Kişisel Veriler Burada, Koruması Nerede?

Bilişim alanında suçlar, ilginçtir, 1991 yılından beri düzenleme altında. Yani 17 yıldır Türk Ceza Hukuku mevzuatında bilişim suçları var. Elektronik ticaret konusunda olsun, elektronik imza alanında olsun bir çok hukuki düzenlemeler çoktandır hukukumuzda yerlerini aldılar. Uzun zamandır boşlukta olan ve düzenlenmesi gereken elektronik yayıncılık konusu dahi (eksiklikler ve yanlışlıklar içerse de) 5651 sayılı yasayla düzenlenmiş durumda.

Ancak, her alanda olduğu gibi hukuk alanında da altyapı olmadan üstyapılar kurmaya devam ediyoruz. Nasıl ki, binalar yapıldıktan sonra yol ve altyapı yapılıyorsa, kanuni düzenlemelerde de aynısını yapmaya devam ediyoruz. Kişisel veriler konusu düzenlenmeden elektronik yayıncılık konusunun düzenlenmesi gibi.

İşin içine Bilişim Teknolojileri (BT) girince, bazı değerlerin daha sıkı ve daha öncelikli korunması gerekiyor. Bu değerlerden birisi de “kişisel veriler”. Fiziki ortamlarda saklanan verilerin alınması, çalınması veya kopyalanması ne denli zorsa, BT ortamında saklanan verilerin alınması, çalınması ve kopyalanması bir o kadar kolay hale geldi. BT’nin sunmuş olduğu kolaylıklar, verilerin, özellikle kişisel verilerin korunması konusunda bizi daha fazla önlemler almaya itiyor. Kişiler ve kurumlar bilişim güvenliğine artık daha fazla önem vermek gerektiğini hissediyorlar ve stratejilerini buna göre belirliyorlar.

Pekala, kişisel verilerin fiziksel ve elektronik güvenliğini sağlayabiliriz. Ancak yasal koruması nerede derseniz bu soruya ne yazık ki olumlu bir cevap veremeyiz. Bankalarda, telefon ve sigorta şirketlerinde, hastanelerde, okullarda kendimizle ilgili bir çok bilgi (veri) bulunuyor. Devletin birçok kurumunda, özel hayatımıza ilişkin ve rızamızla verdiğimiz en ince ayrıntılarımız bulunuyor. Peki, bu kişisel verilerimiz bir yerlere satılırsa, bir yerlerde kullanılırsa ya da birileri tarafından dolandırıcılık maksadıyla kullanılırsa ne olacaktır?

Türk Ceza Kanunu’nda “kişisel verileri” hukuka aykırı olarak kaydetme, ele geçirme veya ifşa etme gibi yeni suç tanımları düzenlenmiş durumda. Ancak, bunun yeterli bir düzenleme olduğunu söyleyemeyiz, çünkü suçun tanımını yapan maddelerde “kişisel veri”nin ne olduğu açıklanmamış. “Kişisel veri”nin ne olduğu saptanmadan ve nelerin kişisel veri kapsamına girdiği bilinmeden bu maddelere göre yargılama yapılması hukuka aykırı bir durum oluşturabilir.

Ayrıca, kişisel verinin ne olduğu ve kapsamı bir yana, rızamız olsa dahi, hangi kurumun ya da şirketin ne tür kişisel verileri kaydedebileceği, ne tür kişisel verilere ihtiyaç duyabileceği ve ne tür kişisel verileri kimlerle paylaşabileceğinin standartlarının da belirlenmesi gerekiyor. Örneğin basit bir telefon aboneliğinde bile tüm nüfus kaydımızı, adreslerimizi, telefon numaralarımızı ve annemizin kızlık soyadını vermek zorundayız.Bu standartlar ve kimin ne kadar bilgi tutabileceği belirlenmediği takdirde, annemizin kızlık soyadından, oturduğumuz evlerin adreslerine kadar, üye olduğumuz derneklerden, geçirdiğimiz hastalıklara kadar birçok bilgiyi ortalıklarda dolaşırken bulabiliriz. Hatta, haberimiz olmadan birkaç şirkete ortak olmuş, bazı banka hesaplarını boşaltmış, adımıza kayıtlı telefonla uyuşturucu trafiğini yönetmiş, binlerce liralık çek kesmiş bile olabiliriz.

1991 yılından beri bekleyen “Kişisel verilerin korunması hakkında kanun tasarısı” bir an önce kamuoyunun tartışmasına açılmalı ve kısa zamanda meclisin gündemine gelerek kanunlaşmalıdır. Bu kanunla, özel hayatımızın gizliliğinin korunmasının yanı sıra, bu yolla suç işlenmesinin de önüne geçilebilir.

M.Gökhan Ahi

Çevremizdekilerin bizim hakkımızda ne bildiğini bilmiyoruz, kişisel verilerimizi koruma hakkından yoksunuz. Yrd.Doç.Dr. Leyla Keser Berber, tasarının ne getireceğini, özel hayat istisnalarını, polis, jandarma ve MİT’in ne istediğini anlattı.

NTV-MSNBC
Güncelleme: 00:23 TSİ 17 Haziran 2008 Salı


İSTANBUL - Bilgi Üniversitesi Bilişim Teknolojisi Hukuku Uygulama ve Araştırma Merkezi Direktörü Yrd.Doç.Dr. Leyla Keser Berber, “Kişisel Verilerin Korunması Tasarısı” konusunda NTVMSNBC’nin sorularını yanıtladı. Berber’e göre tasarı yasalaşırsa, kişisel bilgiler ancak açık ve meşru amaçlar için toplanıp işlenebilecek. Ancak jandarma, polis ve istihbarata “suç işleme şüphesiyle özel nitelikteki kişisel bilgileri de işleme” yetkisi tanınırsa, tasarının amacı boşa çıkacak. Berber, bu üç kurumun zaten kendi kanunlarıyla “suçun önlenmesi için özel niteliği olan verilerin işlenme yetkisini çoktan elde ettiğini” belirterek, “Tasarıya müdahale etmektense, kanunlardaki düzenlemenin hukuk devleti ilkesi doğrultusunda eleyici bir gözden geçirilmesi daha doğru olur kanaatindeyiz” diyor.
Dr. Leyla Keser Berber’in NTVMSNBC’ye tasarıyla ilgili yaptığı açıklamalar şöyle:
Avrupa Birliği’nde 1995’den bu yana uygulanan ve Avrupa Birliği’ne üye her ülkede ortak koruma kuralları ile göze çarpan yeni bir alan, Kişisel Verilerin Korunması Kanunu Tasarısı ile Türk hukukuna kazandırılmaya çalışılıyor. Bugün AB vatandaşlarının veri korumasında sahip olduğu haklar her ne ise, bu kanun tasarısı ile Türkiye Cumhuriyeti vatandaşlarına da aynı haklar sağlanmaya çalışılıyor. Maalesef bugün için, çevremizin, şahsımızla ilgili bildiklerini öğrenme olanağından yoksun olduğumuz gibi, varlığımızı bu bilgi karşısında etkin bir şekilde koruma olanağına da sahip değiliz. Tasarı bu açıdan önem taşıyor ve eğer yasalaşırsa, temel hak ve özgürlüklerin korunmasında önemli bir adım atılmış olacak.

Kişisel Verilerin Korunması Tasarısı’nın amacı, kişisel verilerin işlenmesinde kişinin dokunulmazlığı, maddi ve manevi varlığı ile temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin uyacakları esas ve usulleri düzenlemek. Dolayısıyla yasa tasarısı, kişiyi, kişilik haklarını korumayı hedefleyen bir mantıkla hazırlanmış.

KİŞİSEL VERİLERİMİZ ÜZERİNDEKİ HAKLARIMIZ
Tasarı ile şimdiye kadar herhangi bir kamu veya özel sektör kuruluşu ile olan ilişkilerimiz dolayısıyla işlenen, ancak ne şekilde ve nasıl işleneceğine, birey olarak işlenen kişisel verilerimiz üzerindeki haklarımızın neler olduğuna ilişkin özel bir düzenleme bulunmayan son derece önemli bu konu bakımından bireyi koruyucu hükümler getirilmiştir.

Şöyle ki; Bu kanun çerçevesinde kişisel verileri işleyenler, hangi tür verileri, ne kadar süre ile ve hangi amaçlar doğrultusunda işlediklerini açıklamak zorundalar. Bu amaçla, ayrıca bu kanun ile oluşturulacak kamuya açık sicillere veri işleyicisi olarak kaydolmak zorunda. Bu sayede vatandaş, kimin, hangi tür verileri, ne kadar süre ile işlediğini bu sicillere bakarak öğrenme imkanına sahip olacak. Ayrıca kendisi hakkında kişisel veri işleyenlere doğrudan başvurarak, kendisi ile ilgili hangi verilerin ne amaçla toplandığını ve işlendiğini öğrenme hakkına, yanlışlık varsa da düzeltilmesini ve hatta belirli bazı durumlarda silinmesini dahi isteme hakkına sahip olacak.

Kanun ile ihdas edilecek Kişisel Verilerin Korunması Kurumu da, bu kanunun yürütülmesinde önemli görevler ifa edecek. Örneğin, vatandaşlar şikayet yoluyla bu kuruma başvurarak, vatandaşların şikayetlerinin haklı olup olmadığını değerlendirecek.

VERİ HAVUZU OLUŞTURULMAYACAK
Tasarı sanıldığının aksine, verilerimizin bir havuzda toplanacağı, ilgili kurum veya kuruluşlarla paylaşılacağı bir sistem öngörmüyor. Bilakis, şu ana kadar zaten herhangi özel bir yasa ile hukuki korumaya sahip olmayan ve deyim yerindeyse kaos ortamında bulunan verilerimizi koruyacak özel bir hukuki şemsiye yaratacak.

Kanun kişisel verilerin işlenmesinde dikkate alınması gereken temel hususları düzenliyor. Buna göre kişisel verilerin işlenmesinde, hukuka uygunluk aranacak. Başka bir ifade ile, kişisel veriler, ancak belirli, açık ve meşru amaçlar için toplanabilecek ve bu amaçlara aykırı olarak yeniden işlenemeyecek. Ayrıca toplandıkları amaçla bağlantılı, yeterli ve ölçülü olarak işlenmeleri gerekecek. Bunun dışında kişisel veriler gerçeğe uygun olarak işlenecek ve gerektiğinde güncellenecek. Saklama süresi bakımından ise, ilgili kişilerin kimliklerini belirtecek biçimde ve kaydedildikleri veya yeniden işlenecekleri amaç için gerekli olan süre kadar muhafaza edilmesi zorunlu. İşlenen verilere sadece kanunen erişim yetkisi olanlar ulaşabilecek.
Jandarmadan ‘mahrem’ talepler


‘HASSAS’ VEYA ‘ÖZEL NİTELİKTE’ VERİ
Basında ilk yer aldığı günden beri konunun odak noktasını oluşturan “hassas veri” veya “özel niteliği olan veriler” bakımından ise durum şu:

Kanun bazı veriler bakımından, daha hassas davranıyor. Özel niteliği olan veriler olarak tanımladığı bazı veri kategorileri için daha sıkı koruma kurallarının işlerlik kazanacağını görüyoruz. Buna göre, kural olarak, kişilerin ırk, siyasî düşünce, felsefî inanç, din, mezhep veya diğer inançları, dernek, vakıf ve sendika üyeliği, sağlık ve özel yaşamları ve her türlü mahkûmiyetleri ile ilgili kişisel veriler işlenemeyecek.

Bu tür veriler, bünyesinde barındırdıkları ayrımcılığa uğrama tehlikesi sebebiyle, ancak belli bazı hallerde işlenebilecek. Bu istisnalardan biri, suçun soruşturulmasına ilişkin olarak özel nitelikteki kişisel verilerin, ilgili kanunlarda yeterli koruma tedbiri bulunması kaydıyla, yetkili mercilerin kontrolü altında işlenebilmesi. Bu hüküm hukuk devleti ilkesi çerçevesinde düşünüldüğünde polisin, jandarmanın ve istihbarat birimlerinin hukuka uygun olarak faaliyet göstermelerine olanak sağlar.

Suçun soruşturulması bağlamında kendi özel kanunlarında açıkça verilmiş ve sınırları çizilmiş -yani yine hukuka uygun- olarak özel niteliği olan kişisel verileri işlemeleri mümkün.

Ancak tasarı, özel niteliği olan verilere ilişkin olarak, suçun önlenmesi bakımından doğal olarak herhangi bir düzenleme içermiyor. Bu kanunun yapılmasındaki amaç, “hukuk devleti” ilkesi ile bağdaşır bir hukuk düzeni yaratmak. Oysa suçun önlenmesi kavramının muğlaklığı ortada.

“SUÇ İŞLEYEBİLİR” ŞÜPHESİYLE
Her vatandaşın “suç işleyebilir” şüphesi ile özel niteliği olan verilerin toplanmasına bu kanun ile fırsat tanımak, bu kanunun uygulama amacını boşa çıkarır. O nedenle bu kanunda bu konuda özel düzenleme yapılması gerektiği kanaatini paylaşmıyoruz. Jandarma, polis ve istihbarat birimleri, zaten 2559 sayılı Polis Vazife ve Selahiyet Kanunu’nun ek 7’nci maddesi, 2803 sayılı Jandarma Teşkilat, Görev ve Yetkileri Kanunu ek 5’inci ve 2937 sayılı Devlet İstihbarat Hizmetleri ve Millî İstihbarat Teşkilatı Kanunu’nun 6’ncı maddeleri çerçevesinde suçun önlenmesi için özel niteliği olan verilerin işlenme yetkisini çoktan elde etmiş görünüyor.

Mevcut tasarıya müdahale etmektense, bu kanunlardaki düzenlemenin hukuk devleti ilkesi doğrultusunda eleyici bir gözden geçirilmesi daha doğru olur kanaatindeyiz. Zira özel niteliği olan verilerle ilgili düzenleme doğrudan kişilerin temel hak ve özgürlüklerini ilgilendirir. Kişilerin (tekrar ediyorum) ırk, siyasî düşünce, felsefî inanç, din, mezhep veya diğer inançları, dernek, vakıf ve sendika üyeliği, sağlık ve özel yaşamları ve her türlü mahkûmiyetleri ile ilgili kişisel verilerdir. Bu verilerin “suç işlenebilir” kaygısı ile amaçsız toplanmasına hizmet etmek vatandaşların temel hak ve özgürlüklerini sınırlar. Devleti şeffaflaştırmasını amaçlayan bir kanunun vatandaşı şeffaf kılması beklenemez.