4. Kaynaklar ve Türk hukukunun gelişimi

Bir uyuşmazlıkta eski bir kararın, güncel bir rehberin ve yeni bir kanun hükmünün aynı sonuca işaret edip etmediği ayrıca araştırılmalıdır. Kaynağın tarihi, hangi işlemi konu aldığı ve hukuki değeri bu karşılaştırmanın parçalarıdır. Bölüm, Türk hukukundaki gelişim ve 2024 değişikliklerinden hareketle normlar arasındaki ilişkiyi kurmakta; ardından uluslararası ve Avrupa kaynaklarının Türk hukukunun açıklanmasında nasıl kullanılabileceğini, uygulanma alanlarıyla birlikte ele almaktadır.

4.1. Türk hukukundaki gelişim ve 6698 sayılı Kanunun sistematiği

Bir sağlık kuruluşunun eski bir Kurul kararına dayanarak veri işleme politikasını düzenlediği düşünülebilir. Kararda sağlık verisinin özel nitelikli olduğu, işlenmesinin belirli şartlara bağlandığı ve yurt dışına aktarımın ayrıca değerlendirildiği açıklanmış olabilir. Bununla birlikte kararın verildiği tarihten sonra kanun değişmişse, bu açıklamaların hepsi aynı biçimde kullanılabilecek midir? Kaynağın kim tarafından hazırlandığı kadar hangi norm dönemine ilişkin olduğu da önem taşır. Veri koruma hukukunu izleyebilmek, hakkın dayanağı ile işleme kurallarının tarihsel gelişimini birlikte görmeyi gerektirir.

Genel kanundan önceki koruma ve 2010 değişikliği

Türk hukukunda kişisel verilerin korunması 6698 sayılı Kanunla başlamamıştır. Kanundan önce de özel hayatı, kişilik değerlerini ve belirli ilişkilerde edinilen bilgileri koruyan hükümler bulunmaktaydı. Nitekim 2016 tasarısının genel gerekçesi, kişisel verilerin korunmasına ilişkin hükümlerin farklı kanunlara dağıldığını, Türk Ceza Kanununun 135 ve devamı maddelerinde bazı fiillerin suç olarak düzenlendiğini belirtmektedir. Gerekçede dile getirilen ihtiyaç, hiçbir koruma bulunmayan bir alana ilk kez müdahale edilmesi değil, işleme şartlarını ve denetimi bütüncül biçimde düzenleyen bir kanunun çıkarılmasıdır.¹ Bu ayrım, eski bir uyuşmazlığı sırf 6698 sayılı Kanundan önce gerçekleştiği için hukuki koruma dışında görmeyi önler.

2010 değişikliğiyle Anayasanın 20. maddesine kişisel verilerin korunmasını isteme hakkını açıkça düzenleyen üçüncü fıkra eklenmiştir. Hüküm, bilgilendirilme ve erişimden düzeltme ve silme talebine kadar bir dizi güvenceyi belirtmiş; işlemenin kanunda öngörülen hâllere veya açık rızaya dayanmasını ve esas ve usullerin kanunla düzenlenmesini öngörmüştür.² Böylece korumanın anayasal dayanağı belirginleşmiştir. Bununla birlikte anayasal güvence ile bu güvenceyi işlemler, yükümlülükler ve denetim yolları bakımından somutlaştıran genel kanun aynı işlevi görmez. Hakkın anayasal niteliği üçüncü bölümde açıklanan çerçeveyi kurarken, genel kanun veri işleyenlerin hangi kurallara uyacağını ayrıntılandırır.

Genel düzenlemeye duyulan ihtiyaç yalnızca tek bir dış uyum gerekçesine indirgenemez. Tasarının genel gerekçesinde anayasal güvencenin somutlaştırılması, işleme faaliyetlerinin denetlenmesi, Avrupa Birliğiyle ilişkiler ve sınır aşan bilgi paylaşımında yaşanan sorunlar birlikte ele alınmıştır. Avrupa Konseyinin belgeleri ile 95/46/EC sayılı Direktifin etkisi de aynı belgede görülmektedir.³ Bunlar düzenlemenin hazırlanma amaçlarını gösterir; kanunun ekonomik sonuçlarının gerçekleştiğini veya her yönüyle yabancı düzenlemeyle özdeş olduğunu kanıtlamaz. Öğretide de 6698 sayılı Kanunun 95/46/EC sayılı Direktiften etkilenmesine rağmen tam uyum sağlamadığı yönünde değerlendirmeler bulunmaktadır.⁴ Bu nedenle tarihsel etki, Türk hükmünün yerine yabancı hükmün uygulanması için tek başına yeterli değildir.

Kabul, yayım ve yürürlük

6698 sayılı Kişisel Verilerin Korunması Kanunu 24 Mart 2016 tarihinde kabul edilmiş, 7 Nisan 2016 tarihli ve 29677 sayılı Resmî Gazete’de yayımlanmıştır. Ancak bütün hükümleri aynı gün yürürlüğe girmemiştir. Kanunun 32. maddesi uyarınca 8, 9, 11 ve 13–18. maddeler yayımından altı ay sonra, diğer maddeler yayımı tarihinde yürürlüğe girmiştir.⁵ Dolayısıyla tarihsel bir olay değerlendirilirken kanunun kabul tarihi, ilgili hükmün yürürlük tarihi ve varsa geçiş düzenlemesi ayrı belirlenmelidir. Bir hükmün yürürlüğe girmesi de o hükme ilişkin bütün uyum sürelerinin aynı tarihte dolduğu anlamına gelmez.

Kanunun birlikte okunması gereken katmanları

Kanunun birinci maddesi, kişisel verilerin işlenmesinde temel hak ve özgürlükleri koruma amacıyla veri işleyenlerin yükümlülüklerini aynı düzenlemede birleştirir. Bu tercih, kanunun sistematiğine de yansır. Kanun yalnızca hangi verinin işlenebileceğini veya ihlal hâlinde ne kadar ceza verileceğini söyleyen bir metin değildir. Kişisel verinin niteliği, işlemenin sınırları, ilgili kişinin hakları ve bunların uygulanmasını sağlayan kurumlar birbirini tamamlar.⁶

Bu harita hükümleri sırayla bulmayı kolaylaştırır; hukuki değerlendirme ise çoğu kez farklı bölümlerdeki maddelerin birlikte okunmasını gerektirir. Örneğin bir verinin işlenmesi için 5. maddede bir sebep bulunması, 4. maddedeki amaçla sınırlılık ve ölçülülüğü veya 12. maddedeki güvenlik yükümlülüğünü ortadan kaldırmaz. İlgili kişinin hakları, başvuru ve şikâyet düzenlemeleriyle; yaptırımlar ise ihlal edildiği ileri sürülen yükümlülükle birlikte incelenir. Ayrıca 28. maddedeki istisnalar değerlendirilmeden yalnızca bir maddeden hareketle kanunun her faaliyete aynı biçimde uygulanacağı sonucuna varılamaz.⁷

Kanun, Kurumu ve Kurulu da farklı kavramlar olarak kullanır: Kurum, Kurul ve Başkanlıktan oluşur; Kurul Kurumun karar organıdır. Bu ayrım, bir kararın veya açıklamanın hangi makamdan çıktığını belirlerken önem kazanır.⁸ Bunun yanında kanunun ilk kabul metni zaman içinde yapılan değişiklikleri içermez. Özellikle 2024 değişiklikleri, aynı madde numaralarının altında farklı kurallar bulunabileceğini göstermektedir. Bu nedenle kanunun yapısını öğrenmek ile belirli bir olayda uygulanacak sürümünü belirlemek birbirini tamamlayan iki ayrı iştir.

4.2. 2024 değişiklikleri, geçiş hükümleri ve eski kararların okunması

2024 değişiklikleri yeni bir genel veri koruma kanunu kabul edilmesi yoluyla yapılmamıştır. 2 Mart 2024 tarihinde kabul edilen ve 12 Mart 2024 tarihli Resmî Gazete’de yayımlanan 7499 sayılı Kanunun 33–36. maddeleriyle 6698 sayılı Kanunun 6, 9 ve 18. maddeleri değiştirilmiş, geçici 3. madde eklenmiştir. Bu değişiklikler 1 Haziran 2024 tarihinde yürürlüğe girmiştir.⁹ Aynı kanun içinde belirli alanlara yönelen bu müdahale, bütün veri koruma rejiminin veya bütün eski kararların geçerliliğinin topluca değiştiği biçiminde okunamaz.

Değişikliğin maddi ve usuli kapsamı

Özel nitelikli kişisel veriler bakımından eski 6. madde, rıza dışındaki işleme şartlarında sağlık ve cinsel hayata ilişkin veriler ile diğer özel nitelikli verileri ayırmaktaydı. Yeni düzenleme, özel nitelikli veriler için ortak bir işleme şartları listesi kurmuştur. Açık rızanın yanında kanunlarda açıkça öngörülme, bir hakkın tesisi, kullanılması veya korunması için zorunluluk ve istihdam ile sosyal güvenlik gibi alanlardaki hukuki yükümlülüklerin yerine getirilmesi için zorunluluk da bu listede yer alır.¹⁰ Bunun sonucu, eski şartlara göre çözümlenmiş bir olayın bugünkü işleme sebebinin yeniden incelenmesi gereğidir. Buna karşılık değişiklik, özel nitelikli verileri bu niteliğinden çıkarmamış; genel ilkeleri ve Kurulca belirlenen yeterli önlemleri gereksiz kılmamıştır. İşleme sebeplerinin ayrıntıları onuncu bölümde ele alınacaktır.

Yurt dışına aktarımda eski 9. maddenin açık rıza ve rıza dışı aktarım ayrımı yerine, yeterlilik kararı, uygun güvenceler ve belirli şartlarda arızi aktarımlardan oluşan bir yapı kurulmuştur. Yeterlilik kararı ve uygun güvence yollarında, 5 veya 6. maddedeki işleme şartlarından birinin bulunması da açıkça aranır. Açık rıza ise aktarım hukukundan çıkarılmamıştır: Kanunun 9/6-a hükmünde muhtemel riskler hakkında bilgilendirmeye dayanan ve arızi aktarım çerçevesinde kullanılabilen bir sebep olarak düzenlenmiştir.¹¹ Dolayısıyla “rıza artık kullanılamaz” sonucu kadar, “rıza varsa her düzenli aktarım yapılabilir” sonucu da hükmün yapısını karşılamaz.

Standart sözleşmenin imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmesi yükümlülüğü ile bu yükümlülüğe aykırılık için kabahat de düzenlenmiştir. Kanunun 18/2 hükmü, bu kabahat bakımından veri işleyen gerçek kişiler ile özel hukuk tüzel kişilerini de yaptırımın muhatapları arasına alır.¹² Buradan veri işleyenlerin 18. maddedeki bütün kabahatler için veri sorumlularıyla aynı sıfatla cezalandırılacağı sonucu çıkarılamaz. Aktarım araçlarının şartları on üçüncü, yaptırım sorumluluğu yirminci bölümde ayrıca incelenmelidir.

İki geçiş hükmünün farklı konusu

Geçici 3. maddenin birinci fıkrası, eski 9. maddenin yalnızca birinci fıkrasının, yeni maddeyle birlikte 1 Eylül 2024 tarihine kadar uygulanmasını sürdürmüştür. Böylece yeni rejim 1 Haziran’da yürürlüğe girerken, eski birinci fıkraya dayanan açık rıza yolunun bir süre daha kullanılması mümkün kılınmıştır.¹³ Bu düzenleme eski 9. maddenin bütün fıkralarının yürürlüğünü uzatmaz; özel nitelikli verilerin işlenme şartlarına veya diğer yükümlülüklere genel bir erteleme de getirmez.

Eski rızanın geçerliliği ile o rızanın güncel bir aktarımı hangi şartlarla mümkün kıldığı ayrı sorulardır. Öğretide, önceki dönemde hukuka uygun biçimde verilmiş rızaların hukuki işlemi ayakta tutma ve kişinin iradesine saygı gerekçeleriyle korunması gerektiği savunulmuştur.¹⁴ Bununla birlikte rızanın korunması, eski aktarım yönteminin süresiz devamı anlamına gelmez. 1 Eylül 2024 sonrasındaki aktarım için yeni 9. maddenin öngördüğü yolun ve şartların karşılanması gerekir. Eski bir rıza metninin yeni rejimdeki belirli bir kullanıma yeterliliği ise kapsamı, bilgilendirmesi ve irade açıklamasının özellikleri üzerinden ayrıca değerlendirilmelidir. Bir rızanın geçmişte alınmış olması, bu incelemenin yerine geçmez.

İkinci geçiş hükmü yargı yoluyla ilgilidir. Değişen 18. madde, Kurulun verdiği idari para cezalarına karşı idare mahkemelerinde dava açılabileceğini düzenlemiştir. Bununla birlikte 1 Haziran 2024 tarihi itibarıyla sulh ceza hâkimliklerinde görülmekte olan başvuruların aynı hâkimliklerce görülmeye devam edilmesi öngörülmüştür.¹⁵ Bu nedenle eldeki dosyanın hangi mercide ve hangi tarihte görülmekte olduğu önemlidir. Yalnızca Kurul kararının eski veya yeni tarihli olmasına bakarak bütün geçiş uyuşmazlıkları çözülemez. Yaptırımın dayandığı fiile uygulanacak maddi hukuk, görevli yargı yeri ve başvuru usulü de birbirine karıştırılmamalıdır.

Eski kararların kullanılma biçimi

Eski bir karar okunurken önce olayın ve işlemenin tarihi, uygulanan hükmün o tarihteki metni ve kararı taşıyan gerekçe belirlenmelidir. Ardından kanun değişikliğinin gerekçedeki hangi önermeyi etkilediği araştırılmalıdır. Kişisel veri niteliğine veya amaçla sınırlılığa ilişkin açıklama ile artık değişmiş bir işleme şartına ilişkin sonuç aynı durumda değildir. Değişiklik kararın tarihsel uyuşmazlıktaki işlevini ortadan kaldırmaz; fakat eski sonucu yeni bir işleme faaliyetine doğrudan taşıma imkânını sınırlayabilir.

Örneğin sürekli kullanılan yabancı bir bulut hizmetine ilişkin eski kararda rızaya dayalı aktarım değerlendirilmişse, hizmetin sürdürülmesi için bugün yalnızca aynı rıza metninin dosyada bulunmasına dayanılması yeterli değildir. Aktarımın sürekliliği, yeni 9. maddeye göre kullanılabilecek yol ve bu yolun koşulları ayrıca incelenmelidir. Eski karardaki güvenlik veya ölçülülük gerekçesinin güncelliği ise ayrı değerlendirilir.¹⁶ Bu yöntem, eski kararları topluca değersiz saymadan, değişmiş kanuni dayanağın güncel uygulamayı yönlendirmesini sağlar.

4.3. Anayasa, kanun, yönetmelik ve tebliğlerin ilişkisi

Bir işlemenin bir yönetmelikte veya kurumun hazırladığı formda yer alması, hukuka uygunluğu için tek başına yeterli değildir. Önce düzenlemenin hangi yetkiye dayandığı ve üst normlarla uyumu incelenmelidir. Anayasanın 11. maddesi kanunların Anayasaya aykırı olamayacağını; 13. maddesi temel hakların ancak kanunla ve belirtilen anayasal sınırlara uygun biçimde sınırlanabileceğini düzenler. Kişisel verilerin korunmasına ilişkin esas ve usullerin kanunla düzenlenmesini öngören 20/3 hükmü de bu alanın kanuni çerçevesini gerekli kılar.¹⁷

Kanunla düzenleme gereği, her teknik ayrıntının kanun metninde sayılmasını zorunlu kılan bir yaklaşım olarak okunmamalıdır. Bununla birlikte kanuni çerçeve ile o çerçeveyi uygulayan idari düzenleme birbirinin yerine geçemez. Anayasanın 124. maddesi yönetmelik çıkarma yetkisini, görev alanındaki kanunların ve Cumhurbaşkanlığı kararnamelerinin uygulanmasını sağlama ve bunlara aykırı olmama şartına bağlar. Ayrıca kişisel verilerin korunması, Anayasanın kişi hakları bölümünde bulunduğundan, 104/17 hükmündeki Cumhurbaşkanlığı kararnamesiyle düzenleme yasağı da gözetilmelidir.¹⁸ İdarenin teknik uzmanlığı, bu yetki sınırlarını kaldırmaz.

6698 sayılı Kanun bazı konularda tamamlayıcı düzenlemeye açıkça yer vermiştir. Silme, yok etme ve anonimleştirme usullerinin yönetmelikle düzenlenmesi, sicile ilişkin usul ve esaslar ve Kurulun belirli alanlarda düzenleyici işlem yapması bunun örnekleridir.¹⁹ Bu yetkiler, kanunun uygulanmasını somutlaştırır. Buna karşılık bir yönetmelik veya tebliğ, kanunun tanımadığı sınırsız veri toplama yetkisi kurduğu varsayımıyla yorumlanamaz. Düzenleme belirli bir verinin kaydını öngörüyorsa bu gerekliliğin kanuni göreve, amaca ve veri kategorisine nasıl bağlandığı da gösterilmelidir.

Belgenin adı, incelemeyi bitirmez. Tebliğdeki bir kuralın düzenleyici niteliği, içeriği ve dayandığı yetkiyle birlikte değerlendirilir; bir formun kamu kurumunca hazırlanmış olması ise formdaki her soruyu kendiliğinden kanuni yükümlülük hâline getirmez. Örneğin kanunda açıkça öngörülme sebebine dayanıldığı ileri sürülüyorsa, yalnız form veya genelge gösterilmesi yerine bu iddiayı taşıyan kanun hükmü belirlenmelidir. Başka bir işleme sebebinin bulunup bulunmadığı da ayrı sorudur.²⁰ Böylece düzenleme tekniği ile kişisel verilerin işlenme şartı birbirine karıştırılmaz.

Milletlerarası andlaşmalar bakımından ayrıca Anayasanın 90. maddesi uygulanır. Usulüne göre yürürlüğe konulmuş andlaşmalar kanun hükmündedir; temel hak ve özgürlüklere ilişkin olanlarla kanunların aynı konuda farklı hükümler içermesinden doğan uyuşmazlıklarda andlaşma hükümleri esas alınır.²¹ Dolayısıyla bütün dış kaynakları kanunun altına veya üstüne yerleştiren tek bir şema yeterli değildir. Önce belgenin andlaşma mı, yabancı hukuk kuralı mı, rehber mi olduğu; ardından Türkiye bakımından hukuki etkisi belirlenmelidir.

4.4. Kurul kararları, ilke kararları, rehberler ve tavsiyelerin hukuki değeri

Kurumun internet sitesindeki belgeler aynı hukuki işlevi görmez. Bir veri sorumlusu hakkında verilen karar, yaygın ihlale ilişkin ilke kararı, karar özeti ve açıklayıcı rehber birbirinden ayrılmalıdır. Resmî sitede yayımlanmış olma, belgenin kaynağını doğrulamaya yardımcı olur; fakat bütün bu belgeleri aynı tür bağlayıcı norm hâline getirmez.

Kanunun 15. maddesi, Kurulun şikâyet üzerine veya resen incelemesini; hukuka aykırılığın giderilmesine, belirli şartlarda işlemenin durdurulmasına ve yaygın ihlal hâlinde ilke kararı alınmasına ilişkin yetkilerini düzenler. Hukuka aykırılığın giderilmesi yönündeki kararın muhatabı bakımından yerine getirilme yükümlülüğü de kanunda gösterilmiştir.²² Böyle bir karar, yalnızca akademik bir görüş açıklaması değildir. Bununla birlikte aynı olayla ilgili gerekçe, farklı bir veri sorumlusunun farklı işlemine aktarılırken olay, dönem ve hukuki dayanak karşılaştırılmalıdır; karar sonucunun benzer görünen her ilişkiye otomatik uygulanacağı varsayılamaz.

İlke kararı ise kanunun 15/6 hükmünde, ihlalin yaygın olduğunun tespiti üzerine alınan ve yayımlanan bir işlem olarak düzenlenmiştir. İşlevi, tek bir muhatabın davranışının ötesine uzanan uygulama sorununa yönelmektir. Bu niteliğiyle genel bir açıklamadan ayrılır. Ancak ilke kararı da kanunun ve Kurulun yetkisinin sınırları içinde değerlendirilir; ona kanunu değiştirme gücü atfedilemez.²³ Kararın kapsamına kimin, hangi faaliyetin ve hangi dönemin girdiği, yalnız başlığından değil hüküm ve gerekçesinden belirlenmelidir.

Belgenin içeriğine bakma gereği, “duyuru” başlığında yayımlanan metinlerde de görülür. Kurumun 24 Ocak 2019 tarihli ve 2019/10 sayılı karara ilişkin duyurusu, kanundaki bildirim yükümlülüğünü aktarırken Kurula bildirim için 72 saatlik yorumun Kurul kararından kaynaklandığını açıklar. Aynı metin, ilgili kişilere bildirimi makul olan en kısa süreyle ayrıca ele alır.²⁴ Dolayısıyla “duyuru” başlığını görmek, içerikte yalnızca tavsiye bulunduğunu; 72 saat açıklamasını görmek de bunun kanunun lafzında yazdığını söylemeye yetmez. Buradaki ayrım kaynak türüne ilişkindir; ihlal bildiriminin bütün şartları on altıncı bölümde incelenecektir.

Rehberler ve tavsiyeler ise normun anlaşılması, teknik seçeneklerin değerlendirilmesi ve kurum yaklaşımının öngörülmesi bakımından değer taşır. Bir rehberde kanuni yükümlülük, Kurul kararı ve iyi uygulama önerisi birlikte bulunabilir. Bunların hukuki etkisi, rehberin bütününe tek bir etiket verilerek belirlenemez. Rehberin aktardığı yükümlülük dayandığı hükümden, kararın etkisi ilgili işlemden doğar; öneri ise sırf rehbere girdiği için yeni bir kabahate dönüşmez. Öğretide de kanundaki her ihlalin idari para cezasıyla karşılandığı şeklindeki genişletici yaklaşım eleştirilmektedir.²⁵

Karar özetleri kullanılırken bunların kararın aslıyla aynı belge olmadığı da hatırlanmalıdır. Özet, yayımlanan olay ve gerekçeyi gösterir; paylaşılmayan olgular, savunmalar veya değerlendirmeler özette varmış gibi tamamlanamaz. Rehber, özet ve karar arasında görünür bir farklılık varsa önce tarih ve kapsam, ardından dayanak norm ve işlemin hukuki niteliği karşılaştırılır. Kaynakların farklı işlevlerini ayırmak, kurumsal açıklamayı değersizleştirmeden kanunun üstünlüğünü ve yargısal denetimi korur.

4.5. Avrupa Konseyi, AİHS, 108 sayılı Sözleşme ve güncelleme süreci

Avrupa Konseyi ile Avrupa Birliği farklı hukuki yapılardır. Avrupa İnsan Hakları Sözleşmesi (AİHS) ve 108 sayılı Sözleşme Avrupa Konseyi çerçevesindeki andlaşmalardır; GDPR ise Avrupa Birliği düzenlemesidir. Bu kaynakların Türk hukukuyla ilişkisi, aynı “Avrupa standardı” ifadesi altında birleştirilemez. Andlaşmaların etkisi bakımından önceki başlıkta açıklanan Anayasanın 90. maddesi; AB düzenlemeleri bakımından ise ilgili düzenlemenin uygulanma alanı ve karşılaştırmalı yorum imkânı önem taşır.

AİHS’nin 8. maddesi özel ve aile hayatına, konuta ve haberleşmeye saygı hakkını korur. Kamu makamlarının müdahalesini kanuna uygunluk, sayılan meşru amaçlar ve demokratik toplumda gereklilik şartlarına bağlar.²⁶ Kişisel verilerin işlenmesinin özel hayata etkisi bakımından bu güvence önemlidir; fakat hükmün lafzı, 6698 sayılı Kanundaki bütün işleme şartları ve başvuru usullerini tek tek düzenlemez. Bu nedenle sözleşmesel hak güvencesiyle ulusal veri koruma rejiminin somut mekanizmaları ayrı görülmelidir. Tekil uyuşmazlıkta AİHM içtihadının uygulanması da ilgili olay ve gerekçenin incelenmesini gerektirir.

28 Ocak 1981 tarihli 108 sayılı Sözleşme, otomatik işlemeye tabi kişisel veriler bakımından özel bir koruma çerçevesi kurmuştur. İlk metnin 4–8. maddeleri; iç hukukta gerekli önlemleri alma, verilerin niteliği ve amaçla sınırlılığı, özel veri kategorileri, güvenlik ve ilgili kişinin bilgi ve düzeltme imkânlarını birlikte ele alır. İstisnalar 9. maddede ayrıca sınırlandırılmıştır.²⁷ Böylece koruma yalnızca verilerin gizli tutulmasına indirgenmez; verinin elde edilme ve kullanılma biçimini de kapsar.

Sözleşmenin sınır aşan akışa ilişkin 12. maddesi de kendi şartları ve istisnalarıyla okunmalıdır. Bu hüküm ile ulusal aktarım rejimi arasındaki ilişki, “iki ülke de sözleşmeye tarafsa bütün aktarımlar serbesttir” önermesine indirgenemez. Nitekim Kurumun eski 9. madde dönemindeki açıklaması, taraflık ile yeterli koruma değerlendirmesini ayrı tutmuştur.²⁸ Bu kurumsal yorumun 2020 dönemine ait olması ve aktarım maddesinin 2024’te değişmesi nedeniyle, güncel bir aktarımın çözümü yeni hüküm ve ilgili andlaşma hükümleri birlikte incelenerek kurulmalıdır. Kurum açıklamasının kendisi bir andlaşmanın veya kanunun yerine geçmez.

108 sayılı Sözleşmenin modernleştirilmesi için hazırlanan 223 sayılı Değişiklik Protokolü, 10 Ekim 2018 tarihinde imzaya açılmıştır. “108+” adıyla anılan modernleştirilmiş çerçeve, ilk metinle karıştırılmamalıdır. Protokol, otomatik olmayan yapılandırılmış veri kümelerine ilişkin işlemeyi de tanımlayan değişiklikler içerir; imza, bağlanma iradesinin açıklanması ve yürürlük için ayrı hükümler öngörür.²⁹ Bir güncelleme metninin yayımlanmış olması, Türkiye bakımından uygulanacak sözleşme sürümünün kendiliğinden değiştiği anlamına gelmez. Somut değerlendirmede ilgili devletler ve tarih bakımından taraflık, yürürlük ve varsa geçici uygulama şartları belirlenmelidir.

4.6. AB veri koruma sistemi ve GDPR; karşılaştırmanın imkânları ve sınırları

Avrupa Birliğindeki veri koruma sistemi tek bir metinden ibaret değildir. Genel Veri Koruma Tüzüğü olarak adlandırılan 2016/679 sayılı GDPR’ın yanında, yetkili makamların suçların önlenmesi ve soruşturulması gibi amaçlarla yaptığı işlemeler için 2016/680 sayılı Direktif, AB kurumlarının işlemeleri için de ayrı bir düzenleme bulunmaktadır.³⁰ Bu nedenle karşılaştırmaya başlamadan önce yabancı kaynağın hangi aktör, faaliyet ve hukuk düzenine ilişkin olduğu belirlenmelidir. Örneğin bir kolluk faaliyeti hakkında yalnızca GDPR’ın genel kurallarına bakılması, AB hukukundaki kaynak ayrımını dahi gözden kaçırabilir.

GDPR 27 Nisan 2016 tarihinde kabul edilmiş, 4 Mayıs 2016 tarihinde AB Resmî Gazetesi’nde yayımlanmış ve 24 Mayıs 2016’da yürürlüğe girmiştir. Genel uygulanma tarihi ise 25 Mayıs 2018’dir; 95/46/EC sayılı Direktif de bu tarihten itibaren yürürlükten kaldırılmıştır.³¹ Böylece 2018 tarihiyle ilgili kaynaklar okunurken yürürlüğe giriş ile uygulanmaya başlama ayrılmalıdır. Aynı tarihler, 6698 sayılı Kanunun Türk hukukundaki yürürlük takvimiyle de karıştırılmamalıdır.

Türk hukukuna ilişkin bir değerlendirmede GDPR iki farklı nedenle önem kazanabilir. Birincisi, somut işleme GDPR’ın kendi uygulanma alanına da girebilir. Üçüncü madde, AB’deki bir kuruluşun faaliyetleri bağlamındaki işlemelerin yanı sıra, belirli şartlarla AB’de bulunmayan veri sorumlusu veya işleyenin Birlikte bulunan kişilere mal veya hizmet sunması yahut onların Birlik içindeki davranışlarını izlemesiyle bağlantılı işlemeleri de kapsar.³² Bu nedenle bir işletmenin Türkiye’de kurulmuş olması, GDPR bakımından incelemeyi gereksiz kılmaz. Buna karşılık yalnız kişinin AB vatandaşlığına bakılması da bu hükümdeki yer ve faaliyet ölçütlerinin yerine geçmez.

İkinci önem, karşılaştırmalı yorumdan doğar. Benzer amaçları gerçekleştiren farklı düzenlemeler, Türk hükmünün işlevini ve uygulama seçeneklerini anlamaya yardımcı olabilir. Ancak bu durumda önce Türk hükmünün lafzı ve sistem içindeki yeri belirlenmeli; yabancı düzenlemenin benzerliği ve farklılığı bundan sonra gösterilmelidir. Örneğin GDPR’ın 20. maddesi, belirli işleme sebepleri ve otomatik işleme şartları altında yapılandırılmış ve makinece okunabilir biçimde veri alma ve başka sorumluya iletme hakkını düzenler. 6698 sayılı Kanunun 11. maddesinde aynı kapsamda bir taşınabilirlik hakkı açıkça sayılmamıştır.³³ Karşılaştırma bu farkı görünür kılar; yabancı hakkın bütün koşul ve sonuçlarıyla Türk hükmüne zaten yazılmış olduğunu göstermez.

2024 aktarım değişikliklerinde de benzerlik, özdeşlik anlamına gelmez. Yeterlilik kararı, uygun güvence ve istisnai aktarım gibi mekanizmaların karşılaştırılması yararlıdır; fakat Türk hükmündeki şartlar, merci ve bildirim yükümlülükleri kendi kaynaklarından belirlenmelidir. Öğretide yeni aktarım sisteminin AB hukuku ışığında değerlendirilmesi bu yöntemle yapılmaktadır.³⁴ Aynı dikkat, Avrupa Veri Koruma Kurulunun (EDPB) rehberleri için de geçerlidir. EDPB, GDPR’ın AB içinde tutarlı uygulanmasına yönelik bir organdır; onun bir açıklaması Türk Kurulunun kararı veya Türk kanununda yeni bir işleme sebebi değildir.³⁵

Bu bakımdan yabancı bir kaynakla çalışırken üç soru birbirini izlemelidir: Düzenleme somut olaya kendi kuralları gereği uygulanıyor mu; uygulanmıyorsa hangi Türk hükmünün yorumuna katkı sağlıyor; önerilen çözüm yürürlükteki Türk hukukunun yorumu mu, yoksa kanun değişikliği önerisi mi? Bu ayrım kurulmadan yabancı bir rehberdeki çözümün doğrudan yükümlülük veya istisna olarak aktarılması, açıklanmaya çalışılan hukuki sorunu daha da belirsizleştirir.