Kişisel Veriler, Bu Verilerin İşlenmesi ve Paylaşılması

Transkript

1 Kişisel Veriler, Bu Verilerin İşlenmesi ve Paylaşılması Mal ve/veya hizmet sunumu gerçekleştiren her tacir, hukuksal anlamda tüketici lerle (ticari anlamda müşteri leriyle) olan diyaloglarını sıcak tutmak için kuşkusuz sürekli iletişim halinde olmaya ihtiyaç duymaktadır. Oysa yalnızca iletişim kurmak amacıyla dahi olsa, herhangi bir hukuk kişisinin (gerçek ve/veya tüzel kişi) bir başka kişiye ait kişisel verileri toplaması, işlemesi ve paylaşması, son derece önemli hukuksal riskleri beraberinde getirmektedir. Bir tacir, tüketicilerin iletişim bilgileri başta olmak üzere, hangi verileri saklayabilir, bu verileri elde etmenin ve saklamanın yasal sınırları nedir ve de bu sınır aşıldığında ne gibi hukuksal yaptırım uygulanmaktadır? Aşağıda bu konudaki detaylı açıklamalarımızı dikkatinize sunarız. I. YASAL DÜZENLEMELER Her ne kadar, kişisel veri ve veri güvenliği konu başlıkları, özellikle 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun (kısaca E-Ticaret Kanunu olarak anılacaktır) ile ülkemiz gündemine gelmiş ise de, kişisel verilerin korunması esasen tarihinden beri 5237 sayılı Türk Ceza Kanunu (kısaca TCK olarak anılacaktır) ile on yılı aşkın süredir yasal olarak düzenlenmektedir. TCK da yer alan düzenlemeleri telekomünikasyon mevzuatı ve sonrasında 2010 Anayasa Referandumu ile yapılan anayasal değişiklik takip etmiştir. Bu sürece ve mevcut yasal düzenlemelere kısaca değinelim. Kişisel verilerin gizliliği ve korunması, aslında kişilik hakları kapsamında sayılan ve Avrupa Birliği mevzuatında yıllardır düzenlenen bir konudur. Bununla birlikte, ülkemizde anayasal temel hak ve özgürlüklerin arasında ilk yer aldığı tarih 2010 yılında yapılan referandum sonrasına denk gelmektedir. Bu değişikliğe göre, T.C. Anayasası nın Özel Hayatın Gizliliği kenar başlıklı 20.maddesine aşağıdaki 3.fıkra eklenmiştir: Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir.

2 Yukarıda da değindiğimiz gibi, kişisel verilerin güvenliği, anayasal bir hak olarak tanınmasından evvel, TCK nın Özel Hayata ve Hayatın Gizli Alanına Karşı Suçlar başlıklı 9.bölümünde ve özellikle m.135 ve devamı hükümlerinde cezai yaptırıma bağlanarak koruma altına alınan bir alan oluşturmaktadır. Bu hükümler uyarınca, kişisel verilerin kaydedilmesi, hukuka aykırı olarak ele geçirilmesi ve yok edilmemesi ayrı ayrı suç olarak tanımlanmıştır: TCK m.135 Kişisel verilerin kaydedilmesi (1) Hukuka aykırı olarak kişisel verileri kaydeden kimseye bir yıldan üç yıla kadar hapis cezası verilir. TCK m.136 Verileri hukuka aykırı olarak verme veya ele geçirme (2) Kişilerin siyasi, felsefi veya dini görüşlerine, ırki kökenlerine; hukuka aykırı olarak ahlaki eğilimlerine, cinsel yaşamlarına, sağlık durumlarına veya sendikal bağlantılarına ilişkin bilgileri kişisel veri olarak kaydeden kimse, yukarıdaki fıkra hükmüne göre cezalandırılır. Kişisel verileri, hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi, iki yıldan dört yıla kadar hapis cezası ile cezalandırılır. TCK m.138 Verileri yok etmeme (1) Kanunların belirlediği sürelerin geçmiş olmasına karşın verileri sistem içinde yok etmekle yükümlü olanlara görevlerini yerine getirmediklerinde bir yıldan iki yıla kadar hapis cezası verilir. Belirtilen yasal düzenlemelerin tümünde dikkat çeken hukuka aykırılık unsuru, kişinin izninin olmamasını ve/veya verilerin temin/tedarik edilmesinde gözetilen meşru amaç kapsamının dışına çıkılmış olmasını ifade etmektedir, ki meşru amaç kavramı aşağıda ayrıca ele alınmıştır.

3 II. KİŞİSEL VERİ KAVRAMI ve KAPSAMI Bu halde kişisel veri nedir? Hangi bilgiler kişisel veri kapsamına girer? Mevzuatımızda kişisel verinin tanımı, kısa bir şekilde Elektronik Haberleşme Sektöründe Kişisel Verilerin İşlenmesi Ve Gizliliğinin Korunması Hakkında Yönetmelik ile yapılmıştır. Anılan Yönetmelik in m.3/h hükmünde Belirli veya kimliği belirlenebilir gerçek ve tüzel kişilere ilişkin bütün bilgiler kişisel veri olarak tanımlanmıştır. Aralık 2014 tarihinde kamuoyu ile paylaşılan Kişisel Verilerin Korunması Hakkında Kanun Tasarısı nda 1 da (kısaca Veri Koruma Kanun Tasarısı olarak anılacaktır) bu tanım benimsenmiştir. Avrupa Birliği mevzuatı, Anayasa Mahkemesi ve Danıştay kararlarından yola çıkarak, kişisel verinin daha detaylı aşağıdaki tanımını yapmak uygun olacaktır. Kişisel veri; bireyin şahsına, mesleğine ve ailesine ilişkin özellikleri gösteren, o bireyi diğer bireylerden ayırmayı ve niteliklerini ortaya koymayı sağlayan her türlü bilgi olup, bu kapsamda belli bir kimsenin adı, adresi, doğum tarihi, medeni hali, tabiiyeti, mesleği, görüntüsü, fotoğrafı, e-posta adresi, eğitim, kimlik, sağlık, telefon bilgileri, bu kimsenin kimliğine, etnik kökenine, fiziksel özelliklerine veya sağlık, öğrenim ve çalışma durumuna ilişkin bilgiler, bireysel ve aile içi yaşantısına ilişkin bilgiler, ikamet, emniyet, kredi kartı bilgileri ve hatta bilgisayarının IP adresi gibi bağlantı verileri dahi kişisel veri olarak koruma altındadır. Bu açıdan bakıldığında, bir tacirin müşterilerinin tacir ile paylaştığı veya paylaşacağı her türlü veriyi kişisel veri olarak kabul etmek gerekmektedir. Önemle altının çizilmesi gerekli olan bir husus, gerçek kişiler açısından kişisel veri olarak kabul edilen unsurların tüzel kişiler açısından iz düşümü niteliğindeki unsurlardan tüzel kişiyi belirleyen, onu diğerlerinden ayırt eden bilgilerin de veri güvenliği kapsamına alınması gerekmektedir. Dolayısıyla, hizmet sağlayıcı ve aracı hizmet sağlayıcılar, e-ticaret faaliyetleri kapsamında yaptıkları işlemin karşı tarafı ister gerçek kişi ister tüzel kişi olsun elde ettikleri tüm kişisel verileri, özellikle de ödemeye ilişkin verileri saklamak ve güvenliğini sağlamakla sorumludurlar. Nitekim, Elektronik Ticarette Hizmet Sağlayıcı ve Aracı Hizmet 1 Kişisel Verilerin Korunması Hakkında Kanun Tasarısı, Adalet Bakanlığı tarafından hazırlanarak tarihinde kamuoyu ile paylaşılmış, ancak bugün itibariyle henüz Resmi Gazete de yayımlanarak yürürlüğe girmemiştir.

4 Sağlayıcılar Hakkında Yönetmelik (kısaca Hizmet Sağlayıcı ve Aracı Hizmet Sağlayıcılar Yönetmeliği olarak anılacaktır) m.10 hükmünde açıkça: Hizmet sağlayıcı ve aracı hizmet sağlayıcı, bu Yönetmelik çerçevesinde yaptığı işlemler ve sunduğu hizmetler nedeniyle elde ettiği kişisel verilerin, 23/2/2006 tarihli ve 5464 sayılı Banka Kartları ve Kredi Kartları Kanunu ve diğer ilgili mevzuat hükümleri saklı kalmak kaydıyla muhafazasından ve hukuka aykırı olarak bunlara erişilmesini ve işlenmesini önlemek amacıyla gerekli tedbirlerin alınmasından sorumludur. (2) Kişisel veriler, ilgili kişinin açık irade beyanını içerecek şekilde önceden alınan onayı olmaksızın üçüncü kişilerle paylaşılamaz, işlenemez ve başka amaçlarla kullanılamaz. demektedir. Dikkat edilirse altı çizili kısımda gerçek/tüzel kişi ayrımı yapılmamıştır. Yine altının önemle çizilmesi gereken bir başka husus, yukarıda yer verilen Hizmet Sağlayıcı ve Aracı Hizmet Sağlayıcılar Yönetmeliği m.10 hükmü uyarınca, kanun koruyucu tarafından korunmak istenen menfaat yalnızca alıcı, tüketici ile sınırlı tutulmamış, hizmet sağlayıcı veya aracı hizmet sağlayıcı ile interaktif olarak iletişim kuran ve bir şekilde onlara veri aktarımı yapan herkes koruma kapsamına alınmıştır. Diğer bir ifade ile e-ticaret faaliyeti nedeniyle web sitesi üzerinden girişi yapılan tüm veriler, yani sunulan hizmetler nedeni ile elde edilen tüm veriler verilerin korunmasına ilişkin düzenlemelerden yararlanabilecektir. Kişinin siparişini tamamlamış olması, bir satın alma sözleşmesi imzalamış olması veya başka hiçbir şart ön görülmemiştir. III. KİŞİSEL VERİLERİN PAYLAŞIMI İnteraktif olarak iletişim kurulan tüketicilerin mal ve/veya hizmetin satıcısı tacire temin edecekleri bilgiler, yukarıda çerçevesi çizilen sınırlar dâhilinde son derece gizli ve korumaya layık olmakla, kimi durumlarda bunların 3.kişilerle paylaşılması mümkün, kimi durumlarda ise mümkün değildir. Öncelikle, tüketicilerden elde edilecek verileri sınıflandırmak istersek, bunları: temel veriler, içerik verileri, bağlantı verileri,

5 ödeme verileri ve kullanıcı profili olarak alt başlıklar halinde ayrıştırmak mümkündür. İsimlerinden kapsamları kolayca anlaşılabilmekle birlikte, burada özellikle içerik verilerini biraz daha netleştirmek gerekmektedir. İçerik verisi ile kastedilen, hizmet sağlayıcıların alıcıları ile aralarında kuracakları sözleşme içeriğine ilişkin verilerdir. Bu veriler, bir e-posta yahut sipariş formu içinde yer almakla müşteri tarafından mal ve/veya hizmetin satıcısı tacire temin edilmiş kabul edilir. Müşterinin ürünün teslim edileceği adreste bulunamaması halinde alternatif teslimat adresi, tüzel kişi tüketicinin fatura tanzimi için bildirdiği vergi kimlik bilgileri vb. bu verilere örnek gösterilebilir. İnternet üzerinden hizmet sunan hizmet sağlayıcının, alıcının beklediği menfaati kendisine sunabilmesi için kimi zaman ürünü teslim eden, hizmeti ifa eden ya da sadece bu organizasyonu gerçekleştiren 3.kişilerle bu içerik verileri ni paylaşması gerekmektedir. Diğer bir deyişle, bu paylaşım, alıcıya taahhüt edilen hizmetin ifası için bizzat zaruridir. Bu sebeple, anılan mal veya hizmete ilişkin içerik verilerinin hizmet sağlayıcı tarafından, sözleşmenin ifası amacı yla sınırlı kalmak şartıyla ilgili kişilerle paylaşması yasanın ruhuna uygundur. Bunun haricinde yer alan verilerden, temel veriler (ad, soyad, kimlik numarası, adres vb.), bağlantı verileri (kullanıcının ziyaret ettiği web sayfaları, bu sayfalar üzerinden eriştiği bilgiler gibi detaylar bağlantı verilerini oluşturmakla, genellikle çerez -cookies- sistemi ile bu veriler toplanmaktadır) ve kullanıcı profili verileri (kişinin internet ortamındaki kimlik bilgileri), ancak ve ancak ilgili kişinin onayı ile 3.kişilerle paylaşılabilecek ve bu bilginin temin edildiği amaçtan başka sebeple kullanılabilecektir (E-Ticaret Kanunu m.10/b). Kanun un bu düzenlemesine ilave olarak Hizmet Sağlayıcı ve Aracı Hizmet Sağlayıcılar Yönetmeliği m.10/f.2 de alınacak iznin açık irade beyanını içerecek şekilde alınması şartı aranmıştır. Bununla birlikte, Veri Koruma Kanun Tasarısı, bu konuda biraz daha detaylı düzenlemelere yer vermekte ve m.9 hükmünde: - Kişisel verilerin hangi amaçla işleneceği, - İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği, - Kişisel veri toplamanın yöntemi ve hukuki sistemi, - 10.maddede sayılan diğer haklar (aşağıda yer verilmiştir)

6 Hakkında ilgiliyi detaylı olarak bilgilendirme yükümlülüğü öngörmektedir. Tasarı nın 10.maddesinde sayılan haklar ise şu şekilde ifade edilmiştir: Herkes, veri sorumlusuna başvurarak kendisiyle ilgili; a) Kişisel verilerinin işlenip işlenmediğini öğrenmek, b) Kişisel verileri işlenmişse buna ilişkin bilgi talep etmek, c) Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenmek, ç) Yurtiçinde veya yurtdışında kişisel verilerin aktarıldığı üçüncü kişileri bilmek, d) Kişisel verilerin eksik veya yanlış olması hâlinde bunların düzeltilmesini istemek, e) 7 nci maddede öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini istemek, f) (d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini istemek, g) İşlenen kişisel verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etmek, ğ) Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması halinde zararın giderilmesini talep etmek, haklarına sahiptir. Bu detaylı düzenlenmeler ışığında görüleceği üzere, tüketiciden alınacak iznin kendisine yeterli açıklıkta, yeterli detaylara sahip ve doğru bilgiyi içerecek bilgilendirme yapılmak suretiyle alınması gerekmektedir. Kişisel verinin hangi amaçla işlenebileceği konusunda, Veri Koruma Kanun Tasarısı meşru amaç sınırlamasını getirmiş, Tasarı nın gerekçesinde ise aynen: Amacın meşru olması, veri sorumlusunun işlediği verilerin, yapmış olduğu iş veya sunmuş olduğu hizmetle bağlantılı ve bunlar için gerekli olması anlamına gelmektedir. Örneğin bir hazır giyim mağazasının, müşterilerinin kimlik ve iletişim bilgilerini işlemesi meşru amaç kapsamındayken, kan gruplarım işlemesi meşru amaç kapsamında değerlendirilemeyecektir. Açıklaması yapılmıştır.

7 Yukarıda sınıflandırmaya tâbi tuttuğumuz kişisel veri alt başlıkları içinde, özellikle ödeme verileri bakımından dikkat edilmesi gereken bir husus ise, 5464 sayılı Banka Kartları ve Kredi Kartları Kanunu m.23 te getirilen yasaktır. Bahse konu maddenin 1.fıkrasında aynen: Üye işyerleri, kartın kullanımı sonucunda kart ve kart hamili ile ilgili edindikleri bilgileri, Kanunla yetkili kılınan kişi, kurum ve kuruluşlar hariç olmak üzere kart hamilinin yazılı rızasını almadan başkasına açıklayamaz, saklayamaz ve kopyalayamaz. Üye işyerleri, kart bilgilerini üye işyeri anlaşması yaptığı kuruluş dışındaki şahıs veya kuruluşlarla paylaşamaz, satamaz, satın alamaz ve takas edemez. Düzenlemesi yer almaktadır. İlk cümlede altı çizili alanda kart hamilinin yazılı rızasının bulunması halinde kartın kullanımı sonucunda kart ve kart hamili ile ilgili edinilen bilgilerin paylaşılmasına imkân verilmişken, ikinci cümlede hiçbir istisnaya yer verilmeksizin tüketicilere ait ödeme verilerinin (yani tüketiciye ait kart bilgilerinin) hiçbir koşulda 3.kişilerle paylaşılamayacağı kuralı ortaya konulmuştur. Yani tüketicinin buna açık rıza vermiş olması halinde dahi veriyi paylaşan tarafın sorumluluğu ortadan kalkmayacaktır. IV. CEZAİ YAPTIRIMLAR Yukarıda yer verdiğimiz açıklamalar uyarınca, yasanın hangi konuda izin aradığını, hangi konuda nasıl sınırlar çizdiğini tespit ettikten sonra bu sınırların aşılması halinde ne gibi yaptırımlarla karşılaşılacağına da değinmek gereklidir. Açıklamalarımızın en başında da vurguladığımız üzere TCK da yer verilen düzenlemeler 2004 yılından beri yürürlükte olup, bu düzenlemelerin ihlali halinde doğrudan hapis cezası yaptırımı ön görülmüştür: TCK m Kişisel verilerin kaydedilmesi - 1(bir) yıldan 3(üç) yıla kadar hapis TCK m Verileri hukuka aykırı olarak verme veya ele geçirme - 2(iki) yıldan 4(dört) yıla kadar hapis TCK m Verileri yok etmeme - 1(bir) yıldan 2(iki) yıla kadar hapis

8 Söz konusu cezai yaptırımlar, tüzel kişilerin yöneticileri açısından şahsen infaz edilecekken, TCK m.140 düzenlemesi uyarınca tüzel kişinin bizzat tüzel kişiliği hakkında da bunlara özgü güvenlik tedbirleri uygulanacaktır. E-Ticaret Kanunu ve ikincil mevzuatı açısından baktığımızda ise, e-ticaret ve ticari elektronik iletilerin yasaya aykırılığı hususlarında detaylı açıklamalarla şikayet prosedürü ve idari para cezaları ön görülmüşken, kişisel verilerin gizliliği açısından herhangi bir özel düzenlemeye yer verilmediği görülmektedir. Yasanın bu konuda sessiz kalmış olması, ihlal halinde doğrudan Türk Ceza Kanunu hükümlerinin uygulanacağını, dolayısıyla kişisel verilerin gizliliği konusunda kanun koyucunun son derece katı bir tavır takındığını açıkça ortaya koymaktadır. Bununla birlikte, Veri Koruma Kanun Tasarısı nda, TCK kapsamında suç teşkil edecek ihlalleri ve ayrıca idari para cezası uygulanarak kabahat olarak kabul edilecek eylemleri ayrı ayrı tespit etme yolunu tercih etmiştir: Tasarı m.16 - (1) Bu Kanun hükümlerine aykırı olarak; kişisel verileri ele geçiren, kaydeden, bir başkasına veren veya yayanlar ya da yok etmeyenler ( ) Türk Ceza Kanununun ilgili hükümlerine göre cezalandırılır. (2) Bu Kanun hükümlerine aykırı olarak kişisel verileri depolayan, muhafaza eden, değiştiren, yeniden düzenleyen, açıklayan, elde edilebilir hale getiren, sınıflandıran ya da kullanılmasını engelleyen veya üçüncü kişilere aktaranlar Türk Ceza Kanunu nun 135 inci maddesine göre cezalandırılır. (3) 7 nci madde hükümlerine aykırı olarak; kişisel verileri silmeyen veya anonim hale getirmeyenler Türk Ceza Kanununun 138 inci maddesine göre cezalandırılır. (4) Bu maddede tanımlanan veya yollamada bulunulan suçların, bir tüzel kişinin faaliyeti çerçevesinde işlenmesi halinde, ilgili tüzel kişi hakkında, Türk Ceza Kanununun tüzel kişilere özgü güvenlik tedbirlerine hükmolunur. Tasarı m.17 - (1) Bu Kanunun; a) 9 uncu maddesinde öngörülen aydınlatma yükümlülüğünü yerine getirmeyenler hakkında Türk Lirasından Türk Lirasına kadar,

9 b) 11 inci maddesinde öngörülen veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler hakkında Türk Lirasından Türk Lirasına kadar ( ) idari para cezası verilir. (2) Bu maddede öngörülen idari para cezalan veri sorumlusu olan gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanır. Son olarak, her ne kadar Veri Koruma Kanun Tasarısı henüz yürürlüğe girmemiş ise de, TCK nın uzun yıllardır yürürlükte olduğunu, ön görülen cezai yaptırımların son derece ağır olduğunu vurgulayarak, gerçekleştirdiğiniz faaliyetlerin hukuka uygunluğu bakımından danışmanınızdan görüş almanızı önemle tavsiye ederiz. Saygılarımızla, * Bültenimizde yer verilen açıklamalar, Türkiye Cumhuriyeti nin yürürlükte olan mevzuatı ve ilgili resmi mercilerin kamuya yaptığı bilgilendirmeler esas alınarak hazırlanmış olup, tereddütlü hususlarda nihai işlemler gerçekleştirilmeden evvel tarafımızdan görüş ve destek alınmasını tavsiye ederiz. Aksi takdirde, burada yer verilen açıklamalar temel alınarak yapılacak işlemler ve bunların sonuçlarıyla ilgili olarak Hukuk Büromuz sorumlu tutulamaz.