Meşru menfaat — GDPR Madde 6(1)(f) —, düzenlemedeki en yararlı ve en çok yanlış anlaşılan hukuki dayanaktır. Pazarlamacılar rıza başlığı gerektirmediği için buna yönelirken, denetleyici makamlar genel bir izin belgesine dönüşmemesi gerektiği için bunu titizlikle inceler. Bu yazı, maddenin gerçekte ne söylediğini, denetleyicilerin uygulamanızı beklediği üç adımlı testi, şirket düzeyinde ziyaretçi tanımlamaya ilişkin uygulamalı bir örneği ve sınırların nerede başlayıp bittiğini açıklamaktadır.
Madde 6(1)(f) gerçekte ne diyor?
Madde, kişisel verilerin işlenmesine "veri sorumlusu veya üçüncü bir tarafça takip edilen meşru menfaatlerin gerektirdiği hallerde, bu menfaatlerin ilgili kişinin menfaatleri veya temel hak ve özgürlükleri tarafından geçersiz kılındığı durumlar hariç" izin verir. Yükün çoğunu iki kelime taşır — "gerekli" ve "geçersiz kılınma" — ve yazılı olmayan ancak beklenen üçüncü sütun şudur: Meşru menfaatinizin kendisi de hukuka uygun olmalıdır. Bu üç unsurdan herhangi birinin başarısız olması, hukuki dayanağın geçersiz kalması anlamına gelir.
Denetleyici makam sizin yerinize karar vermez. Analizi siz yaparsınız, analizi siz kayıtlara geçirirsiniz ve itirazla karşılaşırsanız analizi siz sunarsınız. Herhangi bir bildirim, kayıt veya onay süreci yoktur — ancak dengeleme testi gerçekten yapılmadıysa hiçbir savunma hakkınız da kalmaz.
Üç adımlı dengeleme testi
Avrupa veri koruma makamları, bazen LIA (Meşru Menfaat Değerlendirmesi) olarak da adlandırılan aynı üç adımlı çerçeve üzerinde birleşmektedir. Her bir adımın başarıyla geçilmesi gerekir.
- Amaç testi — Menfaat hukuka uygun, belirli ve gerçek mi? Genel bir "daha fazla satış yapmak istiyoruz" ifadesi geçerli sayılmaz. "B2B web sitemizi ziyaret eden şirketleri tanımlayarak ilgili bilgilerle doğru karar vericiye ulaşmak" ise geçerlidir.
- Gereklilik testi — Veri işleme, amaca ulaşmak için en az müdahaleci yol mu? Daha az müdahaleci bir yöntem işe yarayacaksa (toplu analitik, isteğe bağlı bülten, form), bu tercih edilmelidir. Gereklilik, bu işlemi mantıklı bir şekilde başka bir yolla yapamayacağınız anlamına gelir.
- Dengeleme testi — İlgili kişinin menfaatleri, hakları ve özgürlükleri sizinkilerden üstün geliyor mu? Makul beklentilerini, verilerin niteliğini, hassasiyetini, toplandığı bağlamı ve uyguladığınız koruyucu önlemleri dikkate alın.
Uygulamalı örnek: Şirket düzeyinde ziyaretçi tanımlama
AB'de faaliyet gösteren bir B2B SaaS şirketinin, web sitesine yapılan ziyaretlerin arkasındaki kuruluşları tanımlamak istediğini varsayalım — şirket düzeyinde tanımlama, çerez yok, kişisel tanımlayıcı yok. Savunulabilir bir Meşru Menfaat Değerlendirmesi'nin (LIA) adım adım görünümü şöyle şekillenir.
1. Adım — Amaç
Amaç, ilgili ve hedefli bilgiler (kişiselleştirilmiş bir e-posta, bir başarı hikayesi, on beş dakikalık bir görüşme daveti) göndermek üzere bir B2B hizmetini aktif olarak araştıran şirketleri tanımlamaktır. Amaç hukuka uygun, belirli ve gerçektir. "Ne olur ne olmaz" düşüncesiyle yapılan bir veri toplama değildir.
2. Adım — Gereklilik
Amaç daha az müdahaleci bir şekilde gerçekleştirilebilir miydi? Toplu analitik "kaç kişi?" sorusuna yanıt verir ancak "kim?" sorusunu yanıtlamaz — amacı karşılayamaz. Genel bir bülten kendi isteğiyle kaydolan abonelere ulaşır ancak şu anda aktif olarak araştırma yapan şirketlere ulaşamaz. Bir form ise yalnızca bilgilerini kendi isteğiyle paylaşan ziyaretçilerin küçük bir kısmını yakalar. Herhangi bir kişisel tanımlayıcıya dokunmadan IP adresini bir kuruluşa dönüştüren şirket düzeyinde tanımlama, belirtilen amaç için orantılı ve gerekli bir yöntemdir.
3. Adım — Dengeleme
Makul beklentiler: İş yerindeyken bir B2B hizmetinin web sitesine göz atan kurumsal ziyaretçiler, site işleticisinin bir işletmenin (mutlaka bireysel bir kişinin değil) ziyaret ettiğini bilmesini genel olarak bekler. Verilerin niteliği: Tanımlanan varlık gerçek bir kişi değil, tüzel bir kişiliktir (kuruluş). Hassasiyet: Özel nitelikli kişisel veri işlenmemektedir. Bağlam: Veriler, veri sorumlusunun kendi web sitesinde olağan ticari akış içinde toplanmıştır. Koruyucu önlemler: Çerez yok, cihaz parmak izi yok, siteler arası takip yok, bireysel ziyaretçi profili yok; tanımlanan şirket için erişilebilir bir opt-out (devre dışı bırakma) olanağı; ne yapıldığını tam olarak açıklayan kamuya açık bir gizlilik bildirimi.
Bu denge çerçevesinde, veri sorumlusunun ilgili bilgilerle bir karar vericiye ulaşma yönündeki menfaati, olağan B2B senaryosunda ilgili kişinin menfaatleri, hakları ve özgürlükleri tarafından geçersiz kılınmaz. Farklı bir veri işleme faaliyeti (örneğin bireysel düzeyde takip veya verilerin üçüncü taraflara satılmak üzere yeniden kullanımı) dengeyi tersine çevirir — analiz tamamen gerçekte ne yaptığınıza özeldir.
Belgeler gerçekte nasıl görünür?
Savunulabilir bir Meşru Menfaat Değerlendirmesi (LIA), ismi belirtilen bir kişi tarafından onaylanmış, genellikle iki ila dört sayfalık kısa ve tarihli bir belgedir. Aşağıda çoğu Avrupa veri koruma makamının kabul ettiği yapı yer almaktadır.
| Bölüm | İçerik | Uzunluk |
|---|---|---|
| Başlık | Veri sorumlusu adı, veri sorumlusu adresi, varsa DPO iletişim bilgisi, yürürlük tarihi | Her biri 1 satır |
| Amaç | Belirli, hukuka uygun, gerçek menfaat — tek paragraf | ~100 kelime |
| Gereklilik | Değerlendirilen alternatifler ve bunların amaca neden ulaşamadığı | ~150 kelime |
| Dengeleme | Makul beklentiler, nitelik, hassasiyet, bağlam, koruyucu önlemler | ~300 kelime |
| Koruyucu Önlemler | Somut tedbirler: opt-out, saklama süresi, kişisel tanımlayıcı olmaması, veri işleyenlerle DPA | ~150 kelime |
| Gözden Geçirme | Onaylayan (isim, unvan); bir sonraki gözden geçirme tarihi (yıllık) | 2 satır |
Ülkeye göre ne değişir?
Madde 6(1)(f) AB genelinde yeknesaktır, ancak eGizlilik boyutu (Almanya'da § 25 TDDDG), uç cihazlara bilgi yerleştirip yerleştiremeyeceğinizi veya bu cihazlardan bilgi okuyup okuyamayacağınızı yönetir — çerezler, yerel depolama, cihaz parmak izi. İstemci tarafında herhangi bir depolama yapılmaksızın gerçekleştirilen şirket düzeyinde tanımlama, § 25'in rıza gereksiniminin dışında kalır; istemci tarafında herhangi bir tanımlayıcı kullanmak, Madde 6 dayanağınızdan bağımsız olarak sizi rıza alanına taşır.
Doğru dayanağın meşru menfaat değil rıza olduğu durumlar
Meşru menfaat, rızanın evrensel bir alternatifi değildir. Doğru hukuki dayanak, en az üç yaygın B2B durumunda rızaya (Madde 6(1)(a)) dönüşür.
- Ziyaretçinin cihazında kesinlikle gerekli olanın ötesinde bilgi depolandığında veya okunduğunda — takip çerezi, localStorage tanımlayıcısı, cihaz parmak izi — eGizlilik/§ 25 TDDDG, Madde 6 dayanağınız ne olursa olsun rıza gerektirir.
- Davranışsal reklamcılık, siteler arası profilleme veya üçüncü taraflara yeniden satış amacıyla gerçek kişilerin kişisel verilerinin işlenmesi. Bunlar, orantılı bir B2B iletişim menfaatinin tamamen dışında kalır.
- Özel nitelikli veriler (Madde 9) — sağlık, siyasi düşünceler, biyometrik veriler — hiçbir zaman sıradan meşru menfaat kapsamında yer almaz; Madde 6'ya ek olarak özel bir Madde 9 dayanağı gereklidir.
Operasyonel bir kontrol listesi
- Özel veri işleme faaliyetini kapsayan yazılı ve tarihli bir Meşru Menfaat Değerlendirmesi'ne (LIA) sahipsiniz.
- Gizlilik bildiriminiz, kişileri değil şirketleri tanımladığınızı ve bunun nedenini yalın bir dille açıklamaktadır.
- Erişilebilir bir opt-out (devre dışı bırakma) olanağınız var ve buna uyuyorsunuz — şirketler belirlenen bir süre içinde çıkarılır ve tekrar tanımlanmaz.
- Verilere dokunan her veri işleyen ile imzalanmış bir DPA'nız (Veri İşleme Sözleşmesi) var.
- Meşru Menfaat Değerlendirmesi'ni (LIA) yıllık olarak veya veri işleme faaliyeti önemli ölçüde değiştiğinde gözden geçiriyorsunuz.
Bu makale eğitim amacıyla yazılmıştır, hukuki tavsiye niteliği taşımaz. Kendi veri işleme faaliyetlerinizin bağlayıcı bir değerlendirmesi için bölgenizdeki uzman bir hukuk danışmanına başvurun.
Published by
lead.box Team
More articles
lead.box'ı kendi trafiğinizde görün
Ücretsiz başlayın — kart bilgisi ya da satış görüşmesi gerekmez. Rehberli bir tur isterseniz 20 dakikalık bir tanıtım planlayın.