3. Hakkın hukuki niteliği ve anayasal güvenceler

Kişisel verilerin korunmasında hukuki güvence, kayıtların başkalarının eline geçmesini önlemekten daha geniştir. Kişi hakkında hangi bilginin üretildiği, bu bilginin hangi kararlarda kullanıldığı ve yanlış bir kaydın nasıl düzeltileceği de bu güvencenin kapsamına girer. Bu nedenle hakkın hukuki niteliğini belirlemek, yalnız bir sınıflandırma yapmak değildir. Korumanın kime karşı ileri sürülebileceğini, hangi işlemlere uygulanacağını ve diğer haklarla nasıl bağdaştırılacağını açıklamaktır.

3.1. Kişilik hakkı, insan onuru ve bireysel özerklik

Kişilik hakkı, kişinin bedensel, manevi ve sosyal varlığıyla ilgili değerlerin korunmasını sağlar. Sağlık, şeref ve itibar, ad, görüntü ve özel hayat bu değerler arasında yer alır. Kişisel veriler de kişiyle ilgili oldukları ve onun hayatı üzerinde etkiler doğurabildikleri için kişiliğin korunmasıyla ilişkilidir. Bununla birlikte, kişinin kendisi, onu anlatan bilgi ve bilginin kaydedildiği araç birbirinden ayrılmalıdır. Bir fotoğrafın bulunduğu cihazın mülkiyeti, fotoğraftaki kişi üzerinde tasarruf yetkisi vermez.¹

Türk Medenî Kanununun 24. maddesi, kişilik hakkına hukuka aykırı saldırılan kişinin hâkimden korunma istemesine imkân tanır. Hüküm, rızayı, üstün nitelikte özel veya kamusal yararı ve kanunun verdiği yetkinin kullanılmasını hukuka uygunluk değerlendirmesinde dikkate alır. Dolayısıyla kişilik hakkının herkese karşı ileri sürülebilmesi, kişinin kendisiyle ilgili her bilgi kullanımını koşulsuz biçimde yasaklayabilmesi anlamına gelmez. Hakkın muhataplarının genişliği ile hakkın sınırsızlığı farklı meselelerdir.²

İnsan onuru ve kişiliğin gelişmesi, bu korumanın niçin gerekli olduğunu açıklar. Kişinin sürekli izlenen, sınıflandırılan veya hakkında üretilen bir değerlendirmeye itiraz edemeyen bir konuma düşmesi, onun kararlarını ve toplumla kurduğu ilişkileri etkileyebilir. Anayasanın 17. maddesinde maddi ve manevi varlığın korunması ve geliştirilmesi güvence altına alınmıştır. Kişisel verilerin korunmasını isteme hakkı da 20. maddenin üçüncü fıkrasında, kişi hakkında bilgi edinilmesi ve kullanılması karşısında özel güvenceler getirir. Bu hükümler birlikte okunduğunda korumanın konusu yalnız bilginin gizli tutulması değil, kişinin kendi hayatını oluşturabilmesinin hukuki şartlarıdır.³

Bireysel özerklik, kişinin hayatına ilişkin tercihleri yapabilmesini ifade eder. Bilgi alanındaki görünümü ise kişinin kendisi hakkında yürütülen veri işlemlerinden haberdar olabilmesi, bunların sınırlarını anlayabilmesi ve hukukun tanıdığı talepleri ileri sürebilmesidir. Örneğin varsayımsal bir başvuruda, bir başkasına ait borcun yanlışlıkla kişinin dosyasına bağlanması yalnız kayıt düzenine ilişkin bir hata değildir. Bu hata başvurunun değerlendirilmesinde kullanılıyorsa kişinin başkalarıyla ilişki kurma imkânını da etkiler. Erişim ve düzeltme güvenceleri, böyle bir kaydı tartışabilmesini sağlar.

Ancak özerklik, bütün veri işlemenin kişinin iznine bağlı olmasıyla özdeş değildir. Anayasa m. 20/3 kanunda öngörülen hâllerde işlemeye de izin verir. Açık rıza aranan işlemlerde ise 6698 sayılı Kanunun belirli konu, bilgilendirilme ve özgür irade şartları önem taşır. Kişinin bir belgeyi imzalaması bu şartların ve diğer hukuka uygunluk gereklerinin araştırılmasını gereksiz kılmaz. Türk Medenî Kanununun 23. maddesindeki özgürlükten vazgeçme ve hukuka veya ahlâka aykırı sınırlama yasağı da kişisel tercih ile kişiliğin korunması arasındaki sınırın gözetilmesini gerektirir.⁴

3.2. Kişisel verilerin korunması hakkının bağımsızlığı ve özel hayatla ilişkisi

Kişisel verilerin korunması ile özel hayata saygı arasında yakın bir bağ vardır. Sağlık dosyasının açıklanması veya özel bir yazışmanın yayılması her iki koruma alanını da ilgilendirebilir. Ne var ki kişisel veri niteliği, bilginin yalnız dar bir çevrede bilinmesine bağlı değildir. Mesleki iletişim bilgileri veya kamuya açık bir faaliyete ilişkin kayıtlar da kişiyle ilişkili bilgi olabilir. Bunların toplanması, birleştirilmesi veya başka amaçlarla kullanılması ayrıca incelenir.

Anayasa m. 20/3, bu bakımdan yalnız sırların açıklanmasını yasaklayan bir hüküm değildir. Kişiye bilgilendirilme, erişim, düzeltme veya silme talebi ve verilerin amaca uygun kullanılıp kullanılmadığını öğrenme güvenceleri tanır. Bu yetkiler, bilginin henüz üçüncü kişilere açıklanmadığı durumlarda da anlam taşır. Bir kaydın yalnız kurum içinde tutuluyor olması, kişinin o kaydın varlığı ve doğruluğu hakkında soru soramayacağı sonucunu doğurmaz.⁵

Hakkın bağımsızlığı tartışılırken iki soru ayrılmalıdır. İlki, kişisel verilerin korunmasının anayasal düzeyde kendine özgü güvencelerinin bulunup bulunmadığıdır. İkincisi, özel hukuk bakımından bu korumanın genel kişilik hakkıyla nasıl ilişkilendirileceğidir. Bir hakkın açıkça anayasal güvenceye bağlanması, onun kişilik değerleriyle bağını ortadan kaldırmaz; kişilik hakkıyla ilişkisi de özel veri koruma hükümlerinin uygulanmasını gereksiz kılmaz.

Öğretide farklı açıklamalar bulunmaktadır. Arslan, kişilik hakkının yeni riskleri de kapsayabilen yapısından hareketle kişisel verilerin korunmasını bu hakkın bir görünümü olarak değerlendirmekte; ayrı bir hak kurmaya ihtiyaç bulunmadığını savunmaktadır. Akkurt ise insan hakları, kişilik hakkı ve ekonomik boyut arasındaki bağlantıyı koruyan, özel koruma rejimini de hesaba katan karma bir açıklama önermektedir. Tartışmada aynı sözcüğün kimi zaman anayasal güvenceyi, kimi zaman özel hukuktaki hak sınıflandırmasını anlatması, görüşler arasındaki farkın olduğundan geniş görünmesine de yol açabilir.⁶

Uygulama bakımından belirleyici olan, bu sınıflandırmaların somut hukuki talepleri nasıl etkilediğidir. 6698 sayılı Kanunun 14. maddesinin üçüncü fıkrası, kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkını saklı tutar. Bu bağlantı, veri koruma usulleri ile özel hukuk korumasının birlikte düşünülmesini gerektirir. Bununla birlikte her veri koruma ihlalinden kendiliğinden tazminat doğduğu söylenemez; tazminatın kendine özgü koşulları ayrıca değerlendirilir. Bu koşullar 21. bölümün konusudur.⁷

3.3. Kişisel verilerin ekonomik değeri ve hak üzerindeki tasarrufun sınırları

Kişisel veriler ekonomik değer taşıyabilir. Bir işletme müşterilerinin tercihlerini değerlendirerek hizmetini değiştirebilir, talebi tahmin edebilir veya reklamların kime gösterileceğini belirleyebilir. Bu değer her zaman tek bir kaydın satış bedeli biçiminde ortaya çıkmaz. Çok sayıda kaydın birlikte değerlendirilmesi, bunlara erişim veya bu kayıtlara dayanan bir hizmet de ekonomik faaliyetin konusu olabilir.

Ekonomik değerin varlığı ile eşya hukukundaki mülkiyet yetkilerinin varlığı aynı sonuca karşılık gelmez. Mülkiyet yaklaşımını savunan düşüncenin önemli bir gerekçesi, veriden değer üreten işletme karşısında kişiye pazarlık ve karşılık isteme imkânı kazandırmaktır. Buna karşılık kişisel veri ile kişi arasındaki ilişkinin devam etmesi, bu modeli sınırlar. Bilginin kullanımı için bedel ödenmiş olması, bilginin ilgili olduğu kişinin haklarını kendiliğinden sona erdirmez. Öğretideki ekonomik yaklaşım tartışması, Türk hukukunda her kişisel veri kullanımının kanunen bedel gerektirdiği şeklinde de okunamaz.⁸

Örneğin bir fotoğrafın reklamda kullanılmasına belirli süre ve mecralar için izin verildiği varsayılsın. Burada iznin konusu, kapsamı ve karşılığı üzerinde anlaşma yapılması ile kişinin kişiliği üzerindeki bütün haklarını devretmesi farklıdır. İzin verilen kullanımın başka kampanyalara veya başka alıcılara genişletilmesi, ilk anlaşmanın sınırları ve uygulanacak veri koruma hükümleri bakımından yeniden incelenir. Bu örnekte ekonomik yararlanma ile kişiliğin korunması birlikte bulunur.

Anayasanın 12. maddesi temel hak ve hürriyetlerin devredilmez ve vazgeçilmez niteliğini belirtir. Türk Medenî Kanunu m. 23 ve 24 de kişinin özgürlüğünü ve kişilik değerlerini korur. Bu hükümler, her veri kullanım sözleşmesinin geçersiz olduğu anlamına gelmez. Buna karşılık kişinin kendisiyle ilgili bütün bilgilerin, her amaçla ve belirsiz süreyle kullanılmasına karşı hiçbir talepte bulunamayacağını kabul ettiği bir düzenlemenin yalnız sözleşme serbestisine dayanılarak geçerli sayılmasını da önler. Değerlendirme, somut edime ve kişinin haklarının hangi ölçüde sınırlandığına yönelmelidir.⁹

Açık rıza da verinin mülkiyetini karşı tarafa geçiren bir işlem olarak anlaşılamaz. Rızanın belirli bir konuya ilişkin olması gerekir; işleme ise amaçla bağlantılı, sınırlı ve ölçülü kalmalıdır. Böylece bir kullanım için verilen izin ile başka kullanımların hukuki dayanağı ayrılır. Ekonomik menfaat elde edilmesi, bu ayrımı ortadan kaldırmaz.¹⁰

3.4. Anayasa m. 20/3, m. 13 ve temel hakların yatay etkisi

Anayasa m. 20/3, kişisel verilerin korunması bakımından üç bağlantılı güvence kurar. Kişiye verileriyle ilgili taleplerde bulunma hakkı tanır; işlemenin kanunda öngörülen bir hâle veya açık rızaya dayanmasını ister; korumaya ilişkin esas ve usullerin kanunla düzenlenmesini öngörür. Bu yapı, yalnız idarenin veri toplama yetkisini değil, kişinin o işlem karşısındaki hukuki konumunu da ilgilendirir.¹¹

Kanunda bir işleme imkânının bulunması ile bu imkânı tanıyan düzenlemenin Anayasaya uygun olması ayrı sorulardır. Temel haklara getirilen sınırlamalar, Anayasanın 13. maddesindeki güvencelere tabidir. Kanun koyucu, kişisel verilerin korunmasını düzenlerken hakkın özünü etkisizleştiremez; demokratik toplum düzeninin gereklerini ve ölçülülüğü gözetmek zorundadır. Bu nedenle “kanunda yazıyor” açıklaması anayasal incelemenin sonu değildir.

Korumanın özel kişiler arasındaki ilişkilere etkisi, temel hakların yatay etkisi olarak adlandırılır. İşveren ile çalışan, işletme ile müşteri veya yayın kuruluşu ile haberin konusu olan kişi arasındaki uyuşmazlıklar bu sorunu ortaya çıkarır. Anayasanın 11. maddesi, anayasa hükümlerinin diğer kuruluş ve kişileri de bağladığını açıkça belirtir. Bununla birlikte bu bağlayıcılığın özel hukukta hangi hüküm ve talepler aracılığıyla gerçekleştiği ayrıca gösterilmelidir. Anayasal güvenceyi anmak, uygulanacak sözleşme, kişilik hakkı veya veri koruma hükümlerini belirlemenin yerine geçmez.¹²

Varsayımsal bir işyerinde, işverenin personel dosyasını kullanma yetkisi bulunduğu ileri sürülsün. Dosyanın işverene ait sistemde tutulması, çalışan hakkında her bilginin her amaçla kullanılabileceğini göstermez. Önce hangi işleme faaliyetinin söz konusu olduğu, hangi hükme dayandığı ve amacının ne olduğu belirlenir. Daha sonra kapsam, erişim ve saklama bakımından kişinin hakları ile iş ilişkisinin gereklilikleri değerlendirilir. Çalışma hayatına özgü açıklamalar 23. bölümde yapılmaktadır.

Yatay etki ile devletin koruma yükümlülüğü de bağlantılıdır. Özel bir işletmenin müdahalesi karşısında devletin görevi yalnız kendi organlarının müdahaleden kaçınmasıyla bitmez. Hakların korunmasını sağlayan hukuki yolları oluşturması ve bunların işlemesini sağlaması da gerekir. Buna karşılık bu görev, özel kişiler arasındaki her uyuşmazlığın aynı usulle çözüleceği anlamına gelmez. Uygulanacak koruma yolu ve sorumluluk koşulları, ilgili düzenlemelerden belirlenir.¹³

3.5. Kanunilik, gereklilik, ölçülülük ve devletin pozitif yükümlülükleri

Kanunilik, müdahaleye dayanak gösterilen bir kanun hükmünün adını belirtmekle tüketilemez. Hükmün hangi verinin, kim tarafından ve hangi amaçla işlenmesine izin verdiği; yetkinin sınırlarının anlaşılabilir olup olmadığı da önemlidir. Belirsiz bir yetki, kişinin neyle karşılaşacağını öngörmesini ve işlemi tartışmasını güçleştirir. Öğretide kanunilik bu nedenle kanunun şekli varlığının yanında erişilebilirlik ve öngörülebilirlik boyutlarıyla ele alınmaktadır.¹⁴

Kanunla düzenleme güvencesi, uygulamanın hiçbir teknik ayrıntısının ikincil düzenlemeye bırakılamayacağı anlamına da gelmez. Buradaki ayrım, kanunun kurduğu çerçeveyi uygulamak ile hakkın temel sınırlarını ilk kez idari düzenlemeyle belirlemek arasındadır. Anayasanın 124. maddesinde yönetmeliklerin kanunların ve Cumhurbaşkanlığı kararnamelerinin uygulanmasını sağlamak üzere ve bunlara aykırı olmamak şartıyla çıkarılabileceği düzenlenmiştir. Ayrıca m. 104/17, kişisel verilerin korunması hakkının da yer aldığı temel haklar alanını Cumhurbaşkanlığı kararnamesiyle düzenleme yetkisinin dışında bırakır.¹⁵

Gereklilik ve ölçülülük incelemesi ise amaç ile kullanılan araç arasındaki ilişkiye yönelir. Önce işlemenin ulaşılmak istenen amaca elverişli olup olmadığı sorulur. Ardından aynı amacı karşılamaya aynı derecede elverişli olan ve kişinin haklarını daha az sınırlayan bir yol bulunup bulunmadığı değerlendirilir. Son olarak elde edilmek istenen yarar ile kişiye yüklenen külfet arasında makul bir denge aranır. Daha fazla veri toplamanın teknik olarak yararlı olması, bu aşamaların her birini kendiliğinden karşılamaz.

Kurulun 12.03.2020 tarihli ve 2020/212 sayılı kararının resmî özeti bu ayrımı somutlaştırır. Kamu kurumunun güvenlik kamerasında ses kaydı kullanılması değerlendirilirken, beklenen yararın yalnız görüntü kaydıyla elde edilebildiği hâllerde ek ses kaydının ölçülülük ilkesine aykırı olacağı belirtilmiştir. Bu değerlendirme, her türlü ses kaydı için olaydan bağımsız bir sonuç kurmaz. Kullanılan ek aracın, belirlenen amaç karşısındaki gerekliliğinin ayrıca açıklanmasını ister.¹⁶

Anayasa m. 20/3’te kişisel veriler bakımından özel sınırlama sebeplerinin tek tek sayılmamış olması da gözden kaçırılmamalıdır. Kanuna atıf, kanun koyucuya sınırsız takdir yetkisi vermez. Diğer anayasal haklar ve görevlerle karşılaşan veri koruma güvencesi, Anayasanın bütünlüğü içinde ve m. 13’ün sınırlamaya getirdiği güvenceler korunarak değerlendirilmelidir. Bu noktada hangi kamusal ihtiyacın veya karşı hak alanının somut olarak söz konusu olduğu gösterilmeden yalnız “kamu yararı” denmesi yeterli bir gerekçe oluşturmaz.¹⁷

Devletin pozitif yükümlülükleri, hakka saygının korunma imkânlarıyla tamamlanmasını gerektirir. Verinin hangi kurallara göre işleneceğini belirlemek, hukuka aykırı kullanımlara karşı başvuru yolları sağlamak ve uyuşmazlıkları kişinin iddialarını karşılayan gerekçelerle incelemek bu bakımdan önemlidir. Özkaya ve Toprak da korumanın yalnız müdahaleden kaçınma ödeviyle açıklanamayacağını vurgular. Bu yaklaşım, herhangi bir veri ihlalinde devletin koşulsuz tazminat sorumluluğu bulunduğu şeklinde anlaşılmamalıdır; sorumluluğun şartları ayrı bir hukuki inceleme gerektirir.¹⁸

3.6. İfade ve basın özgürlüğü, bilgi edinme ve bilim özgürlüğüyle dengeleme

Kişisel verilerin korunması, başka kişilerin haber verme, düşünce açıklama veya bilimsel araştırma faaliyetleriyle karşılaşabilir. Anayasanın 26. maddesi ifade ve haber alma, 27. maddesi bilim ve sanat, 28. maddesi basın, 74. maddesi ise bilgi edinme haklarını güvenceye bağlar. Bir yayında kişisel bilgi bulunması, yayının kendiliğinden yasaklanmasını gerektirmez. Yayının basın faaliyeti olması da içinde yer alan her kişisel bilgiyi hukuka uygun hâle getirmez.¹⁹

Sorun, somut kullanıma hangi ölçüde ihtiyaç bulunduğunda düğümlenmektedir. Bir kamu görevinin yerine getirilmesine ilişkin eleştiride görevlinin adının belirtilmesi ile aynı kişinin çocuklarının okul bilgilerinin açıklanması farklı gerekçeler gerektirir. Varsayımsal bu örnekte, görevin denetlenmesiyle bağlantılı bilginin açıklanması yönündeki yarar, aileye ilişkin bütün ayrıntılara kendiliğinden yayılmaz. Haber konusu, kişinin olay içindeki konumu ve açıklanan verinin o konuyla ilişkisi ayrı değerlendirilir.

Hakların bir arada etkili olmasını amaçlayan pratik uyuşum yaklaşımı, bir hakkı baştan bütünüyle dışlamak yerine somut olayda iki koruma alanını bağdaştırmayı hedefler. Doğan da basın özgürlüğü ile kişisel verilerin korunması arasındaki ilişkinin bu yöntemle ele alınmasını savunmaktadır. Bu, her olayda iki tarafa eşit miktarda sınırlama getirmek değildir. Bir müdahaleye ihtiyaç olup olmadığını ve varsa hangi kapsamın gerekçelendirilebildiğini araştırmaktır.²⁰

6698 sayılı Kanun m. 28/1-c, sanat, tarih, edebiyat, bilimsel amaçlar veya ifade özgürlüğü kapsamında işlemeye ilişkin istisnayı koşullara bağlar; özel hayatın gizliliği ve kişilik hakları da hükümde korunan değerler arasındadır. Bu nedenle faaliyet adının “haber” veya “araştırma” olarak yazılması tek başına istisna incelemesini bitirmez. İstisnanın kapsamı ile diğer hukuki koruma yolları da birbirinden ayrılır.²¹

Kurulun 02.12.2021 tarihli ve 2021/1217 sayılı kararının resmî özetinde, bir haberin konusu olmayan kişilerin fotoğraf ve bilgilerinin o haberle ilişkilendirilmesi incelenmiştir. Kurul, kamu ilgi ve yararı, gerçeklik ve güncellik ile haberin özü ve biçimi arasındaki dengeyi değerlendirmiş; somut yayını ifade özgürlüğü istisnası kapsamında görmemiştir. Fotoğrafın aleni bir kaynaktan alınmasını ve yüzlerin bulanıklaştırılmasını da tek başına yeterli saymamıştır. Buradaki sonuç, doğrulama özeninin ve kişinin diğer bilgilerle tanınabilirliğinin birlikte değerlendirilmesine dayanır. Özetin ölçütleri bütün basın uyuşmazlıklarını mekanik biçimde çözen bir formüle dönüştürülmemelidir.²²

Bilgi edinme ve bilimsel araştırma bakımından da amaç ile kişinin belirlenmesine ihtiyaç duyulması ayrı sorulardır. Bir kurumun faaliyetini denetlemek için işlem sayılarını bilmek yeterliyse, aynı başvuruda ilgisiz kişilerin sağlık ayrıntılarının açıklanması ayrıca gerekçelendirilmelidir. Bir araştırmada kişinin kimliğiyle bağlantının korunmasının gerekli olup olmadığı da araştırma sorusuna ve kullanılacak yönteme göre değerlendirilir. Bilimsel değer taşıma ile bütün kişisel bilgileri sınırsızca kullanabilme aynı anlama gelmez.

Uygun çözüm bazen bilginin açıklanması, bazen talebin sınırlandırılması, bazen de kişiyi belirleyen ayrıntılar çıkarılarak bilgi verilmesi olabilir. Ayrıntıların çıkarılması ise ancak kişinin kalan bilgilerle belirlenebilirliğini gerçekten etkilediği ölçüde işlev görür. Böylece dengeleme, bir hakkın adını diğerinin karşısına yazmakla değil, hangi bilginin hangi amaç için ve hangi biçimde kullanılacağının açıklanmasıyla yapılır.

İçindekiler · Ayrıntılı kitap planı