Kişisel verilerin paylaşılmasi

KİŞİSEL VERİLERİN KORUNMASI KANUNU VE UYGULAMASI İÇİNDEKİLER I. KİŞİSEL VERİLERİN KORUNMASI KANUNU’NA DUYULAN İHTİYAÇ 8 II. MEVZUAT 10 A. ULUSLARARASI DÜZENLEMELER 12 1. Avrupa Konseyi Düzenlemeleri 12 a. 108 No’lu Kişisel Verilerin Otomatik İşleme Tabi Tutul ması Karşısında Bireylerin Korunması Sözleşmesi 12 b. 181 No’lu Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Bireylerin Korunması Sözleşmesi’ne Ek Denetleyici Makamlar ve Sınıraşan Veri Akışına İlişkin Protokol 12 c. Avrupa İnsan Hakları Sözleşmesinin İlgili Hükümleri 13 2. Avrupa Birliği Düzenlemeleri 13 a. 95/46/EC Sayılı Kişisel Verilerin İşlenmesi ve Serbest Dolaşımı Bakımından Bireylerin Korunmasına İlişkin Avrupa Parlamentosu ve Avrupa Konseyi Direktifi 13 b. 2016/679 Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) 14 c. Diğer Düzenlemeler 14 B. ULUSAL DÜZENLEMELER 14 1. Anayasa 14 2. 6698 sayılı Kişisel Verilerin Korunması Kanunu 3. 5237 sayılı Türk Ceza Kanunu 16 III. ANAYASAL BİR HAK OLARAK KİŞİSEL VERİLERİN KORUNMASINI İSTEME HAKKI 17 IV. 6698 SAYILI KİŞİSEL VERİLERİN KORUNMASI KANUNU 19 A. GENEL OLARAK 19 B. AMAÇ 19 C. KAPSAM 21 1. Kanunun Kapsamı 21 2. Kanun Kapsamına Girmeyen Durumlar 23 a. Tamamen Kanun Kapsamı Dışında Tutulan Hususlar 23 b. Kısmen Kanun Kapsamı Dışında Tutulan Hususlar 26 3. Kanunun Zaman Bakımından Uygulanması 27 4. Kanunun Kişi Bakımından Uygulanması 27 D. 6698 SAYILI KANUNDA YER ALAN TEMEL KAVRAMLAR 28 1. Açık Rıza 28 a. Belirli Bir Konuya İlişkin Olması 29 b. Rızanın Bilgilendirmeye Dayanması 30 c. Özgür İradeyle Açıklanması 30 2. Anonim Hale Getirme (Anonimleştirme) 31 3. İlgili Kişi 32 4. Kişisel Veri 32 5. Kişisel Verilerin İşlenmesi 34 a. Otomatik İşleme 35 b.Otomatik Olmayan İşleme (Veri Kayıt Sisteminin Parçası Olmak Kaydıyla) 35 6. Veri Sorumlusu ve Veri İşleyen 38 a. Genel Olarak 38 b. Örnekler 40 7. Veri Kayıt Sistemi 42 E. KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN TEMEL İLKELER 43 1. Genel Olarak 43 a. Hukuka ve Dürüstlük Kurallarına Uygun Olma İlkesi 44 b. Doğru ve Gerektiğinde Güncel Olma İlkesi 46 c. Belirli, Açık ve Meşru Amaçlar İçin İşlenme İlkesi 47 d. Kişisel Verilerin, İşlendikleri Amaçla Bağlantılı, Sınırlı ve Ölçülü Olması İlkesi 47 e. İlgili Mevzuatta Öngörülen veya İşlendikleri Amaç İçin Gerekli Olan Süre Kadar Muhafaza Edilme İlkesi 48 F. KİŞİSEL VERİLERİN İŞLENME ŞARTLARI 49 1. Kanunlarda Açıkça Öngörülmesi 50 2. Fiili İmkânsızlık 50 3. Sözleşmenin Kurulması ve İfası İçin Gerekli Olması 51 4. Veri Sorumlusunun Hukuki Yükümlülüğünü Yerine Getirebilmesi İçin Zorunlu Olması 51 5. Kişisel Verilerin İlgili Kişi Tarafından Alenileştirilmiş Olması 52 6. Kişisel Verilerin İşlenmesinin Bir Hakkın Tesisi, Kullanılması veya Korunması İçin Zorunlu Olması 52 7. Veri İşlemenin İlgili Kişinin Temel Hak ve Özgürlüklerine Zarar Vermemek Kaydıyla Veri Sorumlusunun Meşru Menfaatleri İçin Zorunlu Olması 53 a. Genel Olarak 53 b. Kanunun 5. Maddesinin 2. Fıkrasının (f) Bendinde Yer Alan Şartın Uygulanması İçin Yapılacak Olan Değerlendirme 54 G. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENME ŞARTLARI 55 H. KİŞİSEL VERİLERİN SİLİNMESİ, YOK EDİLMESİ VE ANONİM HALE GETİRİLMESİ 57 I. KİŞİSEL VERİLERİN AKTARILMASI 1. Kişisel Verilerin Yurt İçinde Aktarılması 60 a. Genel Olarak 60 b. Verilerin Aktarılacağı Üçüncü Kişi 61 2. Kişisel Verilerin Yurtdışına Aktarılması 62 J. KANUN KAPSAMINDAKİ HAK VE YÜKÜMLÜLÜKLER 65 1. Veri Sorumlusunun Yükümlülükleri 65 a. Aydınlatma Yükümlülüğü 65 b. Veri Güvenliğine İlişkin Yükümlülükler 66 c. İlgili Kişiler Tarafından Yapılan Başvuruların Cevaplanması ve Kurul Kararlarının Yerine Getirilmesi Yükümlülüğü 69 d. Veri Sorumluları Siciline Kaydolma Yükümlülüğü 70 2. İlgili Kişinin Hakları 70 3. İlgili Kişinin Hak Arama Yöntemleri 71 a. Veri Sorumlusuna Başvuru 72 b. Başvuru ve Cevap Yöntemine İlişkin Kurallar 72 c. Veri Sorumlusuna Başvurunun Maliyetine İlişkin Sorumluluklar 74 d. Kişisel Verileri Koruma Kurulu’nun İnceleme Yapması 74 e. Kurula Yapılacak İhbar ve Şikâyetlerin Taşıması Gereken Şartlar 75 f. Kurulun İnceleme Süreci Konusundaki Yetki ve Yükümlülükleri 76 g. Kurulun Yapacağı İncelemenin Sonuçlandırılması 77 4. Bildirim Yükümlülüğü 78 5. Veri İşleyenin Yükümlülükleri 78 K. VERİ SORUMLULARI SİCİLİ 79 1. Veri Sorumluları Sicilinin Nitelikleri 79 2. Veri Sorumluları Siciline Kayıt Zorunluluğu ve İstisnaları 79 3. Veri Sorumluları Siciline Kayıt Olma Şartları 80 L. CEZA HÜKÜMLERİ (SUÇLAR VE KABAHATLER) 81 1. Suçlar 81 2. Kabahatler 83 M. KİŞİSEL VERİLERİ KORUMA KURUMU VE KURULU 84 1. Kurumun “Tam” Bağımsızlığı 84 2. Yargısal Denetim 84 3. Mali Bağımsızlık 85 4. Kişisel Verileri Koruma Kurumu’nun Yapısı ve Görevleri 85 5. Kişisel Verileri Koruma Kurulu’nun Yapısı ve Görevleri 86 a. Genel Olarak 86 b. Kurulun Yapısı 87 c. Kurulun Çalışma Esasları 90 d. Kurulun Görevleri 91 N. GEÇİŞ HÜKÜMLERİ VE YÜRÜRLÜK 93 V. KİŞİSEL VERİLERİN KORUNMASINA İLİŞKİN TÜRK HUKUKUNDAKİ MEVCUT DİĞER DÜZENLEMELER 94 8 Günümüzde gerek devlet kurumları gerekse özel kuruluşlar, her gün binlerce kişiye ilişkin çeşitli bilgilere ulaşabilmektedir. Elde edilen bilgiler, bilişim teknolojilerinde yaşanan gelişmelerin de etkisiyle, kolaylıkla işlenebilmekte ve aktarılabilmektedir. Bunun sonucunda da kişisel verilerin korunması ihtiyacı doğmuştur. 1970’li yıllardan bu yana, ulusal ve uluslararası düzenlemeler yoluyla kişisel verilerin korunmasına yönelik çalışmalar yürütülmektedir. Ulusal anlamda ilk veri koruma kanunu 1970 tarihli Almanya’nın Hessen Eyalet Veri Koruma Kanunu’dur. Bu Kanun, bilişim sistemleri yardımıyla tapu kayıtlarına erişim sağlanabilmesi karşısında, verilerin elde edilmesi ve depolanmasına ilişkin usul ve esasları belirlemek amacıyla hazırlanmıştır. Benzer şekilde, 1973 tarihli İsveç ve 1978 tarihli Fransa veri koruması kanunları da, devlet elinde bulunan çok sayıdaki verinin “kimlik numarası” benzeri bir sistemle kaydı yoluyla entegre edilebilmesi sonucunda, etkin bir şekilde veri işlemenin mümkün hale gelmesi ve bu kapsamda muhtemel riskler karşısında hukuken korunmaya ihtiyaç bulunduğu düşüncesiyle hazırlanmıştır. Uluslararası düzenleme olarak Avrupa Konseyi’nin 1973 ve 1974 yıllarında, özel ve kamu kesimindeki elektronik veri bankalarında tutulan kişisel verilerin korunmasında gerekli standartları belirlemek için kabul ettiği iki karar, kişisel verilerin korunması ile ilgili sonradan çıkarılan düzenlemelere kaynaklık etmiştir. Kişisel verilerin korunmasına ilişkin geniş kapsamlı ilk uluslararası sözleşme ise, Avrupa Konseyi bünyesinde kabul edilen 1981 tarih ve 108 sayılı “Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Şahısların Korunmasına Dair Sözleşme” olmuştur. Ayrıca Avrupa Konseyi Bakanlar Komitesi 108 sayılı Sözleşme’nin uygulanmasına yönelik usul ve esasları belirleyen toplam 13 tavsiye kararı çıkarmıştır. Bu gelişmelerin ardından, Avrupa ülkelerinde ve ABD’de ulusal düzlemde yasal mevzuat oluşturulurken Birleşmiş Milletler (BM), Avrupa Konseyi, İktisadi İşbirliği ve Kalkınma Teşkilatı (OECD) ve Avrupa Birliği (AB) kapsamında da çeşitli yönerge, direktif ve uluslararası anlaşmalar hazırlanmıştır. I. KİŞİSEL VERİLERİN KORUNMASI KANUNU’NA DUYULAN İHTİYAÇ 9 Ülkemizi kişisel verilerin korunmasına yönelik kanuni bir düzenleme hazırlamaya yönelten temel etkenler; insan haklarının etkin bir biçimde korunması, Avrupa Birliği ile yürütülen üyelik müzakereleri ve uluslararası iş birliği ve ticaretin artırılması ihtiyacı şeklinde sıralanabilir. Öncelikle; kişisel verilerin korunması, temel bir insan hakkı olan özel hayatın gizliliği ile doğrudan bağlantılıdır. Kişilerin özel hayatının gizliliğini sağlayabilmek için üçüncü kişilerin eline geçmesinde sakınca bulunan verilerin hukuken korunması gereklidir. Ayrıca; ülkemizle ilgili devam etmekte olan Avrupa Birliği tam üyelik sürecinde, müzakere fasıllarından dördü doğrudan kişisel verilerin korunması ile ilgilidir. Avrupa Birliği, ülkemizle ilgili olarak hazırladığı ilerleme raporlarında kişisel verilerin korunmasına dair ulusal mevzuata olan ihtiyacı vurgulamıştır. Son olarak; ülkemizde kişisel verilerin korunmasına ilişkin kanuni bir düzenleme olmaması nedeniyle, polis birimleri arasında etkin iş birliğini hayata geçiren EUROPOL ile güvenlik birimlerimiz arasında elektronik veri paylaşımı noktasında sıkıntılar yaşanmıştır. Ayrıca yabancı sermayenin ülkemizde yatırım yapması ve bu yatırımları ile başka ülkelerdeki yatırımlarını etkin bir şekilde yönetebilmesi için ihtiyaç duyduğu veri aktarımı, kanuni düzenleme bulunmaması sebebiyle gerçekleştirilememiş ve bu durum yabancı sermayenin ülkemizde yatırım yapması bakımından caydırıcı bir unsur olarak değerlendirilmiştir. 10 II. MEVZUAT I.ULUSLARARASI DÜZENLEMELER İnsan Hakları ve Özgürlüklerinin Korunmasına İlişkin Avrupa Sözleşmesi OECD’nin Özel Yaşamın Korunması ve Kişisel Verilerin Sınırötesi Akışına İlişkin Rehber İlkeleri 108 No’lu Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Bireylerin Korunması Sözleşmesi BM’nin Bilgisayarla İşlenen Kişisel Veri Dosyalarına İlişkin Rehber İlkeleri 95/46/EC Sayılı Kişisel Verilerin İşlenmesi ve Serbest Dolaşımı Bakımından Bireylerin Korunmasına İlişkin Avrupa Parlamentosu ve Avrupa Konseyi Direktifi 181 No’lu Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Bireylerin Korunması Sözleşmesi’ne Ek Denetleyici Makamlar ve Sınıraşan Veri Akışına İlişkin Protokol 2016/679 Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) 3 Eylül 1953 23 Eylül 1980 28 Ocak 1981 14 Aralık 1990 25 Ekim 1998 08 Kasım 2001 2016 11 II.ULUSAL DÜZENLEMELER 5237 sayılı Türk Ceza Kanunu Kişisel Verilerin Korunması ile ilgili hükmün T.C. Anayasası’na dahil edilmesi 108 No’lu Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Bireylerin Korunması Sözleşmesi’nin Türk hukukuna dahil edilmesi 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 29677 sayılı Resmi Gazete’de yayımlanarak yürürlüğe girmesi 181 No’lu Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Bireylerin Korunması Sözleşmesi’ne Ek Denetleyici Makamlar ve Sınıraşan Veri Akışına İlişkin Protokolün Türk hukukuna dahil edilmesi 12 Ekim 2004 12 Eylül 2010 17 Mart 2016 7 Nisan 2016 05 Mayıs 2016 12 A. ULUSLARARASI DÜZENLEMELER 1. Avrupa Konseyi Düzenlemeleri a. 108 No’lu Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Bireylerin Korunması Sözleşmesi b. 181 No’lu Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Bireylerin Korunması Sözleşmesi’ne Ek Denetleyici Makamlar ve Sınıraşan Veri Akışına İlişkin Protokol Bu protokolde, taraf devletler ülkelerinde uygulanmak üzere kişisel verilerin korunması alanında görevlerini tam bağımsızlıkla yerine getirecek denetleyici makam kurmayı taahhüt etmiştir. Türkiye, bu protokolü 8 Kasım 2001 tarihinde imzalamıştır. Protokol, 5 Mayıs 2016 tarihli 29703 sayılı Resmi Gazete’de yayımlanarak iç hukuka dâhil edilmiştir. Avrupa Konseyi, 1970’li yıllardan itibaren kişisel verilerin korunması alanında çalışmalar yapmıştır. Yapılan çalışmalar neticesinde 28 Ocak 1981 tarihinde Strazburg’da imzaya açılan “Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Bireylerin Korunması Sözleşmesi” 1 Ekim 1985 tarihinde yürürlüğe girmiştir. Türkiye, 28 Ocak 1981 tarihinde bu sözleşmeyi imzalayan ilk ülkelerden birisi olmuş; bu Sözleşme, 17 Mart 2016 tarihli ve 29656 sayılı Resmi Gazete’de yayımlanarak iç hukuka dâhil edilmiştir. Bugün 108 sayılı Sözleşme olarak da bilinen Sözleşme’nin temel amacı; her üye ülkede, uyruğu veya ikametgâhı ne olursa olsun gerçek kişilerin, temel hak ve özgürlüklerini ve özellikle kendilerini ilgilendiren kişisel nitelikteki verilerin otomatik bilgi işleme tabi tutulması karşısında özel yaşam haklarını güvence altına almaktır. 13 2. Avrupa Birliği Düzenlemeleri a. 95/46/EC Sayılı Kişisel Verilerin İşlenmesi ve Serbest Dolaşımı Bakımından Bireylerin Korunmasına İlişkin Avrupa Parlamentosu ve Avrupa Konseyi Direktifi c. Avrupa İnsan Hakları Sözleşmesinin İlgili Hükümleri Avrupa Birliğinde kişisel verilerin korunmasına ilişkin 1990’lı yıllarda başlayan çalışmalar neticesinde 1995 yılında Avrupa Parlamentosu ve Avrupa Konseyi “Kişisel Verilerin İşlenmesi ve Serbest Dolaşımı Bakımından Bireylerin Korunmasına İlişkin Direktif”i kabul etmiştir. Direktifin temel amacı, Avrupa Birliği üye ülkelerindeki kişisel verilerin korunmasına ilişkin düzenlemelerin uyumlaştırılmasıdır. Bu kapsamda AB üyesi ülkeler, kişisel verilerin korunmasına ilişkin kanuni düzenlemelerini bu Direktifi esas alarak yapmışlardır. 6698 sayılı Kanun da temel olarak bu Direktif esas alınarak hazırlanmıştır. Ülkemizin de kurucu üyeleri arasında bulunduğu Avrupa Konseyi tarafından hazırlanan ve 4 Kasım 1950’de Roma’da imzalanıp 3 Eylül 1953’te yürürlüğe giren İnsan Hakları ve Özgürlüklerinin Korunmasına İlişkin Avrupa Sözleşmesi (AİHS), kişisel verilerin işlenmesi hakkında doğrudan bir düzenleme içermemekle birlikte Avrupa İnsan Hakları Mahkemesi, geliştirdiği içtihatlarıyla kişisel verileri koruma altına almıştır. Diğer taraftan Sözleşme’nin “Özel ve Aile Hayatına Saygı Hakkı” başlıklı 8. maddesi “1. Herkes özel ve aile hayatına, konutuna ve yazışmasına saygı gösterilmesi hakkına sahiptir. 2. Bu hakkın kullanılmasına bir kamu makamının müdahalesi, ancak müdahalenin yasayla öngörülmüş ve demokratik bir toplumda ulusal güvenlik, kamu güvenliği, ülkenin ekonomik refahı, düzenin korunması, suç işlenmesinin önlenmesi, sağlığın veya ahlakın veya başkalarının hak ve özgürlüklerinin korunması için gerekli bir tedbir olması durumunda söz konusu olabilir” şeklindedir. Bu madde ile kişisel verilerin korunmasına doğrudan atıf yapılmamakla birlikte, esasen özel ve aile hayatına saygı hakkı kapsamında yer alan kişisel veriler hukuken koruma altına alınmıştır. 14 Diğer taraftan, Avrupa Birliği 95/46 sayılı Direktifi esas alarak sektörel bazlı düzenlemeler de yapmıştır. Bu düzenlemelerden en önemlisi, 2002/58/EC sayılı “Elektronik Haberleşme Sektöründe Kişisel Verilerin İşlenmesi ve Özel Hayatın Gizliliğinin Korunmasına İlişkin Direktif”tir. b. 2016/679 Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) Avrupa Birliği, kişisel verilerin korunması alanında ortaya çıkan ihtiyaçları karşılamak üzere 2012 yılında yeni bir tüzük çalışması başlatmıştır. Avrupa Parlamentosu, Avrupa Konseyi ve Avrupa Komisyonu tarafından yapılan tüzük 2016 yılında kabul edilmiş olup, 25 Mayıs 2018 tarihinde 95/46 sayılı Direktif’i ilga ederek yürürlüğe girecektir. c. Diğer Düzenlemeler Ayrıca kişisel verilerin korunmasına ilişkin uluslararası düzeyde, OECD’nin “Özel Yaşamın Korunması ve Kişisel Verilerin Sınırötesi Akışına İlişkin Rehber İlkeleri” (23 Eylül 1980) ve Birleşmiş Milletler’in “Bilgisayarla İşlenen Kişisel Veri Dosyalarına İlişkin Rehber İlkeleri” (14 Aralık 1990) bulunmaktadır. B. ULUSAL DÜZENLEMELER 1. Anayasa Anayasanın ikinci kısmında kişinin temel hak ve ödevleri düzenlenmektedir. Özel hayatın gizliliği de kişinin temel haklarından biridir. Bu hak, Anayasanın 20. maddesinde güvence altına alınmıştır. Teknolojik gelişmelerin temel hak ve hürriyetlere müdahale edebilmeyi kolay hale getirmiş olması ve bu durumun hukuki bir sorun olarak kendini göstermesi bu konuda yasal düzenlemeler yapmayı gerekli kılmıştır. 2010 yılında 5982 sayılı Kanun’la yapılan Anayasa değişikliği ile Anayasa’nın 20. maddesine ilave bir fıkra eklenmiştir. Söz konusu fıkrada; “Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu hak; 15 kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir.” hükmüne yer verilmiştir. Anayasa’da yer verilen bu düzenleme ile; • Herkesin, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahip olduğu, • Bu hakkın; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsadığı, • Kişisel verilerin, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebileceği hükme bağlanmıştır. Değişiklik teklifinde, bu maddenin gerekçesinde; “Anayasada kişisel verilerin korunmasına yönelik dolaylı hükümler bulunmakla birlikte yeterli değildir. Mukayeseli hukukta ve tarafı olduğumuz uluslararası belgelerde de kişisel verilerin korunması önemle vurgulanmaktadır. Maddeyle, herkesin, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkı, anayasal bir hak olarak teminat altına alınmaktadır. Bu bağlamda, bireylerin kendilerini ilgilendiren kişisel veriler üzerinde hangi hak ve yetkilere sahip olduğu ve kişisel verilerin hangi hallerde işlenebileceği hükme bağlanırken, kişisel verilerin korunmasına ilişkin esas ve usullerin kanunla düzenleneceği öngörülmektedir.” ifadesine yer verilmiştir. 16 2. 6698 Sayılı Kişisel Verilerin Korunması Kanunu Türkiye’de kişisel verilerin korunmasına ilişkin özel bir kanun çıkarmak için ilk kez 1989 yılında bir komisyon oluşturulmuştur. Bu komisyon henüz çalışmalarını tamamlayamadan dağılmıştır. 2000 yılında yeni bir komisyon oluşturulmuş ve bu komisyon üç yıllık bir çalışmasının neticesinde bir kanun tasarısı hazırlamıştır. Fakat hazırlanan tasarı çeşitli nedenlerle kanunlaşamamıştır. 2008 ve 2014 yıllarında, Adalet Bakanlığı öncülüğünde yeni bir tasarı hazırlanıp Türkiye Büyük Millet Meclisi’ne (TBMM) sunulmuşsa da yasama dönemi sona erdiği için ilgili kanun teklifleri kadük hale gelmiştir. Anayasada da, kişisel verilerin korunmasıyla ilgili detaylı düzenlemelerin kanunla yapılacağı belirtilmektedir. Bu kapsamda 26 Aralık 2014 tarihinde “Kişisel Verilerin Korunması Kanunu Tasarısı” TBMM Başkanlığına sunulmuştur. Tasarı, 24 Mart 2016 tarihinde kanunlaşmış ve 6698 sayılı Kişisel Verilerin Korunması Kanunu 7 Nisan 2016 tarih ve 29677 sayılı Resmi Gazete’de yayımlanarak yürürlüğe girmiştir. 3. 5237 Sayılı Türk Ceza Kanunu 5237 sayılı Türk Ceza Kanununun 135. maddesinde, kişisel verilerin kaydedilmesi, 136. maddesinde, verileri hukuka aykırı olarak verme veya ele geçirme, 138. maddesinde, verileri yok etmeme fiilleri suç olarak düzenlenmiştir. Ayrıca Kanunun 140. maddesinde bu suçlarla ilgili olarak tüzel kişiler hakkında güvenlik tedbiri uygulanacağı hüküm altına alınmıştır. 17 III. ANAYASAL BİR HAK OLARAK KİŞİSEL VERİLERİN KORUNMASINI İSTEME HAKKI Anayasanın ikinci kısmında kişinin temel hak ve ödevleri düzenlenmektedir. Özel hayatın gizliliği de kişinin temel haklarından biridir. Bu hak, Anayasanın 20. maddesinde güvence altına alınmıştır. Teknolojik gelişmelerin temel hak ve hürriyetlere müdahale edebilmeyi kolay hale getirmiş olması ve bu durumun hukuki bir sorun olarak kendini göstermesi bu konuda yasal düzenlemeler yapmayı gerekli kılmıştır. 2010 yılında 5982 sayılı Kanun’la yapılan Anayasa değişikliği ile Anayasa’nın 20. maddesine ilave bir fıkra eklenerek kişisel veriler, “özel hayatın gizliliği ve korunması hakkı” kapsamında Anayasal güvenceye kavuşmuştur. Söz konusu fıkrada; “Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir.” hükmüne yer verilmiştir. Bahse konu Anayasa hükmüne göre; • Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu anlamda bireyler temel olarak, kendileri ile ilgili kişisel verilerin ilgisiz üçüncü kişilerin eline geçmemesi konusunda gerekli tedbirlerin alınmasını isteme hakkına sahiptirler. • Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar. Bu anlamda bireyler, hangi amaçla hangi kişisel verilerinin kullanıldığını öğrenme hakkına sahip olduğu gibi söz konusu kişisel verilerde herhangi bir yanlışlık bulunması halinde bu durumun düzeltilmesini ya da verilerinin 18 silinmesini isteme hakkına da sahiptirler. • Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir. Yasal bir düzenleme bulunmaması ya da bireyin kendisine ait kişisel verilerin işlenmesi yönünde açık bir irade beyanının olmaması durumunda kişisel verilerin işlenebilmesi mümkün değildir. Değişiklik teklifinde, bu maddenin gerekçesinde; “Anayasada kişisel verilerin korunmasına yönelik dolaylı hükümler bulunmakla birlikte yeterli değildir. Mukayeseli hukukta ve tarafı olduğumuz uluslararası belgelerde de kişisel verilerin korunması önemle vurgulanmaktadır. Maddeyle, herkesin, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkı, anayasal bir hak olarak teminat altına alınmaktadır. Bu bağlamda, bireylerin kendilerini ilgilendiren kişisel veriler üzerinde hangi hak ve yetkilere sahip olduğu ve kişisel verilerin hangi hallerde işlenebileceği hükme bağlanırken, kişisel verilerin korunmasına ilişkin esas ve usullerin kanunla düzenleneceği öngörülmektedir.” ifadesine yer verilmiştir. Anayasanın 20. maddesinin 3. fıkrasında, kişisel verilere nasıl müdahale edileceği değil, kişisel verilerin korunması öngörülmektedir. Ayrıca kişisel verilerin hukuka aykırı olarak işlenmesi, 1982 Anayasası’nın 17. maddesi ile güvence altına alınan kişi dokunulmazlığı, kişinin maddi ve manevi varlığını koruma ve geliştirme hakkı ile Anayasanın 20 ve 22. maddelerinde düzenlenen özel hayatın gizliliği ve korunması hakkının ihlali anlamına da gelmektedir. Anayasanın 20. maddesinin 3. fıkrasında, kişisel verilerin ancak bireyin açık rızası veya kanunda öngörülen hallerde işlenebileceği, kişisel verilerin nasıl korunacağına ilişkin esas ve usullerin kanunla düzenleneceği ifade edilmiştir. Anayasa hükmünde, kanunla öngörülen hallerde kişisel verilerin işlenebileceği belirtilmesine rağmen, özel sınırlama sebeplerine yer verilmediği görülmektedir. Bu kapsamda 26 Aralık 2014 tarihinde “Kişisel Verilerin Korunması Kanunu Tasarısı” TBMM Başkanlığına sunulmuştur. Tasarı, 24 Mart 2016 tarihinde kanunlaşmış ve 6698 sayılı Kişisel Verilerin Korunması Kanunu 7 Nisan 2016 tarih ve 29677 sayılı Resmi Gazete’de yayımlanarak yürürlüğe girmiş, böylece kişisel verilerin korunması için gerekli hukuksal altyapı tamamlanmıştır. 19 IV. 6698 SAYILI KİŞİSEL VERİLERİN KORUNMASI KANUNU A. GENEL OLARAK Teknolojinin günlük hayatın içine tamamen nüfuz ettiği günümüzde bireyin kimlik, iletişim, sağlık ve mali bilgileri, özel hayatı, dini inancı, siyasi görüşü gibi kişisel verilerinin mahremiyetini korumak büyük önem arz etmektedir. Kişisel veriler, gerek özel sektör ve gerekse kamu sektörü tarafından bilişim sistemleri üzerinden otomatik yollarla sıkça kullanılmaktadır. Bu bilgilerin kullanılması bireyler ile mal ve hizmet sunanlar bakımından bazı kolaylıklar ve avantajlar sağlasa da, bilgilerin istismar edilme riskini de beraberinde getirmektedir. Dolayısıyla bu iki menfaat arasındaki meşru ve makul dengenin kurulması gereklidir. Ülkemizde 1981 yılından beri kişisel verilerin korunması konusunda mevzuat oluşturma çalışmaları yapılmaktadır. 7 Nisan 2016 tarihinde yürürlüğe giren 6698 sayılı Kişisel Verilerin Korunması Kanunu, bu kanunlaştırma sürecinin en önemli aşaması olarak hukuk düzenimiz içerisinde yerini almıştır. 6698 sayılı Kanun, bu alandaki en iyi uygulama ilkeleri ve esaslarını yansıtacak şekilde hazırlanmıştır. B. AMAÇ 2010 yılında 5982 sayılı Kanunla Anayasanın 20. maddesine eklenen ek fıkra “Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir.” hükmünü amir bulunmakta olup, anılan hüküm ile, herkesin kendisiyle ilgili kişisel verilerin korunmasını isteme hakkı anayasal bir hak olarak teminat altına alınmaktadır. Bu bağlamda, bireylerin kendilerini ilgilendiren kişisel veriler üzerinde hangi hak ve yetkilere sahip 20 olduğu ve kişisel verilerin hangi hallerde işlenebileceği hükme bağlanırken, kişisel verilerin korunmasına ilişkin esas ve usullerin kanunla düzenleneceği öngörülmektedir. Nitekim, Kanunun 1. maddesinde Kanunun amacı açık bir şekilde belirtilmiştir. Bu hükme göre amaç, kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemektir. Maddenin gerekçesinde de belirtildiği üzere Kanunun amacı, kişisel verilerin işlenmesinin disiplin altına alınması ve Anayasa’da öngörülen başta özel hayatın gizliliği olmak üzere temel hak ve özgürlüklerin korunmasıdır. Kanun ile son yıllarda önem kazanan, kişinin mahremiyet hakkı ile bilgi güvenliği hakkının korunması ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasların düzenlenmesinin amaçlandığı belirtilmiştir. Kanunla, kişisel verilerin sınırsız biçimde ve gelişigüzel toplanması, yetkisiz kişilerin erişimine açılması, ifşası veya amaç dışı ya da kötüye kullanımı sonucu kişisel hakların ihlal edilmesinin önüne geçilmesi amaçlanmaktadır. Kişisel verilerin hangi kurallara tabi olarak, hangi şartlarda işlenebileceği hususunu kontrol altına alma amacını güden Kanun, kişisel verilerin işlenmesine ilişkin denetim mekanizmaları getirerek, bu verilerin hukuka aykırı olarak işlenmesini engellemeyi hedeflemektedir. Ayrıca, kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasların da düzenlenmesi Kanunun amaçları arasında yer almaktadır. Bu maddeye göre Kanunun amacı: • Kişisel verilerin işlenmesinde, kişilerin temel hak ve özgürlüklerini korumak, • Kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemek (disiplin altına almak), • Mahremiyet hakkının korunması, • Kişisel veri güvenliği hakkının korunmasıdır. 21 C. KAPSAM 1. Kanunun Kapsamı Kanunun 2. maddesinde, Kanunun kapsamı belirtilmiştir. Bu maddeye göre Kanun, kişisel verileri işlenen gerçek kişiler ile bu verileri tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişiler hakkında uygulanacaktır. Kanunda kamu kurumları ile özel kuruluşlar açısından ayrım yapılmamıştır. Kanunun belirlediği usul ve esaslar tüm kurum ve kuruluşlar için geçerlidir. Dolayısıyla kamu kurumlarının işlediği kişisel veriler hakkında da bu Kanun hükümleri uygulanacaktır. Kanun kapsamında koruma altına alınan kişisel veriler sadece gerçek kişilere ait olan kişisel veriler olup, tüzel kişilere ait olanlar hukuken koruma altında bulunmamaktadır. Bununla birlikte tüzel kişilere ait olan verilerden gerçek kişilerin belirlenebilmesi mümkün oluyor ise, bu verilerin de Kanun kapsamında değerlendirilmesi söz konusu olacaktır. Kanunda kişisel verilerin otomatik olan veya herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla (manuel) işlenmesi bakımından da herhangi bir fark öngörülmemiştir. Bu doğrultuda kişisel verilere ulaşımı kolaylaştıracak şekilde, belirli bir kritere göre yapılandırılmış her türlü sistem Kanun kapsamında değerlendirilecektir. Günümüzde kişisel veriler, büyük oranda otomatik yollarla işlenmektedir. Daha önce otomatik olmayan yollarla işlenmiş verilerin ise, pek çok yerde hızla elektronik ortama aktarıldığı görülmektedir. Buna bağlı olarak, “tamamen veya kısmen otomatik yollarla işlenen veriler” ve “herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen veriler” 6698 sayılı Kanun kapsamında koruma altına alınmıştır. Dolayısıyla Kanun otomatik olmayan yollarla işlenen verileri tamamen kapsam dışında bırakmamaktadır. Burada önemli olan otomatik olmayan yollarla işlenen verilerin veri kayıt sisteminin parçası olup olmadığıdır. Örneğin, herhangi bir kritere bağlı olmaksızın kişilerin ad ve soyadlarının rastgele bir şekilde 22 kağıtta yer alması hali, Kanun kapsamına girmemekle birlikte, söz konusu isimlerin sistematik olarak bir deftere kaydedilmesi halinde, bu veri kaydı Kanun kapsamında değerlendirilecektir. Kanunda “kısmen veya tamamen otomatik yolla işleme” ifadesinin ne anlama geldiği açıklığa kavuşturulmamıştır. 108 sayılı Avrupa Konseyi Sözleşmesi’nde ise “otomatik işleme” ifadesinden; verilerin kaydı, bu verilere mantıksal ve/veya aritmetik işlemlerin uygulanması, verilerin değiştirilmesi, silinmesi, geri elde edilmesi veya dağıtılması işlemlerinin otomatik veya kısmen otomatik yöntemlerle gerçekleştirilmesinin anlaşılacağı ifade edilmiştir. Herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen veriler de 6698 sayılı Kanun kapsamında korunmaktadır. Veri kayıt sistemi, Kanunun 3. maddesinde “kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemi” şeklinde tanımlanmıştır. Dolayısıyla elle işlenen verilerin herhangi bir kritere göre yapılandırılan bir kayıt sistemine dahil edilmesi durumunda, bu tür verilerle ilgili olarak da 6698 sayılı Kanun uygulanacaktır. Otomatik olmayan yollarla işlenen kişisel veriler, bir veri kayıt sisteminin parçası da değilse Kanun kapsamında değerlendirilmeyecektir. Fakat bu durum ilgili verilerin kişisel veri niteliğini etkilemeyeceği için, bu verilere ilişkin hukuka aykırı eylemler de 5237 sayılı Türk Ceza Kanunu kapsamında suç teşkil etmeye devam edecektir. 6698 sayılı Kanunda yalnızca gerçek kişilere ait kişisel verilerin kanunun koruma kapsamı içerisine dâhil olacağı belirtilmiştir. Dolayısıyla; ilke olarak, tüzel kişilere ait kişisel verilerin korunması 6698 sayılı Kanunun kapsamı dâhilinde değildir. Fakat tüzel kişiye ait bir verinin elde edilmesi, bir veya birden fazla gerçek kişinin kimliğinin belirlenmesine neden oluyor ise, bu tür verilerin de Kanunun korumasından yararlanması mümkün olabilir. 23 2. Kanun Kapsamına Girmeyen Durumlar Kanun sadece gerçek kişilerle ilgili verilere uygulanır. Tüzel kişilerle ilgili veriler bu Kanun kapsamında değildir. Çünkü Kanunun 1. maddesinde “kişisel verileri işlenen gerçek kişiler” ifadesi kullanılmıştır. Kanunun kişisel verilerin işlenmesine ilişkin hükümleri fiziksel olarak kayıt altına alınan ve veri kayıt sisteminin parçası olmayan kişisel verilere de uygulanmaz. Nitekim Kanunun 1. maddesinde “ tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenmesi” ifadesi kullanılmıştır. Kanunun 28. maddesinde tamamen veya kısmen kapsam dışı olan hususlar hükme bağlanmıştır. Bu maddenin 1. fıkrasında tam istisnalar, 2. fıkrasında ise kısmi istisnalar düzenlenmiştir. Tam istisna halinde Kanun hiçbir şekilde uygulama alanı bulmamaktadır. Kısmi istisnalarda ise, Kanunun sadece bazı maddeleri (aydınlatma yükümlülüğü, veri sahibinin hakları ve veri sorumluları siciline kayıt) uygulanmamaktadır. a. Tamamen Kanun Kapsamı Dışında Tutulan Hususlar Kanunun 28. maddesinin 1. fıkrasında, Kanunun kapsamına girmeyen durumlar tek tek sayılmıştır. Bunlar: • Kişisel verilerin, üçüncü kişilere verilmemek ve veri güvenliğine ilişkin yükümlülüklere uyulmak kaydıyla gerçek kişiler tarafından tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetler kapsamında işlenmesi, • Kişisel verilerin resmi istatistik ile anonim hâle getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla işlenmesi, • Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini, ekonomik güvenliği, özel hayatın gizliliğini veya kişilik haklarını ihlal etmemek ya da suç teşkil etmemek kaydıyla, sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamında işlenmesi, 24 • Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini veya ekonomik güvenliği sağlamaya yönelik olarak kanunla görev ve yetki verilmiş kamu kurum ve kuruluşları tarafından yürütülen önleyici, koruyucu ve istihbari faaliyetler kapsamında işlenmesi, • Kişisel verilerin soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafından işlenmesidir. Kişisel verilerin aynı konuttaki kişiler tarafından işlenmesi: Kişisel verilerin, üçüncü kişilere verilmemek ve veri güvenliğine ilişkin yükümlülüklere uyulmak kaydıyla gerçek kişiler tarafından tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetler kapsamında işlenmesi durumunda Kanun hükümleri uygulanmaz. Bu fıkra kapsamında; aynı konutta yaşayan aile fertlerinin aile içinde verileri işlemesi noktasında istisna söz konusudur. Örneğin, doğum günü gibi özel günlerde aile içerisinde çekilen fotoğraflar bu Kanun kapsamında değildir. Ancak bu verilerin üçüncü kişilerle paylaşılması veya alenileştirilmesi halinde, örneğin doğum gününde çekilen fotoğrafların aleni olacak şekilde sosyal medyada paylaşılması durumunda istisnadan söz edilemeyecektir. Kişisel verilerin anonim hale getirilerek belirli amaçlar için kullanılması: Kişisel verilerin resmi istatistik ile (örneğin TÜİK) anonim hâle getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla işlenmesi durumunda Kanun hükümleri uygulanmaz. “Anonim hâle getirilmek suretiyle” hükmü iki şekilde yorumlanabilir; Başlangıçtan itibaren anonim olan verilerin araştırma, planlama ve istatistik gibi amaçlarla kullanılması halinde, anonim veri kişisel veri olmadığı için istisna kapsamındadır. Örneğin, yapılan bir ankette tamamen anonim verilerin kullanılması gibi. Araştırma, planlama ve istatistik gibi amaçlarla kişisel veri toplanması sonrasında verilerin anonimleştirilmesi de istisna kapsamındadır. Örneğin, 25 istatistik amaçlı ve sonradan anonimleştirmek üzere yapılacak anket için kişisel veri toplanması sonrasında anonimleştirme yapılması durumunda olduğu gibi. Bu durumda, ilk halde kişisel veri toplama faaliyeti gerçekleştirildiği için Kanun kapsamında yer almakta ve istisna hükümlerine dahil olmamaktadır. Ancak, daha sonra bu veriler anonimleştirildiği için Kanun kapsamına girmemektedir. “Araştırma, planlama ve istatistik gibi” düzenlemesindeki “gibi” sözcüğü, bu sayılanların örnek olduğunu belirtmektedir. Dolayısıyla benzer yöntemlerin de istisna kapsamında yer alabileceği söylenebilir. Burada önemli olan, bu bilgilerin anonimleştirilmesidir. Kişisel verilerin sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamında işlenmesi: Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini, ekonomik güvenliği, özel hayatın gizliliğini veya kişilik haklarını ihlal etmemek ya da suç teşkil etmemek kaydıyla, sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamında işlenmesi durumunda bu Kanun hükümleri uygulanmaz. Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini veya ekonomik güvenliği sağlamaya yönelik olarak kanunla görev ve yetki verilmiş kamu kurum ve kuruluşları tarafından yürütülen önleyici, koruyucu ve istihbari faaliyetler kapsamında işlenmesi: Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini veya ekonomik güvenliği sağlamaya yönelik olarak kanunla görev ve yetki verilmiş kamu kurum ve kuruluşları tarafından yürütülen önleyici, koruyucu ve istihbarı faaliyetler kapsamında işlenmesi durumunda bu Kanun hükümleri uygulanmaz. Buna göre istihbarat birimlerinin milli savunmayı, kamu güvenliğini, milli güvenliği, kamu düzenini ve ekonomik güvenliği sağlamaya yönelik faaliyetler kapsamında işlediği veriler kanun kapsamı dışında tutulmaktadır. Aynı şekilde, belirtilen amaçlarla suç gelirlerinin aklanması, terörizmin finansmanının önlenmesi ve mali suçların 26 araştırılması konusunda yetkili birim (Mali Suçları Araştırma Kurulu) tarafından yürütülen faaliyetler kapsamında işlenen veriler de bu istisna kapsamındadır. Bu konularda yetkili birimin; milli savunmayı, milli güvenliği, kamu güvenliğini, kamu düzenini ve ekonomik güvenliği sağlamaya yönelik olmak üzere mali araştırma yapmak, mali istihbarat elde etmek ve üretmek, veri toplamak, şüpheli işlem bildirimleri ve diğer bildirimleri almak, analiz etmek, inceleme yapmak, değerlendirmek ve ilgili kurumlarla paylaşmak suretiyle işlediği veriler de kapsam dışındadır. Kişisel verilerin yargı ve infaz mercileri tarafından işlenmesi: Kişisel verilerin soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafından işlenmesi durumunda bu Kanun hükümleri uygulanmaz. b. Kısmen Kanun Kapsamı Dışında Tutulan Hususlar Kanunun 28. maddesinin 2. fıkrasında sadece belli durum ve şartlarda Kanunun kapsamına girmeyen hususlar düzenlenmiştir. Buna göre; Kanunun amacına ve temel ilkelerine uygun ve orantılı olmak kaydıyla, veri sorumlusunun aydınlatma yükümlülüğünü düzenleyen 10. madde, zararın giderilmesini talep etme hakkı hariç ilgili kişinin haklarını düzenleyen 11. madde ve Veri Sorumluları Siciline kayıt yükümlülüğünü düzenleyen 16. madde hükümleri aşağıdaki hâllerde uygulanmaz: • Kişisel veri işlemenin suç işlenmesinin önlenmesi veya suç soruşturması için gerekli olması. (Örneğin, bir polisin ciddi bir suçla ilgili şüphelinin kişisel verilerini işlemesi bu kapsamda değerlendirilebilecektir. Çünkü polisin hangi kişisel verilerini işlediği veya hangi amaçlarla işlediğini şüpheliye anlatması halinde, şüphelinin ilgili verileri yok etmesi veya silmesi riski doğacaktır.) • İlgili kişinin kendisi tarafından alenileştirilmiş kişisel verilerin işlenmesi. (Örneğin, kişinin herkesin erişimine açık bir şekilde sosyal medya hesabında kişisel verisini paylaşması halinde verinin işlenmesi.) • Kişisel veri işlemenin kanunun verdiği yetkiye dayanılarak görevli ve 27 yetkili kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarınca, denetleme veya düzenleme görevlerinin yürütülmesi ile disiplin soruşturma veya kovuşturması için gerekli olması. • Kişisel veri işlemenin bütçe, vergi ve mali konulara ilişkin olarak Devletin ekonomik ve mali çıkarlarının korunması için gerekli olması. Kanunda belirtildiği gibi 10., 11. ve 16. maddelerin uygulanmaması için maddede belirtilen ihtimallerden birinin gerçekleşmesi gerekir. Ayrıca bu hükümlerin uygulanabilmesi için belirtilen istisnai hallerin Kanunun amacına, temel ilkelerine uygun ve orantılı olması gerekir. 3. Kanunun Zaman Bakımından Uygulanması Kanunun Geçici 1. maddesinin 3. fırkasında, hâlihazırda işlenmiş kişisel verilerin durumu düzenlenmiştir. Buna göre, Kanunun yayımı tarihinden önce işlenmiş olan kişisel veriler, Kanunun yayımı tarihinden itibaren iki yıl içinde Kanun hükümlerine uygun hâle getirilir. Bu süreç içerisinde Kanun hükümlerine aykırı olduğu tespit edilen kişisel veriler derhâl silinir, yok edilir veya anonim hâle getirilir. Fakat Kanunun yayımı tarihinden önce hukuka uygun olarak alınmış rızalar, bir yıl içinde aksine bir irade beyanında bulunulmaması hâlinde, Kanuna uygun kabul edilir. 4. Kanunun Kişi Bakımından Uygulanması Kanunun 2. maddesine göre bu Kanun hükümleri kişisel verileri işlenen gerçek kişiler ile bu verileri tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişiler hakkında uygulanır. Buna göre, tüzel kişilere ait kişisel veriler Kanun kapsamı dışındadır, ancak tüzel kişiye ait verilerden gerçek kişinin belirlenmesinin mümkün olması halinde bu veriler de Kanun kapsamında sayılacaktır. 28 D. 6698 SAYILI KANUNDA YER ALAN TEMEL KAVRAMLAR 1. Açık Rıza Kanunun yürürlüğe girmesi sonrasında, kişisel veri ve bu verinin işlenmesi ile birlikte hayatımıza giren kavramlardan birisi de “açık rıza” kavramıdır. Kanunun 3. maddesinde açık rıza; “belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza” şeklinde tanımlanmıştır. Ayrıca Anayasanın 20. maddesinin 3. fıkrasında, kişisel verilerin, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebileceği hüküm altına alınmıştır. Açık rıza, Kanunda hem özel nitelikli kişisel veriler, hem de özel nitelikli olmayan kişisel veriler bakımından temel hukuka uygunluk sebebi olarak öngörülmüştür. Buna göre sırasıyla Kanunun; • 5. maddesinin, 1. fıkrasında “Kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez”, • 6. maddesinin 2. fıkrasında “Özel nitelikli kişisel verilerin, ilgilinin açık rızası olmaksızın işlenmesi yasaktır”, • 8. maddesinin 1. fıkrasında “Kişisel veriler, ilgili kişinin açık rızası olmaksızın aktarılamaz”, • 9. maddesinin 1. fıkrasında “Kişisel veriler, ilgili kişinin açık rızası olmaksızın yurt dışına aktarılamaz” düzenlemeleri yer almaktadır. Açık rıza, uluslararası metinlerde de kendine yer bulan önemli bir kavramdır. Kanunun gerekçesinde belirtildiği gibi, 95/46/EC sayılı Avrupa Birliği Direktifine göre açık rıza; ilgili kişinin kendisiyle ilgili veri işlenmesine, özgürce, konuyla ilgili yeterli bilgi sahibi olarak, tereddüde yer bırakmayacak açıklıkta ve sadece o işlemle sınırlı olarak verdiği onay beyanı şeklinde anlaşılmalıdır. 29 Avrupa Birliği’nde yalnızca özel nitelikli (hassas) verilerin işlenmesi için açık rıza aranmakta iken ülkemizde kural olarak her türlü kişisel verinin işlenmesi için açık rızaya ihtiyaç duyulmaktadır. Bu bakımından Kanun, Avrupa Birliği düzenlemelerine göre daha fazla koruma öngörmektedir. Kanun çerçevesinde rıza, kişinin sahip olduğu verinin işlenmesine, kendi isteği ile ya da karşı taraftan gelen istek üzerine, onay vermesi anlamını taşımaktadır. Rıza açıklamasının bir diğer önemi de veri işleyene gerçekleştireceği fiil konusunda yol göstermesidir. Kişi rıza açıklaması ile aslında veri işleyene kendi hukuksal değerine ilişkin verdiği kararı bildirmiş olmaktadır. Rıza açıklaması, hukuksal değer sahibinin, işlenmesine izin verdiği verinin sınırlarını, kapsamını, gerçekleştirilme biçimini ve süresini de belirlemesini sağlayacaktır. Açık rızanın bu anlamda, rıza veren kişinin “olumlu irade beyanı”nı içermesi gerekmektedir. Diğer mevzuatlardaki düzenlemeler saklı kalmak üzere, açık rızanın yazılı şekilde alınmasına gerek yoktur. Elektronik ortamda alınması da mümkündür. Kanunun 3. maddesinde yer verilen açık rıza tanımı kapsamında, açık rızanın 3 unsuru bulunmaktadır: • Belirli bir konuya ilişkin olması, • Rızanın bilgilendirmeye dayanması, • Özgür iradeyle açıklanması. a. Belirli Bir Konuya İlişkin Olması Veri işlemek üzere verilen rızanın geçerli olması için rızanın belirli bir konuya ilişkin ve o konu ile sınırlı olması gerekir. Veri sorumlusu ve veri işleyenlerce açık rıza beyanının hangi konuya ilişkin olarak istenildiğinin açıkça ortaya konulması gerekmektedir. Buna göre, genel bir irade açıklaması ile “kişisel verilerimin işlenmesini kabul ediyorum” şeklinde açık uçlu ve belirsiz bir rıza tek başına Kanun bağlamında “açık rıza” olarak kabul edilemez. 30 Eğer birden çok kategoriye ilişkin verinin işlenmesine dair rıza beyanında bulunulacaksa, rızanın hangi verilerin ve ne amaçlarla işleneceği gibi, işlemenin farklı noktaları açısından da verilmiş olması gerekir. Veri sorumlusunun, veriyi kullanımı sonrasında gerçekleştireceği ikincil işlemler için ise, (örneğin yurtdışına veri aktarımı gibi) buna ilişkin ayrıca rıza alması gerekecektir. Aynı durum, verilerin işlenme amaçlarının değişmesi halinde de geçerlidir. b. Rızanın Bilgilendirmeye Dayanması Açık rıza bir irade beyanı olup, kişinin özgür bir şekilde rıza gösterebilmesi için, neye rıza gösterdiğini de bilmesi gerekir. Bu durum Kanunun 10. maddesinde düzenlenen “aydınlatma yükümlülüğü” kavramı ile de ilişkilidir. Kişinin sadece konu üzerinde değil, aynı zamanda rızasının sonuçları üzerinde de tam bir bilgi sahibi olması gerekir. Bilgilendirme, veri işleme ile ilgili bütün konularda açık ve anlaşılır bir biçimde gerçekleştirilmelidir. Bilgilendirmenin mutlaka verinin işlemesinden önce yapılması gerekir. İşlenecek verinin niteliği, aynı zamanda bilgilendirme düzeyini belirleyecektir. İlgili kişinin aydınlatılması aynı zamanda kişinin kendi geleceğini belirleme hakkının bir yansımasını oluşturmaktadır. c. Özgür İradeyle Açıklanması Kişinin irade beyanı olan rıza, kişinin yaptığı davranışın bilincinde ve kendi kararı olması halinde geçerlilik kazanacaktır. Kişinin iradesini sakatlayacak her tür fiil, kişisel verilerin işlenmesi için verdiği rızayı da sakatlayacaktır. Cebir, tehdit, hata ve hile gibi iradeyi sakatlayan hallerde, kişinin özgür biçimde karar vermesi mümkün değildir. Dolayısıyla bu gibi durumlarda özgür bir irade açıklamasından bahsedilemez. Ancak buradaki her sebep kendi içerisinde değerlendirilmeli, rızayı etkileme derecesi belirlenmelidir. Tarafların eşit konumda olmadığı veya taraflardan birinin diğeri üzerinde etkili olduğu durumlarda rızanın özgür iradeyle verilip verilmediğinin 31 dikkatle değerlendirilmesi gerekir. Özellikle işçi-işveren ilişkisinde, işçiye rıza göstermeme imkânının etkin bir biçimde sunulmadığı veya rıza göstermemenin işçi açısından muhtemel bir olumsuzluk doğuracağı durumlarda, rızanın özgür iradeye dayandığı kabul edilemez. 2. Anonim Hale Getirme (Anonimleştirme) Anonim hale getirme veya anonimleştirme, verilerin başka verilerle eşleştirilse dahi, hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesini ifade etmektedir. Bu kapsamda, elde kalan veri üzerinden bir izleme yapılarak başka verilerle eşleştirme ve destekleme sonrasında verinin kime ait olduğu anlaşılabiliyorsa, bu verinin anonim hale getirildiği kabul edilemez. Bu noktada dikkat çekilmesi gereken husus, anonim veri ve anonimleştirilmiş veri arasındaki farktır. Anonim veri belirli bir kişiyle ilişkilendirilmesi mümkün olmayan veriyi ifade ederken, anonimleştirilmiş veri daha öncesinde bir kişiyle ilişkilendirilmiş ancak artık bağlantısı kalmamış veridir. Anonimleştirme konusunda sıkça kullanılan bazı teknikler bulunmaktadır. Anonimleştirme uygulanırken, mevcut veri kümesinde yer alan verinin büyüklüğü, verinin çeşitliliği, veriden sağlanmak istenen fayda ve işleme amacı gibi özellikler dikkate alınarak uygulanacak tekniklere karar verilebilir. Anonimleştirmeyle ilgili bazı teknikler şunlardır: Maskeleme: Kişisel verilerin belli alanlarının silinerek veya yıldızlanarak kişinin belirlenemez hale getirilmesidir. Örneğin, kişinin kredi kartı numarasının bir kısmının yıldızlanması durumunda maskeleme söz konusudur. (6698 **** **** 0006) Toplulaştırma/Kümülatif Data Yaratma: Verilerin kümülatif hale getirilerek toplam değerlerinin yansıtılmasını ifade eder. Örneğin, şirkette kadın çalışan sayısının Z adet olması ve sayının %40’ının üniversite mezunu, %60’ının yüksek lisans mezunu olmasına ilişkin veriler anonim hâle getirilmiştir. 32 Veri Türetme: Mevcuttaki detay verilerin daha genel karşılıklarıyla değiştirilmesidir. Örneğin, doğum tarihi bilgisinin Gün/Ay/Yıl detaylarının yerine kişinin direkt yaşının yazılması durumunda veri türetmek suretiyle anonimleştirme yapılmıştır. Veri Karması: Veri kümesi içinde değerlerin karıştırılarak toplam faydaya zarar vermeden kişilerin tespit edilebilirlik özelliğinin yok edilmesini ifade eder. Yaş ortalaması alınmak istenen bir sınıfta kişilerin yaşlarını gösteren değerlerin birbirleriyle değiştirilmesi durumunda veri karması yapılmıştır. 3. İlgili Kişi Kanunda, yalnızca gerçek kişilerin verilerinin korunması öngörülmektedir. Bu nedenle Kanunda kişisel verisi işlenen gerçek kişiyi ifade etmek için “ilgili kişi” ifadesi kullanılmıştır. Kanunun düzenlenme amacına göre korunması gereken temel esas, başta özel hayatın gizliliği olmak üzere temel hak ve özgürlüklerden ibarettir. Son yıllarda önem kazanan kişinin mahremiyet hakkı ile bilgi güvenliği hakkının korunması da bu kapsamda değerlendirilmektedir. Korunması gereken kişi, düzenlemenin tanımlar kısmında açıkça belirtildiği üzere “gerçek kişi”dir. Kanunda yer alan kişisel verinin tanımı gereği, tüzel kişiye ait bir verinin herhangi bir gerçek kişiyi belirlemesi ya da belirlenebilir kılması halinde, bu veriler Kanun kapsamında koruma altındadır. Ancak burada korunan menfaat tüzel kişiye değil, düzenlemenin temellendirdiği öncelik gereği belirlenen ya da belirlenebilecek gerçek kişiye ait olacaktır. Çünkü Kanun, tüzel kişilere ait kişisel verilerin korunmasını hiçbir şekilde düzenlememektedir. 4. Kişisel Veri Kişisel veri, belirli ya da belirlenebilir nitelikteki bir kişiye ilişkin her türlü bilgidir. Bu durumda kişisel veriyi, kişisel olmayan verilerden ayırabilmek için temelde iki ölçütten yararlanıldığı söylenebilir. Buna göre, kişisel veriden söz edebilmek için, verinin bir kişiye ilişkin olması ve bu kişinin de belirli ya da belirlenebilir nitelikte olması gerekmektedir. 33 Kişisel veri, bireyin şahsi, mesleki ve ailevi özelliklerini gösteren, o bireyi diğer bireylerden ayırmaya ve niteliklerini ortaya koymaya elverişli her türlü bilgidir. Kanunda kişisel veri; “kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi” şeklinde tanımlanmıştır. Bu bilgiler, belli bir kimsenin kimliği, etnik kökeni, fiziksel özellikleri, sağlık, eğitim, istihdam durumu, cinsel yaşamı, aile hayatı, başkaları ile yaptığı haberleşmeler, ikamet adresi, kredi kartı, kişisel düşünce ve inançları, dernek ve sendika üyelikleri, alışveriş alışkanlıkları gibi hususları kapsamaktadır. Kanunda yer alan kişisel veri tanımı doğrultusunda gerçek bir kişiyi belirli veya belirlenebilir kılan her türlü bilginin kişisel veri olarak kabul edilmesi gerekmektedir. Kanunda yapılan tanımlamada hangi bilgilerin kişisel veri olarak kabul edileceğine ilişkin sınırlı sayım esasının benimsenmediği görülmektedir. Kanunda gelişen teknolojilerle türetilebilecek veri kategorilerini de düzenleyecek şekilde geniş bir kişisel veri tanımı sunulmaktadır. Kanunun kişisel veri tanımının, “Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Bireylerin Korunması Sözleşmesi”ndeki (108 sayılı Sözleşme) tanımla uyumlu olduğu görülmektedir. Kanundaki kişisel veri tanımına göre, sadece gerçek kişilere ilişkin bilgiler kişisel veri sayılmaktadır. Tüzel kişilere ilişkin verilerin işlenmesi Kanunun kapsamı dışında tutulmuştur. Bir kişinin belirli veya belirlenebilir olması, mevcut verilerin herhangi bir şekilde bir gerçek kişiyle ilişkilendirilmesi suretiyle, o kişinin tanımlanabilir hale getirilmesini ifade etmektedir. Kanunun gerekçesinde bireyin adı, soyadı, doğum tarihi ve doğum yeri gibi onun kesin teşhisini sağlayan verilerin yanı sıra, kişinin fiziki, ailevi, ekonomik, sosyal ve sair özelliklerine ilişkin verilerin de kişisel veri niteliğinde olduğu belirtilmiştir. Bir kişinin belirli veya belirlenebilir olması, mevcut verilerin herhangi bir şekilde bir gerçek kişiyle ilişkilendirilmesiyle o kişinin tanımlanabilir hale getirilmesini ifade etmektedir. Başka bir ifadeyle kişisel veriler, kişinin fiziksel, ekonomik, kültürel, sosyal veya psikolojik kimliğini ifade eden somut bir içerik taşıyabileceği gibi, kimlik, vergi, sigorta numarası gibi herhangi bir kayıtla ilişkilendirilmesi sonucunda kişinin belirlenmesini sağlayan tüm verileri kapsamaktadır. Nitekim Kanunun gerekçesinde de telefon numarası, 34 motorlu taşıt plakası, sosyal güvenlik numarası, pasaport numarası, özgeçmiş, resim, görüntü ve ses kayıtları, parmak izleri, genetik bilgiler gibi verilerin dolaylı da olsa kişiyi belirlenebilir kılabilme özellikleri nedeniyle kişisel veri olarak kabul edilmesi gerektiğine işaret edilmiştir. 5. Kişisel Verilerin İşlenmesi Kişisel verilerin işlenmesi kavramı zincirleme bir döngüyü ifade etmektedir. Kanunun 2. maddesinde, kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla ilk defa elde edilmesiyle başlayan bir süreç ve devamındaki her türlü işleme, veri işleme olarak tanımlanmıştır. Kişisel veriler belirtilen şekilde toplandıktan sonra silme, yok etme ya da anonim hale getirme işlemlerine kadar olan süreçte gerçekleştirilen her türlü faaliyet Kanun kapsamında kişisel verilerin işlenmesi olarak değerlendirilmektedir. Aslında kişisel veriler söz konusu olduğunda verinin nasıl tutulduğu ve kullanıldığı verinin kendisinden daha önemlidir. Kişisel veriler çeşitli şekillerde işlenebilir: • Toplama veya kaydetme: Kişisel verilerin ilk defa elde edildikleri an itibariyle işleme fiili başlamaktadır. • Organize etme/depolama: Dijital ya da fiziksel ortamda, kişisel verilerin saklanması, barındırılması ya da depolanması işleme kapsamında kabul edilir. • Kullanma/değiştirme: Kişisel verilerin, görüntülenmesi de dâhil olmak üzere, her türlü kullanımı işleme sayılır. • Aktarma: Kişisel verilerin çeşitli yöntemlerle iletilmesi. • Yayma/erişilebilir kılma: Fiziksel olarak dağıtmak veya paylaşmak gibi, verileri dijital ortamda üçüncü tarafların erişimine açmak da bir işleme türüdür. 35 • Engelleme/silme/yok etme/anonim hale getirme: Bunlar da bir işleme faaliyeti olarak kabul edilmektedir. Kişisel veriler otomatik veya otomatik olmayan yollarla işlenebilecektir: a. Otomatik İşleme Direktif’te ve Kanunda otomatik işlemenin ne olduğuna ilişkin bir tanıma yer verilmemiştir. Direktif ve Kanunda otomatik işlemeye ilişkin bir tanım yer almazken, OECD tarafından verilen tanım; “İnsan müdahalesi ya da yardımı konusundaki ihtiyacı asgari seviyeye indiren, kendi aralarında bağlantılı ve etkileşimli elektrikli veya elektronik bir sistem tarafından gerçekleştirilen veri işleme faaliyeti” şeklindedir. Bununla birlikte Kanun gerekçesinde, Kanunun kapsamı açıklanırken, “Günümüzde bu veriler, gerek özel sektör ve gerekse kamu sektörü tarafından bilişim sistemleri üzerinden otomatik yollarla sıkça kullanılmaktadır” denilerek dolaylı yoldan otomatik işlemenin, bilişim sistemleri üzerinde gerçekleştirilen faaliyetler olduğu belirtilmiştir. Buna göre, otomatik olarak veri işlenmesi; bilgisayar, telefon, saat vb. işlemci sahibi cihazlar tarafından yerine getirilen, yazılım veya donanım özellikleri aracılığıyla önceden hazırlanan algoritmalar kapsamında insan müdahalesi olmadan kendiliğinden gerçekleşen işleme faaliyetidir. b. Otomatik Olmayan Yollarla İşleme (Veri Kayıt Sisteminin Parçası Olmak Kaydıyla) Yukarıda belirtildiği gibi, kişisel veriler otomatik işlemeye tabi tutulmasalar da, “veri kayıt sistemi” aracılığıyla işlendiklerinde de Kanun hükümlerine tabi olacaklardır. Kanun gerekçesinde veri kayıt sistemi, “kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemi”ni ifade etmektedir. Bu sistemler elektronik yahut fiziki ortamda oluşturulabilir. Buna göre, veri kayıt sisteminde kişisel veriler, ad, soyad veya kimlik numarası üzerinden sınıflandırılabileceği gibi, kredi borcunu ödemeyenlere ilişkin oluşturulacak sınıflandırma da bu kapsamda değerlendirilebilecektir. Kanun, otomatik olmayan yollarla veri işlenmesini tamamen Kanun kapsamı dışında 36 tutmamaktadır. Yani, otomatik olmayan yolla veri işleme eğer veri kayıt sisteminin parçası ise, bu durumda veri işleme faaliyeti Kanun kapsamında kabul edilecektir. Verilerin hukuka uygun işlenmesi için aşağıdaki tüm şartların birlikte sağlanması gerekir: • İşlemenin rıza veya istisnaya dayalı olması, • Aydınlatmanın gerçekleşmiş olması, • İşlemenin amaç ve süre ile sınırlı olması, • Genel (temel) ilkelere uygun olması. 37 Açık rıza dışında kişisel verilerin işlenme şartları aşağıdaki gibidir. İşlenme Şartları Kapsamı Örnek Kanun Hükmü Vergi Mevzuatı, İş Mevzuatı, Ticaret Mevzuatı vb. Çalışana ait özlük bilgilerinin mevzuat gereği tutulması gerekir. Sözleşmenin İfası İş Akdi, Satış Sözleşmesi, Taşıma Sözleşmesi, Eser Sözleşmesi vb. Teslimat yapılması için şirketin adres bilgilerini kaydetmesi. Fiili İmkânsızlık Fiili imkânsızlık nedeniyle rıza veremeyecek olan ya da ayırt etme gücü olmayan kişi. Bilinci kapalı kişinin iletişim veya adres bilgisi. Kaçırılan bir kişinin konum bilgisi. Veri Sorumlusunun Hukuki Sorumluluğu Mali Denetimler, Güvenlik Mevzuatı, Sektör Odaklı Regülâsyonlarla Uyum. Bankacılık, Enerji, Sermaye Piyasaları gibi alanlara özel denetimlerde bilgi paylaşımı yapılması. Aleniyet Kazandırma İlgili kişinin kendisine ait bilgileri umumun bilgisine sunması. Kişinin, acil durumlarda ulaşılması için iletişim bilgisini ilan etmesi. Hakkın Tesisi, Korunması, Kullanılması Dava açılması, tescil işlemleri, her türlü tapu işlemi vb. işlerde kullanılması zorunlu veriler. İşten ayrılan bir çalışana ait gerekli bilgilerin dava zaman aşımı boyunca saklanması. Meşru Menfaat Veri sahibinin temel haklarına zarar gelmemek kaydıyla, veri sorumlusunun meşru menfaati için zorunlu olması halinde veri işlenebilir. Çalışan bağlılığını artıran ödül ve primler uygulanması amacıyla veri işlenmesi. 38 6. Veri Sorumlusu ve Veri İşleyen a. Genel Olarak Veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi ifade eder. Tüzel kişiler, kişisel verileri işleme konusunda gerçekleştirdiği faaliyetler kapsamında bizatihi kendileri “veri sorumlusu” olup, ilgili düzenlemelerde belirtilen hukuki sorumluluk tüzel kişinin şahsında doğacaktır. Bu konuda kamu hukuku tüzel kişileri ve özel hukuk tüzel kişileri bakımından bir farklılık gözetilmemiştir. Bu çerçevede gerek cezai gerekse de hukuki sorumluluk bakımından, tüzel kişilerin sorumluğuna ilişkin özel hukuk ve kamu hukukundaki genel hükümler uygulanır. Veri işleyen, veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişiler olarak tanımlanmaktadır. Bu kişiler, kişisel verileri kendisine verilen talimatlar çerçevesinde işleyen, veri sorumlusunun kişisel veri işleme sözleşmesi yapmak suretiyle yetkilendirdiği ayrı bir gerçek veya tüzel kişidir. Herhangi bir gerçek veya tüzel kişi aynı zamanda hem veri sorumlusu, hem de veri işleyen olabilir. Örneğin, bir muhasebe şirketi kendi personeliyle ilgili tuttuğu verilere ilişkin olarak veri sorumlusu sayılırken, müşterisi olan şirketlere ilişkin tuttuğu veriler bakımından ise veri işleyen olarak kabul edilecektir. Veri işleyenin faaliyetleri veri işlemenin daha çok teknik kısımları ile sınırlıdır. Kişisel verilerin işlenmesine ilişkin kararların alınması yetkisi ise veri sorumlusuna aittir. Veri sorumlusu kişisel verilerin işlenme amacını ve yöntemini belirleyen kişidir. Yani işleme faaliyetinin “neden” ve “nasıl” yapılacağı sorularının cevabını verecek kişidir. Veri sorumlusunun tespiti için aşağıdaki hususlara kimin karar verdiği dikkate alınmalıdır: • Kişisel verilerin toplanması ve toplama amacı, • Toplanacak kişisel veri türleri, 39 • Toplanan verilerin hangi amaçlarla kullanılacağı, • Hangi bireylerin kişisel verilerinin toplanacağı, • Toplanan verilerin paylaşılıp paylaşılmayacağı, paylaşılacaksa kiminle paylaşılacağı, • Verilerin ne kadar süreyle saklanacağı, • Veri sahiplerinin erişim hakkı ve diğer haklarının uygulanıp uygulanmayacağı. Veri sorumlusu yapacağı kişisel veri işleme sözleşmesi ile, aşağıda örnek olarak belirtilen hususlarda karar verme yetkisini veri işleyene bırakabilir: • Kişisel verilerin toplanması için hangi bilgi teknolojileri sistemlerinin veya diğer metotların kullanılacağı, • Kişisel verilerin hangi yöntemle saklanacağı, • Kişisel verilerin korunması için alınacak güvenlik önlemlerinin detayları, • Kişisel verilerin aktarımının hangi yöntemle yapılacağı, • Kişisel verilerin saklanmasına ilişkin sürelerin doğru uygulanabilmesi için kullanılacak metot, • Kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesi yöntemi. Veri sorumlusuyla veri işleyen arasındaki ortak bazı noktaların belirtilmesi gerekir. İlk olarak, veri sorumlusu ifadesiyle, bir şirket içerisinde veri işleme faaliyetlerinden sorumlu bir kimse kastedilmemektedir. Veri sorumlusu bizatihi tüzel kişiliğin kendisidir. Veri sorumlusu (aynı şekilde veri işleyen de) olmak, Kanunun hukuki yükümlülükleri tayin etmek amacıyla belirlediği bir statüdür ve tanımda verilen özellikleri karşılaması durumunda, şirketin tüzel kişiliği de bu statüde yer alacaktır. Örneğin, veri işleme faaliyetinin bir parçası olarak bir şirkette belge teslim alan ve kaydeden kişi değil, şirketin kendisi “veri sorumlusu” sıfatına sahiptir. İkinci olarak, her iki kavram da, hem gerçek hem de tüzel kişiler için geçerlidir. Yani, serbest çalışan bir 40 muhasebeci de, mali müşavirlik firması da, hem veri sorumlusu, hem de veri işleyen olabilir. Bir şirket bünyesinde yer alan birimlerin tüzel kişiliği olmaması durumunda bu birimlerin bizzat veri sorumlusu ya da veri işleyen sıfatı taşıması mümkün değildir. Oysa bir holdingi oluşturan her bir şirket tüzel kişiliğe sahip olduğundan, bu şirketlerin her biri iki statüde de yer alabilir. Son olarak, bir tüzel ya da gerçek kişinin aynı anda hem veri sorumlusu, hem de veri işleyen olabileceğini söylemek mümkündür. Örneğin, bir turizm şirketi kendi çalışanlarının verileri bakımından “veri sorumlusu” iken, müşterilerinin çalışanlarının verileri bakımından “veri işleyen” sıfatıyla hareket etmektedir. b. Örnekler Pazar Araştırması Şirketleri Bir banka ile yaptığı sözleşme uyarınca, bir pazar araştırması şirketi, banka için müşteri memnuniyeti anketi düzenlemeyi üstlenmiştir. Banka, anket yapılacak müşteri kitlesinin belirlenmesini, anket metodunun seçimini ve anket sonuçlarının sunumunu araştırma şirketine bırakmıştır. Bu durumda pazar araştırma şirketi, her ne kadar banka adına anketi yapıyor ve kişisel verileri işliyor olsa da veri sorumlusu statüsündedir. Zira hangi müşterilere anket yapılacağı, hangi verilerin toplanacağı vb. konularda karar verme yetkisine sahip olan pazar araştırma şirketidir. Posta Dağıtım Hizmetleri Bir kurye şirketi, bir hastane ile hastaların sağlık raporlarını diğer sağlık hizmeti kurumlarına ulaştırılması hizmetini vermek üzere bir sözleşme yapmıştır. Kurye şirketi her ne kadar sağlık raporlarını fiziksel olarak elinde bulundursa da, söz konusu sağlık raporlarının içeriğine ulaşması mümkün değildir. Bu durumda, posta dağıtım hizmeti sunucusu olarak hizmet veren kurye şirketi ne veri sorumlusu, ne de veri işleyen statüsündedir. Dolayısıyla, yalnızca taşıdığı mektup vb. fiziksel eşyanın güvenliğini sağlamakla yükümlü olup kişisel verilerin işlenmesiyle ilgili uyması gereken herhangi bir yükümlülük yoktur. Ancak kurye şirketi gönderenin adı, soyadı, alıcının adresi gibi sevkiyatı yönetmek için topladığı veriler bakımından ve kendi çalışanlarıyla ilgili işlediği veriler bakımından veri sorumlusudur. 41 Ödeme Servisleri İnternet üzerinden satış gerçekleştiren bir kişinin bir ödeme hizmeti şirketi ile anlaşması suretiyle müşterilerinin verilerinin işlenmesi durumda; ödeme hizmeti şirketi, satıcının veri işleyeni değildir. Bu verilerin işlenmesi bakımından veri sorumlusu statüsündedir. Zira ödeme hizmeti şirketi; (1) Ödemelerin doğru yapılabilmesi için müşterilerden hangi verilerin toplanması gerektiğine karar vermektedir. (2) Toplanan verilerin hangi amaçla kullanılacağı konusunda kontrol sahibidir. (3) Satıcıdan bağımsız olarak doğrudan kişisel verileri işlenen müşterilere uyguladığı kendi hüküm ve koşulları bulunmaktadır. (4) Satıcıdan bağımsız olarak kendi tabi olduğu hukuki yükümlülükler bulunmaktadır. Örneğin; kredi kartı bilgilerinin silinmesi vb. Avukatlar Bir firmanın işten ayrılan çalışanlarından birinin firmanın müşteri listesini çaldığı ve buna karşılık firma sahibinin listeyi nasıl geri alabileceği ile ilgili bir avukata başvurmuş olduğu bir örnekte; firma sahibinin eski çalışanıyla ilgili kişisel verileri avukata teslim etmesiyle, avukat da veri sorumlusu statüsüne sahip olur. Bu durumda avukatın firma sahibinin adına işlem yapıyor olması bunu değiştirmez. Zira avukat elde edilen kişisel verilerin nasıl işleneceğini kendisi belirleyecektir. Dolayısıyla, sağlanan kişisel veriler bakımından hem firma sahibi hem de avukat veri sorumlusu statüsündedir. Bu anlamda her birinin uyması gereken kendi yükümlülükleri bulunmaktadır (örneğin; veri sahibinin kişisel veriye erişim talebinin yerine getirilmesi bakımından ikisi de ayrı ayrı sorumludur). Muhasebeciler Muhasebeciler, müşterilerinin hesaplarıyla ilgili kayıtları tutarken bu kayıtlardaki kişisel verilerin işlenmesi bakımından veri sorumlusudurlar. Zira muhasebecilerin işledikleri kişisel verilerle ilgili sorumluluk almasını zorunlu kılan birçok mesleki yasal yükümlülükleri bulunmaktadır. Örneğin, bir şirketin hesaplarını incelerken yolsuzluğa rastlamaları durumunda muhasebecilerin polise veya diğer yetkili kurumlara bildirimde bulunma zorunluluğu bulunmaktadır. Bildirimi yaparken müşterisinin talimatları 42 doğrultusunda hareket etmiyor olacağı açıktır. Dolayısıyla bunun gibi uzman hizmet sağlayıcıları, kendi mesleki yasal yükümlülüklerine tabi oldukları sürece veri sorumlusu statüsünde bulunacaklardır ve veri sorumlusu olmaktan kaynaklanan yükümlülüklerini anlaşmayla müşteriye kısmen veya tamamen bırakmaları mümkün olmayacaktır. Bilgi Teknolojileri Hizmetleri Bir araç kiralama şirketi, bir araç takip şirketi ile sözleşme yapmıştır. Sözleşmeye göre, araç kiralama şirketinin tüm araçlarına takip cihazı takılacak ve kiralama süresi bittikten 6 saat sonra araç, kiralayan tarafından kiralama şirketine iade edilmezse aracın konum verisi araç takip şirketi tarafından araç kiralama şirketi ile paylaşılacaktır. Araç takip şirketi, sözleşmeye uygun işlem yapıyor olsa bile, veri sorumlusu statüsündedir. Zira arabalar ve sürücüleriyle ilgili hangi verilerin toplanacağının seçimi araç takip şirketine aittir. Her ne kadar verilerin toplanma amacını araç kiralama şirketi belirlese de, hangi verilerin toplanacağı hususunda araç takip şirketinin bu denli geniş bir takdir hakkının bulunması onun veri sorumlusu kabul edilmesini gerektirmektedir. Bulut Hizmeti Sağlayıcıları Bir kamu kuruluşunun, topladığı kişisel verilerin saklanması için bir bulut hizmeti sağlayıcısıyla sözleşme yapması ve bulut sağlayıcısının verileri belirli bir zamandan sonra sileceği/veri sahiplerinin kişisel verilerine erişimlerini sağlayacağı konusunda anlaşılmış olması durumda, bulut hizmeti sağlayıcısı veri işleyen statüsündedir. Zira taraflar arasındaki sözleşme gereği bulut hizmeti sağlayıcısının verileri kendi amaçları için kullanması mümkün değildir. Ayrıca bulut hizmeti sağlayıcısı, kendisi veri de toplamamaktadır. Tek faaliyeti kamu kuruluşundan gelen kişisel verileri yine kamu kuruluşunun talimatlarına uygun olarak saklamaktır. 7. Veri Kayıt Sistemi Veri kayıt sistemi, kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemini ifade etmektedir. Bu sistemler elektronik yahut 43 fiziki ortamda oluşturulabilir. Buna göre, veri kayıt sisteminde kişisel veriler; ad-soyad veya kimlik numarası üzerinden sınıflandırılabileceği gibi, kredi borcunu ödemeyenlere ilişkin oluşturulacak sınıflandırma da bu kapsamda değerlendirilecektir. Kanunun gerekçesine göre, otomatik olmayan yollarla işlenen kişisel veriler bir veri kayıt sisteminin parçası değilse Kanun kapsamında değerlendirilmeyecektir. Bir başka ifadeyle, Kanun aşağıdaki iki durumda uygulama alanı bulacaktır: • kişisel verilerin otomatik yollarla işlenmesi, • kişisel verilerin otomatik olmayan yollarla fakat bir veri kayıt sistemi içerisinde işlenmesi. Bu tanıma göre veri üzerinde gerçekleştirilen bir eylemin, (1) öncelikle otomatik olup olmadığı belirtilmeli, (2) otomatik olmayan işleme varsa, bu defa da verinin bir veri kayıt sistemi içerisinde işlenip işlenmediğinin anlaşılması gerekmektedir. E. KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN TEMEL İLKELER 1. Genel Olarak Uluslararası belgelerde kabul görmüş ve pek çok ülke uygulamasına yansımış olan kişisel verilerin işlenmesine ilişkin temel ilkeler bulunmaktadır. Kanunun 4. maddesinde kişisel verilerin işlenmesine ilişkin usul ve esaslar 108 sayılı Sözleşme’ye ve 95/46/EC sayılı Avrupa Birliği Direktifine paralel şekilde düzenlenmiştir. Buna göre; kişisel veriler ancak, hukuka ve dürüstlük kurallarına uygun şekilde, belirli, açık ve meşru amaçlar kapsamında, doğru ve gerektiğinde güncel olma şartıyla, işlendikleri amaçla bağlantılı olma ve işlendikleri amaç için gerekli olan süre kadar muhafaza edilme koşullarına uygun işlenebilecektir. 44 Kanunda kişisel verilerin işlenmesinde sayılan genel (temel) ilkeler şunlardır: • Hukuka ve dürüstlük kurallarına uygun olma, • Doğru ve gerektiğinde güncel olma, • Belirli, açık ve meşru amaçlar için işlenme, • Kişisel verilerin, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması, • İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme. Kişisel verilerin işlenmesine ilişkin ilkeler, tüm kişisel veri işleme faaliyetlerinin özünde bulunmalı ve tüm kişisel veri işleme faaliyetleri bu ilkelere uygun olarak gerçekleştirilmelidir. a. Hukuka ve Dürüstlük Kurallarına Uygun Olma İlkesi Hukuka ve dürüstlük kuralına uygun olma, kişisel verilerin işlenmesinde kanunlarla ve diğer hukuksal düzenlemelerle getirilen ilkelere uygun hareket edilmesi zorunluluğunu ifade etmektedir. Dürüstlük kuralına uygun olma ilkesi uyarınca veri sorumlusu, veri işlemedeki hedeflerine ulaşmaya çalışırken, ilgili kişilerin çıkarlarını ve makul beklentilerini dikkate almalıdır. İlgili kişinin beklemediği ve beklemesinin de gerekmediği sonuçların ortaya çıkmasını önleyici şekilde hareket etmesi gerekmektedir. İlke uyarınca ayrıca ilgili kişi için söz konusu veri işleme faaliyetinin şeffaf olması ve veri sorumlusunun bilgilendirme ve uyarı yükümlülüklerine uygun hareket etmesi gerekmektedir. Hukuka ve dürüstlük kuralına uygun olma ilkesi, diğer ilkeleri de kapsayıcı bir özelliğe sahiptir. Hukuka uygunluk, genel olarak hukuk normlarına ve evrensel hukuk ilkelerine uygunluktur. Hukuka uygunluğun kapsamı geniştir, mevzuata uygunluk da buna dahildir. Örneğin, kanuna aykırı bir uygulama aynı zamanda hukuka aykırılığı beraberinde getirir. Dürüstlük kurallarına uygunluk ise hukukumuzda, Medeni Kanunun 2. maddesinde düzenlenen dürüstlük kuralının, kişisel veriler işlenirken ihlal edilmemesidir. Bu ilke kişisel veriler işlenirken, hakkın kötüye 45 kullanılmamasına ilişkin yasağa riayet edilmesini gerektirmektedir. Dürüstlük kuralı, kişilerin haklarını kullanırken güven kurallarına uygun ve makul bir kimseden beklenen şekilde davranılmasını ifade eder. Dürüstlük kuralının sınırları, her somut olayda objektif bir kimseden beklenecek davranışa göre belirlenir, kişilerin sübjektif durumu göz önüne alınmaz. Dürüstlük kuralına aykırılığın söz konusu olduğu durumlarda kişi hakkını kullanmakta ve bu hakkın sınırları içinde davranmakta, ancak hakkın amacına aykırı şekilde hareket etmektedir. Kişisel verilerin korunması açısından ise dürüstlük kuralı, kişilerin kendilerine veri işleme konusunda izin ya da emir veren hukuk kurallarına dayanarak gerçekleştirdikleri fiillerde, bu hukuk kuralının amacına göre mümkün olan en az miktarda veri işlemeleri, veri sahiplerinin öngöremeyeceği biçimde hareket etmemeleri gibi davranışları gerektirir. Veri işleyenlerin, veri sahiplerinin çıkarlarını ve makul beklentilerini göz önüne almaları dürüstlük kuralının gereğidir. Haklı bir gerekçe olmaksızın veri sahibinin özel hayatının gizliliğini, onurunu ihlal edecek şekilde veri işlenmesi şüphesiz bu ilkeye aykırılık teşkil edecektir. Örneğin, özel hayatın gizliliği çerçevesinde makul olmayan verinin, veri sahibinden talep edilmesi veya bunun veri sorumlusu tarafından dürüstlük kurallarına aykırı olarak işlenmesi bu ilkeye aykırıdır. Başka bir örnek de, müşteri bilgilerinin reklam amacıyla dürüstlük kuralına aykırı olarak kullanılmasıdır. Dürüstlük kuralı, veri korumanın diğer ilkeleri aracılığı ile somutlaştırılmıştır. Bu ilkelere riayet edilmeksizin veri işlenmesi, veriyi işleyen kişi hukuka uygun davranıyor olsa dahi, veri işlemenin dürüstlük kuralına aykırı olmasına sebep olacaktır. Bu ilkenin uygulanabilir olup olmadığının, öncelikle Anayasa’nın temel hak ve özgürlükler rejimi kapsamında değerlendirilmesi gerekir. Kişisel verilerin işlenmesi, kişinin temel haklarına müdahale edilmesi anlamına gelir ve bu müdahalenin dürüst ve hukuka uygun kabul edilebilmesi için, Anayasanın temel hak ve özgürlüklerin kısıtlanmasıyla ilgili düzenlemelerine uygun olması zorunludur. Hukuka uygunlukla ilgili vurgulanması gereken en önemli noktalardan biri, bu kavramın tüm hukuk sistemini kastettiğidir. Bir veri işlemenin kanun tarafından izin verilmiş, hatta emredilmiş olması 46 onun hukuka uygun olduğuna karinedir. Özel hayatın gizliliğini, Anayasaya uygun olmayan şekilde sınırlayan kanunlara dayanarak yapılan veri işleme faaliyetleri, hukuka uygunluk kriterini karşılamayacaktır. b. Doğru ve Gerektiğinde Güncel Olma İlkesi Kişisel verilerin doğruluğunun ve güncelliğinin önemini vurgulayan bu ilke ile Kanunda öngörülen ilgili kişinin verilerin düzeltilmesini talep etme hakkı uyumludur. Kişisel verilerin doğru ve güncel bir şekilde tutulması, veri sorumlusunun çıkarına uygun olduğu gibi ilgili kişinin temel hak ve özgürlüklerinin korunması açısından da gereklidir. Kişisel verilerin doğru ve gerektiğinde güncel olmasının sağlanması noktasında aktif özen yükümlülüğü; veri sorumlusu eğer bu verilere dayalı olarak veri sahibiyle ilgili bir sonuç yaratıyor ise geçerlidir (örneğin kredi verme işlemleri). Bunun dışında veri sorumlusu her zaman veri sahibinin bilgilerini doğru ve güncel olmasını temin edecek kanalları açık tutmalıdır. Kişilerin, güncel olmayan veya yanlış tutulan kişisel verileri nedeniyle maddi ve manevi zarar görmesi mümkündür. Örneğin bir kişinin veri sorumlusunun sisteminde kayıtlı telefon numarasının doğru olmaması ya da artık ilgili kişi tarafından kullanılmıyor oluşu, o kişiye ilişkin gerçek bir veriyi yansıtmadığından hatalı sonuçların ortaya çıkmasına neden olabilmektedir. Yine, adres bilgisi yanlış kaydedilen bir kişinin kendisine ait tebligatları zamanında alamaması veya yanlış bir kişiye tebliğ edilmesi durumlarında ilgili kişi maddi ve manevi zarar görebilir. Bu ilke, ilgili kişinin haklarını koruduğu gibi, veri sorumlusunun da menfaatlerine yöneliktir. Kişisel verilerin doğru ve güncel tutulabilmesini teminen; kişisel verilerin elde edildiği kaynaklar belirli olmalı, kişisel verilerin toplandığı kaynağın doğruluğu test edilmeli, kişisel verilerin doğru olmamasından kaynaklı talepler göz önünde bulundurulmalı ve bu kapsamda makul önlemler alınmalıdır. 47 c. Belirli, Açık ve Meşru Amaçlar İçin İşlenme İlkesi Bu ilke veri sorumlusunun, veri işleme amacını açık ve kesin olarak belirlemesini ve bu amacın meşru olmasını zorunlu kılmaktadır. Veri sorumlularının, ilgili kişiye belirttikleri amaçlar dışında, başka amaçlarla veri işlemeleri halinde, bu fiillerinden dolayı sorumlulukları doğacaktır. Amacın meşru olması, veri sorumlusunun işlediği verilerin, yapmış olduğu iş veya sunmuş olduğu hizmetle bağlantılı ve bunlar için gerekli olması anlamına gelmektedir. Örneğin, bir hazır giyim mağazasının, müşterilerinin kimlik ve iletişim bilgilerini işlemesi meşru amaç kapsamındayken, kan gruplarını işlemesi meşru amaç kapsamında değerlendirilemeyecektir. Kişisel verileri işleme amaçlarının sadece veri sorumlusu bakımından bilinmesi ya da tahmin edilebilir olması bu ilkeye aykırıdır. Bu itibarla, kişisel veri işleme amaçlarının açıklandığı hukuki işlem ve metinlerde (açık rıza, aydınlatma, veri sahibinin başvurularını yanıtlama, veri sorumlusu siciline olan başvuru) belirlilik ve açıklık ilkesine uyumda hassasiyet gösterilmeli, teknik-hukuki terminoloji kullanımından kaçınılmalıdır. Bu esasa uygun davranma aynı zamanda dürüstlük ilkesine uyum bakımından da önemlidir. d. Kişisel Verilerin, İşlendikleri Amaçla Bağlantılı, Sınırlı ve Ölçülü Olması İlkesi İşlenen verilerin belirlenen amaçların gerçekleştirilebilmesine elverişli olması, amacın gerçekleştirilmesiyle ilgili olmayan veya ihtiyaç duyulmayan kişisel verilerin işlenmesinden kaçınılmasını gerektirmektedir. Yine, sonradan ortaya çıkması muhtemel ihtiyaçların karşılanmasına yönelik olarak veri işlenmesi yoluna gidilmemelidir. Çünkü muhtemel ihtiyaçlara yönelik veri işlenmesi, yeni bir veri işlenmesi anlamına gelecektir. Bu durumda, Kanunun 5. maddesinde düzenlenmiş olan kişisel verilerin işlenme şartlarından birinin gerçekleşmesi gerekecektir. Ayrıca işlenen veri, sadece amacın gerçekleştirilmesi için gerekli olan kişisel verilerle sınırlı tutulacaktır. Amaç için gerekli olanın dışında veri işlenmesi, sınırlı tutulma ilkesine aykırılık teşkil edecektir. Burada önemli olan, amacı gerçekleştirmeye yönelik yeterli verinin temin edilmesi, bunun dışındaki amaç için gerekli olmayan veri işlemeden kaçınılmasıdır. Mevcutta olmayan ve sonradan gerçekleşmesi düşünülen amaçlarla kişisel veri toplanmamalı veya işlenmemelidir. Örneğin, bankacılık 48 işlemleri için sağlık bilgilerinin ya da seyahat için finansal bilgilerin, tapu işlemleri için mesleki bilgilerin işlenmesi amaçla sınırlılık ilkesine aykırılık teşkil edecektir. Ölçülülük ilkesi, veri işleme ile gerçekleştirilmesi istenen amaç arasında makul bir dengenin kurulması anlamına gelmektedir. Yani, veri işlemenin amacı gerçekleştirecek ölçüde olması demektir. Örneğin, kredi kartı başvurusunda bulunan kişiden sosyal hayatına ve sosyal faaliyetlerine yönelik tercihleri konusunda bilgi talebinde bulunulması ölçülülük ilkesine aykırılık teşkil edecektir. e. İlgili Mevzuatta Öngörülen veya İşlendikleri Amaç İçin Gerekli Olan Süre Kadar Muhafaza Edilme İlkesi Kişisel verilerin “amaçla sınırlılık ilkesi” nin bir gereği olarak işlendikleri amaç için gerekli olan süreye uygun olarak muhafaza edilmesi gerekir. Bu konuda, veri sorumlusu, idari ve teknik tedbirleri almakla yükümlüdür. Kanunun 12. maddesinde de belirtildiği gibi veri sorumlusu; kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, kişisel verilere hukuka aykırı olarak erişilmesini önlemek ve kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır. Bununla ilgili olarak veri sorumlusu, kişisel veri saklama politikası ve esaslarını oluşturmak, saklama süreleri ve muhafazada uygulamaya alınacak teknik ve idari tedbirleri belirlemek ve kişisel verilerin bu esaslara uygun olarak muhafazasını sağlamakla yükümlüdür. Kişisel verilerin saklanması için amaçla sınırlılık ilkesi uyarınca veri sorumlusu tarafından belirlenen saklama sürelerinin yanı sıra, veri sorumlusunun tabi olduğu ilgili mevzuat kapsamında da belirlenmiş saklama süreleri mevcuttur. Buna göre; veri sorumluları, ilgili kişisel veriler için mevzuatta öngörülmüş bir süre varsa bu süreye riayet edecek; eğer böyle bir süre öngörülmemişse verileri ancak işlendikleri amaç için gerekli olan süre kadar saklayabilecektir. Bir verinin daha fazla saklanması için geçerli bir sebep bulunmaması halinde, o veri silinecek, yok edilecek ya da anonim hale getirilecektir. İleride tekrar 49 kullanılabileceği düşünülerek ya da herhangi bir başka gerekçe ile kişisel verilerin muhafaza edilmesi yoluna gidilemeyecektir. Ayrıca veri sorumlusu, Kanunun 16. maddesi uyarınca sicile kayıt için başvuru yaparken kişisel verilerin işlenme amacı için gerekli azami süreyi bildirmek zorundadır. Şayet mevzuat kapsamında öngörülen bu sürelere uyum için yapılan saklama faaliyetleri veri sorumlusu tarafından belirlenen saklama sürelerini aşıyorsa, bu faaliyetler yalnızca ilgili mevzuatta belirtilen yükümlülükleri yerine getirmekle sınırlı bir saklama ve işleme faaliyeti olarak yürütülmelidir. Hem veri sorumlusunun hukuki yükümlülükleri gereği tabi olduğu mevzuat kapsamında öngörülen sürelerin, hem de veri sorumlusunun belirlediği saklama sürelerinin aşılması durumunda, kişisel verilerin veri sorumlusu tarafından bu yönde oluşturduğu politika hükümlerine göre silinmesi, yok edilmesi veya anonimleştirilmesinin temin edilmesi gerekir. F. KİŞİSEL VERİLERİN İŞLENME ŞARTLARI Kişisel verilerin işlenmesi, Kanunun 3. maddesinde tanımlanmıştır. Buna göre; kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem, kişisel verilerin işlenmesi olarak kabul edilmiştir. Kişisel verilerin işlenebilmesi için ilke olarak, verisi işlenen gerçek kişinin açık rızasının alınması gerekir. Dolayısıyla, açık rıza alınmadan kişisel verinin işlenmesi bazı istisnalar dışında hukuka aykırılık teşkil etmektedir. Kanunun “Tanımlar” başlıklı 3. maddesinde açık rıza; “belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza” şeklinde tanımlanmıştır. Kanunda rızanın açık olması gerektiği belirtildiği için ilgili kişinin sessiz kalması onaylama şeklinde anlaşılamaz. Kişisel veriler kural olarak ilgili kişinin açık rızası ile işlenebilecektir. Ancak ilgili kişinin açık rızası alınmadan kişisel verilerin işlenebileceği durumlar, yani hukuka uygunluk 50 halleri, Kanunda sınırlı sayıda sayılmış olup, bu şartlar genişletilemez. Kişisel veri işleme faaliyeti, Kanunda belirtilen hukuki şartlardan en az birini karşılamıyorsa, o faaliyetin devamı için kişinin açık rızasının alınması gerekir. Kişisel verilerin işlenme şartları her bir kişisel veri işleme faaliyetinin amacının Kanun bakımından hukuki dayanağını oluşturmaktadır. Kişisel veri işleme faaliyetinin amacında birden fazla sayıda kişisel veri işleme şartı bulunabilir. Örneğin, maaş bordrosu düzenlemek amacıyla çalışanların kişisel verilerinin işlenmesi faaliyetinin hukuki dayanağı, kişisel veri işleme şartlarından sözleşmenin ifası ve veri sorumlusunun hukuki yükümlülüğünün yerine getirilmesidir. Kişisel verilerin ilgili kişinin rızası alınmaksızın işlenmesi aşağıdaki hallerde mümkündür: 1. Kanunlarda Açıkça Öngörülmesi Bu duruma örnek olarak Kanunun gerekçesinde belirtildiği gibi kolluk tarafından bir suç soruşturması sebebiyle, 2559 sayılı Polis Vazife ve Salahiyet Kanununun 5. maddesi uyarınca şüphelilerin parmak izlerinin alınması; 5352 sayılı Adli Sicil Kanunu uyarınca Adalet Bakanlığının kişilerin ceza mahkûmiyetlerine ilişkin verilerini işlemesi verilebilir. Buna ek olarak çalışan bilgilerinin sosyal güvenlik mevzuatı gereği kaydedilmesi örneği de verilebilmektedir. 2. Fiili İmkânsızlık Kişisel verilerin işlenmesinin, fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda olan kişinin veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması halinde ilgili kişinin kişisel verileri rızası aranmaksızın işlenebilecektir. Bu duruma örnek olarak kişinin bilincinin yerinde olmadığı veya akıl hastası olması sebebiyle rızasının geçerli olmadığı bir durumda, hayat veya beden bütünlüğünün korunması amacıyla, tıbbi müdahale anında kişinin kan grubu, geçirdiği hastalıklar ve ameliyatlar, 51 kullandığı ilaçlar gibi bilgilerin edinilmesi ve ilgili sağlık sistemi üzerinden kişisel verilerin işlenebilmesi halleri verilebilir. Kanuna göre fiili imkânsızlık halinde, kişisel verilerin işlenebilmesi için ilgili kişinin veya üçüncü bir kişinin hayatı veya beden bütünlüğünün korunması bakımından zorunluluk bulunmalıdır. Örneğin, hürriyeti kısıtlanan bir kişinin kurtarılması amacıyla kendisinin veya şüphelinin taşımakta olduğu telefon, bilgisayar, kredi kartı, banka kartı veya diğer teknik bir araç üzerinden yerinin belirlenmesi için bu verilerin işlenmesi gibi. 3. Sözleşmenin Kurulması ve İfası İçin Gerekli Olması Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla sözleşmenin taraflarına ait kişisel verilerin işlenmesinin zorunlu olması durumunda hayatın olağan akışı gereği ilgili kişilerin ayrıca bu amaçla sınırlı olmak üzere kişisel verilerinin işlenmesi için rızalarının alınmasına gerek yoktur. Bu duruma örnek olarak maddenin gerekçelerinde de belirtildiği üzere yapılan bir sözleşme gereği paranın ödenmesi için alacaklı tarafın hesap numarasının alınması veya bir bankayla kredi sözleşmesi yapılması sırasında bankanın, o kişiye ait maaş bordrosunu, tapu kayıtlarını, icra borcu olmadığına dair belgeyi edinmesi halleri gösterilebilir. Bunun dışında sözleşme gereği satıcının, malı teslim borcunu yerine getirmesi için alıcının adresini kaydetmesi ya da işverenin maaş ödemesini gerçekleştirmek amacıyla çalışanların banka bilgilerini elinde bulundurması, operatör aboneliklerinde kişilerin kimlik bilgilerinin alınması da bu kapsama dâhil edilebilecektir. 4. Veri Sorumlusunun Hukuki Yükümlülüğünü Yerine Getirebilmesi İçin Zorunlu Olması Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için veri işlenmesinin zorunlu olduğu hallerde ilgili kişinin açık rızası aranmaz. Bu duruma örnek olarak bir şirketin çalışanına maaş ödeyebilmesi için, banka 52 hesap numarası, evli olup olmadığı, bakmakla yükümlü olduğu kişiler, eşinin çalışıp çalışmadığı, sosyal sigorta numarası gibi verileri elde etmesi ve işlemesi durumları verilebilir. Bir başka örnek olarak, işverenin vergi denetimi sırasında çalışanlarına veya müşterilerine ait bilgileri ilgili kamu görevlilerinin incelemesine sunması gösterilebilir. 5. Kişisel Verilerin İlgili Kişi Tarafından Alenileştirilmiş Olması İlgili kişinin kendisi tarafından alenileştirilen, bir başka ifadeyle herhangi bir şekilde kamuoyuna açıklanmış olan kişisel verileri işlenebilecektir. Bu duruma örnek olarak ise bir kişinin belirli durumlarda kendisiyle iletişime geçilmesi amacıyla iletişim bilgilerini kamuya açık şekilde ilan etmesi verilebilir. Kurumsal internet sitelerinde, çalışanların işyeri telefon numaraları ve kurumsal elektronik posta adreslerinin üçüncü kişilerin erişimine açık şekilde paylaşılması halinde de alenileştirmeden söz edilebilir. 6. Kişisel Verilerin İşlenmesinin Bir Hakkın Tesisi, Kullanılması veya Korunması İçin Zorunlu Olması Kişisel verilerin işlenmesinin bir hakkın tesisi, kullanılması veya korunması için zorunlu olması halinde ilgili kişinin açık rızası aranmaz. Örneğin, bir şirketin kendi çalışanı tarafından açılan bir davada ispat için bazı verileri kullanması veya kısıtlı bir kişinin haklarının korunması amacıyla vasinin veya kayyumun, kısıtlının mali bilgilerini tutması veya sözleşme sona erdikten sonra, olası yasal takiplere karşı zamanaşımı süresinin sonuna kadar fatura/ sözleşme/kefaletname gibi belgelerin bu amaçlar için saklanması, hukuka uygunluk kapsamına dâhil edilecektir. 53 7. Veri İşlemenin İlgili Kişinin Temel Hak ve Özgürlüklerine Zarar Vermemek Kaydıyla Veri Sorumlusunun Meşru Menfaatleri İçin Zorunlu Olması a. Genel Olarak Kanunun 5.maddesinin 2. fıkrasının (f) bendinde düzenlenen; ilgili kişinin temel hak ve özgürlüklerinin zarar vermemek kaydı ile veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması durumunda, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesi mümkündür. Bazı durumlarda veri sorumlusunun meşru menfaati bakımından veri işleme söz konusu olabilmektedir. Madde gerekçesinde, bir şirket sahibinin, çalışanlarının temel hak ve özgürlüklerine zarar vermemek kaydıyla, onların terfileri, maaş zamları yahut sosyal haklarının düzenlenmesinde ya da işletmenin yeniden yapılandırılması sürecinde görev ve rol dağılımında esas alınmak üzere çalışanların kişisel verilerini işleyebilmesine yer verilerek çalışanların terfi alması veya şirketin yeniden yapılandırılması şirket sahibinin meşru menfaati kapsamına alınmıştır. Ayrıca, kişisel verilerin korunmasına ilişkin temel ilkelere uyulması ve veri sorumlusu ile ilgili kişinin menfaat dengesinin gözetilmesi gerektiği de ifade edilmiştir. Buna ek olarak, bir şirketin satılması, devralınması veya ortaklık yapısının değişmesi gibi bir durum söz konusu olduğunda, şirketi satın alacak kişinin, şirketin güncel durumuna hakim olabilmek amacıyla içinde kişisel verilerin de bulunduğu bir takım bilgileri ölçülü ve gerekli güvenlik önlemleri alınarak incelemesi halleri de meşru menfaat kapsamına alınabilecektir. Ancak burada dikkat edilmesi gereken husus, veri sorumlusunun meşru menfaatinin Kanunun amacı ve ruhuna uygun olarak yorumlanmasıdır. Veri sorumlusunun meşru menfaati, gerçekleştirilecek olan işlenme sonucunda elde edeceği çıkara ve faydaya yöneliktir. Veri sorumlusunun elde edeceği fayda; meşru, ilgili kişinin temel hak ve özgürlüğü ile yarışabilecek yeteri düzeyde etkin, belirli ve halihazırda mevcut olan bir menfaatine ilişkin olmalıdır. Veri sorumlusunun gerçekleştirdiği güncel aktivitelerle ilişkili ve ona yakın gelecekte fayda sağlayacak bir işlem olması gerekmektedir. 54 Veri sorumlusunun meşru menfaatinin olmasının yanı sıra, ilgili kişinin temel hak ve özgürlüklerinin tehlikeye atılmaması ve bu bağlamda kişisel verilerin işlenmesinin beklenen bir durum olması gerekmektedir. Dolayısıyla, veri sorumlusunun meşru menfaati olup olmadığı belirlendikten sonra, kişisel verisi işlenecek olan ilgili kişinin temel hak ve özgürlüklerinin neler olduğunun tespiti gereklidir. Buna göre, veri sorumlusunun meşru menfaati çok güçlü ve etkin olmadığı takdirde, ilgili kişinin hak ve menfaatleri, veri sorumlusunun meşru ancak daha az öneme sahip menfaatinden daha üstün gelebilecektir. Bu doğrultuda, ele alınacak olan meşru menfaat ciddi, önemli ve hali hazırda mevcut olmalıdır. b. Kanunun 5. Maddesinin 2. Fıkrasının (f) Bendinde Yer Alan Şartın Uygulanması İçin Yapılacak Olan Değerlendirme Öncelikle belirtmek gerekir ki; Kanunun 5. maddesinin 2. fıkrasının (f) bendi, maddede yer alan diğer haller uygulanamadığı takdirde başvurulacak son çare olmadığı gibi her şeyi kapsamına dâhil edebilecek ve tüm kişisel verilerin işlenmesine ilişkin işlemleri kanuni hale getirecek bir düzenleme değildir. Bu hükmün uygulanabilmesi için yarışan menfaatler arasında yapılacak olan değerlendirme sonucunda kişisel verilerin belirtilen bent hükmü kapsamında işlenip işlenemeyeceğine karar verilmesi gerekmektedir. Dolayısıyla ilgili bent hükmü, veri işlenmesine ilişkin sınırsız bir hak olarak değerlendirilemez. Aksine, madde kapsamında belirtilen veri sorumlusunun menfaati ile ilgili kişinin temel hak ve özgürlükleri arasında makul bir denge sağlanmasını gerektirmektedir. Bu hükmün uygulanabilmesi iki aşamalı bir değerlendirmeyi gerektirmektedir. Yapılacak olan ilk değerlendirmede veri sorumlusunun meşru menfaatinin varlığı tespit edilmelidir. Ancak bu değerlendirme yapılırken veri sorumlusunun meşru menfaati ile kişisel verileri işleme amacı birbirine karıştırılmamalıdır. Bu iki terim birbiriyle ilişkili olsa dahi farklı anlama gelmektedir. Kişisel verileri işleme amacı, özel olarak verinin işlenme sebebiyle ilgilidir. Ancak veri sorumlusunun meşru menfaati daha geniş yorumlanmalıdır. Veri sorumlusunun meşru menfaati, gerçekleştirilecek olan işlenme sonucunda elde edeceği faydaya yöneliktir. Veri sorumlusunun elde edeceği fayda; meşru, ilgili kişinin temel hak ve özgürlüğü ile yarışabilecek 55 düzeyde etkin, belirli ve halihazırda mevcut olan bir menfaatine ilişkin olmalıdır. Bu kapsamda, öncelikle değerlendirilmesi gereken hususlar arasında; veri sorumlusunun meşru menfaati, ilgili kişi üzerinde kişisel verinin işlenmesinin yaratacağı etki, duruma ve olayın mahiyetine göre farklılık gösterecek olan dengeler (üstün gelen menfaatin ve hakkın değerlendirilmesi) ve ilgili kişinin haklarına zarar gelmemesi için veri sorumlusunun alacağı ek koruyucu tedbirler bulunmaktadır. G. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENME ŞARTLARI Kanun, bazı kişisel verilere özel bir önem atfetmekte ve bu verilerle ilgili farklı bir düzenleme getirmektedir. Kanun bunları özel nitelikli kişisel veri ya da hassas veriler olarak kabul etmektedir. Özel nitelikli kişisel veriler (hassas veriler), sahibinin açık rızası olmaksızın işlenemez. Kanun özel nitelikli kişisel verilerin sınırlı hallerde, veri sahibinin açık rızası olmaksızın işlenebileceğini kabul etmiştir. Kanun, özel nitelikli kişisel veriler arasında da bir ayrım yapmıştır. Buna göre sağlık ve cinsel hayata ilişkin kişisel verilerin işlenmesi ile bunlar dışındaki özel nitelikli kişisel verilerin, rıza olmaksızın işlenebileceği halleri farklı düzenlemiştir. Kanunda özel nitelikli kişisel veriler, sınırlı sayma yoluyla belirlenmiştir. Bunlar; kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileridir. Özel nitelikli kişisel verilerin kıyas yoluyla genişletilmesi mümkün değildir. Özel nitelikli kişisel veriler, işlenmeleri halinde sahipleri hakkında ayrımcılık yapılmasına veya mağduriyete neden olma riski taşıyan verilerdir. Bu nedenle, diğer kişisel verilere göre çok daha sıkı şekilde korunmaları gerekmektedir. Öte yandan, tüm temel hak ve özgürlüklerde olduğu gibi, bu koruma mutlak değildir ve diğer hak ve özgürlükler lehine sınırlanabilir. 56 Bu sınırlamanın Anayasanın 13. maddesinde belirtilen esaslara uygun olarak gerçekleştirilmesi gerekmektedir. Bu nedenle, özel nitelikli kişisel verilerin işlenmesinin tam olarak hangi durum ve şartlara uyularak gerçekleştirilebileceği Kanunda öngörülmüştür. Nitekim yaşam hakkı, ifade özgürlüğü, haberleşme özgürlüğü gibi birçok temel hak ve özgürlüğün kullanılması, özel nitelikli kişisel verilerin işlenmesini zorunlu kılmaktadır. Örneğin; tehlikeli ve/veya sağlığa zararlı şartlar altında çalışmakta olan kimselerin sağlık verilerinin işveren tarafından kaydedilmesi ve gerektiğinde ilgili kurum ve kuruluşlar ile paylaşılması kanuni bir zorunluluktur. Bu bakımdan, özel nitelikli kişisel verilerin işlenmesinin mutlak bir yasak olarak kabul edilmesi mümkün değildir. Kanuna göre açık rıza halinde özel nitelikli kişisel veriler işlenebilir. Ayrıca Kanuna göre, özel nitelikli kişisel verilerin işlenmesi, ilgili kişinin açık rızası dışında aşağıdaki hallerde de mümkündür: • Kanunlarda öngörülen hallerde, • Sağlık ve cinsel hayata ilişkin kişisel veriler, ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından işlenebilir. İlgili kişinin rızası olmasa bile kanunlarda açıkça öngörülen hallerde özel nitelikli kişisel veriler işlenebilecektir. Örneğin, askerlik yapacak kişilerin bazı özel sağlık bilgilerinin ilgili Kanun hükümleri uyarınca işlenmesi, yine hastanelerin, eczanelerin ya da Sosyal Güvenlik Kurumu’nun hastalarla ilgili veri işlemesi bu kapsamda değerlendirilecektir. Belirtmek gerekir ki, sağlık ve cinsel hayat dışındaki özel nitelikli kişisel veriler, kanunlarda öngörülen hallerde ilgili kişinin açık rızası aranmaksızın işlenebilecektir. Ayrıca Kanunda ile özel nitelikli kişisel verilerin işlenmesi bakımından, Kurul tarafından belirlenen yeterli önlemlerin alınması şartı getirilmiştir. 57 H. KİŞİSEL VERİLERİN SİLİNMESİ, YOK EDİLMESİ VE ANONİM HALE GETİRİLMESİ Kanunun 7. maddesinde, kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesi düzenlenmiştir. Buna göre, kişisel verilerin hukuka uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde bu veriler, resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinir, yok edilir veya anonim hâle getirilir. Buna göre; • Kişisel verileri işlemeye esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası, • Taraflar arasındaki sözleşmenin hiç kurulmamış olması, sözleşmenin geçerli olmaması, sözleşmenin kendiliğinden sona ermesi, sözleşmenin feshi veya sözleşmeden dönülmesi, • Kişisel verilerin işlenmesini gerektiren amacın ortadan kalkması, • Kişisel verileri işlemenin hukuka veya dürüstlük kuralına aykırı olması, • Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin rızasını geri alması, • İlgili kişinin, Kanunun 11. maddesinin (e) ve (f) bentlerindeki hakları çerçevesinde kişisel verileri işleme faaliyetine ilişkin yaptığı başvurunun veri sorumlusu tarafından kabul edilmesi, • Veri sorumlusunun, ilgili kişi tarafından kişisel verilerinin silinmesi veya yok edilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabın yetersiz bulunması veya Kanunda öngörülen süre içinde cevap vermemesi hallerinde; Kurula şikayette bulunulması ve bu talebin Kurul tarafından uygun bulunması, • Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olmasına 58 rağmen, kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması, • Kanunun 5 ve 6. maddelerindeki kişisel verilerin işlenmesini gerektiren şartların ortadan kalkması. hallerinde kişisel verilerin silinmesi, yok edilmesi ya da anonim hâle getirilmesi gerekir. İşlenmesini gerektiren sebeplerin ortadan kalktığı kişisel verileri silmek, yok etmek veya anonim hale getirmek veri sorumlusunun yükümlülüklerindendir. Bunun için ilgili kişinin başvurusu şart değildir. Bununla birlikte, veri sorumlusunun ihmali durumunda verileri işlenen kişinin ilgili verilerin yok edilmesini, silinmesini veya anonim hale getirilmesini talep etme hakkı bulunmaktadır. Ayrıca; • Kanunun yayımı tarihinden önce işlenmiş olan kişisel veriler, yayımı tarihinden itibaren iki yıl içinde bu Kanun hükümlerine uygun hâle getirilir, • Kanun hükümlerine aykırı olduğu tespit edilen kişisel veriler derhâl silinir, yok edilir veya anonim hâle getirilir, • Kanunun yayımı tarihinden önce hukuka uygun olarak alınmış rızalar, bir yıl içinde aksine bir irade beyanında bulunulmaması hâlinde, Kanuna uygun kabul edilir. Silinme; tamamen veya kısmen otomatik yollarla işlenen kişisel verilerin silinmesi söz konusu kişisel verilerin ilgili kullanıcılar tarafından hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi işlemidir. Buna göre veriler, kayıtlı oldukları evrak, dosya, CD, disket, hard disk gibi materyallerden erişilemez ve tekrar kullanılamaz hale getirilecektir. Yok etme; bilgilerin saklandığı veri saklamaya elverişli tüm fiziksel kayıt ortamlarının tekrar geri getirilemeyecek ve kullanılamayacak hale getirilmesidir. Verilerin yok edilmesiyle, bilgilerin tekrar geri getirilemeyecek ve kullanılamayacak şekilde, verilerin kaydedildiği evrak, dosya, CD, disket, hard disk gibi veri saklamaya elverişli materyallerin imha edilmesi ifade edilmektedir. 59 Verilerin anonim hale getirilmesi (anonimleştirme) ise, Kanunun 3. maddesinde kişisel verilerin başka verilerle eşleştirilerek dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi şeklinde tanımlanmıştır. Örneğin, daha önce kimliği belirli olan kişilere ilişkin verilerin, sonradan oluşturulan anketlerde, kişi bilgisine yer verilmeksizin açıklanması ya da bir mağazaya ilişkin müşteri bilgilerinin kadın ve erkek şeklinde ve oran belirtilerek verilmesi gibi. Belirtmek gerekir ki, işlenmesini gerektiren sebeplerin ortadan kalkması durumunda kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi, kişisel verilerin işlenmesine hâkim olan genel ilkelerin doğal bir sonucudur. Yukarıda belirtildiği üzere, Kanunun 4. maddesinde kişisel verilerin, ancak ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilebileceği öngörülmüştür. Kişisel verilerin muhafazası için herhangi bir meşru amaç kalmadığında bu verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi bir zorunluluktur. Maddenin ikinci fıkrasıyla, kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin diğer kanunlarda yer alan hükümlerin saklı tutulması öngörülmektedir. Bu kapsamda, örneğin Adli Sicil Kanunu’nda verilerin silinmesini veya yok edilmesini düzenleyen hükümler Kanuna göre öncelikli olarak uygulanacaktır. I. KİŞİSEL VERİLERİN AKTARILMASI Kişisel verilerin aktarılması, Kişisel Verilerin Korunması Kanunu’nda iki başlık altında ele alınmıştır. Kanunun, 8. maddesinde verilerin aktarılmasına ilişkin hükümlere, 9. maddesinde ise kişisel verilerin yurtdışına aktarılmasına ilişkin hükümlere yer verilmiştir. Belirtilen maddeler kapsamında hem kişisel, hem de özel nitelikli kişisel veriler yer almaktadır. Kanunda yer alan düzenlemelere istinaden, verilerin hukuka uygun bir şekilde aktarılabilmesi için belirtilen maddelerde yer alan şartların yerine getirilmiş olması gerekir. 60 1. Kişisel Verilerin Yurt İçinde Aktarılması a. Genel Olarak Kanunda belirtilen genel ilkeler çerçevesinde işlenmek üzere elde edilen kişisel verilerin, 8. madde hükmü uyarınca ilgili kişisinin açık rızası alınmak suretiyle üçüncü kişilere aktarılabileceği hükme bağlanmıştır. Kanun, kişisel verilerin işlenmesi ile bu verilerin yurt içinde aktarılması bakımından aynı şartları aramaktadır. Bu maddede ayrıca ilgili kişinin açık rızası aranmaksızın, kişisel verilerin üçüncü kişilere aktarılabileceği koşullar belirtilmiştir. Başka bir ifadeyle 5. madde ve 6. maddede düzenlenen verilerin hukuka uygun şekilde işlenebilmesi için belirtilen şartların yerine getirilmesi, verilerin doğrudan üçüncü kişilere aktarılabileceği anlamına gelmemektedir. Aksine, verilerin aktarılabilmesi için ilgili kişinin açık rızasının alınması gerektiği; açık rızasının alınamadığı hallerde ise maddenin 2. fıkrasında yer alan şartların yerine getirilmesi gerektiği belirtilmiştir. 8. maddenin 2. fıkrası çerçevesinde kişisel verilerin aktarılması; • Kanunlarda açıkça öngörülmesi, • Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması, • Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması, • Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması, • İlgili kişinin kendisi tarafından alenileştirilmiş olması, • Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması, • İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri 61 sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması hallerinde mümkündür. 8. maddenin 2. fıkrası çerçevesinde özel nitelikli kişisel veriler bakımından Kanun, özel nitelikli kişisel verilerin yurt içinde aktarılması için açık rıza aranması gerektiğini öngörmektedir. Açık rızasının alınamadığı hallerde ise, maddenin ikinci fıkrasının (b) bendinde yer alan şartların yerine getirilmesi gerektiği belirtilmiştir. Buna göre; • Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri, yeterli korumanın alınmış olması koşuluyla kanunda açıkça öngörülmesi halinde üçüncü kişilere aktarılabilecektir. • Kişilerin, sağlık ve cinsel hayata ilişkin kişisel verileri ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın üçüncü kişilere aktarılabilecektir. Ayrıca, Kanunun 8. maddesinin 3. fıkrasında, kişisel verilerin üçüncü kişilere aktarılmasına ilişkin diğer kanunlarda yer alan hükümlerin saklı olduğu hüküm altına alınmaktadır. b. Verilerin Aktarılacağı Üçüncü Kişi Kişisel verilerin yalnızca gerçek kişilere ait veriler olabilmesinin aksine, “veri sorumlusu” ve “veri işleyen” hem gerçek hem de tüzel kişi olabilmektedir. Kişisel veriler üzerinde işlem gerçekleştiren her türlü gerçek veya tüzel kişi, veri işlenmesine ilişkin amaç ve yöntemlerine göre ya veri sorumlusu ya da veri işleyendir. Bu bağlamda, söz konusu iki kategorideki kişiler arasında gerçekleştirilecek her türlü veri aktarımı için Kanunun 8. maddesinde yer alan düzenlemelere uyulması gerekmektedir. Diğer taraftan, yurt dışında veri aktarımı ise Kanunun 9. maddesi kapsamında düzenlenmiştir. 62 Yurt içinde üçüncü kişiye veri aktarımı ile ilgili ortaya çıkabilecek bazı hususlar şu şekildedir: Veri sorumlusu sıfatına sahip bir tüzel kişiliğin bünyesinde gerçekleşen veri aktarımı, üçüncü kişiye yapılan aktarımlar olarak değerlendirilemez. Kişiler, kişisel verilerini bir tüzel kişi ile paylaştıklarında, tüzel kişilik veri sorumlusu sıfatına sahip olmaktadır. Tüzel kişiliğin bünyesinde faaliyet gösteren çalışanlar veya farklı birimler arasında verilerin el değiştirmesi, bu anlamda üçüncü kişiye aktarım olarak değerlendirilemez. Bir şirketler topluluğu altında yer alan farklı şirketler arasında veri aktarımı gerçekleştirilmesi ise üçüncü kişiye veri aktarımı yapılması anlamına gelmektedir. Bir tüzel kişi bünyesinde farklı birimler arasında veri paylaşımı yapılmasının aksine, aynı şirketler topluluğu bünyesinde yer alan farklı tüzel kişiler arasında veri aktarımı gerçekleştirilmesi, 8. madde uyarınca üçüncü kişiye veri aktarımı kapsamına girecektir. Kamu kurum ve kuruluşları arasında ve/veya kamu kurum ve kuruluşları ile gerçek kişiler ve özel hukuk tüzel kişileri arasında gerçekleşecek veri aktarımları da Kanunun 8. maddesi kapsamında değerlendirilecektir. Kamu kurum ve kuruluşları, kanunların kendilerine verdiği görev ve yetkileri çerçevesinde, gerek kamu kurumlarından gerekse özel hukuk kişilerinden çeşitli kişisel veriler toplamaktadır. Bu çerçevede gerçekleştirilen veri aktarımları da Kanunun 8. maddesinin uygulama alanına girmektedir. Örneğin, kadrolara uygunluğun değerlendirilmesi, tayin işlemlerinin gerçekleştirilmesi ya da emeklilik işlemlerinin gerçekleştirilmesi gibi. 2. Kişisel Verilerin Yurtdışına Aktarılması Kanunun 9. maddesine göre, yurt dışına veri aktarımı; • İlgili kişinin açık rızasının bulunması, • Kanunda belirtilen hallerin varlığında (Kanunun 5. maddesinin 2. fıkrası ile 6. maddesinin 3. fıkrasında belirtilen şartlar) veri aktarılacak ülkede yeterli korumanın bulunması (Kurul tarafından güvenli kabul edilen ülkeler), 63 • Kanunda belirtilen hallerin varlığında (Kanunun 5. maddesinin 2. fıkrası ile 6. maddesinin 3. fıkrasında belirtilen şartlar) veri aktarılacak ülkede yeterli korumanın bulunmaması halinde (Kurul tarafından güvenli kabul edilmeyen ülkeler), yeterli korumanın yazılı olarak taahhüt edilmesi ve Kurulun izninin bulunması durumlarında gerçekleştirilebilir. Mevzuata uygun bir şekilde Kanunun 4. maddesinde belirtilen genel ilkeler çerçevesinde işlenmek üzere elde edilen kişisel verilerin 9. madde hükmü uyarınca ilgili kişisinin açık rızası alınmak suretiyle yurt dışına aktarılabileceği hükme bağlanmıştır. Kanun, kişisel verilerin işlenmesi ile bu verilerin yurt dışına aktarılması bakımından aynı şartları aramaktadır. Ayrıca kişisel verilerin yurt dışına aktarılmasında ek tedbirlerin alınmasını öngörmüştür. Kişisel verilerin aktarılacağı ülkede yeterli korumanın bulunması halinde ise, 9. maddenin 2. fıkrası çerçevesinde kişisel veriler açık rıza olmaksızın yurt dışına aktarılabilecektir. Kanun, yurt dışına veri aktarımında da kişisel verilerin işlenme şartlarını aramaktadır. Buna göre yeterli korumanın bulunması halinde (md. 9/2); • Kanunlarda açıkça öngörülmesi, • Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması, • Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması, • Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması, • İlgili kişinin kendisi tarafından alenileştirilmiş olması, • Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması, 64 • İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması hallerinde kişisel veriler yurtdışına aktarılabilmektedir. Yine kişisel verilerin aktarılacağı ülkede yeterli korumanın bulunması halinde, kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri kanunda açıkça öngörülmesi halinde yurtdışına aktarılabilecektir. Yeterli korumaya sahip ülkelerde kişilerin, sağlık ve cinsel hayata ilişkin kişisel verileri ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın yurtdışına aktarılabilecektir. Yeterli korumanın bulunduğu ülkeler Kurul tarafından ilan edilecektir. Bununla birlikte, bir ülkenin yeterli korumaya sahip ülkeler listesinde olmaması durumunda dahi yukarıda belirtilen şartlardan birinin gerçekleşmesi halinde, Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve Kurulun izninin bulunması üzerine o ülkeye veri aktarımında bulunulabilecektir. Kanunun 9. maddesinde Kurula, Türkiye’den yurt dışına yapılacak olan veri aktarımlarında Türkiye Cumhuriyeti’nin veya ilgili kişinin menfaatlerinin ciddi bir şekilde zarar görme ihtimali olduğunun tespit edilmesi halinde, bu veri aktarımını onaylama veya yasaklama imkânı verilmiştir. Dolayısıyla Türkiye Cumhuriyeti’nin veya ilgili kişinin menfaatlerinin ciddi bir şekilde zarar görme ihtimali olması halinde, Türkiye’den yurtdışına yapılacak tüm veri aktarımları gerekli görüldüğü takdirde Kurulun onayına tabi olabilecektir. Ancak Türkiye’nin tarafı olduğu uluslararası anlaşmaların kapsamına giren durumlarda söz konusu onay mekanizması uygulanmayacaktır. Bu kapsamda, Kanun hükümleri doğrultusunda kişisel veriler yurtdışına aktarılabilecek iken, Türkiye Cumhuriyeti’nin veya ilgili kişinin menfaatlerinin ciddi bir şekilde zarar görme ihtimali olduğu durumlarda veri aktarımları ilgili kamu kurum ve kuruluşlarının görüşü alınmak suretiyle Kurulun iznine tabi tutulmuştur. 65 J. KANUN KAPSAMINDAKİ HAK VE YÜKÜMLÜLÜKLER 1. Veri Sorumlusunun Yükümlülükleri 6698 sayılı Kanunun 3. maddesinde, veri sorumlusu “kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi” olarak tanımlanmıştır. Veri sorumluları, gerçek kişiler olabileceği gibi, kamu kurumları, şirketler, dernekler veya vakıflar gibi tüzel kişiler de olabilecektir. Bir kimsenin Kanun kapsamnda veri sorumlusu olarak kabul edilebilmesi için, bir veri kayıt sistemini yönetiyor olması gerekir. Kanunun 3. maddesinde veri kayıt sitemi, “kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemi” olarak tanımlanmıştır. Kanunun gerekçesinde de belirtildiği gibi veri kayıt sistemleri elektronik veya fiziki ortamlarda oluşturulabilir. Veri sorumlusu, kişisel verileri bizzat işleyebileceği gibi, veri işleme faaliyetini gerçekleştirmek üzere üçüncü bir kişiyi de yetkilendirebilir. Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen bu tür gerçek veya tüzel kişiler, Kanunun 3. maddesinin (ğ) bendinde “veri işleyen” olarak adlandırılmıştır. Kanunda kişisel verilerin korunmasına ilişkin bazı yükümlülükler, veri sorumluları ile birlikte veri işleyenler için de getirilmiştir. Veri sorumlusunun yükümlülükleri şunlardır: a. Aydınlatma Yükümlülüğü Kanun koyucu kişisel verileri işlenen ilgili kişilere bu verilerinin kim tarafından, hangi amaçlarla ve hangi hukuki gerekçelere dayanılarak işlenebileceği, kimlere hangi amaçlarla aktarılabileceği hususunda bilgi edinme hakkı tanımakta ve bu hususları, veri sorumlusunun aydınlatma yükümlülüğü kapsamında ele almaktadır. Buna göre veri sorumlusu, Kanunun 10. 66 maddesi çerçevesinde kişisel verilerin elde edilmesi sırasında bizzat veya yetkilendirdiği kişi aracılığıyla aşağıdaki bilgileri veri sahibine sağlamakla yükümlüdür: • Veri sorumlusunun ve varsa temsilcisinin kimliği, • Kişisel verilerin hangi amaçla işleneceği, • Kişisel verilerin kimlere ve hangi amaçla aktarılabileceği, • Kişisel veri toplamanın yöntemi ve hukuki sebebi, • 11. maddede sayılan diğer hakları. Veri işleme faaliyetinin ilgili kişinin açık rızasına bağlı olduğu ve faaliyetin Kanundaki başka bir şart kapsamında yürütüldüğü durumlarda da veri sorumlusunun ilgili kişiyi bilgilendirme yükümlülüğü devam etmektedir. Veri sahibi, kişisel verisinin işlendiği her durumda aydınlatılmalıdır. Aydınlatma yükümlülüğünü yerine getirirken ilgili kişiye verilecek bilgiler, veri sorumlusu siciline açıklanan bilgilerle uyumlu ve kategorik bazda olmalıdır. Aydınlatma yükümlülüğünün yerine getirilmesi konusu, ilgili kişinin onayına tabi değildir. Tek taraflı bir beyanla aydınlatma yükümlülüğü yerine getirilebilir. Aydınlatma yükümlülüğünün yerine getirildiğinin ispatı veri sorumlusuna aittir. b. Veri Güvenliğine İlişkin Yükümlülükler Kanun koyucu kişisel verilerin hukuka aykırı olarak işlenmesini önleme, bu verilere hukuka aykırı olarak erişilmesini önleme ve bunların hukuka uygun olarak muhafazasını sağlama yükümlülüklerinin tamamını kapsayan veri güvenliğini sağlama ödevini, veri sorumlusuna yüklemektedir. Veri sorumlusu, kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir. Başka bir ifadeyle veri sorumlusu, “niçin” kişisel veri işliyoruz ve kişisel verileri “nasıl” işleyeceğiz sorularını cevaplamakla yetkili olan gerçek veya tüzel kişidir. 67 Veri sorumlusunun, veri güvenliğinin sağlanmasına ilişkin yükümlülükleri 12. maddede düzenlenmektedir. Veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi halinde, Kanun 15.000 Türk Lirasından 1.000.000 Türk Lirasına kadar idari para cezası öngörmektedir. Veri güvenliğine ilişkin alınacak önlemlerin her bir veri sorumlusunun yapısına, faaliyetlerine ve tabi olduğu risklere uygun olması gerekmektedir. Bu nedenle, veri güvenliğine ilişkin tek bir model öngörülememektedir. Uygun önlemlerin belirlenmesinde gözetilecek olan kriter, şirketin büyüklüğü veya cirosundan ziyade şirketin yaptığı işin ve korunan kişisel verinin niteliğidir. Örneğin, küçük ölçekli olmakla birlikte özel nitelikli kişisel veri işleyen veri sorumlusunun daha yüksek standartlarda koruma önlemi alması gerekmektedir. Kanunun veri güvenliğine ilişkin 12. maddesi; • veri sorumlusunun üçüncü kişilere veri aktarımı noktasında verisi aktarılan kişilere karşı veriyi aktardığı kişilerin eylemlerinden olan sorumluklarının çerçevesini çizmekte, • veri sorumlusunun denetim yükümlülüğünün ve veri sorumlusu organizasyonu içerisinde veri işleme konusunda görevlendirilen kişilerin sır saklama yükümlülüğünün kapsamını belirlemekte, • verilerin yasal olmayan yollarla ifşası veya ele geçirilmesi noktasında veri sorumlusunun hem Kuruma hem de ilgili kişiye karşı yükümlülüklerini ortaya koymaktadır. Kanunun 12. maddesinin 1. fıkrasına göre veri sorumlusu; • Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, • Kişisel verilere hukuka aykırı olarak erişilmesini önlemek, • Kişisel verilerin muhafazasını sağlamak ile yükümlüdür. Veri sorumlusu bu yükümlülüklerini yerine getirmek amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır. 68 Veri Güvenliğinin Sağlanmasında Müşterek Sorumluluk Kanunun 12. maddesinin 2. fıkrasında, verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi durumunda, birinci fıkrada belirtilen tedbirlerin alınması hususunda veri sorumlusunun, bu kişilerle birlikte müştereken sorumlu olacağı düzenlenmektedir. Dolayısıyla veri işleyenler de veri güvenliğinin sağlanması için tedbir alma yükümlülüğü altındadır. Buna göre, örneğin veri sorumlusunun şirketine ilişkin kayıtlar bir muhasebe şirketi tarafından tutuluyorsa, verilerin işlenmesine ilişkin birinci fıkrada belirtilen tedbirlerin alınması hususunda veri sorumlusu muhasebe şirketiyle birlikte müştereken sorumlu olacaktır. Denetim Yapma veya Yaptırma Yükümlülüğü Kanunun 12. maddesinin 3. fıkrasında, veri sorumlusunun, kendi kurum veya kuruluşunda, Kanun hükümlerinin uygulanmasını sağlama ve kişisel verilerin Kanunda öngörülen usul ve esaslara uygun olarak işlenmesi amacıyla gerekli denetimleri yapma veya yaptırma yükümlülüğü düzenlenmektedir. Kanun, denetimin veri sorumlusu tarafından yapılması gerektiğini öngörmektedir. Veri sorumlusu bu denetimi kendisi gerçekleştirebileceği gibi, bir üçüncü kişi vasıtasıyla da gerçekleştirebilir. Sır Saklama Yükümlülüğü Kanunun 12. maddesinin 4. fıkrasında, veri sorumluları ile veri işleyenlerin sır saklama yükümlülüğü düzenlenmektedir. Buna göre, veri sorumluları ile veri işleyenlerin öğrendikleri kişisel verileri, Kanuna aykırı olarak başkalarına açıklamaları veya işleme amacı dışında kullanmaları yasaklanmıştır. Bu yükümlülük veri sorumluları ve veri işleyenlerin görevlerinden ayrılmalarından sonra da devam etmektedir. İhlal Halinde Bildirim Yükümlülüğü Kanunun 12. maddesinin 5. fıkrasında, işlenen verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde, veri sorumlusunun bu durumu en kısa sürede ilgilisine ve Kurula bildireceği düzenlenmektedir. 69 Kurul, gerekmesi halinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yolla ilan edebilecektir. Veri ihlali, işlenen verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesidir. Örneğin; hizmet sağlayıcısının bilgisayar sisteminde bulunan müşterilere ait kişisel verilere, güvenlik ihlalleri nedeniyle internet aracılığıyla üçüncü kişiler tarafından erişilmesi, veri sorumlusunun veya veri işleyenin müşterilerine ait kişisel verilerin bulunduğu USB anahtarı veya CD-ROM’unun çalınması, özel nitelikli kişisel verilerin yer aldığı sabit diskin silinmeden internet üzerinden satılması gibi. c. İlgili Kişiler Tarafından Yapılan Başvuruların Cevaplanması ve Kurul Kararlarının Yerine Getirilmesi Yükümlülüğü Kanunun 13. maddesine göre veri sorumluları, veri sahipleri tarafından yazılı olarak veya Kurulun belirleyeceği diğer yöntemlerle kendisine iletilen Kanunun uygulanmasıyla ilgili talepleri, niteliklerine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırmalıdır. Ancak, işlemin ayrıca bir maliyet gerektirmesi hâlinde, veri sorumlusu, Kurulca belirlenen tarifedeki ücretleri başvuruda bulunan veri sahibinden isteyebilir. Veri sorumlusu, talebi kabul eder ise veya gerekçesini açıklayarak reddeder ise bu cevabını ilgili kişiye yazılı olarak veya elektronik ortamda bildirir. Başvuruda yer alan talebin kabul edilmesi hâlinde veri sorumlusu tarafından bu talebin gereği yerine getirilir. Başvurunun veri sorumlusunun hatasından kaynaklanması hâlinde ise alınan ücret ilgiliye iade edilir. Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde başvuruya cevap verilmemesi hâllerinde; ilgili kişi, veri sorumlusunun cevabını öğrendiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunabilir. Kurul, şikâyet üzerine veya ihlal iddiasını öğrenmesi durumunda resen görev alanına giren konularda yapacağı inceleme sonucunda bir ihlalin varlığını tespit ederse, hukuka aykırılıkların veri sorumlusu tarafından giderilmesine karar vererek, kararı ilgililere tebliğ eder. Veri sorumlusu, bu kararı, tebliğ tarihinden itibaren gecikmeksizin ve en geç otuz gün içinde yerine getirmek zorundadır. 70 d. Veri Sorumluları Siciline Kaydolma Yükümlülüğü Kanunun 16. maddesine göre, Kişisel Verileri Koruma Kurumu tarafından kamuya açık olacak şekilde bir Veri Sorumluları Sicili tutulacaktır. Yine bu maddeye göre kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce bu Sicile kaydolmak zorundadır. Ancak, Kanunun 16. maddesinin 2. fırkasında, işlenen kişisel verinin niteliği, sayısı, veri işlemenin kanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi Kurulca belirlenecek objektif kriterler göz önüne alınmak suretiyle, Kurul tarafından Veri Sorumluları Siciline kayıt zorunluluğuna istisnalar getirilebileceği belirtilmiştir. Ayrıca Kanunun Geçici 1. maddesinin 2. fıkrası uyarınca, Kurul tarafından Veri Sorumluları Siciline kayıt yaptırılması gereken süre belirlenerek ilan edilecektir. 2. İlgili Kişinin Hakları Kanunun 11. maddesinde ilgili kişinin sahip olduğu haklar düzenlenmiştir. İlgili kişi bu haklarını veri sorumlusuna başvurmak suretiyle kullanacaktır. Buna göre, ilgili kişinin sahip olduğu haklar şunlardır: • Kişisel verilerinin işlenip işlenmediğini öğrenme, • Kişisel verileri işlenmişse buna ilişkin bilgi talep etme, • Kişisel verilerinin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme, • Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme, • Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme, • Kişisel verilerin silinmesini veya yok edilmesini isteme, 71 • Kişisel verilerin düzeltilmesi, silinmesi veya yok edilmesine ilişkin işlemlerin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme, • İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme, • Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme. İlgili kişinin Kanunda tanımlı haklarını kullanma noktasında veri sorumlusuna yapacağı başvurularla ilgili kişiye verilecek cevaplar, veri sorumluları siciline açıklanacak bilgiler çerçevesinde ve kategorik bazda olmalıdır. Vukuatlı nüfus kayıt örneği veya müşterek mülkiyete ilişkin tapu sicil kaydında olduğu gibi bazı durumlarda birden fazla kimseye ait ayrıştırılamayacak verinin bir arada bulunması söz konusu olabilir. Bu durumda, ilgili mevzuat kapsamında veri sahibine açıklanmasında sakınca olmayan üçüncü kişilere ait kişisel veriler de veri sahibine açıklanabilir. Böyle bir durum yok ise ilgili kişiye açıklanacak üçüncü kişilerle ilgili kişisel veriler anonimleştirilmelidir. Veri sorumlusu siciline açıklanan bilgilerle, ilgili kişiye verilecek bilgiler arasında uyum olmalıdır. 3. İlgili Kişinin Hak Arama Yöntemleri Kanun, ilgili kişilerin Kanunun uygulanmasına ilişkin taleplerini iletebilmeleri ve kişisel verilerine ilişkin haklarını korumaları için bir takım hak arama yöntemleri getirmektedir. Böylelikle ilgili kişiler, kişisel verilerinin korunmasına ilişkin haklarını kullanmak adına doğrudan yargı yoluna başvurmanın yanı sıra Kanunla getirilen diğer hak arama yöntemlerini de kullanabileceklerdir. Kanun ile getirilen hak arama yöntemlerinden ilki 13. maddede düzenlenen veri sorumlusuna başvuru yöntemidir. İkincisi ise 14. ve 15. maddelerde düzenlenen Kişisel Verileri Koruma Kurulu’na şikâyettir. Ayrıca Kurulun hak ihlali iddiasını öğrenmesi durumunda resen görev alanına giren konularda inceleme yapma yetkisi de bulunmaktadır. 72 a. Veri Sorumlusuna Başvuru Kanunun 11. maddesine göre ilgili kişilerin, veri sorumlusuna başvurarak; kendileriyle ilgili kişisel verilerin işlenip işlenmediğini öğrenmek, işlenmişse bunları talep etmek, verinin muhtevasının eksik veya yanlış olması halinde bunların düzeltilmesini, hukuka aykırı olması halinde ise silinmesini, yok edilmesini ve buna göre yapılacak işlemlerin verilerin açıklandığı üçüncü kişilere bildirilmesini ve verilerin kanuna aykırı olarak işlenmesi sebebiyle zararlarının giderilmesini talep etme hakları bulunmaktadır. Bu kapsamda ilgili kişilerin, Kanunun uygulanmasıyla ilgili taleplerini (m. 11.), öncelikle veri sorumlusuna iletmeleri zorunludur. Kanun, kişisel verilerin korunması kapsamındaki başvurular için kademeli bir başvuru usulü öngörmüştür. İlgili kişilerin, sahip oldukları hakları kullanabilmeleri için öncelikle veri sorumlusuna başvurmaları zorunludur. Bu yol tüketilmeden Kurula şikâyet yoluna gidilemez. İlgili kişinin talebinin 30 gün içerisinde veri sorumlusu tarafından cevaplandırılması gerekmektedir. Başvurusu reddedilen veya verilen cevabı yetersiz bulan, yahut süresinde başvurusuna cevap verilmeyen ilgililer Kurula şikâyet hakkını kullanabilecektir. Kişilik hakları ihlal edilen ilgililerin genel hükümlere göre tazminat hakları saklı tutulmuştur. Başvuru yoluna gitmenin zorunlu, şikâyet yoluna gitmenin ise ihtiyari olması sebebiyle, başvurusu zımnen veya açıkça reddedilen ilgili kişinin bir yandan Kurula şikâyette bulunabilmesi, diğer yandan doğrudan adli veya idari yargı yoluna gidebilmesi mümkün olacaktır. Ancak bu noktada belirtmek gerekir ki, ilgili kişilerin hak ihlallerine yönelik olarak doğrudan yargı organlarına başvurmalarının önünde herhangi bir engel bulunmamaktadır. Bir başka ifadeyle, konunun yargıya intikal ettirilmesinden önce, veri sorumlusuna başvuru zorunluluğu bulunmamaktadır. Veri sorumlusuna doğrudan başvurma zorunluluğu, konunun Kurula iletilmesinden önce uyulması gereken bir zorunluluktur. b. Başvuru ve Cevap Yöntemine İlişkin Kurallar Veri sorumlusuna yapılacak başvuruların şekli konusunda Kanunda iki temel hüküm bulunmaktadır. Bunlardan ilki yazılı başvurudur. Yazılı başvuru, 73 genel hükümler gereği ıslak imza içeren belge ile yapılan başvuru anlamına gelmektedir. Buna ek olarak güvenli elektronik imza ile imzalanan belgeler de yazılı şekil şartını sağlayabilecektir. Yazılı başvuru haricindeki diğer başvuru yöntemlerinin belirlenmesi konusunda Kanun, Kişisel Verileri Koruma Kurulunu yetkilendirmektedir. Kurul, çıkaracağı yönetmelik ya da tebliğ gibi ikincil düzenlemelerle veri sorumlusuna yapılacak başvuruların yöntemini belirleyebilecektir. Bu kapsamda internet üzerinden bir başvuru sistemi kurulması ya da e-Devlet üzerinden sağlanacak entegrasyon ile veri sorumlularına başvuru yapılabilmesi gibi çeşitli yöntemlerin kullanılabileceği öngörülmektedir. Veri sorumlusu, kural olarak kendisine yöneltilen talepleri en kısa sürede cevaplandırmak zorundadır. Ancak bu süre 30 gün ile sınırlandırılmıştır. Veri sorumlusu, kendisine yöneltilen talepleri kabul edebileceği gibi gerekçesini açıklamak kaydıyla ret de edebilecektir. Ret kararının gerekçeli olmasının mecburi tutulması yoluyla, ilgili kişilerin haklarının daha etkili korunması hedeflenmektedir. Zira gerekçeli ret kararı yazılması zorunluluğu, veri sorumlularının ret kararlarına ilişkin mutlaka bir hukuki gerekçe göstermelerini gerekli kılmaktadır. Veri sorumlusu kendisine yöneltilen talebi kabul etmesi halinde, talebin gereklerini doğrudan ve derhal yerine getirmek zorundadır. Talebin kabul edilmesine rağmen, gereklerinin yerine getirilmemesi halinde, veri sorumlusunun talebi reddettiğini varsaymak gerekir. Zira Kanun, sadece veri sorumlusunun ilgili kişinin başvurusunu reddetmesi, verdiği cevabın yetersiz bulunması ya da süresinde cevap vermemesi hallerinde ilgili kişiye Kurula başvuru yapma hakkı vermektedir. Bu durum, ilgili kişinin Kurula şikâyette bulunmasına imkân vermek açısından önemli bir konudur. Kanun, veri sorumlusunun kendisine yapılan başvurulara dair kararını bildirmesine ilişkin izlenebilecek yöntem konusunda yazılı bildirim ya da elektronik ortamda bildirim hükümlerine yer vermiştir. Dolayısıyla ilgili kişi tarafından, veri sorumlusuna gerek yazılı olarak gerekse Kurulun belirleyeceği bir başka yöntemle başvurulduğunda, veri sorumlusunun cevabı mutlaka ya yazılı olarak ya da elektronik ortamda gönderilmelidir. 74 Kendisine başvuru yapılan veri sorumlusunun, kamu kurum ya da kuruluşu olması hali üzerinde özellikle durulması gerekmektedir. Zira kamu kurum ve kuruluşlarının yapacağı bildirimler 7201 sayılı Tebligat Kanunu ile düzenlenmektedir. Tebligat Kanunu’nun da elektronik tebligata imkân verdiği göz önüne alındığında, kamu kurum ve kuruluşu olan veri sorumlularının da ilgili mevzuata uyarak, hem yazılı hem elektronik ortamda bildirimde bulunabilmeleri mümkün olacaktır. c. Veri Sorumlusuna Başvurunun Maliyetine İlişkin Sorumluluklar Kural olarak ilgili kişilerin veri sorumlusuna yapacağı başvuruların ücretsiz olması gerekmektedir. Ancak Kanun, söz konusu talep kapsamında ayrıca bir işlem yapılmasının gerekmesi ve bu işlemin maliyetli olması halinde veri sorumlusu tarafından ücret alınmasına imkân vermektedir. Söz konusu ücret, Kurul tarafından belirlenecek tarifeye göre tespit edilecektir. Başvurunun veri sorumlusunun hatasından kaynaklandığı hallerde ise, veri sorumlusunun aldığı ücreti ilgili kişiye iade etmesi mecburiyeti Kanunda düzenlenmektedir. d. Kişisel Verileri Koruma Kurulunun İnceleme Yapması Kanunun 15. maddesi gereği Kurulun, Kanunun ihlaline ilişkin durumlar hakkında inceleme yapma yetkisi bulunmaktadır. Kurul bu yetkisini, şikâyet üzerine ya da resen kullanabilmektedir. Resen İnceleme: Kurulun inceleme başlatma konusunda resen yetkili olması, Kurulun haberdar olduğu herhangi bir konuda kendiliğinden harekete geçerek inceleme başlatabileceği anlamına gelmektedir. Diğer bir ifadeyle, Kurulun inceleme başlatabilmesi için kendisine şikâyette bulunulmasına ihtiyacı yoktur. Bu durum, ilgili kişilerin şikâyette bulunmamasına ve hatta ilgili ihlalden haberleri dahi olmamasına rağmen Kurulun hak ihlallerini engelleyebilmesini sağlamaktadır. Dolayısıyla ilgili kişilerin hakları daha etkin bir şekilde korunabilmektedir. Kurulun inceleme başlatmaya resen yetkili oluşunun bir diğer sonucu da, kendisine gelen ihbarları değerlendirme ve gerekiyorsa inceleme başlatma yetkisine sahip olmasıdır. 75 Şikâyet Üzerine İnceleme: İlgili kişilerin haklarını kullanması için öncelikle veri sorumlularına başvurmaları zorunludur. Veri sorumlusunun bu başvuruyu reddetmesi, verdiği cevabın yetersiz olması veya süresinde cevap vermemesi halinde ilgili kişinin konu hakkında Kurula şikâyette bulunma hakkı doğmaktadır. Yapılacak şikâyet ile konu, Kurula taşınmakta ve Kurulun incelemesi sonucunda karara bağlanmaktadır. e. Kurula Yapılacak İhbar ve Şikâyetlerin Taşıması Gereken Şartlar Kurula yapılacak ihbar ve şikâyetlerin işleme konulabilmesi için, 3071 sayılı Dilekçe Hakkının Kullanılmasına Dair Kanunun 6. maddesinde belirtilen hükümlere uygun olarak sunulmaları gerekmektedir. Anılan madde kapsamında belirtilen şartlardan ilki, verilecek dilekçenin belirli bir konuyu ihtiva etmesidir. İkinci şart ise, dilekçenin yargı mercilerinin görevlerine giren konularla ilgili olmamasıdır. Bu şart kapsamında, yargı mercilerinin görevlerine giren konular kavramını, münhasıran yargı mercilerinin görevine giren konular olarak yorumlamak gerekmektedir. Örneğin, ilgili kişinin uğradığı zararlarını veri sorumlusundan talep etme hakkı, Kanunun 11. maddesinin (ğ) fıkrası gereği bulunmakta olup, veri sorumlusunun bu talebi yerine getirmemesi halinde, ilgili kişinin Kurula şikâyette bulunması da söz konusu olabilecektir. Ayrıca ilgili kişinin zararlarının tazmini için, genel hükümler çerçevesinde yargı mercilerine başvurması da mümkündür. Buna göre, Türk Ceza Kanununu ilgilendiren talepleri içeren dilekçeler, münhasıran yargı mercilerinin görev alanına girmesi nedeniyle bu madde kapsamında Kurum tarafından değerlendirmeye alınmayacaktır. Şikâyet veya ihbar dilekçelerinde uyulması gereken son şart ise bu dilekçelerin, dilekçe sahibinin adını-soyadını, imzasını ve iş ya da ikametgâh adreslerini içermesidir. Dolayısıyla Kurula isimsiz olarak ihbar ya da şikâyette bulunmak söz konusu olmayacaktır. Bunun yanında isimsiz olarak ihbar yapılmış olmasına rağmen, ihbar dilekçesi içerisinde bahsedilen hak ihlallerinin yine de Kurul tarafından resen araştırmaya konu edilebilmesi söz konusu olabilecektir. Zira ihbar dilekçesi isimsiz olarak geldiği için, o dilekçede belirtilen hak ihlaline göz yumulması hukukun genel prensipleri ile bağdaşmayacaktır. 76 İhbar ya da şikâyetlerin nasıl iletileceğine ilişkin Kanunda herhangi bir hüküm bulunmamaktadır. Bu nedenle yazılı olarak ya da elektronik ortamda şikâyet ya da ihbarda bulunulması söz konusu olabilecektir. Ancak ihbar ve şikâyet dilekçelerinin imza içermesi gerektiği için elektronik ortamda yapılacak şikâyet ve ihbarlarda elektronik imza kullanılması gerekecektir. İlgili kişilerin haklarını kullanma konusunda veri sorumlusuna başvuru yapmadan şikâyette bulunmaları mümkün değildir. Bu nedenle şikâyet başvurusunda bulunmanın ön şartlarından birisi de veri sorumlusuna başvuru yapmak olarak kabul edilmektedir. Veri sorumlusuna başvurduktan sonra şikâyette bulunabilmek için ilgili kişinin belirli süre sınırlamalarına uyması gerekmektedir. Buna göre ilgili kişi, veri sorumlusunun cevabını öğrendiği tarihten itibaren otuz gün içerisinde Kurula şikâyette bulunabilecektir. Her durumda veri sorumlusuna başvuru tarihinden itibaren atmış gün içinde ilgili kişinin Kurula şikâyette bulunabilmesi mümkündür. Örneğin, ilgili kişiye veri sorumlusuna başvuru tarihinden itibaren beşinci günde cevap gelmesi halinde, ilgili kişinin başvuru tarihinden itibaren en geç otuz beşinci güne kadar Kurula şikâyette bulunması mümkündür. Buna karşılık ilgili kişiye başvuru tarihinden itibaren otuzuncu günde ya da daha geç cevap gelmesi ve hiç cevap gelmemesi halinde, ilgili kişi başvuru tarihinden itibaren altmışıncı güne kadar Kurula şikâyette bulunabilecektir. f. Kurulun İnceleme Süreci Konusundaki Yetki ve Yükümlülükleri Kurul, kendisine gelen talepleri incelerken ilgili veri sorumlularından gereken tüm bilgi ve belgeleri talep edebilme yetkisine sahiptir. Kurulun ayrıca yerinde inceleme yapma yetkisi de bulunmaktadır. Bu kapsamda ilgili veri sorumlularının, yerinde inceleme yapılmasına imkân sağlama ve talep edilen bilgiler ile belgeleri on beş gün içerisinde Kurula gönderme yükümlülükleri bulunmaktadır. Kanunda veri sorumlularının bilgi ve belge sunma yükümlülüklerine ilişkin bir istisna getirilmiştir. Buna göre, devlet sırrı niteliğindeki bilgi ve belgelerin ilgili veri sorumlusu tarafından Kurula sunulmasına izin verilmemektedir. 77 Devlet sırrı kavramı ise Ceza Muhakemesi Kanunu’nun 47. maddesinde; açıklanması devletin dış ilişkilerine, milli savunmasına ve milli güvenliğine zarar verebilecek, anayasal düzeni bozabilecek ve dış ilişkilerinde tehlike yaratabilecek nitelikteki bilgiler olarak tanımlanmıştır. Önemle belirtmek gerekir ki, Ceza Muhakemesi Kanunu kapsamında alt sınırı beş yıl veya daha fazla olan suçlarla ilgili olarak devlet sırrı niteliğindeki belgelerin mahkemeler tarafından incelenmesine ve yine devlet sırları hakkında bilgiye sahip tanıkların dinlenmesine izin verilmektedir. Kişisel verilere ilişkin suçların hiçbirinin cezasının alt sınırı beş yıl olmadığı göz önüne alındığında, kişisel verilerin korunması hakkının ihlali nedeniyle ne mahkemelerde ne de Kurulda devlet sırrı niteliğindeki bilgi ve belgelerin incelenmesi söz konusu olacaktır. Bu düzenleme sayesinde kişisel verilerin korunması hakkının devlet sırlarını ortaya çıkarmak amacıyla istismar edilmesinin önüne geçilmiştir. Kurula Kanun tarafından tanınan bir diğer yetki de, inceleme süreci sonuçlandırılmadan önce telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılık olması halinde, veri işlenmesinin veya verinin yurtdışına aktarılmasının durdurulmasına karar verilmesidir. Yargı organlarındaki ihtiyati tedbir kurumuna benzeyen bu yetki sayesinde olası zarar ve hak ihlallerinin hızlı bir şekilde önüne geçilmesi mümkün olabilecektir. Kurulun kendisine yöneltilen talepleri karara bağlama konusunda altmış günlük süresi bulunmaktadır. Eğer söz konusu süre boyunca Kurul, başvurana cevap vermezse, talep reddedilmiş sayılacaktır. Önemle belirtmek gerekir ki, söz konusu altmış günlük süre sınırlaması, ilgili kişilerden Kurula gelen taleplere uygulanmaktadır. Kurulun resen başlattığı incelemelerde herhangi bir süre sınırlaması öngörülmemiştir. g. Kurulun Yapacağı İncelemenin Sonuçlandırılması Kurul, şikâyet üzerine ya da resen başlattığı inceleme sonucunda bir karar verebilir. Ancak, şikayet tarihinden itibaren altmış gün içinde bir cevap verilmezse talep reddedilmiş sayılır. Kurul, yaptığı inceleme neticesinde kişisel verilerin korunması hakkının ihlal edildiği sonucuna varması halinde tespit ettiği hukuka aykırılıkların veri sorumlusu tarafından giderilmesine 78 karar vererek bu kararı ilgili kişilere tebliğ edecektir. Böyle bir kararın gereklerinin de kararın tebliğ tarihinden itibaren gecikmeksizin ve en geç otuz gün içinde yerine getirilmesi gerekmektedir. Kurulun yapacağı inceleme sonucunda ayrıca ilke kararı alabilme yetkisi de bulunmaktadır. İlke kararları, inceleme konusu ihlalin yaygın olduğunun tespiti halinde alınmakta ve yayınlanmaktadır. İlke kararlarının doğrudan tüm veri sorumluları üzerinde bağlayıcı olduğuna dair açık bir hüküm bulunmamaktadır. Buna karşılık ilke kararları, Kurulun karar konusu olaya yaklaşımını ve sonraki inceleme ve şikâyetlerdeki tutumunu gösterdiği için tüm ilgililer açısından uyulması son derece önemli hukuki metinler haline gelecektir. Ek olarak ilke kararları kişisel verilerin korunmasına ilişkin mevzuatın uygulamasının yeknesaklaştırılması açısından da son derece önem arz etmektedir. Zira ilke kararları sayesinde mevzuata ilişkin farklı yorumlar ve bunlardan doğacak farklı uygulamaların önüne geçilebilecektir. 4. Bildirim Yükümlülüğü Veri sorumlusunun diğer bir yükümlülüğü de işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, bu durumu en kısa sürede ilgilisine ve Kurula bildirmektir. Kurul, gerekmesi hâlinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir. 5. Veri İşleyenin Yükümlülükleri Veri işleyen; veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişiyi ifade etmektedir. Bu kişiler, veri sorumlusunun hizmet satın almak suretiyle belirlediği ayrı bir gerçek veya tüzel kişidir. Herhangi bir gerçek veya tüzel kişi aynı zamanda hem veri sorumlusu hem de veri işleyen olabilir. Veri işleyen kişilerin temel yükümlülüğü; öğrendikleri kişisel verileri Kanun hükümlerine aykırı olarak başkasına açıklamama ve işleme amacı dışında kullanmamadır. Bu yükümlülük, veri işleyenin görevinden ayrılmasından sonra da devam etmektedir. 79 Ayrıca, kişisel verilerin veri sorumlusu adına veri işleyen tarafından işlenmesi hâlinde, kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, kişisel verilere hukuka aykırı olarak erişilmesini önlemek ve kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirlerin alınması hususunda veri işleyen veri sorumlusu ile birlikte müştereken sorumludur. K. VERİ SORUMLULARI SİCİLİ Kanun, veri sorumlularının Kurum tarafından tutulacak Veri Sorumluları Sicili’ne kaydolmalarını zorunlu kılmaktadır. Dolayısıyla veri sorumlularının kimler olduğunun kamuya açıklanması ve bu yöntemle kişisel verilerin korunması hakkının daha etkin şekilde kullanılması hedeflenmektedir. 1. Veri Sorumluları Sicilinin Nitelikleri Veri Sorumluları Sicili, Kanun kapsamında kamuya açık olarak tutulmak zorundadır. Kamuya açıklık kavramı, isteyen kişinin sicil üzerinde inceleme yapabilmesi anlamına gelmektedir. Kamuya açıklık ilkesi, kişisel verilerin korunması açısından önemlidir. Zira veri sorumlularının kamu tarafından bilinebilir olması, ilgili kişilerin hak ihlallerine karşı daha etkili şekilde mücadele etmesine imkân verecektir. Veri Sorumluları Sicili, Kurulun gözetimi altında Kurum tarafından tutulacaktır. Sicile ilişkin usul ve esasların yönetmelikle düzenlenmesi Kanun kapsamında öngörülmüştür. 2. Veri Sorumluları Siciline Kayıt Zorunluluğu ve İstisnaları Kural olarak, tüm veri sorumlularının Veri Sorumluları Siciline kaydolmaları gerekmektedir. Söz konusu kayıt işleminin, veri işleme faaliyetlerine başlamadan önce tamamlanması gerekir. 80 Kurula, sicile kayıt zorunluluğuna istisna getirme yetkisi verilmiştir. Söz konusu istisnanın uygulanmasında; işlenen kişisel verinin niteliği, sayısı, veri işlemenin Kanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi Kurulca belirlenecek objektif kriterler göz önüne alınacaktır. Sicile kayıt olma konusundaki yükümlülük; kişisel verilerin işlenmesi faaliyetleri bakımından bir şeffaflık sağlanması ve veri sorumlarının mevzuata uyumlu hareket etmeleri konusunda daha güvenli bir ortam oluşturulması amacını taşımaktadır. 3. Veri Sorumluları Siciline Kayıt Olma Şartları Veri Sorumluları Sicili’ne kayıt olmak için başvuru, aşağıdaki bilgileri içeren bir bildirim ile yapılacaktır. Söz konusu bilgiler şunlardır: • Veri sorumlusu ve varsa temsilcisinin kimlik ve adres bilgileri, • Kişisel verilerin hangi amaçla işleneceği, • Veri konusu kişi grubu ve grupları ile bu kişilere ait veri kategorileri hakkındaki açıklamalar, • Kişisel verilerin aktarılabileceği alıcı veya alıcı grupları, • Yabancı ülkelere aktarımı öngörülen kişisel veriler, • Kişisel veri güvenliğine ilişkin alınan tedbirler, • Kişisel verilerin işlendikleri amaç için gerekli olan azami süre. Yukarıda listelenen bilgilerde herhangi bir değişiklik olması halinde, söz konusu değişikliklerin derhal Kuruma bildirilmesi gerekmektedir. Böylelikle, sicilin güncelliğinin sağlanması hedeflenmiştir. 81 L. CEZA HÜKÜMLERİ (SUÇLAR VE KABAHATLER) Kanunda 17 ve 18. maddelerde kişisel verilerin hukuka aykırı olarak işlenmesine ilişkin 5237 sayılı Türk Ceza Kanunu’nun (TCK) 135 ila 140. maddeleri arasında yer alan hapis cezası yaptırımlarının uygulanması öngörülmüştür. Kanunda düzenlenen aydınlatma, veri güvenliği, Kurul kararlarının yerine getirilmemesi ve veri sorumluları siciline kayıt yükümlülüklerinin yerine getirilmemesi hallerinin ise kabahatler kapsamında değerlendirildiği ve dolayısıyla idari para cezası müeyyidesine bağlandığı ilgili madde gerekçesinde belirtilmiştir. Bu müeyyideler aşağıdaki şekildedir. 1. Suçlar Kanunun 17. maddesi şöyledir: “(1) Kişisel verilere ilişkin suçlar bakımından 26.9.2004 tarihli ve 5237 sayılı Türk Ceza Kanununun 135 ila 140’ıncı madde hükümleri uygulanır. (2) Bu Kanunun 7’nci maddesi hükmüne aykırı olarak; kişisel verileri silmeyen veya anonim hale getirmeyenler Türk Ceza Kanununun 138’inci maddesine göre cezalandırılır.” . Kişisel verilere ilişkin suçlar, TCK’nın “Özel Hayata ve Hayatın Gizli Alanına İlişkin Suçlar” bölümü içerisinde ele alınmıştır. TCK’nın 135. maddesinin 1. fıkrasına göre: “Hukuka aykırı olarak kişisel verileri kaydeden kimseye altı aydan üç yıla kadar hapis cezası verilir”. Kanunda ve TCK’nın ilgili madde gerekçesinde kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi olarak tanımlanan kişisel verilerin hukuka aykırı şekilde kaydedilmesi, suçun oluşması için yeterlidir. Burada suçun oluşumunun ön koşulunun hukuka aykırılık olarak belirlendiğine dikkat çekmek gerekir. TCK’nın 135. maddesinin 1. fıkrasına göre: “Kişisel verilerin, kişilerin siyasî, felsefî veya dinî görüşlerine, ırkî kökenlerine; hukuka aykırı olarak ahlâkî eğilimlerine, cinsel yaşamlarına, sağlık durumlarına veya sendikal bağlantılarına ilişkin olması durumunda birinci fıkra uyarınca verilecek ceza yarı oranında artırılır.”. 82 TCK’nın 136. maddesine göre: “Kişisel verileri, hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi, iki yıldan dört yıla kadar hapis cezası ile cezalandırılır”. TCK’nın 135. maddesindeki düzenlemeye benzer şekilde kişisel verilerin üçüncü bir kişiye verilmesi, yayılması ya da ele geçirilmesi suçlarının hukuka aykırılık ön koşuluna bağlandığı görülmektedir. TCK’nın nitelikli hallerin düzenlendiği 137. maddesine göre: “Yukarıdaki maddelerde tanımlanan suçların; a) Kamu görevlisi tarafından ve görevinin verdiği yetki kötüye kullanılmak suretiyle, b) Belli bir meslek ve sanatın sağladığı kolaylıktan yararlanmak suretiyle, İşlenmesi halinde, verilecek ceza yarı oranında artırılır.” TCK’nın 138. maddesine göre: “(1) Kanunların belirlediği sürelerin geçmiş olmasına karşın verileri sistem içinde yok etmekle yükümlü olanlara görevlerini yerine getirmediklerinde bir yıldan iki yıla kadar hapis cezası verilir. (2) Suçun konusunun Ceza Muhakemesi Kanunu hükümlerine göre ortadan kaldırılması veya yok edilmesi gereken veri olması hâlinde verilecek ceza bir kat artırılır.”. TCK’nın 138. maddesinde şikâyet usulü düzenlenmektedir. Buna göre, kişisel verilerin kaydedilmesi, verileri hukuka aykırı olarak verme veya ele geçirme ve verileri yok etmeme hariç, bu bölümde yer alan suçların soruşturulması ve kovuşturulması şikâyete bağlıdır. TCK’nın 138. maddesinde, yukarıdaki maddelerde tanımlanan suçların işlenmesi dolayısıyla tüzel kişiler hakkında bunlara özgü güvenlik tedbirlerine hükmolunacağı belirtilmektedir. 83 2. Kabahatler Kanunun 18. maddesi şöyledir: “ (1) Bu Kanunun; a) 10 uncu maddesinde öngörülen aydınlatma yükümlülüğünü yerine getirmeyenler hakkında 5.000 Türk Lirasından 100.000 Türk Lirasına kadar, b) 12 nci maddesinde öngörülen veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler hakkında 15.000 Türk Lirasından 1.000.000 Türk Lirasına kadar, c) 15 inci maddesi uyarınca Kurul tarafından verilen kararları yerine getirmeyenler hakkında 25.000 Türk Lirasından 1.000.000 Türk Lirasına kadar, ç) 16 ncı maddesinde öngörülen Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırı hareket edenler hakkında 20.000 Türk Lirasından 1.000.000 Türk Lirasına kadar, idari para cezası verilir. (2) Bu maddede öngörülen idari para cezaları veri sorumlusu olan gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanır. (3) Birinci fıkrada sayılan eylemlerin kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenmesi hâlinde, Kurulun yapacağı bildirim üzerine, ilgili kamu kurum ve kuruluşunda görev yapan memurlar ve diğer kamu görevlileri ile kamu kurumu niteliğindeki meslek kuruluşlarında görev yapanlar hakkında disiplin hükümlerine göre işlem yapılır ve sonucu Kurula bildirilir.”. Madde gerekçesinde; Kanunda öngörülen aydınlatma, veri güvenliğini sağlama, Kurul kararlarını yerine getirme, Veri Sorumluları Sicili’ne kayıt ve bildirim yükümlülüklerine aykırı davranılmasının kabahat olarak görüldüğü ve Kurul tarafından belirlenecek idari para cezası yaptırımına bağlandığı belirtilmiştir. 84 Kanunun 18. maddesinde yer alan, idari para cezası miktar aralığı oldukça geniştir. Gerekçede, Kurulun idari para cezasının miktarını belirlerken 5356 sayılı Kabahatler Kanunu’nun 17. maddesi uyarınca kabahati işleyenin ekonomik durumunu, kabahatin haksızlık içeriğini ve failin kusur derecesini dikkate alacağı belirtilmiştir. İdari para cezaları, veri sorumlusu olan gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanacaktır. Maddede kabahat olarak düzenlenen eylemlerin kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenmesi halinde, Kurulun yapacağı bildirim üzerine, ilgili kamu kurum ve kuruluşunda görev yapan memurlar ve diğer kamu görevlileri ile kamu kurumu niteliğindeki meslek kuruluşlarında görev yapanlar hakkında disiplin hükümlerine göre işlem yapılacaktır. İlgili kurumlar yaptıkları soruşturmanın sonuçları hakkında Kurula bilgilendirme yapmak zorundadır. M. KİŞİSEL VERİLERİ KORUMA KURUMU VE KURULU 1. Kurumun “Tam” Bağımsızlığı Kurum, öğretide “bağımsız idari otoriteler” olarak tanımlanan kurumlardan biri olup Başbakanlıkla ilişkilendirilmiştir. Bağımsız idari otoriteler; “siyasal organlardan bağımsız, temel hak ve özgürlüklerle ekonomik etkinliklerin duyarlı olduğu konularda ve alanlarda düzenleme, denetleme ve yönlendirme görevi yapan, karar organları özel güvencelere sahip, mali özerkliği haiz kamu tüzel kişileri” biçiminde tanımlanabilir. Kişisel Verilerin Korunması Kurumu da, tıpkı Sermaye Piyasası Kurulu ve Rekabet Kurumu gibi, bağımsız bir idari otorite olarak teşekkül etmiştir. 2. Yargısal Denetim Anayasanın 125. maddesinde belirtildiği üzere, Türk hukukunda idarenin 85 her türlü eylem ve işlemine karşı yargı yolu açıktır. Bu bakımdan, Kurum ve Kurulun işlem ve eylemlerine karşı bağımsız mahkemeler nezdinde yargı yoluna başvurulması serbesttir. Bu itibarla, Kurulun kararlarının denetimi de yine Danıştay tarafından yapılacaktır. Hâlihazırda, Danıştay Başkanlık Kurulunca yayımlanan görev dağılım ilişkisine göre bağımsız idari otoriteleri ilgilendiren uyuşmazlıklar Danıştay On Üçüncü Dairesinde görülmektedir. 3. Mali Bağımsızlık Kurumun bütçesini kendisinin hazırlayarak TBMM’ye sunacak olması nedeniyle de mali özerklik sağlanmıştır. Kanunun 29. maddesi uyarınca, Kurumun bütçesi 5018 sayılı Kamu Malî Yönetimi ve Kontrol Kanunu’nda belirlenen usul ve esaslara göre hazırlanır ve kabul edilir. Yani Kuruma genel bütçeden diğer düzenleyici ve denetleyici kurumlarda olduğu gibi bütçe aktarımı gerçekleştirilir. Dolayısıyla, Kurumun bütçesi bakımından karar organı Başbakanlık olmayıp TBMM’dir. 4. Kişisel Verileri Koruma Kurumu’nun Yapısı ve Görevleri Kanunda öngörülen görevleri yerine getirmek üzere Kişisel Verileri Koruma Kurumu oluşturulmuştur. Avrupa Konseyinin 108 sayılı Sözleşmesi ve Avrupa Birliğinin 95/46/EC sayılı Direktifi, kişisel verilerin işlenmesine ilişkin ilkelerin uygulanmasını izlemek ve yönlendirmek üzere fonksiyonel olarak bağımsız bir şekilde görev yapacak otoritelerin oluşturulmasını öngörmektedir. Avrupa Birliği üyesi tüm ülkelerde, veri koruma kurulları görevlerinde bağımsız otoriteler olarak yapılandırılmıştır. Sayılan uluslararası belgeler ve mukayeseli hukuk uygulamaları göz önüne alınmak suretiyle, Kişisel Verileri Koruma Kurumu kurulmuştur. Bu kurum, Başbakanlıkla ilişkili olup idari ve mali özerkliğe sahiptir. Merkezi Ankara’dadır. Kişisel Verileri Koruma Kurumu’nun görevleri Kanunun 20. maddesinde şu şekilde sıralanmıştır: • Görev alanı itibarıyla, uygulamaları ve mevzuattaki gelişmeleri takip 86 etmek, değerlendirme ve önerilerde bulunmak, araştırma ve incelemeler yapmak veya yaptırmak, • İhtiyaç duyulması hâlinde, görev alanına giren konularda kamu kurum ve kuruluşları, sivil toplum kuruluşları, meslek örgütleri veya üniversitelerle iş birliği yapmak, • Kişisel verilerle ilgili uluslararası gelişmeleri izlemek ve değerlendirmek, görev alanına giren konularda uluslararası kuruluşlarla iş birliği yapmak, toplantılara katılmak, • Yıllık faaliyet raporunu Cumhurbaşkanlığına, Türkiye Büyük Millet Meclisi İnsan Haklarını İnceleme Komisyonuna ve Başbakanlığa sunmak, • Kanunlarla verilen diğer görevleri yerine getirmek. 5. Kişisel Verileri Koruma Kurulu’nun Yapısı ve Görevleri a. Genel Olarak Kanunla, Kurumun karar organı olan Kişisel Verileri Koruma Kurulu oluşturulmuştur. Avrupa Konseyinin 108 sayılı Sözleşmesi ve Avrupa Birliğinin 95/46/EC sayılı Direktifine uygun şekilde Kurul bağımsız olarak kurgulanmaktadır. Kurulun, Kanunla ve diğer mevzuatla verilen görev ve yetkilerini kendi sorumluluğu altında, bağımsız olarak yerine getireceği ve kullanacağı, görev alanına giren konularla ilgili olarak hiçbir organ, makam, merci veya kişinin Kurula emir ve talimat veremeyeceği hüküm altına alınmaktadır. Bu hüküm, Kurulun görevini bağımsız bir şekilde yerine getirebilmesi bakımından önem arz etmektedir. 87 b. Kurulun Yapısı Kişisel Verileri Koruma Kurulu dokuz üyeden oluşur. Kurulun beş üyesi Türkiye Büyük Millet Meclisi, iki üyesi Cumhurbaşkanı, iki üyesi Bakanlar Kurulu tarafından seçilir. Kurul üyeliğine seçileceklerin muvafakatleri aranır. Üye seçiminde, Kurumun görev alanına giren konularda bilgi ve deneyimi bulunanların çoğulcu bir şekilde temsiline özen gösterilir. TBMM beş Kurul üyesini şu şekilde belirler: Seçim için, siyasi parti gruplarının üye sayısı oranında belirlenecek üye sayısının ikişer katı aday gösterilir ve Kurul üyeleri bu adaylar arasından her siyasi parti grubuna düşen üye sayısı esas alınmak suretiyle Türkiye Büyük Millet Meclisi Genel Kurulunca seçilir. Ancak, siyasi parti gruplarında, Türkiye Büyük Millet Meclisinde yapılacak seçimlerde kime oy kullanılacağına dair görüşme yapılamaz ve karar alınamaz. Kurul üyelerinin seçimi, adayların belirlenerek ilanından sonra on gün içinde yapılır. Siyasi parti grupları tarafından gösterilen adaylar için ayrı ayrı listeler hâlinde birleşik oy pusulası düzenlenir. Adayların adlarının karşısındaki özel yer işaretlenmek suretiyle oy kullanılır. Siyasi parti gruplarının ikinci fıkraya göre belirlenen kontenjanlarından Kurula seçilecek üyelerin sayısından fazla verilen oylar geçersiz sayılır. Karar yeter sayısı olmak şartıyla seçimde en çok oyu alan boş üyelik sayısı kadar aday seçilmiş olur. Üyelerin görev sürelerinin bitiminden iki ay önce; üyeliklerde herhangi bir sebeple boşalma olması hâlinde, boşalma tarihinden veya boşalma tarihinde Türkiye Büyük Millet Meclisi tatilde ise tatilin bitiminden itibaren bir ay içinde aynı usulle seçim yapılır. Bu seçimlerde, boşalan üyeliklerin siyasi parti gruplarına dağılımı, ilk seçimde siyasi parti grupları kontenjanından seçilen üye sayısı ve siyasi parti gruplarının hâlihazırdaki oranı dikkate alınmak suretiyle yapılır. Cumhurbaşkanı ve Bakanlar Kurulu ikişer Kurul üyesi belirler. Cumhurbaşkanı veya Bakanlar Kurulu tarafından seçilen üyelerden birinin görev süresinin bitiminden kırk beş gün önce veya herhangi bir sebeple görevin sona ermesi hâlinde durum, on beş gün içinde Kurum tarafından, Cumhurbaşkanlığına veya Bakanlar Kuruluna sunulmak üzere Başbakanlığa bildirilir. Üyelerin görev süresinin dolmasına bir ay kala yeni üye seçimi yapılır. Bu üyeliklerde, görev süresi dolmadan herhangi bir sebeple boşalma olması hâlinde ise bildirimden itibaren on beş gün içinde seçim yapılır. 88 Kurula üye olarak seçilebilmek için öngörülen şartlar şunlardır: a) Kurumun görev alanındaki konularda bilgi ve deneyim sahibi olmak, b) Devlet memuru olmaya ilişkin genel şartları taşımak, c) Herhangi bir siyasi parti üyesi olmamak, d) En az dört yıllık lisans düzeyinde yükseköğrenim görmüş olmak, e) Kamu kurum ve kuruluşlarında, uluslararası kuruluşlarda, sivil toplum kuruluşlarında veya kamu kurumu niteliğindeki meslek kuruluşlarında ya da özel sektörde toplamda en az on yıl çalışmış olmak. Kurul üyelerinin görev süresi dört yıldır. Süresi biten üye yeniden seçilebilir. Görev süresi dolmadan herhangi bir sebeple görevi sona eren üyenin yerine seçilen kişi, yerine seçildiği üyenin kalan süresini tamamlar. Kurul üyelerinin süreleri dolmadan herhangi bir nedenle görevlerine son verilmesi de yasaklanmıştır. Fakat Kurul üyelerinin; seçilmek için gereken şartları taşımadıklarının sonradan anlaşılması, görevleriyle ilgili olarak işledikleri suçlardan dolayı haklarında verilen mahkûmiyet kararının kesinleşmesi, görevlerini yerine getiremeyeceklerinin sağlık kurulu raporuyla kesin olarak tespit edilmesi, görevlerine izinsiz, mazeretsiz ve kesintisiz olarak on beş gün ya da bir yılda toplam otuz gün süreyle devam etmediklerinin tespit edilmesi, bir ay içinde izinsiz ve mazeretsiz olarak toplam üç, bir yıl içinde toplam on Kurul toplantısına katılmadıklarının tespit edilmesi hâllerinde Kurul kararıyla üyelikleri sona erer. Seçilen üyeler Yargıtay Birinci Başkanlık Kurulu huzurunda “Görevimi Anayasaya ve kanunlara uygun olarak, tam bir tarafsızlık, dürüstlük, hakkaniyet ve adalet anlayışı içinde yerine getireceğime, namusum ve şerefim üzerine yemin ederim.” şeklinde yemin ederler. Yargıtay’a yemin için yapılan başvuru acele işlerden sayılır. Kurul üyeleri özel bir kanuna dayanmadıkça, Kuruldaki resmî görevlerinin yürütülmesi dışında resmî veya özel hiçbir görev alamaz, dernek, vakıf, 89 kooperatif ve benzeri yerlerde yöneticilik yapamaz, ticaretle uğraşamaz, serbest meslek faaliyetinde bulunamaz, hakemlik ve bilirkişilik yapamazlar. Ancak, Kurul üyeleri, asli görevlerini aksatmayacak şekilde bilimsel amaçlı yayın yapabilir, ders ve konferans verebilir ve bunlardan doğacak telif hakları ile ders ve konferans ücretlerini alabilirler. Kurul, üyeleri arasından Başkan ve İkinci Başkanı seçer. Kurulun Başkanı, Kurumun da başkanıdır. Başkan, Kurul ve Kurumun başkanı sıfatıyla Kurumun en üst amiri olup Kurum hizmetlerini mevzuata, Kurumun amaç ve politikalarına, stratejik planına, performans ölçütlerine ve hizmet kalite standartlarına uygun olarak düzenler, yürütür ve hizmet birimleri arasında koordinasyonu sağlar. Başkan, Kurumun genel yönetim ve temsilinden sorumludur. Bu sorumluluk, Kurum çalışmalarının düzenlenmesi, yürütülmesi, denetlenmesi, değerlendirilmesi ve gerektiğinde kamuoyuna duyurulması görev ve yetkilerini kapsar. Başkan’ın yokluğunda İkinci Başkan, Başkan’a vekalet eder. Kanunun 24. maddesinin 3. fıkrasında Başkan’ın görevleri şu şekilde sıralanmıştır: a) Kurul toplantılarını idare etmek, b) Kurul kararlarının tebliğini ve Kurulca gerekli görülenlerin kamuoyuna duyurulmasını sağlamak ve uygulanmalarını izlemek, c) Başkan Yardımcısını, daire başkanlarını ve Kurum personelini atamak, ç) Hizmet birimlerinden gelen önerilere son şeklini vererek Kurula sunmak, d) Stratejik planın uygulanmasını sağlamak, hizmet kalite standartları doğrultusunda insan kaynakları ve çalışma politikalarını oluşturmak, e) Belirlenen stratejilere, yıllık amaç ve hedeflere uygun olarak Kurumun yıllık bütçesi ile mali tablolarını hazırlamak, f) Kurul ve hizmet birimlerinin uyumlu, verimli, disiplinli ve düzenli bir biçimde çalışması amacıyla koordinasyonu sağlamak, g) Kurumun diğer kuruluşlarla ilişkilerini yürütmek, 90 ğ) Kurum Başkanı adına imzaya yetkili personelin görev ve yetki alanını belirlemek, h) Kurumun yönetim ve işleyişine ilişkin diğer görevleri yerine getirmek. Kanunun 25. maddesinde ayrıca Veri Sorumluları Sicilini tutmak, Kurumun ve Kurulun büro ve sekretarya işlemlerini yürütmek, Kurumun taraf olduğu davalar ile icra takiplerinde avukatlar vasıtasıyla Kurumu temsil etmek, davaları takip etmek veya ettirmek, hukuk hizmetlerini yürütmek gibi işleri yapmakla görevli Başkan Yardımcısı ve hizmet birimlerinden oluşan Başkanlık oluşturulmuştur. c. Kurulun Çalışma Esasları Kanunun 23. maddesinde Kurulun çalışma esasları düzenlenmiştir. Kurulun toplantı günlerini ve gündemini Başkan belirler. Başkan gereken hâllerde Kurulu olağanüstü toplantıya çağırabilir. Kurul, başkan dâhil en az altı üye ile toplanır ve üye tam sayısının salt çoğunluğuyla karar alır. Kurul üyeleri çekimser oy kullanamaz. Kurul üyeleri; kendilerini, üçüncü dereceye kadar kan ve ikinci dereceye kadar kayın hısımlarını, evlatlıklarını ve aralarındaki evlilik bağı kalkmış olsa bile eşlerini ilgilendiren konularla ilgili toplantı ve oylamaya katılamaz. Kurul üyeleri çalışmaları sırasında ilgililere ve üçüncü kişilere ait öğrendikleri sırları bu konuda kanunen yetkili kılınan mercilerden başkasına açıklayamazlar ve kendi yararlarına kullanamazlar. Bu yükümlülük görevden ayrılmalarından sonra da devam eder. Kurulda görüşülen işler tutanağa bağlanır. Kararlar ve varsa karşı oy gerekçeleri karar tarihinden itibaren en geç 15 gün içinde yazılır. Kurul, gerekli gördüğü kararları kamuoyuna duyurur. Aksi kararlaştırılmadıkça, Kurul toplantılarındaki görüşmeler gizlidir. 91 d. Kurulun Görevleri Kişisel Verileri Koruma Kurulu’nun başlıca görevleri şunlardır: • Özel nitelikli kişisel verilerin işlenmesinde gerekli ve yeterli önlemleri belirlemek, • Kişisel verinin aktarılacağı yabancı ülkede yeterli korumanın bulunmaması durumunda, Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri halinde, verilerin ilgili ülkeye aktarılabilmesi için izin vermek, • Kişisel veriler için yeterli korumanın bulunduğu ülkeleri tespit edip ilan etmek, • Gerek görmesi halinde, veri sorumluları tarafından kendisine yapılan, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından ele geçirildiğine ilişkin bildirimleri ilan etmek, • Veri sorumlularına yapılan başvuruların reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde başvuruya cevap verilmemesi hâllerinde kendisine yapılan şikayetleri incelemek, • Şikayet üzerine veya resen harekete geçmek suretiyle tespit ettiği hukuka aykırılıkların veri sorumlusu tarafından giderilmesine karar vermek, • Benzer ihlallerin yaygın olarak gerçekleştirildiğinin tespit edilmesi hâlinde ilke kararları almak, • Telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılık olması hâlinde, veri işlenmesinin veya verinin yurt dışına aktarılmasının durdurulmasına karar vermek, • Başkanlık tarafından kamuya açık olarak tutulan Veri Sorumluları Sicilinin gözetimini yapmak, • Gerekmesi durumunda Veri Sorumluları Siciline kayıt zorunluluğuna istisnalar getirmek, • Kişisel verilerin korunmasına ilişkin öngörülen yükümlülükleri ihlal eden 92 memurlar hakkında disiplin soruşturması yapılması için ilgili kurumlara bildirim yapmak, • Kişisel verilerin, temel hak ve özgürlüklere uygun şekilde işlenmesini sağlamak, • Kurumun işleyişine, veri güvenliği ile ilgili yükümlülükleri belirlemeye ve veri sorumlusu ile temsilcisinin görev, yetki ve sorumluluklarına ilişkin düzenleyici işlemleri yapmak, • Diğer kurum ve kuruluşlarca hazırlanan ve kişisel verilere ilişkin hüküm içeren mevzuat taslakları hakkında görüş bildirmek, • Kurumun; stratejik planını karara bağlamak, amaç ve hedeflerini, hizmet kalite standartlarını ve performans kriterlerini belirlemek, • Kurumun stratejik planı ile amaç ve hedeflerine uygun olarak hazırlanan bütçe teklifini görüşmek ve karara bağlamak, • Kurumun performansı, mali durumu, yıllık faaliyetleri ve ihtiyaç duyulan konular hakkında hazırlanan rapor taslaklarını onaylamak ve yayımlamak, • Taşınmaz alımı, satımı ve kiralanması konularındaki önerileri görüşüp karara bağlamak, • Kanunlarla verilen diğer görevleri yerine getirmek. 93 N. GEÇİŞ HÜKÜMLERİ VE YÜRÜRLÜK Kişisel verilerin üçüncü kişilere ve yurt dışına aktarılması, ilgili kişinin hakları, başvuru, şikâyet, inceleme, veri sorumluları sicili ile suçlar ve kabahatlere ilişkin hükümler Kanunun yayım tarihinden altı ay sonra, diğer hükümleri yayımı tarihinde yürürlüğe girer. Bu Kanuna dayanarak çıkarılacak yönetmelikler bir yıl içinde yürürlüğe konur. Yürürlük öncesinde işlenen kişisel veriler, yayım tarihini takiben iki yıl içinde uyumlu hale getirilir ya da silinir/anonim hale getirilir. Kanunun yürürlük maddeleri birlikte incelendiğinde, üç önemli sonuca ulaşılmaktadır: • Kanunun Resmi Gazete’de yayımlandığı günden itibaren işlenen tüm kişisel veriler, veri güvenliğine ve aydınlatmaya ilişkin yükümlülükler de dâhil olmak üzere Kanunda yer alan ilkelere uygun olarak işlenmek zorundadır. • Kanunda öngörülen idari yaptırımların yürürlüğü altı ay ertelendiğinden, ilk altı ay içerisinde gerçekleşecek ihlaller bakımından bir geçiş süresinin öngörüldüğü kabul edilmektedir. • Kanunun Resmî Gazete’de yayımlanmasından önce Kanunda yer alan hükümlere aykırı olarak işlenmiş veriler sebebiyle cezai ya da idari sorumluluk doğmayacaktır. Bununla birlikte, söz konusu verilerin yayım tarihinden itibaren iki yıl içerisinde Kanuna uyumlu hale getirilmesi gerekmektedir. Kanun hükümlerine aykırı olan kişisel veriler ise derhal silinmelidir. Uyuma ilişkin bir başka konu da; mevcut sektörel mevzuatlar kapsamında işlenen verilerin, Kanunun yürürlüğünden sonraki durumudur. Bilhassa elektronik haberleşme sektörü ve finans sektörü bakımından yürürlükte bulunan ve kişisel verilerin işlenmesine ilişkin konuları düzenleyen hükümler olmasına karşılık, Kanun ile getirilen düzenlemeler, hâlihazırda yürürlükte bulunan sektörel düzenlemelerden daha detaylı ve daha kapsamlı hazırlandığından, sektörel düzenlemelere göre edinilen verilerin uyumlu hale getirilmesi gerekmektedir. Bir başka ifadeyle, Kanun ve sektörel düzenlemeler örtüşmediğinden, söz konusu sektörlerde faaliyet gösteren şirketler, Kanuna uyum sağlamalıdır. 94 V. KİŞİSEL VERİLERİN KORUNMASINA İLİŞKİN TÜRK HUKUKUNDAKİ MEVCUT DİĞER DÜZENLEMELER 6698 sayılı Kanunun yürülüğe girmesinden önce, kişisel verilerin korunmasına ilişkin hükümlerin bir kısım mevzuat ile düzenlendiği görülmektedir. Anayasa, Medeni Kanun, Borçlar Kanunu, İş Kanunu, Türk Ceza Kanunu, Türk Ceza Muhakemesi Kanunu, İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun, İnternet Ortamında Yapılan Yayınların Düzenlenmesine Dair Usul ve Esaslar Hakkında Yönetmelik, Kişisel Sağlık Verilerinin İşlenmesi ve Mahremiyetinin Sağlanması Hakkında Yönetmelik, Elektronik Ticaretin Düzenlenmesi Hakkında Kanun, Elektronik İmza Kanunu, Elektronik Haberleşme Kanunu, Elektronik Haberleşme Sektöründe Tüketici Hakları Yönetmeliği, Elektronik Haberleşme Sektöründe Kişisel Verilerin İşlenmesi ve Gizliliğin Korunması Hakkında Yönetmelik, Elektronik Ticarette Hizmet Sağlayıcı ve Aracı Hizmet Sağlayıcılar Hakkında Yönetmelik, Banka Kartları ve Kredi Kartları Hakkında Yönetmelik, Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik, Mesafeli Sözleşmeler Yönetmeliği, Polis Vazife ve Salahiyet Kanunu, Bilgi Edinme Kanunu, Türkiye İstatistik Kanunu, Sosyal Güvenlik Kurumu Kanunu, Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun, İlaç ve Biyolojik Ürünlerin Klinik Araştırmaları Hakkında Yönetmelik, Anonim Şirketlerin Genel Kurullarında Uygulanacak Elektronik Genel Kurul Sistemi Hakkında Tebliğ, Ticaret Sicil Yönetmeliği, Özel İstihdam Büroları Yönetmeliği, Sermaye Şirketlerinin Açacakları İnternet Sitelerine Dair Yönetmelik, Kayıtlı Elektronik Posta Sistemi ile İlgili Süreçlere ve Teknik Kriterlere İlişkin Tebliğ, Hasta Hakları Yönetmeliği, Bankaların İç Sistemleri Hakkında Yönetmelik gibi çeşitli mevzutta kişisel verilerin korunmasına yönelik hükümler bulunmaktadır. 95 96