İlgili kişilerin kişisel verileri, veri sorumluları ve veri işleyenler tarafından ancak işlemeye ilişkin bir hukuki sebebin varlığı hâlinde hukuka uygun şekilde işlenebilir.
Açık rıza
Diğer hukuki sebeplerin bulunmadığı hâllerde kişisel veriler, ilgili kişinin açık rızası olmaksızın işlenemez (6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) m. 5/1). Açık rızanın özgür iradeyle açıklanması, belirli bir konuya ilişkin olması ve bilgilendirilmeye dayanması gerekir (Kanun m. 3).
İlgili kişinin açık rızasını geri almasına rağmen veri sorumlusunun, diğer hukuki sebeplere dayanmaksızın veri işlemeye devam etmesi, Kanun’a ve dürüstlük kurallarına aykırı veri işleme olarak kabul edilir.
İlgili kişiyle sözleşme
Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili ve bunun için gerekli olması kaydıyla, sözleşmenin taraflarına ait kişisel veriler diğer tarafça işlenebilir; örneğin işverenin, iş sözleşmesinin ifası amacıyla çalışanına ait kişisel bilgileri işlemesi bu kapsamdadır (Kanun m. 5/2-c).
Hukuki yükümlülükler
Kanunlarda açıkça öngörülmesi veya veri sorumlusunun tabi olduğu bir hukuki yükümlülüğün yerine getirilmesi için zorunlu olması hâlinde, kişisel veriler ilgili kişinin açık rızası aranmaksızın işlenebilir. Örneğin işverenler özlük dosyası hazırlar ve saklar; bankalar ve finans kuruluşları belirli bilgileri toplar ve paylaşır; işverenler yeni işe aldıkları çalışanların kişisel bilgilerini kolluk makamlarına bildirir.
İlgili kişinin menfaatlerinin korunması
Kişisel veriler; fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatının veya beden bütünlüğünün korunması için zorunlu olması hâlinde işlenebilir. Örneğin kayıp bir kişinin bulunması amacıyla, mobil cihazından elde edilen konum verileri veya kamera kayıtları kullanılabilir.
Kamu yararı
Kanun, kamu yararını kişisel veri işlemenin hukuki sebeplerinden biri olarak düzenlememiştir. Bununla birlikte Kişisel Verileri Koruma Kurulu; bağımsız basının sınırlarını, özel hayatın gizliliği hakkı ile ifade özgürlüğü arasındaki dengeyi değerlendirirken kamu yararını bir ölçüt olarak dikkate almaktadır.
Veri sorumlusunun meşru menfaati
İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlemenin zorunlu olması hâlinde kişisel veriler açık rıza aranmaksızın işlenebilir (Kanun m. 5/2-f). Örneğin Kanun’un gerekçesinde; şirket sahibinin, terfilerin düzenlenmesi, sosyal hakların belirlenmesi veya şirketin yeniden yapılandırılmasında üstlenecekleri rollerin tespiti amacıyla çalışanlarının kişisel verilerini işleyebileceği belirtilmekte; bunların her biri şirketin meşru menfaati kapsamında sayılmakta ve ilgili kişinin temel hak ve özgürlüklerine zarar vermediği kabul edilmektedir.
Diğer hâllerde hukuki sebepler
Kanun’un 5. maddesi uyarınca aşağıdaki hâllerde de kişisel veriler, ilgili kişinin açık rızası aranmaksızın işlenebilir:
- kişisel verinin, ilgili kişinin kendisi tarafından alenileştirilmiş olması ve
- bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.
İşleme şartlarının somut olaya uygulanması için KVKK & GDPR uyum programı hizmetimiz, mevzuattaki gelişmeler için KVKK mevzuat kaydımız yol gösterir.
