Kişisel Verileri Koruma Kurumu (“Kurum”) tarafından, 12/02/2024 tarihinde Kanunlarda Öngörülme Kişisel Veri İşleme Şartına İlişkin Bilgi Notu (“Bilgi Notu”) yayımlandı. Bilgi Notu özetle şu hususları içermektedir:

  • Anayasa’nın 20. maddesi kapsamında düzenlenen kişisel verilerin korunması hakkının; Anayasa’da belirtilen kriterlere (m.13) uygun şekilde ve kanun ile sınırlandırılabileceği vurgulanmış olup tüzük, yönetmelik, kanun hükmünde kararname gibi idari bir işlem vasıtasıyla bu hakkın sınırlandırılamayacağına yer verilmiştir.
  • Kişisel verilerin işlenmesi hususunda herhangi bir kanunda açık hüküm mevcut ya da açık bir hüküm ile ikincil bir mevzuata atıf yapılmakta ise, kişisel verilerin açık rıza aranmaksızın işlenmesinin mümkün olduğu ifade edilmiştir. Bu anlamda, örneğin; İş Kanunu m.75 uyarınca işverenin, işçilerinin kimlik verilerini “kanunlarda açıkça öngörülme” şartı kapsamında işleyebileceği belirtilmiştir.
  • Aynı zamanda, veri sorumlusunun; bir düzenleme kapsamında yükümlülüğe tabi olması halinde de ilgili yükümlülüğün yerine getirilmesi adına açık rıza olmaksızın işleme faaliyetleri gerçekleştirebileceğine yer verilmiştir.
  • Avrupa Birliği Genel Veri Koruma Tüzüğü (“GDPR”) kapsamında ise açık rıza gerektirmeyen hallerin tanımlanmış olduğu, buna karşılık; “kanunlarda açıkça öngörülme” ve “hukuki yükümlülüğün yerine getirilmesi” işleme şartlarının ayrı şekilde düzenlenmemiş olduğu ifade edilmiştir.
  • İrlanda Veri Koruma Otoritesi’nin bir çalışması kapsamında; “veri sorumlularının işlemeyi gerektiren hukuki yükümlülüğü doğuran özel kanunu, tavsiyeyi, kurul veya mahkeme kararını, içtihadı veya rehberi açıkça işaret etmeleri gerektiği” hususu vurgulanmış olup düzenlemenin birincil ya da ikincil derecedeki mevzuatı işaret edebileceği vurgulanmıştır. GDPR’ın 41. maddesi uyarınca ise kanuna tabi olan kişiler bakımından kanunun uygulanması öngörülebilir olduğu müddetçe, bunun açık bir hukuki yükümlülük olmasına gerek olmadığı belirtilmiştir.
  • Çeşitli durumlar açısından idarenin takdir yetkisi bulunduğu vurgulanmış; bu anlamda, (i) idareye verilen yetkinin nasıl kullanılacağının mevzuatta açıkça gösterilmemiş olması, (ii) bir eylem/işlem yapılmasında kanunen geçerli birden fazla yol bulunması, (iii) idarenin belirtilen yollardan istediğini seçebilmesi durumunda idarenin takdir yetkisinden bahsedilebileceği ifade edilmiştir.
  • Aynı zamanda, Kişisel Verilerin Korunması Kanunu’nun 5. Maddesinin yorumlanması bakımından kesin kıstaslar bulunmadığı; bu anlamda, “kanunlarda açıkça öngörülme” ve “hukuki yükümlülüğün yerine getirilmesi” işleme şartlarının değerlendirilmesi esnasında dar veya geniş yorum yapılmasının da idarenin takdirinde olduğu ve bunun temel hak ve özgürlüklere kısıtlama getirildiği anlamına gelmeyeceği değerlendirilmektedir.

İlgili bilgi notuna buradan ulaşabilirsiniz.”