Kişisel Veri İşleme Şartları Nelerdir?

Kişisel veri işleme şartları, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 5. maddesinde belirtilmiştir. Bu şartlar, veri işleme faaliyetinin hukuki dayanağını oluşturur. KVKK m.5'e göre, kişisel veri işleme şartları şunlardır:

1) Açık Rıza

Genel kural olarak, kişisel verilerin işlenebilmesi için açık rıza alınması şarttır. Ancak, Kanun’un 5. maddesinde belirtilen bazı durumlar için açık rıza aranmadan veri işlenmesi mümkün olmaktadır. Dolayısıyla, bu veri işleme şartlarından hiçbiri mevcut değilse, ilgili kişinin açık rızası alınmalıdır. Bu bağlamda, açık rızanın veri işleme şartları arasında en son seçenek olarak değerlendirilmesi gerektiği söylenebilir.

2) Kanunlarda Açıkça Öngörülme

Eğer kanunlarda kişisel verilerin işlenmesine ilişkin açık bir hüküm varsa, veri işleme faaliyetleri bu yasal çerçevede gerçekleştirilebilir. Örneğin, Bankacılık Kanunu’nun 42. maddesi uyarınca bankalarda tutulan müşteri bilgilerinin işlenmesi bu kapsamda değerlendirilebilir.

3) Fiili İmkânsızlık

Fiili imkânsızlık nedeniyle rızasını açıklayamayan veya rızası hukuken geçerli olmayan bir kişinin ya da başkasının hayatı veya beden bütünlüğünün korunması için veri işlemenin zorunlu olduğu durumlar da bir veri işleme şartıdır. Örneğin, kaybolan birinin tespit edilmesi için cep telefonu sinyali veya GPS verilerinin işlenmesi bu kapsamdadır.

4) Sözleşme Kapsamı

Bir sözleşmenin kurulması veya ifasıyla doğrudan bağlantılı olduğu takdirde, taraflara ait kişisel verilerin işlenmesi gerekmektedir. Burada önemli olan, kişisel verilerin sözleşmenin taraflarına ait olmasıdır. Örneğin, bir emlakçının kira sözleşmesi çerçevesinde ev sahibi ve kiracı arasında imzalanan sözleşme doğrultusunda kimlik numarası, banka hesap numarası, adres, imza ve telefon gibi kişisel verileri işlemesi bu duruma örnek gösterilebilir.

5) Veri Sorumlusunun Hukuki Yükümlülüğü

Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için veri işlemenin zorunlu olması gereklidir. Bu şart, yalnızca hukuki yükümlülüklerin yerine getirilmesi amacıyla sınırlı bir şekilde uygulanmalıdır. Örneğin, işverenin çalışanının banka hesap bilgilerini maaş ödemeleri için işlemesi bu kapsamda değerlendirilir.

6) İlgili Kişinin Kendisi Tarafından Alenileştirilmiş Olması

Veri sahibi tarafından kamuya açıklanan verilerin işlenmesi bu veri işleme şartı altında kabul edilebilir. Ancak, verinin alenileştirme amacı doğrultusunda işlenmesi önemlidir. Örneğin, bir emlakçının gayrimenkul danışmanlığı için ad, soyad ve telefon numarasını içeren bir reklam vermesi durumunda, bu verinin kullanımında alenileştirme amacının dışına çıkılması durumunda veri işleme şartı geçerli olmayacaktır. İlgili kişinin verisini alenileştirme iradesi doğrultusunda bu verilerin işlenmesi gereklidir.

7) Hakkın Tesisi, Kullanılması veya Korunması

Bir hakkın tesis edilmesi, kullanılması veya korunması için veri işlemenin zorunlu olduğu durumlar kişisel verilerin işlenmesini gerektirebilir. Örneğin, avukatların müvekkilleriyle yaptıkları sözleşmeler ve vekaletnameler çerçevesinde kişisel verileri işlemeleri bu duruma örnektir.

8) Veri Sorumlusunun Meşru Menfaati

İlgili kişinin temel hak ve özgürlüklerine zarar vermemek koşuluyla, veri sorumlusunun meşru menfaatleri için veri işlenmesi de mümkündür. Örneğin, fiziksel güvenliğin sağlanması amacıyla alınan güvenlik kameralarının kayıtları bu kapsamda işlenebilir. Burada dikkat edilmesi gereken husus, menfaatler dengesinin sağlanmasıdır. Veri sorumlusunun meşru menfaatinin, kişinin temel hak ve özgürlüklerine müdahale ettiği durumlarda veri işlemenin yasallığından bahsedilemez.