Kişisel Veriler Hangi Durumlarda Rıza Alınmadan İşlenebilir?

Kişisel Verilerin İşlenme Şartları ve Dayanak

Kişisel verilerin korunması hukukunda temel ilke, verilerin işlenmesi için ilgili kişinin özgür iradesiyle verdiği açık rızanın varlığıdır. 6698 sayılı Kanun'un 5. maddesi, bu genel kuralın sınırlarını çizer ve hangi durumlarda rıza aranmayacağını netleştirir. Veri işleme faaliyetinin hukuka uygun sayılabilmesi için ya açık rıza gereklidir ya da kanunda sayılan istisnai şartlardan birinin gerçekleşmiş olması şarttır.

Kanun koyucu, veri işleme süreçlerini belirli bir düzen altına alarak hem bireylerin haklarını korumayı hem de veri işleme faaliyetlerinin sürekliliğini hedeflemiştir. Bu kapsamda, rıza şartının aranmadığı durumlar tek tek sayılmış ve veri sorumlusunun hangi durumlarda hareket edebileceği belirlenmiştir. Bu maddeler, veri işleme faaliyetinin hukuki temelini oluşturan temel dayanaklardır.

Veri işleme sürecinde rıza aranmayan haller, veri sorumlusunun yükümlülüklerini yerine getirmesi veya bir hakkın korunması gibi kritik ihtiyaçlara dayanır. Bu durumlar, veri işleme faaliyetinin sadece bir tercih değil, hukuki bir zorunluluk veya meşru bir gereklilik olduğu anlarda devreye girer. Dolayısıyla, rıza aranmayan haller rastgele değil, kanunun belirlediği çerçevede uygulanmalıdır.

Rıza Aranmayan Veri İşleme Şartları

İlk şart, veri işlemenin kanunlarda açıkça öngörülmesidir. İkinci şart, fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için veri işlemenin zorunlu olmasıdır. Burada iki koşul birlikte aranır: kişinin fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunması veya rızasına hukuki geçerlilik tanınmaması ve işlemenin hayatın veya beden bütünlüğünün korunması için zorunlu olması.

Üçüncü şart, bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olmasıdır. Bu şart yalnız sözleşmenin taraflarına ait verileri kapsar. Bunun yanı sıra, veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için veri işlemenin zorunlu olması da bir diğer istisnadır. Bu şartlar, ticari ve hukuki süreçlerin aksamadan yürütülmesini sağlar.

İlgili kişinin kendisi tarafından alenileştirilmiş olması ve bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması diğer önemli şartlardır. Ayrıca, ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması da rıza aranmayan şartlardandır. Bu şartlar, veri işleme faaliyetinin sınırlarını çizen unsurlardır.

Veri İşleme Süreçlerinde Usul ve Uygulama

Rıza aranmayan şartların her biri kendi sınırını da taşır. Sözleşme şartı, verinin sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olmasını arar. Hukuki yükümlülük, hakkın korunması ve meşru menfaat şartları ise veri işlemenin zorunlu olmasına bağlanmıştır. Dolayısıyla bu şartlardan birine dayanan işleme, o şartın metinde çizilen sınırı içinde kalmalıdır.

Veri sorumlusu rıza aranmayan bir şarta dayanıyorsa, o şartın somut olayda gerçekten var olması gerekir. Örneğin, bir hakkın korunması amacıyla veri işleniyorsa, bu işlemenin o hakkın tesisi veya korunması için gerçekten zorunlu olması gerekir. Usul açısından, işlemenin gereklilik ilkesine uygun olması kritik bir önem taşır.

Meşru menfaat şartı uygulandığında, veri sorumlusunun menfaatleri ile ilgili kişinin temel hak ve özgürlükleri arasında bir denge kurulması gerekir. Eğer veri işleme faaliyeti ilgili kişinin haklarına zarar veriyorsa, rıza aranmayan meşru menfaat şartı kullanılamaz. Bu nedenle, veri işleme süreçlerinde hukuki şartların her aşamada titizlikle gözden geçirilmesi gerekmektedir.

Hakların Kullanımı ve Hukuki Sonuçlar

Bu madde yalnız açık rızanın aranıp aranmayacağını düzenler. Rıza aranmayan şartlardan birine dayanılması, ilgili kişinin kanundan doğan diğer haklarını kaldıran bir sonuç doğurmaz; maddede böyle bir hüküm yoktur. Ayrıca bu madde genel nitelikteki kişisel veriler içindir; özel nitelikli kişisel verilerin işlenme şartları kanunda ayrı bir maddede düzenlenmiştir.

Veri işleme faaliyetinin hukuki bir yükümlülük veya sözleşmenin ifası nedeniyle yapılması, veri sorumlusuna belirli bir hareket alanı sağlar. Ancak bu durum, verilerin amaç dışı kullanılmasına veya gereğinden fazla işlenmesine imkân tanımaz. Kanunun genel ilkeleri gereği kişisel veriler belirli, açık ve meşru amaçlar için işlenmeli; işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmalıdır.

Hukuki bir hakkın tesisi veya korunması için veri işlenmesi durumunda, işlemenin kapsamı sadece o hakkın kullanımına hizmet eden verilerle sınırlıdır. Hakların korunması amacı, veri işleme faaliyetinin sınırlarını belirleyen en önemli hukuki sonuçlardan biridir. Bu çerçevede, veri işleme faaliyeti ile hukuki hak arasındaki doğrudan bağın kopmaması esastır.

Uygulamada Dikkat Edilecek Kritik Noktalar

En sık yapılan hatalardan biri, sözleşmenin ifası için gerekli olmayan verilerin de rıza aranmadığı gerekçesiyle işlenmesidir. Kanun, verilerin sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması şartını koşar. Sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olmayan veriler bu şarta dayanılarak işlenemez; bunlar için açık rıza ya da maddedeki diğer şartlardan biri gerekir.

Bir diğer hata ise, meşru menfaat şartının veri sorumlusunun çıkarlarını korumak için sınırsız bir yetki gibi algılanmasıdır. Meşru menfaat şartı, ilgili kişinin temel hak ve özgürlüklerine zarar vermeme şartına sıkı sıkıya bağlıdır. Bu denge gözetilmeden yapılan veri işleme faaliyetleri, kanuni istisna kapsamına girmeyerek hukuki riskler doğurabilir.

Alenileştirme konusunda ise, verinin sadece herkes tarafından biliniyor olması rıza aranmayacağı anlamına gelmez. Verinin ilgili kişinin kendisi tarafından alenileştirilmiş olması şartı aranmaktadır. Veriyi ilgili kişi değil de bir başkası alenileştirmişse bu şart gerçekleşmiş olmaz; veri işleme süreçlerinde bu ayrımın titizlikle yapılması gerekmektedir. Kişisel Verileri Koruma Kurumu'na göre ilgili kişinin kendisi alenileştirmiş olsa bile veri, alenileştirme amacından farklı ya da bu amacı aşan şekilde, başka bir işleme şartına dayanılmadıkça işlenemez; örneğin satış ilanındaki iletişim bilgisi yalnız o ilanla ilgili iletişim için kullanılabilir.

Sıkça Sorulan Sorular

Kişisel verilerim için her zaman rıza vermem gerekir mi?

Hayır, her durumda rıza gerekmez. Kanunda sayılan şartlardan biri varsa, örneğin taraf olduğunuz bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olarak verilerinizin işlenmesi gerekliyse, açık rızanız aranmaz.

Sözleşme yaparken verilerim rızam olmadan işlenebilir mi?

Evet, sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşme taraflarına ait verilerin işlenmesi için rıza aranmaz.

Verilerim bir hakkımı korumak için kullanılabilir mi?

Evet, bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması durumunda, ilgili kişinin rızası aranmaksızın veri işlenebilir.

Kendi paylaştığım bilgilerim için rıza şartı var mı?

Verileriniz bizzat sizin tarafınızdan alenileştirilmişse, bu veriler açık rızanız aranmaksızın işlenebilir.