Kişisel Veri Tanımı
➡️ Kişisel veri tanımı: Breyer, Autoteilehandel-Gesamtverband, IAB Europe, SRB/EDPS kararlarında tasdik edilen nisbi kişisel veri yaklaşımı tasdik ediliyor ve kanunlaşıyor.
Sızdırılan ilk taslakta ayrıca bütün özel nitelikli kişisel veriler açısından doğrudanlık kıstası getiriliyordu: Her ne kadar doktrinde bir verinin özel nitelikli kişisel veri olup olmadığını belirlerken verinin kullanım amacının esas alınması gerektiği kabul edilse de (örnek olarak CCTV ile kişinin gözlüklü olduğu tespit ediliyor; ama amaç güvenlik; sağlık verisi işlemek değil!) ABAD, birçok içtihadında inferred sensitive data'nın da (çıkarımsal hassas veri) özel nitelikli kişisel veri olabileceğine hükmetmişti: kişinin aynı evde kaldığı diğer kişinin hemcinsi olmasının kişinin cinsel yönelimine, satın alınan ve reçeteye tabi olan ya da olmayan ilaçların kişinin sağlık durumuna dair özel nitelikli kişisel veri olabileceğine ilişkin kararlar. Tasarı, ABAD'ın bu son derece geniş ve uygulamada ciddi sorunlara sebebiyet veren söz konusu içtihadını "düzeltmek" istiyordu. Ancak sızdırılan ilk taslağın aksine resmi taslakta bu değişikliğe artık yer verilmiyor!
İlgili Kişi Haklarının Sınırlandırılması
➡️ İlgili kişi haklarının sınırlandırılması sebepleri netleştiriliyor: açıkça yersiz ya da ölçüsüz ilgili kişi talepleri için ücret talep edilebiliyor ya da bu talepler reddedilebiliyor. Yersiz ya da ölçüsüz kavramları netleştiriliyor: kişisel verilerin korunması amacının dışında ilgili kişi haklarının kötüye kullanılması! ABAD içtihatlarında çok fazla başvuruda bulunan ve ilgili otoriteleri taciz eden kişinin talebinin otorite tarafından reddedilmesi haklı bulunmuştu; benzer durum artık aydınlatma yükümlülüğü açısından da benimsenmiş oluyor.
Aydınlatma Yükümlülüğünün İstisnaları
➡️ Aydınlatma yükümlülüğünün istisnaları: Bugüne kadar doğrudan elde etme halinde sadece ilgili kişinin söz konusu bilgilere halihazırda sahip olması halinde yeniden aydınlatmaya gerek olmadığı belirtilmekteydi. Yeni öneri ile veri sorumlusu ile ilgili kişi arasında yoğun veri işleme süreçleri içermeyen bir ilişki bulunması ve ilgili kişinin bu ilişkide veri işleme süreçlerini öngörebilmesi ve dolayısıyla bilgi sahibi olması halinde ilave bir aydınlatma yükümlülüğüne ihtiyaç duyulmamaktadır. Ancak veri sorumlusu söz konusu verileri başkalarına aktarıyorsa, yurtdışına aktarıyorsa, münhasıran otomatik yollarla veri işleyecekse ya da veri işleme sonucunda temel haklar açısından yüksek risk gündeme gelecekse aydınlatma yükümlülüğü devam etmektedir.
Münhasıran Otomatik Yollarla KV İşleme
➡️ Münhasıran otomatik yollarla KV işleme: Özellikle ABAD'ın Schufa kararında kredi skoru hesaplamasının sözleşme öncesinde gerçekleştiği, kredi skoru hesaplayan şirketin kredi tahsisi konusunda karar mercii olmadığı savunmalarına binaen münhasıran otomatik yollarla kişisel veri işleyenin sözleşme tarafı olması gerekmediği açıkça düzenleniyor.