Kişisel Verilerin İşlenmesinde Genel İlkeler

Diğer adları: Ölçülülük İlkesi, Amaçla Sınırlılık, Veri Minimizasyonu, Data Protection Principles

Kısaca

KVKK'nın 4. maddesinde yer alan ve her veri işleme faaliyetinde, hangi şarta dayanılırsa dayanılsın uyulması gereken hukuka ve dürüstlüğe uygunluk, doğruluk, amaçla sınırlılık, ölçülülük ve süreyle sınırlılık ilkeleri.

KVKK’nın 4. maddesi, kişisel verilerin ancak Kanun’da ve diğer mevzuatta öngörülen usul ve esaslara uygun olarak işlenebileceğini belirttikten sonra beş genel ilke sayar. Bu ilkeler, hangi işleme şartına dayanılırsa dayanılsın her veri işleme faaliyetinde uygulanır. Kurul kararlarında en sık atıf yapılan hükümlerin başında gelir.

İlkeler

Hukuka ve dürüstlük kurallarına uygun olma: Veri işleme, ilgili kişinin makul beklentilerini gözetmeli; gizli veya yanıltıcı yöntemlerle yapılmamalıdır.
Doğru ve gerektiğinde güncel olma: Yanlış veya eskimiş verilere dayanarak kişi hakkında karar verilmemeli; veri sorumlusu verilerin doğruluğunu sağlayacak kanalları açık tutmalıdır.
Belirli, açık ve meşru amaçlar için işlenme: Amaç, veri toplanmadan önce belirlenmeli ve kişiye açıklanmalıdır. “İleride işe yarar” düşüncesiyle veri toplanamaz.
İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma: Amaç için gerekli olmayan veri toplanmamalı; aynı amaca daha az veriyle ya da daha az müdahaleci bir yöntemle ulaşılabiliyorsa o yol tercih edilmelidir.
Öngörülen veya gerekli süre kadar muhafaza edilme: Veriler mevzuatta öngörülen veya amacın gerektirdiği süre kadar saklanmalı, sonra silinmeli, yok edilmeli veya anonim hâle getirilmelidir.

Uygulamada En Sık İhlal Edilen İlke: Ölçülülük

Kurul kararlarında ihlalin en sık gerekçesi ölçülülük ilkesidir. İş başvurusunda adli sicil kaydı veya sağlık bilgisi istenmesi, giriş kontrolü için biyometrik veri kullanılması, çalışan bilgisayarlarının sürekli ekran görüntüsüyle izlenmesi veya bir siparişin teslimi için gerekenden fazla bilgi toplanması, ölçülülük bakımından sorun yaratan tipik örneklerdir.

Bir işlemin ölçülü olup olmadığı değerlendirilirken şu sorular sorulmalıdır: Amaç için bu veri gerçekten gerekli mi? Aynı amaca daha az veriyle ulaşılabilir mi? Kişiye en az müdahale eden yöntem bu mu? Veriler amaç gerçekleştikten sonra neden saklanıyor?

Sık Sorulan Sorular

İşleme şartı varsa genel ilkeler ayrıca aranır mı?

Evet. Bir işleme şartının bulunması, işlemenin ölçülü olduğu anlamına gelmez. Kurul, şartın bulunduğu ama işlemenin amaçla orantısız olduğu birçok durumda ihlal kararı vermiştir.

Veri minimizasyonu KVKK'da var mı?

KVKK bu ifadeyi kullanmaz; ancak verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ilkesi aynı sonucu doğurur: amaç için gerekli olmayan veri toplanmamalıdır.

← Tüm Kavramlar