C-487/21 – Österreichische Datenschutzbehörde/CRIF GmbH - Karar Özeti
Soru: GVKT Art. 15 f. 3 c. 1’e göre ilgili kişinin kişisel verilerinin bir nüshasını talep etme hakkının kapsamı nedir?
İlgili hükümler: GVKT Art. 15, 12
Özet: İlgili kişinin haklarını kullanabilmesi için gerekli olduğu takdirde, işlemeye konu olan kişisel verilerin bir nüshasını talep etme hakkı, bu söz konusu kişisel verileri içeren belge ya da veri tabanının ilgili kısımlarının ya da belgenin tümünün sunulması yükümlülüğünü kapsayabilir.
- İşlenen kişisel verilerin bir nüshasını talep etme hakkı, işlemeye konu olan kişisel verilerin kendisiyle mı sınırlı, yoksa bunun ötesinde işlemeye konu olan kişisel verilerin bulunduğu belge kısımları ya da belgelerin tümünü ya da söz konusu verileri içeren veri tabanlarının ilgili kısımlarını da mı kapsıyor?
Lafız: İşlemeye konu olan kişisel verilerin bir nüshası:
-aslına sadık bir kopya olacak; hangi kişisel verilerin işlendiğini tarif eden bir bilgi ya da işlemeye konu olan kişisel veri kategorilerinin belirtilmesi yeterli değil!
-Art. 4 No. 1’de yer verilen kişisel veri tanımı çok geniş olduğu için sadece veri sorumlusu tarafından elde edilen ve muhafaza edilen/depolanan kişisel veri değil, elde edilen kişisel veriden meydana gelen çıktılar da talep kapsamına dahil olabilecek
Telos: İlgili kişi haklarının güçlendirilmesi:
-İlgili kişiye tanınan haklar çerçevesinde sadece ilgili kişi hakkında işlenen kişisel verilerin doğru ve tam olup olmadığının değil, kişisel verilerin hukuka uygun şekilde işlenip işlenmediği, özellikle genel ilkeler ve işleme şartlarına uygunluğun denetlenebilmesi için ilgili kişiye gerekli bütün bilginin sunulması gerekmektedir. Nitekim bu sayede ilgili kişi düzeltme/silme/itiraz haklarını kullanabilecek hale gelecektir.
Şeffaflık ilkesi:
-Nasıl aydınlatma yükümlülüğü kapsamında somut, kolay ulaşılabilir, anlaşılır, basit bir dille kaleme alınmış aydınlatma metinleri hazırlanacaksa, işlenen kişisel verilere ilişkin talep edilen nüsha da aynı şartları karşılamalıdır.
Sonuç: İlgili kişinin işlemeye konu olan kişisel verilerinin Art. 15 f. 3 c. 1’e göre bir nüshasını talep etme hakkı, ilgili kişinin haklarını kullanabilmesi açısından gerekli olduğu takdirde münhasıran işlemeye konu olan kişisel veriyle sınırlı olmayıp, bu veriyi içeren belgenin ilgili kısmı ya da tümünü veya ilgili veri bankasının ilgili kısımlarını da içermektedir.
- Talep edilen bilgi münhasıran kişisel verilerle mi sınırlıdır?
Evet, zira talep işlemeye konu olan kişisel verilerle sınırlı olduğu için bunun ötesindeki bilgiler talebe konu değildir.
- Fikri haklar ile ticari sırlara ilişkin koruma hükümleri saklıdır. Dolayısıyla işlemeye konu olan kişisel verilerin bir nüshasını talep etme hakkı, gerek veri sorumlusunun, gerekse üçüncü kişilerin ticari sırları ile fikri haklarına hukuka aykırı şekilde gerçekleştirilecek bir müdahaleyi haklı kılmayacaktır. Bu sebeple veri sorumlusunun gerekli önlemleri alması gerekecektir.
Türk Hukuku açısından çıkarımlar:
Her ne kadar 6698 sayılı Kanun kapsamında ilgili kişiye GVKT Art. 15 f. 3 c. 1’de öngörülen düzenlemede olduğu gibi işlenen kişisel verilerin bir nüshasını talep etme hakkı açıkça öngörülmemiş olsa da, Türk hukukunda da ilgili kişinin bilgi talebinin, bu kişinin kanundan doğan haklarını kullanabilmesi için gerekli bütün bilgileri içerir şekilde sunması gerekmektedir. Bununla birlikte söz konusu taleplerin hakkın kötüye kullanılması halini teşkil ettiği durumlarda söz konusu talebin dikkate alınmaması hususunda da tereddüt yoktur.