Kişisel Verileri Koruma Kanunu Uyarınca Genel İlkeler ve İlgili Kararlar Nelerdir? 16 Ekim 2019

6698 sayılı Kişisel Verileri Koruma Kanunu (“Kanun”) uyarınca Kişisel Verileri Koruma Kurulu (“Kurul”) ihlalleri iki şekilde inceleyebilir. Bunlardan ilki, ilgilinin şikâyeti üzerine inceleme; ikincisi ise Kurulun ihlal iddiasını öğrenmesi durumunda re’sen görev alanına giren konularda inceleme yapmasıdır.

Kurul incelemeyi yaparken, ilk olarak kişisel verilerin işlenme biçimini değerlendirir. Kanun’un 4. maddesinde kişisel veriler işlenirken uyulması gereken usul ve esaslar şu şekilde belirlenmiştir:

• Hukuka ve dürüstlük kurallarına uygun olma.
• Doğru ve gerektiğinde güncel olma.
• Belirli, açık ve meşru amaçlar için işlenme.
• İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma.
• İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.

Söz konusu ilkelere aykırı veri işlenmesi halinde, ilgili kişi veri sorumlusundan bilgilendirme talep edebilir. İlgili kişi cevabı yetersiz bulması ya da süresinde yanıt alamaması halinde, veri sorumlusunun cevabını öğrendiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurul’a şikâyette bulunabilir. Kişilik hakları ihlal edilenlerin, genel hükümlere göre tazminat hakkı saklıdır.

Kanunun 15. maddesine göre Kurul, şikâyet üzerine veya ihlal iddiasını öğrenmesiyle re’sen harekete geçer.  İnceleme sonucunda ihlalin varlığının anlaşılması hâlinde Kurul, tespit ettiği hukuka aykırılıkların veri sorumlusu tarafından giderilmesine karar vererek ilgililere tebliğ eder. Gereği tebliğden itibaren en geç otuz gün içinde yerine getirilir. Kurul ihlal yaygın ise, bu konuda ilke kararı alır ve bu kararı yayımlar.

Kurulun genel ilkelerinin ihlal edildiği yaygın durumlara ilişkin bazı kararları aşağıdaki gibidir:

1. Kurulun 01.07.2019 tarihli ve 2019/188 sayılı kararı uyarınca, ilgili üniversitenin bünyesindeki öğrencilerin kişisel verisi niteliğindeki sınav sonuçlarını internet sitesinde yayınlaması üzerine, Kurul, üniversite bitirilmiş ve aradan yıllar geçmiş olsa dahi sonuçların üçüncü kişilerin erişimine açık bir duyuru biçiminde paylaşılmasını kanunun mahremiyet odaklı anlayışına aykırı bulmuştur.

Kanunun 4. maddesinde verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma esası ihlal edilmiştir. Bu nedenle kanunun 18. maddesinin 3. fıkrası uyarınca üniversitede görev yapan sorumlular hakkında disiplin hükümlerine başvurulmasına ve öğrencilerin yalnızca kendi sonuç verilerine ulaştığı bir duyuru sisteminin kullanılması için Üniversitenin talimatlandırılmasına karar verilmiştir.

2. Kurulun 20.04.2018 tarihli kararında, veri sorumlusu tarafından gerçekleştirilen işlemde, işlemin gerektirmediği veriyi içeren bir belgenin müşteriden istenilmesinin, ilgili mevzuatta yer almaması ve ulaşılmak istenen amaç ile bağdaşmaması nedeniyle kanunun 4. maddesi uyarınca dürüstlük kuralına ve belirli, açık ve meşru amaçlar için işlenme ilkesine aykırılık teşkil ettiği değerlendirilmiştir.

Kurul, Kanun’un 12. maddesinin birinci fıkrası çerçevesinde kişisel veri güvenliğini sağlamaya yönelik gerekli teknik ve idari tedbirleri almayan veri sorumlusu hakkında Kanun’un 18. maddesinin b bendi uyarınca idari para cezası uygulanmasına karar verilmiştir.

3. Kurulun aynı tarihli kararında, veri sorumlusu tarafından, sözleşmenin taraflarına ait kişisel veri işlenmesi amacıyla açık rıza alınması sırasında; açık rızayı üyeliğin ve dolayısıyla sözleşmenin bir koşulu olarak dayatmasının ve aynı zamanda rızayı alırken ilgili kişinin yanlış yönlendirilmesinin veri sorumlusunca hakkın kötüye kullanılması anlamına geleceği kabul edilmiştir.

Ayrıca hizmetin açık rıza şartına bağlanmış olmasının açık rızayı sakatlayacağı dikkate alındığında, bu durumun kanunun 4. maddesinde yer alan hukuka ve dürüstlük kurallarına uygun olma ve işlenme amacı ile bağlı, sınırlı ve ölçülü olma ilkelerine aykırılık teşkil etmesi nedeniyle, Kurul tarafından kanunun 12. maddesi çerçevesinde veri güvenliğini sağlamaya yönelik gerekli teknik ve idari tedbirleri alma yükümlülüğünü yerine getirmeyen veri sorumlusu hakkında kanunun 18. maddesinin b bendi uyarınca idari yaptırım uygulanmasına karar verilmiştir.