Meşru Menfaat

Meşru menfaat, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK”) 5. maddesinin ikinci fıkrasının (f) bendinde düzenlenen işleme şartıdır. Kanun’a göre ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması hâlinde açık rıza aranmaksızın kişisel veri işlenebilir.

Uygulamada en esnek işleme şartı olarak görülür. Ancak bu esneklik, veri sorumlusuna en ağır ispat yükünü de getirir: meşru menfaate dayanan şirket, menfaatin ne olduğunu, işlemenin neden zorunlu olduğunu ve ilgili kişinin haklarının neden ağır basmadığını gerektiğinde gösterebilmelidir.

Üç Aşamalı Değerlendirme

Kişisel Verileri Koruma Kurulu, 25.03.2019 tarihli ve 2019/78 sayılı kararında meşru menfaate dayanılırken gözetilmesi gereken ölçütleri sıralamıştır. Bu ölçütler, öğretide ve uygulamada genellikle üç aşamada ele alınır:

1. Menfaat: Veri sorumlusunun hukuka uygun, belirli, açık ve hâlihazırda mevcut bir menfaati bulunmalıdır. “İleride işe yarayabilir” düşüncesi ya da genel bir ticari fayda beklentisi yeterli değildir.
2. Zorunluluk: Veri işleme, bu menfaate ulaşmak için zorunlu olmalıdır. Aynı amaca daha az veriyle ya da kişiye daha az müdahale eden bir yolla ulaşılabiliyorsa bu şart sağlanmaz.
3. Denge: Veri sorumlusunun menfaati ile ilgili kişinin temel hak ve özgürlükleri tartılmalıdır. Kişinin makul beklentileri, verinin niteliği, işlemenin kişi üzerindeki olası etkileri ve alınan güvenlik önlemleri bu tartıda belirleyicidir.

Değerlendirmenin yazılı olarak kayda geçirilmesi Kanun’da açıkça öngörülmüş değildir. Ancak hesap verebilirlik ilkesi ve olası bir Kurul incelemesi düşünüldüğünde, her meşru menfaat dayanağı için kısa bir değerlendirme notu hazırlanması iyi bir uygulamadır.

Uygulamada Sık Karşılaşılan Örnekler

Somut olayın koşullarına göre değişmekle birlikte, aşağıdaki faaliyetler meşru menfaate dayandırılmaya elverişli olabilir:

• Bilgi güvenliği amacıyla sistemlerde erişim ve işlem kayıtlarının (log) tutulması,
• Şirket içi denetim ve usulsüzlük incelemeleri kapsamında kurumsal hesap ve kayıtların incelenmesi,
• Şirket satın alma ve birleşmelerinde hukuki inceleme (due diligence) sürecinde çalışan ve sözleşme verilerinin paylaşılması,
• Kurumsal müşteri ve tedarikçilerde irtibat kişilerinin iş iletişim bilgilerinin işlenmesi.

Sınırlar ve Sık Yapılan Hatalar

• Özel nitelikli kişisel veriler: Meşru menfaat, KVKK’nın 6. maddesinde sınırlı olarak sayılan özel nitelikli veri işleme şartları arasında yer almaz. 7499 sayılı Kanun’la 1 Haziran 2024’te yürürlüğe giren değişiklikten sonra da durum aynıdır. Sağlık, biyometrik veya ceza mahkûmiyeti gibi veriler meşru menfaate dayanılarak işlenemez.
• Ticari elektronik ileti: Pazarlama amaçlı e-posta ve SMS gönderimi ayrıca 6563 sayılı Kanun’a tabidir ve kural olarak alıcının önceden onayını gerektirir. Meşru menfaat bu onayın yerine geçmez.
• Açık rıza ile birlikte kullanım: Başka bir işleme şartı mevcutken ilgili kişiden ayrıca açık rıza istenmesi, kişiyi işlemenin rızasına bağlı olduğu konusunda yanıltır ve Kurul uygulamasında hakkın kötüye kullanılması olarak değerlendirilir.
• Aydınlatma: Meşru menfaate dayanılması aydınlatma yükümlülüğünü ortadan kaldırmaz. Aydınlatma metninde işlemenin hukuki sebebi olarak meşru menfaat ve bu menfaatin ne olduğu açıkça belirtilmelidir.

GDPR ile Karşılaştırma

Düzenleme, Avrupa Birliği Genel Veri Koruma Tüzüğü’nün (GDPR) 6(1)(f) maddesine benzer. Önemli bir fark, ilgili kişinin itiraz hakkındadır: GDPR’ın 21. maddesi meşru menfaate dayanan işlemeye karşı genel bir itiraz hakkı tanırken, KVKK’nın 11. maddesinde böyle genel bir itiraz hakkı bulunmaz. İlgili kişi yine de silme, düzeltme ve Kurul’a şikâyet gibi diğer haklarını kullanabilir.