Kişisel veri işleme faaliyetlerinde amaç ve vasıtaları belirleyen, veri kayıt sisteminin kurulup idare edilmesinden sorumlu olan gerçek veya tüzel kişi veri sorumlusudur. 6698 sayılı Kişisel Verilerin Korunması Kanunu metninde birden çok kişinin birlikte sorumluluğunu engelleyen bir hüküm yer almamakla birlikte ortak veri sorumlusu kavramı kanunda açıkça düzenlenmemiştir. Buna karşılık Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) madde 26/1 düzenlemesinde, veri işleme amaçlarını ve araçlarını müştereken kararlaştıran taraflar açık biçimde ortak veri sorumlusu kabul edilmektedir.
GDPR Düzenlemesinde Ortak Veri Sorumluluğu ve İlgili Kişilerin Hakları
GDPR uyarınca veri işleme faaliyetinin amaç ve araçlarının tayin edilmesine müştereken iştirak eden süjeler ortak veri sorumlusu niteliğini taşır. Bu hukuki statüde tarafların kendi aralarında akdettikleri dahili sözleşmeler veya iş bölümü anlaşmaları, ilgili kişilerin haklarını daraltmaz. GDPR madde 26/3 gereğince ilgili kişiler, ortak veri sorumluları arasındaki dahili düzenlemeye bakılmaksızın yasal haklarını sorumlulardan her birine karşı ileri sürebilir.
KVKK Kapsamında Veri İşleme Şartları ve Meşru Menfaat Sınırı
6698 sayılı Kanun m. 5/1 uyarınca kişisel veriler kural olarak ilgili kişinin açık rızası olmaksızın işlenemez. Kanunun 5 inci maddesinin 2 nci fıkrasında ise kanunlarda açıkça öngörülmesi; fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması; bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması; veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması; ilgili kişinin kendisi tarafından alenileştirilmiş olması ve bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması durumlarında açık rıza aranmaksızın veri işlenmesi mümkündür. Ayrıca ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması hâlinde de veriler açık rıza aranmaksızın işlenebilir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 5Kaynağı aç
İdari Uygulamada Kusur Tespiti ve Yazılım Üzerinden Veri Paylaşımı
Kişisel Verileri Koruma Kurulu yaklaşımında, ortak veri sorumluluğunun gündeme geldiği hallerde tarafların tespiti için soyut genel ölçütler belirlenmesi yerine sorumluluk ve kusur dağılımının somutlaştırılmasına odaklanılmaktadır. Bu kapsamda işlenen verinin ilk ve son kullanıcısının kim olduğu, veri girişinin kim tarafından yapıldığı, girişin hangi amaçla gerçekleştirildiği, verinin değiştirilmesi, silinmesi veya aktarılması yetkisinin kime ait olduğu ve veri toplayanlar haricindeki sorumluların bu veriler üzerinden yürüttükleri faaliyetler dikkate alınmaktadır.
Somut olay incelemelerinde araç kiralama şirketlerinin 1774 sayılı Kimlik Bildirme Kanunu gereğince kayıt tutması ve KABİS bildiriminde bulunması 6698 sayılı Kanun m. 5/2 kapsamında hukuka uygun kabul edilmektedir. Buna karşın oluşturulan kara liste uygulamalarıyla toplanan verilerin diğer firmalarla paylaşılması, ilgili kişilerin temel hak ve özgürlükleri karşısında meşru menfaat şartına dayandırılamaz. Verilerin aynı yazılımı kullanan tarafların erişimine açılması; hukuka ve dürüstlük kurallarına uygun olma, belirli, açık ve meşru amaçlar için işlenme ile amaçla bağlantılı, sınırlı ve ölçülü olma ilkelerine aykırılık oluşturmaktadır.
GDPR kapsamında ilgili kişiler haklarını hangi veri sorumlusuna yöneltebilir?
GDPR madde 26/3 uyarınca ilgili kişiler, taraflar arasındaki dahili anlaşmaya bakılmaksızın haklarını ortak veri sorumlularının her birine karşı ileri sürebilir.
KVKK uygulamasında ortak veri sorumlularında kusur nasıl tespit edilir?
Kişisel Verileri Koruma Kurulu yaklaşımına göre kusur tespiti; verinin kullanıcısı, veri girişini yapan taraf, giriş amacı, silme ve aktarma yetkilisi ile yürütülen faaliyetler incelenerek belirlenir.
Araç kiralama şirketlerinin ortak kara liste paylaşımı hukuka uygun mudur?
KABİS bildirimi yasal yükümlülük kapsamında hukuka uygun kabul edilirken, oluşturulan kara listelerin diğer şirketlerin erişimine açılması meşru menfaat şartını karşılamaz ve genel veri işleme ilkelerine aykırılık teşkil eder.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy