| Okuma Süresi: 6 Dakika

İFADE ÖZGÜRLÜĞÜ VE BASIN HÜRRİYETİ EKSENİNDE KİŞİSEL VERİLERİ KORUMA KURUMU’NUN KARARLARININ DEĞERLENDİRİLMESİ

AV. ADEM AKKIR

Kişisel Verileri Koruma Kurumu (Kurum) tarafından 3 Ağustos 2018 tarihinde 3 kararın özeti yayınlanmış olup, ifade özgürlüğü ve basın hürriyeti kapsamında ihlal olarak değerlendirilmeyen birinci kararı detaylı olarak incelenip diğer iki karara kısa değerlendirmeler ile yazıda yer verilmekle yetinilecektir.

 

Kararlara ilişkin değerlendirmeye geçmeden önce belirtmek gerekir ki Kurum’un özetleri elbette uygulamanın yerleşmesi açısından çok önemli, ancak alınan kararların özet olarak yayınlanırken, olaylara sadece konu olarak yer verilmesi ve kurulun karar verirken hangi kıstasları esas alındığına yer verilmemesini ve yine uygulanan idari para cezasının miktarının açıklanmamasını hatalı buluyoruz. Kurum kapalı bir kulüp değildir, yönetmelik ile düzenlenmiş görev ve yükümlülükleri bulunmaktadır. Bu doğrultuda da kişisel verilerin korunması konusunda kurum ve kuruluşları bilgilendirmek, kamuoyuna yönelik farkındalık faaliyetleri gerçekleştirmek zorundadır. Yayınlanan kararlar özetlerinde tıpkı Anayasa Mahkemesi, Yargıtay, Rekabet Kurumu, Reklam Kurulu kararları gibi hangi olay, hangi kriterler esas alınarak incelenmiş ve ne yaptırım uygulanmış detaylı ve gerekçeleri içerir olmalıdır ki bu kararlar hem kamuoyuna yön versin hem de eleştirilebilir hale gelsin. Kişisel veriyi korumak için kurulmuş olan Kurum için kararlar yayınlanırken gerçek kişiye ilişkin veriye anonim hale getirmek zor olmasa gerek.  Bu kısa eleştiriden sonra Kurumun yayınladığı kararlardan;

 

Birinci Karar Özetinde, “Bir gerçek kişinin adının geçtiği bir gazetedeki köşe yazısının, kişinin hala kamuyu ilgilendiren bir konumda olduğu hususu da dikkate alınarak, ifade özgürlüğünün bir yansıması olan basın özgürlüğünün kapsamında olduğu değerlendirildiğinden 6698 sayılı Kişisel Verilerin Korunması Kanununun 28 inci maddesinin (1) numaralı fıkrasının (c) bendi uyarınca, ilgili kişinin söz konusu köşe yazısının silinmesine yönelik talebine ilişkin olarak Kurulca yapılacak herhangi bir işlem bulunmadığına karar verilmiştir.”([i])

 

Ne yazık ki, başvuru konusu olaylar ve verilen karara ilişkin detay bilgiler bilinmediği için özette verilen bilgilerden başvuruda bir yazarın köşe yazısında gerçek kişinin isminin bulunması, ilgili kişi tarafından yapılan başvuru ile izni alınmaksızın yazıda kişisel verilerine yer verildiği iddiası karşısında Kurum tarafından ise kişinin hala kamuyu ilgilendiren bir konumda olduğu ve isminin ifade özgürlüğü kapsamında kullanıldığına karar verildiği varsayılarak Karara konu olayların Anayasa hükümleri çerçevesinde değerIendirildiğinde Anayasanın;

 

20. Maddesi; “Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme … silinmesini talep etme hakkına sahiptir. …. kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir.”

 

26. Maddesi; “Herkes, düşünce ve kanaatlerini söz, yazı, resim veya başka yollarla tek başına veya toplu olarak açıklama ve yayma hakkına sahiptir. Bu hürriyet resmi makamların müdahalesi olmaksızın haber veya fikir almak ya da vermek serbestliğini de kapsar.

 

Bu hürriyetlerin kullanılması, millî güvenlik, kamu düzeni, …….başkalarının şöhret veya haklarının, özel ve aile hayatlarının yahut kanunun öngördüğü meslek sırlarının korunması veya yargılama görevinin gereğine uygun olarak yerine getirilmesi amaçlarıyla sınırlanabilir.”

 

28. Maddesi; “Basın hürdür, sansür edilemez … Devlet, basın ve haber alma hürriyetlerini sağlayacak tedbirleri alır.”

 

Hükümlerini içermektedir. Karara konu olayda “Kişisel verilerin korunması hakkı” ile “Düşünceyi açıklama ve yayma hakkı” ve “Basın hürriyeti “’ne dair menfaatlerin çatıştığı görülmektedir. Görünen o ki ilerleyen dönemde Kurum’a benzer nitelikte çokça başvuru olacaktır.

 

Kişisel veri; Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi, içermekte olup (KVKK md. 3) ([ii]) Kişisel veriler, ancak kanunlarda öngörülen usul ve esaslara uygun olarak işlenebilir. (KVKK md. 4) Kural kişisel verilerin işlenmesi için kişilerin açık rızasının alınması olup KVKK’nın 5/2’de mevcut olan istisnai hallerde açık rıza aranmamaktadır. Yine KVKK’nın 28. Maddesinde kanunun uygulanmayacağı istisnai haller sayılmış olup “ifade özgürlüğü kapsamında işlenmesi” istisna kabul edilmiştir.  Kurum’un kapsam dışında tuttuğu ifade özgürlüğünü objektif kriterlere bağlamanın güçlüğü şüphesizdir.

Anayasanın 26. Maddesi ifade özgürlüğüne içerik bakımından bir sınırlama getirmemiştir. İfade özgürlüğü; siyasi, sanatsal, akademik veya ticari düşünce ve kanaat açıklamaları gibi her türlü ifadeyi kapsamına almaktadır. Bu itibarla köşe yazıları ve haberlerde yer alan bilgiler başkaları açısından “değersiz” veya “yararsız” görülse bile kişilerin sübjektif değerlendirmelerinden bağımsız olarak ifade özgürlüğünün korumasındadır. İfade ve basın özgürlükleri yalnızca bilgilerin iletilmesi hakkını değil aynı zamanda halkın tanınmış kişilere ilişkin bilgileri alma hakkını da güvence altına aldığı Anayasa Mahkemesinin vermiş olduğu kararlarda hüküm altına alınmıştır. Buna ilave olarak Anayasa Mahkemesi siyasetçilerin, kamuoyunca tanınan kişilerin ve kamusal yetki kullanan görevlilerin gördükleri işlev nedeniyle daha fazla eleştiriye katlanmak durumunda olduğunu ve bunlara yönelik eleştirinin sınırlarının çok daha geniş olduğunu her zaman vurgulamış ve ifade özgürlüğü ve basın hürriyeti kapsamında değerlendirilmiştir. ([iii])

Ancak Anayasa Mahkemesi aynı zamanda ifade ve basın özgülüğünün de sınırlarının bulunduğunu belirterek basının bazı görev ve sorumluluklarında bulunduğunu belirtmektedir. Bu görev ve sorumluluklar “başkalarının şöhret ve haklarının” zarar görme ihtimalinin bulunduğu ve özellikle adı verilen bir şahsın itibarının söz konusu olduğu durumlarda özel önem arz etmektedir.  Medyanın özel şahıslar hakkında olgusal beyanların doğruluğunu araştırma yükümlülüğünün derecesi tespit edilirken göz önüne alınması gereken koşullar ise; Söz konusu olgusal beyanın niteliği ve derecesi, haber kaynaklarının söz konusu iddialar bakımından makul olarak güvenilir olup olmadığı ve gazetecilerin doğru ve güvenilir bilgiler sunmak için iyi niyet çerçevesinde hareket edip etmediği olarak sıralanmaktadır.

Basın özgürlüğü, ilgililerin meslek ahlakına saygı göstermelerini ve doğru ve güvenilir bilgi verecek şekilde ve iyi niyetli olarak hareket etmelerini zorunlu kılmaktadır. Kötü niyetli olarak gerçeğin çarpıtılması bazen kabul edilebilir eleştiri sınırlarını aşabilir. Dolayısıyla haber verme görevi zorunlu olarak ödev ve sorumluluklar ve basın kuruluşlarının kendiliğinden uymaları gereken sınırlar içermektedir.([iv])

Bu değerlendirmeler baz alındığında salt kötüleme amacı taşıyan olgusal iddialar araştırılmadan haber yapılmış ise ifade hürriyetinin izin verilen sınırlarının aşılmış olduğundan bahsedilecektir.

Kısaca içeriği bilinmemekle birlikte Kurum’un vermiş olduğu karara konu edilen yazının ifade ve basın hürriyeti içinde kaldığı, 6698 sayılı Kişisel Verilerin Korunması Kanunun kapsamının dışında olduğu ve dolayısıyla Kurum’un denetiminin dışında olduğu varsayılarak karar verilmiştir.

Kararda “hala kamuyu ilgilendiren bir konumda olduğu hususu da dikkate alınarak” dendiğine göre bahse konu silinmesi istenen yazı eski bir yazı olup ilgili kişi KVKK nun 7. Maddesine göre işlenmesine gerektiren sebebin ortadan kalkmış olduğunu gerekçe göstererek yine KVKK’nun 11/e maddesi uyarınca silinmesini istemiş olabilir ki Kurum yazıyı ifade özgürlüğü kapsamına sokarak Kanun kapsamı dışında tutmuş görünmektedir.

Detay bilgiye vakıf olunamadığı içinde haliyle GDPR’ın([v]) 17. Maddesi ile Avrupa Birliğinde uygulama alanı bulan ancak 6698 sayılı kanunda düzenlenmemiş olduğu için Yargı Kararları ile koruma kalkanı geliştirilen “Unutulma Hakkı” çerçevesinde konuyu değerlendirme fırsatımız olmamıştır.

Sonuç olarak, Basında çıkan haberlerin 6698 sayılı kanun ve dolayısıyla Kurum’un denetimi altına alınabilmesi için öncelikle yapılan haber veyahut yazının ifade hürriyeti ve basın hürriyeti kapsamında olup olmadığı ile ifade hürriyeti sınırlarının aşılıp aşılmadığı kriterleri işletilecek, ifade ve basın hürriyeti içinde değerlendirilmez ise Kurum’un denetimine tabi olacak, değerlendirilir ise kanun kapsamı dışında sayılacak ve Kurum’un denetimine tabi olmayacaktır. Bu da demek oluyor ki artık ifade ve basın özgürlüğünü denetleyen bir kurumumuz daha var.

İkinci Karar Özetinde: İlgili kişiye ait özel nitelikli kişisel veri olan sağlık raporunun, bir Hastane nezdinde hastaların tedavi sürecinde yer alan hekimler tarafından, veri sorumlusuna ait mobil olarak kullanılan bir uygulamadan alınan ekran görüntüsünün başka bir cihaz tarafından çekilmesi suretiyle internet ve sosyal medya mecralarında paylaşılması ve bu itibarla özel nitelikli bir kişisel verinin sosyal medya aracılığıyla geniş bir kitleye ifşa edilmiş olduğu dikkate alınarak, Kurulca yapılan resen inceleme neticesinde;

6698 sayılı Kişisel Verilerin Korunması Kanununun 12 nci maddesinin (1) numaralı fıkrasının (c) bendi kapsamında kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin edemeyen veri sorumlusu hakkında Kanunun 18 inci maddesi uyarınca idari para cezası uygulanmıştır.”([vi])

 

Bu karardan da açıkça görülüyor ki veri koruma zincirinin hala en zayıf halkası insan unsurudur. Dolayısıyla kurumların çalışanlarına tekrar ve tekrar bu konunu önemini hatırlatan dönemsel eğitim vermelerinin ve farkındalığı artırmak için bilgilendirme çalışmaları yapılmalarının elzem olduğu ortadır.

 

Üçüncü Karar Özetinde: “a) İlgili kişi tarafından, online olarak insan kaynakları hizmeti sunan veri sorumlusuna ait bir platform üzerinden yapılan iş başvurusunun akabinde; veri sorulusunun, ilgili kişiye ait başvuru bilgisi, ad ve soyadı ile e-posta adresi bilgisini içeren kişisel verileri herhangi bir hukuki sebebe dayanmadan diğer işe başvuranlarla paylaştığı tespit edildiğinden;

Bu durumun; 6698 sayılı Kişisel Verilerin Korunması Kanununun 12 nci maddesinin (1) numaralı fıkrasına aykırılık teşkil etmesi nedeniyle anılan Şirket hakkında Kanunun 18 inci maddesi uyarınca idari para cezası uygulanmıştır.

b) Bir şirketler topluluğu bünyesinde yer alan birden çok veri sorumlusu şirketler arasında veri aktarımı gerçekleştirilmesinin, üçüncü kişiye veri aktarımı olarak değerlendirildiği, bu itibarla aynı şirketler topluluğu bünyesinde yer alan veri sorumluları arasında gerçekleşecek veri aktarımında da 6698 sayılı Kişisel Verilerin Korunması Kanununun 8 inci maddesi hükümlerinin esas alınması gerektiği dikkate alındığında,

İş başvurusunda bulunan bir adayın açık rızası olmadan kişisel verilerinin bir şirketler topluluğu altında yer alan veri sorumluları arasında aynı veri tabanını kullanmak suretiyle paylaşılmasının Kanunun 12 nci maddesinin (1) numaralı fıkrasına aykırılık teşkil etmesi nedeniyle, anılan Şirket hakkında Kanunun 18 inci maddesi uyarınca idari para cezası uygulanmıştır.”([vii])

İşe başvuru süreçlerinde alınan kişisel verilerin a) bendinde belirtilen kararda işe başvuran adayın bilgilerinin diğer adaylar ile paylaşılarak ifşa edildiği ve kişisel verileri hukuka aykırı olarak erişilmesini engellenmediği, b) bendinde belirtilen kararda ise işe başvuranların bilgilerini grup şirket bünyesinde bulunan diğer şirketler ile rıza alınmaksızın paylaşıldığı ve ihlal sayılan bu eylemler nedeniyle kişisel verilerin aktarılması için uyulması gereken usul ve kurallara uyulmadığı gerekçesiyle idari para cezasına hükmedilmiştir.

Görüldüğü üzere Kurum’ca kişisel verinin işlenmesinde, veri sorumlularının uyması gereken yükümlülükleri harfiyen yerine getirmeleri beklenmektedir.

Her iki kararda da hüküm altına alınan idari para cezası 15.000 ila 1.000.000 TL arasında olup yine TCK’nun ilgili hükümleri uyarınca cezaya çarptırılmaları ve zarara uğrayan kişilerin tazminat talepleri de eklenmesi gerekmektedir.

Sonuç olarak 6698 sayılı kanuna uygun ve uyumlu hareket etme işletmelerin her şeyi olan kişisel veriyi kaybetmemelerini sağlarken aynı zamanda idari para cezaları, ceza soruşturması ve manevi tazminat davalarından da korunmasını sağlayacaktır.

 


[i] https://www.kvkk.gov.tr/Icerik/5262/Kisisel-Verileri-Koruma-Kurumu-Karar-Ozetleri

[ii] Kişisel Verilerin Korunması Kanunu

[iii] Anayasa Mahkemesi, Ali Kıdık başvurusu Bireysel Başvuru No: 2014/5552, 26/10/2017 tarih

[iv] Anayasa Mahkemesi , Kadir Sağdıç başvurusu Bireysel Başvuru No: 2013/6617, 8/4/2015 tarih; Biriysel Başvuru İlhan Cihaner (2) , Bireysel Başvuru No: 2013/5574, 30/6/2014 tarih

[v] Avrupa Veri Tüzüğü

[vi] https://www.kvkk.gov.tr/Icerik/5262/Kisisel-Verileri-Koruma-Kurumu-Karar-Ozetleri

[vii] https://www.kvkk.gov.tr/Icerik/5262/Kisisel-Verileri-Koruma-Kurumu-Karar-Ozetleri