KİŞİSEL VERİLERİN KORUNMASI ESASININ HUKUKİ DAYANAĞI, NİTELİĞİ VE KAPSAMI

Kişisel verilerin korunması kapsamında getirilmesi gereken açıklamaların başında Anayasal ve yasal güvencelerin tespit edilmesi zorunluluğu gelmektedir. Zira, Anayasa açık bir biçimde herkesin, özel hayatına ve aile hayatına saygı gösterilmesini isteme hakkına sahip olduğu; özel hayatın ve aile hayatının gizliliğine dokunulamayacağı hükmüne yer vermek suretiyle genel bir çerçeve içerisinde özel hayatı koruma esası ile yetinmemiş; buna ek olarak özel hayatın korunması yönlü kişisel verilerin de güvence altına alınmasını hedeflemiştir.  Bunun doğal sonucu olarak kişisel verilerin korunması yönlü hukuksal kurum güncelliğini giderek artıran ve buna bağlı özel düzenlemeleri zorunlu kılan bir mesele haline gelmiştir.

Bu durumu önemli kılan hususları yalnızca Anayasal güvence ile sınırlı kılmak yeterli olmayacaktır. Zira özellikle yaptırım esaslı olarak bakıldığında özel hayat bağlamında kişisel verilerin korunmasına dönük yaptırım sürecinin tanımlanması ve buna bağlı olarak temel esasların benimsenmesi bir gereklilik olmanın ötesine geçmiş ve zorunluluk olarak kabul görmüştür. Kimliği belli bir kişi ile ilgili görülen her tür bilgi kişisel veri olarak kabul edildiğinde görülecektir ki kişilerin kişisel verileri üzerinde kontrol sahibi olması, kişiliklerini koruyabilmelerinin önemli bir yolu olarak kendisini gösterecektir. Bu kontrolün sağlanmasının ise, kişisel verilerin korunması ile mümkün olduğuna kuşku yoktur.

Nitekim biz de bu aşamada kişisel verilerin kavramsal yapısını, bu yapıya dair çerçeveye ilişkin tespitlerimizi ve tartışmaları, dahası söz konusu verilerin korunması maksatlı güvence mekanizması ile idari para cezalarını inceleme konusu yapmış bulunmaktayız.

I-KİŞİSEL VERİ KAVRAMI, HUKUKİ YAPISI VE ÖZELLİKLERİ
A)KİŞİSEL VERİ KAVRAMI

Öncelikle belirtmek isteriz ki günümüzde bilgi modern yaşamın en önemli değeri haline gelmiş bulunmaktadır. Zira başta merkezi devlet olmak üzere pek çok kamu kurum ve kuruluşu ve hatta özel şirketler dahi bireyler hakkındaki pek çok bilgiyi toplamakta ve dahası saklamak suretiyle elde tutmaktadır. Ancak böylesi bir durumun bireylerin kişisel verilerinin üzerindeki kontrolü kaybetmelerine ve dolayısıyla söz konusu verilerin kendilerine karşı kullanılması gibi ağır ve tehlikeli durumların vücut bulmasına neden olabilecek denli önemli sorunlara neden olabilir. Üstelik bu tehlike sadece yetkisiz kullanımlar için değil; aynı zamanda bireylerin kişisel verilerinin kullanımına yetki verdikleri hallerde dahi vücut bulabilecek denli riskli bir meseledir.[1]

Ancak, öngördüğümüz yapının açıklığa kavuşturulabilmesi için ilk aşamada kişisel veri kavramının ne olduğunun ve kapsamının belirlenmesinin şart olduğu gözden uzak tutulmamalıdır. Kişisel Verilerin Korunması Kanunu 3. maddesindeki kişisel veri kavramına ilişkin tanımlamayı da temel aldığımızda kişisel veri kavramını kimliği belirli veya belirlenebilir kişilere dair her türlü bilgi olarak tanımlayabiliriz. Bu bağlamda gerçek kişilere yönelik olarak adı, soyadı, doğum tarihi ve doğum yeri gibi bilgiler yanında, kişinin fiziki, özel ailevi, ekonomik ve sosyal özelliklerine ilişkin bilgiler ve bu bilgilere ilişkin her tür paylaşımlarını kişisel veri olarak kabul etmek gerekmektedir.

Bu bilgiler, kişilerin manevi nitelikli değerlerinin yanı sıra mal varlıksal değerlerinin de içinde bulunduğu fiziksel ve sosyal çevre ile de ilgili olabilir.[2] Kişisel veriler, her zaman sır niteliği taşımayabilirse de bu genel olarak sınırlı bir durum için geçerlidir. Nitekim Kişisel Verilerin Korunması Kanunu’nun gerekçesinde de isim, telefon numarası, motorlu taşıt plakası, sosyal güvenlik numarası, pasaport numarası, özgeçmiş, resim, görüntü ve ses kayıtları, parmak izleri, genetik bilgiler dahi kişisel veri olarak kabul edilmiş ve korunması zorunlu kılınmıştır.

Bizce de bu aşamada doğrudan veya dolaylı olarak özellikle bir kimlik numarası veya gerçek kişinin fiziksel, psikolojik, ruhsal, ekonomik, kültürel veya sosyal kimliğinin ve buna bağlı olarak çıktı değerlerine ve finansal durumları ile müşteri portföyünü içeren tüm bilgileri ile bu bilgilerine dair paylaşımlarının kişisel veri olarak kabulü gerekmektedir. O halde bu bilgiler kimlik, etnik köken, fiziksel özellikler, sağlık, eğitim, istihdam durumu, cinsel yaşam, aile hayatı, başkaları ile yapılan haberleşmeler, ikamet adresi, kredi kartı, kişisel düşünce ve inançlar, dernek ve sendika yapılanmaları ve üyelik durumları, alışveriş alışkanlıkları, ticari faaliyet özellikleri gibi kişiyle ilgili ve kişiyi tanımlayabilme özelliği bulunan bilgilerdir.[3]

  1. B) KİŞİSEL VERİLERİN KORUNMASI İHTİYACI

Kişi veya kurumlar zaman zaman farklı farklı sebeplerle çeşitli verilerini saklamak ve bu yönüyle ifşa olmasını engelleme ihtiyacı duyabilir. Bu durumun başta gelen sebebi güvenlik arayışı ve ihtiyacı olsa gerektir. Ancak kişilerin geçmişte kalmış bazı deneyimlerinin veya iş akışı içerisindeki çalışma sistemlerinin herkes tarafından bilinmesini istememeleri de kuşkusuz önemli bir etkendir. Gerçek veya tüzel kişi olması farketmeksizin kişisel veya mesleki ilişkilerin herkes tarafından bilinmesini istememek doğal bir davranış biçimi olarak görülmelidir.

Gerek kişisel gerek iş yaşamına dair deneyimlerin ve mevcut veya geçmiş bireysel yahut ticari ilişkilerin ifşa olmasını engellemek istemek yönlü beklentinin bir sebebi de kişisel alışkanlıkların, yeteneklerin, değerlerin, inançların kişiler hakkında ipuçları verecek olması ve bu ipuçlarının o kişiye zarar verecek bir şekilde kullanılabilecek olmasıdır. Diğer bir deyişle kişisel verilerin analiz edilerek zarar verici maksatlı kullanılabilmesi daima ihtimal dahilindedir.4 Kişisel verilerin yabancıların eline geçmesinin, veri sahibinin kişisel ve malvarlığı değerleri anlamında ciddi tehditlere açık hale gelmesine yol açabileceğine kuşku olmadığı ortadadır.

C)KİŞİSEL VERİLERİN KORUNMASINA İLİŞKİN İLKELER

Kişisel verilerin korunmasına ilişkin ilkeleri ortak nitelikli olarak değerlendirmek yerinde olacaktır. Bu kapsamdaki ortak ilkelerin başında ise, insan onuru ve değerleri gelmektedir.[4] Ancak belirtmek gerekir ki insan onur ve değerleri kişisel verilerin korunmasında kuşkusuz genel bir çerçeveyi ifade eder. Bundan dolayıdır ki söz konusu ilkelerin daha kesin bir çerçeve içerisine alınması yerinde olacaktır.[5] Bu kapsamda kişisel verilere yönelik müdahaleleri hukuka uygun kılmak için birtakım unsurların varlığının aranması gerekmekte olup; söz konusu içeren esasları aşağıdaki şekliyle sıralamak yerinde olacaktır:

  • Hukuka uygun olma,
  • Doğru ve gerektiğinde güncel olma,
  • Belirli, açık ve meşru amaçlar için işlenme,
  • İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma,
  • İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.6

Ancak özellikle belirtmek gerekir ki kişisel verilerle ilgili koruma anlamında en önde gelmesi gereken ilkenin bu verilerin dürüstlük kuralına uygun olarak işlenmesi kuralı olduğuna kuşku yoktur.7 Dürüstlük kuralı, içeriğinde diğer ilkeleri de kapsaması ve kaynağını oluşturması nedeniyle, kişisel verilerin korunması hukukunun temeli olarak değerlendirilmelidir.[6] Dürüstlük kuralı kişisel verilerin korunması anlamında, söz konusu verilerin işlenmesi sırasında kanun ve diğer hukuksal düzenlemelere uygun olarak hareket edilmesi anlamına gelmektedir.[7]

D)KİŞİSEL VERİLERİN KORUNMASINDA AMAÇ ESASI

Kişisel verilerin korunması, ilgili kişinin çıkarları açısından da gerekli ve önemli bir durumdur. Kişisel verilerin yanlış olarak tutulması yahut ilgilinin rızası hilafına üçüncü kişilerce elde edilmesi, ilgili kişinin temel hak ve özgürlüklerini, ekonomik çıkarlarını ve manevi bütünlüğünü zedeleyici sonuçlar doğurur. Bu durum kişisel verilerin belirli, açık ve meşru amaçlar için işlenmesini, kişisel verileri işleme amacının açık ve kesin olarak belirlenmesini ve bu amacın meşru olmasını zorunlu kılmaktadır.

Bundan dolayıdır ki veri koruma düzenlemelerinin tamamında kabul edilen amaca bağlılık ilkesine göre; kişisel veriler hukuka uygun amaçlarla toplanmalı, toplanma amacı belirli ve açık olmalı ve işleme amacı toplama amacı ile uyumlu olmalıdır. Amaca bağlılık ilkesi, kişisel verilerin dürüst ve hukuka uygun olarak işlenmesi ilkesinin uygulanıp uygulanmadığının tespiti açısından da önemli bir ilke olarak görülmelidir.

  1. E) KİŞİSEL VERİLERİN KORUNMASINDA HAK SAHİBİNİN RIZASININ NİTELİĞİ VE HUKUKİ ETKİSİ

1982 Anayasası’nın 20. maddesine 2010 yılı Anayasa Değişikliği ile eklenen kişisel verilerin korunmasına ilişkin düzenlemede, “kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir” hükmü yer almaktadır. Buna uygun nitelikli Avrupa Birliği Temel Haklar Şartı’nda ve 95/46/AT sayılı Avrupa Birliği Yönergesi’nde yer alan düzenlemelere göre ise, ilgili kişinin rıza beyanının geçerli sayılabilmesi için bazı gerekliliklerin karşılanması gerekmektedir. Yönerge’ye göre, ilgili kişinin rızasının bir hukuka uygunluk şartı olarak değerlendirilebilmesi için, “şüpheye yer bırakmayacak şekilde verilmiş” olması, bir başka deyişle “kesin” olması gerekir.

Özel nitelikli kişisel kişisel verilerin işlenmesinin söz konusu olduğu durumlarda da ilgili kişinin rızasının açık, kesin ve tartışmasız nitelikte olması aranmaktadır. Rıza, ilgili kişinin açık ve kesin bir iradesi olmalı, bir başka deyişle ilgili kişinin kişisel verilerinin işlenmesine rıza gösterip göstermediği konusunda herhangi bir şüphe bulunmamalıdır.[8] Bu esasların temel sonucu şudur ki, kişisel verilerin korunması esası kapsamında ilgili kişi, kişisel verilerinin işlenmesi ile ilgili, özellikle işlemenin içeriği, amacı, süresi, verilerin nerelerde kullanılacağı hakkında yeterince bilgilendirilmelidir.[9] Bu durum internet ortamındaki rıza beyanları için de aynı şekilde geçerlidir.

Ancak belirtmek gerekir ki kişisel verilere yönelik saldırıların gelişen teknoloji ve buna bağlı olarak sosyal iletişim araçlarının sayısındaki artış neticesinde büyük ölçüde internet kaynaklı olması karşısında, ilgilinin kişisel verilerine erişim yahut müdahale hususunda açık, kesin ve tartışmasız bir biçimde bilgilendirilmiş olduğunun tespiti büyük önem taşımaktadır.[10] Nitekim bilişim teknolojisi kullanılarak kişisel verilere yapılan saldırılar gün geçtikçe artmaktadır. Kişisel verilerin ele geçirilerek elektronik ortamda yapılan bankacılık, e-ticaret gibi alanlarda başkasının adına sahte işlemler yapılması, bu yasadışı işlemlerin yanı sıra kişisel verilerin kişilerin izni olmadan çeşitli ortamlarda açıklanması yönlü saldırılar hızla yaygınlaşmaktadır. Bu durum hem veri güvenliği ile; hem de kişisel verilerin korunması ile yakından ilgilidir.[11]

Tüm bu açıklamalarımız kapsamında belirtmek isteriz ki öngördüğümüz şart ve esaslara uygun bir rıza beyanının sağlanması halinde kişisel verilere müdahale yönlü eylem yahut işlem hukuka uygun hale gelecektir. Bunun doğal sonucu olarak da ilgilinin, haklarının korunması anlamındaki başvuru imkanı kısıtlanmış olacaktır.

II- KİŞİSEL VERİLERİN KORUNMASINA YÖNELİK HUKUKİ YÖNTEMLER VE ÇÖZÜM YOLLARI

Öncelikle belirtmek gerekir ki kişisel verilerin korunmasına dair hukuki çerçeve belirlenirken ilk olarak somut olayın koşulları göz önünde bulundurulmalıdır. Zira başlangıçta çok önemsiz görünen bir bilgi bile, bazı koşullarda ilgili kişi açısından hayati öneme sahip hale gelebilir. Bundan dolayıdır ki özel nitelikli kişisel verilerin, kişilerin hayatlarındaki önemlerinden dolayı spesifik bir korumaya tabi tutulması yerindedir.13 Yine de belirtmek gerekir ki ulusal hukuk sistemleri açısından bu konuda önemli olan, veri koruma otoritesinin ve nihai olarak mahkemenin somut olaya bakarak yaptıkları yorumdur.[12]

Yeterli koruma düzeyinin saptanmasında özellikle dikkat edilmesi gereken şartlar ise:

  • Verinin niteliği,
  • İşlemenin amacı ve süresi,
  • Verinin yayılacağı alan,
  • Geçerli olan genel ve sektörelkurallar,
  • Uyulması gerekli mesleki kurallar,
  • Temel hak ve hürriyetlerin korunması konusundaki yeterli garantilerdir.

Bu açıklamalarımız çerçevesinde hukuki nitelikli korunma yöntemlerini aşağıdaki şekilde tanımlamak mümkündür:

  1. A) KİŞİSEL VERİLERİN SİLİNMESİ YAHUT YOK EDİLMESİ 

Kişisel Verilerin Korunması Kanunu’nun 7. maddesi, kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi düzenlenmektedir. Buna göre, hukuka aykırı olarak işlenmiş kişisel verilere ilişkin olarak, ilgili kişi tarafından kişisel verilerin silinmesini isteme hakkı Anayasa’nın özel hayatın gizliliğini düzenleyen 20. Maddesinin gereğidir. Dolayısıyla kişisel verileri saldırıya uğrayan ve yukarıda öngörülen şartları içermeyen bir biçimde rızası hilafına verilerine müdahale edilen kişi bu verilerin silinmesini istemek; silinme talebinin reddi durumunda hukuksal yollara başvurabilmek haklarına sahiptir.

Cezai yönlü yaptırımlar bir kenara bırakılırsa yok etme yönlü talebe dair hakkın, niteliği itibariyle ön planda değerlendirilmesi gereken bir yapı olduğuna kuşku yoktur. Bunun doğal sonucu olarak da yasal koşullar çerçevesinde, ilgili kişi veya kurum, işlenmiş kişisel verilerin silinmesini, yok edilmesini veya verinin içeriğinin eksik ya da gerçeğe aykırı olması hallerinde bunların düzeltilmesini isteme hakkına sahiptir

  1. B) KİŞİSEL VERİLERE DAİR BİLGİ İSTENMESİ

Kişisel verilere ilişkin etkin bir hukuki mekanizma oluşturulması bakımından önde gelen koruma esaslarından birinin de bilgi edinme yönlü talepte bulunma hakkı olduğuna kuşku yoktur. Bu kapsamda kişisel verileri işlenen kişi kendisiyle ilgili kişisel veri işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgileri talep etme, verilerin işlenme amacı ile bunların amacına uygun kullanılıp kullanılmadığını öğrenme, yurtiçinde veya yurtdışında verilerin aktarıldığı üçüncü kişileri bilme hakkına sahiptir.

Kişilerin kendilerine yönelik verilere erişim hakkına sahip olması, açık bir biçimde bilgilendirme yükümlülüğü ile yakından ilişkilidir. Zira, veri sahibi ancak kişisel verilerinin işlendiği hususunda bilgi sahibi olduğu taktirde ilgili verilere erişim, düzeltme, sildirme, yok etme, üçüncü kişilere aktarılmasını engelleme gibi haklarını da kullanma imkanına sahip olabilecektir.[13]

İlgilinin verilerine erişim hakkı, birçok metinde kabul edilmiş olup, özellikle 95/46/AT sayılı Avrupa Birliği Yönergesi’ndeki düzenleme en kapsamlı olanıdır. Bunun dışında 108 sayılı Avrupa Konseyi Sözleşmesi, OECD Rehber İlkeleri ve BM Rehber İlkeleri’nde bu yönde düzenlemeler bulunmaktadır. AİHM de kararlarında ilgili kişinin verilerine erişim hakkının AİHS’nin 8. maddesi kapsamında korunduğunu belirtmiştir.

Ancak belirtmek gerekir ki ilgilinin kişisel verileri noktasındaki bilgi edinme hakkının etkin bir biçimde kullanılabilmesi için ilgili kişiye, kendisine ilişkin verilere ulaşma hakkı yanında, gereksiz masraf ve gecikme olmaksızın, verilerin nasıl kullanıldığı, işleme araçları, verinin kaynağı ve alıcıları gibi başka bilgilere ulaşma hakkının da kullandırılması gerekir. [14]Aksi taktirde hakkın kullanılması yönlü bir anlayış yerine sınırlandırılması niteliğinde bir esas benimsenmiş olur ki bu da mevzuatta aranan temel gerekliliklere uygun bir vasıf taşımaz.

Zira, kişisel verilerin eksik veya doğru olmaması durumlarında, bu kişisel verilerin silinmesi, düzeltilmesi veya erişime engellenmesini isteyebilmek; dahası genel olarak verilerin işlenmesine veya doğrudan pazarlanmasına itiraz edebilmek için öncelikle kişisel verilere yönelik sürece erişimin sağlanması gerekmektedir. Aksi taktirde hakkın etkin kullanımını sağlamak mümkün olmaz.

III-VERİ GÜVENLİĞİNE İLİŞKİN İLKE VE YÜKÜMLÜLÜKLER 
A)VERİ GÜVENLİĞİNİN KAVRAMSAL YAPISI

Veri güvenliğinin ne olduğuna ilişkin tanımsal bir yaklaşım getirmeksizin, bu kapsamda faaliyet gösteren veri sorumlusunun yükümlülüklerini tespit etmek mümkün olmaz. Bu çerçevede kişisel verilerin hukuka aykırı olarak işlenmesini ve verilere hukuka aykırı olarak erişilmesini önlemek, ayrıca verilerin muhafazasını sağlamak için uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirin alınması, veri güvenliğinin tanımsal niteliğini ortaya koymaktadır. Nitekim kişisel verilerin korunmasına ilişkin birçok hukuksal düzenlemede veri güvenliği temel ilke olarak kabul edilmekte ve hatta kişisel verilerin korunması kavramının veri güvenliğini de kapsadığı belirtilmektedir. Dolayısıyla kişisel verilerin korunması için veri güvenliğinin de sağlanmasının gerektiğine kuşku yoktur.[15]

Ancak tüm bu açıklamalarımıza rağmen veri güvenliği sınırsız bir kavram olarak düşünülmemelidir. Zira kişilerin sağlık bilgileri, adli, idari sicilleri açısından durum farklılık gösterebilir. Kaldı ki kimi zaman kişinin sağlık bilgilerinin kişi ile ilişkili tutulması, hasta açısından bir takım yararlar sağlayabilecektir. Zira, tıbbi araştırmalar için sağlık ile ilgili kişisel veriler gerekebilir.

Ancak yine de bu anlayış, sağlıkla ilgili hususlarda veri güvenliğinin kalktığı, var olmadığı anlamında düşünülmemelidir. Çünkü bu aşamada veri güvenliği kendisini söz konusu bilgiler dolayısıyla, kişilerin tehdit edilebilecekleri, kişilerin işlerinden ayrılmak zorunda kalabilecekleri, özellikle ticari işletmeler bazında hedef kitle kaybedebilecekleri, kişileri toplumdan soyutlanabilecekleri bir duruma sokmaktan alıkoyma olarak kabul edilmelidir. Kişisel bilgilerin başkalarının eline geçmesinin ne kadar tehlikeli olabileceği gözden uzak tutulmamalıdır.[16] Nitekim, Avrupa İnsan Hakları Mahkemesi’de veri güvenliğine ilişkin tanımlamalar yaparken, bu verilerin kişiler üzerinde doğurabilecekleri zararlara kıyasla bir ayırım yapılmasını ve bu nedenle daha sıkı koruma tedbirleri alınmasını kabul etmekte ve ancak bu türlü bir anlayışı makul görmektedir.[17]

B)VERİ SORUMLUSU VE YÜKÜMLÜLÜKLERİ

Veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu kişiler olup, bunlar gerçek kişiler veya tüzel kişiler olabilir. 108 sayılı Avrupa Konseyi Sözleşmesi’nde veri sorumlusu, ulusal hukuk kapsamında hangi tür kişisel verilerin hangi amaçla kaydedileceğine ve bunlara hangi işlemler uygulanacağına karar veren gerçek veya tüzel kişiler olarak tanımlanmaktadır. 95/46/AT sayılı Avrupa Birliği Yönergesi ise veri sorumlusunu, kişisel verilerin nasıl ve hangi amaçlar için işleneceğine tek başına veya başkalarıyla birlikte karar veren gerçek veya tüzel kişi, resmi makam kuruluş veya diğer bir merci olarak tanımlamıştır. Bu anlamda, tek başına ticaretle uğraşanlar, ortaklıklar ve şirketler veri sorumlusu olabilirler. Buna ilave olarak, okullar, yerel yönetimler, kolluk güçleri, hastaneler ve devlet kurumları gibi ticaret dışı topluluklarda veri sorumlusu olabilirler.[18]

Bu kapsamda veri sorumlusunun gerek hukuki ve gerek cezai yaptırımlarla karşı karşıya kalmaması için azami düzeyde özen göstermesi gerekir. Veri sorumlularının verilerin işlenmesi sırasında şeffafığa dikkat etmeleri ve ilgili kişilerin çıkarlarını ve beklentilerini dikkate almaları zorunludur. Bu durum veri sorumlularının ilgili kişilerin özel hayatın gizliliği hakkına ihlal etmeme yönlü sorumluluklarını da kapsamaktadır. Veri sorumlusu, kişisel verileri toplamadan önce amacına ulaşmak için verilerin mutlaka kullanıp kullanmaması gerektiğini saptamalı, kişisel verilerden amaca ulaşmak için yeterli miktarını toplamalı ve işlemeli, gereğinden fazla veri toplamamalı ve işlememelidir.[19] Dikkat edilirse ulusal ve uluslarararası mevzuat anlamında veri sorumlusu geniş bir yükümlülük yapısı içerisine alınmıştır.

Kaldı ki bu yükümlülüklerin ihlalinin ciddi yaptırımları da beraberinde getireceğine kuşku yoktur. Ancak, kanaatimizce veri sorumlusu yasal nitelikli yaptırımlarla karşılaşmak istemiyorsa temel önceliğini ilgili kişinin özgür iradesinin oluşup oluşmadığını sorgulamaya vermelidir. Aksi taktirde geri kalan yükümlülüklerine uygun davranmış olsa dahi, idari, hukuki yahut cezai yaptırımlardan kaçınması mümkün olmayacaktır. Bu durum bireylerin temel hak ve özgürlüklerine zarar vermemenin başta gelen gereği olarak kabul edilmelidir. Netice itibariyle burada dikkat edilmesi gereken durum, aynı zamanda kişisel verilere ilişkin temel ilkelere uyulması ve veri sorumlusu ile verileri işlenen kişi arasındaki menfaat dengesinin gözetilmesi ve böylelikle meşru menfaat esaslarının sağlanmasıdır. Bütün bu açıklamalarımız çerçevesinde veri sorumlusunun –bu görev yapısından ayrılmış olsalar dahi devam edecek olan- yükümlülüklerini aşağıdaki şekilde sıralayabiliriz:

  • İlgili kişinin kişisel verilerinin işlenmesi hakkında bilgilendirilmesi,
  • Şeffaflığın sağlanması,
  • Kişisel verilerin Kanuna aykırı olarak başkalarına açıklanmaması,
  • Kişisel verilerin şahsi çıkarlar için kullanılmaması,
  • İşlenen verilerin kanuni olmayan yollarla başkaları tarafından ele geçirilmesi halinde, bu durumun en kısa sürede ilgilisine bildirilerek gerekli önlemlerin alınması.

Tüm bu açıklamalarımız çerçevesinde belirtmek gerekir ki veri güvenliğinin yeterli düzeyde sağlanamaması, kişiler üzerinde ekonomik, siyasal, sosyal ve fiziksel zararlara sebep olabilir. Bu zararlardan korunmak için, veri güvenliğinin hem ilgili kişiler, hem de veri sorumluları tarafından sağlanması gerekir. Bundan dolayıdır ki kişisel verilere yetkisiz erişim ve benzeri müdahaleler birçok ülkede suç olarak tanımlanmış ve bu eylemleri gerçekleştirenlere karşı yaptırımlar düzenlenmiştir. Ancak belirtmek gerekir ki asıl olan, bu suç oluşmadan, kişisel verilerin veri güvenliği ilkesini benimsemiş kurumlar ve kişiler tarafından korunmak yönlü eylem planı geliştirmek olmalıdır. Zira böylesi bir yaklaşımın kişisel verilerin korunmasında daha etkili bir yöntem olduğu unutulmamalıdır. 

SONUÇ

Kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere gerçek ve tüzel kişilerin temel hak ve özgürlüklerini korumak günümüzde önemini giderek artıran bir hukuki mesele haline gelmiştir. Bu açıdan kişisel verileri izinsiz olarak ele geçirme, kaydetme, yayma, analiz etme, yorumlama ve çeşitli çıkarımlarda bulunma ya da bulunulmasını sağlama yoluyla zarar verme potansiyelinin daima var olduğunu ve bu yönde zarar verici tavır ve davranışlar içerisine girmesi muhtemel saldırgan nitelikte kişilerin engellenmesinin zorunlu olduğu gözden uzak tutulamaz.

Kişisel verilerin ihlali halinde söz konusu ihlallerin, kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenmesi halinde, memurlar ve diğer kamu görevlileri ile kamu kurumu niteliğindeki meslek kuruluşlarında görev yapanlar hakkında disiplin hükümlerine göre işlem yapılacağına kuşku yoktur. Ancak söz konusu yaptırımlar, kişisel verileri ihlal edilen mağdur gerçek kişi de olsa tüzel kişi de olsa verinin işlenmesi sırasında gerçekleşmiş olması itibariyle üst düzey etkide sonuç doğuracak süreçler olarak değerlendirilemezler.

Elbette ki veri sorumlularının yükümlülüklerini ihlâl etmeleri veya yetkilerinin sınırlarını aşmaları durumunda yahut kişisel verilerin üçüncü kişilerce saldırıya maruz bırakılması halinde söz konusu fiiller suç teşkil edeceğinden, gerek doğrudan gerek bilişim teknolojileri yolu ile kişisel verilere yönelik saldırı niteliğinde davranışlar ortaya çıkmış kabul edilir. Bu türlü durumlarda cezai anlamda Türk Ceza Kanunu’nun 135-140. maddeleri uygulanacağına kuşku yoktur. Ancak bu kapsamda öngörülen yükümlülüklerin yalnızca TCK m.135-140 ile sınırlı olmadığını da belirtmek gerekir. Bu kapsamda kişisel verilerin ister gerçek kişiler; ister tüzel kişileri tarafından ihlâli halinde, ciddi miktarlar içeren idari para cezaları da öngörülmüştür. Ancak özellikle belirtmek gerekir ki söz konusu idari para cezalarının etkinliği ancak hukuki bir yaptırım mekanizması kurgulanması ile bütünlük arz eder. Bundan dolayıdır ki kişisel verisinin işlenmesi ile ilgili bir yükümlülüğün ihlâlinden gerek maddi ve gerek manevi düzeyde olsun, zarar gören kişinin, bu zarara sebep olanların hukuki sorumluluğuna başvurabilmesi çok daha etkili sonuçlar doğuracak bir hukuki çözüm yolu olarak kabul edilmelidir. 

KAYNAKÇA 

AİHM S. ve Marper Birleşik Krallık’a karşı Davası, Başvuru Numarası: 30562/04 ve 30566/04, Karar Tarihi: 4 Aralık 2008.

Akgül Aydın, Kişisel Verilerin Korunması Açısından İdarenin Hukuki Sorumluluğu ve Yargısal Denetimi, Kocaeli 2013.

Bainbridge David, Data Protection Law, CLT Professional Publishing, 2000.

Dağ Güray, Kişisel Verilerin Ceza Muhakamesi Hukukunda Delil Olarak Kullanılması, İstanbul 2011.

Ersoy Uğur, Bir İnsan Hakları Kavramı Olarak “Kişisel Verilerin Korunması”, Ankara 2009.

Gürpınar Damla, Kişisel Verilerin Korunamamasından Doğan Hukuki Sorumluluk, D.E.Ü. Hukuk Fakültesi Dergisi, Prof. Dr. Şeref ERTAŞ’a Armağan, C. 19, Özel Sayı-2017.

Ketizmen Muammer, Türk Ceza Hukukunda Bilişim Suçları, Adalet Yayınevi, Ankara Ocak 2008.

Korff Douwe ,EC Study on the Protection of the Rights and Interests of Legal Persons with Regard to the Processing of the Personal Data Relating to Such Persons, (Study Contract ETD/97/B5-9500/78).

Korkmaz İbrahim, Kişisel Verilerin Korunması Kanunu Hakkında Bir Değerlendirme, TBB Dergisi, S.2016.

Kuner Cristopher, European Data Privacy Law and Online Business, Oxford University Press, 2003.

Küzeci Elif, Kişisel Verilerin Korunması, Turhan Kitabevi, Ankara 2010.

Lee Bygrave, Data Protection Law – Approaching Its Rationale, Logic and Limits, Kluwer Law International, Newyork 2002.

Raymond Wacks, Personal Information Privacy and the Law, Clarendon Press, Oxford 1993.

Şimşek Oğuz, Anayasa Hukukunda Kişisel Verilerin Korunması, Beta Basım, İstanbul 2008.

Üzeltürk Sultan, 1982 Anayasası ve İnsan Hakları Avrupa Sözleşmesine Göre Özel Hayatın Gizliliği Hakkı, Beta Yayınevi, İstanbul 2004.

[1] Korkmaz İbrahim, Kişisel Verilerin Korunması Kanunu Hakkında Bir Değerlendirme, TBB Dergisi, S.2016, s.1.

[2] Gürpınar Damla, Kişisel Verilerin Korunamamasından Doğan Hukuki Sorumluluk, D.E.Ü. Hukuk Fakültesi Dergisi, Prof. Dr. Şeref ERTAŞ’a Armağan, C. 19, Özel Sayı-2017, s.681.

[3] Raymond Wacks, Personal Information Privacy and the Law, Clarendon Press, Oxford 1993, s. 26.

[4] Lee Bygrave, Data Protection Law – Approaching Its Rationale, Logic and Limits, Kluwer Law International, Newyork 2002, s. 43.

[5] Küzeci Elif, Kişisel Verilerin Korunması, Turhan Kitabevi, Ankara 2010, s.195.

[6] Dağ Güray, Kişisel Verilerin Ceza Muhakamesi Hukukunda Delil Olarak Kullanılması, İstanbul 2011, s.118.

[7] Küzeci, s.196.

[8] Korkmaz, s.96.

[9] Korff Douwe ,EC Study on the Protection of the Rights and Interests of Legal Persons with Regard to the Processing of the Personal Data Relating to Such Persons, (Study Contract ETD/97/B5-9500/78), s.32.

[10] Korkmaz, s.97.

[11] Ersoy, s.25.

[12] Akgül Aydın, Kişisel Verilerin Korunması Açısından İdarenin Hukuki Sorumluluğu ve Yargısal Denetimi, Kocaeli 2013, s.14.

[13] Şimşek Oğuz, Anayasa Hukukunda Kişisel Verilerin Korunması, Beta Basım, İstanbul 2008, s.90.

[14] Bainbridge David, Data Protection Law, CLT Professional Publishing, 2000, s.109.

[15] Ersoy Uğur, Bir İnsan Hakları Kavramı Olarak “Kişisel Verilerin Korunması”, Ankara 2009, s.23.

[16] Üzeltürk Sultan, 1982 Anayasası ve İnsan Hakları Avrupa Sözleşmesine Göre Özel Hayatın Gizliliği Hakkı, Beta Yayınevi, İstanbul 2004, s. 112.

[17] AİHM S. ve Marper Birleşik Krallık’a karşı Davası, Başvuru Numarası: 30562/04 ve 30566/04, Karar Tarihi: 4 Aralık 2008.

[18] Kuner Cristopher, European Data Privacy Law and Online Business, Oxford University Press, 2003, s.63.

[19] Küzeci, s.103.