AUZEF Veri Koruma Hukuku Çıkmış Sorular

Ders, kişisel verilerin korunmasının hukuki çerçevesini anlatır: Anayasa ve 6698 sayılı Kanun kapsamında veri işleme şartları, özel nitelikli veriler, taraflar, saklama ve imha yükümlülükleri ile dijital dünyanın risklerini ele alır.

Kapsam ve veri işleme kavramı

• Kanun yalnızca gerçek kişilerin verilerini korur; şirket bilançosu, ticari sır ve kurum bilgileri kapsam dışıdır.
• Veri işleme; elde etme, kaydetme, saklama, değiştirme, aktarma, açıklama ve silme gibi işlemleri içerir.
• Aydınlatma bir veri işleme işlemi değil, ilgili kişiye bilgi verme yükümlülüğüdür.
• Elle tutulan kayıtlar, bir veri kayıt sisteminin parçasıysa kapsama girer; ölçütsüz, rastgele yazılmış veresiye defteri girmez.

Anayasal temel ve geçiş hükmü

• Anayasa m.20'ye 2010 referandumuyla eklenen fıkra, kişisel verilerin korunmasını isteme hakkını tanır.
• Bu hak bilgilendirilme, erişim, düzeltme ve silinmesini talep etmeyi kapsar.
• Normlar hiyerarşisinde Anayasa en üsttedir; silme talebinin en temel dayanağı budur.
• Geçici madde uyarınca kanun öncesi işlenen veriler yayımdan itibaren iki yıl içinde uyumlu hâle getirilir; aykırılar silinir, yok edilir veya anonimleştirilir.

Özel nitelikli kişisel veriler

• Liste sınırlıdır: ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep, kılık kıyafet, dernek/vakıf/sendika üyeliği, sağlık, cinsel hayat, mahkûmiyet, biyometrik ve genetik veri.
• Finansal veriler kişisel veridir ancak özel nitelikli sayılmaz.
• Sır saklama yükümlüsü kişiler, teşhis, tedavi ve bakım hizmetleri için sağlık verisini açık rıza olmadan işleyebilir.
• Sağlık ve cinsel hayat dışındaki özel nitelikli veriler kanunda öngörülen hâllerde işlenebilir; sağlık ve cinsel hayat verileri bu yolla işlenemez.

Veri işleme şartları ve açık rıza

• Açık rıza ana yol değil, diğer şartlar yokken başvurulan son çaredir.
• Kanunda başka bir hukuki dayanak varsa açık rıza istemek ilgili kişiyi yanıltır ve hakkın kötüye kullanımı sayılır.
• İspat yükü veri sorumlusundadır; rıza her zaman geri alınabilir, hizmet açık rızaya bağlanamaz, şekil şartı yoktur.
• Tek seferlik alışverişte teslimat için kimlik, iletişim ve ödeme verisi, sözleşmenin kurulması veya ifasıyla doğrudan ilgili olmaya dayanır.

Taraflar ve sicil

• Hukuki taraflar ilgili kişi, veri sorumlusu ve veri işleyendir.
• Veri sorumlusu temsilcisi ve irtibat kişisi hukuki taraf değil, idari iletişim ve temsil görevlisidir.
• Türkiye'de yerleşik sorumlular irtibat kişisi atar; yurt dışında yerleşik sorumlular temsilci atamak zorundadır.
• Sicile kayıt herkes için zorunlu değildir.

Saklama, imha ve yaptırım

• Saklama ve imha politikasında amaç, teknik ve idari tedbirler, saklama ve imha süreleri ile periyodik imha süreleri yer alır.
• İmhada kullanılacak donanımın teknik ayrıntıları politikanın zorunlu içeriği değildir.
• Periyodik imha aralığı hiçbir hâlde altı ayı aşamaz.
• TCK m.138: süresi dolan verileri yok etmeyenlere bir yıldan iki yıla kadar hapis öngörülür.
• Risk analizi yapmak teknik tedbir sayılmaz.

Dijital dünya ve toplumsal riskler

• Dijital ayak izleriyle profilleme, hedefli reklam ve algı yönetimi mümkündür; ancak doğal afet tetiklenemez.
• Kimliksizleşme: anonimlik nedeniyle özdenetim ve sorumluluk duygusunun azalması.
• Five Eyes: ABD, Birleşik Krallık, Kanada, Avustralya, Yeni Zelanda; Almanya üye değildir.
• Devletler ulusal güvenlik gerekçesiyle arka kapı ister; sadece otomatik sistemle alınan aleyhe karara yapay zekâ bağlamında itiraz edilebilir.
• Teknoloji kullanımı risk taşır; davranışsal biyometrinin türleri fizyolojik biyometriye göre sınırlı değildir.

Özel nitelikli kişisel veri

Kanunda sınırlı sayıda sayılan, ayrımcılık riski taşıyan ve daha sıkı korunan veri kategorisidir.

Veri sorumlusu

Veri işleme amacını ve araçlarını belirleyen kişidir.

Veri işleyen

Veri sorumlusu adına veriyi işleyen kişidir.

İlgili kişi

Verisi işlenen gerçek kişidir.

Açık rıza

Diğer şartlar bulunmadığında başvurulan, geri alınabilir ve ispatı sorumluya ait onaydır.

Aydınlatma yükümlülüğü

Veri sorumlusunun ilgili kişiyi bilgilendirme görevidir; veri işleme işlemi değildir.

Veri kayıt sistemi

Verilerin belirli ölçütlere göre düzenlenerek tutulduğu sistemdir.

Veri sorumlusu temsilcisi

Yurt dışında yerleşik veri sorumlusunun Türkiye'de atamak zorunda olduğu temsilcidir.

Kimliksizleşme

İnternetteki anonimlik yüzünden sorumluluk duygusunun ve özdenetimin kaybıdır.

Arka kapı

Şifrelemeyi aşarak sisteme doğrudan erişim sağlayan gizli giriş noktasıdır.

Saklama ve imha politikası

Verilerin ne kadar saklanıp nasıl imha edileceğini belirleyen kurum belgesidir.

• Aydınlatma ile veri işleme karıştırılmamalı; aydınlatma bilgi verme görevidir, işleme işlemi değildir.
• Veri sorumlusu temsilcisi (yurt dışı) ile irtibat kişisi (Türkiye) ayrımına dikkat edilmeli.
• Finansal veri kişisel veridir ama özel nitelikli listede yoktur.
• Başka bir hukuki şart varken açık rıza istenmesi hatalıdır; açık rıza son çaredir.
• Tüzel kişi verileri ile rastgele tutulan elle kayıtlar kapsam dışı sorularında sık çıkar.