“TANIMLARDAKİ EKSİKLİKLER SIKINTI YARATABİLİR”

Yrd. Doç. Dr. Elif Küzeci, Kişisel Verilerin Korunması Yasası’nı Değerlendirdi:

EMO Basın- Bahçeşehir Üniversitesi Hukuk Fakültesi Öğretim Üyesi Yrd. Doç. Dr. Elif Küzeci, Kişisel Verilerin Korunması Yasası’nda tanımlarda bazı eksiklikler olduğunu ve ayrıntılı hükümler içermeyen düzenlemenin çok genel kalması nedeniyle uygulamada sıkıntı yaratabileceğini belirtti. Türkiye’nin bu alanda bir çerçeve yasa kabul etmekte oldukça geç kaldığını belirten Küzeci, yürürlüğe giren yasanın temel çatısının AB’nin 1995 yılında yayımladığı bir yönergeden alındığını, oysa Avrupa Parlamentosu’nun 2016 Nisan ayında yeni bir düzenlemeyi kabul ettiğini bildirdi. Küzeci, “Bu regülasyon AB üyesi ülkelerde doğrudan etki gücüne sahip olacak. Kapsamına baktığımızda bazı yenilikler getirilmiş, bunlar teknolojideki gelişmeler ve artık bireyin daha güçlü korunması gerektiğine işaret ediyorlar” dedi.

Türkiye Ekonomi Politikaları Araştırma Vakfı (TEPAV) tarafından 22 Nisan 2016 tarihinde düzenlenen “Dünden Bugüne Türkiye’de Kişisel Verilerin Korunması Hukuku” toplantısına konuşmacı olarak katılan Yrd. Doç. Dr. Elif Küzeci, kişisel verinin tanımlanması ve bu alandaki hukukun temelini oluşturan genel ilkelerin kavranması noktasında önemli sıkıntıların yaşandığını belirtti. Kişisel veriyi “Belirli ya da belirlenebilir bir kişiye ilişkin her türlü bilgi” olarak tanımlayan Küzeci, “Kişisel veri dediğimiz şeyler bize dair olan şeyler; bizi biz yapan, diğer bütün insanlardan ayıran, kendimize, öz benliğimize ilişkin her türlü bilgi burada yer alıyor. O nedenle kişisel verilerin korunması hakkı bir temel hak olarak bugün insan hakları alanında önemi her geçen gün artan bir kategoriyi oluşturuyor” diye konuştu.

IP Numaraları da Kişisel Veri

Bazı durumlarda doğrudan ilgili kişi ile ilişkili olmasa da başka bazı verilerle ilişkilendirmenin sağlanabildiğine dikkat çeken Küzeci, buna örnek olarak bilgisayarların IP numarasını gösterdi. Avrupa’da IP numaralarını kişisel veri olarak kabul eden bir eğilim oluştuğunu anlatan Küzeci, “Bunun nedeni de şu; ‘Pek çok örnekte biz bu bilgiden hareket ederek doğrudan o kişinin kim olduğunu tespit edebiliyoruz’ diyorlar” dedi.

Kişisel Verilerin Korunması Kanunu yürürlüğe girmeden önce Anayasa Mahkemesi’nin kişinin adı, soyadı, doğum tarihi gibi bilgilerinin yanı sıra motorlu taşıt plakası, sosyal güvenlik numarası, genetik bilgileri, IP adresi gibi diğer bilgilerini de kişisel veri olarak kabul ettiğine dikkat çeken

Elif Küzeci

Küzeci, şöyle konuştu: “Pek çok devletin hukuk sisteminde kişisel veri kategorisi, bir de özel alan belirleniyor. Hassas veriler dediğimiz, kanun metinlerinde genelde özel nitelikli kişisel veriler olarak geçen bir kategori bu. Bu verilerin hukuka aykırı işlenmesinden dolayı özellikle ayrımcılık yasağına aykırı daha ciddi sıkıntıların, zararların ortaya çıkabileceği düşünüldüğü için bu kategorilerde yer alan kişisel verilerin daha güçlü bir şekilde korunması öngörülüyor. Bu yaklaşım Türkiye’de de benimsenmiştir ve bir hassas veriler kategorisi tespit edilmiştir.”

“Veri Meşru Amaçlarla İşlenmeli”

Kişisel verilerin korunmasının özel yaşamın gizliliği dahil olmak üzere pek çok temel hak ve özgürlük ile ilişkili olduğunu belirten Küzeci, bu alanın 1970’li yıllardan itibaren hukuksal düzenlemelere konu edildiğini vurguladı. Bilişim teknolojilerinin gelişmesiyle konuya ilişkin özel düzenlemeler yapılması ihtiyacı hissedildiğini ancak kişisel verilerin korunmasının amacının veri işlenmesini önlemek, yasaklamak ya da teknolojideki gelişmeleri engellemek olmadığını kaydetti. “Bu zaten makul olmadığı gibi, gerçekleştirilebilir de değildir” diyen Küzeci, şöyle devam etti:

“Burada iki temel amaç var; birincisi birey ile kendisine dair bilgi arasındaki bağın kopmasını engellemek. İkinci olarak da verilerin yalnızca meşru amaçlarla ve yetkili kişilerce işlenmesini sağlamak. Dolayısıyla veri işlemeyi topyekun yasaklamak değil, bizim kanunumuzda kişinin açık rızası olarak ifade edilen bireyin daha çok söz sahibi olmasını sağlayacak mekanizmaları getirmek ve sonsuza kadar bu verilerin tutulmasını önleyici bazı prensiplerin belirlenmesini sağlamak. Çünkü bunların olmadığı bir ortamda sadece özel yaşamın gizliliği hakkı değil, haberleşme özgürlüğü, toplantı, gösteri yürüyüşü hakkı gibi daha pek çok hak ve özgürlüğün yaşama geçmesinde sıkıntılar yaşanabilmekte.”

“Türkiye Çok Geç Kaldı”

Dünyada 100’ün üzerinde devlette kişisel verilerin korunmasına ilişkin hukuksal düzenlemelerin kabul edildiğini anlatan Küzeci, Türkiye’nin bu alanda bir çerçeve yasa kabul etmekte oldukça geç kaldığını söyledi. Uluslararası düzenlemeler hakkında bilgi veren Küzeci, 1981 yılında Avrupa Konseyi tarafından kişisel verilerin korunmasına yönelik sözleşmenin imzaya açıldığını, Türkiye’nin de ilk imzacılar arasında yer aldığını belirtti. Küzeci, “28 Ocak 1981’de im-

zalamış, ancak sözleşmenin onaylanması süreci 35 yıl alıyor. 30 Ocak 2016 tarihinde Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Bireylerin Korunması Sözleşmesinin Onaylanmasının Uygun Bulunduğuna Dair Kanun TBMM’de kabul edildi. Ne yazık ki uzunca bir zamandır bu sözleşmenin tarafı olmayan tek devlet bizdik” dedi.

AB’nin 1995 yılında yayımladığı 95/46 sayılı Yönerge’nin önemli olduğunu, yürürlüğe giren kanunun temel çatısının da bu yönergeden alındığını belirten Küzeci, şu görüşleri dile getirdi:

“1995 yılındaki insan hakları anlayışı ya da teknolojik gelişim ile 2016 yılında geldiğimiz seviye oldukça farklı. Bunu gören AB de konuya ilişkin yeni bir düzenleme, reform çalışması içine girdi. Bu çalışmalar 2012 yılında Avrupa Komisyonu’nun sunduğu bir öneri ile başladı ve geçen hafta Avrupa Parlamentosu’nun onaylama süreci de gerçekleşti. Bu regülasyon AB üyesi ülkelerde doğrudan etki gücüne sahip olacak. Kapsamına baktığımızda bazı yenilikler getirilmiş. Bunlar teknolojideki gelişmeler ve artık bireyin daha güçlü korunması gerektiğine işaret ediyorlar.”

Kişisel Verilerin Korunmasında Ortak İlkeler

Bugün dünyada yolcu kayıtlarının uluslararası alanda paylaşımı gibi konuların da tartışıldığına işaret eden Küzeci, kişisel verilerin korunmasına ilişkin düzenlemelerin ortak ilkelerini şöyle sıraladı:

“Hukuka ve dürüstlük kurallarına uygun olma, doğru ve gerektiğinde güncel olma, belirli, açık ve meşru amaçlar için işlenme, işlendikleri amaçla bağlantılı sınırlı ve ölçülü olma, işlendikleri amaç için gerekli olan süre kadar muhafaza edilme, hukuka uygun aktarım gerçekleştirme, bilgi güvenliği ve bütün bu ilkelerin hayata geçmesini sağlayacak ya da denetimi sağlayacak bağımsız bir organın bulunması.”

Kanundaki Belirsizlikler Soru İşareti

Küzeci, Türkiye’de kişisel verilerin korunması alanının düzenlendiği Anayasa ve yasa hükümleri hakkında bilgi verdi.

Kişisel Verilerin Korunması Kanunu’nda, AB’nin 95/46 sayılı Yönergesi’nin esas alınmasının sıkıntı yaratabileceğini belirten Küzeci, bu yönergenin kanun muadili olan bir metin değil, sadece çerçeve metin, direktif olduğunu söyledi. AB üyesi devletlerin kanunlarında daha ayrıntılı hükümler olduğunu vurgulayarak, ülkemizde çıkarılan kanunun çok genel kalması nedeniyle uygulamada sıkıntı yaratabileceğini kaydetti. Küzeci, “Örneğin belirli, açık ve meşru amaçlar için işleme diyor. Ne olduğu konusunda benim açıkçası bir fikrim var. Çünkü Avrupa Birliği’nde bu konudaki içtihatı, mahkeme kararlarını biliyorum. Fakat bir mahkeme bunu uygularken nasıl değerlendirecek?” diye konuştu.

Kanundaki tanımlarda bazı eksiklikler olduğunu anlatan Küzeci, şöyle devam etti:

“Veri işlemenin kişinin rızasına dayanılmadığı durumlardan biri ilgili kişi tarafından verinin alenileştirilmiş olması. Oysa kanunda alenileştirmeye ilişkin bir tanım yok. Bir örnek vereyim, avukatların bir bölümü kartvizitlerine TC kimlik numaralarını yazıyor. Çünkü avukatın TC kimlik numarası bilinmeden vekalet çıkartabilmek mümkün değil. Ya da noterler; noterden kart alırsanız,

TC kimlik numarasının kartın üzerinde yazdığını görürsünüz. Eğer alenileştirmeyi tanımlanamayacak ya da belirlenemeyecek kadar çok kişi ile bilgi paylaşma olarak düşünürsek, noterler ve avukatlar örneğinde, kimlik numaraları isteyen herkes tarafından istenildiği şekilde kullanılabilir anlamına mı gelir? Ya da sosyal paylaşım sitesinde profiliniz kapalı diyelim. Ama profil fotoğrafınızı herkes görüyor. Fotoğrafınızı İnternet üzerinden dünyadaki 3.4 milyar insana açmış bulunuyorsunuz. Alenileştirilmemiş mi diyeceğiz? Alenileştirilmiş dersek, herkes bu fotoğrafı istediği gibi kullanabilecektir.”

Dünyada Olmayan Düzenleme Türkiye’de

Özel nitelikli kişisel veriler kategorisinde, “kişinin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafetinin” yer aldığına dikkat çeken Küzeci, “Dünyada bir ilk; hiçbir yerde hiçbir düzenlemede kılık kıyafetin özel nitelikli kişisel veri olmadığını söyleyebilirim. Fakat açıkçası tam gerekçe ya da ihtiyacı anlamakta güçlük çekiyorum çünkü burada ilk akla gelen, örneğin başörtülü kişilere ilişkin bilginin tutulması. Ama bu dini bir referans taşıdığı için zaten hassas nitelikli bilgi olacaktır dolayısıyla kılık kıyafet yazmasa da böyle bir bilgi bu kapsamda yer alacaktı. Yazılınca ne olacak? Göreceğiz ama İnternet üzerinden kıyafet satışı yapan siteler açısından çok ciddi bir sıkıntı olacak bence. Özellikle sonraki satışları açısından bir kayıt tutuyorlarsa. Çünkü kılık kıyafette herhangi bir sınır yok, her türlü kılık kıyafet hassas veri” diye konuştu.

Yaptırımlar Orantısız

Kişisel Verilerin Korunması Kanunu ile birlikte Türk Ceza Kanunu’nun ilgili hükümlerinin de yeniden düzenlenerek, yaptırımlarda kademelendirmeye gidilmesi gerektiğini anlatan Küzeci, “Bu hükümlerin tamamının yaptırımı hapis cezası olarak belirlenmiş. Bazı çok basit olaylarda hapis cezası vermek çok ağır gerçekten. Hakimlerin de vicdanı elvermiyor ama alternatifi yok. 50 milyon kişinin kişisel verilerinin İnternet üzerinden yayımlanması ile benim 5 öğrencimin aynı nitelikli bilgilerini yayınlamam aynı hüküm ile karşılaşıyor ve en fazla cezasının alt sınırı, üst sınırı arasında fark olabiliyor. Bu da ciddi bir şey değil çünkü hapis cezası” diye konuştu.

Hapis cezasının yalnız gerçek kişilere verilebileceğini, oysa verileri daha büyük oranda işleyenlerin kuruluşlar olduğuna dikkat çeken Küzeci, Avrupa’da gerçek kişiler daha sınırlı cezalandırılırken, asıl büyük kuruluşların veri koruma, işleme ve düzenlemelerine dikkat edildiğini kaydetti.

Türkiye Veri Güvenliğinde ‘Güvensiz Ülke’

Türkiye’nin veri koruması alanında “güvensiz ülke” olarak görüldüğünü; bu nedenle AB topraklarından veri paylaşımı yapılmadığını anlatan Küzeci, “Yeterli veri koruma kararı alınan ülkeler arasında kimler var, örneğin Yeni Zelanda, Arjantin, Uruguay var, ilginç gelen bir örnek. Belki ilk aşamada tahmin etmeyeceğimiz çeşitli devletler bu yeterlilik kararını aldı. En temel gerekçe bunun anayasal bir hak olmasıdır. Yaşanan sıkıntıların giderilebilmesi için AB’nin ‘Evet siz aşağı yukarı bizim kadar veri koruyorsunuz’ demesi gerekecek” dedi.