Data Protection Principles

Also known as: Proportionality Principle, Purpose Limitation, Data Minimisation, Genel İlkeler

In short

The principles in Article 4 of the KVKK that apply to every processing activity, whatever the legal basis: lawfulness and fairness, accuracy, purpose limitation, proportionality and storage limitation.

KVKK’nın 4. maddesi, kişisel verilerin ancak Kanun’da ve diğer mevzuatta öngörülen usul ve esaslara uygun olarak işlenebileceğini belirttikten sonra beş genel ilke sayar. Bu ilkeler, hangi işleme şartına dayanılırsa dayanılsın her veri işleme faaliyetinde uygulanır. Kurul kararlarında en sık atıf yapılan hükümlerin başında gelir.

İlkeler

Hukuka ve dürüstlük kurallarına uygun olma: Veri işleme, ilgili kişinin makul beklentilerini gözetmeli; gizli veya yanıltıcı yöntemlerle yapılmamalıdır.
Doğru ve gerektiğinde güncel olma: Yanlış veya eskimiş verilere dayanarak kişi hakkında karar verilmemeli; veri sorumlusu verilerin doğruluğunu sağlayacak kanalları açık tutmalıdır.
Belirli, açık ve meşru amaçlar için işlenme: Amaç, veri toplanmadan önce belirlenmeli ve kişiye açıklanmalıdır. “İleride işe yarar” düşüncesiyle veri toplanamaz.
İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma: Amaç için gerekli olmayan veri toplanmamalı; aynı amaca daha az veriyle ya da daha az müdahaleci bir yöntemle ulaşılabiliyorsa o yol tercih edilmelidir.
Öngörülen veya gerekli süre kadar muhafaza edilme: Veriler mevzuatta öngörülen veya amacın gerektirdiği süre kadar saklanmalı, sonra silinmeli, yok edilmeli veya anonim hâle getirilmelidir.

Uygulamada En Sık İhlal Edilen İlke: Ölçülülük

Kurul kararlarında ihlalin en sık gerekçesi ölçülülük ilkesidir. İş başvurusunda adli sicil kaydı veya sağlık bilgisi istenmesi, giriş kontrolü için biyometrik veri kullanılması, çalışan bilgisayarlarının sürekli ekran görüntüsüyle izlenmesi veya bir siparişin teslimi için gerekenden fazla bilgi toplanması, ölçülülük bakımından sorun yaratan tipik örneklerdir.

Bir işlemin ölçülü olup olmadığı değerlendirilirken şu sorular sorulmalıdır: Amaç için bu veri gerçekten gerekli mi? Aynı amaca daha az veriyle ulaşılabilir mi? Kişiye en az müdahale eden yöntem bu mu? Veriler amaç gerçekleştikten sonra neden saklanıyor?

Frequently Asked Questions

If there is a legal basis, do the principles still apply?

Yes. Having a legal basis does not mean the processing is proportionate. The Board has found breaches in many cases where a basis existed but the processing was disproportionate to the purpose.

Does the KVKK include data minimisation?

The KVKK does not use that term, but the principle that data must be relevant, limited and proportionate to its purpose leads to the same result: data not needed for the purpose should not be collected.

← Glossary A–Z