü birlikte örnek verir. Ancak çoklu dayanak, her sebebin kapsamını birleşerek sınırsızlaştırdığı anlamına gelmez. Hangi veri ve işlemin hangi amaç bakımından hangi şartı gerçekten karşıladığı ayrı ayrı gösterilmeli; dayanaklardan biri ortadan kalktığında kalan dayanağın aynı işlem ve süreyi tek başına taşıyıp taşımadığı yeniden incelenmelidir.⁶

Açık rızanın sistemdeki yeri ayrıca dikkat ister. Kanunun 5/1 hükmü açık rızasız işlememe kuralını, 5/2 ise şartları varsa rıza aranmayan hâlleri düzenler. Kurumun rehber ve karar yaklaşımı, açık rıza dışındaki bir şart mevcutken aynı faaliyet için ayrıca rıza istenmesini ilgili kişiyi yanıltabilecek bir uygulama sayar; önce diğer şartların bulunup bulunmadığının değerlendirilmesini ister. Bu yaklaşım, veri sorumlusuna somut şartlar arasında keyfî seçim hakkı vermez ve açık rızayı başka bir dayanağın eksik koşullarını tamamlayan yedek belgeye dönüştürmez. Açık rızanın unsurları, geri alınması ve hizmet koşuluna bağlanması 9. bölümde ayrıntılı ele alınacaktır.⁷

Genel nitelikli veriler için 5. maddede bir sebep bulunması, her veri akışı için tek başına yeterli değildir. Veri özel nitelikliyse 6. maddenin güncel ve özel şartları; veri üçüncü kişiye aktarılıyorsa işlemenin dayanağına ek olarak yurt içi veya yurt dışı aktarım rejimi; yeni amaç ortaya çıkmışsa bu yeni işlemin amacı, hukuki sebebi ve aydınlatması ayrıca incelenir. Genel işleme şartı, özel rejimin aradığı ek şart veya güvence yerine geçmez. Bu ayrıntılar 10, 12 ve 13. bölümlerde açıklanacaktır.⁸

Hukuki sebep yalnız aydınlatma metninde yazılan etiket değildir. Fiilî süreçle uyuşmalı ve işleme devam ettiği sürece koşullarını korumalıdır. Sözleşme sona erdiğinde sözleşmenin ifası dayanağı aynı kapsamda sürmeyebilir; buna karşılık kanuni saklama yükümlülüğü veya bir hakkın korunması şartı, yalnız kendi gerektirdiği veri ve süre bakımından devam edebilir. İlk amaçtan farklı kullanım da eski dayanağı kendiliğinden taşımaz. Bu sebeple hukuki sebep; amaç, veri, işlem, alıcı veya süre değiştiğinde yeniden değerlendirilmelidir.⁹

Uygulamada karar kaydı altı soruyla kurulabilir: İşleme faaliyeti ve belirli amacı nedir; hangi ilgili kişi ve veri kategorisi söz konusudur; hangi işleme şartının her unsuru hangi olguyla karşılanmaktadır; aynı amaç daha az veri veya daha az müdahaleci işlemle gerçekleşebilir mi; başka bir şart da uygulanıyorsa her birinin ayrı kapsamı nedir; koşul sona erdiğinde durdurma, silme veya başka geçerli dayanağa göre sınırlama nasıl yapılacaktır? Bu kayıt, 5. maddedeki bentleri kopyalamaktan farklı olarak hukuki sebep ile fiilî veri akışı arasındaki bağı görünür kılar. Aydınlatma, envanter, saklama planı ve sistem yetkileri de aynı eşleştirmeyle tutarlı olmalıdır.¹⁰

8.2. Kanunda açıkça öngörülme ile hukuki yükümlülük arasındaki fark

Kanunun 5/2-a ve 5/2-ç bentleri aynı sonuca ulaşır: Koşulları gerçekleşmişse ilgili kişinin açık rızası aranmadan genel nitelikli kişisel veri işlenebilir. Bununla birlikte iki bent aynı soruyu cevaplamaz. İlkinde soru, belirli veri işleme faaliyetinin bir kanunda açıkça öngörülüp öngörülmediğidir. İkincisinde ise veri sorumlusuna yüklenmiş hukuki bir ödevin bulunup bulunmadığı ve o ödevin ancak söz konusu veri işlenerek yerine getirilip getirilemeyeceği araştırılır.¹¹

Kanunda açıkça öngörülme şartında hareket noktası kanun hükmüdür. Hüküm, kişisel verinin elde edilmesini, kaydedilmesini, saklanmasını, açıklanmasını veya başka bir işleme faaliyetini yeterli açıklıkta öngörmelidir. Kurum rehberleri, kanunun açık bir hükümle ikincil düzenlemeye yönlendirme yaptığı durumda ayrıntının bu düzenlemede belirlenebileceğini kabul eder. Fakat genel bir görev, hizmet sunma yetkisi veya düzenleme yapma imkânı, kişisel veriye müdahalenin kapsamını göstermiyorsa tek başına açık işleme öngörüsü sayılamaz. Alt düzenleme de kanunda bulunmayan temel bir müdahale yetkisini kendiliğinden yaratamaz.¹²

Hukuki yükümlülük şartında ise merkezde işlemi açıkça emreden kanun cümlesinden ziyade veri sorumlusuna yönelmiş bağlayıcı ödev vardır. Ödev kanundan doğabileceği gibi, kanuni çerçeve içindeki bağlayıcı ikincil düzenlemeden de kaynaklanabilir. Buna karşılık kurum içi politika, ticari tercih, işin kolaylaşması veya soyut bir uyum isteği hukuki yükümlülük değildir. Sözleşmenin kurulması ve ifasına ilişkin veriler ayrıca 5/2-c bendinde düzenlendiğinden, tarafın kendi iradesiyle üstlendiği sıradan bir sözleşme borcu da bağımsız bir hukuk kuralına dayanan ödev gösterilmeden 5/2-ç bendine taşınmamalıdır.¹³

Bu bentte “zorunlu olma” bağımsız bir koşuldur. Veri sorumlusu önce ödevin kaynağını ve muhatabını, sonra ödevin gerektirdiği sonucu göstermelidir. Ardından işlenen veri kategorisi ile toplama, kullanma, aktarma veya saklama işleminin bu sonuca ulaşmak için gerçekten gerekli olup olmadığı incelenir. Aynı ödev daha az veriyle veya ilgili kişiye daha az müdahale eden bir yöntemle yerine getirilebiliyorsa kapsam daraltılmalıdır. Hukuki yaptırım ihtimalinin bulunması, ödevle bağlantısız her veriyi işlemeyi zorunlu hâle getirmez.¹⁴

İki şart birbirini dışlamaz. Kanun hem belirli bilgilerin bir belgeye yazılmasını açıkça öngörebilir hem de o belgeyi düzenleme ödevini veri sorumlusuna yükleyebilir. Kurumun 2026 tarihli avukatlık rehberinde, serbest meslek makbuzuna yazılacak bilgilerin Vergi Usul Kanununda belirlenmesi sebebiyle aynı işlemin hem kanunda açıkça öngörülme hem de avukatın hukuki yükümlülüğünü yerine getirmesi şartına dayanabileceği belirtilir. Böyle bir durumda iki bendi birlikte anmak mümkündür; ancak her birinin hangi unsurunun gerçekleştiği gösterilmelidir.¹⁵

Aynı veri akışında farklı aktörlerin dayanakları da farklılaşabilir. Kurulun 2020/196 sayılı karar özetinde, denetim yapan kamu kurumunun bilgi ve belge istemesi kanunda açıkça öngörülme; denetime tabi şirketin istenen verileri aktarması ise kendi hukuki yükümlülüğünü yerine getirmesi kapsamında değerlendirilmiştir. Bu ayrım, “mevzuat gereği” şeklindeki tek bir etiket yerine kimin hangi veriyi, hangi işlemle ve hangi ödev için kullandığının belirlenmesini gerektirir.¹⁶

Kanuni dayanak veya hukuki ödev, belgenin tamamını kaydetmek için sınırsız bir izin vermez. Kurulun 2025/2120 sayılı İlke Kararında, konaklayan kişinin isim, soyisim ve T.C. kimlik numarasının kaydı Kimlik Bildirme Kanunu çerçevesinde hem 5/2-a hem de 5/2-ç ile ilişkilendirilmiştir. Kimlik belgesini görerek doğrulama yapılabilse de fotokopisinin ayrıca saklanması fazla ve dayanaksız veri işleme sayılmıştır. Demek ki dayanağın varlığı, veri kategorisi ve işlem türü bakımından kapsam incelemesinin yerini tutmaz.¹⁷

Görev ile belirli işleme yöntemi arasındaki mesafe de ayrıca denetlenmelidir. Kurulun 2021/1214 sayılı karar özetinde, eğitim ve sicil alanındaki kanuni görevler bakımından Bakanlığın işlemesi 5/2-a ve 5/2-ç; üniversitenin devam takibi ise yönetmelikten doğan yükümlülüğü sebebiyle 5/2-ç kapsamında değerlendirilmiştir. Bununla birlikte yoklama listesindeki T.C. kimlik numarasının diğer kursiyerlere görünmesi zorunlu kabul edilmemiş; gerekiyorsa numaranın maskelenmesi istenmiştir. Hukuki sebep, belirli veriyi elde etmeye elverse bile her sunum ve erişim biçimini meşru kılmaz.¹⁸

Hukuki yükümlülük için elde edilen veri, yeni bir amaç için kendiliğinden kullanılabilir hâle de gelmez. Kurulun 2019/78 sayılı karar özetinde şirketin denetim sistemi kurma yükümlülüğü için plaka ve yakıt verisi işlemesi 5/2-ç kapsamında değerlendirilmiş; aynı verilerin hatalı yakıt dolumunu önleyecek yeni bir projede kullanılması ayrıca meşru menfaat şartı bakımından incelenmiştir. İlk ödev sona erdiğinde veya amaç değiştiğinde, yeni işlem için uygun hukuki sebep ve genel ilkeler yeniden değerlendirilmelidir.¹⁹

Uygulamada iki bent dört aşamada ayrılabilir. Önce işlemi öngördüğü ileri sürülen normun türü, hükmü ve güncel metni gösterilir. Sonra normun kişisel veri işlemeyi açıkça düzenleyip düzenlemediği; düzenlemiyorsa veri sorumlusuna hangi bağlayıcı ödevi yüklediği saptanır. Üçüncü olarak her veri kategorisi ve işlem türünün açık hükmün sınırı içinde ya da ödevin ifası için zorunlu olup olmadığı açıklanır. Son olarak daha az veriyle yerine getirme, erişim, aktarım ve saklama süresi bakımından 4. maddedeki ilkeler uygulanır. Bu kayıt, iki bendi birlikte yazmanın gerekçesini de yalnız birine dayanmanın sınırını da denetlenebilir kılar.²⁰

8.3. Hayat ve beden bütünlüğünün korunması

Fiilî imkânsızlık hâlinde kişinin hayatını veya beden bütünlüğünü korumak için gerekli veri işleme, Kanunun 5/2-b bendinde açık rıza aranmaksızın işleme sebeplerinden biridir. Bu hüküm, acil durumlarda veri korumasını askıya almaz. Rızanın açıklanamaması ya da açıklanan rızaya hukuki geçerlilik tanınmaması ile kişinin veya başka birinin hayatını yahut beden bütünlüğünü korumak bakımından işlemenin zorunlu olması birlikte aranır. Tehlikenin varlığı, gerekli olmayan bilgileri toplamayı tek başına haklılaştırmaz.²¹

İlk koşul, ilgili kişinin geçerli rızasının neden alınamadığıdır. Bilinci kapalı bir kişinin iradesini açıklayamaması fiilî imkânsızlığa örnek olabilir. Kanunun ayrıca rızasına hukuki geçerlilik tanınmayan kişiyi anması, sorunun yalnız kişinin konuşamaması veya iletişim kuramamasıyla sınırlı olmadığını gösterir. Bununla birlikte kişinin rıza vermek istememesi ile rıza açıklayamayacak durumda olması aynı şey değildir. İlgili kişinin geçerli iradesini açıklayabildiği bir olayda, yalnız rıza işlemlerinin zahmetli olması 5/2-b bendini uygulama sebebine dönüştürmez.²²

İkinci koşul, işlemenin korunmak istenen hayat veya beden bütünlüğü ile somut ve zorunlu bağlantısıdır. Kurum, hürriyeti kısıtlanan kişinin kurtarılması için kendisinin veya şüphelinin kullandığı teknik araçlardan konum verisinin elde edilmesini örnek verir. Bu örnekte önemli olan kullanılan cihazın türü değil, tehlikedeki kişinin bulunmasına hizmet eden konum bilgisinin zorunlu olmasıdır. Konum tespitine gerçekten ihtiyaç bulunmayan bir olayda kişinin bütün iletişim geçmişini çıkarmak veya kayıtları başka amaçlarla kullanmak aynı örnekten hareketle meşrulaştırılamaz.²³

Bentte korunacak hayat veya beden bütünlüğü, verisi işlenen kişinin kendisine ait olmak zorunda değildir. Bir başkasını kurtarmak için üçüncü kişiye ait veriler de gerekli olabilir. Ancak bu imkân, tehlikeyle bağlantısı kurulmamış bütün yakınların, tanıkların veya şüphelilerin verilerini sınırsız toplamaya izin vermez. İşlemenin gerekliliği, ilgili kişi ve veri kategorisi bakımından ayrı değerlendirilir; elde edilen verilerin erişimi ve saklanması da Kanunun 4. maddesindeki amaçla sınırlılık ve ölçülülük ilkelerine tabi olmaya devam eder.²⁴

Örneğin bir yürüyüş sırasında kaybolan ve kendisiyle iletişim kurulamayan kişinin ciddi bir fiziksel tehlikede olduğu varsayılsın. Arama ekibinin son konum bilgisini belirli kişilere iletmesi hayatın korunmasıyla doğrudan ilişkili olabilir. Aynı konum geçmişinin arama bittikten sonra ilgisiz bir pazarlama profiline dönüştürülmesi ise kurtarma amacıyla açıklanamaz. İlk aşamada hukuki sebebin bulunması, sonraki kullanımlar için yeni bir sebep araştırılmasını gereksiz kılmaz.²⁵

Acil durumda sağlık verisi veya başka özel nitelikli veri işlenmesi söz konusuysa yalnız 5/2-b bendine dayanmak yeterli değildir. 7499 sayılı Kanunun 33. maddesiyle değiştirilen 6698 sayılı Kanunun 6/3-c bendi, aynı koruma ihtiyacını özel nitelikli veriler için ayrıca düzenlemiştir. Bu hüküm 5. maddenin genel veri işleme şartıyla aynılaştırılamaz; 6. maddenin uygulanabilir diğer koşulları ve yeterli önlem yükümlülüğü ayrıca değerlendirilir. Sağlık hizmetinin olağan yürütülmesine ilişkin farklı işleme sebepleri de bulunabilir; acil durum hükmü bütün sağlık verilerinin her amaçla işlenmesinin genel dayanağı değildir.²⁶

Kanun ayrıca yurt dışına arızi aktarımlar bakımından hayat ve beden bütünlüğüyle ilgili ayrı bir istisna öngörmektedir. Ancak 9/6-e bendinin uygulanması, 9. maddedeki aktarım sistematiğinin, özellikle arızi olma ve diğer şartlarının değerlendirilmesini gerektirir. İç hukukta bir veriyi işleme sebebinin bulunması, verinin herhangi bir ülkeye sürekli aktarılmasına otomatik olarak izin vermez. Aktarım rejiminin ayrıntıları 13. bölümde ele alınacaktır.²⁷

Uygulamada acil durum kaydı, işlemenin hangi anda ve hangi tehlike karşısında yapıldığını, kişinin geçerli rızasının neden alınamadığını, kimin hayatı veya beden bütünlüğünün korunmasının amaçlandığını, seçilen veri ve işlemin neden zorunlu olduğunu, bilginin kime açıklandığını ve tehlike geçtikten sonra hangi işlemlere son verildiğini göstermelidir. Bu sorular 5/2-b bendinde ayrıca düzenlenmiş bir form zorunluluğu değil, hükmün koşullarını Kanunun genel ilkeleriyle birlikte sınanabilir kılan uygulama yöntemidir.²⁸

8.4. Sözleşmenin kurulması veya ifası için gerekli işleme

Kanunun 5/2-c bendinde sözleşme, kişisel verilerin işlenmesi için kendi başına genel bir izin olarak değil, üç koşulla sınırlanmış bir işleme şartı olarak düzenlenir: Veri, sözleşmenin tarafı olan gerçek kişiye ait olmalı; işleme sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili bulunmalı; bu işleme söz konusu amaç için gerekli olmalıdır. Dolayısıyla taraflar arasında bir sözleşmenin varlığı, o ilişki sırasında elde edilen her verinin her kullanımını hukuka uygun kılmaz. Bent genel nitelikli veriler içindir; 4. maddedeki ilkeler ayrıca uygulanır.²⁹

Doğrudan bağlantı, sözleşmenin metninde veri işleme hakkında bir madde bulunmasından daha fazlasını gerektirir. Değerlendirme, sözleşmenin gerçek konusu ve üstlenilen edim ile belirli veri işleme faaliyeti arasında yapılır. Veri sorumlusunun tercih ettiği yöntemi bir sözleşme hükmüne yazması, bu yöntemi kendiliğinden gerekli kılmaz. Buna karşılık, sözleşmede sayılmamış olsa bile edimin yerine getirilmesi için gerçekten zorunlu olan bir bilgi bu şartın kapsamında bulunabilir. Burada sözleşme hükmünün geçerliliği ile kişisel veri işlemenin hukuki sebebi ayrı meselelerdir.³⁰

Sözleşme henüz kurulmamışken yürütülen her iletişim de bent dışında kalmaz. Örneğin bir kişinin belirli bir hizmetin sağlanıp sağlanamayacağını öğrenmek veya kendisine teklif hazırlanmasını istemek üzere gerekli iletişim ve işlem bilgilerini vermesi, somut koşullarda sözleşmenin kurulmasıyla doğrudan ilişkili olabilir. Ancak herkese gönderilen istenmemiş tanıtım mesajlarını yalnız ileride bir sözleşme kurulabileceği ihtimaliyle bu bende dayandırmak mümkün değildir. Türk Kanunu, sözleşme öncesi talebin mutlaka ilgili kişiden gelmesini açıkça yazmaz; bu yönüyle GDPR m.6/1-b’nin açık ifadesinden ayrılır. Öğretide bu aşamanın dar yorumlanması savunulmaktadır; karşılaştırmalı hukukta kullanılan talep ölçütü Türk hukukunun yazılı ilave şartı olarak sunulmamalıdır.³¹

İfa sırasında kullanılan verilerde ayrım daha somuttur. Satıcının sipariş edilen malı adrese göndermesi için alıcının teslimat bilgisini kaydetmesi, ücretin banka aracılığıyla ödenmesi için ilgili hesap bilgisinin kullanılması veya çalışana ücret ödenmesi için gerekli banka bilgisinin işlenmesi sözleşmenin ifasıyla doğrudan ilişkili olabilir. Kurum rehberi kredi sözleşmesinin kurulması aşamasında gelir ve mali durum belgelerini de örnek verir. Bununla birlikte kredi başvurusunda her mali kaydın, satışta bütün kimlik bilgilerinin veya çalışanın bütün aile verilerinin gerekli olduğu bu örneklerden çıkarılamaz; gereklilik veri kategorisi ve işlem bazında ayrıca açıklanır.³²

Gereklilik, işletme açısından faydalı veya düşük maliyetli olma ile karıştırılmamalıdır. Bir çevrim içi satışta alıcının seçtiği teslim yöntemi önem taşır: Eve teslimatta adres kullanılabilirken yalnız teslim noktasından alınacak ürün için alıcının ev adresinin zorunlu olduğu kolayca söylenemez. Aynı şekilde bir hizmetin işleyişini geliştirmek üzere ayrıntılı kullanım profilleri oluşturmak, mevcut sözleşme kapsamındaki hizmeti sunmak için gerekli olmayabilir. Bu örnekler AB veri koruma kurulunun çevrim içi hizmetlere ilişkin değerlendirmesinde açıkça tartışılır; Türk hukukunda sonuç, 5/2-c bendinin kendi lafzı ve 4. madde ilkeleriyle gerekçelendirilmelidir.³³

Bendin kapsamını belirleyen ayrı bir sınır, verilerin sözleşmenin taraflarına ait olmasıdır. İki şirket arasındaki hizmet sözleşmesinde imzacı yöneticinin, şirket çalışanının veya hizmetten etkilenen üçüncü kişinin kişisel verisi sırf ilgili sözleşme yapıldığı için 5/2-c kapsamına girmez. Bu kişiler sözleşmenin tarafı olan tüzel kişiyle özdeş değildir. Öğretide, temsilcinin iş iletişim bilgilerinin sınırlı işlenmesi bakımından koşulları varsa meşru menfaatin değerlendirilebileceği belirtilir; bu alternatif de kendi zorunluluk ve temel haklar dengesinden bağımsız değildir. Kefil gibi üçüncü kişiler bakımından ayrıca doğrudan taraf olunan ayrı bir sözleşme veya başka hukuki sebep bulunup bulunmadığı somut olarak araştırılmalıdır.³⁴

Sözleşmenin ifası için bir taşıyıcıya, ödeme hizmetine veya teknik sağlayıcıya veri verilmesi de tek bir işlem değildir. Satıcının gönderiyi hazırlaması, teslimat hizmetini yürüten kuruluşun gerekli bilgileri kullanması ve sonradan başka amaçla değerlendirmesi farklı işleme faaliyetleridir. Her aktörün veri sorumlusu veya veri işleyen sıfatı somut karar yetkisine göre belirlenir; taraflar arasındaki hizmet sözleşmesi, ilgili kişinin verilerinin aktarılmasını kendiliğinden haklılaştırmaz. Yurt içi ve yurt dışı aktarımın ek koşulları ayrıca incelenir.³⁵

Sözleşmede genel bir pazarlama maddesi bulunması, teslimat için alınan telefon numarasının reklam, davranışsal profilleme veya ilgisiz hizmetlerin tanıtımında kullanılmasını edimin zorunlu unsuru hâline getirmez. Amaçlar ayrılmalı, her yeni işleme için kendi hukuki sebebi araştırılmalıdır. Kurulun 2021/1243 sayılı karar özetinde insan kaynakları şirketinin reklam e-postası bakımından ilgili kişinin adresini nasıl elde ettiğini ve ileri sürdüğü hukuki dayanağı kanıtlayamadığı saptanmıştır. Bu karar, sözleşmenin ifası hakkında verilmiş genel bir içtihat değil, tanıtım amaçlı işlemenin ayrıca gerekçelendirilmesi gerektiğini somutlaştıran sınırlı bir örnektir.³⁶

Kurulun 2021/603 sayılı yayımlanmış karar özetinde kargo şirketinin, alıcının son siparişte bildirmediği eski işyeri adresine yönlendirme yapması değerlendirilmiştir. Kurul, gönderinin kabulünde adresin işlenmesini hukuki yükümlülük kapsamında ele alırken, farklı bir eski adrese yönlendirmeyi 5. maddede hukuki dayanak bulunmayan ayrı bir işlem olarak nitelemiştir. Eski siparişte meşru biçimde edinilen bilginin sistemde saklanması ile yeni siparişte kullanılması birbirine karıştırılamaz. Yayımlanan metin karar özetidir; bütün dosyanın veya sonraki yargısal sürecin incelendiği anlamına gelmez.³⁷

Kurulun 2023/845 sayılı karar özetinde de teslimatı yapan kargo çalışanının daha sonra alıcının telefonuna kişisel mesaj göndermesi ele alınmıştır. Numaranın teslimat için edinilmiş olması, çalışanın kendi amacıyla daha sonra kullanmasını haklılaştırmamıştır. Kurul, ilgili veri sorumlusunun uygun veri güvenliği tedbirleri bakımından sorumluluğunu değerlendirmiştir. Olay, sözleşme ilişkisinin sağladığı işleme sebebinin çalışanların bağımsız kullanımına taşınamayacağını gösterir; ceza yargılamasının sonucuna ilişkin aktarılan bilgi de Kurul özetinin bildirdiği kapsamla sınırlıdır.³⁸

Sözleşmenin sona ermesi, bütün verilerin aynı anda silinmesi veya bütün verilerin saklanmaya devam edebilmesi anlamına gelmez. İfa için zorunlu işlem tamamlandıktan sonra o amaç bakımından gereklilik ortadan kalkabilir; buna karşılık belirli belgelerin saklanması hukuki yükümlülükten, bir uyuşmazlığın yürütülmesi ise bir hakkın tesisi, kullanılması veya korunması şartından kaynaklanabilir. Her durumda saklanan veri, süre, erişim yetkisi ve yeni amaç yeniden sınanmalıdır. AB veri koruma kurulunun sözleşme sona erdiğinde dayanağı gözden geçirmeye ilişkin rehberi açıklayıcı bir karşılaştırmadır; Türk hukukundaki sonuç Kanunun 4, 5 ve 7. maddeleriyle belirlenir.³⁹

Bir sözleşmenin kurulması veya ifası için işlenmesi istenen veri özel nitelikliyse, 5/2-c bendinin gerçekleşmesi tek başına yeterli değildir; 6. maddedeki özel şartların ayrıca bulunması gerekir. Aynı şekilde başka bir veri sorumlusuna açıklama veya yurt dışına aktarım bakımından uygulanabilir aktarım rejimi ve aydınlatma yükümlülüğü gözetilmelidir. Böylece işleme şartı ile özel veri işleme, aktarım ve şeffaflık yükümlülükleri birbirinin yerine geçirilmez.⁴⁰

Uygulamada önce somut sözleşmenin tarafları ve esas edimi belirlenir; ardından hangi kişinin hangi verisinin hangi işlemde kullanılacağı ayrıştırılır. İşlemin sözleşmenin kurulması veya ifası için niçin doğrudan gerekli olduğu, daha az veriyle aynı sonucun elde edilip edilemeyeceği, üçüncü kişilerin bu bentten neden yararlanamayacağı ve ifa sonrasında hangi dayanağın devam ettiği kaydedilir. Örneğin yalnız teslim noktasından alınacak bir ürün için ev adresi isteniyor ve sonra reklam profiline ekleniyorsa, siparişin varlığını ileri sürmek bu iki kullanımı birden meşrulaştırmaz. Bu inceleme soruları Kanunda düzenlenen bağımsız bir form şartı değil, kanuni şartın somut süreçte denetlenmesine yönelik bir yöntemdir.⁴¹

8.5. Alenileştirme iradesi ve amaç sınırı

İlgili kişinin kişisel verisini kendisinin alenileştirmiş olması, Kanunun 5/2-d bendinde açık rıza aranmaksızın işleme sebeplerinden biridir. Ancak alenileştirme, bir bilginin internetten bulunabilmesi veya başkalarınca öğrenilmiş olmasıyla özdeş değildir. Bu şartın uygulanabilmesi için bilginin ilgili kişinin iradesiyle kamuya açıklanmış olması ve sonraki işlemenin bu açıklamanın amacıyla bağının kurulabilmesi gerekir. İşleme ayrıca Kanunun 4. maddesindeki genel ilkelere uygun olmalıdır.⁴²

Kişisel verinin fiilen erişilebilir olması ile ilgili kişinin onu alenileştirmesi arasında iradeye ilişkin bir fark bulunur. Bir kişinin telefon numarasının üçüncü kişi tarafından paylaşılması, yanlışlıkla açık bırakılan bir kayda erişilmesi veya başka bir internet sitesinin veriyi yeniden yayımlaması tek başına 5/2-d bendinin koşullarını göstermez. Veri sorumlusu, bilginin erişilebildiğini değil, ilgili kişinin hangi veriyi hangi bağlamda kamuya açtığını araştırmalıdır. Kurumun alenileştirme duyurusu, kişinin iradesi olmadan gerçekleşen açıklamayı bu işleme sebebinden ayrı tutar.⁴³

Alenileştirme iradesi tespit edilmiş olsa bile verinin her amaçla işlenebileceği sonucu doğmaz. Kişi, iletişim bilgisini belirli bir işlem veya ilişki için yayımlayabilir. Açıklamanın muhatapları, ortamı, konusu ve kullanıldığı zaman, sonraki işleme faaliyetinin aynı amaçla bağlantılı olup olmadığını anlamaya yardımcı olur. Amaç sınırını belirlemek, kişinin ifade etmediği bütün muhtemel kullanımlara rıza verdiğini varsaymaktan farklıdır. Yücedağ’ın incelemesinde de alenileştirilmiş veri bakımından ilgili kişinin makul beklentileri ve amaca göre dar yorum gereği savunulur; bu, öğretideki gerekçeli bir değerlendirmedir.⁴⁴

Kurumun verdiği örnekte, aracını internette satışa çıkaran kişi, iletişim bilgisini araç hakkında bilgi almak veya satış görüşmesini yürütmek isteyenlerin erişimine açar. İlanı gören kişinin araç için araması açıklamanın amacıyla ilişkili olabilir. Aynı numaranın ilan sitesinden alınarak ilgisiz ürünlerin reklamı veya kapsamlı tüketici profili oluşturulması için kullanılması ise sırf ilanın herkese açık olmasıyla açıklanamaz. Satış için yapılan açıklamanın kapsamı, yeni ve bağımsız pazarlama amacına taşınamaz.⁴⁵

Kurulun 7 Kasım 2019 tarihli ve 2019/331 sayılı yayımlanmış karar özetinde, kişinin mesleki faaliyetleriyle ilgili iletişim bilgisinden yararlanılarak kendisine sigortacılık hizmetleri için arama yapılması incelenmiştir. Kurul, bilgilerin ilgili kişi tarafından açıklandığı varsayılsa dahi bu kullanımın mesleki iletişim amacıyla aynı olmadığını değerlendirmiş ve 5/2-d bendine dayanılamayacağına karar vermiştir. Bu sonuç, kamuya açık her telefon numarasının reklam için kullanılabileceği düşüncesine karşıdır; özetin aktardığı olay ve gerekçenin ötesinde bütün mesleki iletişimleri kapsayan mutlak bir yasak olarak anlaşılmamalıdır.⁴⁶

Aynı ayrım, Kurulun 1 Eylül 2022 tarihli ve 2022/861 sayılı yayımlanmış karar özetinde bir avukatın iş e-posta adresine reklam gönderilmesinde görülür. Kurul, adresin internet aramalarında erişilebilir olduğuna dair değerlendirmeyi kabul etmekle birlikte, mesleki iletişim için kamuya açılmış adresin tanıtım amacıyla kullanılmasının alenileştirme iradesine uygun olmadığını belirtmiştir. Kararda ayrıca reklamın dayanağı olarak ileri sürülen ticari elektronik ileti mevzuatının avukatın statüsü bakımından uygulanabilirliği tartışılmıştır. Ticari ileti gönderilmesine ilişkin kurallarla kişisel veri işlemenin hukuki sebebi ayrı ayrı değerlendirilmelidir.⁴⁷

Kurulun 9 Haziran 2021 tarihli ve 2021/584 sayılı yayımlanmış karar özetinde, sigorta şirketinin telefon numarasını baronun internet sitesinden elde ettiği savunması incelenmiştir. Numaranın belirtilen kaynakta bulunduğu doğrulanamamış; ayrıca böyle bir yayın bulunsaydı dahi avukatla mesleki faaliyeti için iletişime geçilmesiyle sigorta pazarlaması arasında amaç farkı olacağı açıklanmıştır. Bu olayda verinin kaynağına ilişkin kanıt sorunu ile varsayımsal alenileştirme amacının sınırı iki ayrı gerekçedir.⁴⁸

Herkese açık sosyal medya hesabında paylaşılan bir bilgi bakımından da tek soru hesabın görünürlük ayarı değildir. Kişinin paylaşımı gerçekten kendisinin yapıp yapmadığı ve hangi iletişim amacıyla yayımladığı araştırılır. Bir fotoğrafın arkadaşlarıyla paylaşılması, o fotoğrafın yüz tanıma veritabanına alınması veya davranış analizi amacıyla farklı kaynaklarla birleştirilmesi için kendiliğinden hukuki sebep oluşturmaz. Sosyal ağda yayımlanan iş dışı bilgilerin işe alımda kullanılmasına ilişkin sınır, Yücedağ’ın karşılaştırmalı öğretide verdiği örneklerden biridir; somut Türk uygulamasında ayrıca diğer işleme şartları da değerlendirilebilir.⁴⁹

Veri kategorisinin niteliği de önem taşır. Genel nitelikli veriler için 5/2-d bendi öngörülmüşken, 7499 sayılı Kanunun 33. maddesiyle değişen 6698 sayılı Kanunun 6/3-ç bendi özel nitelikli verilerin ilgili kişi tarafından alenileştirilmesini, alenileştirme iradesine uygunluk koşulunu açıkça belirterek ayrı bir işleme sebebi olarak düzenlemiştir. Genel veriyle özel nitelikli verinin şartları aynı hüküm altında değerlendirilmemeli; 6. maddenin özel koruma ve yeterli önlem rejimi ayrıca uygulanmalıdır. Bir açıklamanın yapılmış olması sonraki her sağlık, inanç veya diğer özel veri kullanımını haklılaştırmaz.⁵⁰

Alenileştirme nedeniyle işleme şartı bulunması, veri sorumlusunu gereğinden fazla veri toplamaya, kayıtları süresiz saklamaya veya ilgili kişinin başvuru haklarını yok saymaya yetkili kılmaz. Kaynağın güvenilirliği, işleme amacının başlangıçtaki açıklamayla bağlantısı, alınan veri miktarı, sonraki açıklama ve saklama süresi ayrıca denetlenir. Kamuya açık bir kayda ulaşmakla onu büyük ölçekte toplamak, yeni kişilerle ilişkilendirmek ve başka bir hizmet için yeniden kullanmak farklı işleme faaliyetleri olabilir.⁵¹

Uygulamada alenileştirme iddiası somutlaştırılmalıdır: Hangi kişi, hangi verisini, hangi irade ve amaçla, hangi ortamda açıklamıştır? Yeni işleme açıklamanın bu amacı içinde midir; bilgi ilgili kişinin kendisinden mi yoksa üçüncü kişiden mi edinilmiştir; veri başka amaçla kullanılıyor veya aktarılıyorsa onun ayrı dayanağı var mıdır? Bu sorular kanunda özel bir biçime bağlanmış kayıt şartı değil, 5/2-d bendindeki dayanağın fiilî işlemle eşleşmesini sağlayan uygulama değerlendirmesidir.⁵²

8.6. Bir hakkın tesisi, kullanılması veya korunması

Kanunun 5/2-e bendi, bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması hâlinde ilgili kişinin açık rızası olmadan genel nitelikli kişisel verilerin işlenmesine imkân verir. Korunan hak yalnız veri sorumlusunun hakkı veya açılmış bir davadaki talep olmak zorunda değildir. Ancak belirli hakkın ne olduğu ile onun kurulması, ileri sürülmesi veya savunulması için hangi veri işlemenin gerçekten gerekli bulunduğu açıklanmalıdır. “İleride gerekebilir” düşüncesi bütün kayıtların sınırsız kullanımını ya da süresiz saklanmasını haklılaştırmaz.⁵³

Bir alacağın tahsilini istemek, hukuki başvuru hazırlamak, iddiaya karşı savunma yapmak veya hakkın varlığını gösterecek belirli bir delili korumak bu şart bakımından değerlendirilebilecek işlemlerdir. Hakkın kullanılabilmesi için gerekli bilgi ile konu dışı üçüncü kişilere ait ayrıntılar ayrılmalıdır. İşleme şartı mevcut olsa da verinin elde edilme yöntemi, dosyaya sunulması ve başkalarıyla paylaşılması farklı hukuki işlemlerdir; kişisel verilerin korunmasıyla birlikte usul ve delil hukuku güvencelerine de uyulmalıdır.⁵⁴

Kurulun 25 Haziran 2020 tarihli ve 2020/494 sayılı yayımlanmış karar özetinde, bir kargo şirketinin işe iade davasında çalışanının kamera görüntülerini mahkemeye sunması değerlendirilmiştir. İşveren görüntüleri fesih gerekçesini ispatlamak için sunduğunu açıklamış, Kurul da 5/2-e kapsamında savunma hakkı ile delil arasındaki bağlantıyı incelemiştir. Bu karar, herhangi bir kamera kaydının alınması ve süresiz tutulması için genel izin değildir; görüntünün ilk elde edilmesi ile belirli uyuşmazlıkta kullanılmasının ayrı değerlendirilmesi gerekir.⁵⁵

Hakkın kullanılması dava açılmadan önce de gündeme gelebilir. Kurulun 8 Ağustos 2024 tarihli ve 2024/1359 sayılı karar özetinde, trafik kazasına ilişkin değer kaybı başvurusu yapan kişinin daha önce hasar sürecinde alınmış banka hesap bilgisinin kendisine değer kaybı ödenmesinde kullanılması 5/2-e kapsamında değerlendirilmiştir. Banka hesabının önceki hasar işleminde elde edilmesi, ödeme amacıyla yeniden kullanılması ve ilgili kişinin başvurusuna cevap verilmesi farklı faaliyetlerdir. Karar, herhangi bir ödeme gerekçesiyle başka amaçlar için hesap bilgilerinin sınırsız işlenmesini haklılaştırmaz.⁵⁶

Hak gerekçesiyle gerekli bilgilendirme, herkesin görebileceği bir ifşayı da meşrulaştırmaz. Kurulun 18 Şubat 2026 tarihli ve 2026/348 sayılı ilke kararına ilişkin resmî duyuruda, kat maliklerinin aidat ve ortak gider borçlarından haberdar edilmesi kanuni hak ve alacak ilişkileri içinde değerlendirilmiştir. Bununla birlikte borçlu adı, dairesi ve tutarın asansöre veya bina girişine asılarak belirsiz kişilere açıklanması işleme şartı bulunmayan ayrı bir faaliyet sayılmıştır. Duyuruda yalnız yetkili kişilerin ulaşabileceği kapalı iletişim yöntemleri üzerinde durulmuştur. Böylece hakkın korunması amacı ile bilginin hangi kişilere, hangi yöntemle açıklandığı birbirinden ayrılır.⁵⁷

Uyuşmazlık için gerekli delil saklama süresi, somut hak, belge, kanuni yükümlülük ve uygulanabilecek süre kurallarıyla sınırlı belirlenmelidir. Sözleşme sona ermiş olsa bile ilgili kayıt farklı bir sebeple savunma için bir süre daha saklanabilir; buna karşılık gerçekleşme olasılığı belirsiz bütün ihtilaflar gerekçe gösterilerek bütün çalışan veya müşteri kayıtları süresiz tutulamaz. Saklama sona erdiğinde Kanunun 7. maddesindeki imha koşulları yeniden değerlendirilir.⁵⁸

Özel nitelikli kişisel verilerde aynı ihtiyacın ayrıca bir dayanağı vardır. 7499 sayılı Kanunun 33. maddesiyle değişen 6698 sayılı Kanunun 6/3-d bendi, bir hakkın tesisi, kullanılması veya korunması için zorunlu veri işlemesini özel nitelikli veriler bakımından da öngörmüştür. Turan Başara, 2024 tarihli incelemesinde düzenlemenin özellikle mahkemede savunma ve delil amacıyla hassas verilerin işlenmesine ilişkin sorunlara katkısını tartışmaktadır. Fakat bu bent, karşı tarafın bütün sağlık kayıtlarının alınması için sınırsız bir yetki oluşturmaz; 6. maddenin diğer güvenceleri ve delilin hukuka uygunluğu ayrıca önem taşır.⁵⁹

Uygulamada hangi hakkın, hangi olgu ve delille korunacağı; işlemenin niçin zorunlu olduğu; daha sınırlı bir yöntem bulunup bulunmadığı; kayıtların kime açıklanacağı ve ne kadar tutulacağı belirlenmelidir. Alacaklılara sınırlı bilgi iletmek ile borçlu listesini herkesin göreceği yere asmak, mahkemeye gerekli görüntüyü sunmak ile bütün görüntü arşivini yayımlamak farklı sonuçlar doğurur. Bu sorular Kanunda ayrıca yazılmış bir form şartı değil, 5/2-e hükmünün gereklerini somut işleme faaliyetine uygulamayı sağlayan yöntemdir.⁶⁰

8.7. Meşru menfaat, zorunluluk ve denge değerlendirmesi

Bir okulun güvenlik amacıyla kamera kullanması ile aynı alanlarda bütün konuşmaları kaydetmesi, aynı amaca yönelse bile aynı hukuki değerlendirmeye tabi değildir. Meşru menfaat şartındaki sorun, veri sorumlusunun korunmaya değer bir çıkarının bulunmasından ibaret değildir; bu çıkarın neden belirli verilerin belirli biçimde işlenmesini zorunlu kıldığı ve ilgili kişinin haklarıyla nasıl bağdaştığı da gösterilmelidir. 6698 sayılı Kanun’un 5. maddesinin ikinci fıkrasının (f) bendi, bu unsurları birlikte arar.⁶¹

Menfaat, veri sorumlusunun işlemeyle elde etmek istediği somut yarardır. İşletmenin karşılaştığı belirli bir güvenlik riskinin azaltılması böyle bir yarar olabilir; yalnızca “işlerimizi geliştirmek” denilmesi ise hangi çıkarın korunduğunu açıklamaz. Kurumun rehberi, menfaatin ciddi, belirli ve mevcut olmasını aramaktadır. Yakın gelecekte elde edilecek faydayla henüz ortaya çıkmamış, ne olduğu belirsiz bir ihtimal birbirinden ayrılmalıdır. Meşru menfaat, başka bir bent bulunamadığında işlemi kurtaran genel bir izin olarak kullanılamaz.⁶²

Türk düzenlemesi, bu bentte veri sorumlusunun menfaatini esas alır. Başka bir şirketin veya alıcının yararı, veri sorumlusunun kendi menfaati açıklanmadan yeterli dayanak sayılamaz. Öğretide Yücedağ da hükmün bu yönünü, üçüncü kişinin menfaatini ayrıca kapsayan Avrupa düzenlemesinden ayırmaktadır. Bununla birlikte, üçüncü kişinin de fayda sağlaması veri sorumlusunun menfaatini kendiliğinden ortadan kaldırmaz; hangi aktörün hangi işleminden söz edildiği belirlenmelidir.⁶³

Zorunluluk, işlemeyle menfaat arasındaki bağın sınanmasını gerektirir. Aynı yarar kişisel veri kullanılmadan veya daha az veriyle sağlanabiliyorsa, seçilen yöntemin neden gerekli olduğu açıklanamaz. Bir yöntemin daha kolay, daha ucuz veya kurumun alışkanlıklarına uygun olması, tek başına bu sınamayı karşılamaz. Yıldız’ın incelemesinde de menfaatin varlığı, gereklilik ve haklarla dengeleme ayrı değerlendirme aşamaları olarak ele alınmaktadır. Aşamaların iki veya üç başlıkta toplanması, kanundaki zorunluluğun ayrıca incelenmesi gereğini değiştirmez.⁶⁴

Kurulun 2023/1461 sayılı karar özetinde, eğitim kurumunun güvenlik için görüntü kaydetmesi ile buna ses kaydı eklemesi ayrılmıştır. Görüntünün amacı karşılamaya yeterli olduğu olayda ek ses kaydı gerekli görülmemiş; konuşmaların sürekli kaydedilmesinin kişilerin makul beklentilerini aşması da değerlendirilmiştir. Bu karar, bütün okullarda her kamera kullanımının hukuka uygun olduğu sonucunu vermez. İşlenen veri türündeki artışın ayrıca gerekçelendirilmesi gerektiğini gösterir.⁶⁵

Denge değerlendirmesinde, menfaatin karşısına yalnızca soyut bir “mahremiyet” ifadesi konulamaz. Hangi kişinin hangi hakkının, hangi kayıt, erişim veya kullanım nedeniyle etkilendiği açıklanmalıdır. Verinin niteliği, işlemenin kapsamı, alıcılar, kişiyle kurum arasındaki ilişki ve kişinin makul beklentileri birlikte önem taşır. Öğretide bu etkenler ile ek koruyucu önlemlerin birlikte ele alınması önerilmektedir. Örneğin işyerine girişin kaydedilmesini öngörebilmek, işçinin bütün özel yazışmalarının incelenmesini de öngörmesi gerektiği anlamına gelmez.⁶⁶

Kurumun Eylül 2026 tarihli işyeri iletişim denetimi ilke kararına ilişkin duyurusu da teknik erişim imkânıyla hukuki erişim yetkisini ayırmaktadır. Duyuruda kademeli denetim, daha az müdahaleci yöntem ve içerik incelemesinin somut olayla bağlantısı üzerinde durulmuştur. İşverene ait sistemin kullanılması, çalışanın özel iletişim alanı üzerindeki güvenceleri kaldırmaz. Çalışma hayatındaki uygulama 23. bölümde ayrıca ele alınacaktır.⁶⁷

Ticari faydanın bulunması da tek başına yeterli değildir. Kurulun 2019/78 sayılı karar özetinde, menfaatin yalnızca kâr veya ekonomik yarar elde edilmesiyle açıklanmaması gerektiği belirtilmiştir. Somut olayda yanlış yakıt dolumunun önlenmesi; tüketicinin zararı, şirketin sorumluluğu ve hizmet kalitesiyle birlikte değerlendirilmiş, kullanım belirli amaç ve aydınlatma koşullarıyla kabul edilmiştir. Dolayısıyla bu karar, işletmenin gelirini artıran her kullanım için genel bir dayanak sağlamaz.⁶⁸

Erişimin yetkili kişilerle sınırlandırılması, gerekli kayıtlarla yetinilmesi ve saklama süresinin dar tutulması, ilgili kişi üzerindeki etkiyi azaltabilir. Ancak güvenlik tedbirleri, gerekli olmayan bir işlemeyi zorunlu hâle getirmez. Denge değerlendirmesinin olumlu olması da aydınlatma ve genel ilkelere uyma yükümlülüklerini ortadan kaldırmaz.⁶⁹

Özel nitelikli kişisel verilerde ise 5. maddenin bu bendine dayanılmasıyla yetinilemez. Örneğin iş sağlığı ve güvenliği bakımından işverenin menfaatinin bulunması ile sağlık verisinin işlenmesini mümkün kılan hukuki şart farklıdır. 2024 değişikliğiyle getirilen 6. maddenin üçüncü fıkrasının (f) bendi, ilgili alanlardaki hukuki yükümlülüklerin yerine getirilmesi için zorunluluğu esas alır; genel bir meşru menfaat izni getirmez.⁷⁰

Uygulamada değerlendirme kaydı; korunan somut menfaati, kullanılan veriyi, daha az müdahaleci seçenekleri, etkilenen hakları ve alınan önlemleri birbirine bağlamalıdır. Böyle bir kayıt, sonucu önceden belirlenmiş bir form doldurmaya indirgenemez. İşlemin kapsamı, alıcıları veya kişiler üzerindeki etkisi değiştiğinde önceki gerekçenin hâlen geçerli olup olmadığı yeniden incelenmelidir.⁷¹

8.8. Hukuki sebeplerin birlikteliği ve sonradan değiştirilmesi

Aynı çalışanın banka hesap numarası ücretin ödenmesinde, kanuni kayıtların tutulmasında ve bir uyuşmazlıkta ödemenin ispatında kullanılabilir. Verinin aynı olması, bu işlemlerin amaç ve hukuki sebeplerinin aynı olduğu anlamına gelmez. Değerlendirme, “çalışan verileri” gibi geniş bir küme için topluca yapılırsa işlemler arasındaki sınır kaybolur. Hangi verinin hangi amaçla, hangi aşamada ve ne süreyle kullanılacağı ayrı belirlenmelidir.⁷²

Bir işlem aynı anda birden fazla şartı karşılayabilir. Kurumun rehberindeki bordro örneğinde sözleşmenin ifası ile hukuki yükümlülük birlikte ele alınmaktadır. Bunun sonucu, bütün bentlerin aydınlatma metnine sıralanabilmesi değildir. Her sebebin somut işlemle bağlantısı ve kendine özgü koşulları açıklanmalıdır; karşılanmayan bir koşul, başka bir bendin adı yazılarak tamamlanamaz.⁷³

Burada gerçek örtüşme ile alternatif sebepleri belirsiz biçimde yığmak birbirinden ayrılmalıdır. Ücret ödemesinin gerektirdiği veriler için dayanak bulunması, aynı verilerin reklam amacıyla kullanımını da kapsamaz. Diğer taraftan iş sözleşmesinin sona ermesi, belirli belgelerin hukuki yükümlülük veya somut bir hakkın korunması için gerekli ölçüde saklanmasını her durumda sona erdirmez. Saklamanın sürmesiyle verilerin günlük işleyişte kullanılmaya devam edilmesi farklı işlemlerdir; kalan amaç ve süre bakımından yeniden değerlendirme gerekir.⁷⁴

Amaç değişikliği de yalnızca hukuki sebebin adını değiştirme meselesi değildir. Kurulun 2019/78 sayılı kararında kanuni denetim için tutulan kayıtların araç tanıma sisteminde kullanılması yeni işleme olarak ele alınmıştır. Yeni amaç için uygun şartın bulunması yanında genel ilkelere uyum da aranmıştır. Önceden hukuka uygun elde edilmiş veri, bu nedenle her yeni kullanım için hazır bir kaynak sayılamaz.⁷⁵

Amaç değiştiğinde yeni faaliyetten önce aydınlatma yapılması, Aydınlatma Tebliği’nin açık gereğidir. Amaç aynı kalırken hukuki sebebin değiştiği ileri sürülüyorsa da ilgili kişiye yanlış veya yanıltıcı bilgi verilmemesi ve uygulanan şartın açıkça gösterilmesi gerekir. Bilgilendirme, maddi koşulları eksik bir işlemi hukuka uygun hâle getirmez; önce işlemenin o sebebe gerçekten dayanıp dayanamayacağı belirlenmelidir.⁷⁶

Özellikle açık rıza, başka bir dayanağın yanında ihtiyaten alınan ve gerektiğinde etkisiz bırakılan bir onaya dönüştürülemez. Kişiye işlemeyi durdurabilecekmiş izlenimi verilip rızasını geri aldığında aynı işlemin meşru menfaat gerekçesiyle sürdürüleceğinin açıklanması, Kurum tarafından dürüstlük yönünden sorunlu görülmektedir. Gerçekten bağımsız bir saklama yükümlülüğünün bulunmasıyla, rızaya bağlı kullanımın geri alma sonrasında başka ad altında sürdürülmesi ayrı değerlendirilmelidir.⁷⁷

Karşılaştırmalı hukukta EDPB de rızaya dayandırılan işlemenin, rızanın geçerliliği sorunlu çıkınca geçmişe dönük olarak meşru menfaatle haklılaştırılmasına karşı çıkmaktadır. Aynı rehber, başka bir amaç ve bağımsız dayanakla saklanması gereken verilerin durumunu ayrıca ele alır. Bu açıklama GDPR’ye ilişkindir; Türk hukukunda sonuç, 6698 sayılı Kanun’un işleme şartları ve dürüstlük ilkesi ile aydınlatma düzenlemesinden hareketle kurulmalıdır.⁷⁸

Bu nedenle hukuki sebepte değişiklik değerlendirilirken değişen olgu ve uygulanacak tarih gösterilmelidir. Yeni dayanak gerçekten doğmuşsa bundan sonraki işlem onun kapsamına göre incelenir; sonradan doğan sebep, önceki dönemde bulunmayan hukuki dayanağı geçmişe taşımaya yetmez. Sebeplerden biri ortadan kalkınca kalan işlemin amacı, kapsamı ve süresi daraltılabilir veya başka bir dayanak yoksa işleme sona erer. Belirleyici olan dosyada kaç hukuki sebep yazdığı değil, devam eden her işlemin kendi koşullarını karşılamasıdır.⁷⁹

Bölümün dipnotları

İçindekiler · Ayrıntılı kitap planı