Kişisel Verilerin Korunması · Çevrimiçi kitap
Ek C — Veri işleme değerlendirmesi ve meşru menfaat kaydı
Geliştirilmekte olan metin Son düzenleme:
Bir değerlendirme kaydı, kanunun bütün şartlarını yan yana işaretlemek için değil, somut faaliyetin gerekçesini görünür kılmak için tutulur. Aşağıdaki örnek kurgusaldır. “Örnek Atölye”nin çevrim içi ürün siparişini kabul edip teslim ettiği; yalnız genel nitelikli müşteri verisi kullandığı ve özel nitelikli veri işlemediği varsayılmıştır. Gerçek bir işletme veya ürünün uygunluğu hakkında karar verilmemektedir.
Doldurulmuş faaliyet değerlendirmesi
| Soru | Örnekteki cevap | Hukuki etkisi |
|---|---|---|
| İşlem ve amaç | Siparişin alınması ve ürünün müşteriye gönderilmesi | “Ticari faaliyetler” gibi her kullanımı kapsayan amaç yazılmaz |
| Veri ve kişi | Alıcı adı, teslim adresi, sipariş içeriği; sözleşmenin tarafı müşteri | Ürünün gönderilmesiyle ilgisiz sağlık, kimlik fotokopisi ve pazarlama profili toplanmaz |
| Aktör | Atölye sipariş amacını/kapsamını belirler; teslim hizmetinin rolü somut ilişkisine göre ayrılır | Her sağlayıcıya tek etiket konulmaz |
| Hukuki sebep | Sözleşmenin ifasıyla doğrudan ilgili ve gerekli işleme için 5/2-c | Sözleşmenin tarafı olmayan kişinin verisi aynı sebeple otomatik açıklanmaz |
| Alıcı ve kapsam | Teslimi sağlayana yalnız ilgili teslimat kaydı; bütün müşteri arşivi açılmaz | Aktarım şartı ve gerekliyse 9. madde ayrıca incelenir |
| Aydınlatma | Sipariş alınırken amaç, sebep, alıcı ve hakların açıklanması | İşlemin rızaya dayanmaması aydınlatmayı kaldırmaz |
| Saklama | Operasyonel teslim kaydı ile varsa hukuki saklama/delil nüshası amaç bazında ayrılır | “Bütün müşteri dosyaları süresiz” sonucu yoktur |
| Tedbir ve başvuru | Göreve göre erişim, teslimat hatasının düzeltilmesi, yetkili başvuru muhatabı | Sebep bulunduğu için doğruluk ve güvenlik denetimi sona ermez |
Bu kayıt yalnız sipariş amacını değerlendirir. Aynı verinin kampanya gönderme, davranış profili çıkarma veya genel model eğitimi için kullanılması yeni bir amaç ve sebep incelemesi gerektirir. Seçilen sebebi değiştirmek, geçmişteki dayanaksız kullanımı kendiliğinden düzeltmez.1
Meşru menfaat için gerekçeli karşılaştırma
Atölyenin, hesap güvenliği amacıyla bütün ziyaretçilerin ayrıntılı cihaz parmak izini sürekli toplamak istediği ikinci bir varsayım ele alınsın. Öneren kişi, saldırıların önlenmesi ve hesapların korunmasını menfaat olarak göstermektedir. Buna karşılık örnekte geçmiş olay kaydı veya bu ölçekte izlemeyi gerekli kılan bir bulgu sunulmamıştır.
| İnceleme | Örnekte gerekçe ve karşı gerekçe | Değerlendirme |
|---|---|---|
| Belirli menfaat | Hesaba yetkisiz girişin önlenmesi | Soyut “güvenlik” yerine olay ve işlev açıklanmalı |
| Zorunluluk | Sürekli ayrıntılı izleme öneriliyor; başarısız girişlerin sınırlı kaydı ve erişim kontrolleri gibi seçenekler karşılaştırılmamış | Bu kapsamın neden gerekli olduğu gösterilmemiş |
| Kişinin hakları | Bütün ziyaretçilerin farklı oturumlardaki davranışı ilişkilendirilebilir; beklenti ve etki ayrıca incelenmeli | Sadece işletmenin yararı yeterli değil |
| Daha dar yol | Gerekli alanlarla sınırlı olay kaydı, görevli erişimi ve amaca bağlı kısa süre önerisi | Her dar çözüm peşinen uygun sayılmaz; fiilî kapsam ve ihtiyaç doğrulanmalı |
| Sonuç | Sunulan gerekçe, önerilen sürekli ve ayrıntılı toplama için yeterli değil | Önerilen faaliyet bu kayda dayanılarak başlatılmaz |
Meşru menfaat bir puan toplamı veya rıza almanın zor olduğu her durumda başvurulacak artık sebep değildir. Türk 5/2-f’deki zorunluluk ve ilgili kişinin temel hak ve özgürlüklerine zarar vermeme koşulu birlikte aranır. İşletmenin güvenlik yararı ciddiye alınmalı; fakat bu yarar neden daha az veriyle sağlanamadığı açıklanmadan bütün kullanımları kapsayan izin gibi görülemez. Bu değerlendirme, özel nitelikli veriler için 6. maddede bulunmayan genel bir menfaat şartı yaratmaz.2
Gerçek kayıtta değerlendirmeyi yapan görev, tarih, kullanılan somut bilgi, kabul veya ret gerekçesi ve yeniden inceleme sebebi de bulunmalıdır. Örnekte veri akışı, amaç veya saldırı örüntüsü değişirse önceki değerlendirmeye yalnız yeni tarih atmakla yetinilemez. Bu formun işlevi, gerekçenin ve karşı görüşün sonradan izlenebilmesidir.
6698 sayılı Kanun, m.3–5,7–12; yeni 6/9 için7499, m.33–34. Ayrıntılı şart ve rol incelemesi 6–8 ve 12–13. bölümlerdedir. ↩
6698 sayılı Kanun, m.4 ve 5/2-f; yeni 6. madde. Nitelikli öğreti ve karşı görüşler 8.7’deki kaynaklarla birlikte okunmalıdır; bu kurgusal form bir teknik ölçüm veya gerçek menfaat deneyi sonucu değildir. ↩