Kişisel verilerin korunması hukukunun temel ilkeleri -1
Kişisel verilerin korunmasına ilişkin temel ilkeler bu hususta belli bir standardın ortaya konulabilmesinde olumlu katkı yapan unsurlardandır. “Verilerin kaliteli olması ilkesi” olarak da ifade edilebilecek bu gerekliliğin içeriği, 95/46/AT sayılı Yönergenin 6’ncı maddesinde beş ayrı fıkrada belirlenmiştir. Buna göre kişisel veriler,
• Hukuka ve dürüstlük kurallarına uygun işlenmeli
• Belirli, açık ve meşru amaçlar için toplanmalı
• Toplanma ve daha sonrasında işlenme amaçlarına uygun, ilgili bulunmalı ve aşırı olmamalı • Doğru ve eğer gerekli ise güncel olarak tutulmalı
• Amacın gerektirdiğinden daha uzun bir süre tutulmamalıdır.
HUKUKA VE DÜRÜSTLÜK KURALLARINA UYGUN İŞLEME
Hukuka uygun olma gerekliliği kendi kendini açıklar niteliktedir. Bu gereklilik, kişisel verilerin işlenmesinde yasalarla ve diğer hukuksal düzenlemelerle getirilen ilkelere uygun hareket edilmesi zorunluluğunu ifade eder.AB Yönergesinde işleme oldukça geniş bir şekilde tanımlanmıştır. Buna göre: “kişisel verinin işlenmesi (işleme) toplama, kaydetme, düzenleme, saklama, uyarlama veya değiştirme, geri alma, danışma, kullanma, ileti ile açığa çıkarma, yayma veya başka şekilde oluşturma, sıraya koyma veya birleştirme, engelleme, silme veya yok etme gibi otomatik olan veya olmayan araçlarla, kişisel veri üzerinde uygulanan her türden işlem veya işlem dizisi anlamına gelir.”
AK Sözleşmesinde de işleme bütün bu süreçleri kapsar şekilde tanımlanmıştır. Dürüstlük kuralına uygun olma ilkesi ile veri denetçilerinin, veri işlemedeki hedeflerine ulaşmaya çalışırken, ilgili kişilerin çıkarlarını ve makul beklentilerini dikkate almaları gerektiğinin ifade edildiği söylenebilir. Bu, işlemenin ilgili kişi için şeffaf olması ve veri koruma görevlisinin bilgilendirme ve uyarı yükümlülüklerine uygun hareket etmesi gerekliliğini de kapsar.
BELİRLİ, AÇIK VE MEŞRU AMAÇLAR İÇİN TOPLANMA
Kişisel verilerin işlenme sürecinin tamamında belirli, açık ve meşru amaçlar doğrultusunda hareket edilmelidir. Bir başka anlatımla, verilerin hem toplanma, hem de daha sonraki bütün işlenmelerinde bu ilkeye uyulmalıdır. Bütün temel veri koruma düzenlemelerinde kabul edilen bu ilkenin üç parçadan oluştuğu görülmektedir:
• Verilerin toplanma amacının belirli ve açık olması
• Verilerin toplanma amacının meşru olması
• Verilerin daha sonra işlenme amaçlarının, toplanma amacı ile uyumlu olması.
Verilerin toplanma amacının belirli ve açık olması, her şeyden önce bu konuya ilişkin hukuksal düzenlemelerde belirsiz ifadelerden kaçınılmasını gerektirir. Ayrıca verilerin anonimleştirilmeden yalnızca depolanmak üzere, bir başka anlatımla olası kullanımdan hareketle tutulması da bu ilkeye aykırılık oluşturur. Verilerin toplanmasının meşru olabilmesi için yasal bir temele dayanması, bütün yasal gereklilikler ile uyum içinde olması ve verilerin işlenmesinden kaynaklanan çıkar ile dengeli olması gerekir. AB Veri Koruma Yönergesinde veri işlemeyi meşru kılan ölçütler belirlenmiştir. Bu ölçütler,
• İlgili kişinin rızasının bulunması.
• İlgili kişinin taraf olduğu bir sözleşmenin ifa edilmesi ya da ilgili kişinin bir sözleşmenin tarafı olmadan önceki istemleri dolayısıyla işlemenin gerekli olması: Bir servis sağlayıcının sunduğu hizmeti yerine getirebilmesi için veri öznesinin ad, telefon numarası, e-posta adresi gibi bilgilerini sağlaması burada örnek olarak gösterilebilir.
• Denetçinin tabi olduğu yasal bir yükümlülüğe uymak için işlemenin gerekli olması: Bu hükümde söz konusu olan yalnızca vergi, sosyal sigorta ya da mahkemeye delil sunma gibi yasal yükümlülüklerdir. Bu nedenle sözleşmeden kaynaklı yükümlülüklerin bu kapsamda değerlendirilmemesi gerekecektir.
• İlgili kişinin yaşamsal çıkarlarının korunması için işlemenin gerekli olması: Bu istisna ancak ilgili kişinin yaşamı için elzem bir çıkarının korunması söz konusu ise uygulanabilir.
• İşlemenin kamu yararının bulunduğu bir hizmetin gerçekleştirilmesi ya da denetçinin veya verinin açıklandığı üçüncü kişinin resmi bir yetkisini kullanması için gerekli olması: Burada geçen “kamu yararı” deyimi geniş yorumlamayı olanaklı kılan niteliği dolayısıyla istisnanın sınırlarının belirsizleşmesine neden olabilmektedir.
• Yönergenin 1/1 hükmü uyarınca ilgili kişinin temel hak ve özgürlüklerinden kaynaklı çıkarlarının baskın olduğu durumlar hariç, denetçi veya verinin açıklandığı üçüncü kişinin meşru çıkarlarından kaynaklanan amaçlar için gerekli olması: Bu hüküm ile ilgili kişinin çıkarları ile veri denetçisinin çıkarları arasında bir denge öngörüldüğü söylenebilir. AB Yönergesinde “meşru çıkarın” ne olduğu tanımlanmamıştır. Ancak Yönergenin Başlangıç bölümünde “şirketlerin ve diğer organların meşru olağan etkinlikleri” ifadesi yer almaktadır. Bu bağlamda “meşru çıkarların” “meşru ticari çıkarlar” olarak algılanması olanaklıdır.