Amacın Meşru Olması İlkesi KVKK’ya Göre Kişisel Verilerin İşlenme Amacının Meşru ve Uygun Olması

1. Amacın Meşru Olması İlkesinin Tanımı

Amacın meşru olması ilkesi, kişisel verilerin işlenmesinde amacın niteliğine odaklanır. Buna göre veri sorumlusu:

• İşleme faaliyetine başlamadan önce meşru ve hukuka uygun bir amaç belirlemeli,
• Bu amacı belirli, açık ve anlaşılır şekilde tanımlamalı,
• İşlenen veri kategorilerini bu amaçla doğrudan bağlantılı ve sınırlı tutmalıdır.

“Meşru” kavramı; yalnızca ticari faydayı değil, aynı zamanda hukuki düzenlemelerle uyumu, dürüstlük kuralına uygunluğu ve ilgili kişinin makul beklentilerini de içerir. Yani, veri işleme amacı; veri sorumlusunun faaliyetleriyle ilgili olmalı, ilgili kişinin makul olarak öngörebileceği bir çerçevede kalmalı ve keyfî veya kötüye kullanıma açık olmamalıdır.

1.1. Amaç, Faaliyet ve Veri Arasındaki Bağ

Amacın meşru olması; işlenen verilerin, veri sorumlusunun yürüttüğü faaliyet veya sunduğu hizmet ile mantıklı bir bağ içinde olmasını gerektirir. Örneğin:

• Bir e-ticaret sitesinin teslimat yapabilmek için adres ve iletişim bilgilerini işlemesi meşru bir amaçtır.
• Aynı sitenin, sıradan bir sipariş için gereksiz detayda aile bilgisi toplaması, meşru amaç ilkesine uygun değildir.

2. Meşru Amaçların Önemi ve KVKK ile İlişkisi

Kişisel veriler, modern toplumun iş dünyası ve hizmet sektörü için vazgeçilmez bir unsurdur. Ancak bu veriler, KVKK ve ilgili veri koruma ilkeleri çerçevesinde işlenmelidir. Amacın meşru olması ilkesi, bu çerçevenin temel sütunlarından biridir.

2.1. İşletme Faaliyetleri ile Uyum

Meşru amaçlar, veri sorumlusunun:

• İşletme faaliyetlerini sürdürebilmesi,
• Hizmet sunabilmesi,
• Müşteri ve çalışan ilişkilerini yönetebilmesi

için hayati önem taşır. Ancak bu önem, verilerin rastgele ve sınırsız şekilde toplanabileceği anlamına gelmez. Amaç; hem işletmenin gereksinimlerini karşılayacak, hem de ilgili kişinin temel hak ve özgürlüklerine saygı gösterecek şekilde kurgulanmalıdır.

2.2. Veri Koruma İlkeleri ile Bağlantı

Amacın meşru olması ilkesi, aşağıdaki KVKK ilkeleriyle doğrudan bağlantılıdır:

• Belirli, açık ve meşru amaçlar için işlenme ilkesi,
• İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ilkesi,
• Şeffaflık ve bilgilendirme yükümlülüğü.

Bu ilkeler birlikte değerlendirildiğinde; veri sorumlusunun her işleme faaliyetinde “Neden bu veriyi işliyorum? Bu veri amaç için gerçekten gerekli mi?” sorularına net ve savunulabilir cevaplar verebilmesi beklenir.

3. Hazır Giyim Mağazası Örneği: Meşru ve Meşru Olmayan Amaçlar

Hazır giyim mağazası örneği, amacın meşru olması ilkesini somutlaştırmak açısından oldukça açıklayıcıdır.

3.1. Meşru Veri İşleme Örneği

Bir hazır giyim mağazasının, müşterilerin kimlik ve iletişim bilgilerini:

• Alışveriş işlemlerini düzenlemek,
• Siparişleri teslim etmek,
• İade-değişim süreçlerini yönetmek,
• Satış sonrası müşteri hizmeti sunmak

amacıyla işlemesi, meşru, açık ve belirli bir amaçtır. İşlenen veriler, mağazanın hizmet sunma faaliyetleri ile doğrudan bağlantılı ve bu faaliyetler için gereklidir.

3.2. Meşru Olmayan Amaç Örneği

Aynı mağazanın, standart bir alışveriş işlemi için müşterilerden:

• Anne kızlık soyadı,
• Detaylı aile geçmişi,
• Meslek dışı özel yaşam bilgileri

talep etmesi; ne sunulan hizmetin yürütülmesi ne de işletme faaliyetinin gereği bakımından gerekli ve ölçülü kabul edilebilir. Bu durumda amacın meşru olması ilkesinin ihlali söz konusudur.

4. Veri Sorumlusunun Sorumluluğu ve Şeffaflık

Veri sorumlusu, kişisel verilerin işlenmesi için meşru bir amaç belirlerken ve bu amacı hayata geçirirken son derece dikkatli davranmak zorundadır. Bu sorumluluk üç başlıkta toplanabilir:

4.1. Amaç Belirleme Sorumluluğu

• İşleme faaliyetinden önce net ve meşru amaçlar tanımlanmalı,
• Bu amaçlar işletmenin faaliyetleri ve hizmetleriyle uyumlu olmalı,
• “Olur da lazım olur” endişesiyle, amacı belirsiz veri toplama uygulamalarından kaçınılmalıdır.

4.2. Şeffaflık ve Bilgilendirme

Veri sorumlusu, ilgili kişilere:

• Hangi verilerin işlendiğini,
• Bu verilerin hangi amaçlarla işlendiğini,
• Ne kadar süre saklanacağını ve kimlere aktarılabileceğini

açık ve anlaşılır bir dille bildirmek zorundadır. Bu şeffaflık, hem KVKK’ya uyum hem de ilgili kişinin güven duygusu açısından kritik önemdedir.

4.3. Amaç-Veri Uyumu ve Ölçülülük

Veri sorumlusu, belirlediği amaçlarla:

• Topladığı veri seti arasında mantıklı ve meşru bir bağ kurmalı,
• Bu amacın ötesine geçen, farklı ve uyumsuz kullanımlara yönelmemeli,
• Aynı veri için sonradan ortaya çıkan yeni amaçlar olduğunda, hukuki sebebi yeniden değerlendirmelidir.

5. Uyum, Riskler ve En İyi Uygulamalar

Amacın meşru olması ilkesine uyulmaması, hem hukuki yaptırım riski hem de itibar kaybı anlamına gelir. Bu yüzden veri sorumlularının ilkeyi somut prosedürlere dönüştürmesi gerekir.

5.1. Başlıca Riskler

• Amaç açık tanımlanmadan “geniş ve muğlak” veri işleme faaliyetleri yürütmek,
• Hizmetle ilgisi olmayan, aşırı veya hassas nitelikte verilerin gereksiz yere toplanması,
• Başlangıçta bildirilen amaç dışına çıkarak verilerin farklı amaçlarla kullanılması,
• İlgili kişilere amaçlar hakkında yeterli bilgilendirme yapılmaması.

5.2. Uyum İçin Önerilen Uygulamalar

• Her işleme faaliyeti için amaç dokümantasyonu oluşturmak,
• Veri envanterinde her veri kategorisi ile ilişkili işleme amaçlarını ayrı ayrı işaretlemek,
• Aydınlatma metinlerinde amaçları net ve sade bir dille açıklamak,
• Toplanan verileri periyodik olarak gözden geçirip gereksiz veri kategorilerini elenmek,
• Yeni bir amaç ortaya çıktığında, hukuki sebebi ve aydınlatma metnini güncellemek.

6. Sık Sorulan Sorular