Kurul tarafından TikTok Pte. Ltd. şirketi hakkında gerçekleştirilmiş olan veri ihlalinin değerlendirilmesi neticesinde 2023/134 numara ile karar vermiş olup bu kararı da resmi web sitesinde paylaşmış bulunmaktadır[1]. Vermiş söz konusu karar özetleyecek olursak eğer:

Söz konusu uygulama hakkında açık rızanın 6698 sayılı Kişisel Verilerin Korunması Kanunu (Kanun)’ na göre yasada yer alan hükümlere uygun olarak alınmadığı, kişisel verilerin elde edilmesi ve saklanması konusunda yasaya aykırılıkların yer aldığı ve söz konusu yazılımın birçok güvenlik açığı bulunduğuna yönelik yer alan muhtelif haber ve şikayetler nedeniyle harekete geçen Kişisel Verileri Koruma Kurulu tarafından 6698 sayılı Kanun’un 15’inci maddesinin (1)[2]numaralı fıkrası kapsamında resen inceleme başlatılması yönünde karar verilmiştir.

Veri sorumlusundan alınan savunma yazıları ve bununla bağlantılı olarak Gizlilik Politikası ve Hizmet Koşullarının incelenmesi neticesinde, Kişisel Verileri Koruma Kurulu’nun 2023/134 sayılı Kararı ile;

- TikTok’un 2021 yılı Ocak ayında Gizlilik Politikasında güncelleme gerçekleştiği, güncelleme neticesinde metinde 13 ve 15 yaş aralığındaki kullanıcı hesapları için varsayılan gizlilik ayarının “özel” olarak değiştirildiği bu sayede, yalnızca kullanıcının onayladığı takipçilerin paylaştığı videoların görüntülenebileceği, videoları indirebilecek ve yorum yapabilecek kişilerin sınırlandırıldığı belirtilmekle birlikte; belirtilen güncelleme öncesinde varsayılan olarak profillerin herkese açık olarak görüntülenerek etkileşimde sınırlandırılma bulunmamasının, hassas yaş grubunda olan kullanıcıların verilerine erişilmesi kapsamında risk teşkil ettiği, ayrıca kullanıcılara ilişkin risklerin belirlenerek risklerin azaltılmasına dair yeterli tedbir alınmadığını gösterdiği,

- 2021 yılı Ocak ayında Gizlilik Politikasının güncellenmesi öncesinde uygulamayı kullanan 13 yaş altı çocukların kişisel bilgilerinin görüntülendiği ve uygun ebeveyn izni olmadan çocuklar hakkında veri toplandığı, dolayısıyla uygulamayı kullanmış olan çocuklar üzerinde olumsuz sonuç doğma riskinin bulunduğu,

- Veri sorumlusunun internet sitesinde yer alan Gizlilik Sözleşmesinde Kişisel Verilerin Korunması Kanunu'nun 5’nci maddesinde yer alan işleme şartlarının tümünün belirtildiği, ancak hangi kişisel verilerin hangi amaçla ve hangi işleme şartına dayanılarak işlendiği hakkında net bilgi verilmediği, bu hususta veri sorumlusunca Kanun’un 4'üncü maddesinde yer alan "belirli, açık ve meşru amaçlar için işlenme" ve "işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma" ilkelerine aykırı hareket edildiği,

- TikTok hesabı oluşturulurken kullanıcıların hesap oluşturmaya devam etmeleri halinde Hizmet Koşulları (Kullanım Şartları) ile Gizlilik Politikasını kabul etmiş sayılacaklarının belirtildiği , ancak Hizmet Koşulları kısmında onay alınırken ilgili metnin henüz Türkçe’ye tercüme edilmediği, bu sebeple kullanıcılara içeriğin kolay anlaşılır bir biçimde sunulmadığı ve kullanıcıların kullanım şartlarını tam olarak anlayamadan kabul etmesinin ihtimal dahilinde olduğu,

- Platformda hesap oluştururken ya da hesap oluşturulup aktif olarak kullanılırken açık rıza alınmasına ilişkin herhangi bir durum ile karşılaşılmadığı, TikTok’un Gizlilik Politikasının, esasen aydınlatma yükümlülüğünü yerine getirmek için hazırlanmış bir metin olduğu, ancak açık rıza metni yerine de kullanıldığı, dolayısıyla, Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ’in 5’inci maddesinin (f) bendine göre açık rıza şartına dayalı olarak gerçekleştirilen kişisel veri işleme faaliyetleri bakımından açık rızanın aydınlatma yükümlülüğünden ayrı olarak yerine getirilmesi şartının sağlanmadığı,

- Veri sorumlusu tarafından, profilleme amacıyla çerezler kullanılarak gerçekleştirilen kişisel veri işleme faaliyetine ilişkin olarak ilgili kişilerden açık rıza alınmadığı, bu kapsamda yürütülen kişisel veri işleme faaliyetinin de hukuka uygun olmadığı yapılan incelemeler neticesinde kurul tarafından tespit edilmiştir.

Tüm bu belirtilen hususlar neticesinde Kurul tarafından Kanun’un 12’nci maddesinin (1) numaralı fıkrası[3] ve 18’inci maddesinin (1) numaralı fıkrasının (b) bendi[4] uyarınca 1.750.000 TL idari para cezası uygulanması yönünde karar vermiş bulunmaktadır.

[1] https://www.kvkk.gov.tr/Icerik/7538/2023-134

[2] 6698 S.K. 15/1 maddesinde; “Kurul, şikâyet üzerine veya ihlal iddiasını öğrenmesi durumunda resen, görev alanına giren konularda gerekli incelemeyi yapar” hükmü yer almaktadır.

[3] Veri sorumlusu;
 a) Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek,
 b) Kişisel verilere hukuka aykırı olarak erişilmesini önlemek,
 c) Kişisel verilerin muhafazasını sağlamak, amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır.

[4] 12 nci maddesinde öngörülen veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler hakkında 15.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası verilir.

Kişisel Veri Kurulu Tarafından Verilen İnternet Ve Sosyal Medya Platformu Hakkında Karar

Kurul tarafından TikTok Pte. Ltd. şirketi hakkında gerçekleştirilmiş olan veri ihlalinin değerlendirilmesi neticesinde 2023/134 numara ile karar vermiş olup bu kararı da resmi web sitesinde paylaşmış bulunmaktadır.

Sağlık Bakanlığı tarafından 21.06.2019 tarihinde resmi gazetede yayımlanan yönetmeliğin amacı, 24.03.2016 tarihinde resmi gazetede yayımlanan ve yürürlüğe giren 6698 sayılı Kişisel Verilerin Korunması Hakkındaki Kanun hükümleri kapsamında, Sağlık Bakanlığının merkez ve taşra teşkilatı birimleri ile bunlara bağlı olarak faaliyet göstermekte olan sağlık hizmeti sunucuları ile bağlı ve ilgili kuruluşları tarafından yürütülen süreç ve uygulamalarda uyulacak usul ve esasları düzenlemektir.

Yine bu yönetmelik kapsam itibariyle, kişisel sağlık verisi işleyen özel hukuk gerçek ve tüzel kişileri ile kamu hukuku tüzel kişilerinin, Sağlık Bakanlığı tarafından yürütülmekte olan süreç ve uygulamalara ilişkin faaliyetlerini içermektedir.

Söz konusu yönetmeliğin 4. Maddesinde bir takım tanımlara yer vermiştir. Şöyle ki;

a)Açık veri: Ücretsiz olarak veya hazırlanma maliyetini geçmeyecek şekilde internet üzerinden herkesin erişimine sunulan, üzerinde herhangi bir fikri mülkiyet hakkı bulunmayan ve herhangi bir amaçla serbestçe kullanılabilen, makineler tarafından okunabilen ve böylelikle diğer veriler ve sistemlerle birlikte çalışabilen, anonim hale getirilmiş veriyi,

b)Açık sağlık verisi: Açık veri haline getirilen sağlık verisini,

c)Anonim hale getirme: Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesini,

d) e-Nabız: İlgili kişilerin sağlık verilerine kendilerinin, hekimlerin veya yetki verdikleri üçüncü kişilerin erişimini sağlayan, e-Devlet uygulamalarına uygun olarak Bakanlıkça kurulan sistemi,

e) Genel Müdürlük: Sağlık Bilgi Sistemleri Genel Müdürlüğünü,

f) İlgili kişi: Kişisel verisi işlenen gerçek kişiyi,

g) İlgili kullanıcı: Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişileri,

ğ) KamuNET: Kamu kurum ve kuruluşları arasındaki veri iletişiminin sağlanması, bu veri iletişiminin internete kapalı, fiziksel ve siber saldırılara karşı daha güvenli sanal bir ağ üzerinden yapılması, siber güvenlik risklerinin minimize edilmesi, mevcut ve kurulacak olan güvenli kapalı devre çözümlere standart sağlanması, ortak uygulamalar için uygun alt yapının tesis edilmesi amaçlarıyla Ulaştırma ve Altyapı Bakanlığı tarafından geliştirilen projeyi,

h) Kanun: 24/3/2016 tarihli ve 6698 sayılı Kişisel Verilerin Korunması Kanununu,

ı) Kimliksizleştirme: Kişisel verilerin; kimliği belirli veya belirlenebilir gerçek kişiyle ilişkilendirilememesi için teknik ve idari tedbirlerin alınması şartıyla ve farklı bir ortamda muhafaza edilen diğer verilerle bir araya getirilmeksizin ilgili kişiyle ilişkilendirilemeyecek şekilde işlenmesini,

i) Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi,

j) Kişisel sağlık verisi: Kimliği belirli ya da belirlenebilir gerçek kişinin fiziksel ve ruhsal sağlığına ilişkin her türlü bilgi ile kişiye sunulan sağlık hizmetiyle ilgili bilgileri,

k) Kişisel verilerin imha edilmesi: Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesini,

l) Kişisel verilerin işlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi sağlık verileri üzerinde gerçekleştirilen her türlü işlemi,

m) Kişisel verilerin silinmesi: Kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hâle getirilmesi işlemini,

n) Kişisel verilerin yok edilmesi: Kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hâle getirilmesi işlemini,

o) Kurul: Kişisel Verileri Koruma Kurulunu,

ö) Kurum: Kişisel Verileri Koruma Kurumunu,

p) Maskeleme: Kişisel verilerin belirli alanlarının, kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek şekilde silinmesi, üstlerinin çizilmesi, boyanması ve yıldızlanması gibi işlemleri,

r) Merkezi sağlık veri sistemi: Bakanlık tarafından oluşturulan kişisel sağlık verilerinin toplandığı veri sistemini,

s) Sağlık hizmeti sunucusu: Sağlık hizmetini sunan veya üreten gerçek kişiler ile kamu hukuku ve özel hukuk tüzel kişilerini,

ş) Veri sorumlusu: Kişisel sağlık verilerinin işlenme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi, ifade etmektedir.

Yine yukarıda belirtilmiş olan tanımlar içerisinde yer almayan kavramlar yönünden ise Kanunda yer alan tanımlar ile Kurum tarafından yapılan ikincil düzenlemelerde yer verilen tanımlar geçerli olmaktadır.

Yönetmeliğin ikinci bölüm başlığı altında bulunana genel ilke ve esaslar ise 5. Maddede yer almakta olup genel ilke ve esaslar şu şekilde belirlenmiştir;

Kişisel verilerin işlenmesinde Kanunun 4 üncü maddesinde yer alan genel ilkeler başta olmak üzere, Kanunda yer alan bütün esaslara riayet edilir. Herkesin sağlık durumunun takip edilebilmesi ve sağlık hizmetlerinin daha etkin ve hızlı şekilde yürütülmesi maksadıyla, Bakanlık ile bağlı ve ilgili kuruluşlarınca gerekli kayıt ve bildirim sistemi kurulur. Bu sistem, e-Devlet uygulamalarına uygun olarak elektronik ortamda da oluşturulabilir. Bu amaçla Bakanlık tarafından, bağlı ve ilgili kuruluşları da kapsayacak şekilde ülke çapında bilişim sistemleri kurulabilir.

Hiç kimse, sağlık hizmeti sunumu için gerekli olan durumlar haricinde geçmiş sağlık verilerinin dökümünü sunmaya veya göstermeye zorlanamaz.Sağlık hizmeti sunucuları tarafından; banko, gişe ve masa gibi bölümlerde yetkisi olmayan kişilerin yer almasını önleyecek ve aynı anda yakın konumda hizmet alanların birbirlerine ait kişisel verileri duymalarını, görmelerini, öğrenmelerini veya ele geçirmelerini engelleyecek nitelikte gerekli fiziki, teknik ve idari tedbirler alınır.

Sağlık hizmeti sunucuları, tahlil ve tetkik sonuçları gibi hastaya ait kişisel sağlık verilerini içeren basılı materyal üzerinde gerekli kısmi kimliksizleştirme veya maskeleme tedbirlerini uygular ve söz konusu materyalin yetkisiz kişilerin eline geçmesi hâlinde kime ait olduğunun tespit edilmesini zorlaştıracak diğer tedbirleri alır.

Herkes, veri sorumlusuna başvurarak kendisiyle ilgili olarak Kanunun 11[1] inci maddesinde yer alan hakları kullanabilir. Veri sorumlusuna başvuruda, Kanunun 13 üncü maddesi ile Kurum tarafından hazırlanarak 10/3/2018 tarihli ve 30356 sayılı Resmi Gazete’de yayımlanan Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ[2] hükümlerine riayet edilir.

Aydınlatma yükümlülüğünün yerine getirilmesinde, Kanunun 10[3] uncu maddesi ile Kurum tarafından hazırlanarak 10/3/2018 tarihli ve 30356 sayılı Resmi Gazete’de yayımlanan Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ hükümlerine riayet edilir.

--------------------------------------------------------------------------------------------------------------------------

[1] 6698 sayılı yasanın 11. Maddesi İlgili Kişinin Haklarından bahsetmekte olup şu şekildedir;

(1) Herkes, veri sorumlusuna başvurarak kendisiyle ilgili;
 
 a) Kişisel veri işlenip işlenmediğini öğrenme,
 
 b) Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
 
 c) Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
 
 ç) Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
 
 d) Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
 
 e) 7 nci maddede öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme,
 
 f) (d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
 
 g) İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
 
 ğ) Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme, haklarına sahiptir.

[2] https://www.resmigazete.gov.tr/eskiler/2018/03/20180310-6.htm

[3] (1) Kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi, ilgili kişilere;
 
 a) Veri sorumlusunun ve varsa temsilcisinin kimliği,
 
 b) Kişisel verilerin hangi amaçla işleneceği,
 
 c) İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
 
 ç) Kişisel veri toplamanın yöntemi ve hukuki sebebi,
 
 d) 11 inci maddede sayılan diğer hakları, konusunda bilgi vermekle yükümlüdür.

Kişisel Sağlık Verileri ve Kişisel Sağlık Verileri Hakkında Yönetmelik-I

6698 sayılı Kanun kapsamında, çerezlere dair dikkate alınması gereken kuralları genel bir çerçevede belirleyecek olursak eğer, veri sorumluları tarafından çerezler vasıtasıyla kişisel veri işlenmesinde aşağıda belirtilmiş olan kriterleri göz önünde bulundurmaları Kurul tarafından tavsiye edilmektedir. Şöyle ki:

Kriter A: Çerezin yalnızca, iletişimin elektronik haberleşme şebekesi aracılığıyla sağlanması nedeniyle kullanılması

Kriter B: Çerez kullanımının, abonenin veya kullanıcıların hizmetten yararlanmak için doğrudan talep etmiş olduğu bilgilerin toplum hizmetleri için kesinlikle gerekli olması

6698 sayılı kanun kapsamında çerezler bakımından kişisel veri işleme şartları şunlardır;

- Veri sorumlusunun açık rızasının bulunması ya da

- Veri sorumlusu tarafından çerezler vasıtasıyla kişisel veri işleme faaliyeti özelinde yapacağı bir takım değerlendirmeler sonucunda, yasa kapsamında 5’inci ve/veya 6’ncı maddelerinde sayılmış olan diğer veri işleme koşullarını da göz önünde bulundurması gerekmektedir.

6698 sayılı kanunun 5’inci ve/veya 6’ncı maddelerde yer alan kişisel verilerin işlenmesi koşullarının uygulanması kapsamında, veri işlemenin Kanun’da yer alan açık rıza dışındaki hallerinden birine dayanması durumunda bu halde ilgili kişiden açık rızasının alınmasına gerek yoktur. Veri sorumlusu öncelikle kişisel verileri işleme amacının faaliyetinin açık rıza dışında yer alan diğer işleme şartlarından herhangi birine dayanıp dayanmadığını değerlendirmeli ve eğer bu amaç yasada bulunan açık rıza dışında bulunan diğer koşullardan hiçbirini karşılamıyorsa, bu durumda veri işleme faaliyeti ilgili kişinin açık rızasına dayanmalıdır.

6698 sayılı yasanın 5’inci maddesi ikinci fıkrası (f) bendinde bulunan “İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması[1]” işleme koşuluna dayanılması halinde, Kriter A ve B’nin kapsamı da göz önünde bulundurularak kişiye ait temel hak ve özgürlükleri ile veri sorumlusunun meşru menfaatinin kıyaslanması koşuluyla bir denge testi yapılmasıyla meşru menfaatin varolduğunun değerlendirilmesi tavsiye edilir[2].

Örnek verilecek olursa eğer bir internet sitesinde yük dengeleme çerezi kullanılması yoluyla, tek bir makine yerine bir makine havuzu üzerinden web sunucusu isteklerinin dağıtılması mümkün olup kullanıcılardan gelen web talepleri ise bir yük dengeleme ağ geçidine yönlendirilerek bu talep havuzdaki uygun durumda olan iç sunuculara iletilir. Bu kapsamda kullanıcıların taleplerinin uygun olan şekilde yeniden yönlendirilmesi sebebinin Kriter A kapsamında değerlendirilmesi imkan dahilinde olup veri sorumluları tarafından bu sebeple çerez kullanılması suretiyle kişisel veri işlenmesinde, “ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması” işleme koşuluna gidilebileceği düşünülmektedir. Bu işleme şartına dayanılarak kişisel veri işlenmiş olması hâlinde, ilgili kişilerin temel hak ve özgürlükleri açısından da herhangi bir tehlikenin varlığının söz konusu olmaması gerekmektedir.

Yine, bir kimse tarafından bir e-ticaret sitesine ait ürün sepetine seçmiş olduğu bir ürünü eklemesi kapsamında çerezler aracılığıyla kişisel verilerinin işlenmesi hâlinde, bir satış sözleşmesinin kurulması veya edimi ile 6698 sayılı Kanun’un 5’inci maddesinin ikinci fıkrasının (c) bendine dayanılması gündeme gelebilecektir. Söz konusu maddede “bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması” hususu açıkça belirtilmiştir.

[2]https://www.kvkk.gov.tr/Icerik/5434/2019-78

Kişisel Verilerin Korunması Kanunu ve Çerez Uygulamaları-II

6698 sayılı Kanun kapsamında, çerezlere dair dikkate alınması gereken kuralları genel bir çerçevede belirleyecek olursak eğer, veri sorumluları tarafından çerezler vasıtasıyla kişisel veri işlenmesinde aşağıda belirtilmiş olan kriterleri göz önünde bulundurmaları Kurul tarafından tavsiye edilmektedir. 

Genel olarak bir tanımını yapacak olursak eğer çerez, internet sitesi operatörleri tarafından kullanıcıya ait cihaza yerleştirilen bir tür metin dosyası olup HTTP(S)  (Hiper Metin Transferi Protokolü) talebinin bir parçası olarak aktarılır. HTTP ise internet sitelerine bağlanmayı sağlayan bir protokoldür. HTTPS’te ise, HTTP paketi güvenli bir kanal üzerinden iletilir. Bir başka tanıma göre ise çerezler, bir internet sayfası ziyaret edildiği zaman kullanıcılara ait birtakım bilgilerin kullanıcıların terminal cihazlarında depolanmasına izin veren düşük boyutlu zengin metin biçimli text formatlarıdır şeklinde tanımlanmaktadır.

Çerez türlerinin neler olduğunu hangi verilerimizi hangi çerez ile rızamız dahilinde muhafaza edildiğini bilmemiz açısından önem arz etmektedir.Bu nedenle çerez türleri; sürelerine göre, kullanım amaçlarına göre ve taraflarına göre olmak üzere üçe ayrılmaktadırlar. Sürelerine göre çerezler de kendi içerisinde ikiye ayrılmakta olup oturum çerezleri ve kalıcı çerezdir. Oturum çerezleri; Geçici çerez olarak da adlandırılan oturum çerezi, mevcut oturumun devamlılığının sağlanması amacıyla kullanılmaktadır. Kullanıcı internet tarayıcısını kapattığı zaman geçici olan oturum çerezleri de beraberinde silinmektedir. Kalıcı çerezler ise; internet tarayıcısı kapandığında da silinmeyen, belirli bir zamanda veya belirli bir süre sonra kendiliğinden silinmektedir. Bu çerez vasıtasıyla kullanıcı, ziyaret etmiş olduğu bir internet sitesi her ziyaret ettiğinde kullanıcıya ait işlenen verileri sunucuya iletilmektedir. Bu sebeple, kalıcı çerezler bazen izleme çerezleri olarak da isimlendirilmektedir.

Kullanım amaçlarına göre çerezler de kendi içlerinde 4’e ayrılmaktadır; Kesinlikle Gerekli Çerezler (Zorunlu Çerezler); İnternet sitesinin çalışması için gerekli olan çerezlerdir. Söz konusu çerezler kullanıcı tarafından talep edilmiş olan bir bilgi toplumu hizmetinin (gizlilik tercihlerinin hatırlanması, form doldurma, log-in olma gibi) yerine getirilebilmesi açısından zorunlu olarak kullanılmaktadırlar. Genel kapsamda açık rıza dışındaki işleme şartlarına gidilen çerezler türleri olarak değerlendirilebilirler. Zorunlu çerezlerin engellenmesi yada izin verilmemesi durumda, söz konusu internet sitesinin bir takım hizmetleri sağlayamayacak ve bazı bölümleri çalışmayacak olup bu çerezler pazarlama amacıyla kullanılmamalıdırlar. İşlevsel Çerezler; web sitesi yahut uygulamalarda kullanılan kişiselleştirmek için ve tercihlerin unutulmaması ve hatırlanması için kullanılan çerezlerdir. Bu çerezler zorunlu çerezler dışında kalan fonksiyonları ve işlevsellikleri sağlamak için kullanılmaktadır. İlgili kişinin bir bilgi toplum hizmetini açıkça talep ettiğinin açıkça bulunmadığı durumlarda ilgili kişinin açık rızasına dayanılması gerekmektedir. Performans- Analitik Çerezler;İnternet sitelerinde, siteyi kullananların davranışlarını analiz etmek için istatistiki ölçümüne imkân sunan çerezlerdir. Bu çerezler, sitenin daha iyi olabilmesi için sürekli kullanılmakta olup bu duruma reklamların ilgili kişiler üzerinde olan etkilerinin ölçümü de dâhildir. İnternet sitesi sahipleri yönünden, siteyi ziyaret edenlerin sayılarını tahmin etmek, bir internet sayfasına götüren en önemli arama motoru anahtar kelimelerini tespit etmek veya internet sitesinde gezinme durumunu izlemek için kullanılmaktadırlar. Reklam/Pazarlama Çerezleri; bu çerezler ile internet ortamında kullanıcıların yapmış oldukları çevrim içi hareketleri takip edilerek, izleyerek kişisel ilgi alanlarını belirleyip belirlemiş oldukları bu ilgi alanları hakkında internet ortamında kullanıcılara reklam gösterilmesi hedeflenmektedirler. İnternet ortamında bu kadar reklam türü bulunmasına rağmen en çok tercih edilen reklam türünün çevrim içi davranışsal reklamcılık olmasının asıl sebebi kişilerin eğilimlerine, tercihlerine göre reklam yapılabilmesi ve reklam veren açısından zaman ve maddi kaynakların daha verimli kullanılabilmesidir. Çevrim içi davranışsal reklamcılık uygulamaları; kişilerin internette bulunmuş oldukları süre boyunca yaptıkları faaliyetlerinin izlenmesi ve bu faaliyetlerin analiz edilerek profil haline getirilmesi, profilleme yapılan kişinin de uygun reklamlarla eşleştirilmesi yapılarak yapılan bu eşleştirme neticesinde söz konusu reklamların ilgili kişiye gösterilmesi aşamalarından oluşmaktadır.

Taraflarına Göre Çerezler ise birinci taraf ya da üçüncü taraf olması durumu, yani internet sayfası ya da etki alanı yerleştirdiği çereze göre değişiklik göstermektedir. Birinci taraf çerezler, doğrudan kullanıcı tarafından ziyaret etmiş olduğu internet sayfası yani tarayıcının adres çubuğunda gösterilen URL (ornek.com.tr) tarafından yerleştirilmektedir. Üçüncü taraf çerezlerse kullanıcı tarafından ziyaret etmiş olduğu internet sitesinden (ya da etki alanından) farklı bir kimse tarafından yani üçüncü bir kişi tarafından yerleştirilmektedir[1].

Kişisel Verilerin Korunması Kanunu ve Çerez Uygulamaları-I

Genel olarak bir tanımını yapacak olursak eğer çerez, internet sitesi operatörleri tarafından kullanıcıya ait cihaza yerleştirilen bir tür metin dosyası olup HTTP(S)  (Hiper Metin Transferi Protokolü) talebinin bir parçası olarak aktarılır. HTTP ise internet sitelerine bağlanmayı sağlayan bir protokoldür. HTTPS’te ise, HTTP paketi güvenli bir kanal üzerinden iletilir. 

Kişisel Verileri Koruma Kurulu tarafından 09.06.2021 tarih ve 2021/571 sayılı karar vermiş olup söz konusu kararı vermesine etken sebeplerin başında, vakıf, dernek ve sendikalara ait iktisadi işletmelerin sicile kayıt yükümlülüğü konusunda tereddütler yaşanmasından kaynaklanmaktadır. İlgili kararında “yalnızca ilgili yasa ve amaçlarına uygun olmak üzere, belirtmiş oldukları faaliyet alanlarıyla sınırlı olmak üzere kişisel veri işleyen Türkiye’de yerleşik dernek, vakıf ve sendikalardan kendisine bağlı herhangi bir iktisadi işletmesi bulunanların Sicile kayıt olmaları ile Sicile kayıtları esnasında yalnızca iktisadi işletmelerin faaliyetlerine ilişkin bilgi girişi yapmalarının gerektiği[1]” konusunda karar almış olup söz konusu karar da resmi gazetede yayımlanmıştır. Kurul tarafından verilmiş olan bu kararın gerekçesi ve dayanak yapmış olduğu kanun maddeleri ise; 6698 sayılı yasanın 16/2 maddesi uyarınca “Kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorundadır. Ancak, işlenen kişisel verinin niteliği, sayısı, veri işlemenin kanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi Kurulca belirlenecek objektif kriterler göz önüne alınmak suretiyle, Kurul tarafından, Veri Sorumluları Siciline kayıt zorunluluğuna istisna getirilebilir[2]” demektedir. Söz konusu kanun hükmü çerçevesinde baktığımızda ise kişisel verileri işleyen gerçek ve tüzel kişiler Veri Sorumluları Siciline ( Sicil) kayıt yükümlülüğü bulunmakta ancak Kişisel Verileri Koruma Kurulu ( Kurul) tarafından ise bu yükümlülüğe karşı bir istisna getirebilmektedir.

Bu kapsamda, Kurul tarafından daha öncesinden verilmiş olan 22/04/2020 tarihli ve 2020/315 sayılı Kararı ile değişik 02/04/2018 tarihli ve 2018/32 sayılı Kararı uyarınca “yalnızca ilgili mevzuat ve amaçlarına uygun, faaliyet alanlarıyla sınırlı olmak üzere kişisel veri işleyen Türkiye’de yerleşik dernek, vakıf ve sendikalar” için Sicile kayıt yükümlülüğüne istisna getirilmiştir.

Bununla beraber, Kuruma iletilmiş olan bazı yazılı ve şifahi görüş taleplerde ise; vakıf, dernek veya sendikalara ait iktisadi işletmelerin Sicile kayıt yükümlülüğü hususunda tereddütler yaşandığının ifade edilmiş ve Kurul tarafından buna ilişkin bir değerlendirilmede bulunulmuştur. Söz konusu değerlendirme neticesinde Kurul tarafından şu kanaate varılmıştır;

Kurumumuza iletilen bazı yazılı ve şifahi görüş taleplerinde; vakıf, dernek veya sendikalara ait iktisadi işletmelerin Sicile kayıt yükümlülüğü hususunda tereddütler yaşandığının ifade edilmesi üzerine Kurul tarafından yapılan değerlendirme sonucunda;

22/04/2020 tarihli ve 2020/315      sayılı Karar ile değişik 02/04/2018 tarihli 2018/32 sayılı Kurul Kararında yer alan “yalnızca ilgili mevzuat ve amaçlarına uygun, faaliyet alanlarıyla sınırlı olmak üzere kişisel veri işleyen Türkiye’de yerleşik      dernek, vakıf ve sendikalar” ifadesinin “yalnızca ilgili mevzuat ve amaçlarına uygun, faaliyet alanlarıyla sınırlı olmak üzere kişisel veri işleyen Türkiye’de yerleşik dernek, vakıf ve sendikalardan kendisine bağlı herhangi bir iktisadi işletmesi bulunmayanlar” olarak değiştirilmesine,

Yalnızca ilgili mevzuat ve amaçlarına uygun, faaliyet alanlarıyla sınırlı olmak üzere kişisel veri işleyen Türkiye’de yerleşik dernek, vakıf ve sendikalardan kendisine bağlı herhangi bir iktisadi işletmesi bulunanların Sicile kayıt olmaları ile      Sicile kayıtları esnasında yalnızca iktisadi işletmelerin faaliyetlerine ilişkin bilgi girişi yapmalarının gerektiğine,

Anılan Kararın Kurum internet sayfası ve Resmi Gazetede yayımlanmasına

[1] https://kvkk.gov.tr/Icerik/6986/2021-571

Vakıf, Dernek ve Sendikalara Ait İktisadi İşletmelerin Sicile Kayıt Yükümlülüğü

Kişisel Verileri Koruma Kurulu tarafından 09.06.2021 tarih ve 2021/571 sayılı karar vermiş olup söz konusu kararı vermesine etken sebeplerin başında, vakıf, dernek ve sendikalara ait iktisadi işletmelerin sicile kayıt yükümlülüğü konusunda tereddütler yaşanmasından kaynaklanmaktadır.

21.04.2020 tarihinde Kurul tarafından verilmiş konu hakkında ilke kararı bulunmaktadır. Söz konusu kurul tarafından 2022/388 Karar numaralı vermiş olduğu karar  ilke kararı olup söz konusu kararın oluşmasına neden ise Kurum’ a iletilmiş olan çeşitli ihbarlar sebebiyle belediyelerin çevirimiçi olarak sunmuş oldukları emlak vergisi ödeme/ hızlı ödeme veya veya borç sorgulama sayfalarında yalnızca T.C. kimlik numarası girilerek vatandaşın emlak bilgilerine ulaşmasının KVKK açısından sorun teşkil etmiş olduğu ifade edilerek, konunun 6698 sayılı Kanun kapsamında incelenmesi yönünde talepte bulunulmuştur.

6698 sayılı kanunun 12/1’ de Veri sorumlusu; (a)Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, (b) Kişisel verilere hukuka aykırı olarak erişilmesini önlemek, (c)Kişisel verilerin muhafazasını sağlamak, amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır,” demektedir. Yine aynı maddenin 4. Fıkrası da “Veri sorumluları ile veri işleyen kişiler, öğrendikleri kişisel verileri bu Kanun hükümlerine aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamazlar. Bu yükümlülük görevden ayrılmalarından sonra da devam eder” demiştir. 5 numaralı fıkrasında ise “işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusunun bu durumu en kısa sürede ilgilisine ve Kurula bildireceği, Kurulun, gerekmesi hâlinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebileceği” hükümlerine yer verilmiştir[1].

Bu kapsamda, Kişisel Verileri Koruma Kurulu tarafından hazırlanarak Kurum internet sayfasında yayımlanmış olan Kişisel Veri Güvenliği Rehberinde (Teknik ve İdari Tedbirler) kişisel verilere gerekli gördüğü durumlarda uzaktan erişilmesi durumunda iki kademeli kimlik doğrulama kontrolünün yapılması güvenliğin sağlanması için alınması gereken tedbirler arasında sayılmaktadır. Bu nedenlerle kişisel verilere uzaktan erişilmiş olması halinde 3. kişilerin rahatlıkla ulaşamayacağı biçimde iki aşamalı sorgulama sistemi kullanılması gerekmekte olup, örneğin sadece kişinin TC kimlik numarası ve doğum günü bilgisinin sorgulanarak erişim imkânı sunan sistemler tek kademeli doğrulama sistemi olarak belirlenirken, kişinin TC kimlik numarasının dışında ayrıca kişiye özel oluşturulmuş şifre ya da kişinin daha öncesinde bildirmiş olduğu telefon numarasına iletilen kısa mesaj kodu ile erişim sağlanan sistemler iki kademeli doğrulama olarak kabul edilmektedir.

Kurul tarafından kurulun resmi web sitesinde yayınlanmış olan[2] Veri Güvenliği Rehberinin ( Teknik ve İdari Tedbirler) Teknik ve İdari Tedbirler Mevcut Risk ve Tehditlerin Belirlenmesi” başlıklı 2.1 maddesinde de “Kişisel verilerin güvenliğinin sağlanması için öncelikle veri sorumlusu tarafından işlenen tüm kişisel verilerin neler olduğunun, bu verilerin korunmasına ilişkin ortaya çıkabilecek risklerin gerçekleşme olasılığının ve gerçekleşmesi durumunda yol açacağı kayıpların doğru bir şekilde belirlenerek buna uygun tedbirlerin alınması gerekmektedir. Bu riskler belirlenirken; Kişisel verilerin özel nitelikli kişisel veri olup olmadığı, mahiyeti gereği hangi derecede gizlilik seviyesi gerektirdiği, güvenlik ihlali halinde ilgili kişi bakımından ortaya çıkabilecek zararın niteliği ve niceliği dikkate alınmalıdır. Bu risklerin tanımlanması ve önceliğinin belirlenmesinden sonra; söz konusu risklerin azaltılması ya da ortadan kaldırılmasına yönelik kontrol ve çözüm alternatifleri; maliyet, uygulanabilirlik ve yararlılık ilkeleri doğrultusunda değerlendirilmeli, gerekli teknik ve idari tedbirler planlanarak uygulamaya konulmalıdır.” demektedir. Bu nedenle kişilerin bilgilerine kolayca ulaşılabilmesi riskini barındıran tek kademe doğrulama sistemlerinin yerine ulaşılabilirliği önemli ölçüde azaltacak ya da bu durumu ortadan kaldıracak oluşturulacak iki faktörlü doğrulama metoduyla sorgulamaların uygulanmaya konulması önemlidir.

Bu nedenlerden dolayı belediyeler tarafından emlak vergisi ödeme/hızlı ödeme veya borç sorgulama gibi verilen çevrimiçi olarak sunulmuş olan hizmetler kapsamında 6698 sayılı Kanunun 12 nci maddesinde yer alan yükümlülüklerin yerine getirilmesi ve oluşacak olan bir veri ihlalinin önlenmesi amacıyla; çift aşamalı doğrulama için ilk doğrulamanın TC kimlik no, ad soyad, vergi no, sicil no gibi verilerle yapılırken ikincil nitelikteki doğrulamanın ise kişiye özel oluşturulmuş kısa mesaj yahut kişi tarafından bildirilmiş olan elektronik postaya iletilecek bir şifre ile doğrulanması gibi bir sistemle gerçekleştirilmesi, ikincil düzeyde kişiye ait başkalarının da erişebileceği bilgiler yerine sadece o kişinin özel olarak belirleyeceği ve sadece ilgili kişinin erişebileceği verilerin istendiği sistemler ya da üyelik sistemi ile söz konusu hizmetlerin sunulmasının uygun olacağı Kurul tarafından değerlendirilmektedir.

Yukarıda belirtilmiş olan ve kurul tarafından gereksei ile açıklanmış olan ilk kararı oybirliği ile alınmış olup ilgili Kanunun 15/6 kapsamı çerçevesinde 29.04.2022 tarihinde 31824 sayılı Resmi Gazetede ve Kuruma ait resmi web sitesinde yayımlanması yönünden de karar alınmış ve ilan edilmiştir[3].

[2] https://www.kvkk.gov.tr/yayinlar/veri_guvenligi_rehberi.pdf

[3] https://www.kvkk.gov.tr/Icerik/7252/2022-388

Belediyelerin Ödeme Ve Borç Sorgulama Hizmetleri Hakkında Kişisel Verileri Koruma Kurulunun İlke Kararı

21.04.2020 tarihinde Kurul tarafından verilmiş konu hakkında ilke kararı bulunmaktadır.

22.07.2020 tarih ve 2020/560 sayılı Kişisel Verileri Koruma Kurulu tarafından karar verilmiştir. Söz konusu kararın oluşmasına neden ise site yönetimi hakkında yapılan şikayet neticesinde re’ sen inceleme başlatılmış olup yapılan inceleme sonrasında ise Kurul tarafından verilen karar şöyledir;

“6698 sayılı Kanunun “Tanımlar”ı düzenleyen 3’üncü maddesinde veri sorumlusunun, “kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi”yi ifade ettiği,

Öte yandan, 634 sayılı Kat Mülkiyeti Kanunu’nun; 27’nci maddesi, 28’inci maddesinin birinci ve dördüncü fıkrası, 32’nci maddesi, 34’üncü maddesinin birinci fıkrası ile beşinci fıkrasının hükmünün amir olduğu,

Bu hükümlere göre; gayrimenkulün bütünü için söz sahibi olan birim kat malikleri kurulu olup kat malikleri kurulunun, yönetici de dâhil kat maliklerini bağlayan bir sözleşme hüviyetinde olan yönetim planının içeriği ve kapsamını      belirleyen merci olduğu ve yöneticinin görevinin, kat malikleri kurulunun aldığı kararlar çerçevesinde, bu kararları uygulayıcı olarak faaliyet göstermekten ibaret bulunduğu,

Aynı Kanun’un 38’inci maddesinin birinci fıkrasında yöneticinin kat maliklerine karşı aynen bir vekil gibi sorumlu olduğunun belirtilmiş olduğu ve bahse konu Kanun’un 40’ıncı maddesinin, yöneticinin kaide olarak vekilin haklarına sahip olduğu hükmünü haiz olduğu,

Öte yandan, bahse konu Kanun’un 41’inci maddesinde, kat malikleri kurulunun, yöneticinin bu görevdeki davranışlarını devamlı olarak denetleyeceği ve haklı bir sebebin ortaya çıkması hâlinde yöneticiyi her zaman değiştirebileceği düzenlemesine yer verildiği,

Yöneticinin devamlı olarak kat malikleri kurulunun denetimi altında olduğu, kat malikleri kuruluna hesap vermesinin ve haklı sebebin varlığı hâlinde her zaman değiştirilebilmesinin, ana gayrimenkul üzerindeki asıl söz sahibinin kat malikleri kurulu olduğunu gösterdiği,

Ayrıca, 634 sayılı Kanun’un 35’inci maddesinin birinci fıkrasında yöneticinin görevlerinin sayıldığı, aynı maddenin ikinci fıkrası uyarınca; yönetici ataması yapılmayan gayrimenkullerde birinci fıkrada sayılan işlerin yapılması noktasında kat maliklerinin müştereken sorumlu tutulduğu, müştereken sorumluluğun söz konusu olduğu hâllerde birden fazla kişinin; bir borcun ödenmesinde ve zararın giderilmesinde kendi payları oranında sorumluluğu paylaştığı,

Yine 634 sayılı Kanun’un 34’üncü maddesinin ikinci fıkrası, 20’nci maddesinin birinci fıkrası, 66’ncı ve 69’ uncu maddesi hükümlerine değinilmiş olup,

Bu çerçevede, gerek veri sorumlusunun 6698 sayılı Kanun’da yer alan tanımının gerekse 634 sayılı Kanun’da yer alan düzenlemelerin bir arada değerlendirilmesinden; kat mülkiyetine konu olan  gayrimenkulün bütünü için kararlar alan, işlerin nasıl yürütüleceğini  belirleyen birimin kat malikleri kurulu olduğu, bununla birlikte; kat malikleri kurulunun tüzel kişiliği haiz olmaması dolayısıyla 6698 sayılı Kanun’un 3’üncü maddesindeki veri sorumlusu tanımının içerdiği kriterlerin tamamını taşımadığının görüldüğü, zira anılan tanımdan hareketle veri sorumlusu sıfatının bir gerçek yahut tüzel kişiye ait olabileceği sonucunun çıktığı, kat malikleri kurulunun tüzel kişiliğinin bulunmadığı hususunun çeşitli Yargıtay kararlarında da açıkça ifade edildiği

Ancak, durum böyle olsa bile 634 sayılı Kanun’un 35’inci maddesinde, yöneticinin,ana gayrimenkulün tamamını ilgilendiren tebligatı kabul etme yetkisi olduğunun belirtildiği ve kat malikleri kurulunun vekili olarak görev yapan yöneticinin bir gerçek kişi yahut bu konuda hizmet sunan şirketlerden profesyonel hizmet satın alınması durumunda ise tüzel kişi olabileceği,

Bununla  birlikte, her ne kadar yönetici kat malikleri kurulunun verdiği kararlarla  bağlı olup bu kararlara uygun hareket etmek zorunda olsa da, her somut olay  bakımından yöneticinin yahut yönetim kurulunun kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan bir rol üstlenmiş olması halinde ayrıksı durumların çıkabileceği, örneğin, bir site yönetiminin ayrı bir tüzel kişilik tarafından yürütülüyor olması durumunda, kişisel verilerin işlenmesi noktasında bu tüzel kişiliğin de veri sorumlusu olabileceği,

Tüm bu açıklamalar doğrultusunda; Kanun’un “veri sorumlusu”na ilişkin getirdiği tanımın, hayatın olağan akışına uygunluğunun sağlanması ve  pratikte ortaya çıkan sorunların çözülebilmesi adına geniş yorumlanması gerektiği; bu kapsamda her ne kadar tüzel kişiliği haiz olmasa da kural olarak apartman, site ve benzeri yapılar bakımından veri sorumlusu olarak kat malikleri kurulunun kabul edilebileceği, kat malikleri kurulunun ise Kanun’un veri sorumlusuna yüklediği yükümlülüklerin yerine getirilmesi bakımından bir kişiyi  görevlendirebileceği, görevlendirilen bu kişinin yönetici olmasının mümkün olduğu gibi başka bir kat malikinin yahut iradi temsilcinin de olabileceği değerlendirilmekle beraber, uygulamada istisnai durumların da ortaya çıkabileceği gözetilerek nihai olarak kişisel veri işleme faaliyetinde veri sorumlusu sıfatını haiz olanların belirlenmesi için; her somut hadise açısından kişisel veri işlenmesine ilişkin kararları alan, veri kayıt sistemlerini kuran,uhdesinde bulunduran ve yöneten birimlerin tespit edilmesinin gerektiği yönünde değerlendirmede bulunmuştur.[1]

Tüm bu hususları özetleyecek olursak eğer Kurul tarafından yapılan değerlendirme neticesinde site yönetiminin site malikleri arasından seçilmesi halinde her ne kadar tüzel kişiliği bulunmasa dahi veri sorumlusu olarak ister yönetici ister maliklerin de rızası ile seçilecek başka bir kimse tarafından veri sorumlusu olunabilmekte ve veri işleme gerçekleştirilebilmektedir. Yine dışarıdan hizmet alınan yöneticilik durumunda söz konusu yöneticiliği gerçekleştiren yerler tüzel kişiliğe haiz olduklarından dolayı ise bu husus Kurul tarafından zorunlu olması gerektiğine ilişkin değerlendirmede bulunulmuştur.

Gelişen teknoloji ile birlikte ve birlikte yaşamın ve site hayatının artış gösterdiği bu dönem içerisinde artık zorunlu hale gelmesi gerekmektedir. Özellikle büyük çaplı sitelerde çok fazla kat maliki bulunmakta olup gerek aidat ödemeleri gerekse de ortak yaşam alanı içerisinde güvenliğin sağlanması için özel güvenlik şirketleri ile maliklere ait bilgiler paylaşılmaktadır. Tüm bu nedenlerden dolayı da veri kayıt sistemine kayıt zorunluluğu olması gerektiği kanaatindeyim.

[1] https://www.kvkk.gov.tr/Icerik/6798/2020-560

634 Sayılı Kat Mülkiyeti Kanunu Çerçevesinde Kişisel Verileri Koruma Kurulu Kararı ve Değerlendirmesi

22.07.2020 tarih ve 2020/560 sayılı Kişisel Verileri Koruma Kurulu tarafından karar verilmiştir. Söz konusu kararın oluşmasına neden ise site yönetimi hakkında yapılan şikayet neticesinde re’ sen inceleme başlatılmış olup yapılan inceleme sonrasında ise Kurul tarafından verilen karar şöyledir; 

Avrupa İnsan Hakları Mahkemesi’ ne Avrupa İnsan Hakları Sözleşmesi’ nin “özel hayatın ihlali” ve “ mülkiyet hakkının ihlali” olarak yapılacak olan başvurularda, bu başvuru yönünden de bir takım sürelere tabi tutulmuş bulunulmaktadır. Söz konusu bu süreler iç hukuk yollarının tüketilmesinden sonra ve iç hukuk sisteminde mahkeme tarafından verilen kararın kesinleşmesi sonrasında dört aylık bir süre içerisinde başvurulabilmektedir. Avrupa İnsan Hakları Sözleşmesi’ nin 35/1 maddesinde de bu durum açıkça belirtilmiş “Mahkeme’ye ancak, uluslararası hukukun genel olarak kabul edilen ilkeleri uyarınca iç hukuk yollarının tüketilmesinden sonra ve iç hukuktaki kesin karar tarihinden itibaren dört aylık bir süre içinde başvurulabilir” demektedir.

Yine AİHS çerçevesinde 34. Maddesinde yer alan hüküm çerçevesinde sunulan biraysel başvuruları şu hallerde ele alamamaktadır:

b) Başvuru, Mahkemece daha önce incelenmiş ya da uluslararası diğer bir soruşturma veya çözüm merciine daha önceden sunulmuş bir başka başvuruyla esasen aynı olup yeni olgular içermiyorsa[1]”

Yine AİHS’ nin 34. Maddesi uyarınca sunulan bireysel başvurular aşağıda belirtilen şu hallerde kabul edilemez bulur:

“a) Başvurunun konu bakımından Sözleşme veya Protokollerinin hükümleriyle bağdaşmaması, dayanaktan açıkça yoksun veya bireysel başvuru hakkının kötüye kullanılması niteliğinde olması, veya;

b) Başvurucunun önemli bir zarar görmemiş olması; meğer ki Sözleşme ve Protokolleri ile güvence altına alınan insan haklarına saygı ilkesi başvurunun esastan incelenmesini gerektirsin.[2]”

Avrupa İnsan Hakları Sözleşmesinin 41. Maddesinde ise ortadan bir ihlalin olduğuna karar verirse eğer zarar gören taraf lehine tazminata hükmetmektedir. Söz konusu madde kanun hükmü açıkça şöyle belirtmektedir; “Eğer Mahkeme bu Sözleşme ve Protokollerinin ihlal edildiğine karar verirse ve ilgili Yüksek Sözleşmeci Taraf’ın iç hukuku bu ihlalin sonuçlarını ancak kısmen ortadan kaldırabiliyorsa, Mahkeme, gerektiği takdirde, zarar gören taraf lehine adil bir tazmin verilmesine hükmeder.[3]”

[3] https://www.echr.coe.int/documents/convention_tur.pdf

Kişisel Verilerin İhlali Nedeni ile Avrupa İnsan Hakları Mahkemesi’ne Başvuru - II    

Avrupa İnsan Hakları Mahkemesi’ ne Avrupa İnsan Hakları Sözleşmesi’ nin “özel hayatın ihlali” ve “ mülkiyet hakkının ihlali” olarak yapılacak olan başvurularda, bu başvuru yönünden de bir takım sürelere tabi tutulmuş bulunulmaktadır. 

Anayasa Mahkemesi’ ne yapılan bireysel başvuru neticesinde de olumlu herhangi bir sonuç alınmaması halinde Avrupa İnsan Hakları Mahkemesi’ ne başvuru yolu açılmış bulunmaktadır. Anayasa ve AİHS kapsamında korunan bütün vatandaşlar, hak ve özgürlüklerin bir veya birkaçının ihlal edilmiş olduğu iddiası ile Anayasa Mahkemesi’ ne başvuruda bulunabilirler. Söz konusu başvuruda bulunabilmenin ön şartı ise kanun yollarının tüketilmiş olmasıdır. Anayasa Mahkemesine yapılmış olan bireysel başvuru artık iç hukuk yolunda son başvuru olmuş olduğundan dolayı yapılan bireysel başvurunun iç hukuk içinde yapılabilecek son başvuru yolu olduğu açıktır[1]. Anayasa Mahkemesi’ne yapmış olduğu başvuru neticesinde reddedilenler tarafından, Avrupa İnsan Hakları Sözleşmesi ve buna ek olarak da yine Türkiye’ nin taraf olmuş olduğu protkolller dahilinde koruma altına alınmış olan haklarının Devlet tarafından ihlal edilmiş olduğu iddiası ile Avrupa İnsan Hakları Mahkemesi’ne başvuruda bulunabilirler.

Avrupa İnsan Hakları Sözleşmesi’nin Bireysel Başvurular başlığını taşıyan 34. Maddesi kapsamında “Bu Sözleşme veya protokollerinde tanınan haklarının Yüksek Sözleşmeci Taraflar’dan biri tarafından ihlal edilmesinden dolayı mağdur olduğunu öne süren her gerçek kişi, hükümet dışı kuruluş veya kişi grupları Mahkeme’ye başvurabilir. Yüksek Sözleşmeci Taraflar bu hakkın etkin bir şekilde kullanılmasını hiçbir surette engel olmamayı taahhüt ederler” [2]demektedir.

Kişisel Verilerin Korunması Hukuku kapsamı içerisinde değerlendirmiş olduğumuzda ise durumu Anayasa Mahkemesi’ne usulüne uygun başvuruda bulunmuş olan ilgili kişiler ve veri sorumluları tarafından yapmış oldukları başvuruları reddedilmiş olduğu takdirde usulüne uygun bir biçimde Avrupa İnsan Hakları Mahkemesi’ne başvuruda bulunabilirler.

Söz konusu başvuru çerçevesinde öne sürülmesi gereken iddia Avrupa İnsan Hakları Sözleşmesi’ nin 8. Madde ile güvence altına alınmış olan özel hayatın gizliliği hakkının ihalali yönünden olacaktır. Söz konusu 8. Madde kapsamına baktığımızda ise “(1) Herkes özel ve aile hayatına, konutuna ve yazışmasına saygı gösterilmesi hakkına sahiptir.

(2)Bu hakkın kullanılmasına bir kamu makamının müdahalesi, ancak müdahalenin yasayla öngörülmüş ve demokratik bir toplumda ulusal güvenlik, kamu güvenliği, ülkenin ekonomik refahı, düzenin korunması, suç işlenmesinin önlenmesi, sağlığın veya ahlakın veya başkalarının hak ve özgürlüklerinin korunması için gerekli bir tedbir olması durumunda söz konusu olabilir.”

Yine Kurul tarafından hakkında idari para cezası verilmiş olan veri sorumlusu açısından da Avrupa İnsan Hakları Mahkemesi’ne başvuruda öne sürülecek olan iddia ise Avrupa İnsan Hakları Sözleşmesi’ nin Ek-1 No.lu Protokolünün 1. Maddesi ile güvence altına alınmış olan mülkiyet hakkının ihlali çerçevesinde olacaktır.

Söz konusu madde hükmüne de bakacak olursak eğer; “Her gerçek ve tüzel kişinin mal ve mülk dokunulmazlığına saygı gösterilmesini isteme hakkı vardır. Bir kimse, ancak kamu yararı sebebiyle ve yasada öngörülen koşullara ve uluslararası hukukun genel ilkelerine uygun olarak mal ve mülkünden yoksun bırakılabilir.

Yukarıdaki hükümler, devletlerin, mülkiyetin kamu yararına uygun olarak kullanılmasını düzenlemek veya vergilerin ya da başka katkıların veya para cezalarının ödenmesini sağlamak için gerekli gördükleri yasaları uygulama konusunda sahip oldukları hakka halel getirmez”[3] demektedir.

[1] CEYLAN, FAİK SERHAT. Avrupa İnsan Hakları Mahkemesi’ne Bireysel Başvuru ve İç Hukuk Yollarının Tüketilmesi. Diss. 2020.

[2]https://www.echr.coe.int/documents/convention_tur.pdf

Kişisel Verilerin İhlali Nedeni ile Avrupa İnsan Hakları Mahkemesi’ ne Başvuru

Anayasa Mahkemesi’ ne yapılan bireysel başvuru neticesinde de olumlu herhangi bir sonuç alınmaması halinde Avrupa İnsan Hakları Mahkemesi’ ne başvuru yolu açılmış bulunmaktadır.Anayasa ve AİHS kapsamında korunan bütün vatandaşlar, hak ve özgürlüklerin bir veya birkaçının ihlal edilmiş olduğu iddiası ile Anayasa Mahkemesi’ ne başvuruda bulunabilirler. Söz konusu başvuruda bulunabilmenin ön şartı ise kanun yollarının tüketilmiş olmasıdır. 

Anayasa Mahkemesi’ ne bireysel başvuru başvuru yollarının tüketildiği tarihten itibaren otuz gün yahut başvuru yolu öngörülmemiş olması halinde bu ihlalin öğrenilmiş olduğu tarihten itibaren otuz gün içinde yapılması gerekmektedir. Kısaca her iki durumda da otuz gün içerisinde başvurunun yapılması gerekmektedir. Haklı bir neden dahilinde bu otuz günlük süre içerisinde yapılmayan başvurularda ise mazeretin kalkmış olduğu tarihten itibaren, mazeretlerini belgeleyecek olan delillerle birlikte on beş gün içerisinde başvuruları yapmaları gerekmektedir. Anayasa Mahkemesinin Kuruluşu Ve Yargılama Usulleri Hakkında Kanun’ un ilgili hükmü gereğince “Mahkeme, öncelikle başvurucunun mazeretinin geçerli görülüp görülmediğini inceleyerek talebi kabul veya reddeder.”[1]

Mahkeme, Anayasanın uygulanması ve yorumlanması veya temel hakların kapsamının ve sınırlarının belirlenmesi açısından önem taşımayan ve başvurucunun önemli bir zarara uğramadığı başvurular ile açıkça dayanaktan yoksun başvuruların kabul edilemezliğine karar verebilir. Kabul edilebilirlik incelemesi komisyonlarca yapılır. Kabul edilebilirlik şartlarını taşımadığına oy birliği ile karar verilen başvurular hakkında, kabul edilemezlik kararı verilir. Oy birliği sağlanamayan dosyalar bölümlere havale edilir. Kabul edilemezlik kararları kesindir ve ilgililere tebliğ edilir[2].

Kabul edilebilirliğine karar verilen bireysel başvuruların esas incelemesi bölümler tarafından yapılır. Başkan iş yükünün bölümler arasında dengeli bir şekilde dağıtılması için gerekli önlemleri alır. Bireysel başvurunun kabul edilebilirliğine karar verilmesi halinde, başvurunun bir örneği bilgi için Adalet Bakanlığına gönderilir. Adalet Bakanlığı gerekli gördüğü hallerde görüşünü yazılı olarak Mahkemeye bildirir. Komisyonlar ve bölümler bireysel başvuruları incelerken bir temel hakkın ihlal edilip edilmediğine yönelik her türlü araştırma ve incelemeyi yapabilir. Başvuruyla ilgili gerekli görülen bilgi, belge ve deliller ilgililerden istenir. Mahkeme, incelemesini dosya üzerinden yapmakla birlikte, gerekli görürse duruşma yapılmasına da karar verebilir. Bölümler, esas inceleme aşamasında, başvurucunun temel haklarının korunması için zorunlu gördükleri tedbirlere resen veya başvurucunun talebi üzerine karar verebilir. Tedbire karar verilmesi halinde, esas hakkındaki kararın en geç altı ay içinde verilmesi gerekir. Aksi takdirde tedbir kararı kendiliğinden kalkar. Bölümlerin, bir mahkeme kararına karşı yapılan bireysel başvurulara ilişkin incelemeleri, bir temel hakkın ihlal edilip edilmediği ve bu ihlalin nasıl ortadan kaldırılacağının belirlenmesi ile sınırlıdır. Bölümlerce kanun yolunda gözetilmesi gereken hususlarda inceleme yapılamaz. Bireysel başvuruların incelenmesinde, bu Kanun ve İç tüzükte hüküm bulunmayan hallerde ilgili usul kanunlarının bireysel başvurunun niteliğine uygun hükümleri uygulanır[3].

Esas inceleme sonunda, başvurucunun hakkının ihlal edildiğine ya da edilmediğine karar verilir. İhlal kararı verilmesi halinde ihlalin ve sonuçlarının ortadan kaldırılması için yapılması gerekenlere hükmedilir. Ancak yerindelik denetimi yapılamaz, idari eylem ve işlem niteliğinde karar verilemez. Tespit edilen ihlal bir mahkeme kararından kaynaklanmışsa, ihlali ve sonuçlarını ortadan kaldırmak için yeniden yargılama yapmak üzere dosya ilgili mahkemeye gönderilir. Yeniden yargılama yapılmasında hukuki yarar bulunmayan hallerde başvurucu lehine tazminata hükmedilebilir veya genel mahkemelerde dava açılması yolu gösterilebilir. Yeniden yargılama yapmakla yükümlü mahkeme, Anayasa Mahkemesinin ihlal kararında açıkladığı ihlali ve sonuçlarını ortadan kaldıracak şekilde mümkünse dosya üzerinden karar verir. Bölümlerin esas hakkındaki kararları gerekçeleriyle birlikte ilgililere ve Adalet Bakanlığına tebliğ edilir ve Mahkemenin internet sayfasında yayımlanır. Komisyonlar arasındaki içtihat farklılıkları, bağlı oldukları bölümler; bölümler arasındaki içtihat farklılıkları ise Genel Kurul tarafından karara bağlanır. Buna ilişkin diğer hususlar İç tüzükle düzenlenir. Davadan feragat halinde, düşme kararı verilir[4].

[2] https://www.sinerjimevzuat.com.tr/, 6216 Sk. Madde 48

[3] https://www.sinerjimevzuat.com.tr/, 6216 Sk. Madde 49

Kişisel Verilerin İhlali Nedeni ile Anayasa Mahkemesine Bireysel Başvuru-II

Anayasa Mahkemesi’ ne bireysel başvuru başvuru yollarının tüketildiği tarihten itibaren otuz gün yahut başvuru yolu öngörülmemiş olması halinde bu ihlalin öğrenilmiş olduğu tarihten itibaren otuz gün içinde yapılması gerekmektedir. Kısaca her iki durumda da otuz gün içerisinde başvurunun yapılması gerekmektedir. 

Anayasa Mahkemesi’ne bireysel başvuru imkanı Anayasamıza 2010 senesinde yapılan değişiklik ile birlikte getirilmiştir. Bireysel başvuruda temel amaç Anayasa çerçevesinde güvence altına alınmış olan temel hak ve özgürlükleri ihlal edilmiş olan kimseler tarafından, ihlale neden olduğu ileri sürülen işlem, eylem ya da ihmal için kanunda öngörülmüş idari ve yargısal yolların tamamına başvuruda bulunulmuş, tüketilmiş ve çözümsüz kalmış olması durumunda bu hak ihlalinin Anayasa Mahkemesi’nce tespit edilerek giderilmesi söz konusudur. Anayasa Mahkemesi’ne bireysel başvuru hakkında 6216 sayılı Anayasa Mahkemesinin Kuruluş ve Yargılama Usulleri Hakkında Kanunda düzenlenmiştir.

Kişisel verilerin korunmasını talep etme hakkı Anayasa’ nın 20. Maddesi ile güvence altına alınmış temel bir haktır. Anayasanın 20. Maddesinin 3. Fıkrasında açıkça belirtmiş olduğu üzere “Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir[1]” demektedir. Kişisel verileri hukuka aykırı olarak işlenmiş olan ilgili kişi bu nedenle, söz konusu hakkın tesisi için hem idari hem de yargısal başvuruları tüketmesi halinde ve söz konusu başvuruları neticesinde lehe herhangi bir sonuç almaması durumunda Anayasa Mahkemesi’ne usulüne uygun olarak başvuruda bulunabilme hakkına sahip olacaktır. Burada dikkat edilmesi gereken husus ise şu yöndedir; yapılacak olan başvuruda öne sürülecek olan temel iddia Anayasa’ nın 20. Maddesi ve Avrupa İnsan Hakları Sözleşmesi’ nin ( AİHM) 8 .maddesinde güvence altına alınmış olan özel hayatın gizliliği hakkının ihlali olacaktır[2].

Yine ayrıca belirtmek gerekmektedir ki, mevzuata aykırı bir biçimde veri işleme gerçekleştirmemiş olması halinde Kurul tarafından hakkında idari para cezası tesis edilmiş olan veri sorumlusu, sulh ceza hakimliğine yapacağı başvuru neticesinde hakkında lehe bir sonuç almaması halinde usulüne uygun olarak Anayasa Mahkemesine bireysel başvuruda bulunma hakkı vardır. Bu durumda ise başvuruda öne sürülmesi gereken temel iddia ise Anayasa’ nın 35. maddesi ve AİHS’ nin Ek-1 No.lu Protokolünün 1. Maddesinde güvence altına alınmış olan mülkiyet hakkının ihlalidir[3].

Anayasanın 35. Maddesine baktığımızda “(1)Herkes, mülkiyet ve miras haklarına sahiptir. (2) Bu haklar, ancak kamu yararı amacıyla, kanunla sınırlanabilir. (3)Mülkiyet hakkının kullanılması toplum yararına aykırı olamaz” demektedir. Yine AİHS Ek-1 No.lu Protokolünün 1. Maddesi’nde güvence altına alınmış olan mülkiyet hakkı yönünde yer alan metne baktığımızda ise “(1)Her gerçek ve tüzel kişinin mal ve mülk dokunulmazlığına saygı gösterilmesini isteme hakkı vardır. Bir kimse, ancak kamu yararı sebebiyle ve yasada öngörülen koşullara ve uluslararası hukukun genel ilkelerine uygun olarak mal ve mülkünden yoksun bırakılabilir.

(2)Yukarıdaki hükümler, devletlerin, mülkiyetin kamu yararına uygun olarak kullanılmasını düzenlemek veya vergilerin ya da başka katkıların veya para cezalarının ödenmesini sağlamak için gerekli gördükleri yasaları uygulama konusunda sahip oldukları hakka halel getirmez.” demekte[4] ve mülkiyet hakkı başlığı altında ve uluslararası sözleşmesel boyutunda da sözleşmeye taraf olan ülkeler açısından da koruma sağlamaktadır.

[2] Kişisel Verilerin Korunması Hukuku, Prof. Dr. Dr. H.c. mult. Bahri Öztürk, Syf 144

[3] Kişisel Verilerin Korunması Hukuku, Prof. Dr. Dr. H.c. mult. Bahri Öztürk, Syf 145

Kişisel Verilerin İhlali Nedeni ile Anayasa Mahkemesine Bireysel Başvuru-I

Anayasa Mahkemesi’ne bireysel başvuru imkanı Anayasamıza 2010 senesinde yapılan değişiklik ile birlikte getirilmiştir. Kişisel verilerin korunmasını talep etme hakkı Anayasa’ nın 20. Maddesi ile güvence altına alınmış temel bir haktır. 

Kurum ve teşkilatı, kişisel verilerin işlenmesi yönünde, ilk etapta özel yaşamın gizliliği olmak üzere bireylerin temel hak ve özgürlüklerini korumak ve kişiye ait verileri işleyen tüzel ve gerçek kişilerin sorumlulukları ile uymaları gereken usul ve esasları düzenlemek üzere; her geçen gün ilerleyen teknoloji sebebiyle oluşan ihtiyaçları Uluslararası yasalara uyumunun sağlanarak karşılanması amacı ile kabul edilmiş olan Kişisel Verileri Koruma Kanunun 19- 27 maddeleri arasında düzenlenmiş bulunmaktadır.

Kanunun 19. maddesi Kurum’ un hangi amaçla kurulduğunu tanımlamış olup “verilen görevleri yerine getirmek üzere, idari ve mali özerkliğe sahip ve kamu tüzel kişiliğini haiz Kişisel Verileri Koruma Kurumu kurulmuştur” demekle yine Kurum aynı zamanda, kanun maddesinin ikinci fıkrasında belirtilmiş olduğu üzere, Cumhurbaşkanının görevlendirdiği Bakan ile de ilişkili olduğunu belirtmiştir. Kurumun merkezi Ankara olup (madde 19/3), yine Kurum, Kurul ve Başkanlıklardan oluşacağı ve Kurumun karar organının Kurul olduğunu (madde 19/4-5) kanun maddesi ile hükme bağlanmıştır.

Kanunun ilgili 19. maddesinin gerekçesine baktığımızda ise “Maddeyle, Kanunla verilen görevleri yerine getirmek üzere, idari ve mali özerkliğe sahip ve kamu tüzel kişiliğini haiz Kişisel Verileri Koruma Kurumunun kuruluşu düzenlenmektedir. Avrupa Konseyinin 108 sayılı Sözleşmesi ve Avrupa Birliğinin 95/46/EC sayılı Direktifi, kişisel verilerin işlenmesine ilişkin ilkelerin uygulanmasını izlemek ve yönlendirmek üzere fonksiyonel olarak bağımsız bir şekilde görev yapacak otoritelerin oluşturulmasını öngörmektedir. Avrupa Birliği üyesi tüm ülkelerde veri koruma kurulları görevlerinde bağımsız otoriteler şeklinde yapılandırılmıştır. Sayılan uluslararası belgeler ve mukayeseli hukuk uygulamaları göz önüne alınmak suretiyle, Kişisel Verileri Koruma Kurumu kurulmuştur. Kurumun Başbakanlıkla ilişkili olduğu hüküm altına alınmaktadır.” demektedir.

Kurumun görevlerinin neler olduğu ise 6698 sayılı yasanın 20. maddesinde belirtilmektedir. Şöyle ki;

“a) Görev alanı itibarıyla, uygulamaları ve mevzuattaki gelişmeleri takip etmek, değerlendirme ve önerilerde bulunmak, araştırma ve incelemeler yapmak veya yaptırmak.

b) İhtiyaç duyulması hâlinde, görev alanına giren konularda kamu kurum ve kuruluşları, sivil toplum kuruluşları, meslek örgütleri veya üniversitelerle iş birliği yapmak.

c) Kişisel verilerle ilgili uluslararası gelişmeleri izlemek ve değerlendirmek, görev alanına giren konularda uluslararası kuruluşlarla iş birliği yapmak, toplantılara katılmak.

ç) Yıllık faaliyet raporunu Cumhurbaşkanlığına, Türkiye Büyük Millet Meclisi İnsan Haklarını İnceleme Komisyonuna sunmak.

d) Kanunlarla verilen diğer görevleri yerine getirmek”  Kurulun görevlerindendir.

Kanunun gerekçesine baktığımızda ise “Bu maddeyle, Kurumun görevleri belirlenmektedir. Buna göre Kuruma, görev alanı itibarıyla, başlıca ulusal ve uluslararası düzlemde uygulama ve mevzuattaki gelişmeleri takip ederek araştırma ve inceleme faaliyetlerinde bulunma ve ulusal ve uluslararası: kurum ve kuruluşlarla işbirliği yapma ve ihtiyaç duyulan hususlarda önerilerde bulunma görevleri verilmektedir.

Ayrıca, Kurum faaliyetleri hakkında hazırlanan yıllık faaliyet raporlarının Cumhurbaşkanlığına, Türkiye Büyük Millet Meclisi İnsan Haklarını İnceleme Komisyonuna ve Başbakanlığa sunulması, Kurumun şeffaflığının ve hesap verebilirliğinin sağlanmasına yardımcı olacaktır. Kurumun etkin ve verimli bir şekilde çalışabilmesi için hizmet alımı yapabilmesi de hüküm altına alınmaktadır.” demektedir[1].

Kişisel Verileri Koruma Kurumu’ nun Yapısı ve Görevleri

Kurum ve teşkilatı, kişisel verilerin işlenmesi yönünde, ilk etapta özel yaşamın gizliliği olmak üzere bireylerin temel hak ve özgürlüklerini korumak ve kişiye ait verileri işleyen tüzel ve gerçek kişilerin sorumlulukları ile uymaları gereken usul ve esasları düzenlemek üzere; her geçen gün ilerleyen teknoloji sebebiyle oluşan ihtiyaçları uluslararası yasalara uyumunun sağlanarak karşılanması amacı ile kabul edilmiş olan Kişisel Verileri Koruma Kanunun 19- 27 Maddeleri arasında düzenlenmiş bulunmaktadır.

Kanunun 19. Maddesi Kurum’ un hangi amaçla kurulduğunu tanımlamış olup “Verilen görevleri yerine getirmek üzere, idari ve mali özerkliğe sahip ve kamu tüzel kişiliğini haiz Kişisel Verileri Koruma Kurumu kurulmuştur” demekle yine Kurum aynı zamanda, kanun maddesinin ikinci fıkrasında belirtilmiş olduğu üzere, Cumhurbaşkanının görevlendirdiği bakan ile de ilişkili olduğunu belirtmiştir. Kurumun merkezi Ankara olup (Madde 19/3), yine Kurum, Kurul ve Başkanlıklardan oluşacağı ve Kurumun karar organının Kurul olduğunu (Madde 19/4-5) kanun maddesi ile hükme bağlanmıştır.

Kanunun ilgili 19. Maddesinin gerekçesine baktığımızda ise “Maddeyle, kanunla verilen görevleri yerine getirmek üzere, idari ve mali özerkliğe sahip ve kamu tüzel kişiliğini haiz Kişisel Verileri Koruma Kurumunun kuruluşu düzenlenmektedir. Avrupa Konseyinin 108 sayılı Sözleşmesi ve Avrupa Birliğinin 95/46/EC Sayılı Direktifi, kişisel verilerin işlenmesine ilişkin ilkelerin uygulanmasını izlemek ve yönlendirmek üzere fonksiyonel olarak bağımsız bir şekilde görev yapacak otoritelerin oluşturulmasını öngörmektedir. Avrupa Birliği üyesi tüm ülkelerde veri koruma kurulları görevlerinde bağımsız otoriteler şeklinde yapılandırılmıştır. Sayılan uluslararası belgeler ve mukayeseli hukuk uygulamaları göz önüne alınmak suretiyle, Kişisel Verileri Koruma Kurumu kurulmuştur. Kurumun Başbakanlıkla ilişkili olduğu hüküm altına alınmaktadır.” demektedir.

Kurumun görevlerinin neler olduğu ise 6698 Sayılı yasanın 20. Maddesinde belirtilmektedir. Şöyle ki;

a) Görev alanı itibarıyla, uygulamaları ve mevzuattaki gelişmeleri takip etmek, değerlendirme ve önerilerde bulunmak, araştırma ve incelemeler yapmak veya yaptırmak.

d) Kanunlarla verilen diğer görevleri yerine getirmek kurulun görevlerindendir.

Kanunun gerekçesine baktığımızda ise “Maddeyle, Kurumun görevleri belirlenmektedir. Buna göre Kuruma, görev alanı itibarıyla, başlıca ulusal ve uluslararası düzlemde uygulama ve mevzuattaki gelişmeleri takip ederek araştırma ve inceleme faaliyetlerinde bulunma ve ulusal ve uluslararası: kurum ve kuruluşlarla işbirliği yapma ve ihtiyaç duyulan hususlarda önerilerde bulunma görevleri verilmektedir.

Kişisel Verileri Koruma Kurumu

Kurum ve teşkilatı, kişisel verilerin işlenmesi yönünde, ilk etapta özel yaşamın gizliliği olmak üzere bireylerin temel hak ve özgürlüklerini korumak ve kişiye ait verileri işleyen tüzel ve gerçek kişilerin sorumlulukları ile uymaları gereken usul ve esasları düzenlemek üzere; her geçen gün ilerleyen teknoloji sebebiyle oluşan ihtiyaçları uluslararası yasalara uyumunun sağlanarak karşılanması amacı ile kabul edilmiş olan Kişisel Verileri Kanunun 19- 27 maddeleri arasında düzenlenmiş bulunmaktadır.

Kişisel verilerin aktarılacağı ülke, yeterli korumanın yer almadığı ülke olması halinde, söz konusu durumda kişisel veri işleme koşullarının bulunmuş olması ile Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli düzeyde bir korumayı yazılı bir biçimde taahhüt etmiş olmaları ve Kurulun izninin yer alması gerekir. Buna göre yeterli korumanın yer almadığı bir ülkeye kişisel veri aktarımında;

* Kişisel veri özel nitelikli bir kişisel veri olmaması halinde Kişisel Verilerin Korunması Kanunun 5/2’ de yer alan;

Aşağıdaki şartlardan birinin varlığı hâlinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesi mümkündür:

- Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması.

- Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması.

- Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.

- İlgili kişinin kendisi tarafından alenileştirilmiş olması.

- Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.

- İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması hususlarının [1]

* Özel nitelikli kişisel veri olması halinde ise Kişisel Verilerin Korunması Kanunun 6/3’ de yer alan;

- “Sağlık ve cinsel hayat dışındaki kişisel veriler, kanunlarda öngörülen hâllerde ilgili kişinin açık rızası aranmaksızın işlenebilir. Sağlık ve cinsel hayata ilişkin kişisel veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebilir” demekle belirtilen şartlardan birinin varlığı [2],

* Türkiye’ de yer alan ve ilgili yabancı ülkede bulunan veri sorumlularının yeterli düzeyde bir korumayı yazılı bir biçimde taahhüt etmeleri ve Kurulun izninin bulunması durumunda, yeterli korumaya sahip olmayan ülkelerden birine ilgilinin açık rızası aranmaksızın aktarılabilecektir. [3]

Türkiye’ de yer alan ve ilgili yabancı ülkede bulunan veri sorumlularının yeterli düzeyde bir korumayı yazılı olarak taahhüt etmeleri hangi yöntemlerle gerçekleşeceği hususu ve bu konuya ilişkin olmak üzere Bağlayıcı Şirket Kuralları [4] yönünden başvuru formu ve yardımcı doküman kaynaklarına da Kurul’ un resmi web sitesinden temin edilebilecektir.

[4] Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmelerinde kullanılabilecek bir diğer yöntem “Bağlayıcı Şirket Kuralları”dır.

Kişisel Verilerin Yurt Dışına Aktarımında Yeterli Korumanın Bulunmaması

Kişisel Verilerin yurt dışına aktarılabilmesi için 6698 sayılı yasanın 9. maddesinde yer alan hükümlerden birinin bulunması varlığı aranmaktadır. Söz konusu kanunda yer alan madde hükmüne göre; “Kişisel veriler, ilgili kişinin açık rızası olmaksızın yurt dışına aktarılamaz."


Kişisel veriler, 5 inci maddenin ikinci fıkrası ile 6 ncı maddenin üçüncü fıkrasında belirtilen şartlardan birinin varlığı ve kişisel verinin aktarılacağı yabancı ülkede;

b) Yeterli korumanın bulunmaması durumunda Türkiye'deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve Kurulun izninin bulunması,


kaydıyla ilgili kişinin açık rızası aranmaksızın yurt dışına aktarılabilir.Yeterli korumanın bulunduğu ülkeler Kurulca belirlenerek ilan edilir.

Kurul yabancı ülkede yeterli koruma bulunup bulunmadığına ve ikinci fıkranın (b) bendi uyarınca izin verilip verilmeyeceğine;

a) Türkiye'nin taraf olduğu uluslararası sözleşmeleri,

b) Kişisel veri talep eden ülke ile Türkiye arasında veri aktarımına ilişkin karşılıklılık durumunu,
c) Her somut kişisel veri aktarımına ilişkin olarak, kişisel verinin niteliği ile işlenme amaç ve süresini,

ç) Kişisel verinin aktarılacağı ülkenin konuyla ilgili mevzuatı ve uygulamasını,

d) Kişisel verinin aktarılacağı ülkede bulunan veri sorumlusu tarafından taahhüt edilen önlemleri,değerlendirmek ve ihtiyaç duyması hâlinde, ilgili kurum ve kuruluşların görüşünü de almak suretiyle karar verir.

Kişisel veriler, uluslararası sözleşme hükümleri saklı kalmak üzere, Türkiye'nin veya ilgili kişinin menfaatinin ciddi bir şekilde zarar göreceği durumlarda, ancak ilgili kamu kurum veya kuruluşunun görüşü alınarak Kurulun izniyle yurt dışına aktarılabilir.

Kişisel verilerin yurt dışına aktarılmasına ilişkin diğer kanunlarda yer alan hükümler saklıdır[1]” demektedir.

Kanunda yer alan “Yeterli Korumanın Bulunması” ifadesinde anlatılmak istenenin ne olduğuna değinecek olursak eğer; aktarılacak olan kişisel veri, Kişisel Verileri Koruma Kurulunca belirlenmiş olan ve yine kurul tarafından ilan edilen yeterli korumaya sahip bulunan ülkelerden birine (bu ülkeler aynı zamanda güvenli ülke olarak da adlandırılmaktadır) aktarılacak ise kişisel verinin özel nitelikli kişisel veri olup olmadığına bakılır. Buna göre eğer bir kişisel veri özel nitelikli kişisel veri olması halinde 6698 sayılı Kanunun 6 ncı maddesinin 3 üncü fıkrasında belirtilmiş olan koşullardan birinin varlığı gerekmektedir. Bu koşullar şunlardır;

- Cinsel hayat ve sağlık dışında olan özel nitelikli kişisel verilerin kanunda açıkça öngörülmesi halinde,

- Cinsel hayat ve sağlığa özgü özel nitelikli kişisel verilerin olması halinde ise ancak kamu sağlığının korunması, tıbbi teşhis, koruyucu hekimlik, sağlık hizmetleri ile finansmanının planlanması, tedavi ve bakım hizmetlerinin yürütülmesi, ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan yetkili kurum ve kuruluşlar veya kişiler tarafından işlenmesi halinde yeterli korumaya sahip olan ülkelerden birine ilgilinin açık rızası aranmaksızın aktarılabilecektir[2].

Aktarılacak verinin özel nitelikli kişisel veri olmaması halinde ise 6698 sayılı Kanunun 5 inci maddesinin 2 nci fıkrasında belirtilmiş olan şartlardan birinin varlığı gereklidir. Bu şartlar şunlardır;

Kişisel Verilerin Yurt Dışına Aktarımında Yeterli Korumanın Bulunması

Kişisel Verilerin yurt dışına aktarılabilmesi için 6698 sayılı yasanın 9. maddesinde yer alan hükümlerden birinin bulunması varlığı aranmaktadır. 