6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) uyarınca, kişisel verilerin işlenebilmesi için belirli hukuki sebeplerden en az birinin varlığı gerekmektedir. Bu yazıda, KVKK veri işleme şartları, 5. maddede sayılan hukuka uygunluk sebepleri ve pratikte nasıl uygulanabilecekleri hakkında genel bir çerçeve sunulmaktadır.
Genel Kural: Hukuka Uygunluk
KVKK'nın 4. maddesi, kişisel verilerin hukuka ve dürüstlük kurallarına uygun, belirli amaçlarla, sınırlı ve ölçülü şekilde işlenmesi gerektiğini belirtmektedir. 5. madde ise işlemenin dayanacağı somut hukuki sebepleri düzenlemektedir. Bu sebeplerden birinin bulunması, işlemenin hukuka uygun sayılması için temel şarttır.
KVKK 5. Madde Kapsamındaki İşleme Şartları
KVKK'nın 5. maddesinde, kişisel verilerin aşağıdaki şartlardan en az birinin varlığı halinde işlenebileceği öngörülmektedir:
- Açık rıza: İlgili kişinin özgür iradesiyle, belirli bir konuda, bilgilendirilmiş olarak verdiği rıza.
- Sözleşmenin kurulması veya ifası: Veri sorumlusu ile ilgili kişi arasında bir sözleşme varsa veya sözleşme öncesi gerekli adımlar atılıyorsa, sözleşmeye ilişkin verilerin işlenmesi.
- Hukuki yükümlülük: Veri sorumlusunun hukuki bir yükümlülük nedeniyle veri işlemesi (örneğin vergi mevzuatı, faturalama).
- Hayati çıkarın korunması: İlgili kişinin veya başkasının hayatı veya beden bütünlüğü için zorunlu olan durumlar.
- Kamunun tâbi olduğu bir görevin ifası: Kamu kurumlarının kanunla verilen görevlerini yerine getirmesi.
- Meşru menfaat: Veri sorumlusunun meşru menfaati, ilgili kişinin temel haklarından ağır basmıyorsa işleme yapılabilir.
Açık Rıza Kullanım Alanları
Açık rıza, KVKK'da sayılan diğer sebeplerden hiçbiri bulunmadığında tercih edilen yol olarak değerlendirilebilir. Pazarlama e-postaları, bülten aboneliği, çerez onayı, profil oluşturma, yurt dışına veri aktarımı ve özel nitelikli kişisel verilerin işlenmesi gibi durumlarda açık rıza sıklıkla kullanılmaktadır. Rızanın özgür iradeye dayanması, belirli bir konuda verilmesi ve aydınlatılmış olması gerekmektedir. Genel ve belirsiz rıza metinleri yetersiz sayılabilir.
Sözleşmenin İfası
E-ticaret sitelerinde sipariş süreci, fatura düzenleme, teslimat adresi ve iletişim bilgilerinin kullanımı genellikle sözleşmenin ifası kapsamında değerlendirilebilir. Aynı şekilde, hizmet sözleşmesi kapsamında müşteri bilgilerinin işlenmesi de bu sebebe dayandırılabilir. Ancak pazarlama, analitik veya üçüncü taraf aktarımı gibi sözleşmenin doğrudan gereği olmayan işlemler için ayrı hukuki sebep gerekebilir.
Meşru Menfaat
Meşru menfaat, özellikle iş ilişkisi yönetimi, dolandırıcılık önleme, IT güvenliği veya müşteri şikâyetlerinin takibi gibi alanlarda gündeme gelebilir. Kurul kararlarında meşru menfaat değerlendirmesinin somut olguya göre yapıldığı ve dengenin ilgili kişinin lehine bozulmaması gerektiği vurgulanmaktadır. Bu sebebin uygulanabilirliği hukuk danışmanı ile değerlendirilebilir.
Aydınlatma Metninde Hukuki Sebep
Aydınlatma metninde, her veri işleme faaliyeti için hangi hukuki sebebe dayanıldığı açıkça belirtilmelidir. Örneğin "Siparişinizin teslimatı için adres bilgileriniz sözleşmenin ifası amacıyla işlenmektedir" veya "Pazarlama e-postaları için açık rızanız alınmaktadır" gibi ifadeler kullanılabilir. Aydınlatma metninin tutarlı ve anlaşılır olması önerilir.
Sonuç
KVKK veri işleme şartları, kişisel verilerin hukuka uygun işlenmesinin temelidir. Her veri işleme faaliyeti için uygun hukuki sebebin tespiti ve aydınlatma metninde açıklanması gerekir. Hangi sebebin sizin faaliyetinize uygun olduğu hukuk danışmanınızla netleştirilebilir.