Kişisel Verilerin Korunması Kurulu internet sitesinde geçtiğimiz hafta 6698 Sayılı Kişisel Verilerin Korunması Kanununun Uygulanmasına Yönelik Soru Cevaplar ve Broşürler yayımlanmış ve Kurul’un Kanun’u yorumlarken dikkate alacağı unsurlar belirtilmiştir. Aşağıda söz konusu metinlerde yer alan önemli hususlara yer verilmiştir. “6698 Sayılı Kanun’da Yer Alan Temel Kavramlar” başlıklı yayında Kanun nezdinde kullanılan bazı kavramlara açıklık getirilmiştir. Bunlardan biri de sektörde Kurul’un nasıl yorumlayacağı büyük merak uyandıran CRM faaliyetlerine ilişkindir. Kurul, herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollardan veri işlemeyi de Kanun kapsamında değerlendirmiş olup bu bağlamda otomatik olmayan her işlemin Kanun kapsamı dışında tutulmayacağını belirtmiştir. Böylelikle CRM gibi faaliyetler bakımından da Kanun’un uygulama alanı bulacağı ve öngörülen temel prensiplere göre veri işlemesi gerçekleştirileceğini söylemek doğru olacaktır. Yine aynı metinde açıklanan bir diğer önemli husus ise açık rızanın istisnasını oluşturan hallere ilişkindir. Kurul, meşru menfaat örneği olarak çalışan bağlılığını artıran ödül ve prim uygulamasını vermiştir. Bu kapsamda kişilerin hobileri için bir listeleme yapılabileceği yorumlama yoluyla kabul edilebilecektir. Kanun nezdinde öngörülen bir diğer istisna hali olan aleniyet bakımından ise Kurul kişinin acil durum iletişim bilgisini açık olarak paylaşmasını örnek vermiş olup bu bağlamda Linkedin vb. sosyal medya mecraları bakımından tartışmaya yol açmıştır. Avrupa Birliği’nin aleniyete yaklaşımı bakımından kamuya mal etme amacı aranmaktadır ve bununla kısıtlı olarak değerlendirme gerçekleştirmektedir. Veri sorumlusu ve veri işleyen kavramları incelendiği noktada ise “Tüzel kişiler, kişisel verileri işleme konusunda gerçekleştirdiği faaliyetler kapsamasında bizatihi kendileri “veri sorumlusu” olup, ilgili düzenlemelerde belirtilen hukuki sorumluluk tüzel kişinin şahsına doğacaktır. Bu konuda kamu hukuku tüzel kişileri ve özel hukuk tüzel kişileri bakımından bir farklılık gözetilmemiştir. Bu çerçevede gerek cezai gerekse de hukuki sorumluluk bakımından tüzel kişilerin sorumluluğuna ilişkin özel hukuk ve kamu hukukundaki genel hükümler uygulanır.” açıklaması yapılmıştır. Aynı metin veri sorumlusu ve veri işleyen kavramlarını da irdelemiş ve açıklamıştır. Veri işleyenin faaliyetlerinin, veri işlemenin daha çok teknik kısımları ile sınırlı olduğu belirtilmiştir. Kişisel verilerin işlenmesine ilişkin kararların alınması yetkisi ise veri sorumlusuna aittir. Veri sorumlusu kişisel verilerin işlenme amacını ve yöntemini belirleyen kişidir. Bu bağlamda konuyu açıklamak üzere Kurul pazar araştırma şirketlerinin araştırma ve anketlerini başkası için yapsa dahi hangi verilerin alınacağına, hangi müşterilere anket yapılacağına kendi karar verdiği için veri sorumlusu olarak nitelendirilmesi gerektiğini belirtmiştir. Aynı doğrultuda kuryeler bakımından da kişilerin TCKN’sini istedikleri zaman her ne kadar başkasının gönderisini iletiyor olsa dahi veri sorumlusu olarak nitelendirilecekleri yorumlaması yapılabilecektir. “6698 Sayılı Kanun’da Yer Alan Kurumsal Terimler” başlıklı kitapçıkta ise özel nitelikli kişisel verilerin sınırlı sayıda olduğu ve çoğaltılamayacağı vurgulanmıştır. Yine aynı kitapçıkta belirtilen bir diğer önemli husus ise Kanun nezdindeki sorumluluğun kimin üzerinde doğacağına ilişkindir. Tüzel kişi veri sorumlusu bakımından hukuki sorumluluk tüzel kişinin şahsında doğacak olup, şirket içerisinde herhangi bir gerçek kişinin üzerinde sorumluluk doğması mümkün olmayacaktır. “6698 Sayılı Kişisel Verilerin Korunması Kanunu’nun Amacı ve Kapsamı” başlıklı kitapçıkta da Kanun’un amacı ve kapsamında kimlerin olacağı belirtilmiştir. Kanun dijital olmayan ve bir veri kayıt sistemine dâhil olmayan kişisel veriler bakımından uygulanmayacaktır. Yine Kanun’da öngörülen cezai yaptırımların 5237 sayılı Türk Ceza Kanunu kapsamında yorumlanacağı belirtilmiştir. Bir başka deyişle cezai yaptırımlar bakımından sorumluluk Türk Ceza Kanunu’nda öngörüldüğü üzere devam ediyor olacaktır. Yine aynı kitapçıkta yer alan bir diğer önemli nokta ise kişisel verilerin anonim hale getirilerek belirli amaçlar için kullanılmasına ilişkindir. İlgili Kanun’un 28. maddesi uyarınca kişisel verilerin resmi istatistik ile anonim hale getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla işlenmesi durumunda Kanun hükümleri uygulanmayacaktır. Kurul, yayınladığı kitapçıkta anonim hale getirilme durumuna iki yorumlama getirmiştir. Bu yorumlamalara göre istatistik oluşturmak amacıyla kişisel veri işlenmesi durumunda Kanun hükümleri uygulama alanı bulmayacaktır. Dikkat çekmek gereken bir diğer konu ise yukarıda da belirtildiği üzere alenileştirme konusundadır. Kurul sosyal medya hesabında kişisel veri paylaşılması halinde bunu amaç belirtmeksizin alenileştirme kabul etmiştir. Yine yukarıdaki yorumumuzla bağlantılı olarak konunun Avrupa Birliği yaklaşımı ile uyumlu değerlendirilmesi görüşündeyiz. Saygılarımızla,
Kuzey YMM ve Bağımsız Denetim A.Ş.
Erdal Çalıkoğlu | 
Baskıya yolla 
Başa Dön 
