Psödonim Veri Her Durumda Kişisel Veri midir?
ABAD, EDSB/SRB ihtilafında kararını verdi: Hayır!
İhtilafın ilk derece nezdindeki özetini önceden paylaşmıştım, dolayısıyla burada doğrudan kararın kişisel veri kavramına ilişkin tespitlerine yoğunlaşacağım:
Psödonim Veri Tanımı
2018/1725 no.lu Tüzük (GVKT'ye benziyor, lakin AB kurumlarının kişisel veri işleme faaliyetlerini esas alıyor) bağlamında psödonim veri tanımına bakıldığında psödonim veriden bahis açabilmek için kişinin belirlenebilir kılınamaması için önlemler alması gerektiğine işaret ediliyor. Divan özünde şunu söylüyor: Şayet psödnonim veri her halükârda kişisel veri olarak kabul edilecekse, psödonim hale getirmenin, bilhassa kişinin belirlenebilir kılınmasını önlemek amacıyla alınması öngörülen önlemlerin hiçbir anlamı kalmaz.
Nisbi Yaklaşım
Dolayısıyla bir verinin (daha doğrusu bilginin) kişisel veri niteliğini haiz olup olmadığına bakılırken nisbi bir yaklaşım sergilenmeli, her bir veri işleme faaliyeti münferiden değerlendirilmelidir. Bu süreçte kişisel veri işleyen taraf, makul imkanlar dahilinde ek bilgilere ulaşıp psödonim veri ile ek bilgileri eşleştirip kişileri belirlenebilir kılıyorsa kişisel veri söz konusu olacak, aksi takdirde kişisel veriden bahis açılmayacaktır.
Veri Aktarımı Bağlamında Değerlendirme
Öte yandan Divan, aynı kararında psödonim veriyi elde eden tarafın, kendi bünyesinde ulaşabildiği ek bilgilerle kişileri belirlenebilir kıldığı hallerde hem aktarım, hem de alıcı nezdinde gerçekleşen veri işleme faaliyetleri açısından kişisel verinin söz konusu olduğuna da dikkat çekiyor.
Uygulamaya Etkisi
Karar her ne kadar Divan'ın artık istikrar kazanmış içtihatlarını tekrar ediyor olsa da, özellikle psödonim verinin üçüncü kişilere aktarıldığı durumlarda uygulamayı çokça rahatlatacak nitelikte. Hatta verinin alıcısının psödonim veri seti sayesinde ilgili kişileri belirlenebilir kılma imkanı olmadığı ve dolayısıyla kişisel verinin de söz konusu olmadığı durumlarda veri işleme sözleşmesi yapılmaksızın veri aktarılabileceği, hatta standart sözleşme hükümlerine başvurulmaksızın yurtdışına veri aktarımı dahi gerçekleştirilebileceğini söyleyenler var.