powered by

powered by

KİŞİSEL VERİLERİN KORUNMASI KANUNU HAKKINDA BİR DEĞERLENDİRME AN ASSESSMENT OF THE LAW ON PROTECTION OF PERSONAL DATA İbrahim KORKMAZ * Özet: Bilgi, modern yaşamın en önemli değerlerinden birisidir. Hergün, devlet kurumları ve özel kuruluşlar, bireyler hakkında önem- li miktarda veriyi toplamakta, saklamakta, işlemekte ve nakletmek- tedirler. Bunun yanında, teknoloji görülmemiş şekilde kişilerin bilgiyi paylaşması ve dünya çapında yaymasına izin verecek şekilde geliş- miştir. Bütün bunlar, kişilerin bilgilerinin kontrolünü kaybederek, kendilerine karşı kullanılması gibi birçok tehlikeli durumun oluşma- sına sebep olmaktadır. Kişisel verilerin korunması, bireylerin verileri- nin başka kişi veya kuruluşlar tarafından yetkisiz kullanımına karşı sa- hip oldukları bir haktır. Bu hakkın kurunmasıyla ilgili Kişisel Verilerin Korunması Kanunu 24 Mart 2016 tarihinde TBMM’nde kabul edilerek kanunlaşmıştır. Çalışmamızda Kişisel Verilerin Korunması Kanunu, bu alandaki uluslararası düzenlemeler ışığında incelenmiştir. Anahtar Kelimeler: Kişisel Veri, Kişisel Verilerin Korunması Hak- kı, Kişisel Verilerin İşlenmesi Abstract: Information is one of the most valuable assets of modern life. Everyday, govermental and nongovermental organi- zations collect, hold, process and transfer large quantities of infor- mation about indiviuals. Also, technology allows individuals to share and disseminate information globally on an unprecedented scale. These circumstances cause dangers to individuals such as losing control over their personal information that might be used against them. Data protection is a right that people have against possible unauthorized use of their personal information by other individuals or organizations. Law on Protection of Personal Data regarding the protection of this right was enacted by the Parliament on 24 March 2016. In our study Law on Protection of Personal Data will be exami- ned in consideration of international regulations on this area. Keywords: Personal Data, The Right to Protection of Personal Data, Processing of Personal Data. ∗ Ankara Üniversitesi Sosyal Bilimler Enstitüsü Kamu Hukuku Anabilim Dalı Dok- tora Öğrencisi, ikorkmaz72@gmail.com Kişisel Verilerin Korunması Kanunu Hakkında Bir Değerlendirme...82 GİRİŞ Çeşitli kişiler ve örgütlerce kişilere ilişkin bilgilere gereksinim, ta- rihin çok eski dönemlerinden beri bulunan bir gerçekliktir. 1 İnsanlar tarih boyunca, tehlikeden ve riskten kaçınmak, uygunsuz davranış- ları tespit etmek, başkalarının ne yaptığını kontrol etmek, kaydettik- leri ilerlemeyi görmek ve toplumsal örgütlenme ve koruma amacıyla, etrafındakilerin yaptıklarına bakmışlar, gözetlemişlerdir. 2 Bu sebeple kişiler hakkında bilgi toplama, onları izleme veya gözetleme için geliş- tirilmiş birçok araç bulunmaktadır. Çağımızda teknolojik olanakların gelişmesiyle, gözetim çok daha etkili bir hal almıştır. 3 Bireylerin kimliklerini belirlemeye elverişli her türlü bilgi olarak tanımlanabilecek kişisel verilere karşı gelişen tehditler, gözetim tekno- lojilerine karşı bir savunma mekanizmasının geliştirilmesini zorunlu kılmış ve kişisel verilerin korunması hukukunun 4 gerekliliği anla- şılmıştır. Kişisel veriler üzerinde ilgili kişinin denetimini amaçlayan düzenlemeler, bilgisayarların hızla gelişmesi ve merkezi veri banka- larının oluşturulması ile birlikte, ilk olarak 1970’li yıllarda Avrupa’da ortaya çıkmış ve zamanla Dünyaya yayılmıştır. 5 1982 Anayasası’nın 2. maddesinde belirtildiği gibi insan hakla- rına saygılı, demokratik bir hukuk devleti olan ülkemiz, Birleşmiş Milletler, Avrupa Konseyi, OECD gibi örgütlerin de üyesi olmasına rağmen, uzun bir süre kişisel verileri koruyan özel bir kanunun bu- lunmaması nedeniyle, bu alanda uluslararası kuruluşlarca benimse- nen ilkeleri ulusal hukukumuza aktaramamıştır. 2010 yılında yapılan 1 David Lyon, Surveillance After September 11, Polity, 2003, s.2 2 Zygmunt Bauman, Yasa Koyucular ve Yorumcular, Çev. Kemal Atakay, Metis Ya- yınevi, İstanbul 1996, s. 51 vd. 3 Daniel J. Solove, The Digital Person, Technology and Privacy in the Information Age, New York University Press, ABD 2004, s. 2.; David Lyon, Surveillance Studi- es an Overview, Polity Press, 2007, s. 12. 4 Kişisel verilerin korunması ile ilgili normlar, kişilerin toplumun bir bireyi olması- nı engelleyen bu tip baskılar altında kalmalarını engellemek ve gözetleyen ve gö- zetlenen arasındaki güç dengesini eşitlemek açısından önemlidir. Kişisel verilerin korunması, özde verinin kendisinin değil, verinin sahibi olan bireyin temel hak ve özgürlüklerinin, kişilik hakkının ve özel alanının korunmasını amaçlamakta- dır. Oğuz Şimşek, Anayasa Hukukunda Kişisel Verilerin Korunması, Beta Basım, İstanbul 2008, s. 4, Bundan sonra “Anayasa Hukukunda Kişisel Verilerin Korun- ması” olarak anılacaktır. 5 Vemon Bogdanor, Blackwell’in Siyaset Bilimi Ansiklobedisi, C.II, Çev. Erhan Yük- selci, Sema Yükselci, Bülent Peker, Ümit Yayımcılık, Ankara 2003, s. 426. TBB Dergisi 2016 (124)   Ğbrahim KORKMAZ 83 referandumdan sonra 5982 sayılı Kanunla 6 Anayasa’nın özel hayatın gizliliğini düzenleyen 20. maddesine “Herkes, kendisiyle ilgili kişisel veri- lerin korunmasını isteme hakkına sahiptir. Bu hak; kişinin kendisiyle ilgili kişi- sel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılma- dığını öğrenmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir” şeklinde bir fıkra eklenerek kişilerin ki- şisel verilerinin korunması açıkça anayasal güvence altına alınmıştır. Bu düzenleme doktrinde kişisel verilerin korunması hakkının hangi şartlarda sınırlanabileceğinin belirtilmediği 7 ve kişisel verilerin işlen- mesi hususunu denetleyecek bağımsız bir organ öngörülmediği 8 için eleştirilmiştir. Avrupa Konseyi bünyesinde hazırlanarak 28 Ocak 1981 tarihinde Strazburg’ta imzaya açılan ve 1 Ekim 1985 tarihinde yürürlüğe giren 108 sayılı Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Bireylerin Korunması Sözleşmesi, 9 ülkemiz tarafından 28 Ocak 1981 yılında imzalanmış olmasına karşın, uzun süre onaylanmamış ve ni- hayet 30 Ocak 2016 tarihinde kabul edilen 6669 sayılı Kişisel Verile- rin Otomatik İşleme Tabi Tutulması Karşısında Bireylerin Korunması Sözleşmesinin Onaylanmasının Uygun Bulunduğuna Dair Kanun ile onaylanarak 18 Şubat 2016 Tarihli ve 29628 Sayılı Resmî Gazetede ya- yımlanmış ve aynı tarihte yürürlüğe girmiştir. 10 Avrupa’da birçok devletin mevzuatında kişisel verilerin korunma- sı ile kanunlar kırk yıldan fazladır yer almaktadır. Çağdaş devletle- 6 Türkiye Cumhuriyeti Anayasasının Bazı Maddelerinde Değişiklik Yapılması Hakkında Kanun, Kanun No: 5982; Resmi Gazete Tarihi: 13.05.2010, Sayı: 27580. 7 Elif Küzeci, Kişisel Verilerin Korunması, Turhan Kitabevi, Ankara 2010, s.266; Sultan Tahmazoğlu Uzeltürk, “Kişisel Verilerin Korunması Hakkında Anayasa Değişikliği”, Legal Hukuk Dergisi, Sayı 93, Eylül 2010, s. 3155. 8 Küzeci, s. 266. 9 Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Bireylerin Korunma- sı Sözleşmesinin Uygun Bulunduğuna Dair Kanun Gerekçesi, (Çevrimiçi) http:// www2.tbmm.gov.tr/d26/1/1-0320.pdf (Erişim Tarihi: 07 Mart 2016) 10 Türkiye Sözleşmeyi imzalamasına rağmen, 30/1/2016 tarihine kadar onaylayıp yürürlüğe koymayan tek ülke konumundaydı. Kanun metni İçin bakınız. (Çevri- miçi) http://www.resmigazete.gov.tr/main.aspx?home=http://www.resmigazete. gov.tr/eskiler/2016/02/20160218.htm&main=http://www.resmigazete.gov.tr/ eskiler/2016/02/20160218.htm (Erişim Tarihi: 07 Mart 2016) Kişisel Verilerin Korunması Kanunu Hakkında Bir Değerlendirme...84 rin neredeyse tamamı, bu konuda temel kanunlar çıkarmıştır. Henüz bu konuda bir düzenleme yapmamış devletlerin üzerinde ise bazı se- beplerle kişisel verilerin ulusal mevzuatta yer alan temel kanunlarla korunması yönünde artan bir baskı olduğu söylenebilir. 11 Bu yöndeki eğilimin ilk sebebi, daha önce otoriter rejimlerin bulunduğu ülkelerde tekrar bu deneyimlerin yaşanmaması için bireysel temel hak ve özgür- lüklerin korunmasına önem verilmesidir. Bir diğer sebep, elektronik ticaret başta olmak üzere teknolojiyle gelişen ticaretin önündeki engel- leri kaldırma isteğidir. Üçüncü sebep ise, 95/46/AT sayılı Avrupa Bir- liği Yönergesi’nin kişisel verilerin yeterli koruma sağlamayan ülkelere transferini yasaklaması sebebiyle Avrupa ilkeleriyle ticaret yapmak isteyen ülkelerin mevzuatlarında gerekli değişiklikleri yapmasıdır. 12 Mevzuatımızda kişisel verilerin korunmasıyla ilgili dağınık hü- kümler bulunmasına rağmen, 13 temel ilkelerin belirlendiği, bütünle- yici, özel bir kanunun bulunmayışı, uzun bir süre önemli bir eksiklik 11 (Çevrimiçi) http://uk.practicallaw.com/4-519-9017 (Erişim Tarihi: 07 Mart 2016); David Banisar, Privacy and Data Protection Around the World, s. 4, (Çevrimiçi) https://www.pcpd.org.hk/english/infocentre/files/banisar-paper.doc, (Erişim Tarihi: 07 Mart 2016). Ancak 95/46/AT sayılı Avrupa Birliği Yönergesi’nin kişisel verilerin yeterli koruma sağlamayan ülkelere transferini yasaklayan düzenleme- leri, gelişen ticaret ve Avrupa Birliği ile ilişkilerin sürdürülmesi gerekliliğinden dolayı Orta Doğu ve Afrika’da da kişisel verilerin korunması ile ilgili düzenleme- lerin yapılması konusunda gittikçe artan bir baskı unsuru olmaya devam etmek- tedir. Küzeci, s. 352. 12 David Banisar, “Freedom of Information and Access to Government Record Laws Around the World”, The Freedom info Global Survey, Mayıs 2004, s. 2. Türkiye’nin Avrupa Bölgesel Savcılık Teşkilatı olarak bilinen EUROJUST ve Avrupa Polis Teşkilatı olarak bilenen EUROPOL ile operasyonel işbirliği anlaşması olmasına rağmen kişisel verilerin korunmasıyla ilgili özel bir kanunun olmaması nedeniy- le bu anlaşmanın gerekleri yeterince yerine getirilememektedir. Ayrıca Dışişleri Bakanlığının yabancı ülkelerden vatandaşlarla ilgili istediği askerlik, kimlik, va- tandaşlık bilgileri veya o ülkelerin vatandaşlarıyla ilgili bilgilerin paylaşımında sorunlar yaşanmaktadır. Yine, Türk iş adamlarının yurt dışında yaptığı yatırımlar ve yabancı iş adamlarının Türkiye’de yaptığı yatırımlar nedeniyle kişisel veri pay- laşımına ihtiyaç duyulması hâlinde, bu konuda özel kanunun olmaması nedeniy- le veri paylaşımı yapılamaması pek çok ciddi sorunlara yol açmaktadır. Komisyon Raporu, s. 5. 13 Son dönemde ülkemizde kabul edilen TCK, CMK gibi temel yasalarda kişisel ve- rilerin korunmasına yönelik ilkeler bulunsa da, bunlar sınırlı bir koruma sağla- makta ve bütüncül bir koruma sağlamada yetersiz kalmaktadırlar. Ayrıca bu dü- zenlemelerin çoğunluğunun bir zararın ortaya çıkmasından sonra uygulanabilir olması nedeniyle, herhangi bir zarar ortaya çıkmadan bireylerin bu alandaki hak ve özgürlüklerini koruma altına alabilecek önleyici bir düzenlemenin bulunması bir gerekliliktir. Küzeci, s. 357. TBB Dergisi 2016 (124)   Ğbrahim KORKMAZ 85 olarak görülmüştür. 14 Ülkemizde kişisel verilerin korunmasıyla ilgili temel bir kanun bulunması için yukarıda belirtilen sebeplerin hepsi bulunmaktadır. İlk olarak, ülkemizde çeşitli dönemlerde yapılan hu- kuka aykırı fişlemeler, güvenlik soruşturmaları 15 gibi bireylerin hak ve özgürlüklerine haksız müdahalelerin sonuçları, kişisel verilerin ye- terince korunmaması durumunda oluşabilecek zararları göstermekte- dir. Gerekli ve yeterli tedbirler alınmadığı takdirde, bu şekilde haksız uygulamaların otoriter rejimler yanında demokratik yönetimlerde de gerçekleşme olasılığı her zaman vardır. 16 Türkiye’de kişisel verilerin korunmasıyla ilgili özel bir yasa bulunması, her şeyden önce bunun temel bir insan hakkı olması nedeninden dolayı bir gerekliliktir. 17 Bunun yanında, gelişmekte olan elektronik ticaret gibi ekonomik etkinliklerde ülkemizin geriye kalmaması için kişisel verilerin korun- ması gerekmektedir. Ayrıca, 95/46/AT sayılı Avrupa Yönergesi’nin 25 ve 26. maddelerinin yeterli koruma sağlamayan ülkelere kişisel verilerin transferini yasaklamasından dolayı, Avrupa ülkeleri ile etkin bir ticaret yapabilmenin sağlanabilmesi ve belirtilen hükümler dolayısıyla çeşit- li sorunların yaşanmaması için 18 ülkemizde bu yönde bir düzenleme- nin yapılması önemlidir. Ayrıca, bu konuda yapılacak bir düzenleme, Türkiye’nin Avrupa Birliği adaylık süreci açısından da bir gerekliliktir. 19 14 .Kişisel Verilerin Korunması Kanunu gerekçesinde de belirtildiği gibi, “kişisel ve- rilerin işlenebilmesi hususunda özel bir kanun ve etkin bir denetim mekanizması- nın bulunmaması, toplumumuzda olumsuz bir algının oluşmasına sebebiyet ver- mektedir. Oluşan bu algının ortadan kaldırılması için kişisel verilerin belli şartlar dahilinde işlenmesine, muhafaza edilmesine ve kontrolüne ilişkin esasların belir- lenmesi gerekmektedir.” Adalet Komisyonu’nun 117 Sıra Sayılı Kişisel Verilerin Korunması Kanunu Tasarısı Raporunun metni için bakınız. (Çevrimiçi) https:// www.tbmm.gov.tr/sirasayi/donem26/yil01/ss117.pdf (Erişim Tarihi: 07 Mart 2016) Bundan sonra “Komisyon Raporu” olarak anılacaktır., 15 Güney Dinç, Güvensizlik Üçgeni, 1402’likler, Fişleme, Güvenlik Soruşturması, Say, İstanbul 1987, s. 197-198. 16 Küzeci, s.354. Kişisel Verilerin Korunması Kanunu Gerekçesinde de belirtildiği gibi, ülkemizde kişisel verilerin işlenmesi sürecini kontrol edecek ve denetleyecek bir kurumun bulunması önemlidir. Aksi taktirde, kişisel veriler yeterli düzenleme ve denetime tabi olmaksızın, birçok kişi veya kurum tarafından kullanılabilmekte ve bu durum bazı hak ihlallerinin yaşanmasına sebep olabilmektedir. Komisyon Raporu, s. 5. 17 Komisyon Raporu, s. 5. 18 Türkiye Büyük Millet Meclisi Adalet Komisyonu Tutanak Dergisi 27.01.2016 tarihli tu- tanak sayfa 5. 19 Komisyon Tarafından Avrupa Parlamentosuna ve Konseye Sunulan Bildirim Genişleme Stratejisi ve Başlıca Zorluklar 2013-2014, Brüksel, 16 Ekim 2013, SWD Kişisel Verilerin Korunması Kanunu Hakkında Bir Değerlendirme...86 Ülkemizde kişisel verilerin korunmasıyla ilgili özel bir kanun ha- zırlamak üzere ilk komisyon 1989 yılında kurulmuş ancak çalışma- larını tamamlayamamıştır. 20 Daha sonra 2000 yılında kurulan ikinci komisyon üç yıllık çalışma sonucunda Kişisel Verilerin Korunması Kanun Tasarısı’nı hazırlamıştır. Adalet Bakanlığı tarafından 7 Eylül 2003 tarihinde açıklanan Tasarı, Avrupa Birliği ilerleme raporları ve e-Dönüşüm Türkiye Projesi Kısa Dönem Eylem Planları gibi çeşitli bel- gelerde yer almasına karşın kanunlaşamamıştır. 21 Adalet Bakanlığı Tasarı üzerinde ilave çalışmalar yaparak 2008 yılında Başbakanlık’a göndermiş, Başbakanlık tarafından 22 Nisan 2008 tarihinde Türkiye Büyük Millet Meclisi Başkanlığı’na gönderil- miştir. 22 Tasarı, TBMM Başkanlığı tarafından 02 Mayıs 2008 tarihinde esas komisyon olarak Adalet Komisyonuna, tali komisyon olarak Av- rupa Birliği Uyum Komisyonuna gönderilmiştir. Adalet Komisyonu tarafından 07.05.2008 tarihinde Alt Komisyona havale edilen Tasarı ile ilgili Alt Komisyonda birkaç toplantı yapıldıktan sonra yoğun gün- dem nedeniyle çalışmalara ara verilmiş ve araya TBMM Seçimlerinin girmesi nedeniyle Tasarı İçtüzüğün 77. maddesi gereğince hükümsüz sayılmıştır. Kişisel Verilerin Korunması Kanunu Tasarısı Adalet Bakanlığı’nca yenilenerek Başbakanlık tarafından 26.12.2014 tarihinde tekrar TBMM’ye gönderilmesine rağmen TBMM seçimleri nedeniyle bu defa da yasalaşamayarak hükümsüz kalmıştır. 23 (2013) 417, (Çevrimiçi) http://www.abgs.gov.tr/files/AB_Iliskileri/AdaylikSure- ci/IlerlemeRaporlari/2013_ilerleme_raporu_tr.pdf, (Erişim Tarihi: 20 Mart 2016). 20 Sedat Erdem Aydın, AİHM İçtihatları Kapsamında Kişisel Verilerin Kaydedilmesi Suçu, Yüksek Lisans Tezi, İstanbul Üniversitesi Sosyal Bilimler Enstitüsü Kamu Hukuku Anabilim Dalı, İstanbul 2014, s. 98. 21 Nilgün Başalp, Kişisel Verilerin Korunması ve Saklanması, Yetkin Yayınları, 2004, s. 107, Bundan sonra “Kişisel Verilerin Korunması ve Saklanması” olarak anıla- caktır; Ceylin Beyli, Kişisel Verilerin Korunması Hakkında Kanun Tasarısı Üzeri- ne Eleştiriler, Bilişim Hukuku, derleyen Mete Tevetoğlu, Kadir Has Üniversitesi Yayınları, İstanbul 2006, s. 70; Küzeci, s. 358; Uğur Ersoy, Bir İnsan Hakları Kav- ramı Olarak “Kişisel Verilerin Korunması”, Yüksek Lisans Tezi, Gazi Üniversitesi Sosyal Bilimler Enstitüsü, Kamu Yönetimi Anabilim Dalı, Ankara 2009, s. 16; Bun- dan sonra “Kişisel Verilerin Korunması” olarak anılacaktır. 22 Başbakanlık’tan TBMM Başkanlığı’na gönderilen 2008 tarihli Tasarı’nın metni ve Gerekçe’sini içeren 22.04.2008 tarih, B.02.0.KKG.0.10/101.192/1812 sayılı ve “Ka- nun Tasarısı” konulu yazı metni için bakınız. (Çevrimiçi) http://www2.tbmm. gov.tr/d23/1/1-0576.pdf, (Erişim Tarihi:20 Mart 2016). 23 Adalet Bakanlığı Kanunlar Genel Müdürlüğü’ne resmi web sitesinde bulunan du- TBB Dergisi 2016 (124)   Ğbrahim KORKMAZ 87 Tasarı, 18.01.2016 tarihinde tekrar Türkiye Büyük Millet Meclisi Başkanlığı’na gönderilmiştir. 24 TBMM Başkanlığı tarafından 19.01.2016 tarihinde esas komisyon olarak Adalet Komisyonuna, 25 tali komis- yonlar olarak Anayasa Komisyonu, Avrupa Birliği Uyum Komisyonu, İnsan Haklarını İnceleme Komisyonu ve Plan ve Bütçe Komisyonuna gönderilen Tasarı hakkında Adalet Komisyonu 12.02.2016 tarihinde ra- porunu vermiştir. 26 6698 sayılı Kişisel Verilerin Korunması Kanunu 24 Mart 2016 tarihinde nihayet TBMM’nde kabul edilerek kanunlaşmış- tır. Çalışmamızda Kişisel Verilerin Korunması Kanunu, 108 sayılı Av- rupa Konseyi Sözleşmesi ve 95/46/AT sayılı Avrupa Birliği Yönergesi başta olmak üzere kişisel verilerin korunması ile ilgili önemli görülen uluslararası düzenlemeler ışığında incelenmiştir. I. KANUNUN AMACI, KAPSAMI VE TANIMLAR A. Kanunun Amacı 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun “Amaç” baş- lıklı 1. maddesinde Kanun ile elde edilmesi umulan amaç belirtilmiş- tir. Buna göre Kişisel Verilerin Korunması Kanunu’nun amacı, “kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişile- rin yükümlülükleri ile uyacakları usul ve esasları düzenlemektir.” Maddenin gerekçesinde, maddeyle Kanun’un amacının belirlendi- ği, bu amacın, kişisel verilerin işlenmesinin disiplin altına alınması ve Anayasa’da öngörülen başta özel hayatın gizliliği olmak üzere temel hak ve özgürlüklerin korunması olduğu belirtilmiştir. Gerekçede ay- yuruya göre, 2014 tarihli Kişisel Verilerin Korunması Kanunu Tasarısı Taslağı, 08 Haziran 2012 tarihinde Başbakanlık’a gönderilmiştir. (Çevrimiçi) http://www. kgm.adalet.gov.tr/Tasariasamalari/Basbakanlik/Basbakanlik.html , (Erişim Ta- rihi: 10 Mart 2016) 24 Başbakanlık’tan TBMM Başkanlığı’na gönderilen 2016 tarihli Tasarı’nın metni ve Gerekçe’sini içeren 16.01.2016 tarih, 31853594-101-580-249 sayılı ve “Kanun Ta- sarısı” konulu yazı metni için bakınız. (Çevrimiçi) http://www2.tbmm.gov.tr/ d26/1/1-0541.pdf (Erişim Tarihi:07 Mart 2016). Bundan sonra “Tasarı” olarak anı- lacaktır. 25 Kişisel Verilerin Korunması Kanunu Tasarısı 26’ncı Dönemde 64’üncü Cumhuri- yet Hükûmetinin Adalet Komisyonuna sevk ettiği ilk kanun tasarısıdır. Komis- yon Raporu, s. 4. 26 a.g.e., s. 5. Kişisel Verilerin Korunması Kanunu Hakkında Bir Değerlendirme...88 rıca, Kanun ile son yıllarda önem kazanan kişinin mahremiyet hakkı ile bilgi güvenliği hakkının korunması ve kişisel verileri işleyen ger- çek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasların düzenlenmesinin amaçlandığı belirtilmiştir. 27 Madde metnine bakıl- dığında, Kanun’un amacının Anayasa’nın 20. maddesi çerçevesinde düzenlendiğini görmekteyiz. 28 Madde, 95/46/AT sayılı Avrupa Birliği Yönergesi’nin 1. maddesi 29 ve Avrupa Birliği Kişisel Verilerin Korun- ması Yönetmelik Taslağı’nın 1. maddesi 30 ile paralellik göstermektedir. B. Kanunun Kapsamı Kişisel Verilerin Korunması Kanunu’nun “Kapsam” başlıklı 2. maddesinde Kanun’un kapsamı düzenlenmiştir. Buna göre Kişisel Verilerin Korunması Kanunu “kişisel verileri işlenen gerçek kişiler ile bu verileri tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişiler hakkında uygulanır.” Kanunun gerekçesinde de 31 belirtildiği gibi, Kanun, kişisel veri- leri işlenen gerçek kişiler ile bu verileri işleyen gerçek ve tüzel kişiler hakkında uygulanacaktır. Kanunun uygulaması bakımından kamu ve özel sektör ayrımı yapılmamış olup, düzenlenen usul ve esaslar her iki sektör bakımından da uygulama alanı bulmaktadır. Kanun, kişisel ve- rilerin otomatik veya herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenmesi durumunda uygulana- caktır. 32 27 Tasarı, s. 18. 28 Anayasamızın 20. maddesine göre “ Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir.” 29 95/46/AT sayılı Avrupa Birliği Yönergesi’nin metni için bakınız. (Çevrimiçi) http://eur-lex.europa.eu/legal-content/en/ALL/?uri=CELEX:31995L0046 (Eri- şim Tarihi: 14 Mart 2016) 30 Avrupa Birliği Kişisel Verilerin Korunması Yönetmelik Taslağı ( Orjinal adı, Pro- posal for a Regulation Of The European Parliament and Of The Council on the protection of individuals with regard to the processing of personal data and on the free movement of such data (General Data Protection Regulation) için bakı- nız. (Çevrimiçi) http://ec.europa.eu/justice/data-protection/document/revi- ew2012/com_2012_11_en.pdf (Erişim Tarihi: 14 Mart 2016) Bundan sonra “AB Yönetmelik Taslağı” olarak anılacaktır. 31 Tasarı, s. 18. 32 Veri kayıt sistemi, Kanunun 3. maddesinde, kişisel verilere ulaşımı kolaylaştıra- cak şekilde, belirli bir kritere göre yapılandırılmış kayıt sistemi olarak tanımlan- TBB Dergisi 2016 (124)   Ğbrahim KORKMAZ 89 Kişisel verilerin korunmasında kişi kavramının içeriği konusunda uluslararası doktrin ve mevzuatta farklı görüşler mevcuttur. Bir gö- rüş sadece gerçek kişilere ait verilerin kişisel verilerin korunmasından yararlanması gerektiğini savunmaktadır. 33 Bir diğer görüş ise, tüzel kişilere ait verilerin de bu korumadan faydalanabileceğini savunmak- tadır. 34 mıştır. Veri kayıt sistemi sadece dijital veya elektronik ortamda olmak zorunda değildir. Kanunun düzenlemesinden anlaşıldığı ve gerekçede belirtildiği gibi, bir veri kayıt sisteminin parçası olmayan kişisel veriler otomatik olmayan yollarla işlendiklerinde Kanun kapsamında değerlendirilmeyeceklerdir. Gerekçede, bu durumun verilerin kişisel veri niteliğini etkilememesi nedeniyle, bu tür verilere ilişkin hukuka aykırı eylemlerin 5237 sayılı Türk Ceza Kanunu uyarınca suç teşkil etmeye devam edecekleri belirtilmiştir a.g.e., s. 18. 33 Douwe Korff, EC Study on the Protection of the Rights and Interests of Legal Persons with Regard to the Processing of the Personal Data Relating to Such Per- sons, (Study Contract ETD/97/B5-9500/78) s. 41 (Çevrimiçi) http://papers.ssrn. com/sol3/papers.cfm?abstract_id=1288583&download=yes, (Erişim Tarihi: 10 Mart 2016); Elif Mendos Kuşkonmaz, Kişisel Verilerin Türk Ceza Kanunu Kapsa- mında Korunması, Yüksek Lisans Tezi, İstanbul 2013, s.8; I. N. Walden.– R.N. Sa- wage, “Data Protection and Privacy Laws: Should Organisations be Protected?”, International and Comparative Law Quarterly, C.37, S. 22, 1988, s. 337; Hüseyin Can Aksoy, Kişisel Verilerin Korunması, Yüksek Lisans Tezi, Ankara Üniversitesi Sosyal Bilimler Enstitüsü Özel Hukuk (Medeni Hukuk) Anabilim Dalı, Ankara 2008, s. 24.; Engin Dinç, Kişisel Verilerin Korunmasında Uluslararası Düzenleme- ler ve Türkiye’nin Durumu, Yüksek Lisans Tezi, Dicle Üniversitesi Sosyal Bilimler Enstitüsü Kamu Hukuku Anabilim Dalı, Diyarbakır, 2006, s. 15, Bundan sonra “Kişisel Verilerin Korunmasında Uluslararası Düzenlemeler” olarak anılacaktır; Sadece gerçek kişilerin özel hayatından söz edilebileceğini savunan görüşe göre, tüzel kişilerin kişisel verilerinin korunması söz konusu olmayıp, ancak ticari sır- larının gizliliği söz konusu olabilir. AİHM’nin B. Company ve diğerleri v. Hollan- da kararında da toplam sekiz şirketten oluşan başvurucular, şirketin yıllık mali tablolarını yayımlama yükümlülüğü getiren kanuni düzenlemenin AİHS’e aykırı olduğunu ileri sürmüşler, AİHM verdiği kararda söz konusu durumun kişisel bir nitelik taşımadığını, bundan dolayı özel yaşama saygı hakkı kapsamında görüle- meyeceğini belirtmiştir. Aydın, s. 7, 8. 34 Diğer taraftan tüzel kişilerin kişisel verilerin de korunması gerektiği savunulmak- tadır. Korff, tüzel kişilerin aralarında korunma ihtiyacı açısından farklılıklar bu- lunduğu, dini, siyasi ve sendikal örgütler şeklindeki tüzel kişilerin, diğer tüzel ki- şilere daha çok korunma ihtiyacı içinde olduklarını belirtmiştir. Korff, s. 57; Tüzel kişiler arsında farklı veri koruma sistemlerinin oluşturulması düşüncesi Korff’un fikrini destekler niteliktedir. Buna göre, uluslararası şirketler, özel girişimciler, kar amacı gütmeyen şirketler, her biri farklı güçte oluşumlardır. Bunların birbirleri- ne göre farklı koruma sistemlerine sahip olmaları gerekir, Walden – Sawage, s. 347; Tezcan ise, tüzel kişilere ait bilgilerin kişisel veri kapsamında değil ticari sır kapsamında koruması gerektiğini savunmaktadır, Durmuş Tezcan, “Bilgisayar Karşısında Özel Hayatın Korunması”, Anayasa Yargısı Dergisi, 8. Cilt, 1991, s.389; Bir başka görüş ise tüzel kişilere ait verilerin kişisel verilerin korunması sistemin- den ziyade, marka, patent, telif hakkı, gizlilik sözleşmesi gibi alternatif koruma Kişisel Verilerin Korunması Kanunu Hakkında Bir Değerlendirme...90 OECD Rehber İlkeleri ve 108 sayılı Avrupa Konseyi Sözleşmesi’nde sadece gerçek kişilere ait kişisel veriler korunmaktadır. 35 Buna benzer şekilde, 95/46/AT sayılı Avrupa Birliği Yönergesi’nin 2/a maddesinde- ki kişisel veri tanımında ve başlangıç bölümünün 2. maddesinde sade- ce gerçek kişilere ait veriler kişisel veri olarak kabul edilmiş ve tüzel kişilere ait veriler kapsam dışında tutulmuştur. 36 2002/58/AT sayılı Elektronik Haberleşme Yönergesi’nin başlangıç bölümünde yer alan 12. maddede, elektronik haberleşme sektöründe gerçek kişiler yanında tüzel kişilere ait kişisel verilerin de koruma altına alınabileceği belir- tilmiştir. 37 Kişisel verilerin korunması hakkı, öncelikle gerçek kişiler için söz konusudur. Kişisel Verilerin Korunması Kanunu’nda da sadece gerçek kişiler ile ilişkili verilerin korunduğu, hem ikinci maddeden hem de kişisel verinin tanımının yapıldığı üçüncü maddeden anlaşılmaktadır. Kişisel verilerin korunmasına dair uluslararası düzenlemelerde de öncelikle gerçek kişi ile ilişkili verilerin korunmasının hedef alındığı söylenebilir. 38 Tüzel kişilere ait veriler gerçek kişilerin verilerini de içe- sistemleri ile korunması gerektiğini desteklemektedir. Jerry Kang, “Information Privacy in Cyberspace Transactions”, Stanford Law Review, C.50, 1998, s.1211. Sonuç olarak tüzel kişilerin verilerinin, kişisel verilerin korunması mevzuatıyla korunup korunmaması hakkında mevzuatta ve öğretide bir görüş birliği bulun- mamaktadır. Kuşkonmaz, s.9. 35 OECD Rehber İlkeleri’nin 1/b ve 108 sayılı Avrupa Konseyi Sözleşmesi’nin 2/a maddelerinde yapılan kişisel veri tanımlarında sadece gerçek kişilere ait kişisel veriler kapsam içinde tutulmuştur. 36 Korff, s. 14. Bununla birlikte Yönerge, tüzel kişilerin kişisel verilerinin korunup korunmayacağıyla ilgili düzenleme yapıp yapmamalarını taraf devletlerin takdi- rine bırakmıştır. Aydın, s. 8. 37 Aksoy, s. 26; Kuşkonmaz, s.8; Aydın Akgül, Kişisel Verilerin Korunması Açısın- dan İdarenin Hukuki Sorumluluğu ve Yargısal Denetimi, Doktora Tezi, Kocaeli Üniversitesi Sosyal Bilimler Enstitüsü, Kocaeli 2013., s. 10. 38 108 sayılı Avrupa Konseyi Sözleşmesi’nde gerçek kişiler ve gerçek kişilere ait kişi- sel veriler korunmaktadır (md. 2.a). Buna karşılık Sözleşme’ye katılan devletlerin, dolaylı veya doğrudan gerçek kişilerden oluşan kişi grupları, dernekler, vakıf- lar, topluluklar, kurumlar ve öteki organlarına da Sözleşme’nin kapsamı altında koruma sağlayabilecekleri yine Sözleşme’de yer almaktadır (md. 3. f.2b). OECD Rehber İlkelerinde de esas olarak gerçek kişilere ilişkin veriler korunmakta olup, tüzel kişileri veya kişi grupları uygulama alanına dâhil etmek üye devletlere bı- rakılmaktadır (m.6). 95/46/AT Sayılı Avrupa Birliği Yönergesi’nin uygulama ala- nını belirten 3. maddesinde de gerçek kişilere ait kişisel verilerin koruma altına alındığı görülmektedir. Bununla birlikte, Avusturya, Danimarka ve Lüksemburg gibi bazı ülkelerin veri koruma mevzuatlarında tüzel kişilere ait verileri de koru- ma altına aldıkları görülmektedir. Şimşek, Anayasa Hukukunda Kişisel Verilerin TBB Dergisi 2016 (124)   Ğbrahim KORKMAZ 91 riyorsa ve gerçek kişi tüzel kişinin verisi sayesinde belirli veya belirle- nebilir hale geliyorsa, 39 bu durumda tüzel kişilere ait verilerde kişisel verilerin korunması hakkının kapsamı içinde olacaklardır. 40 Kişisel verilerin kamusal organlar karşısında korunması temel hakkının muhatabı esas olarak devlet olmakla birlikte, çeşitli uluslara- rası düzenlemelerde, devlet yanında özel sektör kurum ve kuruluşla- rının da kişisel veri kurallarının muhatabı oldukları yer almaktadır. 41 Kişisel Verilerin Korunması Kanunu’nun 2. maddesi düzenlenir- ken 95/46/AT sayılı Avrupa Birliği Yönergesi’nin örnek alındığı gö- rülmektedir. 95/46/AT sayılı Avrupa Birliği Yönergesi’nin 3. maddesi Yönerge’nin uygulama bulacağı alanları belirtmiştir. 42 Buna göre Yö- nerge, kişisel verilerin tamamen veya kısmen otomatik olarak işlenme- si ve bir dosyalama sistemine kaydedilen veya kaydedilecek kişisel ve- rilerin otomatik olmayan yollarla işlenmesi durumlarında uygulama bulur. 43 Kişisel veriler otomatik olarak işlem görmese bile, bir dosya içerisinde organize edilmiş ve verilere ulaşılabilirlik belirli kriter veya Korunması, s. 122. Doktrinde baskın olan görüşe göre, kişisel verilerin korunması hakkı temel bir insan hakkıdır. Akgül, s. 67. Her gerçek kişi, kişisel verilerin ko- runması temel hakkının sahibidir. Kişisel verilerin korunması hakkı, esas olarak kişinin verileri üzerindeki belirleme hakkını koruduğundan, hak sahibinin yaşa- yan gerçek kişi olması gerekir. Bu nedenle, ölü kişi, doğrudan kişisel verilerin ko- runması hakkının sahibi olamaz. Kişisel verilerin korunması hakkının, esas olarak insan onuru ve kişiliğini koruduğu söylenirse, bu hakkın tüzel kişileri kapsama- dığı söylenebilir. Buna karşılık tüzel kişilerde, gerçek kişilere ait kişisel verilerin bulunması veya tüzel kişilere ait verilerde gerçek kişilere ait verilerin bulunması mümkündür. Tüzel kişilerde, doğrudan veya dolaylı olarak gerçek kişilere ait ve- riler varsa, bu durumda bu veriler mevcut düzenlemelere göre korunur. 39 Örneğin, bir limited şirketin müdürü veya ortakları hakkındaki veriler. 40 Şimşek, Anayasa Hukukunda Kişisel Verilerin Korunması, s. 122. 41 108 sayılı Avrupa Konseyi Sözleşmesi, madde 1; OECD Verilerin Korunması İlke- leri madde 2. 42 Başalp,, s.13; Şimşek, Anayasa Hukukunda Kişisel Verilerin Korunması, s.42; Da- niel J Solove – Marc Rotenberg – Paul M. Schwartz, Information Privacy Law, İkinci Baskı, Aspen Publishers, New York 2006,.s. 902; Güray Dağ, Kişisel Verile- rin Ceza Muhakamesi Hukukunda Delil Olarak Kullanılması, Doktora Tezi, Mar- mara Üniversitesi Sosyal Bilimler Enstitüsü Kamu Hukuku Bilim Dalı, İstanbul 2011, s. 53. 43 95/46/AT sayılı Avrupa Birliği Yönergesi madde 3/1; David Bainbridge, Data Protection Law, CLT Professional Publishing, 2000, s. 17; Cristopher Kuner, Eu- ropean Data Protection Law: Corporate Compliance and Regulation, İkinci Baskı, Oxford University Press, 2007, s. 99. Bundan sonra “European Data Protection Law” olarak anılacaktır; Şimşek, Anayasa Hukukunda Kişisel Verilerin Korunma- sı, s.42. Kişisel Verilerin Korunması Kanunu Hakkında Bir Değerlendirme...92 kriterlere göre kolaylaştırılmış 44 ise, bu işlemler Yönerge’nin koruması altındadır. 45 Bu anlamda kişisel verilerin bilgisayarda veya bir dosya- da bulunması arasında fark yoktur. Otomatik veya elle işlenen bütün kişisel veriler Yönergenin kapsamı alanındadır. 46 C. Tanımlar Kişisel Verilerin Korunması Kanunu’nun 3. maddesinde tanım- lara yer verilmiştir. 1. Kişisel Veri Kanunda kişisel veri, kimliği belirli veya belirlenebilir gerçek kişi- ye ilişkin her türlü bilgi olarak tanımlanmıştır. 47 Bu bağlamda kişilerin kesin olarak belirlenmesini sağlayan adı, soyadı, doğum tarihi ve do- ğum yeri gibi bilgiler yanında, kişinin fiziki, ailevi, ekonomik ve sos- yal özelliklerine ilişkin bilgiler de kişisel veri olarak kabul edilmelidir. Gerekçede, bir kişinin belirli veya belirlenebilir olması, “mevcut verile- rin herhangi bir şekilde bir gerçek kişiyle ilişkilendirilmesi suretiyle, o kişinin tanımlanabilir hale getirilmesi” olarak tanımlanmıştır. 48 Gerekçede isim, telefon numarası, motorlu taşıt plakası, sosyal güvenlik numarası, pa- saport numarası, özgeçmiş, resim, görüntü ve ses kayıtları, parmak 44 Örneğin, dosya içerisindeki kayıtların zaman sırasına göre tutulmuş olması gibi, Başalp, Kişisel Verilerin Korunması ve İnternet, s.14. 45 Başalp, Kişisel Verilerin Korunması ve Saklanması, s.36. 46 108 sayılı Avrupa Konseyi Sözleşmesi ile karşılaştırıldığında Yönerge ile getiri- len en önemli ilerleme elle işlenen kişisel verilerin de koruma içine alınmasıdır. Sözleşme’de üye ülkeler için elle işlenen kişisel verilerin korunmasıyla ilgili bir zorunluluk bulunmamaktadır. Akgül, s. 149; İngiltere, 95/46/AT sayılı Avrupa Birliği Yönergesi’nin elle işlenen kişisel verileri kapsamasına itiraz etmiş ve buna karşılık sadece İngiltere’de elle işlenen kişisel verilerle ilgili 12 yıllık bir geçiş sü- reci olması kararlaştırılmıştır. Dorothee Heisenberg, Negotiating Privacy: The European Union, the United States and Personal Data Protection, Lynne Rienner Publishers, London 2005., s.28. 47 Komisyon Raporu, s. 7. 48 Gerekçeye göre, kişinin belirli veya belirlenebilir olması, “verilerin; kişinin fizik- sel, ekonomik, kültürel, sosyal veya psikolojik kimliğini ifade eden somut bir içe- rik taşıması veya kimlik, vergi, sigorta numarası gibi herhangi bir kayıtla ilişkilen- dirilmesi sonucunda kişinin belirlenmesini sağlayan tüm halleri kapsar ” a.g.e, s. 7. Kişisel veri tanımında yer alan belirlenebilir kişi kavramında, “orantılılık pren- sibine” dikkat edilmelidir. Burada bir kişinin tespiti için orantısal olarak çok fazla zaman ve çaba gerekiyorsa bu durumda bu kişi belirlenebilir farz edilmemeldir. Bir kişinin kimliğinin belirlenebilir olup olmadığının tespitinde, başkaları tarafın- dan kullanılabilecek makul yöntemler hesaba katılmalıdır. Tasarı, s. 18. TBB Dergisi 2016 (124)   Ğbrahim KORKMAZ 93 izleri, genetik bilgiler gibi verilerin kişileri belirli veya belirlenebilir kılma özelliklerinin bulunması nedeniyle kişisel veriler oldukları be- lirtilmiştir. 49 Kişisel verinin tanımı çeşitli uluslararası ve ulusal metinlerde ya- pılmıştır. Kişisel veriler, bu konuya ilişkin kabul edilmiş ilk uluslara- rası belge olan ve 1980 yılında OECD tarafından yayınlanan Kişisel Verilerin Sınıraşan Trafiği ve Verilerin Korunmasına İlişkin Rehber İlkeleri’nin 1/b maddesinde 50 “belirli veya belirlenebilir bir gerçek kişiye ilişkin tüm bilgiler” olarak tanımlanmıştır. 51 Kişisel verilerin korunmasına ilişkin kabul edilmiş ilk bağlayıcı uluslararası belge olan 28 Ocak 1981 tarih ve 108 sayılı “Kişisel Ve- rilerin Otomatik Olarak İşlenmesi Sırasında Gerçek Kişilerin Korun- masına İlişkin Avrupa Konseyi Sözleşmesi” 2/a maddesinde 52 yapılan bir başka tanımda ise, kişisel veriler, ”kimliği belirtilen veya belirtilebilen gerçek kişiye ait tüm bilgiler” şeklinde açıklanmıştır. 53 95/46/AT sayılı ve 24 Ekim 1995 tarihli “Kişisel Verilerin İşlen- mesi ve Bu Tür Verilerin Serbest Dolaşımına Dair Bireylerin Korun- ması Hakkındaki Avrupa Birliği Konseyi ve Avrupa Parlamentosu Yönergesi” 54 2/a maddesinde yapılan tanımda ise kişisel veriler, ‘belirli 49 a.g.e, s. 18. 50 OECD Rehber İlkeleri, OECD Guidelines on the Protection of Privacy and Trans- border Flows of Personal Data; (Çevrimiçi) http://www.oecd.org/internet/ieco- nomy/ oecdguidelinesontheprotectionofprivacyandtransborderflowsofpersonal- data.htm, (Erişim Tarihi: 12 Mart 2016), Bundan sonra “OECD Rehber İlkeleri” olarak anılacaktır. Kuner, European Data Protection Law, s.91. 51 Ahmet Boz, Kişisel Verilerin Korunması: Türkiye, ABD ve AB Örnekleri, Yüksek Lisans Tezi, Polis Akademisi Güvenlik Bilimleri Enstitüsü Güvenlik Stratejileri ve Yönetimi A.B.D., Ankara 2014, s. 7. 52 Kişisel Verilerin Otomatik Olarak İşlenmesi Sırasında Gerçek Kişilerin Korunma- sına İlişkin Avrupa Konseyi Sözleşmesi, Sözleşme metni için bakınız. (Çevrimi- çi) http://www.avrupakonseyi.org.tr/antlasma/aas_108.htm, (Erişim Tarihi: 10 Mart 2016) Bundan sonra “108 sayılı Avrupa Konseyi Sözleşmesi” olarak anıla- caktır 53 Veli Özer Özbek, TCK İzmir Şerhi, Yeni Türk Ceza Kanununun Anlamı Özel Hükümler, C.II, Seçkin, Ankara 2008, s.948, Sabire Sanem Yılmaz, Tıp Alanında Kişisel Verilerin Hukuka Aykırı Olarak Verilmesinin Ceza Hukuku Açısından Değerlendirilmesi (Sır Saklama Yükümlülüğü Kapsamında), Yüksek Lisans Tezi, Bahçeşehir Üniversitesi Sosyal Bilimler Enstitüsü Kamu Hukuku Yüksek Lisans Programı, İstanbul 2014, s. 22. 54 Kişisel Verilerin İşlenmesi ve Bu Tür Verilerin Serbest Dolaşımına Dair Bireylerin Korunması Hakkındaki Avrupa Birliği Konseyi ve Avrupa Parlamentosu Yöner- gesi, Yönerge metni için bakınız. (Çevrimiçi) http://eur - lex.europa.eu (Erişim Kişisel Verilerin Korunması Kanunu Hakkında Bir Değerlendirme...94 veya belirlenebilir bir gerçek kişi hakkındaki tüm bilgiler” şeklinde yer al- mıştır. 55 “Belirlenebilir kişi” kavramı da aynı maddede “doğrudan veya dolaylı olarak özellikle bir kimlik numarası veya kişinin fiziksel, psikolojik, ruhsal, ekonomik, kültürel veya sosyal kimliğine bir veya birden fazla spesifik faktör referans alınarak, kimliği belirlenebilen kişi” olarak tanımlanmıştır. 56 TCK’nun gerekçesinde de “gerçek kişiyle ilgili her türlü bilgi, kişisel veri kabul edilmelidir” denmektedir. 57 Türk Dil Kurumu Güncel Türkçe Sözlük’e göre “kişisel” kelime- si, “kişi ile ilgili, kişiye ilişkin, kişinin kendi malı olan, şahsi, zatî”, “veri” ise “bilgi, data” olarak tanımlanmıştır. 58 Kişisel veri kavramı, en genel tanımıyla belirli veya kimliği belirlenebilir olmak, şartıyla bir kişiye 59 ilişkin bütün bilgileri ifade etmektedir. 60 Bu bilgiler; belli bir kimse- nin kimliği, etnik kökeni, fiziksel özellikleri, sağlık, eğitim, istihdam durumu, cinsel yaşamı, aile hayatı, başkaları ile yaptığı haberleşme- ler, ikamet adresi, kredi kartı, kişisel düşünce ve inançları, dernek ve sendika üyelikleri, alışveriş alışkanlıkları gibi kişiyle ilgili, kişiyi belir- Tarihi: 10 Mart 2016), Bundan sonra “95/46/AT Sayılı Avrupa Birliği Yönergesi” olarak anılacaktır 55 Aksoy, s.15; Rosemary Jay –Angus Hamilton, Data Protection Law and Practice, Second Edition, Thomson, 2003, s.79; Bainbridge, s. 47; Cristopher Kuner, Euro- pean Data Privacy Law and Online Business, Oxford University Press, 2003, s. 49, Bundan sonra “European Data Privacy Law” olarak anılacaktır; Aydın, s. 4. 56 Nil Melek Gültekin, Kişisel Verilerin Ceza Hukuku Yönünden Korunması, Yük- sek Lisans Tezi, Galatasaray Üniversitesi Sosyal Bilimler Enstitüsü Kamu Hukuku A.B.D., İstanbul 2012, s. 7; Kuner, European Data Protection Law, s.91; Oğuz Şim- şek, “4422 sayılı Çıkar Amaçlı Suç Örgütleriyle Mücadele Kanunu ve Kanunun 4. maddesine Göre “Kayıt ve Verilerin İncelenmesi ve Kişisel Nitelikli Verilerin Korunması”, İzmir Barosu Dergisi, S. 4, 2001, (Çevrimiçi) http://web.deu.edu.tr/ ab/MAKALE/deu%20MAK/0012.htm, (Erişim Tarihi:10 Mart 2016). 57 Türk Ceza Kanunu madde gerekçeleri için bakınız. (Çevrimiçi) www.ceza - bb.adalet.gov.tr/mevzuat/maddegerekce.doc, (Erişim Tarihi: 15 Mart 2016);, Gürsel Yalvaç, Karşılaştırmalı Gerekçeli TCK, CMK, CGTİK, 3. Bası, Adalet Ya- yınevi, Ankara 2007, s. 306;, Hale Akdağ, Türk Ceza Kanunu Kapsamında Kişi- sel Verilerin Korunması, Yüksek Lisans Tezi, Ankara Üniversitesi Sosyal Bilimler Enstitüsü Kamu Hukuku (Ceza ve Ceza Usul Hukuku) A.B.D., Ankara 2010, s.6. 58 Türk Dil Kurumu Güncel Türkçe Sözlük, (Çevrimiçi) http://www.tdk.gov.tr/in- dex.php?option=com_gts, (Erişim Tarihi: 10 Mart 2016). 59 Söz konusu kişinin gerçek veya tüzel kişi olması durumunda oluşacak farklılıkla- ra ilerideki bölümlerde değinilecektir. 60 Başalp, Kişisel Verilerin Korunması ve Saklanması, s.22; Aksoy, s.1; Kuner, Euro- pean Data Protection Law, s.92;, Dinç, Kişisel Verilerin Korunmasında Uluslara- rası Düzenlemeler, s. 4; Doğan Kılınç, Anayasal Bir Hak Olarak Kişisel Verilerin Korunması, AÜHFD, C.61, S.3, 2012, s. 1090. Aydın, s. 4; Bu tanım 2014 tarihli Tasarı’nın 3//1-ç maddesinde de benzer şekilde yer almaktadır. TBB Dergisi 2016 (124)   Ğbrahim KORKMAZ 95 lenebilir hale getiren, doğrudan ya da dolaylı olarak bir gerçek kişiy- le ilişkilendirilmesi suretiyle kişiyi tanımlayabilme özelliği bulunan bilgilerdir. 61 2. Kişisel Verilerin İşlenmesi Kanunda kişisel verilerin işlenmesi; “kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, akta- rılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem” olarak, geniş bir alanı kapsayacak şekilde tanımlanmıştır. Ge- rekçede belirtildiği gibi, kişisel verilerin işlenmesi, verilerin ilk defa elde edilmesinden başlayarak veriler üzerinde gerçekleştirilen tüm iş- lem türlerini ifade etmektedir. 62 Kişisel verilerin korunması, bir ya da birden çok kişi veya kuru- luşun dâhil olduğu bir sürece ilişkin düzenlemeleri içerir. Bu süreç, kişisel verilerin işlenmesi olarak adlandırılır. 63 İşleme, bilgisayarla ya da elle gerçekleştirilen her türlü süreci içerir. 64 3. Açık Rıza Kanunda açık rıza, 95/46/AT sayılı Avrupa Birliği Yönergesi’nde yer aldığı şekilde “Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza” olarak tanımlanmıştır. Gerekçede de belir- tildiği gibi, “açık rıza ilgili kişinin kendisiyle ilgili veri işlenmesine, özgürce, 61 Özbek, s.948; Kılınç, s.1092; Ersoy, Kişisel Verilerin Korunması, s. 16; Raymond Wacks, Personal Information Privacy and the Law, Clarendon Press, Oxford 1993, s. 26; Lee Bygrave, Data Protection Law - Approaching Its Rationale, Logic and Li- mits, Kluwer Law International, Newyork 2002, s. 43, Bundan sonra “Data Protec- tion Law” olarak anılacaktır; Judith Wagner Decew, “The Scope of Privacy in Law and Ethics”, Law and Philosophy, 5, 1986, s.307; W. A. Parent, A New Definition of Privacy for the Law, Law and Philosophy, 2, 1983, s. 307. 62 Tasarı, s. 18. 63 95/46/AT sayılı Avrupa Birliği Yönergesi madde 2/b; Gültekin, s.70; Bainbridge, s. 48; Kuner, European Data Protection Law, s.242. 64 Başalp, Kişisel Verilerin Korunması ve Saklanması, s. 15 - 16; 2014 tarihli Kişisel Verilerin Korunması Kanunu Tasarısı, md 3(e); Kuner, European Data Protection Law, s.79; Ersoy, Kişisel Verilerin Korunması, s. 17; Akgül, s. 62. Kişisel Verilerin Korunması Kanunu Hakkında Bir Değerlendirme...96 konuyla ilgili yeterli bilgi sahibi olarak, tereddüde yer bırakmayacak açıklıkta ve sadece o işlemle sınırlı olarak verdiği onay beyanı şeklinde anlaşılmalıdır.” 65 Kişisel verilerin korunmasında ilgili kişinin kişisel verileri üze- rinde yapılan işlemlere rıza göstermesi, ilgili kişinin veri işleme sü- recine katılmasını ve veriler üzerinde denetimini sağlayan, verilerin işlenmesine meşruluk katan önemli unsurlardan birisidir. 66 Birçok düzenlemede, belirli durumlarda kişisel verilerin toplanması, işlen- mesi ve saklanmasından önce ilgili kişinin rızasının alınmasının ge- rekli olduğu belirtilmiştir. 67 Bu durumlarda rıza beyanı bu işlemlerin hukuka uygunluğunu sağlamaktadır. AB Temel Haklar Şartı’nın 8. maddesinde kişinin rıza beyanında bulunması ilkesine yer verilmiş, 95/46/AT sayılı Avrupa Birliği Yönergesi’nin 2/h ve 7/a maddelerinde ise ilgili kişinin rızası, veri işlemeyi meşru kılan durumlar arasında sayılmıştır. 68 4. Anonim Hale Getirme Kanunda kişisel verilerin anonim hale getirilmesi, verilerin başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlene- bilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi olarak tanımlanmıştır. Bir başka deyişle, kişisel verinin anonim hale getiril- mesi sonucunda elde kalan veri üzerinden bir izleme yapılarak başka verilerle eşleştirme ve destekleme sonrasında verinin kime ait olduğu- nun anlaşılamaması gerekir. 69 65 Komisyon Raporu, s. 7. 66 Küzeci, s.220; Şimşek, Anayasa Hukukunda Kişisel Verilerin Korunması, s.106. Kişisel verilerin korunması hakkının bir insan hakkı olduğu görüşü ilgili kişinin rıza beyanı ile etkinlik kazanmaktadır. Rıza beyanı, aynı zamanda bilgilerin gele- ceğini belirleme düşüncesinin bir yansımasıdır. Kuşkonmaz, s.101. 67 Article 29 Data Protection Working Party, Opinion 15/2011 on the definition of consent, 01197/EN WP187, 13.07.2011, (Çevrimiçi), http://ec.europa.eu/justi- ce/policies/privacy/docs/wpdocs/2011/wp187_en.pdf, (Erişim Tarihi: 12 Mart 2016). 68 Şimşek, Anayasa Hukukunda Kişisel Verilerin Korunması, s.108; Peter Carey, Data Protection: A Practical Guide to UK and EU Law, Oxford University Press, 2004., s.250. 69 Komisyon Raporu, s. 7. Çağımızdaki teknolojik gelkişmeler dikkate alındığında kişisel verilerin anonimleştirilmesinin gittikçe zorlaştığı görülmektedir. Bir başka deyişle, her geçen gün yeni teknoljilerin gelişmesiyle kişisel veriler ile kişilerin arasındaki bağın kurulması daha kolaylaşmaktadır. Komisyon Raporu, s. 30. TBB Dergisi 2016 (124)   Ğbrahim KORKMAZ 97 Bir verinin kişiyi belirlenebilir kılıp kılmadığı hususunda incelen- mesi gereken bir diğer konu da; takma ad kullanılan veriler, 70 şifreli veriler 71 ve anonim verilerdir. 72 Takma ad kullanılan veriler, özellikle istatistiki amaçlarla birden çok kişiye ilişkin birden çok veri toplan- ması gerektiğinde, bu kişilerin belirlenememesi için isimlerinin başka isimlerle değiştirilmesi durumunda oluşan verilerdir. 73 Şifreli veriler- de ise kişilerin isimleri yerine bir kod numarası verilir ve bu kod nu- marası ayrı bir yerde saklanır. Kod numaralarına ulaşan birisinin bu numaralar vasıtasıyla ya da takma adları öğrenen birisinin bu takma adlar vasıtasıyla, kişilerin kimliğini öğrenebileceği mümkün oldu- ğundan, takma adlı veriler ve şifreli veriler, veri koruma yasalarının koruması altındadır. 74 Takma adlı veriler Kişisel Verilerin Korunması Kanunu’nda tanımlanmamıştır. 75 Anonim verilerde ise, yapılan işlem- ler sonucunda belirlenebilir bir birey ile verinin arasındaki bağ kopa- rılmak suretiyle bireyin kimliğinin tespiti olanaksız hale getirildiğin- den, verilerin ait olduğu kişilere ulaşmak mümkün olmamaktadır. Bu nedenle anonim veriler, kişisel veri değildirler. 76 95/46/AT sayılı Avru- pa Birliği Yönergesi’nin başlangıç bölümünün 26. maddesinde anonim verilerin kişisel veri olmadığı belirtilmiştir. 77 5. Veri Kayıt Sistemi Kanun kapsamında veri kayıt sistemi, kişisel verilerin belli kriter- lere göre yapılandırılarak işlendiği bir kayıt sistemi olarak tanımlan- mıştır. Kanunun gerekçesinde de belirtildiği gibi veri kayıt sistemleri elektronik veya fiziki ortamlarda oluşturulabilir. 78 70 İngilizce, pseudonymised data. 71 İngilizce, key - coded data. 72 İngilizce, anonymous data. 73 95/46/AT sayılı Avrupa Birliği Yönergesi’nin 24 numaralı gerekçesi. 74 Bazı yazarlar, şifreli verilerin ve takma ad kullanılan verilerin kişisel verilerle il- gili mevzuat altında korunmasının, özellikle tıbbi araştırmalar gibi uzun vadeli araştırmalar söz konusu olduğunda, mali açıdan külfetli ve pahalı olacağını sa- vunmaktadırlar., Lucas Bergkamp – Jan Dhont, “Data Protection in Europe and the Internet: An Analysis of the European Community’s Privacy Legislation in the Context of the World Wide Web”, The EDI Law Review, S.7, 2000, s.74. 75 Komisyon Raporu, s. 39. 76 Walden Ian, “Anonymising Personal Data”, International Journal of Law and In- formation Technology, C.10, S.2, 2002, s.224-237’den çeviren Kuşkonmaz s. 11. 77 Aksoy, s. 36. 78 Gerekçede veri kayıt sisteminde kişisel verilerin sınıflandırılması ile ilgili örnekler Kişisel Verilerin Korunması Kanunu Hakkında Bir Değerlendirme...98 95/46/AT sayılı Avrupa Birliği Yönergesi’nde veri kayıt sistemi ye- rine kişisel veri dosyalama sistemi terimi kullanılmıştır. 79 Yönerge’de, kişisel veri dosyalama sistemi, belirli bir ölçüte göre erişilebilecek şe- kilde yapılandırılmış kişisel veri kümesi olarak tanımlanmıştır. Bu veri topluluğunun merkezi veya merkezi olmayan veya fonksiyonel veya coğrafi temelde bölümlenmiş olması önemli değildir. 80 6. Veri Sorumlusu ve Veri İşleyen Kanuna göre veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yö- netilmesinden sorumlu kişiler olup, bunlar gerçek kişiler veya tüzel kişiler olabilir. 81 Veri işleyen ise, veri sorumlusu adına verileri işleyen gerçek ve tüzel kişilerdir. 82 108 sayılı Avrupa Konseyi Sözleşmesi’nde veri sorumlusu, ulusal hukuk kapsamında hangi tür kişisel verilerin hangi amaçla kaydedi- leceğine ve bunlara hangi işlemler uygulanacağına karar veren gerçek veya tüzel kişiler olarak tanımlanmaktadır. 83 95/46/AT sayılı Avrupa Birliği Yönergesi, kişisel veri işleyenleri veri sorumlusu ve veri işlem- cisi olarak iki gruba bölmüştür. 84 Yönerge de veri sorumlusu, kişisel verilerin nasıl ve hangi amaçlar için işleneceğine tek başına veya başkalarıyla birlikte karar veren gerçek veya tüzel kişi, resmi ma- verilmiş olup buna göre, “veri kayıt sistemi, ad, soyad veya kimlik numarası üze- rinden sınıflandırılabileceği gibi, kredi borcunu ödemeyenlere ilişkin oluşturula- cak sınıflandırma da bu kapsamda değerlendirilecektir.” Tasarı, s. 19. 79 İngilizce “personal data filing system”. 80 95/46/AT sayılı Avrupa Birliği Yönergesi madde 2/c; Uygun, s. 50. 81 Komisyon Raporu, s. 7. 82 Veri işleyenler, kişisel verileri veri sorumluları tarafından verilen talimatlar çer- çevesinde işleyen, bir başka deyişle veri sorumlularınca çalıştırılan kişiler olabi- leceği gibi, veri sorumlusu tarafından kendisinden verilerin işlenmesi hizmeti satın alınan ayrı bir gerçek veya tüzel kişi olabilir. Kanunun gerekçesinde veri- len örnekte, bir muhasebe şirketinin kendi personeliyle ilgili tuttuğun verilerin işlenmesi açısından veri sorumlusu, aynı şirketin müşterisi olan şirketlere ilişkin kişisel verilerin işlenmesi açısından veri işleyen olarak kabul edilmesi gerektiği belirtilmiştir. a.g.e, s. 7. 83 108 sayılı Avrupa Konseyi Sözleşmesi md. 2-d; Songül Atak, “Avrupa Konseyinin Kişisel Veriler Açısından Sağladığı Temel Güvenceler”, Türkiye Barolar Birliği Der- gisi, S.87, 2010, s.96. 84 Kuner, European Data Protection Law, s. 69; Kuner, European Data Privacy Law, s. 62. TBB Dergisi 2016 (124)   Ğbrahim KORKMAZ 99 kam, kuruluş veya diğer bir mercidir. 85 Veri sorumlusu, veri koruma memurundan farklıdır. 86 Veri sorumlusu, veri işlemcisinden de farklı birisidir. Veri işlemcisi, veri sorumlusunun talimatı üzerine kişisel ve- rileri işleyen gerçek veya tüzel kişi, resmi makam, kuruluş veya diğer bir makamdır. 87 II. KİŞİSEL VERİLERİN İŞLENMESİ A. Kişisel Verilerin İşlenmesiyle İlgili Genel İlkeler Kişisel verilerin korunmasına ilişkin düzenlemelerde, verilerle ilgili yapılan işlemlerin insan onuru ve değerlerine uygun yapılması maksadıyla bazı ortak ilkeler belirlenmiştir. 88 Bu ilkelerin birbirinden kesin çizgilerle ayrılması zordur. Bazı ilkeler diğerlerine kaynaklık ederken bazıları da tamamlayıcı rol oynamaktadır. 89 Bu ilkelere ria- yet edilmemesi durumunda kişisel verilerin iyi niyetle, hukuka uygun olarak işlenmediği, ortada bir kötüye kullanımın bulunduğu kabul edilmektedir. 90 Kişisel verilerin işlenmesi ile ilgili genel ilkeler Kişisel Verilerin Korunması Kanunu’nun 4. maddesinde yer almaktadır. Maddenin birinci fıkrasında kişisel verilerin ancak Kanunda ve diğer Kanunlarda öngörülen usul ve esaslar çerçevesinde işlenebilece- ği belirtildikten sonra ikinci fıkrada kişisel verilerin işlenmesi ile ilgili ilkeler sayılımıştır. Bu ilkeler; hukuka ve dürüstlük kurallarına uygun olma, doğru ve gerektiğinde güncel olma, belirli, açık ve meşru amaç- 85 Kuner, European Data Protection Law, s. 117; Kuner, European Data Privacy Law, s. 62; Şimşek, Anayasa Hukukunda Kişisel Verilerin Korunması, s.44. Kişisel ve- rilerin işlenmesi ile ilgili metotların ve amaçların milli veya Birlik kanunları tara- fından belirlendiği durumlarda, veri sorumlusunun kim olduğu veya hangi özel- liklere sahip olması gerektiği de düzenlenebilir. 95/46/AT sayılı Avrupa Birliği Yönergesi madde 2/d. Bu anlamda, tek başına ticaretle uğraşanlar, ortaklıklar ve şirketler veri sorumlusu olabilirler. Buna ilave olarak, okullar, yerel yönetimler, kolluk güçleri, hastaneler ve devlet kurumları gibi ticaret dışı topluluklarda veri sorumlusu olabilirler. Kuner, European Data Protection Law, s. 69; Kuner, Euro- pean Data Privacy Law, s. 63.. 86 Veri koruma memuru, bir işletmede kişisel verilerin korunmasıyla ilgili kurallara uyulmasıyla sorumlu kişidir. Veri sorumlusunun veri koruma memuru atamak gibi bir zorunluluğu yoktur. Kuner, European Data Protection Law, s. 70. 87 95/46/AT sayılı Avrupa Birliği Yönergesi madde 2/e. 88 Muammer Ketizmen, Türk Ceza Hukukunda Bilişim Suçları, Adalet Yayınevi, Ankara Ocak 2008, s. 269; Küzeci, s.196. 89 Küzeci, s. 195; Akgül, s. 153. 90 Kuşkonmaz, s.87. Kişisel Verilerin Korunması Kanunu Hakkında Bir Değerlendirme...100 lar için işlenme, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ve ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmedir. 91 1. Hukuka ve Dürüstlük Kuralına Uygun Olma Kişisel verilerle ilgili pek çok metinde, birbirine yakın ifadelerle, kişisel verilerin hukuka ve dürüstlük kuralına uygun olarak işlenmesi kuralına yer verilmiştir. 92 Bu ilke diğer birçok ilkeyi kapsaması ve kay- nağını oluşturması nedeniyle, kişisel verilerin korunması hukukunun ilk ilkesi olarak değerlendirilebilir. 93 Bu ilke, kişisel verilerin işlenmesi sırasında kanun ve diğer hukuksal düzenlemelere uygun olarak ha- reket edilmesi anlamına gelmektedir. 94 İlke, kişisel verilerin hukuka uygun olarak işlenmesi ve dürüstlük kuralına uygun olarak işlenmesi olarak ikiye ayrılabilir. Kişisel verilerin hukuka uygun olarak işlenmesi, verilerin işlen- mesinde kanunlara ve diğer hukuksal düzenlemelere uygun hareket edilmesi zorunluluğunu ifade eder. 95 Kişisel verilerin işlenmesinde dürüstlük kuralına 96 uygun hareket etme, veri sorumlularının verile- rin işlenmesi sırasında şeffaflığa dikkat etmeleri ve ilgili kişilerin çı- karlarını ve beklentilerini dikkate almaları olarak tanımlanabilir. 97 91 Komisyon Raporu, s. 7. 92 Küzeci, s.196; Kuşkonmaz, s.88; Sevimli, s. 154; Dağ, s. 118. 93 Akgül, s. 154. 94 Küzeci, s.196; Ketizmen, s. 273; Dağ, s. 118. 95 Küzeci, s.196; Akgül, s. 154. 95/46/AT sayılı Avrupa Birliği Yönergesi’nde ve 108 sayılı Avrupa Konseyi Sözleşmesi’nde verilerin işlenmesi, kişisel veri üzerinde uygulanan bütün süreçleri kapsayacak şekilde oldukça geniş bir şekilde tanım- lanmış olup, işleme sürecinin tamamında hukuka uygun olarak hareket edilmesi, temel bir zorunluluktur. Küzeci, s.197; Kuşkonmaz, s.88. 96 Medeni hukukun temel kavramlarından birisi olan ve Medeni Kanunun 2. mad- desinde düzenlenen dürüstlük kuralı, toplum içinde kişilerin birbirleriyle olan ilişkilerinde nasıl davranmaları gerektiğini göstermekte ve kişilere buna göre davranma yükümlülüğü yüklemektedir, Kemal Oğuzman, Medeni Hukuk, Giriş, Kaynaklar, Temel Kavramlar, Filiz Kitabevi, İstanbul 2008, s.222. 97 Akgül, s. 154. Bir başka deyişle kişisel verilerin ilgili kişiye bildirilen toplama ve iş- leme amaçları işlenmesini, ilgili kişinin bu hususta yanıltılmamasını kapsamakta- dır. Hayrunnisa Özdemir, Elektronik Haberleşme Alanında Kişisel Verilerin Özel Hukuk Hükümlerine Göre Korunması, Seçkin Yayınları, Ankara 2009, s.138; Ketiz- men, s.224; Kuşkonmaz, s.89. Kanuni bir temele dayanmadan veya kanunda belir- lenen kısıtlamalara aykırı olarak kişisel verilerin gizli olarak işlenmesi dürüstlük ilkesine aykırı bir durumdur. Küzeci, s.197. Ayrıca, bu ilke gereği veri sorumluları, kişisel verilerin işlenmesi sırasında ilgili kişinin özel hayatın gizliliği hakkına ihlal TBB Dergisi 2016 (124)   Ğbrahim KORKMAZ 101 2. Doğru ve Gerekli İse Güncel Olma Kişisel verilerin doğru olarak tutulması, kişisel verileri işleyen kişi yanında ilgili kişinin çıkarları açısından da gerekli ve önemli bir du- rumdur. Kişisel verilerin yanlış olarak tutulması, ilgili kişinin temel hak ve özgürlüklerini, ekonomik çıkarlarını ve manevi bütünlüğünü zedeleyici sonuçlar doğurabilir. Kişisel verileri işleyen veri sorumlusu kişisel verileri belli bir amaç için tutmaktadır. Kişisel verilerin yanlış olması veri sorumlusunun da çıkarlarını zedeleyecektir. 98 Kişisel verilerin doğru ve güncel tutulması, veri sorumlusunun yükümlülüklerindedir. Bu yükümlülük, 95/46/AT sayılı Avrupa Bir- liği Yönergesi’nin 6/1 d, 108 sayılı Avrupa Konseyi Sözleşmesi’nin 5/d maddesinde yer alırken, İsviçre Veri Koruma Yasası’nda sadece verile- rin doğru olarak tutulmasına yer verilmiştir. OECD Rehber İlkelerinin 8. ve APEC Çerçeve Belgesinin 21. paragrafında kişisel verilerin doğru ve güncel olarak tutulması yanında tam olarak tutulması da bir zo- runluluk olarak yer almaktadır. 99 3. Belirli, Açık ve Meşru Amaçlar İçin İşlenme Kişisel verilerin belirli, açık ve meşru amaçlar için işlenmesi ilkesi, veri sorumlusunun, kişisel verileri işleme amacını açık ve kesin olarak belirlemesini ve bu amacın meşru olmasını zorunlu kılmaktadır. Veri sorumluları, kişisel verileri belirttikleri amaçlar dışında başka amaç- larla işlerlerse, bundan sorumlu olacaklardır. Gerekçede belirtildiği gibi, amacın meşru olması, veri sorumlusunun işlediği verilerin, yap- mış olduğu iş veya sunmuş olduğu hizmetle bağlantılı ve bunlar için gerekli olması anlamına gelmektedir. 100 eden hareketlerden kaçınmalıdırlar. Bygrave, Data Protection Law, s.58. 98 K. Ahmet Sevimli, İşçinin Özel Yaşamına Müdahalenin Sınırları, Doktora Tezi, İs- tanbul Üniversitesi Sosyal Bilimler Enstitüsü, Özel Hukuk Anabilim Dalı, İstanbul 2006, s. 155; Küzeci, s. 203. 99 Küzeci, s. 208Kişisel verilerin doğru ve gerekli ise güncel olması ilkesi, kişisel ve- rilere erişim hakkı ile yakından ilgilidir. İlgili kişi, kişisel verilerine erişemiyorsa bu verilerin doğru ve güncel olduğunun anlaşılması çok zor olacaktır. Veri so- rumlusu, bunun için ilgili kişinin verilerine ulaşabilmesine olanak sağlayan bir sistem oluşturmalıdır. Web sitelerinde kullanıcıların bir şifre ile kişisel bilgilerine ulaşabildikleri sistemler buna örnek olarak gösterilebilir. Böylece veri sorumlusu üzerine düşen yükümlülüğü yerine getirmiş olacaktır. a.g.e., s. 209; Şimşek, Ana- yasa Hukukunda Kişisel Verilerin Korunması, s.85. 100 Tasarı, s. 19. Kişisel Verilerin Korunması Kanunu Hakkında Bir Değerlendirme...102 Veri koruma düzenlemelerinin tamamında kabul edilen 101 amaca bağlılık ilkesine göre; kişisel veriler hukuka uygun amaçlarla toplan- malı, toplanma amacı belirli ve açık olmalı 102 ve işleme amacı toplama amacı ile uyumlu olmalıdır. 103 Amaca bağlılık ilkesi, kişisel verilerin dürüst ve hukuka uygun olarak işlenmesi ilkesinin uygulanıp uygu- lanmadığının tespiti açısından da önemli bir ilkedir. 104 Verilerin toplama amacının meşru olabilmesi için, bu amacın yasal bir temele dayanması, bütün hukuki gerekliliklerin tamamlanmış ol- ması ve verilerin işlenmesinden elde edilen çıkar ile toplama amacının uyumlu olması gerekir. 105 95/46/AT sayılı Avrupa Birliği Yönergesi’nin bu hususta tanıdığı bir istisna ise, üye devletlerin uygun önlemleri al- maları koşulu ile kişisel verilerin tarihsel, istatiksel ve bilimsel amaç- larla sonradan işlenmesidir. 106 101 AB Veri Koruma Yönergesi md. 6/1,c; 108 sayılı Avrupa Konseyi Sözleşmesi md. 5/b; OECD Rehber İlkeleri par. 9. 102 Verilerin toplama amacının belirli ve açık olması, belirsiz ifadelerin toplama ama- cında yer almamasını gerektirir. Ayrıca kişisel veriler ileride kullanılmak amacıy- la toplanmamalıdır. Bu, kişisel verilerin ilgili olduğu kişileri potansiyel suçlu ko- numuna sokar ve kişilerin kendilerini özgürce ifade etmelerini engeller.Özdemir, s.142; Akgül, s. 155. Kişisel verilerin toplanıp işlenmesi için ilgilinin rızası olmalı ya da hukuka uygun bir yetki olmalıdır. Kuşkonmaz, s.91. 103 Kişisel veriler ilgili kişinin rızasına dayanılarak işleniyorsa, bu durumda rıza dar yorumlanmalıdır. Kişi, kişisel verilerinin hangi amaçla işlenmesine rıza gösteri- yorsa, kişisel veriler ancak o amaç doğrultusunda toplanmalı ve işlenmelidir. Öz- demir, s.142. 95/46/AT sayılı Avrupa Birliği Yönergesi’ne göre veri sorumluları, kişisel verilerin işlenme amacını tam olarak belirlemeli ve bu amacı verilerin ilgili olduğu kişilere ve veri denetleme kurumlarına bildirmelidirler. Küzeci, s. 199; Kuşkonmaz, s.89; Sevimli, s. 154; Şimşek, Anayasa Hukukunda Kişisel Verilerin Korunması, s.83; Akgül, s. 72. 104 Ketizmen, s.225. 105 Kuner, European Data Protection Law, s. 100 Küzeci s. 202. 95/46/AT sayılı Av- rupa Birliği Yönergesi’nin 7. maddesinde, kişisel verilerin işlenmesinin hangi durumlarda meşru olacağı belirlenmiştir. Buna göre; kişisel veriler, ilgili kişinin rızasının bulunması, ilgili kişinin taraf olduğu bir sözleşmenin ifa edilmesi ya da ilgili kişinin bir sözleşmenin tarafı olmadan önceki istemleri dolayısıyla işlemenin gerekli olması, veri sorumlusu tabi olduğu yasal bir yükümlülüğe uymak için işle- menin gerekli olması, ilgili kişinin yaşamsal çıkarlarının korunması için işlemenin gerekli olması, işlemenin kamu yararının bulunduğu bir hizmetin gerçekleştiril- mesi ya da veri sorumlusunun veya verinin açıklandığı üçüncü kişinin resmi bir yetkisini kullanması için gerekli olması, Yönerge’nin 1/1 hükmü uyarınca ilgili kişinin temel hak ve özgürlüklerinden kaynaklı çıkarlarının baskın olduğu du- rumlar hariç, veri sorumlusu veya verinin açıklandığı üçüncü kişinin meşru çıkar- larından kaynaklanan amaçlar için gerekli olması durumlarında işlendiği zaman bu işleme meşrudur. 106 95/46/AT sayılı Avrupa Birliği Yönergesi md. 1/b, 2. cümle. TBB Dergisi 2016 (124)   Ğbrahim KORKMAZ 103 4. Kişisel Verilerin, İşlendikleri Amaçla Bağlantılı, Sınırlı ve Ölçülü Olması Bu ilke; belirlenen amaçları gerçekleştirmeye elverişli kişisel ve- rilerin işlenmesi, amaçla ilgili olmayan veya amacın gerçekleştirilme- sine hizmet etmeyecek kişisel verilerin işlenmesinden kaçınılmasını gerektirmektedir. Kanunun gerekçesinde belirtildiği gibi, kişisel ve- rilerin sonradan ortaya çıkması muhtemel ihtiyaçların karşılanması amacıyla işlenebilmesi için, işlemeye ilk kez başlıyor gibi, 5. maddede yer alan şartlardan birinin gerçekleşmesi gerekecektir. Ayrıca işlenen veri sadece amacın gerçekleştirilmesi için gerekli olanla sınırlı tutul- malıdır. 107 Bu ilkeye göre, veri sorumlusu kişisel verileri toplamadan önce amacına ulaşmak için verilerin mutlaka kullanıp kullanmaması ge- rektiğini saptamalı, kişisel verilerden amaca ulaşmak için yeterli mik- tarını toplamalı ve işlemeli, gereğinden fazla veri toplamamalı ve işle- memelidir. 108 İlkenin gereği olarak, kişisel veriler toplanma ve işleme amaçlarının gerçekleşmesi açısından gerekli ve yeterli miktarda tutul- malıdırlar. 109 107 Tasarı, s. 19. 108 Küzeci, s. 203; Akgül, s. 158. Bu ilkede, amaca ulaşmak için gerekli olan en az sayıda kişisel verinin işlenmesine çalışılmaktadır. Veri ekonomisi olarakta adlan- dırılan bu yöntemle gereğinden fazla kişisel verinin işlenmesinin önüne geçilme- ye çalışılarak, ilgili kişilerin mümkün olan en az miktarda risk altında tutulması amaçlanmaktadır. 109 Kimi metinlerde “asgarilik ilkesi” olarak adlandırılan bu ilkeye göre, toplanan kişisel veri miktarı, verilerin toplanması ve işlenmesi amaçlarını başarmak için zo- runlu olan miktarla sınırlı olarak tutulmalıdır. Kuşkonmaz, s.92; Küzeci, s.203. Bu ilke uyarınca veri sorumlusu, amacına ulaşabilmek için verilerin gerekli olup ol- madığını saptamalıdır. Eğer kişisel veriler kullanılmadan veri sorumlusu amacına ulaşabilecek ise, kişisel veriler kullanılmamalıdır. Amaca ulaşmak için kişisel ve- rilerin kullanılmasının zorunlu olduğu durumlarda ise veri sorumlusu mümkün olduğu kadar az veriyi kullanmalıdır. Federal Almanya Veri Koruma Yasası’nın 3a hükmünde de “...hiçbir verinin veya olanaklı bulunan en az miktarda kişisel verinin toplanması, işlenmesi veya kullanılması...” ibaresi bulunmaktadır. Küzeci s. 203. Burada amaca ulaşmak için gerektiğinden fazla kişisel verinin kullanılma- sının önlenmesi amaçlanmıştır. Örneğin işverenin iş sözleşmesi çerçevesinde işçi- sinden isteyebileceği bilgiler, iş ilişkisi için gerekli olanlar ile sınırlı tutulmalıdır. Başalp, Kişisel Verilerin Korunması ve Saklanması, s.38. Aynı şekilde, ücretsiz e-mail hizmet sağlayıcısının gerekli olmamasına rağmen, ilgili kişinin yaş, cinsiyet bilgilerini de istemesi asgari sayıda verinin elde edilmesi ve amaca bağlılık ilkesi- ne aykırılık teşkil eder. Küzeci, s.204. Veri sorumlusu, kişisel verilerin toplandığı her durumda amaca bağlılık ilkesinin gerektirdiği değerlendirmeyi yapmalıdır. a.g.e, s 203. Teknolojinin gelişmesiyle büyük miktarlarda kişisel verilerin kolayca Kişisel Verilerin Korunması Kanunu Hakkında Bir Değerlendirme...104 95/46/AT sayılı Avrupa Birliği Yönergesi’nin 6/1,c hükmü uyarın- ca, kişisel veriler, “toplanma ve/veya bunu izleyen işleme amaçları açısından yeterli ve onlarla ilgili olmalı, aşırı olmamalıdır.” 108 sayılı Avrupa Konseyi Sözleşmesi’nde de bu ilke 95/46/AT sayılı Avrupa Birliği Yönergesi ile hemen hemen aynı şekilde yer almaktadır. 108 sayılı Avrupa Konseyi Sözleşmesi, 95/46/AT sayılı Avrupa Birliği Yönergesi’nden farklı olarak kişisel verilerin saklanma amacına da önem vermektedir. OECD Reh- ber İlkelerinde ve BM Rehber ilkelerinde ise bu ilkeye yer verilmemiş- tir. Ancak konu dürüstlük kuralı çerçevesinde değerlendirilebilir. 110 5. İlgili Mevzuatta Öngörülen veya İşlendikleri Amaç İçin Gerekli Olan Süre Kadar Muhafaza Edilme Kişisel verilerin, ancak ilgili mevzuatta öngörülen veya işlendik- leri amaç için gerekli olan süre kadar muhafaza edilmesi gerekir. Bu durumda veri sorumluları, kişisel verilerin muhafaza edilmesi süre- sini saptarken ilk olarak mevzuata bakacak, eğer mevzuatta bir süre belirlenmişse bu süre kadar muhafaza edebilecektir. Eğer mevzuatta bir süre belirlenmemişse, veri sorumluları kişisel verileri ancak işlen- dikleri amaç için gerekli olan süre kadar muhafaza edebileceklerdir. Bu sürenin sonunda kişisel veriler silinecek veya anonim hale getiri- leceklerdir. Kişisel veriler gelecekte kullanma ihtimaline binaen sak- lanmayacaktır. Veri sorumlusu, Kanun’un 16. maddesi uyarınca kişisel verilerin işlendikleri amaç için gerekli olan azami süreyi Sicile kayıt için başvururken bildirmek zorundadır. 111 95/46/AT sayılı Avrupa Birliği Yönergesi’nin 6/1-e maddesi, 108 sayılı Avrupa Konseyi Sözleşmesi’nin 5/c maddesi ve OECD Rehber İlkeleri’nin 8. paragrafında yer alan bu düzenlemeye göre kişisel ve- ve az bir maliyetle elde edilmesi sonucu, çok büyük miktarlarda kişisel veriler toplanabilmektedir. Bu durum kişisel verilerin korunmasıyla ilgili birçok sorun yaratabilecek kapasitedir. Örneğin, bir alışveriş merkezinde hırsızlığın önlenmesi için konulmuş kameraların mağazanın dışında yoldan geçen kişileri de kayıt altı- na aldığı durumda, amacı aşacak şekilde kişisel verilerin toplanması söz konusu olacaktır. Almanya’da görülen bir davada, sokaktan geçen kişilere gözetlenme- dikleri bir alan bırakılarak görüntülerinin gereksiz yere kaydedilmemesi için mar- ket kameralarıyla kaldırımın en fazla bir metre uzağının gözetlenebileceğine karar verilmiştir. Küzeci, s. 210; Akgül, s. 159. 110 Bygrave, Data Protection Law, s.203. 111 Komisyon Raporu, s. 8. TBB Dergisi 2016 (124)   Ğbrahim KORKMAZ 105 riler, ilgili kişinin teşhis edilmesine olanak sağlayacak şekilde, kişisel verilerin toplandığı veya daha sonra işlendiği amaçlar için gerekli olandan daha uzun süre tutulmamalıdır. 112 B. Kişisel Verilerin İşlenme Şartları Kişisel Verilerin Korunması Kanunu’nun 5. maddesinde kişisel ve- rilerin işlenme koşulları düzenlenmiştir. Maddeye göre kural olarak kişisel verilerin ilgili kişinin açık rızasının bulunduğu durumlar veya maddede sayılan istisnalar dışında işlenmesi yasaktır. 113 112 Kuşkonmaz, s.93; Sevimli, s. 156; Akgül, s. 158. Kişisel verilerin tutulmasının il- gili kişi için potansiyel bir tehlike yarattığı düşünülürse bu ilkenin amacı ilgili kişiyi korumaktır. Kişisel verilerin amacın gerektirdiğinden daha uzun süre ileri- de kullanılma ihtimaline karşı tutulması, ilgili kişinin kişisel verilerin korunma- sı hukukunun dayanağını oluşturan bireysel özerklik, kişinin maddi ve manevi bütünlüğü ve özel yaşamın gizliliği gibi pek çok değerinin zarar görme ihtimali- ni arttıracaktır. Küzeci, s. 209. Nitekim AİHM’de S. ve Merper – Birleşik Krallık davasında kişisel verilerin süresiz olarak tutulmasına dair değerlendirmelerde bulunmuştur. Mahkeme, başvurucuların daha önceki davalarda alınan parmak izleri, hücre örnekleri ve DNA profillerinin beraat etmelerine ve ceza kovuştur- masına yer olmadığına karar verilmiş olmasına rağmen süresiz olarak tutulmaya devam edilmesinin, AİHS’nin 8. maddesine aykırı olduğuna karar vermiştir. S. ve Marper – Birleşik Krallık Davası, (Başvuru Numaraları: 30562/04 ve 30566/04) Karar Tarihi: 4 Aralık 2008, Kararın İngilizce metni için bakınız. AİHM kararların- da, kişisel verilerin olması gerekenden uzun süre tutulmasının AİHS’nin 8. mad- desine aykırılık teşkil ettiğini belirtmiştir. AİHM, S. Ve Marper v. Birleşik Krallık Davasında, şüphelilerin suç nedeniyle parmak izi, DNA profili ve hücre örnekleri- nin belirsiz bir süre tutulmasına izin veren uyguılamanın AİHS’nin 8. maddesine aykırı olduğuna karar vermiştir. Küzeci, s. 211; Akgül, s. 158. 113 Kişisel Verilerin Korunması Kanunu Gerekçesinde 95/46/AT sayılı Avrupa Birli- ği Yönergesine göre rızanın ilgili kişinin kendisiyle ilgili veri işlenmesine, özgür- ce, konuyla ilgili yeterli bilgi sahibi olarak, tereddüde yer bırakmayacak açıklıkta ve sadece o işlemle sınırlı olarak verdiği onay beyanı olduğu belirtilmiştir. İlgili kişinin kişisel verilerinin işlenmesine gösterdiği rıza konusunda doktrinde çeşit- li görüşler bulunmaktadır. Bir görüşe göre, birey, kişisel verilerinin işlenmesine rıza göstererek, kişisel verilerin korunması hakkını bizzat kullanmaktadır. Bir di- ğer görüşe göre ise, birey, kişisel verilerinin izlenilmesine rıza göstererek, kişisel verilerinin korunması hakkından vazgeçmektedir. Şimşek, Anayasa Hukukunda Kişisel Verilerin Korunması, s.108; Meral Ekici Şahin, Ceza Hukukunda Rıza, On İki Levha Yayıncılık, İstanbul 2012, s. 31. Her iki görüşte de ortak amaç, rıza beya- nı sayesinde bireyi, veri işleme faaliyetlerinin basit bir objesi olmaktan korumak ve kişisel verileri üzerindeki denetimini arttırmaktır. Kişisel verilerin korunması hakkını mülkiyet hakkı kapsamında gören Amerikan Hukuku ile insan hakları kapsamında gören Avrupa Hukuku arasındaki fark, ilgili kişinin rıza beyanına yaklaşımda da görülmektedir. Amerikan hukukunda genel olarak kişisel veriler bir menfaat aracı olarak görüldüğünden, ilgili kişi kişisel verilerinin korunma- sından tamamen feragat edebilmektedir. Kişisel verilerin korunmasının bir temel Kişisel Verilerin Korunması Kanunu Hakkında Bir Değerlendirme...106 1. Kişinin Açık Rızasının Bulunması 1982 Anayasası’nın 20. maddesine 2010 yılı Anayasa Değişikliği ile eklenen kişisel verilerin korunmasına ilişkin paragrafta da, “kişisel ve- riler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir” düzenlemesi yer almaktadır. Avrupa Birliği Temel Haklar Şartı’nda ve 95/46/AT sayılı Avrupa Birliği Yönergesi’nde yer alan düzenlemelere göre, ilgili kişinin rıza beyanının geçerli sayılabilmesi için bazı gerekliliklerin karşılanma- sı gerekmektedir. Yönerge’ye göre, ilgili kişinin rızasının bir hukuka uygunluk şartı olarak değerlendirilebilmesi için, “şüpheye yer bırak- mayacak şekilde verilmiş” olması, bir başka deyişle “kesin” olması gerekir. 114 Yine, özel nitelikli kişisel kişisel verilerin işlenmesinin söz konusu olduğu durumlarda da ilgili kişinin rızasının “açık” olması aranmaktadır. 115 Rıza, ilgili kişinin açık ve kesin bir iradesi olmalı, bir başka deyişle ilgili kişinin kişisel verilerinin işlenmesine rıza gösterip göstermedi- ği konusunda herhangi bir şüphe bulunmamalıdır. 116 95/46/AT sayılı hak olarak benimsendiği Kıta Avrupası’nda ise, ilgili kişi, haklarının ihlali olan hareketlere karşı rıza göstermektedir. Kuşkonmaz, s.102. 114 95/46/AT sayılı Avrupa Birliği Yönergesi madde 7/a. 115 95/46/AT sayılı Avrupa Birliği Yönergesi madde 8/2 a. Özel nitelikteki kişisel verilerin işlenmesinde en önemli meşruiyet koşullarından birisi, ilgili kişinin rıza beyanında bulunmasıdır. Özel nitelikli kişisel verilerin işlenmesi için aranan rıza- nın, açık şekilde verilmesi, bir başka deyişle ilgili kişinin kabule yönelik iradesini ortaya koyan müspet bir hareketinin bulunması gerekmektedir. Kişinin hareket- siz kalması rıza gösterdiği şeklinde anlaşılmamalıdır. Küzeci, s.240. 95/46/AT sayılı Avrupa Birliği Yönergesi’nde ilgili kişinin rıza beyanının geçerli olabilmesi için, dört durumun bir arada bulunduğu nitelikli bir rıza beyanının bulunması gerekmektedir. 116 Şüpheye yer bırakmayan rıza beyanı, açık veya örtülü şekilde yapılabilir; Başalp, Kişisel Verilerin Korunması ve Saklanması, s. 40; Beyanın anlam ve konusu, beyan vasıtalarından yani, kullanılan söz, yazı ve işaretlerden hiçbir yorum ve karışıklı- ğa yer vermeyecek şekilde anlaşılıyorsa, bu bir açık rıza beyanıdır. Açık irade be- yanın ilgili kişinin rıza beyanında 95/46/AT sayılı Avrupa Birliği Yönergesi’nce aranan ilk ölçütü karşıladığı açıktır. Küzeci, s.221. Örtülü rıza beyanında, birey rızasını dolaylı olarak başka davranış biçimleriyle veya bunların yorumuyla açık- lamakta, hal ve şartlara göre değerlendirilen bu davranış biçimleri sonucunda kişinin rızasıyla ilgili kanaat elde edilmektedir. Mustafa Dural – Suat Sarı, Türk Özel Hukuku Cilt I, Temel Kavramlar ve Medeni Kanunun Başlangıç Bölümleri, İstanbul 2006, s.166’dan aktaran Kuşkonmaz, s.103; Beyan davranışı mevcut hal ve şartlara göre değerlendirildiğinde sonuçta beyanda bulunulduğuna dair bir kanaat elde edilebiliyorsa açık rıza beyanı gibi örtülü rıza beyanı da Yönerge’de TBB Dergisi 2016 (124)   Ğbrahim KORKMAZ 107 Avrupa Birliği Yönergesi’ne göre rıza, ilgili kişinin özgür iradesi so- nucu olmalı, başka bir deyişle hiçbir etki altında kalınmadan verilmiş olmalıdır. 117 95/46/AT sayılı Avrupa Birliği Yönergesi’nde rıza beyanı ile ilgili aranan bir başka ölçüt ise, rızanın somut veri işlem faaliye- tine ilişkin olmasıdır. 118 İlgili kişinin kendisine ilişkin her türlü veri- belirtilen ölçütü karşılamaktadır. Burada ilgili kişinin susması veya hareketsiz kalmasının rıza beyanı olarak kabul edilip edilemeyeceği tartışılabilir. Burada Yönerge’de belirtilen “şüpheye yer bırakmayacak” ifadesi önem kazanmaktadır. İlgili kişinin susması, başka davranış veya belirtilerle desteklenmesi nedeniyle şüpheye yer bırakmayacak şekilde rıza gösterdiğinin anlaşıldığı durumlar hariç, rıza beyanı olarak kabul edilemez; Başalp, Kişisel Verilerin Korunması ve Saklan- ması, s.40. 117 Bunun sağlanması için, ön şart, ilgili kişinin kişisel verilerinin işlenmesine rıza gösterip göstermeme konusunda gerçek bir seçim hakkı olmasıdır. Eğer ilgili kişi, rıza göstermeye mecbur bırakılmışsa veya üzerinde bu yönde bir baskı bulunu- yorsa, bu durumda özgür iradesinin bulunduğundan söz edilemez. Özellikle ilgili kişi ile veri sorumlusu arasında işçi işveren ilişkisi gibi hiyerarşik bir ilişki varsa, bu durumda ilgili kişinin özgür iradesinin oluşup oluşmadığı sorgulanmalı ve ilgili kişi için ek bazı güvenceler sağlanmalıdır. Kuner, European Data Protection Law, s.68; Küzeci, s. 222. Carey, s.72,73. Bazı Avrupa Birliği üyesi ülkelerde işçile- rin kişisel verilerinin korunması için işyerlerinde denetim sistemleri kurulmadan önce işverenin işçi konseyleri ile anlaşmaya varması gerektiği düzenlenmiştir. İşçiler bu anlaşma çerçevesinde kişisel verilerinin korunmasında temsilcilerin- den yardım almaktadır. Article 29 Working Party, Opinion on the Processing of Personal Data in the Employment Context, Opinion 8/2001, WP 48, 13.09.2001, s.23, (Çevrimiçi) http://ec.europa.eu/justice/data-protection/article-29/docu- mentation/opinion-recommendation/files/2001/wp48sum_en.pdf (Erişim Tari- hi: 15 Mart 2016). Bunun yanında, işçi işveren ilişkisi dışında, doktor hasta ilişkisi gibi ilgili kişinin veri sorumlusuna önemli oranda bağlı olduğu bazı diğer du- rumlarda da rızanın özgür irade ile verilip verilmediğinin özel olarak incelen- mesi gerekebilir. Bu durumda ek bir güvence olarak, doktor hastaya, verilerinin işlenmesine rıza göstermemesinin tedavisini etkilemeyeceği açıkça belirtilmelidir. Kuşkonmaz, s.104. Yine ilgili kişi tarafından kişisel verilerinin işlenmesine rıza gösterilmemesi durumunda, ilgili kişi bir yaptırımla karşılaşacaksa, rızanın öz- gürce verildiğinden söz edilemez. Rızanın anlaşmanın yapılması için şart olarak yer aldığı durumlar buna örnek olarak verilebilir. Ancak rızanın gösterilmemesi durumunda öngörülen yaptırım çok hafif ise, bu durumda rızanın özgür bir irade sonucunda verildiği düşünülebilir. Örnek vermek gerekirse, parasız elektronik posta hizmetlerinin kullanılabilmesi için kullanıcı tarafından bilgisayarına çerez (cookies) yerleştirilmesi durumunda, eğer aynı hizmetin çerezlerin yerleştirilme- sine gerek kalmaksızın ücretsiz olarak alınabileceği başka siteler varsa, ilgili kişi çerezlerin bilgisayarına yerleştirmek istemediği durumlarda bu hizmeti kolaylık- la başka sitelerden alabileceğinden, bu durumda rızanın özgürce verildiğini söy- leyebiliriz. Küzeci, s.223. 118 Rıza belli bir duruma özgülenmiş, kişisel verilerin işlenmesine rıza gösterilen so- mut olay iyice tanımlanmış olmalıdır. Article 29 Working Party, Working Docu- ment on the processing of personal data relating to health in electronic health re- cords (EHR), WP 131, 15.02.2007, s.9 (Çevrimiçi) http://ec.europa.eu/justice/po- licies/privacy/docs/wpdocs/2007/wp131_en.pdf (Erişim Tarihi: 15 Mart 2016). Kişisel Verilerin Korunması Kanunu Hakkında Bir Değerlendirme...108 nin işlenmesine rıza göstermesi şeklindeki bir rıza beyanı bu koşulun sağlanmamasından dolayı geçerli sayılmayacaktır. 119 İlgili kişi, kişisel verilerinin işlenmesi ile ilgili, özellikle işlemenin içeriği, amacı, süresi, verilerin nerelerde kullanılacağı hakkında yeterince bilgilendirilmeli- dir. 120 95/46/AT sayılı Avrupa Birliği Yönergesi’nde rıza beyanının şek- line ilişkin herhangi bir koşul düzenlenmemiştir. 121 İnternet ortamında yapılan rıza beyanları yukarıda belirtilen ko- şulları taşıyorsa kural olarak geçerli kabul edilmelidir. Ancak burada üzerinde durulması gereken, internet ortamında ilgili kişinin yeter- li olarak bilgilendirilip bilgilendirilmediğidir. 122 Bu konuda üzerinde durulması gereken bir başka hususta, “opt-in” ve “opt-out” olarak ifa- de edilen rıza türleridir.. 123 “Opt-out” seçeneğinde kişinin hareketsiz kalması rıza beyanında bulunduğu anlamına geldiğinden, bu seçenek kişisel verilerin korunmasında “opt-in” seçeneğine göre daha zayıf bir koruma sağlamaktadır. 95/46/AT sayılı Avrupa Birliği Yönergesi’nin 119 Küzeci, s.223. 120 Bir başka deyişle kişi, neye rıza gösterdiği konusunda bilgilendirilmiş olmalıdır. Kişisel verilerin ileriki dönemlerde de işlenmesi söz konusu ise, kişinin bundan da bilgisi olması gereklidir. Bu ölçüt, rızanın şüpheye yer bırakmayacak şekilde veril- mesi gerekliliği ile de ilişkilidir. Ayrıca ilgili kişi neye rıza gösterdiği konusunda bilgilendirilirken anlaşılır bir dil kullanılmalıdır. Kişinin anlayamayacağı terim- lerle dolu veya okuyamayacağı kadar küçük bir yazıyla yazılmış bir bilgilendirme formuna dayanan rıza beyanı Yönerge kapsamında geçerli bir beyan olarak kabul edilmeyecektir. Kuşkonmaz, s.105. 121 Bununla birlikte, Federal Almanya Veri Koruma Kanunu’nda rızanın yazılı olma- sı gerektiği yer almaktadır. Elektronik ortamda yapılan rıza beyanlarında da genel kural olarak yazılılık koşulunun gerçekleştiği kabul edilmiştir. Korff, s. 32; Küzeci, s.224; Kuşkonmaz, s.105. 122 Bilgilendirme metninde yer alan bilgiler; fazla uzunsa, ifadeler açık değilse, site- nin içerisindeki yönlendirmelerle ulaşmak zorlaştırılmışsa veya ortalama bir kişi- nin anlayamayacağı teknik bir dille yazılmışsa, bu durumda ilgili kişinin yeterin- ce bilgilendirildiği söylenemeyeceğinden rıza beyanı geçersiz sayılacaktır. Kuner, European Data Protection Law, s.68. 123 Örneğin, e-maillerde “bu iletileri almak istemiyorsanız aşağıdaki kutuyu işaretle- yiniz” gibi bir uyarı bulunuyorsa, bu “opt-out” rıza beyanına örnek olarak gösteri- lebilir. Burada kişi rıza beyanında bulunmak için herhangi bir eylemde bulunma- malı, örnekte belirtilen kutuyu işaretlememelidir. Kişinin hareketsiz kalması rıza beyanında bulunduğu şeklinde anlaşılmaktadır. Yine bir başka e-mailde “Kişisel bilgilerinizi size çeşitli fırsatlar sunacak X Şirketi ile paylaşmamızı istiyorsanız aşağıdaki kutuyu işaretleyiniz” gibi bir uyarı bulunuyorsa, bu durumda “opt-in” rıza beyanının bulunduğundan bahsedilebilir. Burada ilgili kişi, rıza beyanında bulunmak için kutuyu işaretleyerek aktif bir hareket yapmaktadır. Kişinin ha- reketsiz kalması, rızasının olmadığı anlamına gelmektedir. Carey, s.254; Küzeci, s.225. TBB Dergisi 2016 (124)   Ğbrahim KORKMAZ 109 14. maddesi, doğrudan pazarlamaya ilişkin faaliyetlerde işlenen kişisel verilerle ilgili olarak “opt-out” seçeneğini standart olarak belirlemiş- tir. 124 Yönerge, diğer faaliyetlerde “opt-in” veya “opt-out” rıza koşulu bakımından zorunlu bir düzenleme içermemektedir. 2002/58/AT sa- yılı Avrupa Birliği Yönergesi de doğrudan pazarlama faaliyetlerinde “opt-in” seçeneğini standart olarak belirlemiştir. 125 2. İşlenme Yasağının İstisnaları Maddenin ikinci fıkrasıyla ilgili kişinin açık rızası olmasa dahi bazı hallerde kişisel verilerin işlenebileceği düzenlenmiştir. Bu haller- den biri kanunda açıkça düzenlenmesidir. 126 Kişisel Verilerin Korun- ması Kanunu’na göre, rızanın açıklanamadığı veya geçerli olmadığı hallerde kişilerin hayat ve beden bütünlüklerinin korunması için ge- rekli ise kişisel veriler işlenebilir. 127 Kanunda yer alan ilgili kişinin açık rızası olmaksızın kişisel verilerinin işlenebileceği bir başka durum ise, bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili ol- ması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesi- nin gerekli olmasıdır. 128 Kşisel Verilerin Korunması Kanunu’nun 5. maddesinin 2. fıkrası- nın (ç) bendine göre, veri sorumlusunun hukuki yükümlülüğünü ye- 124 Kuner, European Data Protection Law, s.309. 125 2002/58/AT sayılı sayılı Avrupa Birliği Yönergesi madde 13/3. Article 29 Data Protection Working Party, Opinion 5/2004 on unsolicited communicati- ons for marketing purposes under Article 13 of Directive 2002/58/EC, WP 90, 27.02.2004, s.7, (Çevrimiçi) http://ec.europa.eu/justice/policies/privacy/docs/ wpdocs/2004/wp90_en.pdf (Erişim Tarihi: 15 Mart 2016). 126 Polis Vazife ve Selahiye Kanunu uyarınca şüphelilerin parmak izlerinin alınması, Adli Sicil Kanunu uyarınca Adalet Bakanlığınca adli sicil bilgilerinin işlenmesi Kanunun gerekçesinde verilen örneklerdir. Komisyon Raporu, s. 8. 127 Gerekçede verilen örneklere göre, kişinin bilincinin olmadığı veya akıl hastası olması sebebiyle rızasının alınamadığı veya geçerli olmadığı durumlarda, hayat veya beden bütünlüğünün korunması amacıyla tıbbi müdahale yapılması gerek- liyse, kan grubu, geçirilen hastalıklar ve ameliyatlar, kullanılan ilaçlar ile ilgili kişisel verileri işlenebilecektir Yine hürriyeti tahdit edilen bir kişiyi kurtarmak amacıyla, kişinin veya şüphelinin yerinin belirlenebilmesi amacıyla kişisel verileri işlenebilecektir. a.g.e, s. 8. 128 Kişisel Verilerin Korunması Kanunu, 5. madde 2/c. Gerekçede verilen örneğe göre, yapılan sözleşme gereği paranın ödenmesi için alacaklı tarafın hesap nu- marası alınabilecektir. Yine bu kapsamda, krdei sözleşmenin yapılması sırasında banka, kişinin maaş bordrosuna, tapu kayıtlarına, icra borcu olmadığına dair bel- geye erişebilecektir. Komisyon Raporu, s. 9. Kişisel Verilerin Korunması Kanunu Hakkında Bir Değerlendirme...110 rine getirebilmesi için zorunlu olması durumunda, ilgili kişinin kişisel verileri açık rızası olmasa dahi işlenebilecektir. 129 Fıkranın (d) bendi- ne göre, ilgili kişi, kişisel verilerini alenileştirmiş ise bir başka deyişle kendisi kamuoyuna açıklamış ise, bu kişisel veriler ilgili kişinin açık rızası olmasa dahi işlenebilecektir. 130 Burada ilgili kişi tarafından ale- nileştirilen, bunun sonucunda herkesin erişimine açık hale getirilen verilerin korunmasından beklenen hukuki yararın ortadan kalktığı kabul edilmektedir. 131 Kişisel verilerin işlenmesinin bir hakkın tesisi, kuıllanılması veya korunması için zorunlu olduğu durumlarda, Kanunu’nun 5. madde- sinin 2. fıkrasının (e) bendine göre ilgili kişinin açık rızası bulunmasa dahi kişisel verileri işlenebilecektir. 132 Fıkranın (f) bendine göre, ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri so- rumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması durumunda da, ilgili kişinin açık rızası olmasa dahi kişisel verileri iş- lenebilecektir. 133 95/46/AT sayılı Avrupa Birliği Yönergesi de kişisel verilerin işle- nebileceği durumları saymıştır. 134 Bu durumlar: ilgili kişinin herhangi 129 Gerekçede verilen örneğe göre, şirketler çalışanlarına maaş ödeyebilmek için, çalı- şanlarının banka hesap numarası, medeni durumu, eşinin çalışıp çalışmadığı, sos- yal sigorta numarası gibi kişisel verilerini işleyebileceklerdir. Komisyon Raporu, s. 9. 130 Kişisel verilerin alenileştirilmesinin nasıl yapıldığının, alenileştirme kavramı- nın sınırlarının belirlenmesi önemlidir. Bu kapsamda yönetmelikte ayrıntılı dü- zenleme yapılması faydalı olabilir. Bu konunun yönetmelikle düzenlenmesi de Anayasa’nın temel hak ve özgürlüklerin kısıtlanmasına ilişkin 13. maddesine de aykırılık teşkil edebilir. Aksi takdirde konu içtihat ile aydınlatılacaktır. 131 Komisyon Raporu, s. 9. 132 Gerekçede verilern örneğe göre, bir şirketin kendi çalışanı tarafından açılan bir davada ispat için bazı verileri kullanması veya kıstlı bir kişinin haklarının korun- ması amacıyla vasinin veya kayyımın, kısıtlının mali bilgilerini tutması hukuka uygundur. a.g.e, s. 9. 133 Bu durumda, bir şirkette çalışanların kişisel verileri, temel hak ve özgürlüklerine zarar verilmemek kaydıyla, terfilerin, maaş zamlarının veya sosyal hakların dü- zenlenmesinde veya işletmenin yeniden yapılandırılması sürecinde görev ve rol dağılımında esas alınmak üzere, açık rızaları bulunmasa dahi işlenebilir. Burada şirket çalışanlarının terfilerinin, maaş zamlarının veya sosyal haklarının düzen- lenmesi veya işletmenin yeniden yapılandırılması sürecinde çalışanların görev ve rol dağılımının yapılması veri sorumlusu statüsündeki şirket sahibinin meşru menfaatidir. Burada dikkat edilmesi gereken durum, aynı zamanda kişisel verile- re ilşkin temel ilkelere uyulması ve veri sorumlusu ile verileri işlenen kişi arasın- daki menfaat dengesinin gözetilmesidir a.g.e, s. 9. 134 95/46/AT sayılı Avrupa Birliği Yönergesi madde 7; Kuner, European Data Pri- TBB Dergisi 2016 (124)   Ğbrahim KORKMAZ 111 bir kuşkuya yer bırakmayacak şekilde kişisel verilerinin işlenmesine rıza göstermesi, ilgili kişinin taraf olduğu bir sözleşmeyi yerine getir- mek veya bu sözleşmeye girmeden önce ilgili kişinin isteğiyle gerekli adımları atmak için kişisel verilerin işlenmesinin gerekli olması, veri sorumlusunun konu olduğu bir yasal zorunluluğa uymak için kişisel verilerin işlenmesi gerekmesi, ilgili kişinin hayati çıkarlarını korumak için kişisel verilerin işlenmesinin gerekmesi, kamu yararı için yapılan bir faaliyetin yerine getirilmesi veya veri sorumlusu veya verinin açık- landığı üçüncü tarafın kamu yetkisini kullanarak yaptığı bir faaliye- tin yerine getirilmesi için kişisel verilerin işlenmesinin gerekli olması, Yönerge tarafından ilgili kişiye tanınan haklar ağır bastığı durumlar hariç olmak üzere, kişisel verileri işlemenin, veri sorumlusu veya ve- rilerin açıklandığı üçüncü tarafın meşru çıkarları için gerekli olması durumlarıdır. III. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENME ŞARTLARI A. Kapsam Kişisel Verilerin Korunması Kanunu’nun 6. maddesinde, kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, 135 dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri, özel nitelikli kişisel veri ola- rak sınıflandırılmıştır. 136 Kanundaki düzenlemeye göre, özel nitelikli kişisel verilerin, ilgili kişinin açık rızası olmaksızın işlenmesi yasak- tır. 137 Kişisel verilerin korunması ile ilgili mevzuat incelendiğinde bazı verilerin diğerlerine kıyasla daha çok koruma altına alınmış oldukları görülmektedir. 95/46/AT sayılı Avrupa Birliği Yönergesi, 138 108 sayılı vacy Law, s. 58; Mustafa Topaloğlu, Bilişim Hukuku, Karahan Kitabevi, Adana 2005, s. 168; Ersoy, Kişisel Verilerin Korunması, s. 70. 135 Kişilerin mezhebi ve kılık kıyafetinin özel nitelikli kişisel veri olarak kabul edilme- si sadece ülkemizde bulunmaktadır. Komisyon Raporu, s. 73. 136 Gerekçede bu verilerin, başkaları tarafından öğrenildiği takdirde ilgili kişinin mağdur olabilmesine veya ayrımcılığa maruz kalabilmesine neden olabilecek ni- telikte veriler olmaları nedeniyle özel nitelikli (hassas) veri olarak kabul edildikle- ri belirtilmiştir. a.g.e, s. 9. 137 Kişisel Verilerin Korunması Kanunu, madde 6/(2). 138 95/46/AT sayılı Avrupa Birliği Yönergesi, madde 8. Kişisel Verilerin Korunması Kanunu Hakkında Bir Değerlendirme...112 Avrupa Konseyi Sözleşmesi, 139 BM Rehber İlkeleri, 140 belirli türdeki ve- rilere özel koruma getirirken, OECD Rehber İlkeleri 141 ve APEC Çerçe- ve Belgesinde bu şekilde özel bir koruma bulunmamaktadır. Mevzuatta “hassas veri”, 142 “özel koruma gerektiren veri», 143 “özel tür veri” 144 gibi çeşitli isimler ile ifade edilen bu kişisel veriler, doğa- ları gereği kişilerin temel hak ve hürriyetleri ve mahremiyetleriyle ilişkili oldukları düşünülerek diğer kişisel verilerden farklı yollarla daha sıkı bir koruma altına alınmışlardır. 145 108 sayılı Avrupa Konseyi Sözleşmesi’nin “Özel Veri Kategorileri” başlıklı 6. maddesinde iç hu- kukta uygun güvenceler sağlanmadığı sürece kişilerin ırksal kökeni, politik düşünceleri, dini veya diğer inançları, sağlık veya cinsel ha- yatları ve sabıka kayıtları ile ilgili kişisel verilerinin işlenemeyeceği düzenlenmiştir. 95/46/AT sayılı Avrupa Birliği Yönergesi’nin “Hassas Verilerin İşlenmesi” başlıklı 8. maddesinin 1. fıkrasında da, ırksal veya etnik köken, politik düşünceler, dini veya felsefi inançlar, sendika üye- likleri, sağlık ve cinsel yaşam ile ilgili kişisel verilerin işlenmesinin yasaklandığı düzenlenmiştir. 146 TCK’nin 135. maddesinin ikinci fıkrasında özel nitelikli kişisel ve- riler; “kişilerin siyasi, felsefi veya dini görüşlerine, ırki kökenlerine, hukuka aykırı olarak ahlaki eğilimlerine, cinsel yaşamlarına, sağlık durumlarına veya sendikal bağlantılarına ilişkin bilgiler” olarak belirtilmiştir. 147 139 108 sayılı Avrupa Konseyi Sözleşmesi madde 6. 140 BM Rehber İlkeleri 5. ilke. 141 OECD Rehber İlkeleri, s. 40. 142 İngiliz 1998 tarihli Kişisel Verilerin Korunması Kanununda “sensitive personal data” olarak tanımlanmıştır. 143 108 sayılı Avrupa Konseyi Sözleşmesi’nin 6. maddesinde ise “özellikli veri kate- gorileri” kavramı kullanılmıştır. 144 Hollanda Kişisel Verilerin Korunması Kanununda “special personal data” olarak tanımlanmıştır. 145 Bainbridge, s. 48; Kuner, European Data Protection Law, s.101; Aksoy, s. 42; Se- vimli, s. 148; Akgül, s.13; Aydın, s. 7. 146 Kuner, European Data Protection Law, s.101; Aksoy, s. 42. Yönerge ve Sözleşme karşılaştırıldığında Avrupa Birliği ile Avrupa Konseyi’nin özel nitelikli kişisel ve- rilerin belirlenmesi konusunda farklı tercihlerde bulundukları anlaşılmaktadır. Kişilerin ırk, politik düşünceleri, dini inançları, sağlığı ile cinsel hayatına ait ve- rileri Yönerge ve Sözleşme kapsamında özel nitelikli kişisel veri olarak koruma altına alınmışken, etnik unsur, felsefi inançları ve ticari birlik üyeliği Yömerge’de özel nitelikli kişisel veri olarak kabul edilmişken, Sözleşme’de diğer inançlar özel nitelikli kişisel veri olarak sayılmıştır. Akgül, s. 16; Yılmaz, s. 33. 147 TCK’nda yer alan düzenlemenin, uluslararası düzenlemelerden en büyük farkı, TBB Dergisi 2016 (124)   Ğbrahim KORKMAZ 113 Özel nitelikli kişisel verilerin bazı ek güvencelerle korunmasın- daki temel mantık, bunların diğer kişisel verilere kıyasla kişiye daha fazla zarar verebilme imkânına sahip olmalarıdır. 148 Her ne kadar te- mel mantık bu olsa da, bunun genel kabul eden görüş olduğu söyle- nemez. 149 Kanımızca bu durumda, kişisel verinin işlenmesinden elde edile- cek yarar ile doğacak zarara bakmak gerekir. Bu ikisi arasında bir den- genin kurulması gereklidir. Kişisel verilerin korunması hukukunun temelinde yatan da bu düşüncedir. Bu düşünceden hareketle, kişisel verilerin her zaman tam olarak korunması gerektiği söylenemez. Ki- şisel verilerden beklenen yarar ile oluşturabileceği tehlike arasındaki dengenin sağlanabilmesi için bazı kişisel verilerin diğerlerine oranla daha fazla korunmasının yadırganmaması gerekir. Bu konuda incelenmesi gereken bir başka husus ise, özel nitelik- li kişisel veri kategorilerinin 95/46/AT sayılı Avrupa Birliği Yönergesi ve bu ayrımı benimseyen başka metinlerde, sınırlı sayma yöntemi ile belirlenmesi sonucu, bu verilerin tamamına aynı rejimi uygulamanın getireceği sakıncalardır. Özellikle, özel nitelikli kişisel verilerin işlen- mesine getirilen genel istisnaların, kişinin dini inancı, etnik kökeni gibi özel nitelikli kişisel verilere bir ayırım gözetilmeden uygulanması etnik kökenin 108 sayılı Avrupa Konseyi Sözleşmesi hariç uluslararası mevzuatta yer almasına rağmen TCK’da yer almaması ve ahlaki eğilimin uluslararası mev- zuatta yer almamasına rağmen TCK’nda özel nitelikli kişisel veri olarak düzen- lenmesidir. Küzeci, s. 73. 148 Özel nitelikli kişisel verilerin açıklanması halinde kişiye zarar verebilecekleri veya kişi aleyhine ayrımcılığa yol açabilecekleri kabul edilmiştir. Bunların diğer kişisel verilerden ayrı bir rejime tabi tutulmalarının bir diğer nedeni de özelliklerinden dolayı daha sıkı bir denetime tabi tutulmalarını sağlamaktır. Akgül, s. 13; Kuner, European Data Protection Law, s.102. 149 Örneğin, Federal Almanya Anayasa Mahkemesi, 1983 yılında verdiği Nüfus kara- rında, özel nitelikli kişisel verilere diğer kişisel verilere kıyasla ek güvence getirile- meyeceğini karara bağlamıştır. Mahkemeye göre, kişisel verilerin tamamı önemli olup, bunları daha çok önemliler şeklinde bir sınıflandırmaya tutmak yanlıştır. Başlangıçta tehlike taşımayan bir bilgi, tutulduğu işlemler sonucunda önemli hale gelebilir. Küzeci, s. 233; Doktrinde bazı yazarlar, bu görüşü desteklemektedir. Bu yazarlara göre, hangi verilerin korumaya değer olup olmadığı konusunda ayrım- da bulunmak adil olmayıp, her kişisel verinin önem derecesi olayın özel şartlarına bakılarak değerlendirilmelidir. Ayrıca, kişisel veriler arasında özel nitelikli, özel nitelikli olmayan şeklinde bir ayrıma gitmek, özel nitelikli olmayan kişisel verile- rin tam olarak korunmadığı anlamına gelebilir. a.g.e., s. 234. Kişisel Verilerin Korunması Kanunu Hakkında Bir Değerlendirme...114 bazı sorunlar oluşturabilir. 150 Bunlara karşın, dinsel inançlara, siyasal tercihlerine, ırksal kökenlerine ilişkin kişisel verilerin işlenmesinin ge- tirebileceği yararlar oldukça sınırlıdır. 151 Buna karşın, kişilerin sağlık bilgileri, adli, idari sicilleri açısından durum farklıdır. Kişinin sağlık bilgilerinin kişi ile ilişkili tutulması, hasta açısından yararlı olacaktır. 152 Bunun yanında tıbbi araştırmalar için sağlık ile ilgili kişisel veriler gerekebilir. Diğer taraftan, tıbbi ve- riler oldukça kişisel olup, kişilerin tıbbi bilgilerini gizli tutma hakları vardır. Bu bilgiler dolayısıyla, kişilerin tehdit edilebilecekleri, işlerin- den ayrılmak zorunda kalabilecekleri, toplumdan soyutlanabilecek- leri düşünüldüğünde, bu bilgilerin başkalarının eline geçmesinin ne kadar tehlikeli olabileceği anlaşılabilir. 153 Bunun yanında, kişinin tıbbi verilerinin yeterince korunmadığını düşünmesi, sağlık hizmetlerin- den yararlanmamayı tercih etmesi gibi bir sonuçta doğurabilir. 154 150 Kişinin dinsel inancı, ırksal kökeni ile bilgilerinin işlenmesinden, bireysel, sosyal ya da siyasal düzeyde ne gibi yarar elde edilebileceği tartışmalı bir konudur. Bir kişinin dinsel inancı ya da inançsızlığı, onun maneviyatı ile ilişkili olup, kişi, bu bilgiyi bir ya da birden çok kişiyle ancak kendi iradesiyle paylaşabilir. Kişinin bu bilgiyi başkalarıyla paylaşmama yönündeki iradesine karşın, bu bilginin işlen- mesindeki yararın ne olacağı sorgulanmalıdır. Küzeci, s. 235. Demokratik devlet yapısında, örtülü ayrımcılık tehlikesi ile karşı karşıya kalmamak için, devletin kişinin dinsel inançları gibi konular karşısında gözlerinin bağlı olması gerekir. a.g.e., s. 235. Bu tür verilerin anonim olarak tutulmasının bile bazı sakıncaları ola- bilir. Örneğin, idarenin ibadethane inşa ederken, ülkesindeki bu ibadethaneden yararlanacak kişilerin sayısını bilmesi gerekebilir. Ancak, bunlar istatiksel olarak ulaşılacak bilgiler olup, bir kişinin dinsel inancının ne olduğunun bilinmesinden ziyade, yaklaşık olarak bir dine kaç kişinin inandığının bilinmesi yeterlidir. a.g.e., s. 235 151 Kimsesiz bir kişinin ani ölümü durumunda, bu kişinin cenaze işlemlerinin din- sel tercihlerine uygun bir şekilde gerçekleştirilebilmesi için dinsel inancı ile ilgili kişisel bilgilerine ihtiyaç tutulması örnek olarak verilebilir. a.g.e., s. 235. Eşitlik, demokratik bir hukuk devletinin önemli bir unsurudur. Hangi dini inanca, siya- sal düşünceye sahip olsun, hangi ırksal kökenden gelirse gelsin, kişilerin kanun önünde eşit olması, eşit hizmet alması gerekir. Bu açıdan, çok istisnai durumlar hariç, idarenin planlama görevi açısından bu bilgilerin bir önemi olmaması gere- kir. a.g.e., s. 235. 152 Doktorlar, doğru müdahalelerde bulunabilmek için çoğu zaman hastalarının sağ- lık ile ilgili kişisel verilerine ihtiyaç duyarlar. 153 Sultan Üzeltürk, 1982 Anayasası ve İnsan Hakları Avrupa Sözleşmesine Göre Özel Hayatın Gizliliği Hakkı, Beta, İstanbul 2004, s. 112, Bundan sonra “Özel Hayatın Gizliliği Hakkı” olarak anılacaktır. 1982 yılında yayınlanan bir makalede, hasta- nede yatan bir hastanın kişisel bilgilerinin farklı gerekçe ve nedenlerle yaklaşık 75 kişi tarafından incelendiğinin tespit edildiği yer almaktadır. Yılmaz, s. 2. 154 Bu konuya ilişkin AİHM’nin Finlandiya’ya karşı verdiği karar önemlidir. AİHM’e başvuru konusu olan olay, HIV virüsü ile ilgilidir. Mahkeme, bulaşıcı niteliği olan TBB Dergisi 2016 (124)   Ğbrahim KORKMAZ 115 Ceza hukukunda kuraların uygulanabilmesi için adli sicillerinin tutulması da sağlık ile ilgili kişisel veriler gibi değerlendirilebilir. Adli siciller ile ilgili kişisel veriler, kişilerin sosyal yaşamları ve ekonomik durumları üzerinde ciddi sonuçlar doğurabilecek etkiye sahiptirler. Buna benzer bir tartışma biyometrik veriler açısından da söz konusu- dur. 155 AİHM, kişisel veriler arasında, bu verilerin kişiler üzerinde do- ğurabilecekleri zararlara kıyasla bir ayırım yapılmasını ve bu nedenle daha sıkı koruma tedbirleri alınmasını makul görmektedir. 156 bu enfeksiyonla ilgili verilerin gizliliğinin korunmasının özellikle önemli oldu- ğuna değinmiştir. Mahkeme’ye göre bu tür verilerin paylaşılması, kişinin özel ve aile yaşamının yanında sosyal durumunu ve iş durumunu da ciddi olarak etkiler. Bunun sonucunda, kişi toplumdan dışlanma ve adının lekelenmesi tehlikesi altına girebilir. Bu kararında AİHM, AİHS’ne taraf olan tüm devletlerin, tıbbi verilerin gizliliğine saygı göstermek zorunda olduğunu belirtmektedir. Sadece, hastanın özel hayatına saygı göstermek değil, hastanın tıp mesleğine ve genel olarak sağlık hizmetlerine duyduğu güveni de koruma şarttır. AİHM’e göre; böyle bir koruma olmazsa, tıbbi yardıma ihtiyacı olanlar, doğru tedavi görmek için ve hatta tıbbi yardım almak için gerekli olan kişisel veya mahrem bilgileri açıklamaktan caya- bilir; bu durumda hem kendi sağlıklarını, hem de bulaşıcı hastalıklar söz konusu olduğunda toplu sağlığını tehlikeye atar. AİHM kararında bu tür kişisel verilere yapılan müdahalelerin önemli bir kamu yararı bulunmadığı sürece AİHS’nin 8. maddesine aykırı olacağını belirtmiştir., Gilles Dutertre, Avrupa İnsan Hakları Kararlarından Örnekler, Avrupa Konseyi Yayınları, Ankara, 2003, s. 310 – 312, (Çevrimiçi) http://www.yargitay.gov.tr/abproje/belge/kitaplar/aihm_kararla- rindan_ornekler.pdf (Erişim Tarihi: 15 Mart 2016)¸ Küzeci, s. 237; Akgül, s. 19. 155 Küzeci, s. 237. Bu bağlamda bazı yazarlar, biyometrik yöntemler kullanılarak elde edilen kişisel verilerin kendi aralarında herhangi bir ayrıma tabi tutulmadan de- ğerlendirilmelerinin yanlış olacağı görüşündedirler. Cüneyd Er, Biyometrik Yön- temler ve Özel Hayatın Gizliliği Hakkı, Parmak İzi, Göz ve DNA Tarama Gibi Teknolojik Kimlik Denetleme Usullerinin Hukuki Statüsü, Yetkin, Ankara 2007., s. 115;, Leyla Keser Berber –, Murat Lostar, Bilişimde Biyometrik Yöntemler, Yet- kin, Ankara 2006, s. 105 - 106; Küzeci, s. 238. Buna göre, örneğin işyerinde ses ve yüz tanıma teknolojilerinin yaratacağı sorunlar, parmak izi ve DNA kayıtlarının tutulmasından farklı değerlendirilmelidir. Çünkü burada kişinin yüz görüntü- sü gibi, herkes tarafından bilinen, kamuya açık kişisel verilerinin iş sözleşmesi kapsamında kayıt altına alınması söz konusudur. Bu nedenle, kişinin parmak izi kaydı ile karşılaştırıldığında kişinin sosyal alanına daha sınırlı bir müdahale söz konusudur. 156 Mahkeme, S. ve Marper Birleşik Krallık’a karşı davasında bu ayrıma ayrıntılı ola- rak değinmiştir. Mahkemeye göre, hücre örnekleri, DNA profili ve parmak izi belirli veya belirlenebilir bir kişi ile ilişkilendirildiğinde tartışmasız bir şekilde ki- şisel veridir, ancak aralarındaki nitelik farkı dolayısıyla hücre örnekleri ve DNA profili ile parmak izi kayıtlarını ayrı tutmak gerekmektedir. Hücre örnekleri, ki- şinin sağlığına ilişkin bilgi içerirken, DNA profili kişinin etnik kökenini ortaya çıkarabilir. Oysa parmak izi kayıtlarının bu şekilde bir etkisi yoktur. Bu nedenle, AİHM’ne göre, ilgili kişinin hücre örneklerinin ve DNA profilinin bir veri ban- kasında tutulmasının sonuçları, parmak izinin bir veri bankasında tutulmasına kıyasla çok daha ağırdır. AİHM S. ve Marper Birleşik Krallık’a karşı Davası, Baş- Kişisel Verilerin Korunması Kanunu Hakkında Bir Değerlendirme...116 Kanımızca bu konuda bir belirleme yapılırken, öncelikle somut olayın koşulları göz önünde bulundurulmalıdır. 157 İlk aşamada çok önemsiz görünen bir bilgi, bazı koşullarda ilgili kişi açısından haya- ti öneme sahip hale gelebilir. Özel nitelikli kişisel verilerin, kişilerin hayatlarındaki önemlerinden dolayı özel bir korumaya tabi tutulması yerindedir. Ancak, bu kapsama hangi kişisel verilerin dâhil edilece- ğini saptamak güçtür. 158 95/46/AT sayılı Avrupa Birliği Yönergesi’nde, bu veri grupları sınırlı sayma yöntemi kullanılarak belirlenmiştir. 159 Ancak, bu sayılan verilerle aynı nitelikte değerlendirilebilecek başka verilerin kapsam dışında tutulması birçok yazar tarafından eleştiril- miştir. 160 vuru Numarası: 30562/04 ve 30566/04, Karar Tarihi: 4 Aralık 2008; Küzeci, s. 237. Ülkemizde de 2006 yılında kimlik tespiti veya adli amaçla DNA örneklerinin alınması, analiz yapılması, veilerin saklanması, yararlanılması ile Türkiye Milli DNA Veri Bankasının kuruluş ve görevlerine ilişkin “DNA Verileri ve Milli DNA Veri Bankası Kanunu Tasarısı” hazırlanmış olup halen yasalaşmamıştır. Tasarı’ya göre, oluşturulacak DNA Veri Bankasına Adli Tıp Kurumu, Jandarma Genel Ko- mutanlığı Kriminal Daire Başkanlığı ve Emniyet Genel Müdürlüğü Kriminal Dai- re Başkanlığı tarafından veri girişi yapılabilecektir. Tasarı’nın 11. maddesine göre, ceza veya güvenlik tedbirine mahkûmiyet ya da düşme kararı verilmesi halinde, DNA içeren yapılar hükmün kesinleşmesinden sonra derhal yok edilmekle be- raber bu yapılardan elde edilen bilgiler süresiz olarak saklanacaktır. Bu durum, kişisel verilerin korunması ilkelerinden amaca bağlılık ve ölçülülük ilkeleriye bağ- daşmamamaktadır. Aydın, s. 95. 157 Küzeci, s. 238. 158 a.g.e., s. 238. Bu kapsamda, bir verinin özel nitelikli kişisel veri olup olmadığı- nın saptanmasında, ilgili kişinin menfaatleri, kişisel verinin muhtemel alıcıları ve kişisel verinin işlenmesi durumunda ilgili kişi veya kişiler üzernde doğuracağı sonuçlar göz önünde bulundurulmalıdır. Akgül, s. 15. 159 Avrupa Birliği’ne üye ülkelerin kişisel verilerin korunmasıyla ilgili kanunlarına bakıldığında aralarında özel nitelikli kişisel verilerin belirlenmesiyle ilgili fark- lılıklar bulunduğu görülmektedir. Bu ülkelerden Çek Cumhuriyeti, Yunanistan, Avusturya, Estonyai İtalya ve İngiltere’deki kişisel verilerin korunması kanun- larında özel nitelikli kişisel verinin tanımının yapıldığı görülmektedir. Fransa, Almanya, Polonya, İsveç ve Hollanda kanunlarında ise, özel nitelikli kişisel veri tanımlanmadan Yönerge’ye atıfta bulunulmuştur. Akgül, s. 17. 160 Bu eleştirilerde 95/46/AT sayılı Avrupa Birliği Yönergesi’nde özel nitelikli kişisel verilerin belirlenmesinde İkinci Dünya Savaşı sonrasında oluşan insan onurunun korumayı ve ayrımcılığı önlemeyi amaçlayan düdşncenin etkili olduğu, ancak teknolojidek gelişmeler sonucunda Yönerge’de belirlenen özel nitelikli kişisel veri türlerinden bir kısmının önemini kaybederken, Yönerge’de yer almayan başka tür kişisel verilerin koruması ihtiyacının arttığı belirtilmiştir. Akgül, s. 16. Örneğin, finansal veriler ve yer verileri bu kapsamda sayılmadığından özel koruma altında değildirler. Oysa belirtilen türdeki verilerin işlenmesinin kişiler açısından önem- li sonuçlar yaratabileceğine ve önemlerinin gittikçe arttığına çeşitli kaynaklarda yer verilmektedir. Örneğin kişinin bulunduğu yer verisinin işlenmesi, kişiliğin TBB Dergisi 2016 (124)   Ğbrahim KORKMAZ 117 Bu konuda değinilmesi gerekli bir başka husus, özel nitelikli ki- şisel veri olarak sayılan veri kategorileri ile ilişkili her türlü verinin bu kapsamda değerlendirilip değerlendirilmeyeceğidir. Bazı durum- larda, özel nitelikli kişisel verilerin içine dâhil olan veri türlerinin özel bir koruma altına alınmadığı görülebilir. 161 Ulusal hukuk sistemleri açısından bu konuda önemli olan, veri koruma otoritesinin ve nihai olarak mahkemenin somut olaya bakarak yaptıkları yorumdur. 162 B. Özel Nitelikli Verileri İşleme Yasağının İstisnaları Kişisel Verilerin Korunması Kanunu’nun 6. maddesinin 3. fıkrasın- da, hangi hallerde ilgili kişinin açık rızası aranmaksızın özel nitelikli kişisel verilerin işlenebileceği düzenlenmiştir. Buna göre, maddenin değişik görünümlerini açığa çıkarması nedeniyle (kişinin kumarhanede, işkili mekânda bulunması gibi) ayrımcılık tehlikesini meydana getirmekte, ayrıca bu verilerin adam kaçırma, soygun, tehdit gibi çeşitli suçlarda kullanılması da gü- venlik sorunları doğurabilmektedir. Küzeci, s. 239 161 Örneğin, gözlüklü bir insanın resmi onun sağlık durumuna ilişkin bir bilgi içer- mektedir, fakat sadece bundan dolayı özel koruma altına alınacak mıdır? Kişinin dinsel inancını yansıtan bir adının olması, sırf bu sebeple kişinin adının geçtiği her türlü kişisel veriyi özel nitelikli kişisel veri kategorisine sokar mı? Örneğin görme bozukluğu olan kişilere veya belli bir dini inanca sahip kişilere yönelik ilanlar bu kapsamda değerlendirilebilir. Bir kişinin gözlüklü fotoğrafı ya da dini inancını yansıtan adı ancak herhangi bir değerlendirme söz konusu olduğunda özel nitelikli kişisel veri kapsamında değerlendirilebilir. Bunun için somut olayın özellikleri göz önünde bulundurulmalıdır. Örneğin siyasal bir toplantıya katılma üzerindeki söylemlerin ne derece siyasal nitelik taşıyacağı o toplantının anlamın- dan çıkarılabilir. Bu kapsamda, herhangi bir siyasi görüşü olmayan bir kişinin siyasi bir toplantıya katılması sadece bilgi edinme kapsamında olabileceği gibi, siyasi bir protestoya katılması bu anlamda değerlendirilemez. a.g.e, s. 232. 162 Avrupa Birliği Adalet Divanı Lindquivist kararında, 95/46/AT sayılı Avrupa Bir- liği Yönergesi’nin 8/1. maddesini geniş yorumlayarak, sağlık verilerinin kişinin fiziksel ve ruh sağlığı ile ilgili her türlü bilgiyi içerdğini belirtip, ilgili kişinin aya- ğının incinmesi ile ilgili bir bilginin sağlık ile ilgili verisi olduğu, bundan dolayı da Yönerge’de yer alan özel nitelikli kişisel verilerle ilgili korumalardan yarar- lanması gerektiğini belirtmiştir. Küzeci, s. 232, 233; Akgül, s. 14; AİHM’nin M.S. v. İsveç kararına konu olayda, başvurucu iş yerinde geçirdiği iş kazası nedeniyle geçirdiği bel rahatsızlıklarını öne sürerek tazminat talebinde bulunmuş, bunun üzerine İsveç Sosyal Sigortalar Kurumu, başvurucunun tazminat talebinin haklı- lığını incelemek maksadıyla, başvurucunun tedavi görmekte olduğu hastaneden raporları talep etmiş ve başvurucuyla ilgili bu raporlar İsveç Sosyal Sigortalar Kurumuna gönderilmiştir. Sağlık verilerinin bu şekilde gönderilmesinin AİHS’ni ihlala ettiğini iddia eden başvurucu, AİHM’de dava açmış ve AİHM verdiği ka- rarda, başvurucuyla ilgili sağlık raporları incelenmeden tazminat talebi ile ilgili bir karar verilemeyeceği, bundan dolayı bu durumun demokratik bir toplumda izlenen amaçlarla orantılı olduğuna karar vermiştir. Aydın, s. 37; Yılmaz, s. 44. Kişisel Verilerin Korunması Kanunu Hakkında Bir Değerlendirme...118 ilk fıkrasında sayılan sağlık ve cinsel hayat dışındaki kişisel veriler, kanunlarda öngörülen hallerde ilgili kişinin açık rızası aranmaksızın işlenebilecektir. Sağlık ve cinsel hayata ilşkin kişisel veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebilecektir. Ayrıca maddenin dördüncü fıkrasında, özel nitelikli kişisel verilerin işlenmesinde, Kurul tarafın- dan belirlenen yeterli önlemlerin alınması şart olduğu düzenlenmiştir. Kişisel verilerin korunmasıyla ilgili uluslararası düzenlemele- re bakıldığında özel nitelikli kişisel verilerin işlenmesiyle ilgili istis- naların bulunduğu görülmektedir. 163 95/46/AT sayılı Avrupa Birliği Yönergesi’nin 8/2 maddesi, özel nitelikli kişisel verilerin işlenebileceği durumları belirlemiştir. Buna göre, özel nitelikli kişisel veriler, ilgili kişinin açık rızası bulunması, 164 veri işleme, veri sorumlusunun iş hu- kukundan kaynaklanan özel hak ve yükümlülüklerin yerine getirme- si için zorunlu olması, 165 ilgili kişinin ya da diğer bir kişinin yaşamsal çıkarlarının korunması için gerekli olması, 166 işlemenin ilgili kişi ta- 163 Düzenlemeler arasında farklar bulunsa da bunlar genel olarak; ilgili kişinin rızası, hayati çıkarlarının korunması, özel nitelikli kişisel verilerin kamuya yararlı ku- rum ve kuruluşlar tarafından işlenmesi, ilgili kişinin özel nitelikli kişisel verilerini kamuya açıklaması ve yargılama sebebiyle işlemedir. Özdemir, s. 128; Akgül, s. 20. 164 Özel nitelikli kişisel kişisel verilerin işlenmesindeki en önemli meşruiyet koşulu, ilgili kişinin rızasının bulunmasıdır. Bu veriler, ilgili kişi ile yakından ilgili olması sebebiyle, kişi, bu verilerin işlenip işlenmeyeceğine dair kararı kendisi vermeli- dir. Bu rıza, diğer kişisel verilerin işlenmesinde aranan rızadan farklı olarak açık şekilde verilmelidir. Bu ise, ilgili kişinin rızasını belli eden müspet bir hareketin yapılmasını gerektirir. Kişinin hareketsiz kaldığı durumlarda rıza gösterdiğinin söylenmesi söz konusu değildir. Ayrıca üye devletler, ilgili kişinin rızası olsa bile kişisel verilerin işlenmesini yasaklayabilirler. Kuner, European Data Protection Law, s. 101; Article 29 Working Party, Working Document on the Processing of Personal Data Relating to Health in Electronic Health Records (EHR), WP 131, 15 Şubat 2007, s.9. 165 Örneğin böyle bir zorunluluk, işçinin sendika kesintisini yapmak işverenin yasal göreviyse söz konusu olabilir. Bu istisnanın kapsamına yorum yoluyla ulaşmak söz konusu değildir. Bu koşulun sağlanması için verinin toplanması ve işlenmesi mutlaka gerekli olmalı ve yasal bir zorunluluktan kaynaklanmalıdır. Küzeci, s. 240. 166 Bu istisnadan söz edebilmek için, ilgili kişinin hukuken veya fiziksel olarak rıza TBB Dergisi 2016 (124)   Ğbrahim KORKMAZ 119 rafından kamuya açıklanan verilere ilişkin ya da hakların kurulması, kullanılması ve korunması için gerekli olması, 167 kar amacı gütmeyen bir kurum tarafından yasal etkinliklerini yerine getirebilmesi için iş- lemenin gerekli olması, 168 veri işlemenin önleyici hekimlik, tıbbi teşhis, tıbbi yardım veya bakım veya sağlık hizmetlerinin idari olarak yürü- tülmesi için gerekli olması ve bu verilerin sağlık personeli veya sağ- lık personeli gibi sır saklama yükümlülüğüne tabi kişiler tarafından işlenmesi 169 durumlarında işlenebilir. 170 Bütün bunların yanında, Yö- nerge uyarınca üye devletler, uygun önlemleri almak koşuluyla, kamu yararı için başka istisnalar da belirleyebilirler. 171 Örneğin Yönerge’de kişilerin idari ve adli mahkûmiyetlerine ilişkin verilerin bu kapsamda sayılıp sayılmayacağı üye devletlerin takdirine bırakılmıştır. 172 göstermesinin imkânsız olması gerekir. Küzeci, s. 240. Aksi takdirde kararı vere- cek olan yine ilgili kişidir ve burada rızaya ilişkin koşulların bulunması gerekli- dir. Burada ilgili kişinin içinde bulunduğu özel durum sebebiyle rızasını açıkla- yabilme olanağına sahip olmadığı, eğer bu durum olmasaydı kesi olarak rızasının bulunacapğı kabul edilmektedir. 95/46/AT Sayılı Avrupa Birliği Yönergesi, m. 8 - c. Kuner, European Data Protection Law, s.102. Bu durumda da kişinin rıası- nın varlığını garanti etmek için kişinin içinde bulunduğu olağanüstü durumun geçmesini müteakip açık rızasının alınması gerekir. Özdemir, s. 128; Akgül, s. 22. 167 95/46/AT Sayılı Avrupa Birliği Yönergesi, m. 8/2 e. İlgili kişinin özel nitelikli kişisel verilerinin bizzat kendisi tarafından kamuya açıklanması durumunda artık bu verilerin korumadan yararlanması söz konusu olamaz. Örneğin kişinin kendisi tarafından haber muhabirlerine sağlık bilgileri ile ilgili yapılan bir açıklama son- rasında bu veriler kişisel verilerin korunması mevzuatının sağladığı korumadan yararlanamayacaklardır. Özdemir, s. 129; Akgül, s. 22. 168 95/46/AT Sayılı Avrupa Birliği Yönergesi, m. 8/2 d. Bu istisnanın geçerli olması için, uygun önlemlerin alınması, verilerin kurumun üyeleri ya da bağlantılı kişi- lerle ilgili olması ve ilgili kişinin rızası olmaksızın üçüncü kişilere açıklanmaması gerekir. Burada belirtilen kar amacı gütmeyen kuruluş; dernek, vakıf, vb. olabi- leceği gibi, siyasal, felsefi, ya da sendikal bir amaca yönelik bir örgütlenme de olabilir. Küzeci, s. 241; Kuner, European Data Protection Law, s.102. 169 95/46/AT Sayılı Avrupa Birliği Yönergesi, m. 8/3; Burada sağlık hizmetlerinin sağlanmasına için bazı veri türlerinin işlenmesine istisna getirildiği görülmekte- dir. Ancak burada da verileri işleyebilecek olanlar sır saklama yükümlülüğüne tabi kişiler olarak sınırlandırılmıştır. Kuner, European Data Protection Law, s.102. 170 Kuner, European Data Protection Law, s.101; Sevimli, s. 150-153. 171 95/46/AT Sayılı Avrupa Birliği Yönergesi, m. 8/4 172 95/46/AT Sayılı Avrupa Birliği Yönergesi m. 8/5. Bu istisnai durumlara iliş- kin dikkat edilmesi gereken bir husus, bunların 95/46/AT sayılı Avrupa Birliği Yönergesi’nde belirlenen diğer kurallara uygun davranma zorunluluğunu orta- dan kaldırmamalarıdır. Buradaki istisnai durum, sadece özel nitelikli kişisel veri- lere getirilen ilave korumaların uygulanmasına ilişkindir. Yönerge’de öngörülen diğer koruma tedbirleri ise uygulanmaya devam edecektir. Kişisel Verilerin Korunması Kanunu Hakkında Bir Değerlendirme...120 IV. KİŞİSEL VERİLERLE İLGİLİ İŞLEMLER A. Kişisel Verilerin Silinmesi, Yok Edilmesi Veya Anonim Hâle Getirilmesi Kişisel Verilerin Korunması Kanunu’nun 7. maddesiyle, kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi dü- zenlenmektedir. 173 Buna göre, hukuka uygun olarak işlenmiş kişisel verilerin işlenmesini gerektiren sebeplerin ortadan kalkması duru- munda, bu kişisel veriler resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinecek, 174 yok edilecek 175 veya anonim hale getirilecektir. 176 İlgili kişi tarafından kişisel verilerin silinmesini iste- me hakkı Anayasa’nın özel hayatın gizliliğini düzenleyen 20. madde- 173 Komisyon Raporu, s. 10. Verileri yok etmeme suçu, TCK’nun 138. maddesinde “(1) Kanunların belirlediği sürelerin geçmiş olmasına karşın verileri sistem için- de yok etmekle yükümlü olanlara görevlerini yerine getirmediklerinde bir yıldan iki yıla kadar hapis cezası verilir. (2) (Ek: 21/2/2014-6526/5 md.) Suçun konu- sunun Ceza Muhakemesi Kanunu hükümlerine göre ortadan kaldırılması veya yok edilmesi gereken veri olması hâlinde verilecek ceza bir kat artırılır.” şeklinde düzenlenmiştir. Bu suçla, gerekçede de belirtildiği gibi kişisel verileri kanun tara- fından öngörülen hukuki sürelerde yok etmekle yükümlü olan kişiler tarafından bu yükümlülüğe aykırı hareket edilerek yok edilmemesi hali yaptırıma bağlanmış ve bağımsız bir suç düzenlenerek kişisel verilerin keyfe bağlı olarak tutulmaları- nın önüne geçilmek istenilmiştir. Gültekin, s.181; Zeki Hafızoğulları –Muharrem Özen, Ceza Hukuku Özel Hükümler – Kişilere Karşı Suçlar, Us - A Yayıncılık, An- kara 2010.s.272; Özbek, s. 964; Ergün, s. 119; Murat Volkan Dülger, Bilişim Suçları, Seçkin, Ankara 2004, s.281; Taşkın, s. 110 174 Kişisel verilerin silinmesi, gerekçede belirtildiği gibi, verilerin kayıtlı oldukları evrak, dosya, CD, disket, hard disk gibi kayıt ortamlarından tekrar hiçbir şekilde kullanılamayacak veya geri getirilemeyecek şekilde silinmesi anlamına gelmekte- dir. Tasarı, s. 22. 175 Verilerin yok edilmesi ise, verilerin tekrar geri getirilemeyecek ve kullanılamaya- cak şekilde, verilerin kaydedildiği, evrak, dosya, CD, disket, hard disk gibi kayıt materyallerinin imha edilmesi demektir. Tasarı, s. 22. 176 Verilerin anonim hale getirilmesinden, kişisel verilerin başka verilerle eşleştiril- se dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi kastedilmektedir. Anonim verilerde, yapılan işlemler sonucun- da belirlenebilir bir birey ile verinin arasındaki bağ koparılmak suretiyle bireyin kimliğinin tespiti olanaksız hale getirildiğinden, verilerin ait olduğu kişilere ulaş- mak mümkün olmamaktadır. Bu nedenle anonim veriler, kişisel veri değildirler. Ancak anonimleştirme sürecinin başlangıcında kişisel verilerin belirlenebilir olma özelliği yok olmadığından, süreç 95/46/AT sayılı Avrupa Birliği Yönergesi kap- samında korunmaktadır., Ian Walden, Anonymising Personal Data, International Journal of Law and Information Technology, C.10, S.2, 2002, s.224-237’den çeviren Kuşkonmaz s. 11. 95/46/AT sayılı Avrupa Birliği Yönergesi’nin başlangıç bölü- münün 26. maddesinde de anonim verilerin kişisel veri olmadığı belirtilmiştir. Aksoy, s. 36. TBB Dergisi 2016 (124)   Ğbrahim KORKMAZ 121 sinin 3. fıkrasında da düzenlenmektedir. 177 108 sayılı Avrupa Konseyi Sözleşmesi’ne göre ilgili kişiler, verileri Sözleşme hükümlerine aykırı olarak işlenmişse, bu verilerin silinmesini istemek; silinme talebinin reddi durumunda hukuksal yollara başvurabilmek haklarına sahip- tir. 178 95/46/AT sayılı Avrupa Birliği Yönergesi’nin 12. maddesine göre ilgili kişi, Yönerge’ye aykırı olarak işlenmiş veya eksik veya yanlış kişisel verilerinin silinmesini veri sorumlusundan isteyebilir. 179 Kişisel Verilerin Korunması Kanunu’nun 7. maddesinin ikinci fık- rasıyla, kişisel verilerin silinmesi, yok edilmesi veya anonim hale ge- tirilmesine ilişkin diğer kanunlarda yer alan hükümlerin saklı tutul- ması düzenlenmiştir. Bu bağlamda, gerekçede verilen örnekte olduğu gibi, Adli Sicil Kanununda verilerin silinmesini veya yok edilmesini düzenleyen hükümler Kişisel Verilerin Korunması Kanunu’na göre öncelikli olarak uyguılanacaktır. 180 Maddenin son fıkrasında ise, kişi- sel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin usul ve esasların çıkarılacak yönetmelikle düzenleneceği öngö- rülmüştür. B. Kişisel Verilerin Aktarılması Kişisel Verilerin Korunması Kanunu’nun 8. maddesinde, kural ola- rak kişisel verilerin aktarılamayacağı düzenlendikten sonra, 5. madde- nin ikinci fıkrasındaki durumlarda işlenen kişisel verilerin ve yeterli önlemler alınmak kaydıyla 6. maddenin üçüncü fıkrasında belirtilen şartlarda işlenen özel nitelikli (hassas) kişisel verilerin, ilgili kişinin açık rızası aranmaksızın aktarılabileceği düzenlenmiştir. Kanun’un 9. 177 Bu değişiklik 07/05/2010 tarih ve 5983 sayılı, “Türkiye Cumhuriyeti Anayasa- sının Bazı Maddelerinde Değişiklik Yapılması Hakkındaki Kanun”un 2. madde- sinde yer almaktadır ve 12/09/2010 tarihinde yapılan referandum ile yürürlüğe girmiştir. 178 108 sayılı Avrupa Konseyi Sözleşmesi md. 8; Atak, s. 96; Şimşek, Anayasa Huku- kunda Kişisel Verilerin Korunması, s.24. 179 95/46/AT sayılı Avrupa Birliği Yönergesi madde 12/b. 180 Kanunda geçen “diğer kanunlarda yer alan hükümler saklıdır” ifadesi, diğer ka- nunlarda yer alan hükümleri Kişisel Verilerin Korunması Kanununun dışında tutacağından, bu hükümlerle Kişisel Verilerin Korunması Kanunu hükümlerinin çatışması durumunda, diğer kanun hükümlerinin ayrıksı olarak uygulanması so- nucunu doğuracak, böylece kişisel verilerin korunması konusunda birçok ayrıksı düzenlemenin bulunması sonucunda kişisel verilerin korunması alanını daralta- caktır. Komisyon Raporu, s. 33. Kişisel Verilerin Korunması Kanunu Hakkında Bir Değerlendirme...122 maddesinde kişisel verilerin yurtdışına aktarılma usul ve esasları dü- zenlendiğinden, burada söz konusu olan yurtiçinde aktarılacak kişisel verilerdir. Kanuna göre özel nitelikli olmayan kişisel veriler ilgili kişinin açık rızası olmaksızın yurt içinde ancak; kişisel verilerin işlenmesinin ka- nunlarda açıkça öngörülmesi veya fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için verilerin işlenmesinin zorunlu olması veya bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenme- sinin gerekli olması veya veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için kişisel verilerin işlenmesinin zorunlu olması veya kişisel verilerin ilgili kişinin kendisi tarafından alenileştirilmiş olması veya bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması veya ilgili kişinin temel hak ve özgürlükle- rine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması şartlarının birisinin bulunması durumunda aktarılabilir. Özel nitelikli kişisel verilerin ilgili kişinin rızası olmaksızın yurt içinde aktarılabilmesi için ise, kişisel verilerin işlenmesinin kanunlar- da açıkça öngörülmesi veya kişisel verilerin kamu sağlığının korun- ması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi il sağlık hizmetlerinin planlanması, yönetimi ve finans- manı amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından işlenmesi şartlarından birisi- nin bulunması gereklidir. Kanun’un 3. maddesinin 1. fıkrasının (d) bendi uyarınca, verilerin aktarılması veya devralınması kişisel verilerin işlenmesi olarak tanım- landığından; gerekçede de belirtildiği gibi, kişisel verilerin alıcıları açısından özel nitelikli olmayan verilerin işlenebilmesi için 5. madde- de sayılan koşulların bulunması, özel nitelikli verilerin işlenebilmesi için ise Kurul tarafından belirlenen yeterli önlemlerin alınması şartıy- la 6. maddede sayılan koşulların bulunması gerekir. 181 181 Komisyon Raporu, s. 11. TBB Dergisi 2016 (124)   Ğbrahim KORKMAZ 123 Kanun’un 8. maddesinin üçüncü fıkrasında, kişisel verilerin üçün- cü kişilere aktarılmasına ilişkin diğer kanunlarda yer alan hükümle- rin saklı olduğu düzenlenmiştir. Türk Dil Kurumu’nun Güncel Türkçe Sözlüğü’nde “aktarmak” kelimesi, “iletmek, bildirmek”, “kaynak kişiden derlenen herhangi bir parçayı kitlelere duyurmak ve yaymak” olarak tanımlanmıştır. 182 Bu kapsamda Kişisel Verilerin Korunması Kanunu’nun 8. maddesinde bahsedilen aktarma fiili, Türk Ceza Kanunu’nun 136. maddesinde dü- zenlenen verileri hukuka aykırı olarak verme, yayma veya ele geçirme suçunu oluşturan verme 183 ve yayma 184 fiillerini kapsamaktadır. 185 182 Türk Dil Kurumu Güncel Türkçe Sözlük, (Çevrimiçi) http://www.tdk.gov.tr/in- dex.php?option=com_gts&arama=gts&guid=TDK.GTS.56eafdac63bfb0.90656990 (Erişim Tarihi: 17 Mart 2016) 183 Türk Dil Kurumu’nun Güncel Türkçe Sözlüğü’nde “vermek” kelimesi, “üzerinde, elinde veya yakınında olan bir şeyi birisine eriştirmek, iletmek”, olarak tanım- lanmıştır. Türk Dil Kurumu Güncel Türkçe Sözlük, (Çevrimiçi) http://www.tdk. gov.tr/index.php?option=com_gts, (Erişim Tarihi: 14 Mart 2016) Kişisel veriyi vermek fiilinde, bu veriyi bir kişiye ulaştırmak söz konusudur. Özbek, s.960; Er- gün, s. 117; Mustafa Artuç, Kişilere Karşı Suçlar, Adalet Yayınevi, Ankara 2008, s. 1293; Yılmaz, s. 71. Vermenin yayma düzeyine ulaşmayan bir eylem olduğu söylenebilir. Şaban Cankat Taşkın, Bilişim Suçları, Beta, Bursa 2008, s. 107. Kişisel verilerin verilmesi eylemi birçok değişik şekilde gerçekleştirilebilir. Örnek olarak verilerin yazılı olduğu bir kâğıdı elden veya posta ile vermek veya CD, DVD, disk vb. ortamında vermek veya internet ortamında, e-mail vb. şekilde göndermek, vermek kavramının içine girer. Dülger, Bilişim Suçları, s. 277; Karagülmez, s.234; Taşkın, s. 107; Uygun, s. 94. Suç, kişisel verinin gönderilen kişinin eline geçmesi, onun tarafından öğrenilmesi ile sonlanır. Ahmet Gündel, Yeni Türk Ceza Kanunu Açıklaması, 3. Cilt, Ankara 2008, s. 2903. Kişisel verileri vermek suçunu sadece, verileri elinde bulunduran birisi işleyebilir. Hafızoğulları - Özen, Ceza Özel, s.271 184 “Yaymak” kelimesi ise Türk Dil Kurumu’nun Güncel Türkçe Sözlüğü’nde “birçok kimseye duyurmak” olarak tanımlanmıştır. Kişisel verileri yaymak, onları birden fazla sayıda kişinin öğrenmesini sağlamaktır. Hafızoğulları - Özen, Ceza Özel, s.271; Osman Yaşar – Hasan Tahsin Gökcan –, Mustafa Artuç, Yorumlu – Uygu- lamalı Türk Ceza Kanunu, Cilt 3, 1. Baskı, Adalet Yayınevi, Ankara 2010, s.4126; Artuç, s. 1293. Yaymak fiili de pek çok şekilde yapılabilir. Kişisel verilerin yazılı olduğu kâğıtları birden çok kişiye mektupla göndermek veya CD, DVD, disk vb. ortamında birden çok kişiye postayla göndermek veya kişisel verileri pek çok ki- şinin ulaşabileceği bir yere, örneğin bir web sitesine koymak, bir forum odasın- da birden çok kişinin okuyabileceği şekilde yazmak, yaymak fiili kapsamı içinde bulunan hareketlerdir. Dülger, Bilişim Suçları, s. 278. Kişisel verilerin yayılması eylemi, yazılı, görsel veya işitsel olarak yapılabilir. Kişisel verilerin yayılması ey- lemi radyo, TV gibi basın, gazete gibi yazılı basın veya sanal basın yoluyla işlene- bilir. Taşkın, s. 107. Kişisel verinin fiilen birileri tarafından öğrenip öğrenilmediği önemli değildir. Dülger, Bilişim Suçları, s.278; Akdağ, s. 122. 185 Verileri hukuka aykırı olarak verme, yayma veya ele geçirme suçu, TCK’nun 136. maddesinde “(1) Kişisel verileri, hukuka aykırı olarak bir başkasına veren, yayan Kişisel Verilerin Korunması Kanunu Hakkında Bir Değerlendirme...124 C. Kişisel Verilerin Yurt Dışına Aktarılması Kişisel Verilerin Korunması Kanunu’nun 9. Maddesiyle, Kanun’un 5. maddesinde düzenlenen kişisel veriler ve 6. maddede düzenlenen özel nitelikli kişisel verilerin yurt dışına aktarılması düzenlenmektedir. Maddenin birinci fıkrasına göre, kişisel veriler ilgilinin açık rızası olmaksızın yurtdışına aktarılamaz. İkinci fıkrada ise bu kuralın istisna- ları yer almaktadır. Buna göre, özel nitelikli olmayan kişisel verilerin ilgili kişinin açık rızası olmaksızın yurt dışına aktarılabilmesi için ilk olarak Kanun’un 5. maddesinin ikinci fıkrasında belirtilen şartlardan birisi- nin bulunması gerekmektedir. Bu şartlar; kişisel verilerin işlenmesinin kanunlarda açıkça öngörülmesi veya fiili imkansızlık nedeniyle rızası- nı açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için kişisel verilerin işlenmesinin zorunlu olması veya bir sözleşmenin kurulması veya ifasıyla doğrudan doğ- ruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verile- rin işlenmesinin gerekli olması veya veri sorumlusunun hukuki yü- kümlülüğünü yerine getirebilmesi için kişisel verilerin işlenmesinin zorunlu olması veya kişisel verilerin ilgili kişinin kendisi tarafından alenileştirilmiş olması veya bir hakkın tesisi, kullanılması veya korun- ması için veri işlemenin zorunlu olması veya ilgili kişinin temel hak ve veya ele geçiren kişi, iki yıldan dört yıla kadar hapis cezası ile cezalandırılır.” şek- linde düzenlenmiştir. Dülger,s.276; Topaloğlu, s. 179. Gelişen teknolojiyle birlikte bireyler internet sitelerine üye olabilmek, mağazalardan indirim kartları alabil- mek, bankalarda işlem yaptırabilmek gibi birçok amaçla kişisel verilerini çeşitli kuruluşlara vermekte ve bazen kişisel veriler bu kuruluşlar tarafından bireyin rı- zasıyla veya olmadan başkalarıyla paylaşılmaktadır. Ergün İsmail, Siber Suçların Cezalandırılması ve Türkiye’de Durum, Adalet Yayınevi, Ankara 2008, s. 113. Kişi hakkındaki veri ancak ilgili kişinin kendi rızası ile ya da kanunen yetkili kişilerce, ilgili kanun hükümleri uyarınca işlenebilir. Kişisel verilerin hukuka uygun pay- laşımının artması, aynı zamanda hukuka aykırı paylaşımın da artmasına sebep olmuş ve birçok ülkede olduğu gibi ülkemizde de 5237 sayılı Türk Ceza Kanu- nu ile birlikte, kişisel verilerin korunması amacıyla bu tür fiilleri cezalandırmak için düzenleme yapılmıştır. Ergün, s. 116; Ersoy, Kişisel Verilerin Korunması, s. 95; Soyaslan Doğan, Ceza Hukuku Özel Hükümler, 8. Baskı, Ankara 2010, s.346; TCK’nun 136. maddesi, kişisel verilerin hukuka aykırı olarak verilmesi, yayılma- sı ve ele geçirilmesini cezalandırmakta olup, diğer ülkelerde tanımlanan kimlik hırsızlığı suçunun da TCK’daki karşılığıdır. Kimlik hırsızlığı, bireyin adı, soyadı, sosyal güvenlik numarası, adresi ve kredi kart bilgileri gibi kişisel verilerini kul- lanarak, taklit edilmesi yoluyla çeşitli şekillerde menfaat elde edilmesidir. Dülger, s.276, Gültekin, s. 161; Ergün, s. 116; Taşkın, s. 105. TBB Dergisi 2016 (124)   Ğbrahim KORKMAZ 125 özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olmasıdır. Bu şartlardan biri- sinin bulunması da özel nitelikli olmayan kişisel verilerin yurt dışına aktarılması için yeterli olmayıp, bunların dışında kişisel verinin akta- rılacağı yabancı ülkede kişisel veriler için yeterli korumanın bulunma- sı veya yeterli korumanın bulunmaması durumunda Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve Kurulun izninin bulunması gereklidir. Özel nitelikli kişisel verilerin ilgili kişinin açık rızası olmaksızın yurt dışına aktarılabilmesi için ise ilk olarak Kanun’un 6. maddenin üçüncü fıkrasında belirtilen şartlardan birinin bulunması gereklidir. Bu şartlar; kişi- sel verilerin işlenmesinin kanunlarda açıkça öngörülmesi veya kişisel verilerin kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, il sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla, sır saklama yüküm- lülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tara- fından işlenmesidir. Özel nitelikli kişisel verilerin ilgili kişinin açık rızası olmadan yurt dışına aktarılabilmesi için yukarıda sayılan Kanun’un 6. mad- denin üçüncü fıkrasında belirtilen şartlardan birisinin bulunması yanında özel nitelikli kişisel verinin aktarılacağı yabancı ülkede kişisel veriler için ye- terli korumanın bulunması veya yeterli korumanın bulunmaması durumunda Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve Kurulun izninin bulunması gereklidir. Kanun, 9. maddenin üçüncü fıkrasıyla Kurula yabancı ülkelerde kişisel verilerle ilgili yeterli koruma bulunup bulunmadığını belirle- me ve ilan etme yetki ve sorumluluğu vermiştir. Maddenin dördün- cü fıkrası, Kurulun, kişisel veriler için yabancı ülkede yeterli koruma olup olmadığına karar verirken ve verilerin yurt dışına aktarılmasına izin verirken hangi kriterleri dikkate alacağını düzenlemektedir. Buna göre Kurul; Türkiye’nin taraf olduğu uluslararası sözleşmeleri, kişisel veri talep eden ülke ile Türkiye arasında veri aktarımına ilişkin karşı- lıklılık durumunu, her somut kişisel veri aktarımına ilişkimn olarak, kişisel verinin niteliği ile işlenme amaç ve süresini, kişisel verinin ak- tarılacağı ülkenin konuyla ilgili mevzuatı ve uygulamasını, kişisel ve- rinin aktarılacağı ülkede bulunan veri sorumlusu tarafından taahhüt edilen önlemleri, değerlendirecek ve ihtiyaç duyulması halinde, ilgili kurum ve kuruluşların görüşünü de alarak karar verecektir. Kişisel Verilerin Korunması Kanunu Hakkında Bir Değerlendirme...126 Maddenin 5. fıkrasında kişisel verilerin, uluslararası sözleşme hü- kümleri saklı kalmak üzere, Türkiye’nin veya ilgili kişinin menfaati- nin ciddi bir şekilde zarar göreceği durumlarda, ancak ilgili kamu ku- rum veya kuruluşunun görüşü alınarak Kişisel Verilerin Korunması Kurulunun izniyle yurt dışına aktarılabileceği düzenlenmiştir. Mad- denin 6. fıkrasında, kişisel verilerin yurt dışına aktarılmasına ilişkin diğer kanunlarda yer alan hükümlerin saklı olduğu belirtilmiştir. Kişisel verilerin ülkeler arasında aktarılması ile ilgili uluslararası mevzuatta da düzenlemeler bulunmaktadır. 108 sayılı Avrupa Konse- yi Sözleşmesi’nin 12. maddesi, bir taraf devletten diğerine yapılacak veri aktarımlarının özel yaşam gerekçesiyle engellenmesini ya da özel bir izne tabi tutulmasını yasaklamaktadır. 186 181 sayılı Ek Protokol’le getirilen düzenlemeye göre, kişisel verilerin Sözleşme’ye taraf olma- yan bir uluslararası örgüte ya da ülkeye gönderilebilmesi için, o ör- gütün veya ülkenin Sözleşme’ye uygun veri koruma seviyesine sahip olması gerekmektedir. 187 95/46/AT sayılı Avrupa Birliği Yönergesi’nde genel olarak yeter- li nitelikte bir koruma düzeyi bulunmayan 188 üçüncü ülkelere veri transferini 189 yasaklayan bir rejim kabul edilmiştir. 190 Bir başka deyiş- le, Avrupa Birliği’nden üçüncü ülkelere kişisel veri aktarımı, 95/46/AT sayılı Avrupa Birliği Yönergesi’nde düzenlenen istisnalar 191 dışında, 186 Ancak taraf devletler arasında belli kategori kişisel veriler hakkında farklı düzen- lemeler bulunuyorsa, bu durumda veri aktarmada sınırlama yapılabilir. 187 181 sayılı Ek Protokol m. 2. Ancak kişisel verilerin transferinde ilgili kişinin üstün bir yararı bulunuyorsa veya ülkeler arasında veriler için alınacak güvenlik ted- birleri hakkında antlaşmalar varsa, bu durumda kişisel veriler Sözleşme’ye taraf olmayan devletlere veya kuruluşlara gönderilebilir. 181 sayılı Ek Protokol m. 2. f. 2; Atak, s..96. 188 Koruma düzeyinin yeterliliği, ilgili ülkedeki veri koruma kurallarının içeriği ve bunların uygulamadaki geçerlilikleri dikkate alınarak tespit edilmektedir. Başalp, Kişisel Verilerin Korunması ve İnternet, s.16. 189 Yönerge, veri transferinin tanımını yapmamıştır. 190 Başalp, Kişisel Verilerin Korunması ve İnternet, s.15. Burada üçüncü ülkeler Av- rupa Birliği üyesi olmayan ülkelerdir. 95/46/AT sayılı Avrupa Birliği Yönergesi madde 25/1; Heisenberg, s.31; Topaloğlu, s. 167; Bygrave, Data Protection Law, s. 79. 191 Bu istisnalar; kişisel veri ilgilisinin rızasının bulunması, veri aktarımının ilgiliye karşı bir sözleşmesel yükümlülüğün yerine getirilmesi için gerekli olması, bir kamu yararının bulunması, bir mahkeme kararının yerine getirilmesi veya akta- rımın yasal olarak düzenlenmiş olması durumlarıdır. 95/46/AT sayılı Avrupa Birliği Yönergesi madde 26/1-a; Heisenberg, s.31. TBB Dergisi 2016 (124)   Ğbrahim KORKMAZ 127 ancak bu ülkelerde Yönergeye uygun bir kişisel veri koruma dü- zeyinin 192 bulunması halinde mümkündür. 193 Yönerge, yeterli koru- ma düzeyinin saptanmasında özellikle dikkat edilmesi gereken şartları belirtmiştir. Bu şartlar; verinin niteliği, işlemenin amacı ve süresi, çıkış ülkesi ve varacağı ülke, üçüncü ülkede geçerli olan ge- nel ve sektörel hukuk kuralları, bu ülkede uyulan mesleki kurallar ve uygulanan güvenlik önlemleridir. 194 Eğer üçüncü ülkede yeterli koruma düzeyi yoksa veri sorumlusunun ilgililerin özel alanıyla temel hak ve hürriyetlerin korunması konusunda yeterli 195 garanti göstermesi ve üye devleti transfere onay vermesi hallerinde transfer yasağı kalkacaktır. 196 2000 yılında Avrupa Parlamentosu Amerika Bir- leşik Devletleri tarafından kişisel verilerin korunmasında Avrupa Bir- liği normlarına uyum amacıyla çıkardıkları Safe Harbor ilkelerini 197 192 Üçüncü ülkede yeterli koruma düzeyi bulunup bulunmadığına kural olarak üye devletlerin veri koruma organlarının buluşmasıyla oluşan Komisyon tarafından resmi olarak karar verilmektedir. Böylece, bir kere Komisyon, örneğin Kanada’nın yeterli veri koruma düzeyi bulunduğuna karar verirse, üye ülke veri koruma or- ganları Kanada’da bulunan şirketlere kişisel verilerin transferine engel olamazlar. Şimşek, Anayasa Hukukunda Kişisel Verilerin Korunması, s. 55; Heisenberg, s.27; Başalp, Kişisel Verilerin Korunması ve Saklanması, s.67; 29. Madde Veri Çalışma Grubu, yeterli düzeyi açıklamak üzere Üçüncü Ülkelere Kişisel Verilerin Transfe- rinde Temel Prensipler adlı bir karar yayımlamıştır. Buna göre “yeterlilik” ölçütü- nün her somut olaya göre değerlendirilmesi gerektiğini belirtmiştir. Ancak, Veri Çalışma Grubu, veri aktarımının yoğunluğu, aktarımdaki tarafların sayısı gibi ne- denlerden dolayı her somut olayda incelemenin zor olacağından, veri aktarımına ilişkin “beyaz listeler” oluşturulmasını teklif etmiştir. Bu listeler hangi ülkelerin yeterli koruma düzeyine sahip olduğuna dair fikir vermek amacıyla oluşturula- caktır. 29 Data Protection Working Party, First Orientations on Transfers of Perso- nal Data to Third Countries-Possible Ways Forward in Assessing Adequacy, XV D/5020/97-EN final WP4 26.06.1997, s.3, (Çevrimiçi) http://ec.europa.eu/jus- tice/policies/privacy/docs/wpdocs/1997/wp4_en.pdf (Erişim Tarihi: 15 Mart 2016) 193 Dinç, Kişisel Verilerin Korunmasında Uluslararası Düzenlemeler, s. 49; Kong, Lingjie, Data Protection and Transborder Data Flow in the European and Global Context, European Journal of International Law, S. 21, 2010, s. 444. 194 Kuşkonmaz, s.81; Başalp, Kişisel Verilerin Korunması ve İnternet, s.16. 195 Veri sorumlusunun göstereceği garantide ilgilinin temel hak ve hürriyetlerinin ve özellikle özel alanının korunacağı garanti edilmelidir. Garantinin içeriği 95/46/ AT sayılı Avrupa Birliği Yönergesi’nin 6, 7, 8, 11, 12 ve 14’üncü maddeleriyle uyumlu olmalıdır. Madde 26’da sayılan haklarda garanti altına alınmalıdır. Ba- şalp, Kişisel Verilerin Korunması ve Saklanması, s.73; Şimşek, Anayasa Hukukun- da Kişisel Verilerin Korunması, s. 55; Heisenberg, s.33. 196 Başalp, Kişisel Verilerin Korunması ve İnternet, s.17, Kong, s. 444. 197 ABD Ticaret Bakanlığı tarafından 21 Temmuz 200’de yayımlanan Safe Harbor Privacy Principles için bakınız.(Çevrimiçi) http://export.gov/safeharbor/eu/ eg_main_018475.asp (Erişim Tarihi: 12 Mart 2016). Kişisel Verilerin Korunması Kanunu Hakkında Bir Değerlendirme...128 kişisel verilerin korunması bakımından makul bir düzenleme olarak kabul etmiştir. Safe Harbor ilkeleri Avrupa Birliği üyesi devletlerde kişisel verileri transfer etmek isteyen ABD işletmelerinin uyacakları prensipleri içermektedir. 198 Yönerge’nin kişisel verilerin korunmasıyla ilgili yeterli koruma düzeyi bulunmayan üçüncü ülkelere veri aktarımını yasaklayan hük- mü, bu ülkelerde kişisel verilerin korunması ile ilgili düzenlemelerin yapılmasına yol açması sebebiyle, Yönerge’nin etkisini Avrupa Birliği dışına taşımıştır. 199 V. VERİ SORUMLUSUNUN YÜKÜMLÜLÜKLERİ VE İLGİLİ KİŞİNİN HAKLARI A. Veri Sorumlusunun Aydınlatma Yükümlülüğü Kişisel Verilerin Korunması Kanunu’nun 10. maddesi, gerekçede belirtildiği gibi 95/46/AT sayılı Avrupa Birliği Yönergesi’ne paralel şekilde, veri sorumlusunun ilgili kişiyi aydınlatma yükümlülüğünü düzenlemektedir. 200 Kanuna göre, veri sorumlusu veya yetkilendirdiği kişi, aydınlat- ma yükümlülüğü kapsamında ilgili kişiyi; veri sorumlusunun ve var- sa temsilcisinin kimliği, veri işleme amacı, verilerin kimlere ve hangi amaçla aktarılabileceği, veri toplamanın yöntemi ve hukuki sebebi ile Kanun’un 11. maddesinde sayılan diğer hakları konusunda bilgilendi- recektir. İlgili kişinin kişisel verilerinin işlenmesi hakkında bilgilendiril- mesi iki açıdan önemli olup; bunlar, bireyin kişisel haklarını etkin 198 Carey, s. 121; Kuner, European Data Protection Law, s.113; Heisenberg, s.74; Er- soy, Kişisel Verilerin Korunması, s. 84; Yedi temel yükümlülükten oluşan Safe Harbor ilkelerine göre; AB üyesi ülkelerden kişisel verileri transfer etmek isten Amerikan şirketleri, söz konusu kişisel verileri, hangi amaçlarla topladıklar hak- kında ilgili kişileri bilgilendirmek, izinleri olmadıkça üçüncü kişilerle paylaş- mamak, bildirim yapılsa ve izin alınsa bile kişisel verileri aynı düzeyde koruma sağlamayan üçüncü kişilere aktarmamak, kişisel verilerin bütünlüğü ve güvenliği için gereken önlemleri almak, ilgili kişilere verilerine erişim hakkı tanımak, şika- yetleri ile ilgilenmek ve bu konularda çıkabilecek sorunları çözmek için bağımsız mekanizmalar oluştumakla yükümlüdürler. Akgül, s. 133. 199 Kuşkonmaz, s.86; Kuner, European Data Privacy Law, s. 79. 200 Komisyon Raporu, s. 11. TBB Dergisi 2016 (124)   Ğbrahim KORKMAZ 129 olarak kullanabilmesi ve idarenin şeffaflığının sağlanabilmesidir. 201 Ayrıca, ilgili kişinin bilgilendirilmesi dürüstlük kuralı ile de yakın- dan ilgilidir. 202 Bu sebeplerden dolayı, ilgili kişinin kişisel verilerinin işlenmesi hakkında bilgilendirilmesi, kişisel verilerin korunmasında önemli bir yere sahiptir. 203 İlgili kişinin bilgilendirilmesi yükümlülüğü, 95/46/AT sayılı Avrupa Birliği Yönergesi’nin 10 ve 11. maddelerinde, APEC Çerçeve B e lge si’n i n 15. pa rag ra f ı nd a, 204 10 8 s ay ı l ı Av r upa Kon s ey i S öz le şme si’n i n 8. maddesinde, 205 OECD Rehber İlkeleri’nin 13. paragrafında 206 ve BM Rehber İlkeleri’nden 4. ilkede 207 düzenlenmiştir. Bunlardan en ayrın- tılı düzenleme, 95/46/AT sayılı Avrupa Birliği Yönergesi’nde yer al- maktadır. 95/46/AT sayılı Avrupa Birliği Yönergesi’nde kişisel verile- 201 Küzeci, s.212; Dağ, s. 121. Kişinin verilerinin işlendiğini bilememesi durumunda haklarını da kullanamayacağından, verilerinin işlenmesi hakkında bilgilendiril- mesi, menfaatlerini koruyabilmesi açısından çok önemlidir. Bu anlamda her kişi, hangi verilerinin, kim tarafından işlendiği konusunda veri sorumluları tarafından bilgilendirilmelidir. Sevimli, s. 157. 202 Şimşek, Anayasa Hukukunda Kişisel Verilerin Korunması, s.88. 203 Bygrave, Data Protection Law, s.63. 204 APEC Çerçeve Belgesi’nin 15. paragrafında ilgili kişinin hangi verilerinin toplan- dığı ve bunların ne gibi amaçlarla kullanılacağı konularında bilgilendirilmesi ge- rektiği bildirilmiştir. 205 108 sayılı Avrupa Konseyi Sözleşmesi’nin 8. maddesinde, ilgili kişinin, kendisine ilişkin kişisel veri veya verilerin varlığını, toplama amaçlarını, veri sorumlusunun ikametini ve bağlı olduğu kuruluşu öğrenmek, makul sürede, aşırı bir masrafa tabi olmaksızın, kendisi hakkında otomatik bir veri kaydedilip kaydedilmediği konusunda anlaşılabilir bir bildirim almak, eğer bu veriler Sözleşme hükümlerine aykırı olarak işlenmişse, bu verilerin silinmesini istemek, silinme talebinin reddi durumunda hukuksal yollara başvurabilmek hakkına sahip olduğu yer almakta- dır. 206 OECD Rehber İlkeleri’nin 13. paragrafında, bireyin; “a) veri sorumlusundan ken- disiyle ilgili veri bulunup bulunmadığının bildirilmesi, b) kendisiyle ilgili veri bulunuyorsa, bu verilerin makul bir zamanda, makul bir ücretle, makul ve an- laşılabilir bir şekilde kendisine açıklanması, c) a) ve b) fıkraları uyarınca yaptığı başvurunun reddedilmesi durumunda kendine ret sebeplerinin bildirilmesi ve buna karşı itiraz edebilme hakkı tanınması, d) kendisiyle ilgili verilerin içeriğine itiraz edebilme ve bu itiraz başarılı olduğunda verilerin silinmesi, düzeltilmesi, tamamlanması veya değiştirilmesini isteyebilme hakkının olması” gerektiği dü- zenlenmiştir. 207 BM Rehber İlkeleri’nden 4. ilkede belirtildiği şekilde, kimliğini belge ile kanıtla- yan herkes, kendisi hakkında verilerin işlenip işlenmediğinin bildirilmesini, bu verilerin makul bir şekilde, gereksiz gecikme ve masraf olmaksızın kendisine ve- rilmesini, verilerin hukuksuz, gereksiz ve yanlış şekilde kaydedilmiş olması ha- linde uygun düzeltme ve silinmelerin yapılmasını ve üçüncü kişilere aktarıldığın- da bilgilendirilmesini isteme hakları vardır. Kişisel Verilerin Korunması Kanunu Hakkında Bir Değerlendirme...130 rin doğrudan ilgili kişiden elde edilmesi 208 ve üçüncü kişilerden elde edilmesi 209 durumlarında farklı düzenlemeler yer almaktadır. 210 Belli şartların bulunması halinde, veri sorumlusunun bildirim yükümlülü- ğünün ortadan kalkması söz konusu olabilir. 95/46/AT sayılı Avrupa Birliği Yönergesi’nin 11/2 maddesinde düzenlenen bu durumlar; ilgili kişiye bilgi vermenin mümkün olmaması, bilgi vermenin oransız bir çaba gerektirmesi, verileri kaydetme veya işlemenin kanunda açıkça yer alması ve kişisel verilerin istatistiki, tarihi veya bilimsel amaçlarla işlenmesi halleridir. 211 B. İlgili Kişinin Hakları Kişisel Verilerin Korunması Kanunu’nun 11. maddesi kişisel veri- leri işlenen kişinin haklarını düzenlemektedir. Maddeye göre kişisel verileri işlenen kişi kendisiyle kişisel veri işlenip işlenmediğini öğren- me, işlenmişse buna ilişkin bilgileri talep etme, verilerin işlenme ama- cı ile bunların amacına uygun kullanılıp kullanılmadığını öğrenme, yurtiçinde veya yurtdışında verilerin aktarıldığı üçüncü kişileri bil- me, 7 nci maddede öngörülen koşullar çerçevesinde kişisel verilerin silinmesini, yok edilmesini veya verinin içeriğinin eksik ya da gerçeğe aykırı olması hallerinde bunların düzeltilmesini isteme hakkına sa- hiptir. 212 Madde kapsamında ilgili kişi, talebi doğrultusunda yapılan dü- zeltme, silme ve yok etme işlemlerinin, verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme, verilerinin kanuna aykırı olarak işlen- 208 Yönerge’nin 10. maddesi uyarınca, bilgiler doğrudan ilgili kişiden elde ediliyorsa, veri sorumlusu veya temsilcisi, ilgili kişiye, ilgili kişinin zaten bildiği durumlar hariç olmak üzere; veri sorumlusunun veya temsilcisinin kimliği, kişisel verile- rin işlenme amacı, veri alıcıları veya alıcı kategorileri, sorulara cevap vermenin zorunlu veya isteğe bağlı olma durumu ve olası bir cevap vermemenin sonuçları, ilgili kişinin kişisel verileri hakkında bilgi alma ve düzeltme hakkının mevcut ol- duğu, veri işlemede özel nitelikli kişisel veriler gibi bazı özel durumların varlığı halinde dürüst işlemeyi temin edecek gerekli bilgileri vermesi gereklidir. 209 Yönerge, kişisel verilerin ilgili kişi yerine üçüncü kişilerden elde edilmesi duru- munda veri sorumlusunun bilgilendirme yükümlülüğünü, 11. maddede düzenle- miştir. Buna göre, kişisel veriler üçüncü kişilerden temin edildiği veya ilgili kişi- den temin edilmekle beraber üçüncü kişilerle paylaşıldığı durumlarda, ilgili kişi bu kapsamda bilgilendirilmelidir. 210 Bainbridge, s. 108. 211 Kuşkonmaz, s.96. 212 Komisyon Raporu, s. 12. TBB Dergisi 2016 (124)   Ğbrahim KORKMAZ 131 mesi sebebiyle zarara uğraması halinde, veri sorumlusundan zararın giderilmesini talep etme hakkına da sahiptir. Maddeyle ilgili kişinin, kişisel verilerinin otomatik sistemler kul- lanılarak analiz edilmesi suretiyle kendisi hakkında çıkacak aleyhe sonuçlara itiraz hakkının olduğu öngörülmüştür. Gerekçede verilen örnekte olduğu gibi, bu maddeyle bir çalışan, performansının otoma- tik sistemlerde kişisel verileri kullanılarak ölçülmesine itiraz edebile- cektir. 213 Kişisel verilerin korunması hukuku kapsamında, çeşitli düzenle- melerde ilgili kişiye kişisel verilerinin korunması için sürece aktif ola- rak katılmasını ve verileri üzerinde denetimini gerçekleştirebilmesini sağlayan bazı haklar verilmiştir. Kişisel verilere erişim hakkı, verilerin düzeltilmesini isteme hakkı ve bazı durumlarda veri işlemeye itiraz hakkı bu kapsamda sayılabilecek haklardandır. 214 Verilere erişim hakkı, bilgilendirme yükümlülüğü ile yakından ilişkilidir. Veri sorumlusunun, kişisel verilerinin işlendiği konusunda ilgili kişiyi bilgilendirmemesi durumunda, ilgili kişinin bundan ha- beri olamayacağından, verilere erişim, düzeltme, sildirme, yok etme, üçüncü kişilere aktarılmasını engelleme gibi haklarını da kullanması söz konusu olamayacaktır. 215 İlgilinin verilerine erişim hakkı, birçok metinde kabul edil- miş olup, özellikle 95/46/AT sayılı Avrupa Birliği Yönergesi’ndeki düzenleme en kapsamlı olanıdır. 216 Bunun dışında 108 sayılı Av- rupa Konseyi Sözleşmesi, 217 OECD Rehber İlkeleri 218 ve BM Rehber İlkeleri’nde 219 bu yönde düzenlemeler bulunmaktadır. AİHM de karar- larında ilgili kişinin verilerine erişim hakkının AİHS’nin 8. maddesi kapsamında korunduğunu belirtmiştir. 220 213 a.g.e, s. 12. 214 OECD Rehber İlkelerinin 13. Paragrafında, ilgili kişinin verilerin işlenmesi süre- cine katılımına yönelik ilkeler topluca düzenlenmiştir. Bununla birlikte diğer me - tinlerde ilgili kişinin haklarının tek bir madde de toplanmayıp çeşitli maddelerde yer aldığı görülmektedir. Bygrave, Data Protection Law, s.63. 215 Şimşek, Anayasa Hukukunda Kişisel Verilerin Korunması, s.90. 216 Bygrave, Data Protection Law, s.65. 217 108 sayılı Avrupa Konseyi Sözleşmesi m.8. 218 OECD Rehber İlkeleri par. 13. 219 BM Rehber İlkeleri 4. ilke. 220 AİHM’nin ilgili kişinin verilere erişim hakkı kapsamında verdiği bir karar Leander Kişisel Verilerin Korunması Kanunu Hakkında Bir Değerlendirme...132 95/46/AT sayılı Avrupa Birliği Yönergesi’nin 12. maddesi, ilgili kişiye, veri sorumlusundan kendisine bazı bilgileri vermesini isteme yetkisi vermektedir. Burada yer alan düzenlemede, ilgili kişiye, ken- disine ilişkin verilere ulaşma hakkı yanında, gereksiz masraf ve ge- cikme olmaksızın, verilerin nasıl kullanıldığı, işleme araçları, verinin kaynağı ve alıcıları gibi başka bilgilere ulaşma hakkı da verilmiştir. 221 95/46/AT sayılı Avrupa Birliği Yönergesi’nin 12/b hükmü gereğin- ce ilgili kişi veri sorumlusundan, Yönerge’nin hükümlerine aykırı şe- kilde işlenen kişisel verisi varsa, özellikle kişisel verilerin eksik veya doğru olmaması durumlarında, bu kişisel verilerin silinmesi, düzeltil- mesi veya erişime engellenmesini isteyebilir. 222 İlgili kişinin itiraz hakkı 95/46/AT sayılı Avrupa Birliği Yönergesi’nin 14. maddesinde düzenlenmiş olup, buna göre, ilgili kişi, genel olarak verilerin işlenmesine veya doğrudan pazarlanmasına iti- raz edebilir. 223 – İsveç davasında verdiği karardır. Mahkeme, kararında, başvuranın kendisiyle ilgili güvenlik kayıtlarına ulaşmasına, ulusal güvenlik gerekçesiyle izin verilme- mesinin Sözleşme’nin 8. maddesi kapsamında özel hayata müdahale oluşturdu- ğunu belirtmiştir. Leander - İsveç davası (Başvuru Numarası: 9248/81) Karar Ta- rihi: 26 Mart 1987, Kararın İngilizce metni için bakınız. (Çevrimiçi) http://hudoc. echr.coe.int/sites/eng/pages/search.aspx?i=001-57519#{“itemid”:[“001-57519”]} (Erişim tarihi: 12 Mart 2016). 221 Küzeci, s.215; Bainbridge, s. 109. Yönerge’nin düzenleniş şekliyle ilgilinin verile- re erişim hakkı, uygulamada bazı sorunları barındırmaya meyilli görünmektedir. Bunlardan bazıları, verilere erişim ile ilgili istenen ücretin hangi koşullarda ma- kul sayılacağı, verilerin birden çok kişiyle ilgili olduğu durumlarda verilerin ilgi- li kişilere nasıl verileceği, hangi bilgilerin çıkartılacağı gibi durumlardır. Ayrıca, Yönerge’de kişisel verilerin ilgili kişiye anlaşılır bir biçimde verilmesi gerektiği düzenlendiğinden, özellikle elektronik işlemelerde ilgili kişinin teknik bilgiden yoksun olduğu durumlarda, veriler ilgili kişiye basit bir biçimde verilmelidir. Bu bilgiler verilirken üzerinde durulması gereken bir başka konu ise, ticari sır ve fikri mülkiyet hukuku ile ilgili düzenlemelerinde göz önünde bulundurulması gerekli- liğidir. 95/46/AT sayılı Avrupa Birliği Yönergesi’nin 41 numaralı Gerekçesi; Kuş- konmaz, s.98. 222 Dağ, s. 122. İlgili kişinin verilerinin düzeltilmesini isteyebilmesi için ilk olarak kendisi ile ilgili eksik veya yanlış bir verinin tutulduğunu bilmesi gerektiğinden, bu hak, veri sorumlusunun verilerin işlenmesi sırasında ilgili kişinin bilgilendiril- mesi yükümlülüğü ve ilgili kişinin kişisel verilere erişim hakkı ile yakından ilgili- dir. Küzeci, s.216. Bunun dışında ilgili kişinin verilerini düzeltme hakkı, verilerin doğru ve güncel tutulması ilkesi ile de yakından ilişkilidir. Şimşek, Anayasa Hu- kukunda Kişisel Verilerin Korunması, s.92. 223 Sevimli, s. 163; Dağ, s. 122. Yönerge’nin 14/a maddesi gereğince belirli durum- ların bulunması halinde ilgili kişi kişisel verilerinin işlenmesine itiraz edebilir. Bu durumlar: Yönerge’nin 7/e fıkrasında düzenlenen, kişisel verilerin işlenme- TBB Dergisi 2016 (124)   Ğbrahim KORKMAZ 133 95/46/AT sayılı Avrupa Birliği Yönergesi’nin 15. maddesinde, kişi- nin bireysel özerkliği ile yakından ilişkili olan ilgili kişinin otomatik kararların konusu olmama hakkı düzenlenmiştir. 224 Bir başka deyişle burada kişiye, kendisiyle ilgili otomatikleştirilmiş, insan müdahalesi- nin bulunmadığı kararların 225 konusu olmama seçeneği verilmektedir. Bu düzenleme ile kişilerin karakterlerinin tamamen otomatik yol- lardan değerlendirilmesinin, onların çıkarlarını önemli derecede etki- leyecek kararların temelini oluşturmaması amaçlanmaktadır. Bundan dolayı şirketler, kişileri önemli derecede etkileyecek kararların en son sinin kamu yararı için yapılan bir faaliyetin veya veri sorumlusu veya verinin açıklandığı üçüncü tarafın kamu yetkisini kullanarak yaptığı bir faaliyetin yerine getirilmesi için gerekli olması durumu ve Yönerge’nin 7/f fıkrasında düzenlenen, kişisel verilerin işlenmesinin, Yönerge tarafından ilgili kişiye tanınan haklar ağır bastığı durumlar hariç olmak üzere, veri sorumlusu veya verilerin açıklandığı üçüncü tarafın meşru çıkarları için gerekli olması durumudur. Yönerge’nin 14/b hükmünde ise, kişisel verilerin, veri sorumlusu veya üçüncü kişiler tarafından doğrudan pazarlama amacıyla işlendiği durumlarda, ilgili kişinin herhangi bir ücrete tabi olmadan verilerinin işlenmesine itiraz edebileceği düzenlenmiştir. Ay- rıca ilgili kişinin bu hakkı konusunda bilgilendirilmesi gerektiği de Yönerge’de yer almaktadır. Yönerge’de doğrudan pazarlamanın tanımı yapılmamıştır. Kü- zeci, s.219. 224 Yönerge’nin 15/1 hükmü, kişilere, işindeki performansı, kredibilitesi, güvenilirli- ği, davranışları gibi kişiyle ilgili çeşitli kişisel özellikleri değerlendirmek amacıyla kişisel verilerinin otomatik olarak işlenmesi sonucunda elde edilen, bireyi önem- li derecede etkileyerek, hukuksal sonuçlar doğuran kararların konusu olmama hakkı vermektedir. Madde hükmünde sayılan durumlar sınırlı sayıda değildir. Başalp, Kişisel Verilerin Korunması ve Saklanması, s. 54. 1978 tarihli eski Fransız Veri Koruma Kanunu’nda da yer alan bu düzenleme, üye ülkeler tarafından kabul edilmesine rağmen, uygulamasına nadiren rastlanmaktadır. Küzeci, s.219; Dağ, s. 122, 123. 225 Örneğin iş başvurusunda bulunan kişilere tamamen bilgisayar yardımıyla uygu- lanan psikolojik testler sonucu verilen işe alıp almama kararları bu tip kararlar- dandır. Başalp, Kişisel Verilerin Korunması ve Saklanması, s. 54. Yönerge’de bu hakkın iki istisnası da düzenlenmiştir. Yönerge’nin 15/2-a maddesine göre, eğer otomatikleştirilmiş karar, ilgili kişinin kendi görüşünü uygulamasına imkân ve- ren koşulların yaratılması gibi tatmin edici veya uygun önlemler alındıktan sonra ilgili kişinin kendi isteğiyle bir sözleşmenin tarafı olması veya mevcut bir sözleş- menin hükümlerinin yerine getirilmesi için alınıyorsa, bu durumda karar ilgili kişi için kabul edilebilir olacaktır. Yine Yönerge’nin 15/2-b maddesine göre, bu kararın alınmasına, ilgili kişinin meşru çıkarlarını korumak için tedbirler öngören bir kanun hükmü izin veriyorsa, bu durumda da karar kabul edilebilir. Burada dikkat edilmesi gereken bir nokta Yönerge’de belirtilen “tatmin edici önlemler” ve “ilgili kişinin meşru çıkarı” kavramlarının belirsizliğidir., Frederico Ferretti, The Law and Consumer Credit Information in the European Community, The Regulation of Credit Information Systems, Routledge-Cavendish, ABD-Kanada 2008, s.174’ten aktaran Küzeci, s.220. Kişisel Verilerin Korunması Kanunu Hakkında Bir Değerlendirme...134 aşamasının bir insan tarafından verilmesi için gerekli tedbirleri alma- lıdırlar. 226 C. Veri Güvenliğine İlişkin Yükümlülükler Veri sorumlusunun kişisel verilerin güvenliklerine ilişkin yüküm- lülükleri Kişisel Verilerin Korunması Kanunu’nun 12. maddesinde dü- zenlenmiştir. Maddeye göre veri sorumlusu, kişisel verilerin hukuka aykırı olarak işlenmesini ve verilere hukuka aykırı olarak erişilmesini önlemek, ayrıca verilerin muhafazasını sağlamak için uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tebir- leri almakla yükümlüdür. 227 Maddenin ikinci fıkrasında, veri sorumlusunun, kişisel verile- rin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi durumunda, maddenin ilk fıkrasındaki tedbirlerin alınmasından bu kişilerle birlikte müştereken sorumlu olacağı düzenlenmektedir. 228 Maddenin üçüncü fıkrasında, veri sorumlusunun kendi kurum veya kuruluşunda, Kişisel Verilerin Korunması Kanunu’nun hükümlerinin uygulanmasını sağlamak amacıyla gereklş denetimleri yapmak ve yaptırmak zorunda olduğu düzenlenmiştir. Dördüncü fıkra, veri sorumluları ile veri işleyenlerin sır saklama yükümlülüğünü düzenlemekte olup, buna göre, veri sorumluları ile veri işleyenler, öğrendikleri kişisel verileri, Kanuna aykırı olarak baş- kalarına açıklayamaz veya şahsi çıkarları için kullanamazlar. Bu yü- kümlülük veri sorumluları ile veri işleyenler görevlerinden ayrılsalar bile devam eder. 229 226 Kuner, European Data Privacy Law, s.65. 227 Adalet Komisyonu Raporunda bulunan muhalefet gerekçesinde belirtildiği gibi, söz konusu yükümlülük, Borçlar Kanunu’nun 65. ve 71. maddeleri arasında dü- zenlenen “kusursuz sorumluluk” müessesine benzer olup, bu bağlamda, Borç- lar Kanununun adaç çalıştıranın,çalışanını seçerken, işiyle ilgili talimat verirken, gözetim ve denetimde bulunurken, zararın doğmasını engellemek için gerekli özeni gösterdiğini ispat etmesi halinde sorumluluktan kurtulacağını düzenleyen 66. maddesinin 2. fıkrasına benzer bir düzenlemenin yapılması uygun olabilirdi. Komisyon Raporu, s. 35. 228 Gerekçede verilen örneğe göre, bir şirket sahibi veri sorumlusu, şirketinin muha- sebe kayıtlarının tutulması için bir muhasebe şirketi ile çalışıyorsa, bu durumda şirket sahibi ve muhasebe şirketi kişisel verilerin işlenmesiyle ilgili maddenin ilk fıkrasındaki tedbirlerin alınmasından sorumludur. Komisyon Raporu, s. 12. 229 a.g.e, s. 12. TBB Dergisi 2016 (124)   Ğbrahim KORKMAZ 135 Kanun’un 12. maddesinin beşinci fıkrasında, işlenen verilerin ka- nuni olmayan yollarla başkaları tarafından ele geçirilmesi halinde, veri sorumlusunun bu durumu en kısa sürede 230 ilgilisine ve Kurula bildi- receği düzenlenmektedir. Kurul, gerekmesi halinde bu durumu, kendi internet sitesinde veya uygun göreceği bir başka yolla ilan edecektir. 231 Veri güvenliğinde kişilerin değil doğrudan verilerin güvenliği amaçlanmıştır. Veri güvenliğinin sağlanması için alınan tedbirler ile verilerin ilişkili olduğu kişilerde korunuyorsa verilerin korunması da sağlanabilir. 232 Bu nedenle kişisel verilerin korunmasına ilişkin birçok hukuksal düzenlemede veri güvenliği temel ilkeler arasında yer al- maktadır. Kişisel verilerin korunması kavramının veri güvenliğini de kapsadığını söylemek yanlış olmayacaktır. Kişisel verilerin korunması için veri güvenliğinin de sağlanması gerekmektedir. 233 Verilerin güvenliği ilkesi, OECD Rehber İlkeleri 234 ve 95/46/AT sayılı Avrupa Birliği Yönergesi’nde 235 gelişmelere açık şekilde düzen- lenmiştir. 108 sayılı Avrupa Konseyi Sözleşmesi’nde de 236 verilerin ko- runması için uygun güvenlik tedbirlerinin alınması gerektiği belirtil- miştir. 237 230 Avrupa Birliği Kişisel Verilerin Korunması Yönetmelik Taslağı’nın 31. maddesi- nin 1. fıkrasında kişisel verilerin işlenmesine ilşkin ihlallerde bildirim süresi 24 saat olarak öngörülmüştür. Komisyon Raporu, s. 35. 231 Komisyon Raporu, s. 12. 232 a.g.e, s.13 233 Ersoy, Kişisel Verilerin Korunması, s. 23. Bilişim teknolojisi kullanılarak kişisel verilere yapılan saldırılar amaçları açısından iki grupta toplanabilir. Birinci grup- ta, kişisel verilerin ele geçirilerek elektronik ortamda yapılan bankacılık, e-ticaret gibi alanlarda başkasının adına sahte işlemler yapılması, ikinci grupta ise, bu ya- sadışı işlemlerin yanı sıra kişisel verilerin kişilerin izni olmadan çeşitli ortamlarda açıklanmasıdır. Birinci gruba giren saldırılar daha çok veri güvenliği ile ilgili olup, ikinci gruptaki saldırılar ise kişisel verilerin korunması ile ilgilidir. Ersoy, Kişisel Verilerin Korunması, s. 25. 234 OECD Rehber İlkeleri, madde 11. 235 95/46/AT sayılı Avrupa Birliği Yönergesi madde 17. Yönerge’de kişisel verilerin tesadüfen veya hukuka aykırı olarak yok edilmesine, yetkisiz şekilde elde edil- mesine veya el değiştirilmesine, hukuka aykırı olarak devredilmesine veya ağda aktarılmasına veya hukuka aykırı olarak her türlü işleme faaliyetine karşı veri so- rumlusu tarafından gerekli önlemlerin alacağı düzenlenmiştir. Şimşek, Anayasa Hukukunda Kişisel Verilerin Korunması, s.96. 236 108 sayılı Avrupa Konseyi Sözleşmesi madde 7.Sözleşme’de otomatik olarak kay- dedilen kişisel verilerin kazaen veya izinsiz olarak imhası, kaybolması, yetkisiz kişiler tarafından elde edilmesi, değiştirilmesi ya da izinsiz olarak yayınlanmasına karşı uygun güvenlik tedbirlerinin alınması gerektiği belirtilmiştir. Şimşek, Ana- yasa Hukukunda Kişisel Verilerin Korunması, s.96. 237 Şimşek, Anayasa Hukukunda Kişisel Verilerin Korunması, s.96. Kişisel verilerin Kişisel Verilerin Korunması Kanunu Hakkında Bir Değerlendirme...136 Yönerge’ye göre, belirtilen önlemler, hem ilgili sistemin kurulma aşamasında, hem de verilerin işlenme aşamasında alınmalıdır. 238 Bunun yanında, uygun önlemler tespit edilirken, teknolojinin ulaştığı düzey, 239 korunacak kişisel verilerin niteliği, mevcut ihlal tehlikesi ve maliyet göz önünde bulundurulmalıdır. 240 Ayrıca, veri sorumlusu, kişisel verilerin işlenmesinde çalışan kişilerin kişisel verilere zarar verebilecek muhte- mel eylemlerine karşı, teknik ve örgütsel güvenlik bağlamında gerekli önlemleri almakla ve bunları belgelemekle sorumludur. 241 Veri güvenliğinin yeterli düzeyde sağlanamaması, kişiler ve ku- rumlar üzerinde ekonomik, siyasal, sosyal ve fiziksel zararlara sebep olabilir. 242 Bu zararlardan korunmak için, veri güvenliği hem ilgili kişi- ler, hem de veri sorumluları tarafından sağlanması gerekir. Verileri top- layan ve işleyen sistemlerin korunması yanında, bireyler de kendilerini korumalıdırlar. Kişisel verilere yetkisiz erişim ve benzeri müdahaleler birçok ülkede suç olarak tanımlanmış ve bu eylemleri gerçekleştiren- kazara ortadan kaldırılması, yetkisiz erişim, değiştirilme, silinme ve yayınlanma- larını engelleyecek önlemlerin veri sorumluları tarafından alınmasını gerektiren veri güvenliği ilkesi, kişisel verilerin korunması hukukunun ayrılmaz bir parça- sıdır. Bu ilkeye göre, verilerin tutulduğu süre zarfınca veri sorumlusu tarafından güvenlikleri sağlanmalıdır. Aksi durumda, ilgili kişinin ekonomik, sosyal vb. za- rarlara uğraması söz konusu olabilir. Bundan kaçınmak için, verilere yönelik her türlü tehlikeye karşı gereken her türlü idari ve teknik tedbirler alınmalıdır. Örne- ğin elektronik ortamda tutulan kişisel veriler kazara kaybolmalara, değiştirilme- lere karşı yedeklenmeli, saldırılara karşı verilerin tutulduğu sistemlere güvenlik duvarları örülmelidir. Kuşkonmaz, s. 116. Bunun dışında, telefonla veya online bankacılık hizmetlerinde veri güvenliğinin sağlanması önemlidir. Alınacak teknik güvenlik tedbirleri ile hem bankaya hem de müşterilere karşı yapılacak müdaha- lelere karşı önlemler alınmalıdır. Küzeci, s.245. 238 95/46/AT sayılı Avrupa Birliği Yönergesi başlangıç kısmı, 46. paragraf. 239 Teknolojik gelişmelerle birlikte veri güvenliğini sağlayan yöntemler ve müdahale yöntemleri ile zamanlı olarak gelişmektedir. Bu nedenle, verilerin etkili güvenli- ğinin sağlanabilmesi için alınan teknik önlemlerin sürekli güncellenmesi, yenilen- mesi bir zorunluluktur. Küzeci, s.244. 240 95/46/AT sayılı Avrupa Birliği m.17/1, 2. cümle. 241 95/46/AT sayılı Avrupa Birliği Yönergesi m. 17/2. Kişisel verileri işleyenlerin de verilere karşı haksız müdahalelerde bulunabilecekleri göz ardı edilmemelidir. Ve- rileri işleyenlerin mümkün olduğu kadar en az miktarda veriye ulaşması sağlan- malı ve bu kişilerin etkinlikleri uygun araçlarla kontrol edilmelidir. Küzeci, s.244. 242 Cambridge Üniversitesi’nde çalışanların adres bilgilerinin sızması sonucunda, ev- leri hayvan hakları savunucularınca hedef alınmıştır. İngiltere’de kredi kartı bilgi- lerinin basına sızması sonucunda, politikacıların alkol tüketimlerine ilişkin kişilik haklarına zarar verici bilgiler yayınlanmıştır. Dilemmas of Privacy and Surveille- ance, Challenges of Technological Change, The Royal Academy of Engineering, Mart 2007, s.22’den aktaran Küzeci, s. 245. TBB Dergisi 2016 (124)   Ğbrahim KORKMAZ 137 lere karşı yaptırımlar düzenlenmiş olsa da, bu suç oluşmadan, kişisel verilerin veri güvenliği ilkesini benimsemiş kurumlar ve kişiler tara- fından korunmasının daha etkili bir yöntem olduğu unutulmamalıdır. D. Veri Sorumlusuna Başvuru Kişisel Verilerin Korunması Kanunu’nun 13. maddesi ilgili kişinin veri sorumlusuna başvuru yolunu düzenlemektedir. 243 Maddeye göre, ilgili kişiler, Kanunun uygulanması ile ilgili taleplerini öncelikle veri sorumlusuna iletmek zorundadırlar. İlgili kişiler bu iletimi yazılı veya uygulamada oluşacak ihtiyaca göre Kurulun belirleyeceği diğer yön- temlerle yapabilirler. 244 İlgili kişinin bu talebini alan veri sorumlusu, ücretsiz veya işlemin bir maliyeti gerektirmesi halinde Kurul tara- fından belirlenen tarifeye göre ücret almayı müteakip, en kısa sürede veya en geç otuz gün içinde talebi incelemesi, kabul veya gerekçesini açıklayarak reddetmesi ve cevabını ilgili kişiye yazılı veya elektronik ortamda bildirmesi gerekmektedir. 245 Maddenin en son fıkrasına göre, veri sorumlusunun talebi kabul etmesi halinde, gereğini yerine getirmesi gerekmektedir. İlgili kişinin başvurusunun nedeni veri sorumlusunun hatası ise, veri sorumlusu başvuru için aldığı ücreti ilgili kişiye iade etmek zorundadır. E. Kurula Şikâyet Kişisel Verilerin Korunması Kanununun 14. maddesi, ilgili kişi tarafından Kişisel Verileri Koruma Kuruluna şikâyet yolunu düzen- 243 İlgili kişilerin veri sorumlusuna başvurması çeşitli uluslararası belgelerde de dü- zenlenmiştir. APEC Çerçeve Belgesine göre, ilgili kişiler, veri sorumlusundan: kendisi hakkında veri tutulup tutulmadığının bildirilmesi; kimliği hakkında ye- terli kanıtı sağladıktan sonra, kendisi hakkındaki verilerin, makul bir zamanda, makul bir ücretle, uygun bir yöntemle, anlaşılabilir bir biçimde kendisine ulaştı- rılması; kendisi ile ilgili tutulan verinin doğruluğuna itiraz etme, eğer mümkün ve uygunsa, düzeltilmesi, tamamlanması, değiştirilmesi veya silinmesini isteyebilir. APEC Çerçeve Belgesi 23. madde. 244 Komisyon Raporu, s. 12 245 Gerekçede, madde metninde “bildirmesi”kavramının kullanılmasının sebebi ola- rak, veri sorumlusunun gerçek kişi veya özel hukuk tüzel kişisel olabileceği ve bundan dolayı 7201 sayılı Tebligat Kanunu hükümlerine tabi olmayabileceği ola- rak verilmiştir. Gerekçeye göre bu bildirim, bir ispat sorunu olup gerektiğinde yargı mercilerince ele alınacaktır. Bu kapsamda 7201 sayılı Tebligat Kanununa tabi kuruluşlar da Kişisel Verilerin Korunması Kanunu uyarınca yapacakları bil- dirimleri resmi tebligat yoluyla da yapabilirler. Komisyon Raporu, s. 13. Kişisel Verilerin Korunması Kanunu Hakkında Bir Değerlendirme...138 lenmektedir. Buna göre, ilgili kişinin, Kanunun 13. maddesi uyarınca veri sorumlusuna yapmış olduğu başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde başvuruya cevap verilme- mesi hallerinde ilgili kişi veri sorumlusunun cevabını öğrendiği tarih- ten itibaren otuz ve her halde başvuru tarihinden itibaren altmış gün içinde Kişisel Verileri Koruma Kuruluna şikâyette bulunabilir. Maddenin ikinci fıkrasında, Kanun’un 13. maddesinde düzenle- nen başvuru müessesesinin, zorunlu bir başvuru yolu olduğu ve bu yol tüketilmeden şikâyet edilemeyeceği düzenlenmiştir. Bu düzenle- me ile uyuşmazlıkların ilk olarak veri sorumlusu ile ilgili kişi arasında halledilmesi ve bu suretle Kişisel Verileri Koruma Kurulunun yoğun bir iş yükü altında kalmaması amaçlanmaktadır. 246 Maddenin üçün- cü fıkrasında, kişilik hakları ihlal edilenlerin, genel hükümlere göre tazminat hakkı saklı tutulmaktadır. Veri sorumlusunun hukuki statü- süne göre ilgili kişiler adli ya da idari yargıda tazminat istemli dava açabileceklerdir. F. Şikâyet Üzerine veya Resen İncelemenin Usul ve Esasları Kanun’un 15. maddesiyle, Kişisel Verileri Koruma Kurulu tarafın- dan yapılan incelemenin usul ve esasları düzenlenmektedir. Kişisel Verileri Koruma Kurulu, şikâyet üzerine veya ihlal iddiasını öğren- mesi halinde resen, görev alanına giren konularda gerekli incelemeyi yapabilecektir. Kurul, şikâyet veya resen öğrenilen şikâyet konusuna bağlı olup, resen genel inceleme yetki ve görevi bulunmamaktadır. 247 Veri sorumluları, Devlet sırrı niteliğindeki bilgi ve belgeler hariç, Ku- rul tarafından istenen bilgi ve belgeleri, on beş gün içinde Kurula gön- dermek veya gerektiğinde yerinde inceleme yapılmasına imkân sağla- mak zorundadırlar. Kanunda, ilgili kişinin yaptığı şikâyet üzerine Kurulun yapacağı inceleme sonunda cevap vermesi öngörülmekte olup, şikâyet tarihin- 246 Gerekçede belirtildiği gibi, veri sorumlusuna başvurunun zorunlu, şikayetin ise ihtiyari olması sebebiyle, başvurusu zımnen veua açıkça reddedilen ilgili kişi aynı anda hem Kişisel Verileri Koruma Kuruluna şikayette bulunabilecek, hem de adli veya idari yargıya başvurabilecektir. Tasarı, s. 25. 247 Gerekçede belirtildiği gibi Dilekçe Hakkının Kullanılmasına Dair Kanunun 6. maddesinde belirtilen şartları taşımayan ihbar ve şikâyetler incelemeye alınmaya- caktır. Tasarı, s. 25. TBB Dergisi 2016 (124)   Ğbrahim KORKMAZ 139 den altmış gün içinde cevap verilmezse talep reddedilmiş sayılacaktır. Bunun üzerine ilgili kişinin idari yargıda dava açma süresi başlamak- tadır. Kurul tarafından resen yapılacak incelemeler için Kanunda her- hangi bir süre bulunmamaktadır. Kişisel Verileri Koruma Kurulu, şikâyet üzerine veya resen yapı- lacak inceleme sonucunda, Kişisel Verilerin Korunması Kanunu hü- kümlerinin ihlal edildiği kanaatine varırsa, tespit ettiği hukuka ay- kırılıkların ilgili veri sorumlusu tarafından giderilmesine karar verir ve bu kararını ilgililere tebliğ eder. Kanuna göre, bu karar, tebliğden itibaren gecikmeksizin ve en geç otuz gün içinde yerine getirilecektir. Kurul tarafından, şikâyet üzerine veya resen yapılan inceleme so- nucunda, Kişisel Verilerin Korunması Kanununa aykırı olan uygula- manın yaygın olduğu tespit edilirse, Kurul, bu konuda ilgili kurum ve kuruluşların görüşünü de alarak ilke kararı alır ve kararı yayımlar. Kurul, telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılık şartlarının birlikte gerçekleşmesi halinde, nihai ka- rardan önce veri işlenmesinin veya verinin yurtdışına aktarılmasının durdurulmasına karar verebilir. İlgililer Kurulun kararlarına karşı idare mahkemelerinde dava açabilirler. G. Veri Sorumluları Sicili Kişisel Verilerin Korunması Kanunu’nun 16. maddesiyle, veri sorum- lularının kaydedileceği Veri Sorumluları Sicili düzenlenmektedir. Mad- deyle, veri sorumlularının kaydedilmesi amacıyla Kişisel Verileri Koru- ma Kurulunun gözetiminde Başkanlık tarafından kamuya açık olarak tutulan Veri Sorumluları Sicili düzenlenmektedir. Veri sorumluları veri işlemeye başlamadan önce Kişisel Verileri Koruma Kuruluna başvura- rak Veri Sorumluları Siciline kaydolacaklardır. 248 Kişisel Verileri Koruma Kurulu tarafından belirlenecek objektif kriterlere göre, Kurul tarafından, işlenen verinin niteliği, sayısı, veri işlemenin kanundan kaynaklanması 248 Komisyon Raporunda yer alan mühalefet gerekçesine göre, maddede öngörülen sistem, Avrupa Komisyonu’nın veri siciline ilişkin yeni yaklaşımının aksi yö- nündedir. Buna göre temel prensip, bildirim usulüne tabi ön inceleme ve kontrol mekanizmalarının oluşturulması değil, herhangi bir bildirimde bulunmaksızın serbest faaliyette bulunan veri sorumlularının sonradan denetimlerinin sağlan- masına yönelik mekanizmaların tasarlanmasıdır. Komisyon Raporu, s. 36. Kişisel Verilerin Korunması Kanunu Hakkında Bir Değerlendirme...140 veya üçüncü kişilere aktarılma durumu gibi hususlarda Veri Sorumlula- rı Siciline kayıt zorunluluğuna istisnalar getirilebilecektir. Maddenin üçüncü fıkrasında Veri Sorumluları Siciline kayıt baş- vurusunda bildirilmesi gereken hususlar düzenlenmektedir. Bu kap- samda, gerekçede de belirtildiği gibi, örneğin veri sorumlusu ve varsa temsilcisinin kimlik ve adres bilgileri, kişisel verilerin hangi amaçla işleneceği, kişisel verilerin aktarılabileceği alıcı veya alıcı grupları, veri güvenliğine ilişkin alınan tedbirler, kişisel verilerin işlendikleri amaç için gerekli olan azami süre gibi husular Veri Sorumluları Siciline ka- yıt başvurusunda bildirilmelidir. Ayrıca, üçüncü fıkra uyarınca bildi- rilmesi gerekli bilgilerde meydana gelen değişiklikler de derhal Baş- kanlığa bildirilecektir. Veri Sorumluları Siciline ilişkin diğer hususlar yönetmelikle düzenlenecektir. 249 VI. SUÇLAR VE KABAHATLER A. Suçlar Kişisel Verilerin Korunması Kanunu’nun 17. maddesinde, kişisel verilere ilişkin suçlar ve cezai yaptırımlar için 5237 sayılı Türk Ceza Kanunu’nun ilgili hükümlerine atıf yapılmaktadır. Maddenin ikinci fıkrasında, kişisel verileri silmeyen veya anonim hale getirmeyenlerin ise Türk Ceza Kanunu’nun 138. maddesi hükmü uyarınca cezalandırıl- maları gerektiği düzenlenmiştir. Kişisel Verilerin Korunması Kanunu’nun 30. maddesinin ikinci fıkrasıyla 5237 sayılı Türk Ceza Kanunu’nun 135. maddesinin ikinci fıkrasında yer alan “Kişilerin” ibaresi “Kişisel verinin, kişilerin” şek- linde; “bilgileri kişisel veri olarak kaydeden kimse, yukarıdaki fıkra hükmüne göre cezalandırılır” ibaresi “olması durumunda birinci fık- ra uyarınca verilecek ceza yarı oranında artırılır” şeklinde değiştiril- miştir. Böylece fıkra metni “Kişisel verinin, kişinin siyasi, felsefi veya dini görüşlerine, ırki kökenlerine; hukuka aykırı olarak ahlaki eğilimlerine, cinsel yaşamlarına, sağlık durumlarına veya sendikal bağlantılarına ilişkin olması durumunda birinci fıkra uyarınca verilecek ceza yarı oranında artırılır” hali- ni almıştır. Böylece Türk Ceza Kanunu’nda sayılan bu özel nitelikli ve- 249 Komisyon Raporu, s. 14. TBB Dergisi 2016 (124)   Ğbrahim KORKMAZ 141 rilerin kaydedilmesi durumunda ceza arttırılacağından bu fıkra suçun nitelikli hali olmuştur. TCK “özel hayatı” ve “hayatın gizli alanını” korumaktadır. Kişi- nin kendisine ait bilgiler özel hayata ve hayatın gizli alanına dâhildir. Kişilere ait bilgilere karşı eylemlerde bulunanları Ceza Hukuku va- sıtasıyla cezalandırmak amacıyla, 5237 sayılı Türk Ceza Kanunu’nda kişisel verilere karşı suçlar ihdas edilmiştir. Kanun’un “Kişilere Karşı Suçlar” başlıklı ikinci kısmının “Özel Hayata ve Hayatın Gizli Alanına Karşı Suçlar” başlıklı dokuzuncu bölümünde, 135. maddede “kişisel verilerin kaydedilmesi”, 136. maddesinde “verileri hukuka aykırı ola- rak verme veya ele geçirme” ve 138. maddede “verileri yok etmeme” suçları düzenlenmiş, 137. maddede ise cezanın arttırılmasını gerekti- ren nitelikli haller sayılmıştır. 250 Kişisel Verilerin Korunması Kanunu kişisel verilerin işlenmesinin hukuka uygunluk hallerini düzenleye- rek, Türk Ceza Kanunu’ndaki kişisel verilere karşı suçların içeriğinin belirlenmesini, hangi fiillerin suç teşkil ettiğine dair uygulamadaki ciddi tereddütlerin giderilmesini sağlamıştır. TCK’da nelerin kişisel veriler olduğuna dair açık bir düzenleme bulunmamakta olup, kişisel verilerin kaydedilmesi suçunu düzenle- yen TCK 135. maddesinin gerekçesinde, suçun konusunun kişisel ve- riler olduğundan bahsedilerek, gerçek kişilerle ilgili her türlü bilginin kişisel veri olarak kabul edilmesi gerektiği belirtilmiştir. 251 Kişisel Ve- rilerin Korunması Kanunu’nun yürürlüğe girmesinden önce, doktrin- de Türk Ceza Kanunu metninde kişisel verinin tanımının yapılmamış olması birçok yönden eleştirilmiştir. Kişisel verinin tanımı yapılmaya- rak kapsamının geniş tutulmasının ceza hukukunun belirlilik ilkesine aykırı düştüğü belirtilmiştir. 252 Aynı düşüncede olan yazarlara göre, o dönemde kişisel veriyi tanımlayan bir kanun bulunmaması nedeniyle, bu durum aynı zamanda kanunilik ilkesini de ihlal etmekteydi. 253 Ki- şisel Verilerin Korunması Kanunu’nun 3. maddesinde kişisel verinin tanımının yapılmış olması bu konudaki birçok sorunu çözmüştür. 250 Özen - Baştürk, s.122; Ketizmen, s. 230-242; Topaloğlu, s.179,180. 251 Özen – Baştürk, s. 123; Hafızoğulları - Özen, Ceza Özel, s. 267,268. 252 Dülger, Bilişim Suçları, s. 271. Belirlilik ilkesinin amacı, ceza normunu uygulayan hâkimin suç ve cezanın öngörülebilirliğini engelleyici, hukuk yaratıcı ya da yo- rumlayıcı öznel davranış ve kararlarının önüne geçilmesidir. 253 Küzeci, s.286; Yaşar – Gökcan – Artuç, s. 4116. Kişisel Verilerin Korunması Kanunu Hakkında Bir Değerlendirme...142 B. Kabahatler Kişisel Verilerin Korunması Kanunu’nun 18. maddesinde, Kanun- da öngörülen yükümlülüklere aykırı davranılması halinde uygulana- cak idari yaptırımlar düzenlenmektedir. Madde kapsamında aydınlat- ma ve veri güvenliğini sağlama, Kurul kararlarını yerine getirme ve Sicile kayıt ve bildirim yükümlülüklerine aykırı davranılması kabahat olarak düzenlenmekte ve idari para cezası yaptırımına bağlanmakta- dır. Kişisel Verileri Koruma Kurulu idari yaptırımlara karar verecek olup, yaptırım kararlarına karşı idari yargı yolu açıktır. 254 Maddenin ikinci fıkrasında belirtildiği gibi, idari para cezaları veri sorumlusu olan gerçek kişiler ile özel hukuk tüzel kişiler hakkın- da uygulanacak olup, üçüncü fıkraya göre, kabahat olarak düzenlenen eylemlerin kamu kurum ve kuruluşları ile kamu kurumu niteliğin- deki meslek kuruluşları bünyesinde işlenmesi halinde, Kişisel Verile- ri Koruma Kurulunun yapacağı bildirim üzerine, ilgili kamu kurum ve kuruluşunda görev yapan memurlar ile diğer kamu görevlileri ile kamu kurumu niteliğindeki meslek kuruluşlarında görev yapanlar hakkında disiplin hükümlerine göre işlem yapılacaktır. 255 VII. KIŞISEL VERILERI KORUMA KURUMU VE TEŞKILAT A. Kişisel Verileri Koruma Kurumu Kişisel Verilerin Korunması Kanunu’nun 19. maddesinde, Kanun’un verdiği görevleri yerine getirmek üzere kurulan, idari ve mali özerkliğe sahip, kamu tüzel kişiliğini haiz Kişisel Verileri Koru- ma Kurumunun kuruluşu düzenlenmektedir. 256 254 Gerekçede, maddede yer alan kabahatler karşılığında öngörülen idari para ceza- larının alt ve üst sınırları arasındaki makasın bilinçli olarak geniş tutulduğu belir- tilmiş olup, Kişisel Verileri Koruma Kurulu karar verirken kabahatler hususunda genel kanun niteliğinde olan 5326 sayılı Kabahatler Kanununun 17. maddesinin ikinci fıkrasında belirtildiği gibi kabahatin haksızlık içeriği ile failin kusuru ve ekonomik durumunu dikkate alacaktır. Bu şekilde düzenleme yapılmak suretiyle, söz konusu kabahatlarin çok farklı ekonomik güce sahip gerçek veya tüzel kişi- ler hakkında uygulanacak olması nedeniyle yaptırım uygulamasında hakkaniyet sağlanmaya çalışılmıştır. Gerekçede verilen örneğe göre, küçük bir şehirde faali- yet gösteren bir aile şirketiyle ülke çapında faaliyet gösteren bir holdingin Kanun hükümlerini ihlal etmesi durumunda belirlenecek idari para cezalarının miktarı söz konusu şirketlerin ekonomik durumlarına göre farklı olacaktır. Tasarı, s. 26. 255 Her ne kadar Kanunda belirtilmemiş olsa da, gerekçede de belirtildiği gibi, Kişisel Verilerin Korunması Kanununda hüküm bulunmayan hallerde genel kanun nite- liğindeki 5326 sayılı Kabahatler Kanunu hükümleri uygulanacaktır. Tasarı, s. 26. 256 Gerekçede de belirtildiği gibi, Avrupa Konseyinin 108 sayılı Sözleşmesi ve Avru- TBB Dergisi 2016 (124)   Ğbrahim KORKMAZ 143 B. Kurumun Görevleri Kanun’un 20. maddesiyle, Kişisel Verilerin Koruma Kurumunun görevleri belirlenmektedir. Maddeye göre, Kişisel Verilerin Korunma- sı Kurumunun, başlıca ulusal ve uluslararası düzlemde uygulama ve mevzuattaki gelişmeleri takip ederek araştırma ve inceleme faaliyetle- rinde bulunma ve ulusal ve uluslararası kurum ve kuruluşlarla işbirli- ği yapma ve ihtiyaç duyulan hususlarda önerilerde bulunma görevleri bulunmaktadır. Kanuna göre Kurum, yıllık faaliyet raporunu Cumhurbaşkanlığı- na, Türkiye Büyük Millet Meclisi İnsan Haklarını İnceleme Komisyo- nuna ve Başbakanlığa sunmak ve Kanunlarla verilen diğer görevleri yerine getirmekle görevlidir. C. Kişisel Verileri Koruma Kurulu Kişisel Verilerin Korunması Kanunu’nun 21. maddesiyle, Kişisel Verileri Koruma Kurumunun karar organı olan Kişisel Verileri Koru- ma Kurulu düzenlenmektedir. 257 Kanun’da, Kişisel Verileri Koruma Kurulunun, Kanunla ve diğer mevzuatla verilen görev ve yetkilerini kendi sorumluluğu altında, bağımsız olarak yerine getireceği ve kul- lanacağı, görev alanına giren konularla ilgili olarak hiçbir organ, ma- kam, merci veya kişinin Kurula emir ve talimat veremeyeceği hüküm altına alınmıştır. Maddenin ikinci fıkrasında, Kişisel Verileri Koruma Kurulunun dokuz üyeden oluştuğu, beş üyesi Türkiye Büyük Millet Meclisi, iki üyesi Cumhurbaşkanı, iki üyesinin Bakanlar Kurulu tarafından seçi- leceği düzenlenmiştir. Maddenin üçüncü fıkrasında, Kurula üye olabilmek için gereken şartlar düzenlenmiştir. Dördüncü fıkrada, Kurul üyeliğine seçilecekle- pa Birliğinin 95/46/AT sayılı Yönergesi, kişisel verilerin işlenmesine ilşikin ilke- lerin uygulanmasını izlemek ve yönlendirmek üzere fonksiyonel olarak bağımsız bir şekilde görev yapacak otoritelerin oluşmasını düzenlemektedir. Avrupa Birliği üyesi tüm ülkelerde benzer şekilde kurulmuş bağımsız otoriteler bulunmaktadır. Kişisel Verileri Koruma Kurulu ve Başkanlıktan oluşan Kişisel Verileri Koruma Kurumu, Başbakanlıkla ilişkili olup, merkezi Ankara’dadır. Tasarı, s. 26. 257 Gerekçede, Kişisel Verileri Koruma Kurulunun, Avrupa Konseyinin 108 sayılı Sözleşmesi ve Avrupa Birliğinin 95/45/AT sayılı Yönergesine uygun şekilde ba- ğımsız olarak kurgulandığı belirtilmiştir. Tasarı, s. 27. Kişisel Verilerin Korunması Kanunu Hakkında Bir Değerlendirme...144 rin muvafakatlarının aranacağı, seçimde, Kurumun görev alanına gi- ren konularda bilgi ve deneyimi bulunanların çoğulcu bir şekilde tem- siline özen gösterileceği belirtilmiştir. Beşinci fıkrada Türkiye Büyük Millet Meclisi tarafından Kurula üye seçimi usulü düzenlenmiştir. Altıncı fıkrada ise Cumhurbaşkanı veya Bakanlar Kurulu tarafından Kurula seçim yapılması düzenlenmiştir. Yedinci fıkraya göre, Kurul, üyeleri arasından Başkan ve İkinci Başkanı seçer. Sekizinci fıkraya göre, Kurul üyelerinin görev süresi dört yıl olup, süresi biten üye tek- rar seçilebilir. Seçilen üyeler Yargıtay Birinci Başkanlık Kurulu huzu- runda yemin ederler. 258 Kanunda Kurul üyelerinin görevleri sebebiyle işledikleri suçlara ilişkin soruşturmaları 4483 sayılı Memurlar ve Diğer Kamu Görevlilerinin Yargılanması Hakkında Kanuna göre yapılır ve bunlar hakkında soruşturma izni Başbakan tarafından verilir. Madde- nin 11. fıkrasında sayılan durumlarda üyelerin Kurul kararıyla üyelik- leri sona erer. Maddenin 12. fıkrasında Kurul üyeliklerine seçilenlerin Kurulda görev yaptıkları sürece önceki görevleri ile ilişiklerinin ke- sileceği, kamu görevlisi iken üyeliğe seçilenlerin, Kanunda belirtilen şartlarda tekrar kamu görevlisi olarak atanabileceği düzenlenmiştir. D. Kurulun Görev ve Yetkileri Kişisel Verileri Koruma Kanunu’nun 22. maddesinde, Kişisel Veri- leri Koruma Kurulunun görev ve yetkileri düzenlenmektedir. 259 258 Kurul üyeleri özel bir kanuna dayanmadıkça, Kuruldaki resmi görevlerinin yürü- tülmesi dışında resmi veya özel hiçbir görev alamaz, dernek, vakıf, kooperatif ve benzeri yerlerde yöneticilik yapamaz, ticaretle uğraşamaz, serbest meslek faaliye- tinde bulunamaz, hakemlik ve bilirkişilik yapamazlar. Ancak, Kurul üyeleri, asli görevlerini aksatmayacak şekilde bilimsel amaçlı yayın yapabilir, ders ve konfe- rans verebilir ve bunlardan doğacak telif hakları ile ders ve konferans ücretlerini alabilirler. 259 Maddeye göre, Kişisel Verileri Koruma Kurulunun görevleri; kişisel verilerin, te- mel hak ve özgürlüklere uygun şekilde işlenmesinin sağlanması, kişisel verilerle ilgili haklarının ihlal edildiğini ileri sürenlerin şikayetlerinin karara bağlanması, şikayet üzerine veya Kurul tarafından ihlal iddiasının öğrenilmesi durumunda resen, görev alanına giren konularda kişisel verilerin kanunlara uygun olarak iş- lenip işlenmediğinin incelenmesi ve gerektiğinde bu konuda geçici önlemler alın- ması, özel nitelikli kişisel verilerin işlenmesi için aranan yeterli önlemlerin belir- lenmesi, Veri Sorumluları Sicilinin tutulmasının sağlanması, Kurulun görev alanı ile Kurumun işleyişine ilişkin konularda gerekli düzenleyici işlemlerin yapılması, veri güvenliğine ilişkin yükümlülükleri belirlemek amacıyla düzenleyici işlemle- rin yapılması, veri sorumlusunun ve temsilcisinin görev, yetki ve sorumlulukla- rına ilişkin düzenleyici işlemlerin yapılması, Kişisel Verilerin Korunması Kanu- TBB Dergisi 2016 (124)   Ğbrahim KORKMAZ 145 E. Kurulun Çalışma Esasları Kanun’un 23. maddesinde Kişisel Verileri Koruma Kurulunun çalış- ma esasları düzenlemektedir. Madde kapsamında, Kişisel Verileri Ko- ruma Kurulunun toplantı ve karar yeter sayısı, Kurul üyelerinin kendi- lerini ve yakınlarını ilgilendiren konularda yasaklılıkları ve sır saklama yükümlülükleri düzenlenmektedir. Kurulun çalışma usul ve esasları ile kararların yazımı ve diğer hususlar yönetmelikle düzenlenecektir. F. Başkan Kişisel Verileri Koruma Kanunu’nun 24. maddesinde, Kişisel Ve- rileri Koruma Kurumu Başkanının görevleri düzenlenmektedir. Mad- dede Kişisel Verileri Koruma Kurumu Başkanının görevleri olarak, Kurumu yönetmek ve temsil etmek, stratejik planın uygulanmasını sağlamak, Kurumun ve hizmet birimlerinin uyumlu, verimli, disip- linli ve düzenli bir biçimde çalışmasını temin etmek yanında, Kurul toplantılarının gündemini belirleyerek toplantılara başkanlık etmek ve Kurumun mali tabloları ile bütçesini hazırlamak başlıca görevleri arasındadır. Kurum Başkanına İkinci Başkan vekâlet edecektir. G. Başkanlığın Oluşumu ve Görevleri Kanunun 25. maddesinde Kişisel Verileri Koruma Kurumu Baş- kanlığının oluşumu ve görevleri düzenlenmektedir. Maddeye göre, Başkanlık, Kurumun ve Kurulun idari ve mali işleri ile sekreterya hiz- metlerini yerine getirecektir. Başkanlık, Başkan Yardımcısı ve daire başkanlıkları şeklinde teşkilatlanan hizmet birimlerinden oluşmakta- dır. Maddeyle, Başkan Yardımcısı ve Daire Başkanlarının nitelikleri ve atanma usulü ile Başkanlığın görevleri ayrıntıları olarak düzenlenmek- tedir. Hizmet birimleri ile bu birimlerin çalışma usul ve esasları Bakan- lar Kurulu kararı ile yürürlüğe konulan yönetmelikle düzenlenecektir. nunda öngörülen idari yaptırımlara karar verilmesi, diğer kurum ve kuruluşlarca hazırlanan ve kişisel verilere ilişkin hüküm içeren mevzuat taslakları hakkında görüş bildirilmesi, Kişisel Verileri Koruma Kurumunun stratejik planının kara- ra bağlanması, amaç ve hedeflerinin, hizmet kalite standartlarının ve performans kriterlerinin belirlenmesi, Kurumun stratejik planı ile amaç ve hedeflerine uygun olarak hazırlanan bütçe teklifinin görüşülmesi ve karara bağlanması, Kurumun performansı, mali durumu, yıllık faaliyetleri ve ihtiyaç duyulan konular hakkın- da hazırlanan rapor taslaklarının onaylanması ve yayımlanması, taşınmaz alımı, satımı ve kiralanması konularındaki görüşlerin görüşülüp karara bağlanamsı ve kanunlarda verilen diğer görevlerin yerine getirilmesidir. Kişisel Verilerin Korunması Kanunu Hakkında Bir Değerlendirme...146 H. Kişisel Verileri Koruma Uzmanı ve Uzman Yardımcıları Kanun’un 26. maddesinde Kişisel Verileri Koruma Uzmanı ve Uz- man Yardımcıları ile ilgili esaslar düzenlenmektedir. Kişisel Verileri Koruma Kurumu görevlerinin daha etkin bir şekilde yerine getirilme- si için Kurumda Kişisel Verileri Koruma Uzmanı ve Kişisel Verileri Koruma Uzman Yardımcısı çalıştırılacak olup, maddeyle bu kadrolara atanmak için 657 sayılı Kanun’un ek 41. maddesine atıf yapılmaktadır. I. Personele ve Özlük Haklarına İlişkin Hükümler Kişisel Verileri Koruma Kanunu’nun 27. maddesinde, Kurul Baş- kan ve üyeleri ile Kurum personelinin mali ve sosyal hakları düzen- lenmektedir. Maddede başka kurum ve kuruluşlarda çalışanlardan uzmanlığına ihtiyaç duyulanların Kurumda görevlendirilmesine iliş- kin düzenleme hüküm altına alınmakta ve Kurumda istihdam edile- cek personele ilişkin kadro unvan ve sayıları da belirlenmektedir. VIII. İSTİSNALAR Kişisel Verilerin Korunması Kanunu’nun 28. maddesinde Kanun kapsamı dışında tutulan hususlar düzenlenmektedir. Maddenin birinci fıkrasında tamamen Kanun kapsamı dışında tu- tulan hususlar düzenlenmektedir. Maddenin düzenlemesine göre ki- şisel verilerin, üçüncü kişilere verilmemek ve veri güvenliğine ilişkin yükümlülüklere uyulmak kaydıyla, gerçek kişiler tarafından kendi- siyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetleri kapsa- mında; resmi istatistik ile anonim hale getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla, milli savunmayı, milli güvenliği, kamu güvenliğini, kamu düzenini, ekonomik güvenliği, özel hayatın gizliliğini veya kişilik haklarını ihlal etmemek ya da suç teşkil etme- mek kaydıyla, sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamında, milli savunmayı, milli güvenliği, kamu gü- venliğini, kamu düzenini veya ekonomik güvenliği sağlamaya yönelik olarak kanunla görev ve yetki verilmiş kamu kurum ve kuruluşları tarafından yürütülen önleyici, koruyucu ve istihbari faaliyetler kap- samında, soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafından işlen- mesi, Kanun’un tamamen kapsamı dışında tutulmuştur. TBB Dergisi 2016 (124)   Ğbrahim KORKMAZ 147 Maddenin ikinci fıkrasında, kısmen Kanun kapsamı dışında kalan hususlar düzenlenmiştir. Buna göre, kural olarak bu fıkrada sayılan haller kanun hükümlerine tabi olmakla birlikte, sadece fıkrada belir- tilen kanun maddelerinde düzenlenen hükümler bakımından istisna tutulmaktadır. Bu kapsamda maddenin ikinci fıkrasında, Kanunun amacına ve temel ilkelerine uygun ve orantılı olmak kaydıyla veri so- rumlusunun aydınlatma yükümlülüğünü düzenleyen 10., zararın gi- derilmesini talep etme hakkı hariç, ilgili kişinin haklarını düzenleyen 11. ve Veri Sorumluları Siciline kayıt yükümlülüğünü düzenleyen 16. maddelerinin uygulanmayacağı haller düzenlenmektedir. Bu haller; kişisel veri işlemenin suç işlenmesinin önlenmesi veya suç soruştur- ması için gereklş olması, ilgili kişinin kendisi tarafından alenileştiril- miş kişisel verilerin işlenmesi, kişisel veri işlemenin kanunun verdiği yetkiye dayanılarak görevli ve yetkili kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarınca, denetleme veya düzenleme görevlerinin yürütülmesi ile didiplin soruşturma veya ko- vuşturması için gerekli olması, kişisel veri işlemenin bütçe, vergi ve mali konulara ilişkin olarak Devletin ekonomik ve mali çıkarlarının korunması için gerekli olması halleridir. Uluslararası düzenlemelerde de kişisel verilerin korunmasına bir takım sınırlamalar getirildiği görülmektedir. Avrupa İnsan Hakları Sözleşmesi’nin 8. maddesinin birinci fıkrasında herkesin, özel hayatın gizliliğine saygı gösterilmesi hakkını hazi olduğu hükme bağlandıktan sonra, ikinci fıkrasında da bu hakkın kullanılmasına bir kamu otorite- sinin müdahalesinin ancak ulusal güvenlik, kamu emniyeti, ülkenin ekonomik refahı, dirlik ve düzenin korunması, suç işlenmesinin ön- lenmesi, sağlığın ve ahlakın veya başkalarının hak ve özgürlüklerinin korunması için demokratik bir tplumda zorunlu olan ölçüde kanunla öngörülmüş olmak koşuluyla mümkün olabileceği düzenlenmiştir. 260 108 sayılı Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısın- da Bireylerin Korunması Avrupa Konseyi Sözleşmesi’nin “İstisnalar ve Kısıtlamalar” başlıklı 9. maddesinde; hangi durumlarda kişisel verilerin korunması hakkına istisna getirilebileceği düzenlenmiştir. Maddede ta- raf Devletlerin kanunlarında öngörülmüş olmak kaydıyla demokratik bir toplumda; devlet güvenliğinin korunması, kamu güvenliği, devle- tin ekonomik menfaatlerinin korunması ve suçlarla mücadelenin söz 260 Komisyon Raporu, s. 23 Kişisel Verilerin Korunması Kanunu Hakkında Bir Değerlendirme...148 konusu olması, ilgilinin veya üçüncü kişilerin haklarının korunması, verilerin istatistiki veya bilimsel amaçlarla kullanılması durumlarında ilgilinin katılım haklarına bir sınırlama getirerek üye devletlere kişisel verilerin korunmasında istisnalar getirebileceklerini düzenlenmiştir. 95/46/AT sayılı Kişisel Verilerin İşlenmesi ve Bu Tür Verilerin Ser- best Dolaşımına Dair Bireylerin Korunması Hakkında Avrupa Birli- ği Yönergesi’nin “İstisnalar ve Sınırlamalar” başlıklı 13. maddesinde; kanunla öngörülmüş olmak kaydıyla üye devletlerin, milli güvenlik, ülke savunması, kamu güvenliği, suç işlenmesinin önlenmesi, suçların soruşturulması ve kovuşturulması, Avrupa Birliğinin veya üye devle- tin mali, bütçe veya vergi konularında önemli ekonomik ve finansal yararı, belli durumlarda resmi makamların inceleme ve denetleme yapabilmeleri, ilgili kişinin korunması, diğer kişilerin hak ve özgür- lüklerinin korunması gibi nedenlerle Yönerge’de öngörülen koruma tedbirlerine istisnalar getirebilecekleri düzenlenmiştir. 261 Kişisel verilerin korunması hakkı, sınırsız olarak korunan bir hak olmayıp, belirli koşullar altında müdahale yapılması olanaklıdır. 262 Özel- likle kamusal organlar tarafından yapılacak müdahaleye karşı kişinin rızası yoksa ancak üstün bir kamu yararının bulunması ve bu konuda verilerin korunması ile ilgili anayasal düzenlemelere uygun yapılmış kanun seviyesinde 263 bir yasal düzenlemenin olması gerekir. Aynı za- manda bu yasal düzenlemenin normların açıklığı ve ölçülülük ilkelerine uygun olması gerekir. Kişisel Verilerin Korunması Kanunu gerekçesinde de belirtildiği gibi, kişisel verilerin korunması hakkına getirilen istisna- lar, kişisel verilerin korunması hakkı ile diğer kamusal ve kişisel menfa- atler arasında denge ve ölçülülük sağlanması açısından da gereklidir. 264 SONUÇ Bilişim ve iletişim teknolojilerindeki gelişmeler ve küreselleşme so- nucunda, günümüzde bilgi, meta ve güç halini almış, kamu kurumları ve özel teşebbüslerden artan talep nedeniyle belirli veya belirlenebilir 261 Komisyon Raporu, s. 23. 262 Dağ, s. 96. 263 Demokratik hukuk devletlerinde kabul edilmiş ve yerleşmiş temel bir ilke olan kanunilik ilkesine göre; temel hak ve özgürlükler idari düzenlemelerle sınırlana- maz; sınırlama ancak yasama organı tarafından çıkarılacak bir kanunla yapılabi- lir. 264 Komisyon Raporu, s. 23. TBB Dergisi 2016 (124)   Ğbrahim KORKMAZ 149 nitelikteki bir kişiye ilişkin her türlü bilgiyi ifade eden kişisel verilerin kaydedilmesi, tutulması, paylaşımı, işlenmesi ve transferindeki miktar ve çeşitlilik artmıştır. Günümüzde bilgisayar, internet ve cep telefonları gibi modern iletişim araçlarının yardımıyla bireylere ait kişisel verilere kolayca ulaşılabilmekte ve bu veriler kişiler, şirketler ve ülkeler arasında çok hızlı şekilde paylaşılabilmektedir. Bu durum, kişisel verilerin sahibi olan bireylerin hukuki güvenliğini tehdit edecek ve özel yaşamlarının gizliliğini bozabilecek bir seviyeye gelmiştir. Bütün bu karmaşa içinde, veri işlem faaliyetleri kapsamında geri planda kalan bireyin kişiliğini koruyarak geliştirmeye devam edebilmesi için, kişisel verilerin korun- ması hususunda düzenlemeler yapılması gerekmiştir. Uluslararası ve ulusal kaynaklarda, temel hak ve özgürlükler arasında, bireylerin özel hayatlarının gizliliğinin bir parçası olarak görülen kişisel verilerin ko- runması, bireylerin kişiliklerini koruyarak, kendilerini serbestçe ge- liştirmeleri ve verileri üzerinde kontrol sağlayarak onların geleceğini belirleyebilmeleri için son derece önemlidir. Bireyin kişisel verilerinin korunması, onun aynı zamanda özel yaşamın gizliliği, haberleşme öz- gürlüğü, düşünceyi açıklama özgürlüğü gibi diğer temel hak ve özgür- lüklerinin garanti altına alınmasıyla da ilgilidir. İnsan onuru temeline dayanan kişisel verilerin korunması hakkı; kişisel verilerin işlenmesi nedeniyle bireyin maruz kaldığı riskler karşısında korunmasını sağ- layan anayasal bir haktır. Kişisel verilerin korunması hukuku, kişisel verilerin işlenmesi sırasında bireylerin özel hayatlarının gizliliğini ko- rumakla birlikte, kişisel verilerin güvenle paylaşılabilmesini amaçla- maktadır. Böylece birey kişisel verileri üzerinde serbestçe karar verebi- lecek ve böylece bireyin temel hak ve özgürlükleri korunacaktır. Türkiye, 1981 yılında 108 Sayılı Avrupa Konseyi Sözleşmesi’ni im- zalanmış olmasına karşın, uzun bir süre Sözleşme’de zorunlu olarak belirtilen kişisel verilerin korunması alanını düzenleyen özel bir kanun çıkarmaması nedeniyle, Sözleşme’yi imzalayıp onaylamayan tek ülke olmuştur. Bu konu özellikle 95/46/AT sayılı Avrupa Birliği Yönergesi uyarınca Avrupa ülkelerinin kişisel verileri eşdeğer koruma bulunma- yan ülkelere aktarmamaları nedeniyle ülkemiz açısından sorun oluştu- ran bir alan olmuş, bunun dışında insan haklarına saygılı, demokratik bir hukuk devleti olma yolunda ilerleyen ülkemiz açısından kişisel veri- lerin korunması alanında özel bir düzenleme yapılması bir zorunluluk halini almıştır. Nihayet 24 Mart 2016 tarihinde Kişisel Verilerin Korun- ması Kanunu Türkiye Büyük Millet Meclisi tarafındna kabul edilerek kanunlaşmış ve bu konudaki büyük bir hukuki boşluk doldurulmuştur. Kişisel Verilerin Korunması Kanunu Hakkında Bir Değerlendirme...150 Kaynakça Akdağ Hale, Türk Ceza Kanunu Kapsamında Kişisel Verilerin Korunması, Yüksek Lisans Tezi, Ankara Üniversitesi Sosyal Bilimler Enstitüsü Kamu Hukuku (Ceza ve Ceza Usul Hukuku) A.B.D., Ankara 2010. Akgül Aydın, Kişisel Verilerin Korunması Açısından İdarenin Hukuki Sorumluluğu ve Yargısal Denetimi, Doktora Tezi, Kocaeli Üniversitesi Sosyal Bilimler Ensti- tüsü, Kocaeli 2013. Aksoy Hüseyin Can, Kişisel Verilerin Korunması, Yüksek Lisans Tezi, Ankara Üni- versitesi Sosyal Bilimler Enstitüsü Özel Hukuk (Medeni Hukuk) Anabilim Dalı, Ankara 2008. Artuç Mustafa, Kişilere Karşı Suçlar, Adalet Yayınevi, Ankara 2008, s. 1293 Atak Songül, “Avrupa Konseyinin Kişisel Veriler Açısından Sağladığı Temel Güven- celer”, Türkiye Barolar Birliği Dergisi, S.87, 2010. Aydın Sedat Erdem, AİHM İçtihatları Kapsamında Kişisel Verilerin Kaydedilmesi Suçu, Yüksek Lisans Tezi, İstanbul Üniversitesi Sosyal Bilimler Enstitüsü Kamu Hukuku Anabilim Dalı, İstanbul 2014. Bagdamor Vemon, Blackwell’in Siyaset Bilimi Ansiklobedisi, C.II, Çev. Erhan Yüksel- ci, Sema Yükselci, Bülent Peker, Ümit Yayımcılık, Ankara 2003. Bainbridge David, Data Protection Law, CLT Professional Publishing, 2000. Banisar David, “Freedom of Information and Access to Government Record Laws Around the World”, The Freedom info Global Survey, Mayıs 2004. Başalp Nilgün, Kişisel Verilerin Korunması ve Saklanması, Yetkin Yayınları, 2004. Bauman Zygmunt, Yasa Koyucular ve Yorumcular, Çev. Kemal Atakay, Metis Yayı- nevi, İstanbul 1996. Berber Leyla Keser – Lostar Murat, Bilişimde Biyometrik Yöntemler, Yetkin, Ankara 2006. Bergkamp Lucas – Dhont Jan, “Data Protection in Europe and the Internet: An Analy- sis of the European Community’s Privacy Legislation in the Context of the World Wide Web”, The EDI Law Review, S.7, 2000. Beyli Ceylin, Kişisel Verilerin Korunması Hakkında Kanun Tasarısı Üzerine Eleştiri- ler, Bilişim Hukuku, derleyen Mete Tevetoğlu, Kadir Has Üniversitesi Yayınları, İstanbul 2006. Boz Ahmet, Kişisel Verilerin Korunması: Türkiye, ABD ve AB Örnekleri, Yüksek Li- sans Tezi, Polis Akademisi Güvenlik Bilimleri Enstitüsü Güvenlik Stratejileri ve Yönetimi A.B.D., Ankara 2014. Bygrave Lee, Data Protection Law - Approaching Its Rationale, Logic and Limits, Klu- wer Law International, Newyork 2002. Carey Peter, Data Protection: A Practical Guide to UK and EU Law, Oxford University Press, 2004. Dağ Güray, Kişisel Verilerin Ceza Muhakamesi Hukukunda Delil Olarak Kullanıl- ması, Doktora Tezi, Marmara Üniversitesi Sosyal Bilimler Enstitüsü Kamu Hu- kuku Bilim Dalı, İstanbul 2011. Decew Judith Wagner, “The Scope of Privacy in Law and Ethics”, Law and Philo- sophy, 5, 1986. Dinç Engin, Kişisel Verilerin Korunmasında Uluslararası Düzenlemeler ve Türkiye’nin Durumu, Yüksek Lisans Tezi, Dicle Üniversitesi Sosyal Bilimler Enstitüsü Kamu Hukuku Anabilim Dalı, Diyarbakır, 2006. TBB Dergisi 2016 (124)   Ğbrahim KORKMAZ 151 Dinç Güney, Güvensizlik Üçgeni, 1402’likler, Fişleme, Güvenlik Soruşturması, Say, İstanbul 1987. Dülger, Murat Volkan, Bilişim Suçları, Seçkin, Ankara 2004. Er Cüneyd, Biyometrik Yöntemler ve Özel Hayatın Gizliliği Hakkı, Parmak İzi, Göz ve DNA Tarama Gibi Teknolojik Kimlik Denetleme Usullerinin Hukuki Statüsü, Yetkin, Ankara 2007. Eren Fikret, Borçlar Hukuku, Genel Hükümler, Beta, 9. Baskı, İstanbul 2006. Ergün İsmail, Siber Suçların Cezalandırılması ve Türkiye’de Durum, Adalet Yayıne- vi, Ankara 2008. Ersoy Uğur, Bir İnsan Hakları Kavramı Olarak “Kişisel Verilerin Korunması”, Yüksek Lisans Tezi, Gazi Üniversitesi Sosyal Bilimler Enstitüsü, Kamu Yönetimi Anabi- lim Dalı, Ankara 2009. Gültekin Nil Melek, Kişisel Verilerin Ceza Hukuku Yönünden Korunması, Yüksek Lisans Tezi, Galatasaray Üniversitesi Sosyal Bilimler Enstitüsü Kamu Hukuku A.B.D., İstanbul 2012. Gündel Ahmet, Yeni Türk Ceza Kanunu Açıklaması, 3. Cilt, Ankara 2008. Hafızoğulları Zeki – Özen Muharrem, Ceza Hukuku Özel Hükümler – Kişilere Karşı Suçlar, Us - A Yayıncılık, Ankara 2010. Heisenberg Dorothee, Negotiating Privacy: The European Union, the United States and Personal Data Protection, Lynne Rienner Publishers, London 2005. Jay Rosemary –Hamilton Angus, Data Protection Law and Practice, Second Edition, Thomson, 2003. Kanadoğlu O. Korkut, Türk ve Alman Anayasa Yargısında Anayasal Değerlerin Ça- tışması ve Uyumlaştırılması, Beta, İstanbul 2000. Kang Jerry, “Information Privacy in Cyberspace Transactions”, Stanford Law Review, C.50, 1998. Ketizmen Muammer, Türk Ceza Hukukunda Bilişim Suçları, Adalet Yayınevi, Anka- ra Ocak 2008, s. 238 Kılınç Doğan, “Anayasal Bir Hak Olarak Kişisel Verilerin Korunması”, AÜHFD, C.61, S.3, 2012. Korff Douwe ,EC Study on the Protection of the Rights and Interests of Legal Persons with Regard to the Processing of the Personal Data Relating to Such Persons, (Study Contract ETD/97/B5-9500/78). Kuner Cristopher, European Data Privacy Law and Online Business, Oxford Univer- sity Press, 2003. Kuner Cristopher, European Data Protection Law: Corporate Compliance and Regu- lation, İkinci Baskı, Oxford University Press, 2007. Kuşkonmaz Elif Mendos, Kişisel Verilerin Türk Ceza Kanunu Kapsamında Korun- ması, Yüksek Lisans Tezi, İstanbul 2013. Küzeci Elif, Kişisel Verilerin Korunması, Turhan Kitabevi, Ankara 2010. Lyon David, Surveillance Studies an Overview, Polity Press, 2007. Lyon David, Surveillance After September 11, Polity, 2003. Oğuzman Kemal, Medeni Hukuk, Giriş, Kaynaklar, Temel Kavramlar, Filiz Kitabevi, İstanbul 2008. Özbek, Veli Özer, TCK İzmir Şerhi, Yeni Türk Ceza Kanununun Anlamı Özel Hü- kümler, C.II, Seçkin, Ankara 2008, Kişisel Verilerin Korunması Kanunu Hakkında Bir Değerlendirme...152 Özdemir Hayrunnisa, Elektronik Haberleşme Alanında Kişisel Verilerin Özel Hu- kuk Hükümlerine Göre Korunması, Seçkin Yayınları, Ankara 2009. Parent, W. A., “A New Definition of Privacy for the Law”, Law and Philosophy, 2, 1983. Sevimli K. Ahmet, İşçinin Özel Yaşamına Müdahalenin Sınırları, Doktora Tezi, İstan- bul Üniversitesi Sosyal Bilimler Enstitüsü, Özel Hukuk Anabilim Dalı, İstanbul 2006. Solove Daniel J. – Rotenberg Marc – Schwartz Paul M., Information Privacy Law, İkin- ci Baskı, Aspen Publishers, New York 2006. Solove Daniel J., The Digital Person, Technology and Privacy in the Information Age, New York University Press, ABD 2004. Soyaslan Doğan, Ceza Hukuku Özel Hükümler, 8. Baskı, Ankara 2010. Şahin Meral Ekici, Ceza Hukukunda Rıza, On İki Levha Yayıncılık, İstanbul 2012. Şimşek Oğuz, “4422 sayılı Çıkar Amaçlı Suç Örgütleriyle Mücadele Kanunu ve Ka- nunun 4. maddesine Göre “Kayıt ve Verilerin İncelenmesi ve Kişisel Nitelikli Verilerin Korunması”, İzmir Barosu Dergisi, S. 4, 2001. Şimşek Oğuz, Anayasa Hukukunda Kişisel Verilerin Korunması, Beta Basım, İstan- bul 2008. Taşkın Şaban Cankat, Bilişim Suçları, Beta, Bursa 2008. Tezcan Durmuş, “Bilgisayar Karşısında Özel Hayatın Korunması”, Anayasa Yargısı Dergisi, 8. Cilt, 1991. Topaloğlu Mustafa, Bilişim Hukuku, Karahan Kitabevi, Adana 2005. Uzeltürk Sultan Tahmazoğlu, “Kişisel Verilerin Korunması Hakkında Anayasa Deği- ş i k l i ğ i ”, Legal Hukuk Dergisi, Sayı 93, Eylül 2010. Üzeltürk Sultan Tahmazoğlu, 1982 Anayasası ve İnsan Hakları Avrupa Sözleşmesine Göre Özel Hayatın Gizliliği Hakkı, Beta, İstanbul 2004. Wacks Raymond, Personal Information Privacy and the Law, Clarendon Press, Ox- ford 1993. Walden I. N. - Sawage R.N., “Data Protection and Privacy Laws: Should Organisations be Protected?”, International and Comparative Law Quarterly, C.37, S. 22, 1988. Yalvaç Gürsel, Karşılaştırmalı Gerekçeli TCK, CMK, CGTİK, 3. Bası, Adalet Yayınevi, Ankara 2007. Yaşar Osman – Gökcan Hasan Tahsin - Artuç Mustafa, Yorumlu – Uygulamalı Türk Ceza Kanunu, Cilt 3, 1. Baskı, Adalet Yayınevi, Ankara 2010. Yılmaz, Sabire Sanem, Tıp Alanında Kişisel Verilerin Hukuka Aykırı Olarak Veril- mesinin Ceza Hukuku Açısından Değerlendirilmesi (Sır Saklama Yükümlülüğü Kapsamında), Yüksek Lisans Tezi, Bahçeşehir Üniversitesi Sosyal Bilimler Ens- titüsü Kamu Hukuku Yüksek Lisans Programı, İstanbul 2014.