Kişisel verilerin korunması temel bir haktır

Kişisel veriler yaşamın her alanında gerek kamu ve gerekse özel sektör tarafından yaygın olarak kaydedilmekte ve işlenmektedir. Kişisel verilerin işlenmesiyle ilgili yeterli ve açık bir yasal düzenleme bulunmaması, bu verilerin kontrolsüz şekilde işlenmesine, bazı temel hakların ihlal edilmesine yol açmaktadır.

Kişisel verilerin korunması konusunda Kanun Tasarısı ile ilgili ilk çalışmalar 1989’da başlamış, son olarak “Kişisel Verilerin Korunması Kanunu Tasarısı” 26 Aralık 2014’te TBMM Başkanlığı’na sunulmuştur, ancak söz konusu tasarı önceki çalışmalar gibi yasalaşamamıştır. 2014 tarihli tasarıda “kişisel veri” kavramı 1995/46/EC sayılı Avrupa Komisyonu direktifine paralel şekilde, “kimliği belirli veya belirlenebilir gerçek kişilere ilişkin bütün bilgiler” olarak tanımlanmıştır. Kanun tasarısının gerekçesi incelendiğinde, kişisel veri kavramının sadece ad, soyad, doğum yeri, doğum tarihi gibi kişilerin tanınmasını ve teşhisini sağlayan bilgilerden ibaret olmadığı ayrıca kişilerin fiziksel, sosyal, kültürel, ekonomik, psikolojik tüm bilgileri kapsadığı ifade edilmiştir. Bu kapsamda kişinin kimlik bilgilerine ek olarak, vatandaşlık numarası, vergi numarası, sürücü belgesi numarası, ev adresi, e-posta adresi, telefon numarası, gibi kişinin belirli veya belirlenebilir olmasını sağlayan tüm bilgiler kişisel veri niteliği taşımaktadır ve kişisel verilerin korunması kapsamına girmektedir.

Kişisel verilerin işlenmesi

Kişisel veri tanımı kapsamının tarifi ile birlikte, çok önemli bir başka başlık olan “Kişisel Verilerin İşlenmesi” ve ilgili kişinin bu bilginin işlenmesine yönelik rızası da irdelenmelidir. Tasarıda “Kişisel Verilerin İşlenmesi”; “Kişisel verilerin tamamen veya kısmen, otomatik olan veya olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi verilerin üzerinde gerçekleştirilen her türlü işlem” olarak örnekleme yoluyla tanımlanmaktadır. Bu verilerin işlenebilmesi de kişinin açık rızasının alınması şartına bağlı olacaktır. Ancak, “Rıza” tanımı tasarıda yer almamıştır. Tasarıda ayrıca uzunca tartışma ve değerlendirmelere sebep olan açık rıza alınmaksızın kişisel verilerin işlenmesi başlıkları düzenlenmiştir. Bazı hallerde ilgilinin açık rızası alınmaksızın verilerin işlenmesi mümkün kılınmıştır.

Kişisel verilerin korunmasıyla ilgili diğer düzenlemeler

Kişisel verilerin korunması hukuku sanılanın aksine hukuk düzenimize girmiş bulunmaktadır. Halen çeşitli kanunlarda kişisel verilerin korunmasına ilişkin hükümler bulunmaktadır. Ancak konuyu derli toplu olarak düzenleyen Kişisel Verilerin Korunması Tasarısı henüz kanunlaşmadığı için genellikle Kişisel Verilerin Korunmasına ilişkin bir mevzuatımız olmadığı zannı doğmaktadır:

• Mer’i mevzuat olan  Anayasanın 20. Maddesi, 2010’da değiştirilerek kişisel verilerin korunması, kişinin özel hayatının bir parçası haline getirilmiştir.
• Türk Ceza Kanunu’nun 135-138. maddeleri kişisel verilerin hukuka aykırı kaydedilmesi ve hukuka aykırı olarak verme ve ele geçirme fillerini tanımlamakta, bu maddelerin ihlali halinde önemli cezalar öngörmektedir.  
• Elektronik Ticaretin Düzenlenmesi Hakkında Kanun adıyla 1 Mayıs 2015’te yürürlüğe giren yasa elektronik ortamlarda kişisel verilerin korunmasını düzenleyen önemli hükümler içermektedir. Özellikle madde 10, hizmet sağlayıcı ve aracı hizmet sağlayıcıları, ilgili kanun çerçevesinde yapmış olduğu işlemler nedeniyle elde ettiği kişisel verilerin saklanmasından ve güvenliğinden sorumlu tutar, kişisel verileri ilgili kişinin onayı olmaksızın üçüncü kişilere iletmesini ve başka amaçlarla kullanmasını yasaklar.
• Finansal kuruluşlar mevzuatında bu konuyu düzenleyen farklı çerçeve hükümler bulunmaktadır. Bu maddelerde kişisel verilerin ilgilisinin rızası olmaksızın kaydedilmesi, kişisel verilerin hukuka aykırı olarak 3. kişilere aktarılması, kişisel verilerin zamanı geldiği halde yok edilmemesi düzenlenmiş ve karşılığında farklı yaptırımlar öngörülmüştür.

Değerlendirme

Kişisel veriler günümüz yaşamının her alanında gerek kamu ve gerekse özel sektör tarafından yaygın olarak kaydedilmekte ve işlenmektedir. Ülkemizde kişisel verilerin işlenmesiyle ilgili yeterli ve açık bir yasal düzenleme bulunmaması,  bu verilerin kontrolsüz şekilde işlenmesi, bazı temel hakların ihlal edilmesine sebep olmaktadır. Dolayısıyla, her geçen gün özel bir yasal düzenlemeye duyulan ihtiyaç artmaktadır.

Halihazırda mevzuatımızda kişisel verilerin korunmasına yönelik bir özel bir düzenleme olmamakla birlikte, özellikle Anayasanın 20. Maddesi ve Türk Ceza Kanunun 135-138 maddelerinin getirdiği düzenlemeler çok önemlidir. Bu itibarla bu kapsamda yapılacak tüm işlemlerin, oluşturulacak dokümanların ve ilgili tüm operasyonların bu çerçeveye uygun olarak tasarlanmalıdır. Aksi halde kanun ve anayasanın açık düzenlemeleri karşısında yeterli güvence içinde olunması mümkün olmayacaktır. Bu kapsamı içinde barındıracak tüm hususlarda, azami uyum gözetilmelidir; mahkemelerin değerlendirme ve takdirine bırakılamayacak kadar açık ve net bir uyum yapılması olası riskleri bertaraf edecektir.

Tüm şirketlerin Uyum Programı gerçekleştirilmesi, bu programda Kişisel Verilerin Korunması mevzuatına  uyum konusunda ihtiyaçlarını belirlemesi, hangi kişisel verilerin hangi amaçlarla ve ne şekilde işlendiğinin tespit edilmesi ve dokümante edilmesi, tespit edilen kişisel veri işleme süreçlerinin mevzuata uygunluğu, mevzuata uygun olmayan işleme süreçlerinin tespiti ve mevzuata uygun olmayan veri işleme süreçlerinin ne şekilde mevzuata uygun hale getirileceğine dair hukuki görüş ve öneriler alması önerilmektedir.