Açık Rıza Dışındaki Veri İşleme Şartları, Hakkin Kötüye Kullanilmasi Olarak Nitelendirilen Durumlar ve Diger Önemli Hususlar

Yapay zeka uyarısı

Bu blog yazısında bağlantı verilen mahkeme kararları gerçektir ve doğruluğu garanti edilmektedir ancak blog yazısı yapay zeka tarafından üretilmiştir ve hata içerebilir. Açıklamak gerekirse; linkle tıklanarak açılan karar dokumanlarının doğruluğu garanti edilmektedir. Ancak linkle açılmayan, doğrudan blog yazısında geçen her ifade; bunlara blog yazısında yer alan künye bilgileri de dahil olmak üzere yapay zeka tarafından üretilmiştir ve hata içerebilir.

AÇIK RIZA DIŞINDAKİ DİĞER VERİ İŞLEME ŞARTLARI, HAKKIN KÖTÜYE KULLANILMASI OLARAK NİTELENDİRİLEN DURUMLAR VE DİĞER ÖNEMLİ HUSUSLAR

Kişisel Verilerin Korunması Kanunu (KVKK) uyarınca kişisel veriler, kural olarak ancak “ilgili kişinin açık rızası” ile işlenebilir. Bununla birlikte, Kanun’un 5’inci maddesinin (2) numaralı fıkrasında sayılan istisnai hâllerde ise açık rıza aranmaksızın da kişisel veri işlenmesi mümkündür. Özellikle uygulamada, hangi durumların “açık rıza dışındaki işleme şartları” kapsamında değerlendirilebileceği ve “hakkın kötüye kullanımı” olarak tanımlanan durumların çerçevesi tartışma konusu olmaktadır.

Aşağıdaki açıklamalar, Kişisel Verileri Koruma Kurulu tarafından verilen çeşitli emsal kararlar ışığında hazırlanmıştır. Metnin sonunda atıf verilen kararların (kunyeleriyle birlikte) [documentID] numaralarına tıklayarak ilgili linklerden detaylı metinlere erişebilirsiniz.

1. Açık Rıza Dışındaki Veri İşleme Şartları ve Kararlarda Yapılan Atıflar

KVKK m.5/2 hükmü gereğince, ilgili kişinin açık rızası aranmaksızın kişisel veriler aşağıdaki şartlardan en az birinin varlığı hâlinde işlenebilir:

Kanunlarda açıkça öngörülmesi,
Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için veri işlemenin zorunlu olması,
Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşme taraflarına ait kişisel verilerin işlenmesinin gerekli olması,
Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
İlgili kişinin kendisi tarafından alenileştirilmiş olması,
Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlemenin zorunlu olması.

Emsal Kararlar

Kişisel Verileri Koruma Kurulu, E. - , K. 2023/1509, T. 31.08.2023
(Document ID: f4002776-313c-4311-b476-727785adef5a)
Link: https://app.dejure.ai/dokuman/f4002776-313c-4311-b476-727785adef5a

Bu kararda Kurul, Kanun’un 5’inci maddesinin (2) numaralı fıkrasında sayılan işleme şartlarının (a), (c), (ç) ve (f) bentleri uyarınca veri işlenebileceğine işaret etmiş ve verinin söz konusu bentlerden birine dayanarak işlendiği durumda ek olarak ilgili kişiden açık rıza alınmasına gerek olmadığına vurgu yapmıştır.
Kişisel Verileri Koruma Kurulu, E. - , K. 2020/559, T. 22.07.2020
(Document ID: 7bb5ab16-b007-4063-a253-29d4680851a4)
Link: https://app.dejure.ai/dokuman/7bb5ab16-b007-4063-a253-29d4680851a4

Kararda, açık rıza dışındaki şartların varlığı hâlinde veri sorumlusunun açık rızaya başvurmasının gereksizliğine değinilmiş ve özellikle meşru menfaat (m.5/2-f) dayanağının dikkatle değerlendirilmesi gerektiği belirtilmiştir.

2. Hangi Durumlarda Açık Rıza Talep Etmek “Hakkın Kötüye Kullanımı” Sayılır?

Kanun’da öngörülen açık rıza dışındaki işleme şartlarının mevcut olduğu durumlarda, ilgili kişiden “her hâlükârda açık rıza” talep edilmesi, uygulamada “hakkın kötüye kullanımı” olarak nitelendirilebilmektedir. Bu durum özellikle şu hâllerde gündeme gelir:

Veri sorumlusunun aslen Kanun’un 5’inci maddesinin (2) numaralı fıkrasındaki bir şarta (örneğin meşru menfaat veya sözleşmenin ifası) dayanarak hukuka uygun veri işleyebileceği hâlde, ilgili kişiye açık rıza alınması zorunluymuş gibi davranılması,
Verinin işlenmesi zaten kanunlarda açıkça öngörülen bir faaliyetten kaynaklandığı hâlde veri sorumlusunca ilgiliden açık rıza istenmesi.

Emsal Kararlar

Kişisel Verileri Koruma Kurulu, E. - , K. 2020/559, T. 22.07.2020
(Document ID: 7bb5ab16-b007-4063-a253-29d4680851a4)
Link: https://app.dejure.ai/dokuman/7bb5ab16-b007-4063-a253-29d4680851a4

Bu kararda, veri sorumlularının mevcut bir başka veri işleme şartı söz konusu iken açık rızaya başvurmasının “aldatıcı” ve hakkın kötüye kullanımı olarak değerlendirileceği net şekilde belirtilmiştir.
Kişisel Verileri Koruma Kurulu, E. - , K. 2023/1509, T. 31.08.2023
(Document ID: f4002776-313c-4311-b476-727785adef5a)
Link: https://app.dejure.ai/dokuman/f4002776-313c-4311-b476-727785adef5a

Kararda, açık rızanın hizmetin veya ürünün sunulmasında bir ön koşul hâline getirilmesinin ilgili kişinin yanıltılmasına yol açabileceği ve bunun Kanun’un 4’üncü maddesinde yer alan “hukuka ve dürüstlük kuralına uygun olma” ilkesine aykırı olacağı vurgulanmıştır.

3. Açık Rıza Dışındaki Şartlara Dayanarak Veri İşleyen Veri Sorumlularının Şeffaflığı Nasıl Sağlayacağı

Kanun’un 10’uncu maddesi uyarınca, veri sorumluları, hangi veri işleme şartına dayanıyor olurlarsa olsunlar, kişisel verileri elde ettikleri sırada veya en geç verilerin elde edilmesi anında ayrıntılı bir aydınlatma yapmakla yükümlüdürler. Bu aydınlatma metninde:

Veri sorumlusunun kimliği,
İşleme amacı,
İşlenen veri kategorileri,
Kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
Veri toplamanın hukuki sebebi,
İlgili kişinin hakları (KVKK m.11)
mutlaka belirtilmelidir.

Açık rıza dışındaki bir şarta dayanan veri sorumlusu, “Meşru menfaatim var, rızaya gerek yok.” diyerek aydınlatmayı ihmal edemez; aksine, hangi kanuni dayanağa veya hangi meşru menfaate istinaden veri işlediğini net, anlaşılır ve somut biçimde açıklamalıdır.

Emsal Kararlar

Kişisel Verileri Koruma Kurulu, E. - , K. 2023/692, T. 02.05.2023
(Document ID: daba75a9-7731-4edb-9b13-fe8f7b145f8d)
Link: https://app.dejure.ai/dokuman/daba75a9-7731-4edb-9b13-fe8f7b145f8d

Bu kararda, veri sorumlusunun açık rıza dışındaki şartlara dayanırken ayrıntılı bir bilgilendirme (aydınlatma) yapmakla yükümlü olduğu ve aksi hâlde veri işlemenin ilgili kişiyi yanıltıcı veya ölçüsüz sonuçlar doğurabileceği vurgulanmıştır.
Kişisel Verileri Koruma Kurulu, E. - , K. 2020/559, T. 22.07.2020
(Document ID: 7bb5ab16-b007-4063-a253-29d4680851a4)
Link: https://app.dejure.ai/dokuman/7bb5ab16-b007-4063-a253-29d4680851a4

Karar metninde açıkça, veri sorumlusu eğer işleme faaliyetini “meşru menfaat” (m.5/2-f) veya “sözleşmenin ifası” (m.5/2-c) gibi istisnalara dayandıracaksa bunu ilgili kişiye açık, anlaşılır, spesifik şekilde aktarması, “geniş ve muğlak ifadelerle” aydınlatma yapmaması gerekliliği belirtilmiştir.

4. Açık Rıza Dışındaki Şartlara Dayanıldığında, Rızanın Geri Çekilmesinin Somut Etkisi Neden Olmaz?

KVKK kapsamında, açık rızaya dayalı işlenen veriler bakımından, ilgili kişi rızasını her zaman geri çekebilir ve bu geri çekme ileriye etkili sonuç doğurur. Buna karşın, açık rıza dışındaki şartlara (örneğin meşru menfaat, hukuki yükümlülük, kanunlarda açıkça öngörülmesi vb.) dayanan veri işleme faaliyetlerinde, ilgili kişinin rıza verip vermemesi veya rızayı sonradan geri çekmesi temel işleme sebebini etkilemeyecektir. Yani veri sorumlusunun, rıza dışında yasal bir temeli varsa veri işleme devam edebilir.

Emsal Karar

Kişisel Verileri Koruma Kurulu, E. - , K. 2023/1509, T. 31.08.2023
(Document ID: f4002776-313c-4311-b476-727785adef5a)
Link: https://app.dejure.ai/dokuman/f4002776-313c-4311-b476-727785adef5a

Kurul kararında, rızayı geri çekmenin ancak veri işleme faaliyeti “açık rıza” şartına dayanıyorsa geçerli olacağı, başka bir işleme şartı (örneğin “Kanunlarda açıkça öngörülme” veya “Veri sorumlusunun hukuki yükümlülüğü” gibi) varlığında verilerin işlenmesinin durdurulmasının beklenemeyeceği açıkça belirtilmiştir.

Sonuç ve Değerlendirme

Açık rıza dışındaki veri işleme şartları (Kanun’da açıkça öngörülme, fiili imkânsızlık, sözleşmenin ifası, hukuki yükümlülük, alenileştirme, hakkın tesisi/kullanılması/korunması, meşru menfaat) sıkça uygulanan istisnalardır.
Bu şartlardan en az birine dayanılıyor olmasına rağmen her durumda “açık rıza” talep etmek, Kanun’daki deyimle “hakkın kötüye kullanılması” olarak kabul edilir.
Veri sorumluları, açık rıza dışında bir işleme şartına dayanıyor olsalar dahi; m.10’daki aydınlatma yükümlülüğü gereği açık ve anlaşılır bir bilgilendirme yapmak zorundadırlar.
Açık rıza dışındaki herhangi bir şarta dayanan veri işleme faaliyetinde, ilgili kişinin “rızayı geri çekmesi” talebinin somut etkisi bulunmaz. Çünkü veri sorumlusu, halihazırda rızaya ihtiyaç duymayan yasal bir gerekçeyle veri işleme yetkisine sahiptir.

Bu esaslar ışığında, işletmeler ve kamu kurumları başta olmak üzere tüm veri sorumlularının, Kanun’un 4’üncü maddesindeki temel ilkeler (hukuka ve dürüstlük kuralına uygun olma, belirli ve meşru amaç, ölçülülük vb.) çerçevesinde, açık rıza dışındaki işleme şartlarını ihtiyaca göre doğru konumlandırmaları, yoksa da yapay şekilde “açık rıza” toplamaktan kaçınmaları önem taşımaktadır.

Emsal Karar Künye ve Linkleri

Kişisel Verileri Koruma Kurulu, E. - , K. 2023/1509, T. 31.08.2023
Document ID: f4002776-313c-4311-b476-727785adef5a
https://app.dejure.ai/dokuman/f4002776-313c-4311-b476-727785adef5a
Kişisel Verileri Koruma Kurulu, E. - , K. 2020/559, T. 22.07.2020
Document ID: 7bb5ab16-b007-4063-a253-29d4680851a4
https://app.dejure.ai/dokuman/7bb5ab16-b007-4063-a253-29d4680851a4
Kişisel Verileri Koruma Kurulu, E. - , K. 2023/692, T. 02.05.2023
Document ID: daba75a9-7731-4edb-9b13-fe8f7b145f8d
https://app.dejure.ai/dokuman/daba75a9-7731-4edb-9b13-fe8f7b145f8d

Not: Bu metin, ilgili Kurul kararlarından özetlenmiş emsal bilgiler içermektedir. Detaylı bilgi için yukarıdaki linkler üzerinden kararların tam metinlerine ulaşılabilir.