Kanunlarda Öngörülme Kişisel Veri İşleme Şartına İlişkin Bilgi Notu Yayımlandı

12.02.2024 tarihinde Kanunlarda Öngörülme Kişisel Veri İşleme Şartına İlişkin Bilgi Notu (Bilgi Notu) yayımlandı. Bilgi Notu, 6698 Sayılı Kişisel Verilerin Korunması Kanunu (KVKK) m. 5/2(a) bendinde yer alan “kanunlarda açıkça öngörülme” kişisel veri işleme şartının kapsam ve anlamını açıklığa kavuşturmayı amaçlar. Bilgi Notu’nda yer alan önemli hususlar aşağıda kısaca özetlenir:

• Kişisel verilerin korunmasını isteme hakkı Türkiye Cumhuriyeti Anayasası madde 20'de düzenlenmiş olup temel hak ve hürriyetler ancak kanunla sınırlanabilir.
• Bu nedenle Bilgi Notu öncelikle, “kanunlarda açıkça öngörülme” kişisel veri işleme şartının kapsamını belirlerken kanuni ve idari düzenleme arasında ayrım yapar. Buna göre, kişisel veriler ilgili işleme şartına dayanılarak ancak herhangi bir kanunda açık bir hüküm varsa veya açık bir hüküm ile ikincil mevzuata yönlendirme yapılmışsa işlenebilir. Örneğin, çalışan kimlik verileri 4857 sayılı İş Kanunu m. 75 uyarınca bu veri işleme şartına dayanarak işlenebilir. 
• Madde metninde yer alan “açık” ibaresinin geniş yorumlanması gerekir. Örneğin, işverenin çalışan maaşlarını ödeyebilmesi için çalışanların banka hesap numaraları ve sosyal sigorta numaraları gibi verilerini işlemesi bu kapsamda kalır.
• Bilgi Notu’nda ayrıca AB Genel Veri Koruma Tüzüğü (GVKT) uygulaması ele alınır. KVKK’dan farklı olarak GVKT’da, “kanunlarda açıkça öngörülme” veri işleme şartı ayrıca düzenlenmez; “veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi” kapsamında değerlendirilir. 
• GVKT uygulaması açısından "hukuki yükümlülük" veri işleme şartına dayanabilmesi için veri sorumlusunun, söz konusu yükümlülüğe uymak için veri işlemenin gerekli olup olmadığını değerlendirmesi ve hukuki yükümlülüğü doğuran özel kanunu, kurul ya da mahkeme kararını açıkça işaret etmesi gerekmektedir. Ayrıca hukuki yükümlülük kapsamında birincil ve ikincil kanuni düzenlemelerin kabul edildiği belirtilmektedir.