Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehber

işlenmesinde her hal ve şartta Kanun’un 4’üncü maddesinde sayılan genel ilkelere uyulması hukuki bir gerekliliktir. Ayrıca belirtmek gerekir ki maddede yer alan bentlerde “zorun- lu” ve “gerekli” ifadelerinin bilinçli olarak tercih edildiği görül- mektedir. Dolayısıyla bu ifadelerin ne anlama geldiğinin açık- lığa kavuşturulmasının faydalı olacağı değerlendirilmektedir. Bu kapsamda, GVKT’ye bakıldığında “gerekli (necessary)” ifa- desi için AB müktesebatındaki genel gereklilik ilkesine yapılan bir atıfla, objektif kanıtlara dayalı olarak kişisel verilerin kulla- nımının gerekçelendirilmesinin sağlanması, başka bir ifadeyle işleme amacına ulaşmanın makul ve orantılı olması ve amaca hizmet edecek özel nitelikli kişisel veri haricinde veri işlenme- mesi, amacı gerçekleştirecek makul bir alternatifin bulunması halinde bu yöntemlerin tercih edilmesi ve işleme ile somut olay bağlamında işlenen veriler ile işleme amacı arasında önemli bir bağlantının bulunması gerektiği anlaşılmaktadır.24 24 GDPR Text Article 9, https://GDPR-text.com/read/article-9/#comment_ GDPR-a-09_2f, Erişim Tarihi: 25.12.2024. -- 36 of 78 -- 36 36 | Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehber Öte yandan, “gerekli” ifadesi Kanun’un 4’üncü maddesi kap- samındaki genel ilkelerden, “işlendikleri amaçla bağlantılı, sı- nırlı ve ölçülü olma” ilkesi ile de bağlantılıdır. Söz konusu ilke uyarınca işleme faaliyetinin; belirtilen amaca ulaşmaya uygun olması, işlenen veri ile ileri sürülen meşru amaç arasında bir bağlantının bulunması ve amaca ulaşmak için gerekli olanın ötesine geçmemesi gerekmektedir. Bu kapsamda “gerekli” ifadesinin her somut olay özelinde değerlendirilmesi gereken oldukça soyut bir kavram olduğunu söylemek mümkündür. “Zorunluluk” kavramı ise kaçınılmazlığı ifade etmekte ve bu yönüyle öznel bir değerlendirmeye dayanmayıp özel nitelikli kişisel veri işleme faaliyetini mecbur bırakan kamusal ve top- lumsal şartların arandığı bir duruma karşılık gelmektedir. Bu çerçevede, özel nitelikli kişisel verilerin işlenmesi açısından zorunluluk kavramı ile; herhangi bir alternatif yöntemin bulun- maması, dolayısıyla işleme faaliyetinin söz konusu amaç dahi- linde kaçınılmaz olmasının kastedildiği değerlendirilmektedir. 2.1. İlgili kişinin açık rızasının olması Açık rıza, Kanun’un “Tanımlar” başlıklı 3’üncü maddesi gereği “belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızayı” ifade etmektedir. Kanun’un 6’ncı maddesinde yer alan açık rıza şartının, Kanun’un 5 inci mad- desindeki genel nitelikli kişisel verilerin işlenmesindeki açık rıza şartından bir farkı bulunmamaktadır. Kanun’a göre açık rızanın varlığı halinde özel nitelikli kişisel veriler işlenebilmektedir. Kanun’un 6’ncı maddesinde de 5’inci -- 37 of 78 -- 37 2. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENME ŞARTLARI | 37 maddesinde olduğu gibi açık rıza ve diğer hukuki işleme se- bepleri arasında hiyerarşik bir fark bulunmamaktadır. Belirtmek gerekir ki eğer, açık rıza dışında bir işleme şartı varsa kişisel veri işleme şartı olarak diğer şartla açık rızanın birlikte kullanılmaması gerekmektedir. Zira başka bir veri işleme şartı mevcut iken açık rızaya başvurulmuş ise bu hukuka ve dürüst- lük kurallarına uygun olma ilkesine aykırılık teşkil edebilecek- tir. Özel nitelikli kişisel veri işleme faaliyeti esnasında birden fazla kişisel veri işleme şartına dayanılabilmesi mümkün ol- makla birlikte, açık rıza başka bir kişisel veri işleme şartının mevcudiyeti halinde dayanak olarak kabul edilmemelidir. Öte yandan, açık rızanın tüm unsurları sağlansa dahi Kanun’un 4’üncü maddesindeki genel ilkelere uygun olmayan şekilde alı- nan açık rızalar, veri işlemeyi hukuka aykırı hale getirebilecektir. 2.2. Kanunlarda açıkça öngörülmesi Anayasa’nın 20’nci maddesinin üçüncü fıkrasında, kişisel veri- lerin ancak bireyin açık rızası veya kanunda öngörülen hallerde işlenebileceği hüküm altına alınmıştır. Kanunlarda açıkça ön- görülme; kişisel verilerin işlenmesini mümkün kılan bir hük- mün, herhangi bir kanunda açıkça yer almasıdır. Kanun’un 6’ncı maddesinde yapılan değişiklikle “kanunlarda öngörülme” işleme şartına, Kanun’un 5’inci maddesiyle uyum- lu olması adına “açıkça” ibaresi eklenmiştir. Bu kapsamda Kanun’un 6’ncı maddesi açısından bakıldığın- da, kanunlarda özel nitelikli kişisel verilerin işlenebileceğine -- 38 of 78 -- 38 38 | Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehber ilişkin bir hüküm, veri işleme şartını oluşturabilmektedir. Özel nitelikli kişisel verinin işlenmesiyle ilgili herhangi bir kanunda açık bir hüküm varsa veya ikincil mevzuata açıkça yönlendirme yapılmışsa, bu durumda özel nitelikli kişisel verilerin işlenmesi mümkün olabilecektir.25 Örneğin; 5490 sayılı Nüfus Hizmetleri Kanunu gereği, ilgili kişiye pasaport ya da sürücü belgesi tahsis edilmesi es- nasında nüfus müdürlüklerince ilgili kişinin parmak izinin alınması ile gerçekleştirilen kişisel veri işleme faaliyeti, ka- nunlarda açıkça öngörülme hukuka uygunluk nedeni kap- samındadır. Bununla birlikte hangi kişisel verilerin nasıl işleneceğine ilişkin usul ve esaslar; Kanun’un özel nitelikli kişisel verinin işlenmesi hususunda açıkça verdiği yetkiye dayanılarak çıkarılan yönet- melik, tebliğ ve genelge gibi düzenlemelerle ayrıntılı olarak düzenlenmiş ise bu durum, söz konusu özel nitelikli kişisel verilerin “Kanunlarda açıkça öngörülmesi” şartı uyarınca iş- lenmesine engel teşkil etmeyecektir. Örneğin; 6458 sayılı Yabancılar ve Uluslararası Koruma Ka- nunu’nun 121'inci maddesinde, bu Kanunun uygulanması- na ilişkin usul ve esasların yönetmeliklerle belirleneceği düzenlenmiştir. Bu kapsamda çıkarılan Yabancılar ve Ulus- 25 Kişisel Verileri Koruma Kurumu’nun “Kanunlarda Öngörülme Kişisel Veri İşleme Şartına İlişkin Bilgi Notu”, www.kvkk.gov.tr/Icerik/7823/Kanunlar- da-Ongorulme-Kisisel-Veri-Isleme-Sartina-Iliskin-Bilgi-Notu, Erişim Tarihi: 25.12.2024 -- 39 of 78 -- 39 2. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENME ŞARTLARI | 39 lararası Koruma Kanununun Uygulanmasına İlişkin Yönet- melik'in "Kişisel verilerin alınması ve saklanması" başlıklı 124'üncü maddesinde "parmak izi, avuç içi izi, retina, ses taraması" gibi biyometrik verilerin Göç İdaresi Başkanlığı tarafından nasıl işleneceğine ilişkin usul ve esaslar düzen- lenmiştir. Bu kapsamda işlenen özel nitelikli kişisel verile- rin, “kanunlarda açıkça öngörülme” işleme şartına uygun olarak işlenmiş olduğu değerlendirilebilecektir. 2.3. Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması Özel nitelikli kişisel veriler, ilgili kişinin veya bir başkasının hayatı veya beden bütünlüğünün korunması için işlenmesi- nin zorunlu olduğu hallerde, ilgili kişinin açık rızası olmaksızın işlenebilmektedir. Burada ilgili kişinin veya üçüncü bir kişinin hayati menfaatinin korunması söz konusudur. Bu işleme şartı, ancak ilgili kişinin fiili imkansızlık nedeniyle veya hukuki olarak rızasına geçerlilik tanınmayan durumlarda geçerlidir. Diğer bir ifadeyle, açık rızanın ilgili kişiden alınamı- yor olması veya hukuken geçerli bir açık rızanın bulunmaması gerekir. Örneğin; deprem nedeniyle enkaz altında kalan ve bilin- ci yerinde olmayan bir kişinin daha önce geçirmiş olduğu -- 40 of 78 -- 40 40 | Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehber hastalıklar ve kan grubuna ilişkin bilginin, kişinin yakınları tarafından sağlık görevlisi olmayan kurtarma ve ilk yardım ekipleri ile paylaşılması Kanun’a uygun bir işleme faaliyeti olarak değerlendirilebilecektir. 2.4. İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması Alenileştirme, ilgili kişinin kişisel verilerinin kendisi tarafından kamuoyuna açıklanması olarak tanımlanmaktadır.26 Bununla birlikte Kanun kapsamında “alenileştirme”, kişisel verinin herhangi bir şekilde kamuoyuna sunulmasından daha dar bir anlama sahip olup; ilgili kişinin alenileştirme iradesi ve alenileştirme amacı ile yakın ilişki içerisinde bulunmakta- dır. Alenileştirme iradesi ise ilgili kişinin kişisel verilerini hangi amaçla alenileştirdiğini ve kamuoyu ile paylaştığını ifade eder. Kanun’da yapılan değişiklikle, özel nitelikli kişisel verilerin iş- lenmesi için yeni bir hukuka uygunluk nedeni öngörülmüştür. Buna göre ilgili kişi tarafından alenileştirilen özel nitelikli kişi- sel veriler, alenileştirme iradesine uygun olmak koşuluyla işle- nebilecektir. Diğer bir ifadeyle özel nitelikli kişisel verilerin bu hükme dayanarak işlenebilmesi için ilgili kişinin kişisel verile- rini alenileştirmiş olması yeterli olmayacak, veri sorumlusunun bu verileri işlerken ilgili kişinin alenileştirme iradesi doğrultu- sunda hareket etmesi gerekecektir. Bu yönüyle “alenileştirme 26 Kişisel Verileri Koruma Kurumu “Alenileştirme” Hakkında Kamuoyu Du- yurusu, https://www.kvkk.gov.tr/Icerik/6843/-ALENILESTIRME-HAKKIN- DA-KAMUOYU-DUYURUSU, Erişim Tarihi: 25.12.2024 -- 41 of 78 -- 41 2. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENME ŞARTLARI | 41 iradesi”, özel nitelikli kişisel verilerin işlenmesini sınırlandıra- rak ilgili kişiler bakımından bir güvence oluşturmaktadır. Dolayısıyla, bir kişinin kamuya açık herhangi bir alanda yer alan özel nitelikli kişisel verilerinin işlenmesi bu kapsamda ka- bul edilmemelidir. Aynı zamanda ilgili kişinin iradesiyle bu özel nitelikli kişisel veriyi alenileştirmiş olması beklenmektedir. Öte yandan, ilgili kişinin alenileştirme iradesinin her zaman tam olarak tespit edilebilmesi mümkün değildir. Alenileştirme iradesinin tespit edilemediği durumlarda kişinin alenileştir- me amacı önem kazanmaktadır. Alenileştirme amacı ilgili kişi- nin özel nitelikli kişisel verilerini kamuoyuna açıklarken elde etmek istediği maksattır. Diğer bir ifadeyle, ilgili kişinin özel nitelikli kişisel verilerini kamuoyuyla paylaşırken bu verilerin işlenmesini istediği sebepler alenileştirme amacıdır. Örneğin; bir gerçek kişi tarafından acil durumlarda kullanıl- mak üzere, “kan grubu” bilgisinin sürücüsü olduğu motorlu taşıtın ya da bisikletinin herkes tarafından görülebilir bir