Profilleme, kişisel verilerin bir gerçek kişiye ilişkin belirli yönleri (ilgi alanları, davranışlar, tercihler, konum gibi) değerlendirmek amacıyla otomatik yollarla işlenmesidir. GDPR m.4(4) kavramı bu şekilde tanımlar. KVKK'da ayrı bir profilleme tanımı yoktur; ancak profilleme yoluyla yapılan her işlem kişisel veri işleme sayılır ve kanunun genel rejimine tabidir.
GDPR m.4(4), profillemeyi kişisel verilerin otomatik işlenmesinin herhangi bir biçimi olarak tanımlar: veriler, bir gerçek kişinin iş performansı, ekonomik durumu, sağlığı, kişisel tercihleri, ilgi alanları, güvenilirliği, davranışı, konumu veya hareketleri gibi yönlerini değerlendirmek, özellikle analiz etmek veya öngörmek için kullanılır. GDPR m.22 ise bir adım ötesini düzenler: kişi, kendisi üzerinde hukuki sonuç doğuran veya benzer ölçüde önemli etki yaratan, yalnızca otomatik işlemeye dayalı kararlara tabi tutulmama hakkına sahiptir; profilleme bu kapsamda açıkça anılır.
KVKK'da profilleme ayrı bir kavram olarak tanımlanmaz; ancak bu bir boşluk değildir. Profilleme, tanımı gereği kişisel veri işlemedir ve KVKK'nın tüm şartlarına tabidir: hukuki sebep, aydınlatma, veri güvenliği ve ilgili kişi hakları burada da aynen geçerlidir.
Web'de profillemenin en yaygın biçimi çerez tabanlı reklam profilidir: pazarlama çerezleri ziyaretçinin gezinme davranışını siteler arasında birleştirerek ilgi alanı profili çıkarır ve reklamlar buna göre hedeflenir. Bu zincirin hukuka uygun başlaması, pazarlama çerezleri için önceden açık rıza alınmasına bağlıdır; rıza gelmeden profil oluşturan araçların yüklenmemesi gerekir. Aydınlatma ve çerez politikası metinlerinde profillemenin yapıldığı açıkça belirtilmelidir.
Sık sorulan sorular
Profilleme için açık rıza gerekli mi?
Çerez tabanlı reklam profillemesinde pratik cevap evettir: profil, pazarlama çerezleri üzerinden kurulduğu için bu çerezlerin cihaza yazılabilmesi önceden açık rıza gerektirir; rıza gelmeden profilleme araçları çalıştırılmamalıdır. Profillemenin her türü için tek hukuki sebep rıza olmayabilir; ancak hangi sebebe dayanılırsa dayanılsın aydınlatma yapılması ve ilgili kişinin haklarının korunması zorunludur.
KVKK'da profilleme düzenleniyor mu?
KVKK'da GDPR m.4(4) gibi ayrı bir profilleme tanımı ve GDPR m.22 benzeri, otomatik karara tabi tutulmama şeklinde bir hüküm yoktur; bununla birlikte KVKK m.11, işlenen verilerin münhasıran otomatik sistemler aracılığıyla analiz edilmesi sonucu kişinin aleyhine bir sonucun ortaya çıkmasına itiraz etme hakkı tanır. Ancak bu, profillemenin serbest olduğu anlamına gelmez: profilleme kişisel veri işlemedir ve KVKK'nın tüm rejimine tabidir. Hukuki sebep bulunmalı, aydınlatma yapılmalı, veri güvenliği sağlanmalı ve ilgili kişinin başvuru hakları işletilebilmelidir.
Bu içerik bilgilendirme amaçlıdır ve hukuki görüş niteliği taşımaz.