Özel Nitelikli Kişisel Verilerin İşlenmesi

Özel Nitelikli Veriler

Kişisel verilerin korunması ya da daha genel kapsamıyla özel hayatın gizliliği hakkının konu edildiği hemen her yerde, toplum içinde bölünmelere ve sınıfsal ayrımlara neden olabilecek özel nitelikli verilere değinilir ve bu verilerin korunmasının çok daha hassas bir konu olduğu ayrıca vurgulanır. Aşağıda detaylandırılacak bu özel nitelikli verilerin şu ortak paydada buluştuğu söylenebilir:

• Irki kökenler,
• Siyasi/politik düşünceler,
• Dini görüşler.

Bu tür veriler, yukarıda konu edilen hukuka uygunluk nedenleri ve hakkın sınırlanmasını gerektirecek hallerden de muaftır; bunların işlenip işlenemeyeceği, işlenebilirse hangi koşullar altında işlenebileceği ayrıca değerlendirilir.

5237 sayılı TCK’da Özel Nitelikli Verilerin Kaydedilmesi Hususu
5237 sayılı TCK’nın 135. maddesinin 2. fıkrası şöyle der: “Kişilerin siyasî, felsefî veya dinî görüşlerine, ırkî kökenlerine; hukuka aykırı olarak ahlâkî eğilimlerine, cinsel yaşamlarına, sağlık durumlarına veya sendikal bağlantılarına ilişkin bilgileri kişisel veri olarak kaydeden kimse, yukarıdaki fıkra hükmüne göre cezalandırılır.” Fıkrada “;” işaretinden sonraki “hukuka aykırı olarak” vurgusu açıkça göstermektedir ki kişilerin siyasi, felsefi veya dini görüşleri ile ırki kökenlerine ilişkin kişisel verilerin kaydedilmesi, hukuka uygun olarak kaydedilemez ve suçtur.

108 sayılı Avrupa Konseyi Sözleşmesine Göre Özellikli Veri Kategorileri
Sözleşmenin özellikli veri kategorileri başlıklı 6. maddesinde “iç hukukta uygun güvenceler sağlandığı takdirde” özellikli verilerin otomatik işleme tabi tutulabileceği belirtilir.

KVK Kanun Tasarısında Özel Niteliği Olan Kişisel Veriler
Tasarının özel niteliği olan kişisel veriler başlıklı 7. maddesinin ilk fıkrasında “işlenemeyecek” özel nitelikli kişisel veriler sıralanır; 2. fıkrasında ise “gizliliğin korunmasını sağlayacak yeterli önlemlerin alınması şartıyla” işlenmesinin mümkün olduğu haller sıralanır. Fıkranın ilk bendinde bu tür veriler için -mümkün olan durumlarda- ilgili kişinin yazılı rızasının alınması gerektiği vurgulanmaktadır.

Kişisel Verilerin İşlenmesinin Meşru Olduğu Durumlar

Kişisel Verilerin İşlenmesinin Meşru Olduğu Durumlar

Kişisel verilerin işlenmesinin hangi durumlarda hukuka uygun kabul edileceği bu başlık altında konu edilmiştir. Haklar “büzüşür”, bunun anlamı, hakların başlangıçta en geniş durumda olduğu ve çeşitli istisnalar ile daraltılacağıdır.
Aşağıda görüleceği üzere kişisel verilerin korunması hakkının sınırlanmasında temel ilke kanuniliktir, sınırlamanın mutlaka kanunla yapılması gerekir. Bununla birlikte bu sınırlamanın daha büyük bir yarar ya da tehlikeden korunma amacıyla ve mutlaka ölçülü bir şekilde yapılması gerektiği ortak sonucu çıkarılabilir.

Anayasaya Göre Kişisel Verilerin Korunması Hakkının Sınırlanması
Anayasanın temel hak ve özgürlüklerin sınırlanması konulu 13. maddesi, özel hayatın gizliliği konulu 20. maddenin 2. fıkrasında konu edilen kişisel verilerin korunması hakkı için de sınırları çizmektedir. Bu maddede başta kanunilik ilkesi vurgulanır; sonra bu sınırlamaların Anayasanın sözüne ve ruhuna, demokratik toplum düzeninin ve lâik Cumhuriyetin gereklerine ve ölçülülük ilkesine aykırı olamayacağı vurgulanır.

AİHS’nde Kamu Müdahalesini Meşru Kılan Haller
AİHS’nde kişisel veriler ayrıca konu edilmez; özel hayatın gizliliğinin konu edildiği 8. madde üzerinden değerlendirme yapılır. Aynı maddede özel hayata saygı hakkının kullanımına bir kamu makamı müdahalesinin ancak şu durumlarda söz konusu olabileceği belirtilmiştir: “Müdahalenin yasayla öngörülmüş ve demokratik bir toplumda ulusal güvenlik, kamu güvenliği, ülkenin ekonomik refahı,  düzenin korunması,  suç işlenmesinin önlenmesi, sağlığın veya ahlakın veya başkalarının hak ve özgürlüklerinin korunması için gerekli bir tedbir olması durumunda.”

108 sayılı Avrupa Konseyi Sözleşmesine Göre İstisnalar ve Takyitler
108 sayılı Avrupa Konseyi Sözleşmesinin 9. maddesi, kişisel verilerin korunması hakkına, bu maddede belirtilen sınırlar dışında hiçbir istisna getirilemeyeceği söylenir:
“Eğer Akit Taraf Kanununda öngörülen istisna, demokratik bir toplumda:
     (a) Devlet güvenliğinin korunması, Kamu güvenliği, Devletin mali menfaatleri veya suçların önlenmesi için zorunlu bir önlem teşkil ediyorsa,
     (b) İlgili şahsın korunması ve başkasının hak ve özgürlükleri için zorunlu bir önlem teşkil ediyorsa.”

95/46/AT sayılı Avrupa Birliği Direktifinde Veri Toplamanın Meşruiyet Kaynakları
95/46/AT sayılı Avrupa Birliği Direktifinde kişisel verilerin toplanmasının meşru kabul edileceği durumlar şu şekilde listelenmiştir:

1. Kişinin rızası,
2. İlgili kişinin taraf olduğu bir sözleşmenin gereğinin yapılması ya da sözleşmenin tarafı olmadan önceki istemler nedeniyle veri işlenmesi,
3. Veri denetçisinin yasal yükümlülüğü yerine getirebilmek için veri işlemesi (Yasal yükümlülüğü dar anlamda düşünmek gerekir),
4. İlgili kişinin yasal çıkarlarının korunması için veri işlenmesi,
5. İşlemenin, kamu yararının bulunduğu bir hizmetin gerçekleştirilmesi ya da denetçinin / verilerin açıklandığı üçüncü kişilerin resmi yetkisini kullanması için gerekli olması.

KVK Kanunu Tasarısında Verilerin İşlenmesinin Hukuka Uygunluk Sebepleri
Tasarının 6. maddesi, kişisel verilerin işlenmesinin hangi durumlarda hukuka uygun kabul edileceği listelenmiştir. Bu maddeler incelendiğinde 95/46/AT sayılı Avrupa Birliği Direktifindeki meşruiyet kaynakları ile paralellik arz ettiği açıkça görülür.

Özel Hayatın Gizliliği Kapsamında Kişisel Verilerin Korunması

Özel Hayatın Gizliliği Kapsamında Kişisel Verilerin Korunması

KVK Kanun Tasarısının kadük olması ve gerek Anayasa Mahkemesinin, gerekse AİHM’nin KVK ile ilgili konularda özel hayatın gizliliği üzerinden hareket etmesi, bu iki konu arasındaki ilişkinin irdelenmesini önemli hale getirmektedir.
Bu iki konu bağlantılı haldedir. İnsan bugün, görüntüsü, sağlık durumu, cinsel eğilimleri gibi her yönden büyük bir gözetim altındadır. Bu da mahremiyet dediğimiz kişilerin özel yaşamına müdahaleyi gündeme getirir.

Kişisel Verilerin, Özel Yaşamın Gizliliğinin Bir Parçası Olduğuyla İlgili Örnek Yargı Kararı
Hatay İdare Mahkemesi, E. 2009/915, K. 2010/803
Kararda, Avrupa İnsan Hakları Sözleşmesi'nin 8. maddesinde herkesin özel ve aile yaşamına saygı gösterilme hakkına sahip olduğuna; İnsan Hakları Evrensel Beyannamesi, BM Çocuk Hakları Sözleşmesi vb. uluslararası beyannamelerde de benzer hükümlerin yer aldığına değiniliyor.
Ayrıca, Avrupa İnsan Hakları Mahkemesi içtihatlarına, 'özel hayatın gizliliği' hakkının sınırlanabileceği durumların neler olabileceğine değiniliyor ve parmak izi –ayırt edici bir kişisel veridir- ile mesai takibinde, Anayasa ve Uluslararası Sözleşme hükümlerine aykırı olduğundan hukuka uyarlık bulunmamıştır sonucuna varılıyor.

Kişisel Verilerin Korunması ile İlgili Örnek Anayasa Mahkemesi Kararı
4178 sayılı Kanun'un iptali ve yürürlüklerinin durdurulması istemi ile ilgili, 1996/68 esas ve 1999/1 karar sayılı Anayasa Mahkemesi kararının kişisel verilerin korunması ile ilgili bölümleri aşağıda verilmiştir:
“1981 tarihli “Otomatik İşlemden Geçirilen Kişisel Verilerin Korunması ve Aktarımı Hakkındaki Sözleşme”ye (Convention For The Protection at Individuals With Regard to Automatic Processing Of Personal Data, No.108, Strasbourg 28.1.1981) göre, kişi hakkındaki verilerin toplanmasında dürüst davranılmalı, yasaya uygun yöntem kullanılmalıdır. Kişi adına veriler, belli amaçlar doğrultusunda kayda geçmeli, bu amaçlar yasa ile tanınmalı ve verilerin kullanılması ancak bu amaçlar doğrultusunda olmalıdır. Verilerin kullanılmasında amaç dışına çıkılmamasına, uygunluk ve dengeye özen gösterilmesi gerekir. Tutulan veriler gerektirdiği takdirde düzeltilebilmelidir. Veriler gerçeğe uygun olmalıdır. Kişisel veriler ancak gerekli olduğu ölçüde ve amaca hizmet ettiği süre için saklanmalıdır.
Sözleşmede “duyarlı veriler”e özel önem verilmiştir. Kişilerin ırk/soy kökeni, siyasal kanıları, dini inançları, öteki kişisel kanıları, sağlık ve cinsel yaşam verileri özel güvenceler getirilmedikçe bilgi işlem konusu olamaz. Bireylerin özellikle kişilik haklarına aykırı buldukları verileri düzeltme ve kayıttan sildirme hakları, verilere itiraz ve düzeltme hakkı, verilerin işlemden geçirilme ve değişimine karşı itiraz hakkı iç hukukta düzenlenmesi gereken güvencelerin başında gelmektedir.”
…
“Sonuç olarak, 4178 sayılı Yasa'nın 10. maddesi, özel hayatın gizliliğini düzenleyen Anayasa'nın 20. maddesine; temel hak ve hürriyetlerin demokratik toplum düzenin gereklerine aykırı olarak sınırlanamayacağını düzenleyen 13. maddesine ve Türkiye Cumhuriyeti'nin demokratik hukuk devleti olduğunu düzenleyen 2. maddesine aykırıdır.”
Görüleceği üzere Anayasa Mahkemesi, 108 sayılı Avrupa Konseyi Sözleşmesine atıfta bulunmuş, bununla birlikte siyasi kanılar gibi hassas verilere ayrıca önem verildiğinden ve özel güvence getirilmedikçe işlenemeyeceğinden söz edilmiştir.

Örnek Bir AİHM Kararı: Amann/İsviçre Kararı, 1981
Ülkemizin de altına imza attığı AİHS'nde kişisel verilerin korunması ile ilgili ayrı bir madde yoktur. Kişisel veriler, özel ve aile hayatına saygı başlıklı 8. madde kapsamında değerlendirilmektedir.
Tesadüfen Bern’deki SSCB Büyükelçiliğinden bir bayanın sipariş vermesi ile elektrikli tüy alma aleti satıcısı Amann, gizli servisin dinlemesi sonucu kayda geçer. Kayıtta Amann'ın bir Sovyet irtibatı olduğu yazılır. Daha sonra basın,  dinleme skandalı olarak konuyu açığa çıkarınca Amann da Sovyet casusu olabileceğini öğrenir, duruma itiraz eder. Yerel mahkeme, zarar olmadığı gerekçesiyle tazminat talebini reddeder.
AİHM, dinleme için yasal temelin yeterli olmadığı gerekçesiyle AİHS'nin ihlal edildiği yönünde karar vermiştir. Mahkeme bu kararıyla kişisel verilerin saklanmasının 8. madde kapsamına girdiğini kabul etmiş olmaktadır. Kişinin zarar görmesi, fişlemenin kullanılmış olup olmadığı önemli değildir; özel yaşam alanına müdahale söz konusudur.

Kişisel Verilerin Korunması Hakkının Hukuki Boyutları

Kişisel Verilerin Korunması Hakkının Hukuki Boyutları
Anayasa Boyutu

2010 yılında Anayasa’nın özel hayatının gizliliği ile ilgili 20. maddesine şu fıkra eklenmiştir: “(Ek fıkra: 7/5/2010- 5982/2  md.) Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir.”
Bu fıkra, KVK Kanun Tasarısı için bir altyapı niteliğindedir. Esasında bu fıkra yokken de Anayasa Mahkemesi, kişisel verileri özel hayatın gizliliği kapsamında koruma altına almıştır.

Uluslararası Boyutu

Anayasa Mahkemesi’nin kararlarında atıfta bulunması, KVK Kanun Tasarısının esinlenmesi, AB’ne uyum sürecinde önem arz etmesi gibi nedenlerle, uluslararası boyutta kişisel verilerin korunması konusunu incelemekte fayda vardır.
108 sayılı Avrupa Konseyi Sözleşmesi, Anayasa Mahkemesinin de atıfta bulunduğu bir sözleşmedir. Sözleşme, otomatik işleme tabi tutulan ve gerçek kişilere ait kişisel verileri konu edinir. Bazı farklar olsa da KVK Kanunu Tasarısı’nın bu sözleşmeden esinlendiği söylenebilir.
95/46/AT sayılı Avrupa Birliği Direktifinde ise daha çok ekonomik çıkarlar gözetilmiş, ekonomik değeri olmayan veriler kapsam dışı bırakılmıştır. Direktifin temel özelliği "zorlayıcılığı"dır. AB ülkeleri ile ilişkiye girecek ülkelerin de bu Direktife uyması beklenir.
AİHS’nde KVK için ayrıca bir madde yoktur. AİHM, KVK ile ilgili konuları özel ve aile hayatına saygı başlıklı 8. madde kapsamında değerlendiriyor.

Ceza Hukuku Boyutu

Kişisel veriler, 5237 sayılı TCK’nın özel hayata ve hayatın giz alanına karşı suçların konu edildiği dokuzuncu bölümünde ele alınmıştır. TCK, 135. maddede kişisel verilerin hukuka aykırı olarak kaydedilmesini suç olarak tanımlamış, ikinci fıkrada da suçun özel nitelikli ya da hassas olarak nitelendirilebilecek kişisel veriler üzerinde işlenmesinin ağırlatıcı olduğu vurgulanmıştır. 136. maddede ise hukuka aykırı olarak verilmesi, yayılması veya ele geçirilmesini suç olarak tanımlamıştır.

Kişisel Verilerin Korunması - Temel Tanımlar

Kişisel Veri Nedir? Kişisel Verilerin İşlenmesi Ne Anlama Gelir?

Kişisel Veri
Avrupa Konseyi’nin 108 sayılı Kişisel Nitelikteki Verilerin Otomatik İşleme Tabi Tutulması Karşısında Şahısların Korunmasına Dair Sözleşmesinin (bundan sonra “108 sayılı Avrupa Konseyi Sözleşmesi” olarak anılacaktır) 2. maddesinde şu tanıma yer verilmiştir: Kişisel Nitelikteki Veriler: Kimliği belirtilen veya belirtilebilen gerçek kişiyle ilgili tüm bilgileri ifade eder ("İlgili Kişi"). Sözleşmenin Türkçeleştirilmesi sırasında “personal data” ifadesi, “Kişisel Nitelikli Veriler” olarak çevrilmiştir.
KVK Kanunu Tasarısının “Tanımlar” başlıklı 3. maddesinde de şu tanıma yer verilmiştir: Kişisel veri: Belirli veya kimliği belirlenebilir gerçek ve tüzel kişilere ilişkin bütün bilgiler. Görüleceği üzere Tasarıda 108 sayılı Avrupa Konseyi Sözleşmesinden farklı olarak tüzel kişilere ilişkin bilgilerin de kişisel veri olarak kabul edildiğine yer verilmiştir.

Kişisel Verilerin İşlenmesi
Yine KVK Kanunu Tasarısının 3. maddesinde kişisel verilerin işlenmesi tanımlanmıştır: “Kişisel verilerin otomatik olan veya olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, değiştirilmesi, silinmesi veya yok edilmesi, yeniden düzenlenmesi, açıklanması veya başka bir şekilde elde edilebilir hale getirilmesi, üçüncü kişilere aktarılması, kullanılmasının sınırlanması  amacıyla işaretlenmesi veya tasniflenmesi veya kullanılmasının engellenmesi gibi bu veriler üzerinde gerçekleştirilen bir işlem ya da işlemler bütünü”. Bu tanımda da 108 sayılı Avrupa Konseyi Sözleşmesine göre bir farklılık göze çarpmaktadır: 108 sayılı Avrupa Konseyi Sözleşmesi, sadece otomatik işleme tabi tutulan kişisel verilerle ilgilenirken, Tasarıda otomatik olmayan yollarla işlenen veriler de kapsama dâhil edilmiştir.


Kişisel Verilerin Korunması Kanunu Tasarısı
"Kadük" olmuş tasarıdır. Kadük olma, http://www.anayasa.gen.tr/kanun.htm internet adresinde şu şekilde tanımlanır: Bir yasama döneminde sonuçlandırılamamış olan kanun tasarı ve teklifleri hükümsüz sayılır (İçtüzük, m.77). Buna anayasa hukuku literatüründe “kadük olma (caducité)” denir. Yine aynı internet adresinde Bakanlar Kurulu ve milletvekilleri bu tasarı ve teklifleri yenileyebilecekleri söylenmektedir. Kadük olsa bile yeni yasama döneminde tekrar gündeme geleceği ihtimalinin yüksektir.
Tasarıda, kişisel verilerin korunması hakkına dair tüm konular etraflıca ele alınmaya çalışılmıştır.