28. Kamu yönetimi, kolluk ve vergi

Kamu idaresi, bir hizmete hak kazanılıp kazanılmadığını belirlemekten denetim ve güvenliğe kadar çok farklı amaçlarla veri işler. Bu faaliyetlerin ortak özelliği kamu göreviyle ilişkili olmalarıdır; fakat aynı işleme şartına, paylaşım yetkisine veya istisnaya tabi oldukları söylenemez. Bir başvuru dosyasının oluşturulması, kaydın başka kuruma açılması, kamuya ilan edilmesi ve otomatik değerlendirmeye alınması farklı hukuki sonuçlar doğurur.

Bu bölüm, kamu gücünün veriyle ilişkisini somut işlem üzerinden ele almaktadır. Önce toplama ve paylaşma yetkilerinin sınırı, ardından şeffaflıkla kişisel verilerin korunmasının ilişkisi incelenmektedir. Kolluk ve mali faaliyetlerin özel güvenceleri, sosyal hizmet ve sicil örneklerinden ayrılarak açıklanmaktadır. Son olarak algoritmik değerlendirmelerde hak aramanın hangi veriye, sonuca ve makama yöneldiği ele alınmaktadır. Ortak ölçüt, kurumun elinde bulunan bilginin her kullanımını ayrı amacı, yetkisi ve etkisi içinde değerlendirmektir.

28.1. Kamu gücüyle veri toplama, kanuni görev ve temel hak güvenceleri

Bir kamu kurumunun görevini yerine getirmek için bilgiye ihtiyaç duyması, ilgili kişilerin bütün verilerini isteme yetkisine sahip olduğunu göstermez. Görevin varlığı, belirli bir verinin toplanması ve toplanan verinin başka amaçla kullanılması ayrı sorulardır. Örneğin bir denetimin yürütülmesi için bazı kayıtların incelenmesi gerekebilir; bundan, o kayıtlarla bağlantısı bulunmayan kişilerin bilgilerinin de dosyaya alınabileceği sonucu çıkmaz. Kamu gücüyle veri toplamanın hukuki değerlendirmesi, kurumun genel görevinden somut işlemin kapsamına doğru ilerlemelidir.

Anayasanın 20. maddesi, kişisel verilerin korunmasını isteme hakkını herkese tanır. Bilgilendirilme, verilere erişme, düzeltme veya silme talep etme ve verilerin amaçları doğrultusunda kullanılıp kullanılmadığını öğrenme de bu güvencenin içindedir. Verinin kamu kurumunda bulunması, onu anayasal korumanın dışına çıkarmaz. Aynı madde, kişisel verilerin kanunda öngörülen hâllerde veya açık rızayla işlenebileceğini ve korunmasına ilişkin esas ve usullerin kanunla düzenleneceğini belirtir. Temel hakka müdahale oluşturan kamu işlemi, 13. maddedeki kanunla sınırlama, demokratik toplum düzeninin gerekleri ve ölçülülük güvenceleriyle birlikte değerlendirilmelidir.¹

Burada kanuni bir görevin bulunmasıyla, müdahalenin kapsamının hukuk kuralından anlaşılabilmesi birbirine karıştırılmamalıdır. Kurumun hangi bilgiyi hangi işlem için isteyebileceği, talebin muhatabı ve verinin kullanımı yeterince belirlenebilir olmalıdır. Her idari ayrıntının kanun metninde tek tek sayılması gerektiği söylenemez; fakat temel yetkinin sınırını idarenin o anki tercihine bırakan genel bir görev açıklaması da bütün müdahaleleri meşrulaştırmaz. Olgunsoy, idarenin veri isteme yetkisini incelerken, görevin kişisel veri içermeyen bilgiyle sınırlı olduğunun varsayılmasını eleştirmekte ve kanunilik değerlendirmesinde güvencelerin önemini vurgulamaktadır. Bu eleştiri, kişisel verinin niteliği ile istenme amacının ayrı incelenmesini gerektirir: Bir bilginin kamu hizmetiyle ilgili olması, gerçek kişiyle ilişkisinin ortadan kalktığı anlamına gelmez.²

Kişisel Verilerin Korunması Kanununun 5. maddesinde kanunlarda açıkça öngörülme ile veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için zorunluluk ayrı şartlardır. Kamu kurumu, somut işlemin hangi hükmün sınırları içinde kaldığını göstermelidir. Kanuni görevin işlenmeden yerine getirilemeyeceği veri ile kurumun ileride yararlı olabileceğini düşündüğü veri aynı değildir. İlk şartın veya hukuki yükümlülüğün gerçekleşmesi de 4. maddedeki amaçla bağlantılılık, sınırlılık ve ölçülülük incelemesini ortadan kaldırmaz. Bu şartların genel açıklaması bölüm 8.2’dedir; kamu idaresinde önem taşıyan sonuç, kurumun görev alanının işlenecek veri kümesiyle ayrıca ilişkilendirilmesidir.³

Kurulun 3 Mart 2020 tarihli ve 2020/196 sayılı karar özeti bu ayrımı somutlaştırır. Bir kamu kurumundaki idari soruşturma sırasında internet haberinin altındaki bütün kullanıcı yorumları ve IP adresleri istenmiş, şirket bunları aktarmıştır. Kurul, denetim için gerekli bilgi ve belgelerin istenmesini kanunda açıkça öngörülme, şirketin aktarmasını ise hukuki yükümlülük şartı kapsamında değerlendirmiştir. Buna rağmen soruşturma konusu olmayan üçüncü kişilerin verilerinin de gönderilmesini ölçülülük ilkesine aykırı bulmuştur. Kamu kurumuna da ilgisiz verilerin silinmesi veya yok edilmesi yönünde talimat verilmiştir. Demek ki bir talebin yetkili makamdan gelmesi, talebin kapsadığı bütün kişilere ve kayıtlara aynı hukuki sonucu bağlamaz.⁴

Bunun karşısındaki güçlü gerekçe, kamu hizmetinin verisiz yürütülememesidir. Denetim, hizmet planlaması ve hak sahipliğinin belirlenmesi için bazı bilgilerin rıza aranmadan işlenmesi gerekebilir. Her zorunlu kamu işlemini rızaya bağlamak, kanuni ödevin yerine getirilmesini kişinin tercihine bırakabilir; buna karşılık mecburi bir işlemi gönüllü onay gibi sunmak da açık rızanın işlevini bozar. Olgunsoy da kamu hizmetiyle bağlantılı veri ihtiyacını kabul ederken, meşru amaç ile kanunilik ve ölçülülüğün aynı inceleme olmadığını belirtmektedir. Dolayısıyla sorun, idarenin hiç veri toplamaması değil, hangi veriye neden ihtiyaç duyduğunu ve bu ihtiyacın sınırını gösterebilmesidir.⁵

Kamu kurumları için istisnalar da kurumun adına bakılarak uygulanamaz. Kanunun 28. maddesinin birinci fıkrasındaki belirli faaliyetlerin kapsam dışında bırakılması ile ikinci fıkrada yalnız bazı hükümlerin uygulanmaması farklıdır. Özellikle ikinci fıkra, Kanunun amacı ve temel ilkeleriyle uyum ve orantılılık koşulunu korur; denetleme veya düzenleme görevinin kanuni yetkiye dayanması ve işlemenin bu görev için gerekli olması ayrıca aranır. Bu nedenle “kamu kurumu olduğumuz için Kanun uygulanmaz” açıklaması yeterli değildir. İstisnanın hangi faaliyet ve hangi yükümlülük bakımından ileri sürüldüğü belirlenmelidir; kolluk ve mali menfaat istisnaları bölüm 28.4–28.5’te ayrıca ele alınacaktır.⁶

Toplama yetkisinin kullanımı, dosyanın oluşturulmasıyla da sona ermez. Kayıtların doğruluğu, saklama süresi, görevi olmayan personelin erişiminin önlenmesi ve hukuki sebebi bulunmayan sonraki kullanımların engellenmesi gerekir. Bir bilginin işlem dosyasında bulunması, internetten yayımlanmasına veya başka kurumun bütün çalışanlarına açılmasına kendiliğinden izin vermez. Somut işlem değerlendirilirken yetki hükmünün yanında veri kategorisi, kullanım amacı, erişecek kişiler ve saklamanın gerekçesi de gösterilmelidir. Böylece kanuni görevin yerine getirilmesi ile temel hak güvenceleri aynı işlem üzerinde birlikte denetlenebilir.⁷

28.2. Kurumlar arası veri paylaşımı, merkezî kayıtlar ve erişim yetkileri

Bir kamu kurumundaki kaydın başka bir kamu hizmetinde kullanılabilmesi, vatandaştan aynı belgenin tekrar istenmesini önleyebilir. Bununla birlikte kaydın ortak bir sistemde bulunması, bütün kurumların ve bütün kamu görevlilerinin onu inceleyebilmesine genel izin vermez. İnceleme, veriyi tutan kurumun paylaşım yetkisi, bilgiyi alan kurumun kullanım amacı ve sorgulamayı yapan personelin görevi üzerinde ayrı ayrı yürütülmelidir. Dosya gönderilmesi ile başka kuruma ekrandan erişim açılması arasındaki teknik fark, yeni bir aktörün kişisel veriyi elde edebilmesi sorununu ortadan kaldırmaz.⁸

Paylaşımın taraflarını belirlemek bu nedenle önemlidir. Aynı veri sorumlusunun birimleri arasındaki kullanım ile bağımsız başka bir veri sorumlusuna açıklama aynı hukuki ilişki değildir; bölüm 12.1’deki ayrım kamu örgütlenmesi bakımından da gözetilmelidir. Buna karşılık her iki durumda amaçla bağlantılılık ve hukuka aykırı erişimin önlenmesi gerekir. Ayrı bir kuruma aktarım söz konusuysa 8. maddenin şartları ayrıca değerlendirilir. Her paylaşımda mutlaka yeni bir rıza gerektiği söylenemez; kanuni yükümlülük veya başka bir işleme şartı somut paylaşımı da kapsayabilir. Fakat bilginin ilk kurumda hukuka uygun toplanmış olması, alıcının kendi göreviyle ilgisiz kullanımını haklı kılmaz.⁹

Merkezî kayıt düzeninin hukuki mantığı, Kimlik Paylaşımı Sistemine ilişkin kanuni düzenlemede de görülebilir. 7039 sayılı Kanunla 2017’de yeniden düzenlenen 5490 sayılı Kanunun 45. maddesi, veri paylaşımından yararlanacaklar ile paylaşımın kapsam ve yönteminin belirlenmesini öngörmüş; alınan bilginin tanımlanmış hizmet dışında kullanılmasını sınırlandırmıştır. Böylece sisteme bağlanabilme ile belirli bilgiyi belirli işlemde kullanabilme ayrı tutulmuştur. Bu yapıdan çıkarılacak genel sonuç, bir kurumun sisteme kabul edilmesinin her kişi hakkında ve her amaçla sorgulama yapabilmesine eşit olmadığıdır. Hangi kamu kaydı söz konusuysa, ona ilişkin özel kanuni yetki ve sınırlamalar ayrıca incelenmelidir.¹⁰

Kurumlar arasında yapılan protokol de bu ilişkinin yerini almaz. Protokolde paylaşımın amacı, veri alanları, erişecek birimler, sorumluluklar ve denetim usulü belirlenebilir; fakat tarafların anlaşması, kanunun vermediği bir müdahale yetkisini kendiliğinden oluşturamaz. Aynı şekilde protokolde “kurumsal ihtiyaçlar” gibi genel bir ifadenin bulunması, bütün kayıtların sürekli açılmasını açıklamaz. Hizmet için gereken belirli bir bilginin doğrulanmasıyla kişinin bütün dosyasının alınması arasında kapsam farkı vardır. Örneğin varsayımsal bir başvuruda yalnız yerleşim yerinin belirlenmesi gerekiyorsa, başka aile fertlerine ilişkin kayıtların neden erişime açıldığı ayrıca gösterilmelidir. Bu, bütün kamu sistemlerinin aynı veri alanını vermesi gerektiği anlamına gelmez; somut hizmetin gerekli kıldığı bilgi sınırının kurulmasıdır.¹¹

Kurulun 11 Mart 2021 tarihli ve 2021/230 sayılı karar özeti, kurumsal erişim ile kişisel kullanım ayrımını somutlaştırır. Olayda kamu personelinin, erişebildiği portal üzerinden eşine ait maaş bilgisini sorgulaması ve mahkemeyle paylaşması incelenmiştir. Kurul, kurumun hizmeti bakımından sorgulamanın hukuki yükümlülük şartına dayanabildiğini kabul etmiş; buna karşılık somut işlemi görev ve tanımlanmış hizmet dışında değerlendirmiştir. İşleme şartı ve ölçülülük ihlaliyle birlikte veri güvenliği yükümlülüğüne aykırılık saptanmış, personel hakkında disiplin işlemi ve amaç dışı erişimi önleyecek tedbirler için kurum talimatlandırılmıştır. Bu karar, sisteme giriş yetkisinin bulunmasının her sorgulamayı meşrulaştırmadığını gösterir.¹²

Bu nedenle erişim yetkisi yalnız kullanıcının kimliğine değil, hangi görev için hangi kayda ulaşacağına da bağlanmalıdır. Kurulun 2018/63 sayılı ilke kararı, görevi nedeniyle veriye erişebilen personelin kişisel amaçlarla yetkisini aşmasını veya kötüye kullanmasını önleyecek teknik ve idari tedbirlerin alınmasını ister. Olgunsoy da idari veri tabanına kimlerin erişebileceğinin ve kullanım usullerinin belirlenmesini, demokratik toplum düzeninde gerekli güvenceler arasında ele almaktadır. Kamu hizmetinin bütün birimlere yayılması, personelin görevleri arasındaki farklılığı ortadan kaldırmaz. Görev değiştiğinde erişimin yeniden değerlendirilmesi, kurumun kâğıt üzerindeki yetkilendirmesiyle fiilî kullanımın birbirinden kopmasını önlemeye hizmet eder.¹³

Buna karşı ileri sürülebilecek güçlü gerekçe, birbiriyle bağlantılı kamu hizmetlerinin her kayıt talebinde ayrı yazışmayla yürütülememesidir. Ortak kayıtlar hizmeti hızlandırabilir ve kişinin farklı kurumlar arasında belge taşıma yükünü azaltabilir. Nitekim 2017 düzenlemesi, sistem üzerinden erişilebilen belirli belgelerin yeniden kişiden istenmemesini de öngörmüştür. Ancak bu yarar, sorgulamanın amaç ve kişi kapsamını belirsiz bırakmayı gerektirmez. Yılmaz ve Çakmak’ın dijital kamu yönetimine ilişkin çalışmasında vurguladıkları hesap verebilirlik ve gözetim arasındaki ayrım da bu noktada anlam kazanır: hizmetin dijitalleşmesiyle kamu otoritesinin kullanımının denetlenebilir olması birlikte düşünülmelidir. Etkinlik gerekçesi, sınırlı ve denetlenebilir erişimin nasıl kurulacağını açıklamalıdır.¹⁴

Denetlenebilirlik bakımından, sorgulamayı yapan kullanıcıyı, işlem zamanını ve ilgili hizmeti ilişkilendiren kayıtlar yararlı bir araçtır. Böyle bir kayıt düzeninin tasarlanması, 12. maddedeki gerekli denetim ve güvenlik ödevini somutlaştırabilir; her kamu sistemi için aynı kayıt alanı veya tek saklama süresi bulunduğu anlamına gelmez. Kayıt tutulması da amaç dışı erişimi kendiliğinden hukuka uygun hâle getirmez. Erişim baştan gerektiği ölçüde sınırlandırılmalı, sonradan yapılacak kontrol bu sınırın uygulanıp uygulanmadığını gösterebilmelidir. Kayıtların kendileri de kişisel veri içerebildiğinden gereksiz veri toplamaya dönüşmemelidir. Teknik tedbirlerin ortak açıklaması bölüm 15.3’tedir.¹⁵

Son olarak, ortak sistemden elde edilen bilginin doğruluğu ile o bilgiden çıkarılacak idari sonuç ayrılmalıdır. Bir kayıt belirli tarihteki durumu gösterebilir; daha sonra değişmiş bir bilginin eski kopyasından işlem yapılması ayrı bir hata yaratabilir. Kanunun doğruluk ve gerektiğinde güncellik ilkesi ile düzeltmenin alıcılara bildirilmesini isteme hakkı, paylaşım sonrasında da anlam taşır. Uygulanabilir istisnalar saklı kalmak üzere, kurumlar arasındaki akışın hangi kaynaktan, hangi amaçla ve hangi tarihte gerçekleştiğinin belirlenebilmesi bu hatanın giderilmesini kolaylaştırır. Ortak kayıt, kurumun somut işlem ve kişi bakımından değerlendirme yapma sorumluluğunu ortadan kaldırmaz.¹⁶

28.3. Şeffaflık, bilgi edinme, açık veri ve internet ilanları

Bir belediyenin harcama kararını bilgi isteyen kişiye vermesi, kararın bütün eklerini internet sitesine yüklemesi ve aynı kayıtları indirilebilir bir veri kümesi olarak yeniden kullanıma açması farklı açıklama biçimleridir. İlkinde belirli bir başvuruya cevap verilir; ikincisinde belirsiz sayıdaki kişinin erişimi sağlanır; üçüncüsünde verilerin başka verilerle birleştirilerek tekrar kullanılması da kolaylaştırılır. Bu nedenle “şeffaflık” sözcüğü, açıklanacak bilgi, muhatap ve kullanım biçimi belirlenmeden tek başına yeterli bir hukuki gerekçe oluşturmaz.

Bilgi edinme hakkı ile kişisel verilerin korunması hakkı arasında her durumda karşıtlık yoktur. Anayasanın 74. maddesi bilgi edinme hakkını, 20. maddesi ise kişinin kendi verilerine erişimini de kapsayan korumayı güvenceye alır. Kişinin kendisi hakkında yürütülen işlemin dayanaklarını öğrenmesi, her iki hakkın birlikte işlemesini sağlayabilir. Kamu faaliyetlerinin açıklığı bakımından da 4982 sayılı Kanunun amacı ve 5. maddesindeki bilgi verme yükümlülüğü başlangıç noktasıdır. İstisnalar dışındaki bilgi ve belgelerin başvurana sunulması, idarenin serbestçe tercih edebileceği bir yardım değildir.¹⁷

Buna karşılık başkasının verilerini içeren bir belge talep edildiğinde, belgenin kişisel veri taşımasıyla bilgi edinme kapsamı dışında kalması aynı şey değildir. 4982 sayılı Kanunun 21. maddesi, özel hayatın gizliliği kapsamında açıklanması hâlinde kişinin sağlık bilgilerine, özel ve aile hayatına, şeref ve haysiyetine, mesleki ve ekonomik değerlerine haksız müdahale oluşturacak bilgi veya belgeleri kapsam dışında bırakır; kişinin izin verdiği hâlleri saklı tutar. Maddenin kamu yararı bakımından getirdiği açıklama imkânı da koşulsuz değildir: ilgili kişiye en az yedi gün önceden haber verilmesi ve yazılı rızasının alınması aranır. Dolayısıyla yalnız “kamu yararı vardır” denilerek bu koşullar yok sayılamaz.¹⁸

Belgede açıklanabilir bilgilerle gizli kalması gereken bilgiler birlikte bulunuyorsa, Kanunun 9. maddesi bunların ayrılabildiği durumlarda gizli kısım çıkarılarak kalan bilginin verilmesini öngörür. Ayırmanın gerekçesi de başvurana bildirilir. Bu hüküm, kişisel veri gerekçesiyle belgenin tamamını reddetme kolaycılığına karşı önem taşır. Gündüz ve Yazıcıoğlu, kişisel bilgiler kapatıldığında bilgi edinme amacına ulaşılabiliyorsa bu yöntemin kullanılmasını; kapatma hakkın kullanılmasını anlamsızlaştırıyorsa bir hakkın tesisi, kullanılması veya korunması için zorunluluk şartının ayrıca değerlendirilmesini savunmaktadır. Bu görüş, her merakı bir hak arama ihtiyacı sayan veya 21. maddedeki özel sınırlamayı kendiliğinden kaldıran genel bir izin olarak okunmamalıdır. Hangi hakkın korunacağı ve hangi bilginin bunun için zorunlu olduğu somutlaştırılmalıdır.¹⁹

İlgili kişinin kendi dosyasına erişim talebi de üçüncü kişinin başkasına ait bilgileri istemesinden ayrılmalıdır. Evren’in yedek jüri raporlarına ilişkin incelemesi, gizliliğin idarenin denetimden kaçınma aracına dönüşmemesi gerektiğini güçlü biçimde ortaya koymaktadır. Bu eleştiri, başvuranın kendi değerlendirmesini öğrenmesiyle raporu bütün kamuya açmanın aynı işlem olmadığını hatırlatır. Örneğin kişinin kendisi hakkında düzenlenmiş bir değerlendirme raporuna ulaşabilmesi, rapordaki başka kişilere ait bütün bilgilerin internette yayımlanmasını gerektirmez. İlgili kişi erişimi ve bilgi edinme yollarının kendi koşulları içinde işletilmesi, genel yayın yetkisiyle karıştırılmamalıdır.²⁰

İnternet ilanında ise kurum, başvurana cevap vermenin ötesinde bir erişim alanı yaratır. Kurumun, Kurulun 1 Temmuz 2026 tarihli ve 2026/1301 sayılı ilke kararına ilişkin açıklaması; kamu tüzel kişilerinin internet paylaşımlarında geçerli işleme şartını, asgari veri kapsamını ve yayında kalma süresini birlikte değerlendirmelerini istemektedir. Mevcut içeriklerin gözden geçirilmesi de bu yaklaşımın parçasıdır. Açıklamadaki güvenli kişisel sonuç erişimi tercihi, somut olayın niteliği ve mümkün olduğu ölçü kaydıyla ifade edilmiştir; her kamu ilanını yasaklayan veya tek bir teknik yöntemi zorunlu kılan kural değildir. Bölüm 12.7’deki genel ayrımın kamu idaresindeki sonucu, ilan edilmesi gereken hususlarla belgenin bütün içeriğinin aynı kapsam sayılmamasıdır.²¹

Açık veri yaklaşımı bu incelemeye yeniden kullanım boyutunu ekler. Yıldırım ve Cömert, açık veriyi yalnız ekranda görülebilen bilgi olarak ele almaz; indirilebilirlik, makine tarafından okunabilirlik, yeniden kullanım ve dağıtım ile erişim koşullarını birlikte değerlendirir. Böyle bir veri kümesi, kamu kaynaklarının kullanımını karşılaştırmayı ve yeni uygulamalar geliştirmeyi kolaylaştırabilir. Fakat bu yarar, kişisel verilerin açıklanmasına ilişkin şartları ortadan kaldırmaz. Kurumun elindeki her kaydı “açık veri” olarak adlandırması, kayıtların kişilerle ilişkisinin veya onları koruyan kuralların sona erdiği anlamına gelmez.²²

Yeniden kullanımı düzenleyen lisans ile kişisel veriyi açıklama yetkisi de ayrıdır. Örneğin Creative Commons Atıf 4.0 lisansı, telif ve benzeri haklara ilişkin izinleri düzenlerken mahremiyet ve benzeri kişilik haklarını aynı lisans kapsamına almaz; lisans verenin kendi hakları bakımından sınırlı feragat açıklaması da üçüncü kişilerin hakları üzerinde tasarruf yetkisi yaratmaz. Bu nedenle veri kümesindeki kişisel bilgilerin işlenmesi, yalnız açık lisans bulunduğu ileri sürülerek gerekçelendirilemez. Lisans, kurumun açıklayabileceği verinin yeniden kullanım koşullarını düzenleyebilir; açıklamaya engel bir kişisel veri sorununu tek başına çözmez.²³

Anonimleştirme, açık veriyle veri korumayı birlikte gerçekleştirebilecek araçlardan biridir; ancak yalnız adların silinmesine indirgenemez. Küçük bir yerleşim yerinde yaş, görev, tarih veya olay bilgileri bir araya geldiğinde kişi anlaşılabiliyorsa veri kişisel niteliğini koruyabilir. Aynı nedenle birbirinden ayrı yayımlanan tabloların birlikte kullanılması da değerlendirilmelidir. Örneğin kamu hizmetinin maliyetini gösteren toplulaştırılmış bir veri kümesiyle belirli kişinin hizmetten yararlanma kaydı aynı açıklama ihtiyacını karşılamaz. Hangi ayrıntının kamu faaliyetini denetlemek için gerekli olduğu, hangisinin kişiyi tanınır kıldığı belirlenmelidir. Anonimleştirme ile maskelemenin kavramsal ve uygulamalı sınırları bölüm 2.6 ve 14.5’te açıklanan ölçütlere tabidir.²⁴

Şeffaflığın sürekliliği de bütün kişisel kayıtların internette süresiz kalmasını gerektirmez. Bir işlemin hukuka uygunluğunun sonradan denetlenebilmesi için belgenin kurum arşivinde korunması gerekebilir; buna karşılık aynı belgenin kişisel veri içeren nüshasının kamuya açık tutulması ayrı bir amaca ve gerekçeye ihtiyaç duyar. Yayının amacı sona erdiğinde kamuya açık nüsha kaldırılabilir veya gerekli ölçüde dönüştürülebilir; kanuni saklama yükümlülüğü ayrıca gözetilir. İdarenin bilgi talebini reddetmesi hâlinde de yalnız “KVKK” sözcüğünü yazması yeterli değildir. Uygulanacak istisna, ayırarak bilgi vermenin mümkün olup olmadığı ve başvuru yolları açıklanmalıdır. Böylece açıklık ile koruma arasındaki tercih, soyut iki ilkenin adıyla değil, somut belgenin içeriği ve açıklama biçiminin gerekçesiyle denetlenebilir.²⁵

28.4. Kolluk, istihbarat, güvenlik soruşturması ve istisnaların sınırları

Bir kolluk biriminin suçu önlemek için yürüttüğü çalışma, aynı birimdeki personelin ücret kaydı ve kamu görevine alınacak kişi hakkında yapılan güvenlik soruşturması aynı veri işleme faaliyeti değildir. Kurumun güvenlik görevi, bütün kayıtlarını aynı istisnaya sokmaz. İnceleme, veriyi hangi makamın hangi yetkiyle, hangi faaliyet için ve hangi aşamada kullandığı üzerinde yapılmalıdır. Aksi hâlde bir istisnanın varlığı, o istisnayla ilgisi bulunmayan işlemlere de taşınmış olur.

6698 sayılı Kanunun 28. maddesinin birinci fıkrasının (ç) bendi, sayılan güvenlik amaçlarına yönelik olarak kanunla görev ve yetki verilmiş kamu kurum ve kuruluşlarının önleyici, koruyucu ve istihbari faaliyetleri kapsamındaki işlemeyi Kanunun uygulaması dışında bırakır. Burada amaç, kanuni görev ve yetki ile faaliyetin niteliği birlikte aranır. Örneğin özel bir işletmenin kendisini koruma ihtiyacı, onu bu bentteki kamu kurumu hâline getirmez. Aynı şekilde kamu kurumunun rutin personel işlemi de yalnız kurumun görev alanı nedeniyle istihbari faaliyet sayılamaz. Kapsam istisnası, verinin hangi yöntemle elde edilebileceğini belirleyen özel kanuni yetkinin yerine geçmez.²⁶

Suçun önlenmesi veya soruşturulması için gerekli işleme ise ikinci fıkranın (a) bendinde farklı sonuçla düzenlenmiştir. Bu fıkra bütün Kanunu kaldırmaz; 10. maddedeki aydınlatma, 11. maddedeki ilgili kişi hakları ve 16. maddedeki sicil yükümlülüklerini belirtilen koşullarla devre dışı bırakır. Zararın giderilmesini talep etme hakkı saklıdır. Kanunun amacı ve temel ilkeleriyle uyum ve orantılılık da aranır. Bu nedenle suç soruşturmasına yardımcı olunduğunu söylemek, veri güvenliği veya ölçülülüğün artık önem taşımadığı anlamına gelmez. Yargı makamları ile infaz mercilerinin birinci fıkranın (d) bendindeki işlemleri ayrıca ayrılmalıdır; bütün soruşturma işlemlerinin aynı aktörce yapıldığı varsayılamaz.²⁷

Güvenlik faaliyetinde kişiye bütün araştırmanın önceden açıklanması, kaynağın veya yöntemin açığa çıkmasına ve faaliyetin etkisizleşmesine yol açabilir. İstisnanın dayandığı güçlü gerekçe budur. Bununla birlikte gizlilik ihtiyacı, sınırsız veri toplama ve her bilgiyi süresiz kullanma sonucunu taşımaz. Atlı, güvenlik amaçlı işlemenin imkânını kabul ederken özel kanuni yetki ve anayasal sınırları vurgular; kamusal çıkarın ve istisnanın dar yorumlanması gerektiğini belirtir. Genel veri koruma rejiminin belirli faaliyete uygulanmamasıyla Anayasanın 13. ve 20. maddelerindeki güvencelerin kalkması farklıdır. Hangi denetim ve başvuru yolunun kullanılacağı somut özel rejime göre belirlenir; bütün KVKK mekanizmalarının istisna içinde aynen sürdüğü de ileri sürülemez.²⁸

Kamu görevine girişteki güvenlik soruşturması bu ayrımları ayrıca görünür kılar. 7315 sayılı Kanun, arşiv araştırmasıyla güvenlik soruşturmasını birbirinden ayırır. İlki kanunda sayılan hususların mevcut kayıtlardan tespitine dayanırken ikincisi, ek araştırma konularını ve göreve yansıyacak hususların yerinden araştırılmasını içerir. Her kamu görevine başvuran hakkında aynı kapsamda güvenlik soruşturması yapılacağı sonucu çıkarılamaz; 3. maddedeki kişi ve görev kapsamı ayrıca incelenmelidir. Bilgiyi araştıran birim ile verileri atamaya esas olmak üzere değerlendiren komisyonun işlevi de aynı değildir.²⁹

Bu özel düzenleme, verinin yalnız güvenlik amacıyla toplandığını belirtmekle yetinmez. 8. madde, doğruluk ve güncellik ile amaçla bağlantılı, sınırlı ve ölçülü kullanım şartlarını koyar; 6698 sayılı Kanunun 4. maddesindeki genel ilkelere aykırı hareket edilemeyeceğini ayrıca belirtir. İstihbari faaliyete konu olmayan kişisel veriler bakımından bilgilendirilme, erişim, düzeltme ve silme taleplerine ilişkin tedbirler öngörülür. Buna karşılık maddede sayılan güvenlik amaçlarıyla ilgili istihbarat faaliyetlerinden elde edilen bilgilerin kişiye verilmesi yasaklanmıştır. Bütün dosyanın tek bir “gizli” etiketiyle ele alınması, kanunun bu ayrımını açıklamaz.³⁰

Bilginin karar bakımından değeri de kayda alınmış olmasından ayrı incelenmelidir. Kanunun 7. maddesi, değerlendirmeye iletilecek veriyi yorum içermeyen olgusal veri olarak belirler; komisyonun nesnel ve gerekçeli değerlendirmesini yazılı sunmasını ve mahkemenin istemesi hâlinde bilgilerin verilmesini öngörür. Kılıç, 2026 tarihli incelemesinde, araştırılabilecek olgunun görevin gerektirdiği niteliklerle ilişkilendirilmesinin, göreve uygunluk değerlendirmesinin bütün ölçütlerini kendiliğinden belirlemeye yetmediğini savunmaktadır. Bu eleştiri, veri toplama sınırı ile veriden kişi aleyhine sonuç çıkarma sınırının ayrı gerekçelendirilmesi gerektiğini gösterir. Bir kaydın doğru olması, o kayıttan çıkarılan her göreve uygunluk sonucunun da doğru olduğunu kanıtlamaz.³¹

Gizlilik ve güvenlik ödevleri araştırma yapan birimi de bağlar. 6. madde, yetkilendirilmiş personelin hukuka aykırı sorgulamasını, kayıt izlerini değiştirmesini veya silmesini ve elde edilen bilgileri yetkisiz biçimde paylaşmasını yasaklar. 9. madde de güvenlik tedbirleriyle bilmesi gerekenler dışındaki kişilere açıklamama ve amaç dışında işlememe veya aktarmama kurallarını getirir. Örneğin varsayımsal bir güvenlik araştırmasında edinilen bilginin, görev dışı bir kişisel anlaşmazlıkta kullanılması başlangıçtaki araştırma yetkisiyle açıklanamaz. Bilginin kurum içinde kalması da her personelin onu kullanabileceğini göstermez.³²

Saklama konusunda ise verinin bulunduğu yer önemlidir. 10. madde, değerlendirme komisyonundaki verilerin işleme amacı ortadan kalktığında veya her durumda iki yıl sonunda silinip yok edilmesini; araştırmayı yapan birimlerdeki istihbari faaliyete konu olmayan veriler için de iki yıllık süreyi düzenler. İşleme karşı dava açıldığında karar kesinleşmeden silme ve yok etme yapılmaz. Bu hükümlerden bütün istihbarat kayıtlarının iki yıl sonunda zorunlu olarak silineceği veya dava açılmasıyla kayıtların her amaçla kullanılabileceği sonucu çıkmaz. Gizliliğin, saklamanın ve yargısal denetim için korumanın farklı işlevleri vardır. Somut olayda istisnayı belirlemek kadar, kalan özel güvencenin hangi veriye ve hangi aşamaya uygulandığını göstermek de gerekir.³³

28.5. Vergi mahremiyeti, mali menfaat istisnası ve mükellef hakları

Vergi idaresinin bir beyannamedeki geliri incelemesi, bu bilgiyi başka bir kamu kurumuna vermesi ve mükellefin borcunu internetten açıklaması farklı işlemlerdir. Gelirin doğru vergilendirilmesi için bilgiye ihtiyaç duyulması, eldeki bütün bilgilerin her amaçla açıklanabileceğini göstermez. Vergi mahremiyeti hangi bilginin kimden korunacağını; veri koruma hukuku ise kişisel bilginin toplanmasından sonraki kullanımlarına kadar hangi şartlarla işlenebileceğini belirler. Somut olayda her iki soru da cevaplanmalıdır.

Vergi Usul Kanununun 5. maddesi, görev dolayısıyla öğrenilen sırları ve gizli kalması gereken diğer hususları korur. Yasak yalnız gelirin veya borcun tutarına ilişkin değildir; mükellefin ve mükellefle ilgili kimselerin şahısları, işlem ve hesap durumları, işleri, işletmeleri, servetleri ve meslekleriyle ilgili bilgileri de kapsayabilir. Vergi işlemleri ve incelemeleriyle uğraşan memurlar, vergi yargısında görevli olanlar, vergi kanunlarına göre kurulan komisyonlara katılanlar ve vergi işlerinde kullanılan bilirkişiler maddede sayılmıştır. Bu kişiler bilgiyi açıklayamayacakları gibi kendilerinin veya üçüncü kişilerin yararına da kullanamazlar. Görevden ayrılmak yasağı sona erdirmez.³⁴

Vergi mahremiyetinin kapsamı, kişisel veri kavramıyla bütünüyle örtüşmez. Bir şirketin kendi ticari ve mali sırrı vergi mahremiyetiyle korunabilir; 6698 sayılı Kanunun kişisel veri tanımı ise kimliği belirli veya belirlenebilir gerçek kişiyi esas alır. Şirketin dosyasında temsilcinin, çalışanın veya iş yaptığı kişinin bilgileri bulunuyorsa bunlar ayrıca kişisel veri olabilir. Durdu’nun incelemesi de vergi mahremiyetinden yararlananlar ile genel veri koruma rejiminin kapsamındaki kişilerin aynı olmadığını ortaya koyar. Bu nedenle dosyanın şirket adına açılmış olması, içindeki bütün bilgilerin kişisel veri niteliğini ortadan kaldırmaz.³⁵

Devletin mali çıkarı da genel bir muafiyet gerekçesi değildir. 6698 sayılı Kanunun 28. maddesinin ikinci fıkrasının (ç) bendi, bütçe, vergi ve mali konularda Devletin ekonomik ve mali çıkarlarının korunması için gerekli işlemeyi belirli yükümlülüklerden istisna tutar. Kanunun amacına ve temel ilkelerine uygunluk ve orantılılık şartları saklıdır. Bu koşullarda 10. maddedeki aydınlatma, 11. maddedeki haklar ve 16. maddedeki sicil yükümlülükleri uygulanmaz; zararın giderilmesini talep etme hakkı korunur. Bütün Kanunun kaldırıldığı söylenemeyeceği gibi, istisnanın vergi sırrını açıklamak için bağımsız yetki verdiği de söylenemez. Ekonomik güvenliğe yönelik belirli faaliyetler için düzenlenen tam istisna ile bu kısmi istisnanın sonuçları karıştırılmamalıdır.³⁶

Kurulun 13 Şubat 2020 tarihli ve 2020/120 sayılı karar özeti, vergi denetiminde kapsamın nasıl somutlaştırıldığını gösterir. Şirketle ilgili incelemede, şirketi temsile yetkili kişilerin belirli banka hesaplarının araştırılması değerlendirilmiştir. Kurul, bütün çalışanların verilerinin değil, temsil yetkisi bulunan kişilerin şirketin çek ödemelerinde kullanılan banka hesaplarıyla sınırlı verilerinin işlenmesini ölçülü bulmuştur. Özette hukuki yükümlülük şartı yanında denetleme görevine ilişkin 28/2-c uygulanmıştır; bu, mali çıkar bendinden ayrı bir dayanaktır. Dolayısıyla karar, vergi idaresine herkesin bütün hesaplarını inceleme izni olarak okunamaz. Kişi, işlem ve hesap arasındaki bağlantı sonucu belirlemektedir.³⁷

Bilginin başka bir kuruma verilmesinde ise alıcının ihtiyacı ve açıklamanın dayanağı ayrıca belirlenir. Vergi Usul Kanununun 5. maddesi, ilgili kanunları uyarınca mükelleften istenebilen, kurumun göreviyle doğrudan ilgili, görevin yerine getirilmesi için zorunluluk ve süreklilik taşıyan bilgilerin kamu kurum ve kuruluşlarına verilmesini mahremiyet ihlali saymaz. Bilgiyi alanların sır saklama yasaklarına uyması ve koruyucu tedbirleri alması da öngörülmüştür. Bu yapı, bilginin kurumlar arasında aktarılmasıyla gizliliğinin kendiliğinden sona ermediğini gösterir. Mükellefin bütün dosyasının aktarılmasıyla, belirli hizmet için gereken bilginin verilmesi aynı kapsam değildir; bölüm 28.2’deki erişim ayrımı burada özel hükmün koşullarıyla birlikte uygulanır.³⁸

Kamuya açıklama farklı bir erişim çevresi yaratır. Kanunun 5. maddesi, vergi tarhına esas beyanlar, kesinleşen vergi ve cezalar ile vadesi geçtiği hâlde ödenmemiş tutarlar için açıklama yetkisi düzenler. Yetkinin belirli bilgi ve usullerle kurulması, tahsilat amacının bütün kayıtları açıklamaya yetmediğini gösterir. Açıklamanın mükellef üzerinde ödeme ve gönüllü uyum baskısı yaratabileceği kamu yararı gerekçesidir; buna karşılık damgalama ve kişilik hakkı üzerindeki etkisi de değerlendirilmelidir. Durdu, borçlu listelerinin aşağılayıcı bir adla sunulmasını eleştirir. Nitekim kanun da açıklanan bilgiler kullanılarak mükellefin haysiyet, şeref ve haklarına saldırılmasını yasaklamaktadır. Borcun duyurulmasıyla kişinin suç işlemiş olduğunun ilanı aynı şey değildir.³⁹

Bu açıklamalara karşı korunma meselesi, yalnız verinin gizli olup olmadığıyla çözülemez. Akdemir’in 2026 tarihli çalışması, listeyi açıklama işlemiyle listedeki vergi ve ceza işlemlerinin yargısal değerlendirmesini ayırmakta; açıklamaların haklar üzerindeki etkisini ve hukuki korunma ihtiyacını tartışmaktadır. Bu ayrım, bir listede adın bulunmasından hareketle borcun bütün yönleriyle kesinleştiği veya kişinin hiçbir başvuru yolu bulunmadığı sonucuna gidilmesini önler. Somut talebin açıklamaya mı, borcu doğuran işleme mi yoksa hukuka aykırı veri kullanımına mı yöneldiği belirlenmelidir. Her talebin yetkili mercii, süresi ve koşulları kendi düzenlemesi içinde incelenir.⁴⁰

Mükellefin işlem hakkında bilgi edinmesi de kamuya açıklamayla özdeş değildir. Vergi Usul Kanununun 35. maddesi ihbarnamede tarh sebebi ile dava açma süresi ve şekline yer verilmesini; 366. maddesi ise ceza ihbarnamesinde olayın ve mevcut delillerin açıklanmasını ve belirtilen belgelerin eklenmesini düzenler. 6698 sayılı Kanundaki belirli bir hakkın istisna tutulması, bu farklı usul güvencelerini kendiliğinden kaldırmaz. Üçüncü kişinin sırrının korunmasıyla mükellefin kendisine yöneltilen işlemi anlayabilmesi birlikte ele alınmalıdır. Vergi sırrı, kendi başına bütün savunma malzemesinin ilgiliden saklanmasını açıklayan bir gerekçe değildir.⁴¹

Mahremiyet ihlalinin sonucu bakımından da sorumluluk rejimleri ayrılmalıdır. Vergi Usul Kanununun 362. maddesi, mahremiyete uyması gerekenlerin ihlali için Türk Ceza Kanununun 239. maddesine gönderme yapar. Bu gönderme, her veri hatasının kendiliğinden suç oluşturduğu anlamına gelmez; ceza sorumluluğunun koşulları ayrıca aranır. Aynı olayın veri koruma, disiplin veya tazminat bakımından değerlendirilmesi de kendi şartlarına bağlıdır. Mali çıkar istisnası içindeki zararın giderilmesi hakkının korunması, mükellefin yalnız ödevleri bulunan bir bilgi kaynağı olarak görülemeyeceğini gösterir. Veri ihtiyacı, açıklama yetkisi ve başvuru güvencesi aynı işlem üzerinde ayrı ayrı gerekçelendirilmelidir.⁴²

28.6. Sosyal hizmet, belediye, nüfus, tapu ve kamu arşivi örnekleri

Kamu kayıtlarının korunmasında yalnız kaydı tutan kuruma bakmak yeterli değildir. Aynı belediyede yardım başvurusu, emlak işlemi ve personel dosyası farklı amaçlarla tutulabilir. Bir kaydın hizmet için gerekli olması, o kayda kurum içindeki herkesin erişmesini veya bilginin internetten açıklanmasını haklı kılmaz. Değerlendirme, somut hizmetin gerektirdiği bilgiyle, bu bilginin kim tarafından ve hangi işlemde kullanılacağı arasında bağ kurmalıdır. Sosyal hizmet, nüfus, tapu ve arşiv örnekleri bu ortak soruya farklı özel kuralların da eklendiğini gösterir.

Sosyal hizmetlerde bireyin ihtiyacını anlayabilmek için aile ilişkilerinin, gelir durumunun veya bakım koşullarının bilinmesi gerekebilir. Bununla birlikte aileye yönelik bir hizmet, aile fertlerinin bütün bilgilerinin ortak ve sınırsız bir dosya hâline getirilmesini gerektirmez. Aile ve Sosyal Hizmetler Bakanlığının Aile Danışmanlığı Hizmetleri Uygulama Yönergesi, danışmanlığın gönüllülüğünü ve danışan bilgilerinin gizliliğini birlikte düzenler; iş birliği ve yönlendirme kapsamında ilgili kurum veya uzmanlarla paylaşımı da danışanın izniyle ilişkilendirir. Bu, hizmete katılma iradesiyle her türlü sonraki açıklamayı kabul etmenin aynı olmadığına işaret eder. Yönergedeki soruşturma kaydı ise soruşturmayla ilgisiz bütün dosyanın istenebileceği şeklinde genişletilemez; talebin yetkisi ve kapsamı ayrıca incelenir.⁴³

Belediye yardımında da hak sahipliğinin araştırılmasıyla yardım alan kişinin kamuya tanıtılması ayrılmalıdır. Belediye Kanununun 13. maddesi hem faaliyetler hakkında bilgilenme ve yardımdan yararlanma hakkını hem de yardımın insan onurunu zedelemeyen koşullarda sunulmasını öngörür. Bu iki güvence birlikte uygulanabilir. Örneğin varsayımsal bir yardım programında bütçe, başvuru ölçütleri ve dağılımın açıklanması, başvuranların borç, hastalık veya aile içi sorunlarının isimleriyle yayımlanmasını gerektirmez. Yardımın ulaştırılması için adresi bilmesi gereken görevliyle belediyenin tanıtımını hazırlayan çalışanın bilgi ihtiyacı aynı değildir. Harcamanın yetkili makamlarca denetlenmesi de bütün dosyanın halka açılmasından farklıdır.⁴⁴

Buna karşılık, mükerrer yardımın önlenmesi ve kaynağın gerçek ihtiyaç sahiplerine ulaştırılması ciddi bir kamu yararıdır. Kurumların birbirinden habersiz çalışmasının başvuranı tekrar tekrar belge sunmaya zorlaması da savunulamaz. Fakat bu gerekçe önce hangi bilginin karşılaştırılmasının yeterli olduğunu açıklamalıdır. Örneğin belirli bir destekten yararlanılıp yararlanılmadığının doğrulanmasıyla geçmiş bütün sosyal inceleme raporlarının alınması farklı işlemlerdir. Kanuni yetki, işleme şartı ve amaçla sınırlılık incelemesi bu fark üzerinden yürütülür. Hassas bir dosyanın mevcut olması, onu her yeni kamu hizmetinin hazır bilgi kaynağı yapmaz.⁴⁵

Nüfus kaydında başlangıç noktası aleniyet değildir. 5490 sayılı Kanunun 9. maddesi nüfus kayıtlarıyla bunların dayanak belgelerinin gizliliğini düzenler; kayıtlardan görevleri dolayısıyla yararlananların sır saklama yükümlülüğünü görevden ayrılma sonrasında da korur. Dolayısıyla bir hizmette kişinin kimliğinin doğrulanması, aile geçmişindeki bütün olayların o hizmetin personeline açılmasıyla eş tutulamaz. Bölüm 28.2’de açıklanan kurumsal paylaşımın sınırı burada özellikle önemlidir: Bir kurumun sisteme bağlanabilmesi, her görevlinin her kişi hakkında sorgu yapabilmesine izin vermez. Kayıt örneği veya özel bir bilgi talebinde, talep edenin yetkisiyle istenen bilginin kapsamı ayrı değerlendirilir.⁴⁶

Tapu sicilinde ise açıklık, taşınmazlar üzerindeki hakların üçüncü kişilerce bilinebilmesine hizmet eder. Türk Medeni Kanununun 1020. maddesi sicilin herkese açık olduğunu belirtirken, ilgili sayfa ve belgelerin gösterilmesini veya örnek verilmesini isteyen kişinin ilgisini inanılır kılmasını da arar. Bu hükümlerden yalnız ilk cümleyi seçerek bütün kayıtların sınırsız erişime açıldığı sonucuna varılamaz. Bunun karşısında açıklığı işlemez hâle getirecek bir gizlilik anlayışı da işlem güvenliğini zedeler. Satın alınacak taşınmazın hak durumunu öğrenmek isteyen kişinin bilgi ihtiyacı, soyut bir meraktan ibaret değildir.⁴⁷

Öğretide Seçer, tapu kayıtlarının kişisel veri niteliğiyle sicilin aleniyetinin birlikte ele alınması gerektiğini belirtir; mutlak erişimi kabul etmezken bazı temel bilgilerin daha geniş paylaşılmasını da savunur. Türker’in pay oranı hatalarının düzeltilmesine ilişkin incelemesi ise kayda dayanarak işlem yapan üçüncü kişinin menfaatini somutlaştırır. Bu görüşler birlikte düşünüldüğünde, veri korumasının kaydı işlevsizleştirecek bir kapalılığa indirgenmemesi gerektiği görülür. Buna karşılık belirli taşınmazın hukuki durumunu öğrenmekle, bir kişinin bütün taşınmazlarını başka verilerle birleştirerek pazarlama profili çıkarmak farklı amaçlardır. İlk erişimin hukuka uygunluğu, ikinci kullanımın dayanağı yerine geçmez.⁴⁸

Elektronik erişim bu ayrımı ortadan kaldırmaz. TKGM’nin 1 Nisan 2026 tarihli uygulama bilgisi, protokolle paylaşımı 8 Haziran 2022 tarihli yönetmeliğe dayandırmaktadır. Kurumun sitesinde eski bir düzenlemenin bulunması tek başına onun uygulanabilirliğini göstermez; 2015 tarihli paylaşım yönetmeliği 2022 metninde kaldırılmıştır. Güncel Kurum rehberindeki TAKPAS örneği de hakkın korunması için gerekli veriye erişimi kabul ederken, avukatın her türlü kişisel bilgiye ulaşabileceği yönündeki geniş yorumu sınırlar. Demek ki mesleki görev veya teknik erişim olanağı, somut hukuki işin gerektirdiği bilgiyle ilişkilendirilmelidir.⁴⁹

Kamu arşivinde temel ayrım, belgenin korunmasıyla başkasına açıklanması arasındadır. Devlet Arşiv Hizmetleri Hakkında Yönetmeliğin 7. maddesi, gizlilik özelliği devam eden belgelerin arşive geçmekle kendiliğinden bu özelliğini kaybetmeyeceğini belirtir. 8. madde ise kurumların yararlanmasını, örnek verilmesini, elektronik erişim yetkilerini ve araştırmaya açık belgelerden yararlanmayı ayrı koşullarla ele alır. Bu nedenle arşive devir, bütün belgenin açık internet yayınına dönüşmesi değildir. Bir kişinin hakkını ispatlamak için belge örneği alabilmesiyle aynı dosyanın sürekli ve herkesçe aranabilir bir nüshasının yayımlanması da aynı işlem sayılamaz.⁵⁰

Arşivin tarihî ve bilimsel değeri, hizmet işlemi sona erdiğinde belgenin mutlaka yok edilmesi gerektiği sonucunu engelleyebilir. Fakat bu değerin hangi belge ve saklama rejimi bakımından bulunduğu gösterilmelidir. Kurulun 20 Mayıs 2020 tarihli ve 2020/396 sayılı karar özetinde, mahkeme kararlarının özlük dosyasından çıkarılması talebi ilgili personel ve arşiv düzenlemeleriyle birlikte değerlendirilmiş, çıkarma talebi kabul edilmemiştir. Bu tarihli karar, bütün kamu belgeleri için tek bir saklama süresi veya kamuya yayın yetkisi getirmez. Özellikle kararda aktarılan mülga düzenlemedeki yüz bir yıllık süre, bugünkü bütün dosyalara uygulanacak genel kural gibi alınamaz.⁵¹

Bu örneklerde hukuki sonuca ulaşabilmek için erişim talebinin neyi değiştireceği belirlenmelidir. Yardım kararını verecek kişinin ihtiyaç duyduğu bilgi, sicile dayanarak işlem yapacak üçüncü kişinin inceleyeceği kayıt ve tarih araştırmacısına sunulacak belge aynı ölçütle seçilemez. Koruma, her durumda belgenin ortadan kaldırılması anlamına gelmez; gereken hâllerde asıl belgenin korunması, yetkili erişim ve dışarıya sunulacak nüshanın kapsamının ayrı düzenlenmesi gerekir. Böylece hizmetin, sicilin ve arşivin işlevi korunurken bir amaç için elde edilen bilginin başka amaçlara kendiliğinden yayılması önlenebilir.

28.7. Algoritmik kamu işlemleri ve etkili başvuru güvenceleri

Bir kamu kurumunun başvuruları bilgisayar yardımıyla sınıflandırmasıyla, kişinin başvurusunun yalnız bir sistemin ürettiği puan nedeniyle reddedilmesi aynı işlem değildir. İlkinde analiz, inceleme sırasını veya araştırılacak hususları belirleyen yardımcı bir araç olabilir. İkincisinde ise çıktı, kişinin hukuki durumunu etkileyen sonucun belirleyicisi hâline gelmiştir. Bu nedenle inceleme, kullanılan ürünün “yapay zekâ” olarak adlandırılıp adlandırılmadığından önce, hangi verinin hangi sonuca dönüştürüldüğünü ve bu sonucun kamu işlemindeki rolünü belirlemelidir. Bir tahmin, o tahminin dayandığı olgunun doğruluğuyla da özdeş değildir.

Kişisel Verilerin Korunması Kanununun 11. maddesinin birinci fıkrasının (g) bendi, işlenen verilerin münhasıran otomatik sistemlerle analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz hakkı tanır. Hükümdeki otomatik analiz, münhasırlık ve aleyhe sonuç unsurları birlikte değerlendirilmelidir. Her bilgisayar kullanımı bu bendin kapsamına girmez; fakat bir görevlinin ekranda görünen sonucu yalnızca onaylaması da sürecin bağımsız bir değerlendirmeye dayandığını tek başına göstermez. Kararın nasıl oluştuğu, çıktıyı inceleyen kişinin hangi olguları değerlendirdiği ve sonucun değiştirilebilmesine fiilen imkân bulunup bulunmadığı araştırılmalıdır. Buradaki hak, bütün otomatik işlemleri baştan yasaklayan genel bir hüküm gibi okunamaz.⁵²

Kurulun araç kiralama sektöründeki kara liste uygulamasına ilişkin 2021/1303 sayılı karar özeti, profillemenin her durumda olumsuz veya hukuka aykırı olmadığını belirtirken, hatalı tahminlerle kişilerin hizmetten yararlanamaması tehlikesini de gösterir. Bu karar kamu idaresine ilişkin değildir; özel sektördeki meşru menfaat değerlendirmesi kamu gücü kullanma yetkisi yerine geçirilemez. Bununla birlikte kayıt, tahmin ve kişiye bağlanan sonuç arasındaki farkı somutlaştırır: Bir kişinin belirli bir gruba benzetilmesi, o kişinin somut koşullarının ayrıca incelenmesi ihtiyacını ortadan kaldırmaz.⁵³

Öğretide algoritmik kararın açıklanabilirliği, kararın hangi verilere ve ilişkilere dayandığının denetlenebilmesiyle bağlantılı ele alınmaktadır. Ateş, özellikle idari ve yargısal kararlar gibi alanlarda açıklanamayan sonuçların hesap verebilirlik sorunu doğurduğunu vurgular. Soydan da teknik uzmanlığı olmayan kişinin verilen cevabı anlayabilmesi ve somut itiraz geliştirebilmesi güçlüğüne dikkat çeker. Bu eleştiriler, başvurucuya yalnız “sistem böyle hesapladı” denilmesinin neden yetersiz kalabileceğini açıklar. Örneğin varsayımsal bir sosyal yardım reddinde, başka kişiye ait gelirin başvurucuyla ilişkilendirildiğinin anlaşılması, bütün kaynak kodunun yayımlanmasından önce çözülebilecek somut bir doğruluk sorunudur.⁵⁴

Açıklama ihtiyacı, her durumda yazılımın bütün teknik ayrıntılarının herkese verilmesi gerektiği anlamına gelmez. Sistemin güvenliği, üçüncü kişilerin verileri ve hukuken korunan sırlar da gözetilmelidir. Ne var ki bu menfaatler, kişiye uygulanan veri ve ölçütün hiçbir biçimde tartışılamamasını kendiliğinden haklı kılmaz. Korunan teknik bilgi ile kişinin kendi durumunda hangi olgunun belirleyici olduğunun açıklanması ayrı meselelerdir. Başvurunun anlamlı biçimde incelenebilmesi için gerekli bilginin kapsamı somut uyuşmazlığa göre belirlenmelidir. Soydan’ın kaynak koduna odaklanmanın tek başına yeterli olmayabileceğini gösteren tartışması da şeffaflığın yalnız yazılım metninin açıklanmasına indirgenemeyeceğini düşündürmektedir.⁵⁵

Bunun karşısındaki güçlü gerekçe, çok sayıda başvurunun zamanında ve tutarlı ölçütlerle değerlendirilmesidir. Risk analizi, sınırlı denetim kaynaklarının önceliklendirilmesini sağlayabilir; otomasyondan tamamen vazgeçmek de gecikme ve insan hatası sorunlarını ortadan kaldırmaz. Ancak hizmetin hızlanması, hazırlayıcı risk göstergesinin maddi olayın ispatı yerine kullanılmasını gerektirmez. Varsayımsal bir başvuruda yüksek risk puanı ek inceleme yapılmasına yol açıyorsa bunun işlevi, aynı puanın hiçbir ek değerlendirme olmadan hak kaybına bağlanmasından farklıdır. Hukuki denetim bu farkı görünür kılmalıdır; teknik aracın verimli olması tek başına yetki, veri doğruluğu ve ölçülülük sorularını cevaplamaz.

Hak arama bakımından da taleplerin konusu ayrılmalıdır. Veri sorumlusundan yanlış kaydın düzeltilmesini istemek, otomatik analizden doğan aleyhe sonuca itiraz etmek ve kamu işleminin kaldırılmasını veya yargısal denetimini talep etmek birbirinin yerine geçmez. Anayasanın 40. maddesi, devletin işlemlerinde başvuru yollarını, mercileri ve sürelerini belirtmesini öngörür; 125. madde de idarenin eylem ve işlemlerinin yargısal denetiminin anayasal çerçevesini kurar. Dolayısıyla bir elektronik bildirimde işlemi yapan makamın ve uygulanabilir başvuru yolunun anlaşılması, yalnız arayüz kolaylığı değildir. Kişinin hangi sonuca hangi makam önünde karşı çıkacağını bilebilmesi gerekir.⁵⁶

Kanunun uygulanmasıyla ilgili veri taleplerinde 13. maddedeki veri sorumlusuna başvuru ve gerektiğinde 14. maddedeki Kurula şikâyet yolu kendi koşulları içinde işler. Bunların idari işlemin iptali için açılacak davanın süresini her durumda durdurduğu varsayılamaz. Nitekim Danıştay Onüçüncü Dairesinin 14 Ocak 2026 tarihli kararında, özel ivedi yargılama usulüne tabi bir satış ihalesi uyuşmazlığında İYUK’un 11. maddesinin uygulanmayacağı gözetilmiş ve dava süre aşımından reddedilmiştir. Bu olay algoritmik karar hakkında değildir; burada gösterdiği husus, başvurunun sürelere etkisinin işlemin tabi olduğu özel usule göre belirlenmesidir.⁵⁷

Kamu faaliyetlerinde veri koruma istisnalarının uygulanabilirliği de ayrıca incelenir. Özellikle 28. maddenin ikinci fıkrasındaki şartlar gerçekleştiğinde 11. maddenin bazı haklarına dayanma imkânı değişebilir. Bu, otomatik sonucun hiçbir hukuki denetime tabi olmadığı anlamına gelmez; ilgili faaliyetin özel kuralları ve anayasal güvenceler ayrıca değerlendirilir. Bölüm 28.4–28.5’te açıklanan faaliyet ve istisna sınırları, teknik bir puanlama aracının kullanılmasıyla kendiliğinden genişlemez.⁵⁸

Başvurunun etkili incelenmesini sağlayan kurumsal düzen, yalnız kişiye bir itiraz kutusu sunmakla kurulamaz. Hangi verinin kullanıldığı, başvuru anında hangi değerlendirmeye esas alındığı ve düzeltmenin sonucu değiştirip değiştirmediği izlenebilir olmalıdır. Yetkili incelemeciye yalnız önceki puanı tekrar gösteren bir süreç, hatanın kaynağını araştırmaya elverişli değildir. Bu bakımdan veri hatasının giderilmesiyle yeniden değerlendirme arasında bağ kurulması, somut güvencenin önemli bir parçasıdır. Kullanılan sistemin görev paylaşımı da idarenin başvuruyu cevaplama sorumluluğunu belirsizleştirmemelidir.⁵⁹