Veri İşlemenin Genel İlkeleri

Bir önceki derste kişisel veri, özel nitelikli veri, veri sorumlusu ve veri işleyen gibi temel kavramları öğrenmiştik. Bu kavramları bildiğimize göre artık asıl soruya geçebiliriz: Bir şirket, elindeki kişisel verileri işlerken hangi kurallara uymak zorundadır? İşte bu derste KVKK'nın kalbinde yer alan genel ilkeleri ele alıyoruz. Kanunun 4. maddesinde sayılan bu ilkeler, veri işleyen her çalışan için bir pusula niteliğindedir.

1. Hukuka ve Dürüstlük Kuralına Uygunluk

Veri işleme faaliyeti hem yasalara hem de dürüstlük kuralına uygun olmalıdır. Örneğin bir çağrı merkezi çalışanının, müşteriyi aradığı sırada elde ettiği ek bilgileri (örneğin sohbet sırasında öğrenilen sağlık durumu) izinsiz şekilde pazarlama listesine eklemesi bu ilkeye aykırıdır.

2. Belirli, Açık ve Meşru Amaçlarla Sınırlılık

Veri, toplanmadan önce hangi amaçla işleneceği net şekilde belirlenmelidir. İnsan kaynakları departmanının işe alım sürecinde topladığı özgeçmiş bilgilerini, adayın onayı olmadan farklı bir şirkete pazarlama amacıyla aktarması, amaç sınırlılığı ilkesinin ihlalidir.

3. İşlendikleri Amaçla Bağlantılı, Sınırlı ve Ölçülü Olma

Bu ilke kısaca "ihtiyacın kadarını al" diye özetlenebilir. Bir e-ticaret sitesinin, sadece kargo teslimatı için adres bilgisine ihtiyacı varken müşteriden doğum tarihi ve kimlik numarası talep etmesi ölçülülük ilkesine aykırıdır. Veri toplarken her zaman "Bu bilgi olmadan hizmeti veremez miyim?" sorusunu sormak gerekir.

4. Doğru ve Gerektiğinde Güncel Olma

İşlenen verilerin doğruluğu, hem veri sahibinin hem de şirketin yararınadır. Örneğin bir bankanın, müşterisinin eski adresine hâlâ önemli bildirimler göndermesi; hem operasyonel hataya hem de KVKK ihlaline yol açabilir. Güncelleme taleplerinin hızlı işlenmesi bu ilkenin gereğidir.

5. İlgili Mevzuatta Öngörülen veya İşleme Amacı İçin Gerekli Olan Süre Kadar Muhafaza Etme

Veriler sonsuza kadar saklanamaz. Bir işten ayrılan çalışanın özlük dosyası, yasal saklama süresi (genellikle 10 yıl) dolduktan sonra imha edilmelidir. "Belki ileride işimize yarar" düşüncesiyle veri biriktirmek, bu ilkeye açıkça aykırıdır.

Bu beş ilke, veri işleme sürecinin her adımında birlikte değerlendirilmelidir; biri sağlansa da diğeri ihlal edilirse şirket yine de sorumlu tutulabilir. Peki bir veriyi işlemek için hangi hukuki dayanağa ihtiyaç vardır? Bir sonraki derste hukuka uygunluk sebepleri ve açık rıza konusunu detaylı olarak inceleyeceğiz.