1. Veri, mahremiyet ve gündelik hayat

Bir kişinin sabah ulaşım kartını kullanması, işyerine giriş yapması ve akşam internetten kitap sipariş etmesi, birbirinden farklı ilişkiler içinde kayıtlar oluşturabilir. Ulaşım işletmesi yolculuğa ilişkin bir işlemi, işveren giriş saatini, satıcı ise sipariş ve teslimat bilgilerini kaydeder. Bu varsayımsal örnekte kayıtların aynı yerde toplandığı veya kurumların bunları birbirleriyle paylaştığı kabul edilmemektedir. Sorun, her kaydın hangi ihtiyacı karşıladığı ve sonradan ne için kullanılabileceğidir.

Kişisel verilerin korunması bakımından mesele, günlük yaşamı bu kayıtlardan bütünüyle arındırmak değildir. Asıl incelenmesi gereken, bir hizmetin sunulabilmesi için gerekli bilgi ile kişi hakkında daha fazla şey öğrenmek için toplanabilecek bilgi arasındaki sınırdır. Bu sınırın belirlenmesinde, saklanan bilginin gizli olup olmadığı tek başına yeterli bir ölçüt olamaz.

1.1. Kişisel veriler niçin toplanır? Kamu hizmeti, ticaret ve gündelik ilişkiler

İnsanlar ve kurumlar arasındaki ilişkilerin yürütülmesinde kişisel verilerden farklı ihtiyaçlar için yararlanılmaktadır. Başvurunun kime ait olduğunun anlaşılması, bir ödemenin doğru hesaba gönderilmesi, siparişin teslim edilmesi veya daha önce yapılan işlemin gerektiğinde kanıtlanması amacıyla kayıt tutulabilir. Kişiyi tanımak, onunla iletişim kurmak, bir hizmetten yararlanma koşulunu değerlendirmek ve işlem güvenliğini sağlamak aynı işlev değildir; her biri farklı bilgi ihtiyaçlarıyla birlikte ele alınmalıdır.

Varsayımsal bir kütüphane örneğinde üyelik kaydı, kitabın kime ödünç verildiğinin ve ne zaman geri alınacağının izlenmesine yarar. Aynı kişinin okuma geçmişinin reklam amacıyla değerlendirilmesi ise ödünç verme işlemini yürütmekten farklı bir amaçtır. İlk işlem için bilgiye ihtiyaç bulunması, ikinci kullanımı kendiliğinden haklı kılmaz. Benzer şekilde, bir ürünün teslimi için gereken adresin bilinmesi, o adresten hareketle kişinin gelir düzeyini tahmin etme ihtiyacını da doğurmaz.

Kamu hizmetlerinde bilgi ihtiyacı, hizmetin doğru kişiye ve kanuni koşullara uygun sunulmasıyla ilişkili olabilir. Ticari ilişkilerde sözleşmenin kurulması ve yerine getirilmesi, hesapların tutulması veya uyuşmazlıkların çözülmesi öne çıkabilir. Bununla birlikte, işlemi yapanın kamu kurumu veya özel işletme olması tek başına yeterli bir hukuki açıklama değildir. Belirli bir faaliyet için gerekli görülen kaydın dayanağı ve sınırı ayrıca gösterilmelidir.

Bu noktada işleme amacı ile hukuki sebep ayrılır. Amaç, verinin ne için kullanıldığını; hukuki sebep ise bu kullanımın hangi işleme şartına dayandığını açıklar. Siparişi teslim etmek bir amaçtır; sözleşmenin ifası için gerekli işleme ise koşulları gerçekleştiğinde başvurulabilecek hukuki sebeptir. 6698 sayılı Kişisel Verilerin Korunması Kanunu açık rıza dışında da işleme şartları öngördüğünden, her veri toplama işleminin mutlaka rızaya dayanması gerektiği söylenemez. Buna karşılık bir işleme şartının bulunması, amaçla bağlantılılık, sınırlılık ve ölçülülük ilkelerini ortadan kaldırmaz.¹

Gündelik ilişkiler de veri üretir. Bir kişinin arkadaşına telefon numarasını vermesi, aile grubunda fotoğraf paylaşması veya komşusunun adresini not etmesi buna örnektir. Bu örneklerde kişisel bilgi bulunması ile her faaliyetin aynı kanuni yükümlülüklere tabi olması ayrı meselelerdir. Kanunun uygulanma alanı ve kişisel veya aile içi faaliyetlere ilişkin istisna, faaliyetin koşullarıyla birlikte incelenir. Bu nedenle incelemeye yalnız “Hangi bilgi toplandı?” sorusuyla başlanması yeterli olmayacaktır. Bilgiyi kimin, hangi ilişki içinde ve ne için topladığı, bundan sonra nasıl kullanacağı da belirlenmelidir.²

1.2. Gözetimin tarihsel dönüşümü ve dijital izler

İnsanlar hakkında kayıt tutulması dijital teknolojiyle başlamamıştır. Kâğıt üzerindeki siciller, dosyalar ve işlem defterleri de kişilerin faaliyetlerinin izlenmesini sağlayabilir. Dijital dönüşüm bakımından belirleyici olan, yalnız kaydın bulunduğu ortamın değişmesi değildir. Farklı kayıtların aranabilmesi, birbiriyle eşleştirilebilmesi ve yeni değerlendirmelerde kullanılabilmesi de önem taşır.

Roger Clarke’ın veri gözetimi (dataveillance) kavramıyla ele aldığı mesele, kişilerin faaliyet ve iletişimlerinin kişisel veri sistemleri aracılığıyla sistematik biçimde incelenmesi veya izlenmesidir. Gözetim bu anlamda yalnız bir kişinin gözle takip edilmesinden ibaret değildir. Clarke’ın açıklamasında kayıtların tek bir merkezde tutulması da zorunlu görülmemektedir; farklı sistemler arasında bağlantı ve tutarlı kimliklendirme bulunduğunda kapsamlı izleme mümkün olabilir. Burada belirli bir ülkedeki bütün sistemlerin gerçekten birleştiği ileri sürülmemekte, gözetimin nasıl örgütlenebileceği açıklanmaktadır.³

Dijital iz, kişinin bir sisteme açıkça yazdığı bilgiden daha geniş bir kayıt alanını anlatmak için kullanılabilir. Bir uygulamaya girilen adres doğrudan verilen bilgidir; hizmetin kullanım zamanı veya yapılan işlemin kaydı ise kullanım sırasında oluşabilir. Bu kayıtların hangi kişiye bağlanabildiği, ne kadar süre tutulduğu ve hangi başka kayıtlarla birlikte değerlendirildiği ayrıca araştırılmalıdır. Her teknik kaydın mutlaka belirli bir kişiyi gösterdiği veya kişinin bütün hayatını açıkladığı varsayılamaz.

Başlangıçtaki örnekte bir ulaşım kartı işlemi ile kitap siparişi ayrı amaçlarla tutulmaktadır. Bunların bir kişiyle ilişkilendirilerek birlikte değerlendirilmesi hâlinde, tek tek kayıtlardan anlaşılmayan alışkanlıklar hakkında çıkarım yapılması mümkün olabilir. Ancak böyle bir değerlendirme, kayıtların doğruluğuna, kartın gerçekten kimin tarafından kullanıldığına ve bağlantının güvenilirliğine bağlıdır. Kaydın gösterdiği işlem ile kişi hakkında üretilen tahmin aynı şey değildir. Bu ayrım, 2. bölümde kişisel veri ve çıkarım kavramlarıyla birlikte açıklanmaktadır.

Gözetimin dönüşümünü yalnız teknolojiyle açıklamak da yeterli değildir. Hangi kayıtların toplanacağı, sistemlerin kimlere açılacağı ve analiz sonuçlarının hangi kararlarda kullanılacağı kurumsal tercihlere bağlıdır. Teknolojinin sağladığı bir imkânın varlığı, o imkânın her amaçla kullanılmasını gerektirmez. Veri koruma kuralları, bu tercihlerin hukuki sınırlar içinde yapılmasına yönelir.

1.3. Veriye dayalı iş modelleri ve taraflar arasındaki güç farkı

Bir dijital hizmetin ekonomik işleyişini anlamak için yalnız kullanıcıdan ücret alınıp alınmadığına bakılamaz. Abonelik, reklam, satış komisyonu ve bunların birlikte kullanılması farklı modeller oluşturur. Veri de her modelde aynı işi görmez: Siparişi teslim etmeye, hizmeti kişiselleştirmeye, reklamın gösterileceği grubu seçmeye veya başka bir kuruluşun faaliyetini beslemeye yarayabilir. Bu kullanımları “veriden yararlanma” başlığında toplamak, her birinin amacını ve hukuki dayanağını açıklamayı güçleştirir.

Zuboff’un gözetim kapitalizmi eleştirisi, ekonomik değerin yalnız ham kayıtların satılmasıyla oluşmadığına; davranışların tahmini ve hedefleme üzerinden de üretilebildiğine dikkat çeker. Bununla birlikte bu yaklaşım, bütün dijital işletmeleri aynı modele yerleştiren bir hukuk kuralı değildir. Bir öneri sisteminin kullanıcıya yararı bulunabilir; bu yararın varlığı, kullanılan her kaydın ve sonraki her amacın gerekli olduğunu da göstermez. Modelin ekonomik açıklamasıyla belirli işlemenin hukuka uygunluk değerlendirmesi ayrı tutulmalıdır.⁴

Taraflar arasındaki güç farkının bir görünümü, bilgiye erişimde ortaya çıkar. Hizmeti sunan kuruluş hangi kayıtları birleştirdiğini, hangi çıkarımları ürettiğini ve bunların kimlere açıldığını bilebilirken kullanıcı yalnız kendisine gösterilen ekranla karşılaşabilir. Diğer görünüm, tercihin hangi koşullarda yapılabildiğidir. Kullanıcı hizmete ulaşmak, arkadaşlarıyla iletişim kurmak veya bir indirimden yararlanmak isteyebilir. Bu ihtiyaçların bulunması bütün tercihlerini anlamsız kılmaz; ancak kullanıma devam etmesinden, bilmediği bütün veri faaliyetlerini kabul ettiği sonucu da çıkarılamaz.

Acquisti, Brandimarte ve Loewenstein, davranış araştırmalarını belirsizlik, bağlama bağımlılık ve tercihlerin etkilenebilirliği eksenlerinde inceler. Araştırmaların gösterdiği sorun yalnız kişinin bildiği bir riski göze alması değildir; seçeneklerin ve bilgi sunuluşunun kendisi de kararını etkileyebilir. Bu nedenle hizmeti kullanmak, mahremiyete önem vermediğinin veya bütün işlemleri bilerek seçtiğinin tek başına kanıtı sayılamaz.¹⁴

Bu açıklama, kullanıcıyı her durumda edilgen kabul etmeyi gerektirmez. Gün Çıngı ve Güllüpınar’ın Eskişehir’de lise öğrencileriyle yaptığı araştırmada, paylaşımı belirli çevrelerle sınırlama ve erişim ayarlarını değiştirme gibi uygulamalar anlatılır. Uysal ve Şenol’un nitel çalışması ise yarar beklentisiyle mahremiyet kaygısının birlikte bulunabildiğini ortaya koyar. Farklı katılımcı ve dönemlere dayanan bu çalışmalar, tek bir kullanıcı tipi kurmaya veya Türkiye geneli için oran vermeye elverişli değildir. Özellikle sosyal paylaşımın istenmesiyle verinin başka bir kuruluş tarafından başka amaçla işlenmesine izin verilmesi aynı davranış olarak okunamaz.¹⁵⁵

Hukuki değerlendirme burada yeni bir soru sorar: Açıklanan irade, hangi belirli işlemeye, hangi bilgi üzerine ve hangi serbestlikle yönelmiştir? Kanundaki açık rıza tanımının unsurları ayrı ayrı aranır. Ekonomik karşılık veya kullanıcıya sağlanan yarar, bu unsurların yerine geçmez. Buna karşılık 5. maddedeki başka bir şartla yürütülebilen işlem için sırf bir onay ekranı bulunduğundan rıza varsayılması da doğru değildir. Önce somut faaliyet ve uygulanacak şart belirlenmelidir.

Öğretide Keser, tüketici ile hizmeti sunan taraf arasındaki güç dengesizliğini esas alarak, tüketicinin özgür iradeyle hareket etmediğinin karine olarak kabul edilmesi gerektiğini savunur. Bu görüş, görünürde bir seçim bulunmasının yeterli olmayabileceğini vurgular. Ancak bu öneriyi her tüketici rızasını kendiliğinden geçersiz kılan bir kanun hükmü gibi sunmak mümkün değildir. Kurulun 2019/82 sayılı kararının yayımlanmış özetinde, sadakat programına katılmayan müşterinin alışverişe devam edebilmesi koşuluyla hizmetin rızaya bağlandığı iddiası yönünden işlem yapılmadığı açıklanır. Aynı incelemede belirsiz amaç, metin tutarsızlığı ve ölçüsüz veri kapsamı için ayrıca talimat verilmiştir. Böylece programın tercih edilebilir bulunmasıyla bütün veri kullanımlarının uygunluğu birbirinden ayrılmıştır.¹⁶¹⁷

Hafif külfetin etkisi de tartışmalıdır. Bergkamp ve Dhont, hizmetin reddinin kişiye yalnız küçük bir külfet yüklediği durumda rızanın serbestliğinin korunabileceği görüşündedir. Çerez kabul edilmeden kullanılamayan ücretsiz e-posta hizmeti örneğinde, piyasada eşdeğer hizmetlerin bulunmasına dayanırlar. Selek ise hafif yaptırımı dahi özgür iradeyle bağdaşır bulmamaktadır.¹⁹²⁰

Bu görüş ayrılığı, başka bir hizmetin varlığıyla o hizmete geçişin kişi bakımından ne ifade ettiğinin ayrı incelenmesini gerektirmektedir. Piyasada bir alternatif bulunması, onun somut kişi için kullanılabilirliğini tek başına açıklamaya yetmez. Buna karşılık her tercih külfetinin rızayı kendiliğinden hükümsüz kıldığı da bir kanun hükmü gibi ileri sürülemez. Türk hukukundaki değerlendirmede, reddin gerçek sonucu ve uygulanacak hüküm arasındaki bağın kurulması gerekir; ekonomik model veya hizmetin adı bu gerekçenin yerine geçmemelidir.

Öte yandan işletmenin bir kullanıma “ek hizmet” demesi de incelemeyi sonuçlandırmaz. 2023/1610 sayılı kararın resmî özetinde, canlı maç yayınına erişimin ticari ileti gönderimi için veri işlemeye rıza şartına bağlanması özgür iradeyi zedeleyen bir uygulama olarak değerlendirilmiştir. İki olaydan çıkarılabilecek sınır, bütün indirimlerin yasak veya bütün ek hizmet koşullarının serbest olduğu değildir. Hangi hizmetin hangi veri faaliyetine bağlandığı, kişinin neyi reddedebildiği ve reddin gerçek sonucu belirlenmelidir. Ayrıntılı rıza incelemesi 9. bölümde, pazarlama uygulamaları 26. bölümde ele alınmaktadır.¹⁸

Aydınlatma bu değerlendirmeyi görünür kılar; fakat kendi başına işleme izni oluşturmaz. Örneğin “deneyiminizi iyileştirmek” ifadesi, teslimat, reklam profili ve üçüncü kişiye aktarım arasındaki farkı açıklamaz. Kurumun amaç ile hukuki sebebi ayıran açıklaması ve 2026/347 sayılı ilke kararına ilişkin duyuru, faaliyetin somut olarak gösterilmesini, aydınlatma ile rıza beyanının ayrılmasını ister. Aynı sayfada farklı başlık ve beyanlara yer verilmesiyle tek bir belirsiz kabul alınması da aynı değildir. Kullanıcıya bir metin gösterilmesi, kuruluşun amaç, gereklilik ve kapsamı gerekçelendirme yükünü ortadan kaldırmaz.⁶

1.4. Mahremiyet, veri koruma ve bilgi güvenliği arasındaki ilişki

Mahremiyetin neyi koruduğunu anlamak için yalnız bilginin gizli olup olmadığına bakılması yeterli değildir. Kişi, sağlık durumunu hekimine ayrıntılı biçimde açıklamakla bu bilginin bütün sosyal çevresine yayılmasını istemiş olmaz. Paylaşılan bilginin içeriği ve muhatabı değiştikçe ilişkinin niteliği de değişebilir. İzgi’nin mahremiyeti özerklik ve sosyal ilişkilerle birlikte ele alan açıklaması, korunacak menfaatin toplumdan bütünüyle çekilmeye indirgenemeyeceğini vurgulamaktadır.⁷

Nissenbaum’un “bağlamsal bütünlük” yaklaşımında hem belirli bir ilişkide hangi bilginin istenebileceği hem bu bilginin kimler arasında nasıl dolaşacağı önemlidir. Bilginin bir ilişkide paylaşılması, başka bir ilişkiye sınırsızca taşınmasını haklı kılan bir izin sayılmamaktadır. Böylece aynı veri türüyle karşılaşılsa bile bilgi akışının ayrıca incelenmesi gereken yönleri görünür hâle gelir.⁸

Bununla birlikte yerleşik uygulamanın korunması başlı başına yeterli bir ölçüt müdür? Nissenbaum’un da tartıştığı itiraz, bu yaklaşımın yararlı değişimleri engelleyebilmesi veya alışkanlıkları gereğinden fazla koruyabilmesidir. Verdiği cevap, fiilen yapılan ile yapılması gerekeni ayırmak; eski ve yeni uygulamayı, ilişkinin amaçları ve daha temel değerler bakımından değerlendirmektir. Dolayısıyla bağlamın dikkate alınması, her alışkanlığın sorgulanmaksızın korunacağı anlamına gelmemektedir.²¹

Yakın bir eleştiride Prégent, yeni uygulamanın başka bir bağlamdan alınan ölçütlerle karşılaştırılmasını ve hangi normun üstün tutulacağının seçimini sorunlu bulmaktadır. Özellikle bağlamın norm ve değerlerini köklü biçimde değiştiren teknolojiler bakımından, mevcut ölçütlere dayanılarak güvenilir bir ön değerlendirme yapılabileceğine karşı çıkmaktadır. Bu itiraz, bir uygulamanın yalnız önceki bir uygulamaya benzemesinden hareketle mahremiyete uygun sayılmaması gerektiğini düşündürmektedir.²²

Diamantis ise tartışmayı kuramın yargısal uygulanışına taşımaktadır. Bağlamın ve değerlendirilecek değerlerin belirsizliği, uyuşmazlıkta daha fazla hukuki ve teknik kaynağa sahip tarafın lehine işleyebilir; yerleşen veri uygulamaları da zamanla karşılaştırmanın ölçütü hâline gelebilir. Bu itiraz, kuramın karar ölçütü olarak benimsendiği varsayımsal dava düzenine yöneliktir; Türkiye’deki uyuşmazlıklarda böyle bir sonucun gerçekleştiğini kanıtlamamaktadır. Nitekim yazar, başka bir mahremiyet kuramının mutlaka daha iyi sonuç vereceğini de ileri sürmemektedir.²³

Bu iki tartışma farklı sorulara yönelmektedir. Nissenbaum, bağlama dayalı sonucun ayrıntılı olgusal inceleme gerektirdiğini, bilgiyi toplayan ve kullananların rollerinin ve aralarındaki ilişkinin araştırılması gerektiğini de kabul etmektedir. Ona göre aynı tür teknik faaliyetin farklı ilişkilerde farklı değerlendirilmesi, yaklaşımın bir eksikliği değildir.²⁴ Diamantis’in itirazı ise bu ayrıntıları ortaya koyma ve değerlendirmeye taşıma imkânının taraflar arasında eşit dağılmayabileceğidir. Dolayısıyla kuramın hangi bilgilerin önemli olduğunu açıklamasıyla, bu bilgilerin uyuşmazlıkta kim tarafından ve nasıl ortaya konulacağı aynı mesele değildir. Bağlamı açıklamak, uygulanacak hukuk kuralını ve olgusal dayanakları ayrıca belirleme gereğini ortadan kaldırmaz.

Türk hukukundaki somut incelemede ise bir uygulamanın yaygınlığıyla hukuki dayanağı ayrı ayrı ele alınmalıdır. Örneğin, müşterilerden uzun süredir aynı bilgilerin istenmesi, o bilgilerin belirli bir hizmet için gerekli olduğunu tek başına kanıtlamaz. Verinin hangi amaçla ve hangi işleme şartına dayanılarak kullanılabileceği, ilgili kişinin nasıl bilgilendirileceği ve kayıt karşısında hangi haklara sahip olduğu uygulanabilir hükümlerden hareketle belirlenir. Kuramsal açıklama, bu soruların kurulmasına yardımcı olabilir; kanuni incelemenin yerine geçmez. Kanunun koruma amacı da kayıtların kendisinden önce, verileri işlenen kişilerin temel hak ve özgürlüklerine yöneliktir.⁹

Bilgi güvenliği bu çerçevenin gerekli bir unsurudur. Ancak bir kayda yalnız yetkili personelin ulaşabilmesiyle, o kaydın her kullanımının hukuka uygun olması aynı şey değildir. Varsayımsal bir işletmenin teslimat adreslerini dışarıdan erişime karşı koruduğu, buna karşılık bu adreslerden hareketle müşterilerin ekonomik durumları hakkında açıklanmamış başka bir amaç için değerlendirmeler ürettiği düşünülsün. Güçlü erişim kontrolü, ikinci faaliyetin amacını ve hukuki sebebini açıklamamaktadır. Tersine, hukuka uygun amaçla tutulan kayıtların korunmasız bırakılması da amaç meşru olduğu için önemsiz sayılamaz.

Bu ayrım, güvenliği yalnız teknik önlemlerden ibaret kabul etmeyi gerektirmez. Kanunun 12. maddesinde hukuka aykırı işlemeyi önleme, hukuka aykırı erişimi önleme ve muhafazayı sağlama birlikte düzenlenmiş; bunlar için teknik ve idari tedbirler öngörülmüştür. Dolayısıyla veri koruma ile güvenlik arasında ilişki bulunduğu gibi, güvenlik yükümlülüğünün içinde de işlemenin hukuka uygunluğuna yönelen bir unsur bulunmaktadır. Tedbirlerin ayrıntıları 15. bölümde ele alınmaktadır.¹⁰

Bir işlem değerlendirilirken “Bu bilgi neden ve kim için gerekli?”, “Hangi koşullarla kullanılabilir?” ve “Nasıl korunmaktadır?” soruları birlikte sorulmalıdır. Yalnız ilk soruya cevap verilmesi güvenlik eksikliğini, yalnız son soruya cevap verilmesi ise hukuki dayanak eksikliğini gidermez. Mahremiyetin ilişkisel boyutu, veri koruma kurallarının sağladığı hak ve yükümlülükler ve bu kuralların uygulanmasını sağlayan güvenlik tedbirleri bu çerçevede birlikte anlam kazanmaktadır.

1.5. Bireysel zararların ötesinde ayrımcılık, davranış yönlendirme ve toplumsal etkiler

Veri kullanımının etkisi, bir sırrın açığa çıkması veya bir hesabın ele geçirilmesiyle sınırlı değildir. Bir kişinin hangi iş ilanını görebildiği, bir başvuruda nasıl değerlendirildiği veya kendisine hangi teklifin sunulduğu da veriye dayalı tercihlerden etkilenebilir. Sorun bazen bilginin yanlış olmasından, bazen doğru bilginin kullanım biçiminden doğar.

Barocas ve Selbst, veri analizinde geçmiş kararların, veri toplama biçiminin ve seçilen ölçütlerin eşitsizlikleri nasıl yeniden üretebileceğini inceler. Ayrımcılığa yol açan bir özelliğin doğrudan kullanılmaması da her zaman yeterli değildir; başka değişkenler aynı grupları dolaylı biçimde ayırabilir. Yazarların incelemesi Amerikan ayrımcılık hukuku bağlamındadır. Buradaki mekanizmalar, Türk hukukunda belirli bir işlemin kendiliğinden ayrımcılık oluşturduğunu kanıtlamaz; hangi ölçütün kullanıldığının ve hangi sonucu doğurduğunun araştırılmasına yardımcı olur.¹¹

Varsayımsal olarak bir işletmenin geçmiş işe alım kararlarından hareketle yeni adayları sıralayan bir sistem kurduğu düşünülsün. Geçmişte belirli gruplar sürekli dışlanmışsa, önceki kararların başarılı örnek sayılması aynı tercihi tekrarlayan bir sonuca yol açabilir. Böyle bir durumda yalnız adayın kaydındaki yazım hatasını düzeltmek sorunu gidermeyebilir. Karar ölçütünün neden seçildiği ve farklı adaylar üzerindeki etkisi de incelenmelidir. Bu örnek, bütün otomatik değerlendirmelerin aynı sonucu doğurduğu iddiasını taşımaz.

Geçmişteki kararların öğrenilmesinden ayrı bir sorun da kimlerin kayda girebildiğidir. Bir veri kümesindeki her kayıt doğru olsa bile bazı gruplar o kümede yeterince temsil edilmeyebilir. Yalnız mevcut çalışanlardan edinilen bilgilerin gelecekteki bütün adayları temsil ettiği varsayımı da ayrıca sınanmalıdır. Üstelik kaydın doğru olması, seçilen ölçütün kişi bakımından yeterince ayrıntılı olduğu anlamına gelmez. Böylece tekil kaydın doğruluğu, örneklemin temsili ve kullanılan ölçütün yeterliliği ayrı inceleme konuları hâline gelmektedir.²⁵

Sağlık alanındaki bir araştırma bu ayrımı somutlaştırmaktadır. Obermeyer ve arkadaşlarının 2019’da yayımladığı çalışmada, ABD’deki bir akademik hastanenin 2013–2015 verileri üzerinden sağlık hizmeti ihtiyacı ile sağlık harcamasını tahmin etmenin aynı sonuç olmadığı incelenmiştir. Maliyeti tahmin eden sistem, aynı puandaki Siyah ve Beyaz hastaların sağlık ihtiyacındaki farkı yeterince yansıtmamaktadır. Bununla birlikte çalışmada, tahmin edilen hedefin değiştirilmesiyle eşitsizliğin azaltılabildiği de görülmüştür. Dolayısıyla sorun yalnız algoritma kullanılması veya kullanılmaması değildir; neyin tahmin edildiği ve bunun hangi amaç için kullanıldığı da önemlidir. Bu bulgu, bütün sağlık sistemleri veya Türkiye’deki uygulamalar hakkında genel bir sonuç sayılamaz.²⁶

Türk uygulamasında da kaydın tutulmasıyla ondan kişi aleyhine sonuç çıkarılması ayrılmaktadır. Kurulun 23 Aralık 2021 tarihli araç kiralama karar özetinde, aracın hasarlı teslim edilmesi gibi bir olayın sisteme yazılması ile bu kayda dayanılarak kişiye araç kiralanamayacağı yönünde otomatik sonuç üretilmesi ayrı değerlendirilmiştir. Aynı özette profillemenin her durumda olumsuz sayılmaması gerektiği, kullanılan ölçütlerin ve işleme sürecinin somut olayda incelenmesi vurgulanmaktadır. Dolayısıyla değerlendirme ihtiyacının varlığı bütün veri kullanımlarını haklı kılmadığı gibi, otomatik bir araç kullanılması da tek başına ayrımcılık yapıldığını kanıtlamaz. Hangi kaydın tartışıldığı, bu kayıttan hangi sonucun çıkarıldığı ve sonucun kişi üzerindeki etkisi birlikte belirlenmelidir. Çalışma hayatındaki uygulama 23.6, profilleme ve otomatik karar güvenceleri ise 30.2 ve 30.4 başlıklarında bu ayrımlar üzerinden incelenmektedir.²⁸

Davranış yönlendirmesinde ise amaç, kişinin ne yapacağını tahmin etmenin ötesinde neyi tercih edeceğini etkilemek olabilir. Her öneri veya reklam aynı yoğunlukta müdahale oluşturmaz. Değerlendirmede sunulan içeriğin niteliği, kişinin hangi özelliğine dayanıldığı, seçme imkânlarının nasıl düzenlendiği ve işlemenin hukuki koşulları önem taşır. Bu nedenle kişiselleştirmeyi bütünüyle yararlı veya bütünüyle zararlı saymak yerine, somut kullanımın açıklanması gerekir.

“Saklayacak bir şeyim yok” düşüncesi bu sorunların tamamını karşılamaz. Solove’un eleştirisi, veri kullanımındaki sorunların sırların ifşasına indirgenmesine yöneliktir. Birleştirme, kişinin süreçten dışlanması ve başlangıçtaki amaçtan farklı kullanım da bu incelemenin konusudur. Ayrıca izlenme ihtimalinin hukuka uygun ifade ve ilişkilere katılmayı caydırması, yalnız o kişiyi ilgilendiren bir sonuç olarak değerlendirilemez. Bu, her gözetimin mutlaka aynı etkiyi yarattığı yönünde ampirik bir kesinlik değildir.¹²

Solove, bu tartışmayı zararın nasıl tanındığı sorusuna da taşımaktadır. Açık bir mali kayıp veya ağır bir ifşa görülmemesi, veri kullanımındaki güven ilişkisinin ve yetki sınırlarının önemini ortadan kaldırmaz. Tek başına önemsiz görünen uygulamalar da zaman içinde birikerek kişinin kendisi hakkında yürütülen işlemler karşısındaki güçsüzlüğünü artırabilir. Bu nedenle bir mahremiyet sorununun bulunup bulunmadığıyla, belirli bir başvuru yolunda hangi zararın ve diğer şartların gösterilmesi gerektiği ayrı sorulardır. İlk soruya verilecek cevap, ikincisinin kendiliğinden çözülmesini sağlamaz. Haklar, başvuru yolları ve sorumluluk incelemesi sonraki bölümlerde bu ayrım gözetilerek yapılmaktadır.²⁷

Başlangıçtaki kişiye dönüldüğünde korunması gereken menfaat, yalnız yolculuğunu veya satın aldığı kitabı başkalarından saklaması değildir. Hakkında hangi kayıtların tutulduğunu anlayabilmesi, hatalı ilişkilendirmeye karşı çıkabilmesi ve verilerinin hangi amaçla kullanıldığını öğrenebilmesi de önemlidir. Kanunda düzenlenen bilgi alma, düzeltme ve diğer haklar bu ihtiyaçlarla ilişkilidir; her hakkın kullanılma şartları ayrıca incelenir. Kişinin günlük hayatını olağan biçimde sürdürmesi, verilerini kullananların yetkilerinin sınırsız olmasını gerektirmez.¹³