12. Yurt içi aktarım ve veri paylaşımı

Veriye erişebilenlerin değişmesi, kaydın ilk oluşturulma amacından ayrı bir değerlendirmeyi gerektirebilir. Belirli alanların hizmet sağlayıcıya verilmesiyle bütün kayıt sisteminin açılması arasındaki fark, aktarımın yalnız dosya gönderme olarak düşünülmemesi gerektiğini gösterir. Bölümde bu farklı akışlar, alıcının rolü ve kullanım amacı üzerinden incelenmektedir. Kurum içi erişim, ayrı tüzel kişiye paylaşım ve herkese açık yayım ayrıştırılarak sonraki yurt dışı aktarım incelemesinin zemini kurulmaktadır.

12.1. Aktarım, açıklama, erişime açma ve kurum içi kullanım

Kişisel verinin başka bir kişiye verilmesi, onu yalnız bir yerden başka bir yere taşımak değildir. Verinin kim tarafından öğrenilebilir veya kullanılabilir hâle geldiğini de değerlendirmek gerekir. Kanun’un 3. maddesi, açıklama, aktarma, devralma ve elde edilebilir hâle getirmeyi kişisel veri işleme kapsamında sayar. Bu nedenle inceleme yalnız dosyanın kopyalanmasına veya e-posta eki gönderilmesine indirgenemez. Verinin bulunduğu sistemde başka kişilere erişim açılması da hukuki değerlendirmeye konu bir işlemdir.¹

Öğretide aktarım, verinin bir veri sorumlusunun hâkimiyet alanından başka bir veri sorumlusu veya veri işleyenin hâkimiyet alanına geçmesiyle açıklanır. Bu anlatım, verinin ilk kişide kalmaya devam ettiği durumları da anlamaya yardımcı olur. Asıl kayıt silinmeden başka bir kişiye kopya verilmesi, bilgiye yeni bir kişinin ulaşması sorununu ortadan kaldırmaz. Belirleyici olan yalnız kayıt ortamının değişmesi değil, veriyi işleyebilecek aktörlerin ve erişim alanının değişmesidir.²

Erişime açılan verinin kapsamı da ayrıca belirlenmelidir. Örneğin belirli bir müşterinin teslimat adresinin ilgili hizmet sağlayıcıya iletilmesiyle, sağlayıcının bütün müşteri veri tabanını görüntüleyebilmesi aynı işlem değildir. Her iki durumda da hangi verinin, kime, hangi amaçla ve hangi yetkiyle kullanılabilir kılındığı sorulmalıdır. Bir kişiye erişim yetkisi tanımlanması, onun bu yetkiyle yapabileceği bütün işlemleri otomatik olarak haklı kılmaz. Erişimin sınırlanmasıyla işlemenin hukuki dayanağı birbirini tamamlayan gerekliliklerdir.³

Aynı tüzel kişinin organizasyonu içindeki veri kullanımı ise başka bir kişiye aktarım sorusundan ayrılmalıdır. Ünsal Özden, Uz ve Karamustafaoğlu, aynı veri sorumlusunun departmanları arasındaki dolaşımı 8. madde anlamındaki aktarımla aynı görmezler; departmanların ayrıca veri sorumlusu veya veri işleyen olmadığını belirtirler. Bununla birlikte kurum içinde bulunmak her çalışanın bütün verilere erişebileceği anlamına gelmez. İşin gerektirdiği yetki, amaçla sınırlılık ve hukuka aykırı erişimi önleme yükümlülüğü organizasyon içinde de devam eder.⁴

Buna karşılık farklı tüzel kişilere ait kuruluşların aynı şirketler topluluğunda yer alması, onları tek bir organizasyon birimine dönüştürmez. Aynı yazarlar, grup şirketleri arasındaki paylaşımı departmanlar arasındaki kullanımdan ayırır. Bu nedenle bir kaydın “grup içinde” gönderildiğinin söylenmesi yeterli değildir; gönderici ve alıcının hangi tüzel kişiler olduğu belirlenmelidir. Aralarındaki rol ve paylaşım şartları 12.4’te ayrıca ele alınacaktır.⁵

Dış hizmet sağlayıcıya veri açılmasında da alıcının sıfatı önemlidir. Işık, veri sorumlusu adına hareket eden veri işleyene verinin verilmesiyle bağımsız başka bir veri sorumlusuna aktarımın aynı şekilde değerlendirilmemesi gerektiğini savunur ve işleyen ilişkisindeki sözleşmenin rolünü vurgular. Bu görüş, tarafların işlevlerinin neden belirlenmesi gerektiğini gösterir. Ancak yalnız bir hizmet sözleşmesinin bulunmasından, her veri kullanımının hukuka uygun olduğu sonucu çıkarılmamalıdır. Veriyi alanın hangi amaçla, kimin adına ve hangi talimat sınırında hareket ettiğiyle, somut işlemin dayanağı ayrıca belirlenir.⁶

Erişimin istenmeden genişlemesi de hukuki incelemenin dışında değildir. Kurulun 2023/1796 sayılı karar özetinde, bir giyim mağazasının internet sitesindeki teknik sorun nedeniyle kişisel verilerin sınırsız bir kitlenin erişimine açık hâle geldiği değerlendirilmiştir. Kurul, hizmet alınan şirketin veri işleyen olmasının ve sözleşmedeki görev dağılımının veri sorumlusunun güvenlik yükümlülüğünü kaldırmadığını belirtmiştir. Kararda işlem, geçerli bir işleme şartının bulunmaması ve hukuka aykırı erişimin önlenmemesi yönlerinden ele alınmıştır. Bu sonuç, kasıtlı paylaşım ile teknik hata kaynaklı açılmanın aynı olay olduğu anlamına gelmez; her ikisinde de gerçek erişim alanının belirlenmesi gerektiğini gösterir.⁷

Son olarak, verinin başlangıçta hukuka uygun elde edilmiş olması, her alıcıya ve her amaçla açıklanabilmesini sağlamaz. Kurumun yurt içi aktarım açıklaması da işlemenin hukuka uygunluğuyla aktarımın şartlarının ayrıca değerlendirilmesini ayırır. Kanun’un 8. maddesi, rıza dışındaki şartlara ve diğer kanun hükümlerine de yer verir. Dolayısıyla önce hangi açıklama veya paylaşım işleminin yapıldığı belirlenmeli, ardından o işlem için uygulanacak şart incelenmelidir. İşleme şartıyla aktarımın bu ilişkisi 12.2’nin konusudur.⁸

12.2. İşleme şartı ile aktarımın ayrıca değerlendirilmesi

Verinin elde edilmesini haklı kılan şartla belirli bir alıcıya açıklanmasını haklı kılan şart birlikte fakat ayrı sorularla incelenir. Kurumun yurt içi aktarım açıklaması, verinin hukuka uygun işlenmesinin doğrudan aktarılabileceği anlamına gelmediğini belirtir. Öğretide de aktarımın bir işleme faaliyeti olduğu ve 8. maddenin işleme şartlarına gönderme yaptığı açıklanır. Buradaki ayrı değerlendirme, her defasında farklı bir şart veya mutlaka ayrıca açık rıza bulunması gerektiği anlamına gelmez; şartın somut aktarımı da kapsayıp kapsamadığının belirlenmesini gerektirir.⁹

Aynı hukuki şart, kapsamındaki zorunlu aktarımı da karşılayabilir. Örneğin bir satışın teslimini gerçekleştirmek için gerekli adres bilgilerinin ilgili teslimat sürecinde kullanılması değerlendirilirken, sözleşmenin kurulması veya ifasıyla doğrudan ilişki ve gereklilik aranır. Bununla birlikte bu gerekçe, aynı alıcıya müşterinin bütün geçmişinin gönderilmesini kendiliğinden haklı kılmaz. Alıcıya hangi verinin ne için gerektiği, dayanağın kapsamıyla birlikte belirlenmelidir. Hizmet sağlayıcının veri sorumlusu veya veri işleyen sıfatı ise ayrıca incelenir.¹⁰

Amaç veya alıcı ilişkisi değiştiğinde dayanak incelemesi de yenilenir. Belirli bir hizmeti yürütmek için toplanan bilgilerin başka bir kuruluşun bağımsız tanıtım faaliyetine verilmesi, ilk hizmetin gerekliliği ileri sürülerek açıklanamaz. Yeni paylaşım için uygulanabilecek işleme şartı ve bu şartın koşulları belirlenmelidir. Sırf “iş ortağı” veya “grup şirketi” ifadesinin kullanılması bu değerlendirmeyi tamamlamaz; ilişkinin adıyla, somut kullanımın hukuki gerekçesi ayrı konulardır.¹¹

Aktarım açık rızaya dayanıyorsa rızanın kapsamı da ilgili paylaşımla ilişkilidir. Kanun’un belirli konu, bilgilendirme ve özgür irade unsurları burada da korunur. İlgili kişinin bir işlem için verdiği rıza, bütün gelecekteki alıcı ve amaçlara verilmiş genel izin olarak ele alınmamalıdır. Aydınlatmada alıcı gruplarıyla aktarım amacının açıklanması ise bilgi verme yükümlülüğüdür. Böyle bir açıklamanın yapılmış olması, tek başına rıza beyanının bulunduğunu göstermez.¹²

Geçerli bir işleme şartının varlığı, aktarımın bütün yönleriyle hukuka uygunluğunu da tek başına sağlamaz. Amaçla bağlantılılık, sınırlılık, ölçülülük ve gerekli süre gibi ilkeler ayrıca uygulanır. Kurumun 2026/1301 sayılı ilke kararına ilişkin açıklaması, internet ortamındaki kamu verisi paylaşımlarında hem geçerli şartın hem genel ilkelerin gerekliliğini vurgular; gereksiz verilerin yayımlanmamasını ve yayında kalma süresinin belirlenmesini ister. Bu yaklaşım, hukuki sebebin hangi veri kapsamına ve hangi süreye kadar dayanak olduğunun açıklanmasını gerektirir.¹³

Aydınlatma ile aktarımın dayanağı arasındaki ayrım da korunmalıdır. Veri sorumlusu, verinin kimlere ve hangi amaçla aktarılabileceğini açıklamakla, bu aktarımı yapabilecek hukuki şartı sağlamış olmaz. Tersine, rıza dışındaki bir şartın bulunması da uygulanabilir bir istisna yoksa bilgi verme yükümlülüğünü ortadan kaldırmaz. Bu nedenle aktarım sürecinde dayanak, alıcı ve amaç kapsamı, gerekli veri miktarı ve ilgili kişiye verilecek bilgi birlikte tasarlanmalıdır.¹⁴

Kamu kurumları bakımından da yürütülen hizmetin varlığıyla her türlü yayının gerekliliği aynı değildir. 2026/1301 sayılı ilke kararına ilişkin açıklama, sınav ve kura sonuçları gibi duyurularda somut olay gözetilerek mümkün olduğu ölçüde kişinin kendi sonucuna erişebileceği güvenli yöntemlerin tercih edilmesini uygun bulur. Böylece belirli kişiye bilgi ulaştırma amacıyla, bütün veriyi belirsiz bir kitleye açıklama biçimi ayrılır. Kanuni görev, açıklanacak verinin kapsamı ve erişecek kişiler arasındaki ilişki somut olarak kurulmalıdır; açık yayınla sınırlı paylaşımın ayrıntıları 12.7’de ele alınacaktır.¹⁵

12.3. Genel ve özel nitelikli verilerin aktarımı

Bir aktarımın hukuki şartı belirlenirken önce açıklanacak verinin niteliği saptanır. Özel nitelikli olmayan kişisel veriler bakımından 8. maddenin ikinci fıkrasının (a) bendi, 5. maddenin ikinci fıkrasındaki şartlara gönderme yapar. Özel nitelikli verilerde ise aynı fıkranın (b) bendi, yeterli önlemler alınması kaydıyla 6. maddenin üçüncü fıkrasını esas alır. Bu ayrımın sonucu, genel nitelikli bir veri için geçerli olan gerekçenin özel nitelikli veriyi de kapsadığının varsayılamamasıdır. Örneğin sözleşmenin ifası veya meşru menfaat, bu adlarla 6. maddede ayrı birer işleme şartı olarak yer almaz.¹⁶

1. maddedeki gönderme, özel nitelikli veriler bakımından 2024 değişikliğiyle birlikte okunmalıdır. 1 Haziran 2024’te yürürlüğe giren yeni 6. madde, sağlık ve cinsel hayat verileriyle diğer özel nitelikli kategoriler arasında önceki düzenlemenin kurduğu şart ayrımını kaldırmıştır. Dolayısıyla aktarım değerlendirmesi eski iki gruplu listeye göre yapılamaz. Bununla birlikte yeni şartların bütün kategoriler için incelenebilmesi, her şartın bütün aktarımları karşılayacağı anlamına gelmez; ilgili bendin kişi, amaç, faaliyet ve gereklilik sınırları korunur.¹⁷

Bu sınırlar, alıcıya hangi bilginin hangi işlev için gerektiği sorusunda somutlaşır. Sağlık amaçlarına ilişkin (e) bendinde sayılan kişi veya kuruluş çevresiyle amaç ve gereklilik; istihdam ve sosyal güvenlik gibi alanlara ilişkin (f) bendinde ise hukuki yükümlülük ve zorunluluk birlikte incelenir. Bir sağlık raporunun belirli bir hukuki yükümlülük için gerekli olması, bütün teşhis ve tedavi geçmişinin her alıcıya açıklanmasını haklı kılmaz. Paylaşımın gerektirdiği bilgi daha dar bir kapsamla sağlanabiliyorsa, dosyanın tamamının gönderilmesi ayrıca gerekçelendirilmelidir.¹⁸

Kâr amacı gütmeyen belirli kuruluşlara ilişkin (g) bendi, aktarım bakımından özellikle dikkatli okunmalıdır. Bu bentte kuruluşun mevzuatına, amaçlarına ve faaliyet alanına ilişkin sınırların yanında üçüncü kişilere açıklanmama şartı vardır. Dolayısıyla 8. maddenin 6. maddeye gönderme yapması, bu kaydı ortadan kaldıran genel bir dış paylaşım yetkisi oluşturmaz. Kaya, düzenlemeyi kurum içi veri işlemeye ilişkin özel bir imkân olarak açıklar; üçüncü kişiye aktarımda açık rıza veya diğer hukuki işleme şartlarının aranacağını belirtir. Burada bulunacak diğer şart da özel nitelikli veriye ve somut aktarıma uygun olmalıdır.¹⁹

“Üçüncü kişi” çevresinin belirlenmesi ayrıca yorum sorunu doğurur. Kurumun rehberi, (g) bendindeki açıklamama kaydını kuruluşla bağlantısı bulunmayan ilgisiz taraflara açıklamama olarak anlatır. Öğretideki kurum içi işleme vurgusuyla birlikte değerlendirildiğinde, yalnız bir alıcının kuruluşla herhangi bir ilişkisinin bulunmasına dayanılarak bütün üye bilgilerinin ona açılabileceği sonucu çıkarılmamalıdır. İşlenecek kişi çevresiyle veriyi öğrenebilecek alıcı çevresi ayrı sorulardır. Somut bağlantının niteliği, faaliyetin gerektirdiği erişim ve bentteki diğer sınırlar gösterilmeli; dış paylaşımın ayrıca dayanağa ihtiyaç duyduğu durumlarda kuruluşla temas ilişkisi bu dayanağın yerine geçirilmemelidir.²⁰

Özel nitelikli veriler için yeterli önlemler, hukuki sebebe ek bir gerekliliktir. 6. maddenin dördüncü fıkrası bu önlemleri ayrıca arar; 8. maddenin ikinci fıkrasının (b) bendi de aktarımda bunları açıkça hatırlatır. Bu nedenle açık rızanın bulunması güvenlik önlemlerini gereksiz kılmadığı gibi, güçlü şifreleme veya güvenli bir iletişim kanalı da dayanağı bulunmayan bir paylaşımı hukuka uygun hâle getirmez. Hukuki paylaşım yetkisiyle paylaşımın güvenli gerçekleştirilmesi farklı sorulara cevap verir.²¹

Kurulun 2018/10 sayılı kararı, aktarımda kullanılacak ortama göre önlemler belirler. E-posta için şifreli kurumsal e-posta veya kayıtlı elektronik posta; taşınabilir ortam için şifreleme ve anahtarın ayrı tutulması; farklı fiziksel ortamlardaki sunucular arasında aktarım için sanal özel ağ (VPN) veya güvenli dosya aktarım yöntemi (sFTP) öngörülür. Kâğıt belgelerde ise kayıp, hırsızlık ve yetkisiz görülme risklerine karşı koruma ile gizlilik dereceli belge biçimi aranır. Bunlar yalnız aktarım anına ilişkin tedbirler olarak da düşünülemez; kararın yetki sınırları, işlem kayıtları ve ortam güvenliğine ilişkin diğer hükümleriyle birlikte uygulanmaları gerekir.²²

Aynı dosyada genel ve özel nitelikli verilerin birlikte bulunması, bunların tek bir genel gerekçeyle aktarılabilmesini sağlamaz. Örneğin kimlik ve iletişim bilgileriyle sağlık bilgisini birlikte içeren varsayımsal bir çalışan dosyasında, sağlık bilgisinin açıklanmasına uygulanacak şart ayrıca belirlenir. Alıcıya yalnız görev için gerekli bilginin verilmesi mümkünse bütün dosyayı göndermek yerine veri kapsamı daraltılmalıdır. Böylece verinin niteliği, aktarımın amacı ve alıcının ihtiyacı arasında somut bağ kurulur; dosyanın adı hukuki değerlendirmeyi belirlemez.²³

Alıcının bilgiyi hangi sıfatla kullanacağı da bu incelemeye eklenir. Bir kişinin veriyi göndermeye yetkili olması, alıcının onu her amaçla kullanabileceği anlamına gelmez. Alıcı bağımsız bir veri sorumlusuysa kendi işlemesinin şartını ve sınırlarını belirlemeli; gönderici adına hareket eden veri işleyense verilen yetki ve amaç sınırında kalmalıdır. Kanun’un diğer kanunlardaki aktarım hükümlerini saklı tutması da özel nitelikli verinin niteliğini veya sır yükümlülüklerini kendiliğinden ortadan kaldırmaz. Tarafların sıfatları 12.4’te, bilgi talepleriyle sır saklama ilişkisi 12.5’te bu çerçeve üzerine kurulacaktır.²⁴

12.4. Aynı tüzel kişilik, şirketler topluluğu ve hizmet sağlayıcılar

Merkezî bir insan kaynakları sisteminin kimlere açılabileceği, sistemin tek olmasından anlaşılamaz. Önce kayıtların hangi tüzel kişinin faaliyetine ait olduğu, ardından erişecek kişilerin o tüzel kişinin birim veya çalışanı mı, başka bir grup şirketi mi, yoksa dış hizmet sağlayıcı mı olduğu belirlenir. Ünsal Özden, Uz ve Karamustafaoğlu’nun departmanlar arasındaki kullanımla grup şirketleri arasındaki aktarımı ayırması bu nedenle önemlidir. Aynı ekranın kullanılması, hukuken farklı kişilere açılan erişimi şirket içi işleme hâline getirmez.²⁵

Organizasyon içinde esas sorun, herkese erişim vermek yerine göreve uygun yetki kurmaktır. Kurumun rol rehberi, ayrı tüzel kişiliği bulunmayan şirket birimlerini bağımsız veri sorumlusu veya veri işleyen saymaz. Bu durumda bordroyu hazırlayan birimle işyeri güvenliğini yürüten birimin farklı ihtiyaçları, aynı tüzel kişiliğin erişim düzeni içinde ayrılır. Ancak çalışan veriyi görev dışı bir amaçla kullanırsa işlem, kurum içinde bulunması gerekçesiyle meşrulaşmaz. Özellikle sağlık veya disiplin bilgisine bütün personelin erişebilmesi, birimler arasında dosya dolaşımının aktarım olarak adlandırılıp adlandırılmamasından bağımsız bir sınırlılık ve güvenlik sorunudur.²⁶

Çalışan ile dış veri işleyen arasındaki sınır hakkında kaynakların aynı dili kullanmadığı da görülür. Turan Başara’nın 2020 tarihli çalışmasında talimatla veri işleyen çalışan bu kavram içinde anılırken, Işık SGK personelini dış bilişim firmasından ayırarak personelin veri işleyen sayılamayacağını savunur. Kurumun 2025 rehberindeki organizasyon dışı ayrı kişi açıklaması da bu ayrımı destekler. Uygulamada her çalışanı ayrı bir veri işleyen gibi sözleşme zincirine yerleştirmek yerine, kurum içi görev ve erişim yetkisiyle dış hizmet ilişkisinin farklı yapıları görünür kılınmalıdır. Bu, çalışanın görevine aykırı davranışının hukuki sonuçlarını ortadan kaldırmaz.²⁷

Ayrı tüzel kişiliğe sahip grup şirketlerinin ortak sistemi ise farklı değerlendirilir. Kurumun iş başvurusu verilerine ilişkin açıklamasında, birden çok veri sorumlusu grup şirketi arasında aynı veri tabanı üzerinden paylaşım üçüncü kişiye aktarım olarak ele alınmıştır. Açıklama, olayda açık rıza bulunmadan yapılan paylaşıma yaptırım uygulandığını belirtir. Bundan bütün grup aktarımlarının yalnız rızayla yapılabileceği sonucu çıkarılmaz; güncel 8. maddenin diğer şartları da somut işlem bakımından incelenir. Örneğin bir şirkete yapılan başvurunun bütün topluluk şirketlerinin bağımsız işe alım havuzuna açılması, yalnız ilk başvurunun varlığıyla gerekçelendirilmemelidir.²⁸

Bununla birlikte grup şirketi her faaliyetinde bağımsız veri sorumlusu olmak zorunda değildir. Bir şirket, diğerinin belirlediği amaç ve kapsam içinde yalnız kayıtları saklıyor veya bordro hesabını yürütüyorsa, bu faaliyet bakımından onun adına veri işleyen konumunda bulunabilir. Aynı şirketin kayıtları kendi işe alımı ya da tanıtımı için değerlendirmesi ise ayrı bir işleme amacı doğurur. Bu nedenle grup içi unvan veya ortaklık bağı yerine, her veri akışında amaçları ve belirleyici araçları kimin tayin ettiği incelenir. Ortak karar verme varsa 6.4’te açıklanan ortak sorumluluk sorusu ayrıca gündeme gelir.²⁹

Dış hizmet sağlayıcıya verinin verilmesinde rol ayrımı, aktarımın hukuki dayanağıyla birlikte değerlendirilir. Işık, veri işleyene veri verilmesini başka bir bağımsız veri sorumlusuna aktarımdan ayırır ve işleyen ilişkisindeki sözleşmeyi vurgular. Bu yaklaşım, hizmet sağlayıcının kendi amacı için veriyi devralmadığı durumu açıklamaktadır. Bununla birlikte taraflar arasındaki sözleşme, ilgili kişinin tarafı olmadığı her veri kullanımını 5. veya 6. madde kapsamında kendiliğinden haklı kılamaz. Verilen görevin, açıklanacak veri miktarının ve erişimin, veri sorumlusunun hukuka uygun işlemiyle ilişkisi kurulmalı; sağlayıcının kendi amaçları için kullanımı bu talimat ilişkisinin içinde gösterilmemelidir.³⁰

Hizmetin başka bir sağlayıcıya bırakılan bölümleri de bu incelemede kaybolmamalıdır. İlk sağlayıcı veriyi alt hizmet aldığı kuruluşa açıyorsa, bu kuruluşun hangi görev ve veri için eriştiği; yalnız başkası adına mı, kendi amacı için mi hareket ettiği belirlenir. Kurulun 2020/71 sayılı karar özeti, veri işleyenin temel olmayan teknik konularda karar verebilmesiyle, işleme amaç ve temel araçlarını belirleme yetkisini ayırır. Dosyanın hangi teknik yöntemle aktarılacağını seçmek, onu bağımsız bir alıcıya yeni amaçla verme yetkisi değildir. Alt hizmet ilişkisinin adı, açıklamanın kapsamını ve uygulanacak şartları görünmez kılamaz.³¹

Görevlerin sözleşmede dağıtılması, veri sorumlusunun denetim ve güvenlik yükümlülüklerini sona erdirmez. Kanun’un 12. maddesi, başkası adına işleme hâlinde güvenlik tedbirleri bakımından müşterek sorumluluğu ve veri sorumlusunun denetim ödevini düzenler. Kurulun 2023/1796 sayılı karar özetinde de hizmet sağlayıcıyla yapılan sözleşmenin teknik ve idari tedbirleri bütünüyle ona devretmeye yetmediği belirtilmiştir. Bu nedenle veri akışı kaydı yalnız gönderici ve alıcının adından oluşmamalı; hangi verinin, hangi görev için, kimin talimatıyla ve hangi erişim sınırları içinde kullanılacağını göstermelidir. Sözleşmenin bu dağılımı somutlaştırma işlevi 12.6’da ele alınacaktır.³²

12.5. Yetkili kurumların bilgi talepleri ve sır saklama yükümlülükleri

Bir kamu kurumundan gelen yazı, kişisel verilerin tamamının o kuruma verilmesini kendiliğinden haklı kılmaz. İnceleme, talepte bulunan makamın hangi kanuni görev ve yetkiyle hareket ettiğini, hangi bilgiyi ne için istediğini ve muhatabın bu bilgiyi açıklamaya yetkili olup olmadığını kapsar. Kanun’un 8. maddesi kamu kurumlarına yapılan aktarımlar için de dayanak incelemesini gerektirir; aynı maddenin üçüncü fıkrası ise diğer kanunların aktarım hükümlerini saklı tutar. Dolayısıyla talebin resmî niteliğiyle, istenen verinin açıklanmasının hukuki şartı ayrı ayrı belirlenmelidir.³³

Kurulun 2020/307 sayılı karar özeti, verinin belirli bir kurumda bulunmasıyla onu paylaşmaya yetkili olmanın farklılığını gösterir. Ticaret sicilinde açıkça ilan edilmeyen kimlik ve adres bilgilerinin kamu kurumlarıyla paylaşılması incelenirken Kurul, bu verilerin özel mevzuatta yetkili kılınmış kuruluşlardan istenmesi gerektiğini belirtmiştir. Ticaret sicilinin aleniyeti de sicildeki kişisel verileri koruma hükümlerinden muaf tutan bir sebep olarak görülmemiştir. Bu yaklaşım, “bilgiye en kolay hangi kurum ulaşır?” sorusundan önce “bu bilgi hangi hukuki usulle ve hangi kaynaktan alınabilir?” sorusunun cevaplanmasını gerektirir.³⁴

Kanuni bilgi verme ödevinin bulunması, sır saklama hükümlerini bütünüyle anlamsız kılmaz; bazen kanun bu ilişkiyi özel olarak düzenler. Vergi Usul Kanunu’nun 148. maddesi, maddede belirtilen kişi ve kuruluşlara yetkili mercilerin istediği bilgileri verme ödevi yükler. 151. madde ise özel kanunlardaki mahremiyet hükümlerine dayanılarak bilgi vermekten kaçınılamayacağını söylerken kendi istisnalarını da gösterir. Örneğin sağlık mesleği mensuplarından hastalık türüne ilişkin bilgi istenememesiyle avukattan görevi dolayısıyla öğrendiği hususların istenememesi düzenlenmiştir; avukata ilişkin korumanın müvekkil adı, ücret ve giderler ile avukatlık dışındaki sıfatıyla öğrendiği hususlar bakımından sınırları vardır. Bu nedenle yalnız genel bilgi verme cümlesi okunarak bütün mesleki sırların açıklanması gerektiği sonucuna varılamaz.³⁵

Bilginin vergi idaresinden başka bir kamu kurumuna verilmesi de ters yönde aynı incelemeyi gerektirir. Vergi Usul Kanunu’nun 5. maddesinde, ilgili kanunları uyarınca mükelleften istenebilen ve kurumun göreviyle doğrudan ilgili, görevin ifası için zorunluluk ve süreklilik taşıyan bilgilerin verilmesine ilişkin özel düzenleme vardır. Aynı düzenleme, bilgiyi alanları da mahremiyet yasaklarına ve muhafaza tedbirlerine bağlar. Böylece verinin yetkili bir aktarım yoluyla elde edilmesi, alıcı kurumda serbestçe açıklanabilecek bilgiye dönüşmesi anlamına gelmez; koruyucu yükümlülük aktarım sonrasında da sürer.³⁶

Bankacılıkta sır hükümleri, açık rızanın tek başına yeterli olmayabileceğini somutlaştırır. 7222 sayılı Kanun’la Bankacılık Kanunu’nun 73. maddesine eklenen düzenleme, diğer kanunların emredici hükümlerini ve maddede gösterilen istisnaları saklı tutarak müşteri sırrının paylaşılmasını müşteriden gelen talep veya talimata bağlamıştır; 6698 sayılı Kanun uyarınca açık rıza alınması bu şartı kendiliğinden karşılamaz. Aynı değişiklik, istisna kapsamındaki paylaşımlarda da amaçla sınırlılık ve ölçülülüğü arar. Bu nedenle önce paylaşımın hangi sır hükmüne ve hangi istisna ya da talimata dayandığı, sonra hangi veri kapsamına izin verdiği belirlenmelidir.³⁷

Talep veya talimat şartının rızadan ayrılmasının yararı ise öğretide tartışılmıştır. Ünsal Özden, Uz ve Karamustafaoğlu, geçerli açık rızanın zaten bilgilendirilmiş ve özgür iradeyi gerektirdiğini; ayrı belgelerin karmaşa yaratabileceğini ve talimat metinlerinin de genel matbu metinlere dönüşebileceğini ileri sürerler. Bu eleştiri, düzenlemenin değiştirilmesine yönelik değerlendirmeyle uygulanacak hükmün birbirinden ayrılmasını gerektirir. BDDK’nın sonraki 2022/1 sayılı Genelgesi, bankanın hazırladığı örnek metnin müşteri tarafından aktif biçimde talimata dönüştürülmesini ve içeriğin müşterinin isteğini karşılayacak biçimde değiştirilebilmesini açıklar. Öyleyse yalnız belgenin başlığını “rıza” yerine “talimat” yapmak, düzenlemenin amaçladığı irade açıklamasını sağlamaz.³⁸

Özel kanunla genel veri koruma hükümleri arasındaki ilişki de bütün hükümler için tek cümleyle çözülemez. Nur ve Canyaş, Vergi Usul Kanunu ile 6698 sayılı Kanun’un çatışan hükümleri bakımından özel normun uygulanacağını, 8. maddenin üçüncü fıkrası gibi saklı tutma hükümlerinin de çatışmayı çözme işlevi gördüğünü savunur. Bu yaklaşım somut olarak hangi hükümlerin çatıştığının gösterilmesini gerektirir. Aktarıma izin veren özel bir hükmün uygulanmasıyla, ayrıca düzenlenmeyen güvenlik veya kullanım sınırlarının ortadan kalkması aynı sonuç değildir. Kamu işlemi, mesleki sır ve veri koruma hükümleri, her birinin düzenlediği soru ve sınır belirlenerek birlikte değerlendirilmelidir.³⁹

Kurulun 2022/768 sayılı karar özeti, “sektörel istisna vardır” demekle bu istisnanın koşullarını kanıtlamanın farklılığını gösterir. Bankadan sigorta şirketine telefon numarası paylaşımında banka, hizmet ilişkisi ve iletişim tercihlerini ileri sürmüştür. Kurul ise aktarımı kapsayan geçerli rızanın ve müşteri talep veya talimatının kanıtlanmadığını; ileri sürülen sır istisnası bakımından gereken gizlilik sözleşmesinin de sunulan belgelerde bulunmadığını değerlendirmiştir. Sonuç, her banka–sigorta ilişkisini yasaklamak değildir; somut paylaşımın hangi şartla ve hangi kapsamda yapıldığının gösterilememesiyle ilgilidir.⁴⁰

Uygulamada bilgi talebine cevap hazırlanırken talepteki bilgiyle gönderilecek veri kümesi eşleştirilmelidir. Yetkinin dayanağı, istenen kişi veya dönem, bilgi kapsamı ve varsa sır hükmündeki istisna belirlenmeden bütün dosyanın eklenmesi ölçüsüz bir açıklamaya yol açabilir. Sağlık veya ceza mahkûmiyeti gibi özel nitelikli veriler varsa 6. ve 8. maddelerin özel şartları da ayrıca incelenir; bir istisna ileri sürülüyorsa hangi hükümlere hangi ölçüde etki ettiği gösterilir. Gönderilen bilginin kapsamının, alıcısının ve hukuki gerekçesinin kayda bağlanması, hem sonraki denetimi hem yanlış alıcıya veya gereğinden fazla veri açıklanmasının önlenmesini sağlar.⁴¹

12.6. Veri paylaşım sözleşmeleri, alıcıların belirlenmesi ve kayıt

Bir kurumun hizmet sağlayıcıyla sözleşme yapmış olması, hangi kişisel veriyi ona açıklayabileceğini tek başına göstermez. Sözleşme, tarafların üstlendiği işi ve paylaşımın sınırlarını belirler; aktarımın kanuni şartı ise 8. madde ve ilgili özel hükümler çerçevesinde ayrıca değerlendirilir. Örneğin bordro hizmeti için yapılan sözleşmede çalışan verilerinin işlenmesi kararlaştırılabilir; ancak sözleşmeye bütün personel dosyalarının eklenmesi, hizmetin gerektirmediği bilgilerin verilmesini haklı kılmaz. Hukuki dayanak, sözleşmede tanımlanan iş ve fiilen açılan veri kapsamı birbiriyle örtüşmelidir.⁴²

Sözleşmenin içeriği, tarafların somut faaliyetteki rolüne göre kurulmalıdır. Öğretide Özer Deniz, ilgili kişiyle yapılan sözleşmeyi, veri sorumlusu–işleyen ilişkisini ve iki veri sorumlusu arasındaki paylaşımı ayrı türler olarak ele alır; hukuki nitelendirmede üstlenilen edimin önemini vurgular. Turan Başara ise işleyen sözleşmesinin karma niteliğinden hareketle, uygun düştüğü ölçüde vekâlet ve eser hükümlerinin uygulanmasını inceler. Bu tartışmanın aktarım bakımından sonucu, tek bir sözleşme başlığının bütün ilişkilere aynı yetkiyi vermemesidir. İki bağımsız veri sorumlusunun veri alışverişi yapması ile amaç ve araçları birlikte belirlemesi de aynı durum değildir; ortak veri sorumluluğu ayrıca değerlendirilir.⁴³

Sözleşmenin yazılı olmasıyla yazılılığın kanuni geçerlilik şartı olması birbirinden ayrılmalıdır. Türk Borçlar Kanunu’nun 12. maddesi, aksi kanunda öngörülmedikçe şekil serbestisini kabul eder. Öğretide yurt içindeki genel veri işleme sözleşmesi için özel bir şekil şartı bulunmadığı belirtilirken Kurumun güvenlik rehberi yazılı sözleşme yapılmasını önerir. Yazılı metin, talimatın ve sorumluluk paylaşımının sonradan gösterilmesini sağlar; rehberin önerisi tek başına bütün veri paylaşımlarına yeni bir geçerlilik şartı eklemez. Özel mevzuatın şekil hükümleri ile yurt dışına aktarım araçlarının kendilerine özgü koşulları saklıdır.⁴⁴

Yazılı bir metin hazırlanırken genel bir gizlilik cümlesiyle yetinilmemelidir. İşlenecek veri kategorileri, işlemenin amacı ve kapsamı, talimatın kimden alınacağı, erişim yetkileri ve hizmetin hangi aşamada sona ereceği belirlenebilir olmalıdır. Kurumun rehberi de işleyenin talimata, belirlenen amaç ve kapsama uygun hareket etmesinin; sır saklamanın, ihlal hâlinde bildirim ilişkisinin ve veri kategorilerinin sözleşmede gösterilmesinin önemini açıklar. Başka sağlayıcılardan yararlanılması veya verinin iadesi ve silinmesi de hizmetin niteliğine göre düzenlenmelidir. Böylece sözleşme, yalnız “veriler korunacaktır” diyen bir taahhüt olmaktan çıkarak yetkinin sınırını gösterir.⁴⁵

Tarafların güvenlik görevlerini sözleşmede bölüşmesi, kanundan doğan yükümlülüğü ortadan kaldırmaz. Kanun’un 12. maddesindeki müşterek sorumluluk, veri sorumlusu adına işleme yapılırken birinci fıkradaki güvenlik tedbirlerinin alınmasına ilişkindir; bütün sözleşmesel borçlar veya her zarar bakımından tek başına sınırsız sorumluluk kuralı oluşturmaz. Sözleşmede kimin hangi raporu sağlayacağının, denetim bulgularının nasıl giderileceğinin ve erişimlerin nasıl kapatılacağının belirlenmesi bu yükümlülüğün uygulanmasına hizmet eder. Bir gizlilik taahhüdünün alınmasıyla gerekli denetimin yapılması aynı şey değildir.⁴⁶

Alıcıların belirlenmesinde de farklı açıklık düzeyleri vardır. Sicil Yönetmeliği ve Aydınlatma Tebliği, alıcı grubunu verinin aktarıldığı kişi kategorisi olarak tanımlar; Tebliğ, aktarım amacıyla alıcı gruplarının açıklanmasını ister. Bu nedenle “hizmet sağlayıcılar” ibaresinin her olayda aynı ölçüde açıklayıcı olduğu söylenemez. Bordro hizmeti sunanlar ile bağımsız pazarlama ortakları farklı amaçlarla veri alır. Grubun faaliyete uygun biçimde açıklanması gerekir; bir kategorinin aydınlatma metnine yazılması, o kategoriye girebilecek herkesle her veriyi paylaşma yetkisi sağlamaz.⁴⁷

Envanter, paylaşımın bu sınıflandırmasını kurumun iş süreçleriyle ilişkilendirir. Sicil Yönetmeliği, kayıtla yükümlü veri sorumlularının envanter hazırlamasını ve Sicil bildirimini buna dayandırmasını öngörür; envanter tanımı amaç, hukuki sebep, veri kategorisi, ilgili kişi ve alıcı grubu arasındaki bağı içerir. Aydınlatma ile Sicil bilgilerinin uyumu da bu nedenle önemlidir. Bununla birlikte envanterde bir alıcı grubunun bulunması, aktarımın kanuni şartının yerine geçmez. Sicile kayıt veya bu kayıttan istisna olma, diğer veri koruma yükümlülüklerini kendiliğinden kaldırmaz.⁴⁸

Fiilen gerçekleşen paylaşımın izlenmesi ise envanterden farklı bir ihtiyaca cevap verir. Envanter süreçte öngörülen veri akışını gösterirken somut aktarım kaydı, hangi bilginin hangi alıcıya, ne zaman ve hangi yetkiyle verildiğinin sonradan belirlenmesini sağlar. Turan Başara, işleyenin hesap verme borcuyla kayıt tutma arasındaki ilişkiyi bu açıdan ele alır; Kurumun rehberi de güvenliğin takibinde kullanıcı işlem kayıtlarına yer verir. Ayrıca ilgili kişinin aktarılan üçüncü kişileri bilme ve düzeltme veya silme işlemlerinin alıcılara bildirilmesini isteme haklarının uygulanması, gerçek alıcının belirlenebilmesini gerektirir. Bu farklı işlevler, tek bir genel alıcı listesiyle karşılanamaz.⁴⁹

Kayıt düzeni, veri akışını denetlenebilir kılarken yeni ve gereksiz bir veri yığını oluşturmamalıdır. Aktarımın tarihi, alıcısı, amacı, yetkilendirmesi ve veri kapsamına ilişkin yeterli iz tutulmasıyla gönderilen dosyanın her içeriğinin süresiz kopyalanması farklıdır. Kaydın kendi amacı, erişebilecek kişiler ve saklanacağı süre de belirlenmelidir. Sözleşme, aydınlatma, envanter ve işlem kayıtları birlikte incelendiğinde hem vaat edilen paylaşımın sınırı hem gerçekleşen akış görülebilmelidir; bunlar arasındaki uyum, yalnız belgelerin aynı ifadeleri taşımasıyla değil uygulamanın bu sınırlar içinde kalmasıyla sağlanır.⁵⁰

12.7. Herkese açık yayın, kapalı gruplar ve erişim sınırları

Aynı bilginin farklı ortamlarda paylaşılması, aynı hukuki sonucu doğurmaz. Apartmanın girişindeki borç listesi, belirli kişilerin katıldığı mesajlaşma grubu ve kişinin kendi hesabından gördüğü borç kaydı farklı alıcı çevrelerine ulaşır. İnceleme, ortamın adına veya “kapalı” olarak tanımlanmasına değil, bilgiye kimlerin fiilen erişebildiğine, onların bilgiyi öğrenme yetkisine ve açıklanan verinin amaca göre gerekli olup olmadığına dayanmalıdır. İşleme şartının bulunmasıyla paylaşım yönteminin hukuka uygun olması bu nedenle birlikte değerlendirilir.⁵¹

Aidat borçlarının paylaşılmasında, kat maliklerinin ortak giderlerin yönetimini ve hesaplarını denetleyebilmesiyle borç bilgilerinin ilgisiz kişilere açıklanmaması menfaatleri karşılaşır. Kurumun 18 Şubat 2026 tarihli ve 2026/348 sayılı ilke kararına ilişkin açıklaması, gerekli borç bilgilerinin diğer kat malikleriyle paylaşılmasını kanunda öngörülme ve alacak hakkının korunması şartlarıyla ilişkilendirir. Bu yaklaşım, veri korumayı hesap vermeyi engelleyen bir gerekçe hâline getirmez; bilgilendirilecek kişilerle paylaşılacak kapsamın hukuki amaç üzerinden belirlenmesini ister.⁵²

Buna karşılık aynı açıklamada, kişisel veri içeren borç listelerinin asansör, bina girişi ve koridor gibi ortak yerlere asılması herhangi bir işleme şartına dayanmayan faaliyet olarak değerlendirilmiştir. Gerekçe, bu yerlerde bilgilerin muhatabı belirli olmayan bir çevreye açıklanması ve yetkisiz üçüncü kişilerin erişiminin önlenmemesidir. Dolayısıyla malikleri bilgilendirme ihtiyacı, binaya giren herkesin kişilerin borç durumunu öğrenmesini haklı kılmaz. Paylaşımın gerekli olduğu kişilerle herkese açık veya denetlenemeyen bir ortamda yapılan ifşa birbirinden ayrılmaktadır.⁵³

Kurum, bu bilgilendirmenin kapalı e-posta veya mesajlaşma grupları yahut bu hizmete özgülenmiş uygulamalar gibi üçüncü kişilerin erişemeyeceği yöntemlerle yapılmasını öngören yaklaşımı açıklar. Buradaki ölçüt yalnız grubun bir parola veya davet bağlantısı taşıması değildir. Gruptaki kişilerin bilgiyi öğrenme yetkisinin bulunması, üyeliğin güncel tutulması ve gereksiz kişisel verinin paylaşılmaması gerekir. Maliklik veya yönetim görevi sona eren kişinin erişiminin devam etmesi ya da gruptaki bilginin ilgisiz kişilere yeniden gönderilmesi, ilk paylaşımın amaç ve alıcı sınırından ayrı bir sorundur. Kapalı grup, bütün sakinlere her bilgi bakımından sınırsız yetki veren bir istisna oluşturmaz.⁵⁴

Kamu kurumlarının internet ilanlarında da önce açıklamanın amacı ve kanuni dayanağı, sonra yayımlanması gereken veri kapsamı belirlenmelidir. Kurumun 1 Temmuz 2026 tarihli ve 2026/1301 sayılı ilke kararına ilişkin açıklaması, geçerli işleme şartını ve genel ilkelere uygunluğu birlikte arar; amacın gerektirdiği asgari bilgiyle yetinilmesini ister. Bir başvurunun sonucunu duyurmak için liste hazırlanması, aynı belgede bulunan telefon, adres veya başka gereksiz bilgilerin de internete açılmasını haklı kılmaz. Özel nitelikli veri varsa onun şartları ayrıca incelenir; kamu görevinin bulunması bütün veri kategorilerini aynı rejime sokmaz.⁵⁵

İlanın amacını gerçekleştiren farklı erişim yöntemleri de karşılaştırılmalıdır. Anılan açıklama, sınav ve kura sonuçlarında somut olayın niteliğine göre mümkün olduğu ölçüde kişinin yalnız kendi sonucuna güvenli biçimde ulaşabileceği yöntemlerin tercih edilmesini uygun görür. Ancak bu, başka kişilerin sonuç hakkında kanuni bilgi veya başvuru hakkı varsa onun ortadan kaldırılması anlamına gelmez; bu hak için gerekli erişim ayrıca düzenlenebilir. Kişisel sonuç ekranı, yetkili denetim veya başvuru için sınırlı erişim ve herkese açık duyuru, aynı amaca hizmet eden zorunlu olarak eşdeğer yöntemler değildir.⁵⁶

Yayımlanan verinin miktarı kadar yayında kalma süresi de sınırlandırılmalıdır. İlanın başlangıçta dayanağının bulunması, belgenin süresiz erişilebilir tutulmasını haklı kılmaz; kurum içindeki kanuni saklama ihtiyacıyla internetten yayımlamaya devam etmek ayrı değerlendirilir. Ayrıca adın veya kimlik numarasının bir kısmının kapatılması her durumda anonimleştirme değildir. Daire numarası, görev, sıralama veya başka bilgilerle kişi hâlâ belirlenebiliyorsa kişisel veri niteliği sürebilir. Bu nedenle maskelemenin gerçekten hangi bilgiyi ve kimden gizlediği somut belge üzerinden sınanmalıdır.⁵⁷

Bir verinin zaten internette bulunması da yeniden yayımlama yetkisini kendiliğinden oluşturmaz. İlgili kişinin kendi açıklamasıyla üçüncü kişinin yayını ayrıdır; sonraki işlemenin açıklama amacıyla ilişkisi ayrıca incelenir. Yücedağ, alenileştirilmiş veri bakımından dahi kişinin makul beklentilerine uygun dar yorumu savunur ve kişinin korunmaya değer menfaatinin her durumda sona erdiği varsayımını eleştirir. Kanun’un 28. maddesindeki kısmi istisnanın uygulanması da amaca, temel ilkelere ve orantılılığa bağlıdır; bütün veri koruma hükümlerini kaldırmaz. Bu nedenle açık bir kaynağa dayanma iddiası, yeni yayının amacı ve erişim çevresi yerine geçemez.⁵⁸

Uygulamada paylaşılacak belgeden önce bilgiye kimin ihtiyaç duyduğu belirlenmelidir. Yalnız borçlunun kendi durumunu öğrenmesi amaçlanıyorsa kişisel bildirim yeterli olabilir; kat maliklerinin hesapları denetlemesi gerekiyorsa bu hakka uygun sınırlı paylaşım gerekebilir. Kanunun kamuya ilan öngördüğü durumda ise ilan edilecek alanlar ve süre özel hükümle birlikte değerlendirilir. Böylece tercih, yalnız en kolay yayımlama aracına göre yapılmaz; yetkili alıcı, gerekli veri ve erişim süresi birlikte belirlenir. Aynı belgenin farklı alıcılara verilecek nüshaları da bu farklı ihtiyaçlara göre düzenlenebilir.⁵⁹

Bölümün dipnotları