Kişisel Veri İşleme Şartları

KVKK’ya göre kişisel veriler kural olarak ilgili kişinin açık rızası olmadan işlenemez; ancak Kanun’un 5. maddesinin ikinci fıkrası, açık rıza aranmaksızın veri işlenebilecek durumları sayar. Uygulamada şirketlerin veri işleme faaliyetlerinin büyük çoğunluğu açık rızaya değil, bu şartlardan birine dayanır.

Şartlar

• Kanunlarda açıkça öngörülmesi: Örneğin vergi mevzuatının fatura üzerinde belirli bilgilerin yer almasını öngörmesi.
• Fiili imkânsızlık: Rızasını açıklayamayacak durumda olan kişinin hayatı veya beden bütünlüğünün korunması için zorunlu olması.
• Sözleşmenin kurulması veya ifası: Bir sözleşmenin taraflarına ait verilerin, sözleşmenin kurulması veya ifası için işlenmesinin gerekli olması; örneğin teslimat adresinin kargo için kullanılması.
• Hukuki yükümlülük: Veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için zorunlu olması; örneğin çalışan bilgilerinin sosyal güvenlik kurumuna bildirilmesi.
• Alenileştirme: İlgili kişinin kendisi tarafından alenileştirilmiş verilerin, alenileştirme amacıyla sınırlı olarak işlenmesi.
• Bir hakkın tesisi, kullanılması veya korunması: Örneğin bir davada delil olarak kullanılması.
• Meşru menfaat: İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati için zorunlu olması.

Doğru Şartı Seçmek

Şart, işleme başlamadan önce ve her işleme amacı için ayrı ayrı belirlenmelidir. Seçilen şart, aydınlatma metninde hukuki sebep olarak gösterilir ve kişisel veri envanterine işlenir. Sonradan şart değiştirmek mümkün olsa da, açık rızaya dayandığı söylenen bir işlemin rıza geri alındığında başka bir şarta dayandırılmaya çalışılması, kişiyi yanıltıcı ve dürüstlük kuralına aykırı bulunabilir.

Bir şartın bulunması tek başına yeterli değildir. İşleme ayrıca KVKK’nın 4. maddesindeki genel ilkelere uygun olmalıdır: amaçla bağlantılı, sınırlı ve ölçülü olmalı, gerekli süreden fazla saklanmamalıdır. Özel nitelikli kişisel veriler için ise 6. maddedeki ayrı ve daha dar şartlar uygulanır.