6698 SAYILI KİŞİSEL VERİLERİN KORUNMASI KANUNU ÇERÇEVESİNDE “KİŞİSEL VERİ” KAVRAMI

27.02.2018

6698 SAYILI KİŞİSEL VERİLERİN KORUNMASI KANUNU ÇERÇEVESİNDE “KİŞİSEL VERİ” KAVRAMI

 

Hatice ZÜMBÜL

Avukat

 

 

ÖZET

Avrupa’da 1970’li yılların başından itibaren birçok ulusal ve uluslararası düzenlemeye konu olan, Kişisel Verilerin Korunması Hukuku; Türkiye’nin taraf olduğu uluslararası düzenlemelerin dışında, ilk defa, 7 Nisan 2016 tarihinde yürürlüğe giren 6698 sayılı Kişisel Verilerin Korunması Kanunu ile Türk hukukunda kanuni bir enstrümanla düzenlemeye kavuşturulmuştur. “Kişisel veri”, genel olarak kabul gördüğü şekliyle, “kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi” olarak tanımlanmakla beraber, somut durum çeşitliliğinde, verinin “kişisel veri” niteliğinde olup olmadığının tespitinde zaman zaman zorluklarla karşılaşılabilmektedir. Bir verinin ancak “kişisel veri” olarak nitelendirilmesi halinde, Kişisel Verilerin Korunması Hukuku mevzuatı temelinde korumadan yararlanılabilecek olmasından (yahut tersi durumda – veri sorumluları bakımından- temel ilke ve yükümlülüklere tabi durumda kalınacak olmasından) dolayı, en başta, ilgili verinin “kişisel veri” niteliğinde olup olmadığının belirlenmesi gerekmektedir.   

Anahtar kelimeler: Kişisel Veri, Gerçek Kişi, Avrupa Adalet Divanı, Veri Sorumlusu, Belirlenebilir Olma.

 

GİRİŞ

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVVK”) 7 Nisan 2016’da yürürlüğe girmesiyle beraber, kişisel verilerin korunması konusu, Türk hukukunda, kanun ile düzenlenerek, sistematize hale getirilmiştir. Kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini koruma amacı taşıyan bu kanuni düzenleme ile, kişisel verileri işleyen ve “veri işleyen” ve/veya “veri sorumlusu” sıfatını haiz olan gerçek ve tüzel kişilerin yükümlülükleri ile işleme faaliyetinde uymaları gereken usul ve esaslar düzenlenirken, kişisel verilerin işlenmesinde uyulması gereken temel ilkeler, işleme şartları ve istisnaları, veri süjesinin hakları, veri sorumluları sicili, Kişisel Verileri Koruma Kurumunun yapısı ve işleyişi, idari para cezaları ve hukuki sorumluluk ile cezai sorumluluk konuları hükme bağlanmıştır.

KVKK’nın yürürlüğe girmesinden sonra, Kişisel Verileri Koruma Kurumu tarafından çıkarılan, (i) Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik, (ii) Kişisel Verileri Koruma Kurulu Çalışma Usul ve Esaslarına Dair Yönetmelik, (iii) Veri Sorumluları Sicili Hakkında Yönetmelik ve (iv) Kişisel Verileri Koruma Uzmanlığı Yönetmeliği ile Kişisel Verileri Koruma Kurumu tarafından yayınlanan ilke kararlar ve rehberler doğrultusunda, KVKK’nın uygulanırlığı büyük bir ölçüde somutlaştırılmıştır.

Bu çerçevede, “veri sorumlusu” sıfatını haiz kişilerin, ilgili mevzuata uyum sürecinde ve sonraki dönemde mevzuata uygun hareket edebilmek adına üzerinde durulması gereken en temel kavram şüphesiz “kişisel veri” kavramıdır.

Kişisel veri, ulusal, bölgesel ve uluslararası birçok düzenlemede, yeknesak olarak, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi olarak tanımlanmakta ve bu şekilde kabul edilmektedir. Hukuki düzenlemeler ve yargı kararları ışığında, kişisel veri, örnek olarak, şu şekilde sayılabilecektir: kişinin adı, soyadı, doğum tarihi, uyruğu, mesleği, görüntüsü, sesi, vergi numarası, mail adresi, telefon numarası, genetik bilgileri, biyometrik verileri, sosyal güvenlik numarası, bilgisayarının ip adresi vb.

 

I. KİŞİSEL VERİ KAVRAMI

Kişisel veri kavramı^[1], KVVK’nın “Tanımlar” başlıklı m.3/f.1 (ç) hükmünde; “Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi” olarak tanımlanmaktadır^[2].

Bu tanım çerçevesinde “kişisel veri” kavramının unsurları; (i) gerçek kişi, (ii) kimliği belirli veya belirlenebilir kişiyle ilgili olma ve (iii) her türlü bilgi olarak sayılabilir. 

 

1. Gerçek Kişiye Ait Bilgiler

Veri koruma hakkının, özel yaşamın gizliliği hakkı temelinde ortaya çıkan ve gelişen niteliği doğrultusunda, bu koruma sadece gerçek kişilere hasredilmiş olup, tüzel kişilere^[3] ilişkin bilgiler bu Kanun kapsamında kişisel veri olarak kabul edilmeyecek ve bu kapsamda koruma görmeyeceklerdir.

Kural bu olmakla beraber, bazen gerçek kişi adından türeyen tüzel kişi isimleri söz konusu olduğunda ya da gerçek kişi tacirlere ait ticari işletmeler söz konusu olduğunda ya da şirket e-mailinin normal olarak belli bir çalışan tarafından kullanıldığı hallerde bu verilerin kişisel veri niteliğinde olup olmadığı hususu tartışılabilir. Bu noktada, “kapsam”, “amaç” ve/veya “sonuç” kriterleri temel alınarak, her bir somut durumun özelinde değerlendirilmesi gerekecek ve bunların KVKK kapsamında koruma göreceği sonucuna varılabilecektir^[4].

Gerçek kişilerde, kişilik, çocuğun sağ olarak tamamıyla doğduğu anda başlamaktadır (4721 sayılı Türk Medeni Kanunu m.28). Bu çerçevede açıklığa kavuşturulması gereken mesele ise doğmamış çocuklara ilişkin veriler ile ölmüş kişilere ilişkin verilerin, kişisel veri olarak değerlendirilip değerlendirilemeyeceği hususudur.

Ölmüş insanlara ilişkin bilgiler, medeni hukukta ölümle birlikte hak ehliyetinin yitirilmiş olması sebebiyle, kural olarak, kişisel veri olarak nitelendirilemezler[5]. Ancak bazı durumlarda dolaylı da olsa ölmüş insanlara ilişkin bilgilerin bu çerçevede koruma görmesi gündeme gelebilecektir^[6].

Ölmüş insanlara ilişkin veriler, bazen yaşayan insanlara ilişkin bilgilere işaret edebilir. Örneğin; hemofili hastalığından ölmüş birine ilişkin bu bilgi, genetik olarak, çocuklarının da aynı hastalığı taşımakta olduğunu göstermektedir. Bu noktada, ölmüş kişiye ilişkin bu veri, diğer kişiyle ilgili olması bağlamında, kişisel veri olarak değerlendirilecek ve dolaylı olarak KVKK kapsamındaki korumadan yararlanacaktır^[7].

Yine ölmüş insanlara ilişkin verilerin, kişisel veri niteliğinde olup olmamasından bağımsız olarak, Hasta Hakları Yönetmeliği^[8] doğrultusunda hasta mahremiyeti ve hekimin sır saklama yükümlülüğü çerçevesinde gizli tutulması gündeme gelecektir[9].

Kişinin hatırasına saygı^[10] yükümlülüğü çerçevesinde de yine ölmüş kişilere ilişkin bilgilerin işlenmesinde hukuki ve cezai yaptırımlarla karşılaşılması söz konusu olabilecektir.

Bilindiği üzere, medeni hukukta kişilik doğum ile başlar ve ölüm ile sona erer. Kişi doğum ile hak ehliyetini elde eder ve hukuki anlamda kişiliği başlar. Bu çerçevede doğmamış çocuğa ait, genetik bilgiler, ultrason görüntüsü gibi bilgilerin kişisel veri niteliğinde olup olmadığına ilişkin olarak, Miras Hukuku’nda getirilen çözüme paralel şekilde, doğumla birlikte (hak ehliyetinin kazanılmasıyla) çocuğun bu veriler üzerinde hak sahibi olacağı ve bunların kişisel veri olarak nitelendirileceği, doğuma kadar ise bu verilerin yine kişisel veri olarak nitelendirilmesi ve bunların kullanımına ilişkin rızanın ebeveynler tarafından verilmesi şeklinde bir çözüm tarzının benimsenmesinin isabetli olacağı sonucuna ulaşılabilir.

 

2. Belirli veya Belirlenebilir Olma

Bir verinin, KVKK çerçevesinde korunabilmesi için bu verinin gerçek kişiye ait olması şartı aranmakla beraber, bu verinin kimliği belirli veya belirlenebilir bir kişiyle doğrudan ya da dolaylı olarak ilişkilendirebiliyor olması gerekmektedir^[11].

Bir gerçek kişiyle ilişkilendirilemeyen, sadece nesnelere ilişkin ve/veya tüzel kişilere ilişkin bilgiler, doğrudan ya da dolaylı olarak belirli bir gerçek kişiyle ilişkilendirilemedikçe kişisel veri olarak kabul edilmeyecek ve KVKK kapsamında koruma görmeyecektir^[12].

Kişinin belirlenebilirliği somut durumun özelliklerine göre farklılıklar gösterebilir. Kişi, adı ve soyadıyla ve/veya kimlik/pasaport numarasıyla doğrudan belirlenebilir olduğu gibi, içinde bulunduğu somut durumun özelliklerine göre bu kişiye ilişkin meslek bilgisi, yaş bilgisi, göz rengi verisi, boyu, ağırlığı ve sair bilgiler veya bu bilgilerin kombinasyonu da bu kişinin belirlenebilir olmasını mümkün kılan veriler olabilir^[13].

 

3. Her Türlü Bilgi

“Her türlü bilgi” kavramı, lafzından da anlaşılacağı üzere, geniş yorumlanmaya müsait bir ifadedir. Bir verinin kişisel veri olarak nitelendirilip nitelendirilmemesi noktasında, bu verinin hangi formda olduğunun herhangi bir önemi bulunmadığı gibi veri içeren ifadenin nesnelliği/öznelliği ve/veya doğruluğu/yanlışlığı ve/veya gizliliği de önem arz etmemektedir.

Verinin niteliği de “kişisel veri” tanımlamasında herhangi bir fark oluşturmamaktadır. KVKK’nın 3. maddesinin gerekçesinde, sadece bireyin adı, soyadı, doğum tarihi ve doğum yeri gibi onun kesin teşhisini sağlayan bilgilerin değil, aynı zamanda kişinin fiziki, ailevi, ekonomik, sosyal ve sair özelliklerine ilişkin bilgilerin de kişisel veri olarak kabul edileceği açıkça belirtilmiştir[14].   

 

II. KİŞİSEL VERİ KAVRAMININ DEĞERLENDİRİLMESİNDE AVRUPA ADALET DİVANI’NIN GÜNCEL KARARLARI

1. Dinamik IP Adreslerinin Kişisel Veri Olarak Korunması

Avrupa Adalet Divanı, 19 Ekim 2016 tarihli Patrick Breyer v. Almanya Kararı’nda[15], veri sorumlusunun IP adresini sahibi olduğu kişi ile ilişkilendirebilecek araçlara sahip olmadığı hallerde bile dinamik IP adreslerinin kişisel veri olarak değerlendirilmesi gerektiği sonucuna ulaşmıştır.

Alman Federal Yüksek Mahkemesi (Bundesgerichtshof), davacı Breyer’in Almanya Adalet ve Tüketicinin Korunması Bakanlığının (Bundesministerium für Justiz und Verbraucherschutz) websitesini ziyaretine ilişkin olarak IP adresinin kaydının silinmesi talebine binaen önüne gelen davada, website sahibinin/işleten, ziyaretçinin belirlenebilirliği noktasında üçüncü kişinin (somut durumda internet servis sağlayıcısının) elindeki ek veriye ihtiyaç duyması halinde IP adreslerinin kişisel veri olarak nitelendirilip nitelendirilemeyeceği hususunda Avrupa Adalet Divanının görüşüne başvurmuştur.

Avrupa Adalet Divanı, Kararı’nda, website sahibinin (somut durumda Almanya Adalet ve Tüketicinin Korunması Bakanlığının) elindeki dinamik IP adresi verisinin kişisel veri olduğunu ifade etmiştir. Bir verinin kişisel veri olarak değerlendirilebilmesi için doğrudan ya da dolaylı olarak bir kişiyle ilişkilendirilebilmesi gerekliliğine işaret eden Mahkeme, website operatörünün elindeki IP adresinin mutlak olarak kişisel veri olarak değerlendirilemeyeceğini belirterek, her bir somut durumun kendi içerisinde değerlendirilmesi gerekliliğine, bu çerçevede dinamik IP adresi ile kişisel veri sahibinin belirlenebilmesi bağlamında internet servis sağlayıcısı tarafından tutulan ilave bilgilerin birleştirilebilmesi imkanının dikkate alınması hususuna önem atfetmiştir.

 

2. Sınav Kağıdının Kişisel Veri Olarak Korunması

Avrupa Adalet Divanı, 20 Aralık 2017 tarihli Peter Nowak v. Data Protection Commissioner Kararı’nda[16], mesleki bir sınavda sınav kağıdına yazılan cevaplar kişisel veri olarak değerlendirilmiş ve kişisel verilerin korunması mevzuatı çerçevesinde kişisel veri sahibinin talebinin yerine getirilmesi gerektiği sonucuna ulaşılmıştır.

Divan, sınav kağıdının kişisel veri sayılabilmesi için dava konusu somut durumda mevcut olan iki olgu üzerinden inceleme yapmıştır. Bunlardan ilki, sınav kağıdının üzerinde yer alan kişinin adı ve kimlik bilgileri iken, ikincisi sınav kağıdına yazılan cevaplar ve sınavı değerlendiren kişinin yorumlarıdır.

Divan, Direktif metninde geçen “her türlü veri” ibaresinden yola çıkarak, sınav kağıdında yazılı olan ve gerçek kişiyle bağdaştırılabilecek olan verilerin kişisel veri olarak değerlendirilmesi gerektiği kabulünden hareketle, sınav kağıdında yer alan cevapları ve sınavı değerlendiren kişinin yorumlarını bu kapsamda değerlendirmiştir. Zira, Direktif’teki amaç, kişisel veri kavramını geniş bir perspektifte değerlendirmek olduğundan, sadece genel nitelikli kişisel veri veya özel nitelikli kişisel veriler değil; kişisel veri olma potansiyeli olan objektif ve sübjektif her türlü bilgi kişisel veri kapsamı dahilindedir. Bu nedenle, kişilerin sınav kağıdına yazmış oldukları cevaplar, kendileriyle ilgili bilgi ihtiva ettiği ve kendileriyle ilişkilendirilebildiği ölçüde kişisel veri olarak nitelendirilmelidir.

Sınavı inceleyen kişinin sorulara verilen cevaplara ilişkin yorumları da kişisel veri kapsamında değerlendirilecek olmakla beraber, sınava giren kişinin, Kişisel Verilerin Korunması Hukuku temelinde, sınav kağıdında yer alan kendisine ilişkin bilgilere ulaşması ve düzeltilmesini isteme hakkına engel teşkil etmemelidir. Zira, sınava giren kişinin, söz konusu sınav kağıdında kendisi ile ilgili yanlış bilgi teşkil eden hususların düzeltilmesinde hukuki menfaati bulunmaktadır.

 

SONUÇ

Çalışmamızın en başında da ifade edildiği üzere, Kişisel Verilerin Korunması Hukuku mevzuatı temelinde hak ve sorumlulukların belirlenebilmesi, talepte bulunulabilmesi ve mevzuata uyum çalışmalarının yerine getirilebilmesi bakımından, en başta yapılması gereken, verinin “kişisel veri” niteliğinde olup olmadığının tespit edilmesidir.

Kişisel veriler üzerindeki hakkın, özel yaşamın gizliliği hakkı temelinde ortaya çıktığı ve geliştiği dikkate alındığında, her ne kadar İtalya, Avusturya, Danimarka gibi bazı Avrupa ülkelerinde tüzel kişilere ait veriler, kişisel verilerin korunması mevzuatı kapsamında değerlendirilse de, gerek 25 Mayıs 2018 tarihinde Avrupa Birliği’nde yürürlüğe girecek olan Genel Veri Koruma Tüzüğü gerekse 7 Nisan 2016’da Türkiye’de yürürlüğe giren KVKK çerçevesinde, bu koruma sadece gerçek kişilere hasredilmiş olup, tüzel kişilere^[17] ilişkin bilgiler bu kapsamda değerlendirilmemektedir.

Bu bağlamda, gerçek kişiyle ilişkilendirilebilen her türlü bilgi; - sınırlı sayıda (numerus clausus) olmamak üzere-, vergi numarası, görüntüsü, sesi, fiziki özellikleri, genetik bilgileri, bilgisayar IP adresi, sınav kağıdındaki cevapları, sosyal medya sitelerindeki paylaşımları, somut durumun özelliklerine göre değerlendirilerek, “kişisel veri” olarak nitelendirilebilecek ve KVKK ve ilgili yasal mevzuat kapsamında öngörülen ilke ve yükümlülüklere uyulması gerekliliği ile bu mevzuat temelindeki haklardan yararlanılması imkanına sahip olunması gündeme gelecektir.