Selen İBRAHİMOĞLU GÜREŞ Avukat / Yönetici Ortak
Öykü DALGIÇ Avukat
[email protected]
10 Mart 2021
A-
A+
Bir hastane tarafından bilimsel araştırma amacıyla kayıt altına alınan hastalara ait kan, serum ve doku örneklerinin -80 derecede derin soğutucuda toplandığı, ancak şikayette bulunan doktorlar tarafından bilgilendirmelere rağmen -80 derece dondurucuların gözden uzak klimasız bir odaya aktarıldığı ve akabinde erimiştir denilerek, kıymetli doku materyallerinin bilimsel hayata tekrar kazandırılıp kazandırılmayacağının araştırılmaksızın tutanak altında çöpe atıldığı, dolayısıyla bilimsel verilerin korunmasında ihmalkar davranıldığı ve bu kapsamda 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“Kanun”) veri güvenliğine ilişkin 12. Maddesinin ihlal edildiği iddiası kapsamında Kurul tarafından yapılan incelemede;
Kurul hastalardan alınan örneklerin belirli kategorilere ayrıldığı ve bu örneklerin spesifik barkodlara sahip olduğu bu minvalde, söz konusu örneklerin hasta kişilerin kimliğine ulaşılmasını sağlayabilecek olmasından dolayı kişisel veri, bu verilerin belirli kriterlere göre sınıflandırılarak kayda alınması işleminin ise kişisel veri işleme faaliyeti oluşturduğu, ancak hastalardan alınan kan, serum ve doku örneklerinin bilimsel amaçlarla saklanması ve kayıt altına alınması sebebi ile bu verilerin işlenmesinin Kanunu’nun “İstisnalar” başlıklı 28. Maddesi’nin 1.fıkrasının (c) bendi kapsamında bu verilerin işlenmesinin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini, ekonomik güvenliği, özel hayatın gizliliğini veya kişilik haklarını ihlal etmediği ya da suç teşkil etmediği değerlendirmesinden yola çıkarak bu aşamada şikâyet hakkında yapılacak bir işlem olmadığına karar vermiştir.
Kurul tarafından Devlet memurlarının başlıca yükümlülüğünün Anayasa, 657 sayılı Kanun ve ilgili ikincil mevzuat kapsamında kanunlara sadık kalarak görevini ifa etmek olduğu, bu çerçevede memurların kişisel verilere ilişkin tesis edilen iş ve işlemler sırasında da Kanun hükümlerine uygun davranma yükümlülüğü bulunduğu ve bu yükümlülüğe aykırı davranması halinde gerek idareye gerekse kişilere verdiği zararlardan ötürü sorumluluğunun doğacağı belirtilmiştir. Bu bağlamda Kurul, 657 sayılı Kanun kapsamında kamu kurumlarında çalışan ve kişisel veri işleyen personel ile kişisel verilerin korunmasına yönelik ayrıca bir gizlilik sözleşmesi imzalatılmasına yer olmadığına ancak söz konusu personele kişisel verilerin korunması hakkı kapsamında uymaları gereken usul ve esaslara dair bilgilendirici nitelikte bir metin tebliğ edilmesinin ve bu konuda periyodik eğitimler düzenlenmesinin uygun olacağına karar vermiştir.
İlgili kişi ortağı bulunduğu şirket bünyesinde kullanmakta olduğu e-posta hesabına izinsiz ve hukuka aykırı olarak erişildiği, erişim ayarlarının değiştirildiği bu çerçevede söz konusu e-posta hesabına ait tüm verilerin silinmesi ve kaldırılması konusunda bu e-posta hesabının bulunduğu IP adreslerinin sahibi veri sorumlusu şirketten noter kanalıyla talepte bulunulduğu; ancak, talebin reddedildiğini belirterek Kanun kapsamında gereğinin yapılması konusunda Kurula şikayette bulunmuştur.
Kurul yapmış olduğu inceleme sonucunda; veri sorumlusunun savunması ve ilgili mevzuat hükümlerini birlikte değerlendirerek, veri sorumlusu tarafından ilgili kişinin ortağı olduğu şirkete ilişkin hakların korunması amacıyla söz konusu e-posta adresine ilişkin sunucu yedek kayıtlarından elde edilen kişisel verilerin Kanunun 5 inci maddesinin (2) numaralı fıkrasının (e) bendinde yer alan “…. bir hakkın tesisi, kullanılması ve korunması kapsamında veri işlemenin zorunlu olması” kapsamında işlendiği ve kişisel veriler kullanılarak Asliye Ticaret Mahkemesi nezdinde açılan dava nedeniyle gerçekleştirilen kişisel veri işleme faaliyetinin ise Kanunun 28 inci maddesinin 1 numaralı fıkrasının (d) bendi hükmü kapsamında olduğu değerlendirildiğinden söz konusu şikayet ile ilgili Kanun kapsamında yapılacak bir işlem bulunmadığına karar vermiştir.
Kuruma yapılan şikâyette özetle, ilgili kişi ile hastane görevlileri arasında yaşanan tartışma neticesinde hastane görevlileri tarafından savcılığa suç duyurusunda bulunulduğu, bu sebeple adli para cezasına mahkûm edildiğini ve vekâlet ücreti ödemek zorunda kaldığını, hastane görevlilerinin kamu gücünü kullanarak kendisinin açık rızası olmaksızın adını, soyadını ve T.C. kimlik numarasını hastane verilerinden alınarak olay yeri tutanağına işlediğini, bu durumun Kanun’a aykırılık teşkil ettiğinden bahisle konunun incelenmesini talep etmiştir.
Kurul yapmış olduğu inceleme sonucunda özetle; (i) taraflar arası yaşanan tartışma sonucunda veri sorumlusu nezdinde Beyaz Kod uygulaması kapsamında hastane görevlileri tarafından ilgili kişiye ait kişisel verilerin işlendiği, (ii) Sağlık Bakanlığı Hukuk Müşavirliğinin Hukuki Yardım ve Beyaz Kod Uygulamasına dair 2016/3 Genelgesi ile esas alınarak düzenlenen "Beyaz Kod Kullanım Kılavuzu 2.0" kapsamında, şiddete maruz kalan çalışanın, adli süreçlerde kanıt teşkil etmesi açısından olaya tanık olan diğer personel ile birlikte, olayı anlatan ve belgeleyen bir tutanak düzenlemesi gerektiği ve (ii) uygulamada yürütme organının Anayasada öngörülmüş düzenleyici işlemlere ek olarak, genel, soyut ve objektif hukuk kuralları öngörebildiği, bu tür düzenleyici işlemlere “adsız düzenleyici işlemler” denildiği, söz konusu genelgenin de bunlardan biri olduğunu göz önünde bulundurarak ilgili kişinin kişisel verilerin Kanunun 5 inci maddesinin (2) numaralı fıkrasının (ç) bendi uyarınca veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi kapsamında işlendiğine ve söz konusu şikâyete ilişkin Kanun kapsamında yapılacak bir işlem olmadığına karar vermiştir.
Kuruma yapılan bir şikayet kapsamında ilgili kişi bir elektrik dağıtım şirketi tarafından kendisine ait olmayan birkaç elektrik abone numarasına ilişkin farklı konularda bilgilendirme amaçlı SMS’ler gönderildiği, söz konusu aboneliklere dair bilgilendirme mesajı almak istemediği, kendisine ait irtibat numarasının söz konusu sözleşmelerin iletişim bilgilerinden silinmesi ve başvurusunun sonucu hakkında yazılı olarak haberdar edilmesi konusunda veri sorumlusuna abone numarası sayısı kadar başvuruda bulunmasına rağmen veri sorumlusu elektrik dağıtım şirketi tarafından başvurusuna ilişkin herhangi bir işlem yapılmadığı ve kendisine cevap verilmediği, buna karşın irtibat numarasına hâlen bilgilendirme mesajı gönderilmeye devam edildiğini belirtilerek Kanun kapsamında gerekli işlemin yapılması talep edilmiştir.
Kurul yapmış olduğu inceleme sonucunda, (i) Kanun’un 13. Maddesinin 2 numaralı fıkrasını ve Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğin 6 ncı maddesinin (1) numaralı fıkrasındaki “Veri sorumlusu bu Tebliğ kapsamında ilgili kişi tarafından yapılacak başvuruları etkin, hukuka ve dürüstlük kuralına uygun olarak sonuçlandırmak üzere gerekli her türlü idari ve teknik tedbirleri almakla yükümlüdür.” Hükmünü esas alarak ilgili kişinin başvurusunu süresi içinde cevaplamayan veri sorumlusunun Kanun kapsamında yöneltilen başvuruları zamanında, tam ve eksiksiz olarak cevaplaması hususunda talimatlandırılmasına, (ii) veri sorumlusu tarafından ilgili kişinin cep telefonu numarasının, Kanunun 4 üncü maddesinde belirtilen “Belirli, açık ve meşru amaçlar için işlenme” ilkesi göz önünde bulundurulduğunda, Kanunun 5 inci maddesinde belirtilen kişisel veri işleme şartlarına dayanmadan işlendiği, bu hususun ise veri güvenliğine ilişkin Kanunun 12 nci maddesine aykırılık teşkil ettiğinden bahisle veri sorumlusu hakkında 100.000 TL idari para cezası uygulanmasına ve (iii) ilgili kişinin talebinin yerine getirildiğine yönelik veri sorumlusunun, gerekli bilgi, belge ve kayıtları ilgili kişiye iletmesi ve yine söz konusu hususları yerine getirdiğine dair bilgi, belge ve kayıtları Kanunun 15 inci maddesinin (5) numaralı fıkrası uyarınca 30 gün içinde Kurula sunması hususunda talimatlandırılmasına karar vermiştir.
Genel olarak Kurul tarafından Kanun ve Avrupa Veri Koruma Tüzüğü kapsamında veri sorumlusu ve veri işleyenlerin yükümlülükleri ve kişilerin veri sorumlusu ve veri işleyen olup olmadığının tespitinde esas alınması gereken kriterler ortaya koyulmuştur. Kararın sonuç kısmında ise özellikle Kanunun 10 uncu maddesinde “kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi aracılığıyla” denilmek suretiyle veri sorumlusuna aydınlatma yükümlülüğünün bizzat veri sorumlusu tarafından mı yoksa yetkilendireceği kişi tarafından mı yerine getirileceği konusunda Kanun’un veri sorumlusuna seçim hakkı tanındığı ve bu çerçevede “aydınlatma yükümlülüğü”nün bizzat veri sorumlusu tarafından veya veri sorumlusunun yetkilendirdiği bir kişi tarafından yerine getirilebileceği ve veri sorumlusu tarafından yetkilendirilen kişinin de veri işleyen olabileceği belirtilmiştir.
İlgili kişilerin Kişisel Sağlık Verileri Hakkında Yönetmeliğin 13 üncü maddesi kapsamında ilgili il sağlık müdürlüklerine başvuruda bulunmaları ve il sağlık müdürlükleri tarafından başvurularına olumsuz cevap verilmesi sebebiyle Kuruma intikal eden şikayet dilekçelerinde özetle; geçmişte çeşitli sebeplerle kaydedilen sağlık raporlarının ve özellikle psikiyatrik hastalık tanılarının kişilerin yaşamlarında sorun teşkil ettiği ve girmiş oldukları ve/veya girmeyi planladıkları çeşitli sınavların bu kayıtlardan dolayı olumsuz sonuçlandığı ve/veya sonuçlanacağı, ancak bu rapor/tanıların gerçeği yansıtmadığı ifadelerine yer verilerek söz konusu kişisel verilerin sağlık kayıtlarından düzeltilmesi ya da silinmesi talep edilmiştir.
Kurul tarafından yapılan inceleme sonucunda, kişisel sağlık verilerinin işlenme şartlarının “kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi” şartının ortadan kalkmaması sebebiyle kaydedilen sağlık verilerinin bu amaca hizmet ettiği dikkate alındığında bahse konu şikâyetler ile ilgili olarak Kanun kapsamında yapılacak bir işlem olmadığına ve ilgili kişilerin kişisel sağlık verilerinin silinmesine ilişkin talepleri hususunda aynı sebep göz önüne alındığında bu verilerin Bakanlık tarafından Kanunun 6 ncı maddesinin üçüncü fıkrası kapsamında işlendiği ve söz konusu işleme şartlarının ortadan kalkmamış olması nedeniyle Kanun kapsamında yapılacak bir işlem olmadığına karar verilmiştir.
Kuruma gelen ihbarlar kapsamında ihbar başvurusu sahiplerinin muhtelif avukat sorgulama sitelerinde taraflarına ait ad soyadı, kayıtlı bulundukları baro, baro ve Türkiye Barolar Birliği (TBB) sicil numaraları, e-posta adresleri ve fotoğraflarının yayımlandığı, söz konusu verilerin rızaları olmaksızın hukuka aykırı olarak elde edildiği, bu kapsamda söz konusu internet sitelerinde ve bu siteler ile ilişkili bulunan kurum/kuruluş ya da alan adında yer alan tüm profillerin kaldırılması ve gereğinin yapılması talep edilmiştir.
Kurul yapmış olduğu inceleme sonucunda, (i) söz konusu internet sitelerinden; birçoğuna ulaşılamadığı, erişilebilen sitelerde ise ilgili kişilerden sadece birinin profilinin bulunduğu ve ilgili kişinin yalnızca e -posta adresinin yer aldığı ve bu bilginin, ilgili kişinin kayıtlı olduğu ilin baro levhası ve TBB resmi internet sitesindeki profilinde de yer aldığı, bu kapsamda Kanun’un 5. Maddesi kapsamında ilgili kişinin kendisi tarafından alenileştirilen kişisel verilerinin işlenebileceği sonucuna varıldığı ve işlenen kişisel verinin Kanunun 4 üncü maddesindeki genel ilkelere aykırı bir işleme faaliyeti olmadığına, (ii) söz konusu internet sitelerinde; il baroları levhalarında ve TBB internet sitelerinde yayımlanan bilgilerden farklı bir bilgi yayımlanmadığı, yayımlanan bilgilerin il baroları levhalarında ve TBB internet sitesinde yayımlanma amacından farklı bir amaçla yayımlandığına ilişkin bir tespit yapılamadığı, söz konusu kişisel verileri düzeltme veya silme imkânlarının ilgili kişilere tanındığını da göz önünde bulundurarak mevcut ihbar başvuruları hakkında Kanunun 5 inci maddesinde yer verilen kişisel verilerin işlenme şartlarına aykırı bir durumun gerçekleşmediği kanaatine varıldığından Kanun kapsamında yapılacak bir işlem bulunmadığına karar vermiştir.
Kuruma iletilen şikayet kapsamında kısaca, ilgili kişi veri sorumlusu olan sigorta şirketine başvurarak ailesi adına düzenlettiği sağlık sigortası poliçesini yeniletmek istediğini; ancak veri sorumlusunun kendisinden poliçeyi yenilemek için açık rıza almak istediğini belirterek bu durumun Kanun’a aykırılık teşkil ettiği gerekçesi ile veri sorumlusu hakkında gereğinin yapılması talep etmiştir.
Kurul yapmış olduğu inceleme sonucunda; sağlık sigortası poliçesinin özel nitelikli kişisel veri niteliğini haiz sağlık verilerini ihtiva ettiği, poliçede yer alan sağlık verilerinin Kanunun 6 ncı maddesinin (3) numaralı fıkrası kapsamında işlenemeyeceği ve bu kapsamda veri işlemenin ancak ilgili kişiden açık rıza alınması yoluyla gerçekleştirilebileceğinden bahisle ilgili kişiden açık rıza alınması talebinin Kanuna aykırılık teşkil etmediğine karar vermiştir.
İcra dosyasının tarafı olan ilgili kişilerin icra takibi ile ilgisi bulunmayan akrabalarına İcra Müdürlükleri tarafından haciz ihbarnamesi gönderilmesine ilişkin olarak Kuruma şikayette bulunulmuş ve söz konusu şikayet kapsamında ilgili kişiler hakkında yürütülen icra takibi esnasında söz konusu icra takibi ile ilgisi bulunmayan, borçlu durumunda olmayan akrabalarının kişisel bilgilerinin araştırılması, adres ve kimlik bilgilerinin İcra Müdürlüğünün görevi kapsamında bulunmadığı halde tespit edilmesi ve bu çerçevede kişisel verilerinin hukuka aykırı bir şekilde akrabaları ile paylaşılmasının Kanun’a aykırılık teşkil ettiği ifade edilerek İcra Müdürlükleri hakkında gereğinin yapılması talep edilmiştir.
Kurul yapmış olduğu inceleme sonucunda; (i) ilgili kişilerin kişisel verilerinin üçüncü kişilerle paylaşılması hususuna ilişkin olarak; İcra ve İflas Kanununun 89 uncu maddesi kapsamında borçlunun üçüncü kişilerdeki alacağının tahsili amacıyla alacaklı tarafından bildirilen gerçek veya tüzel kişilere İcra Müdürlüklerince birinci haciz ihbarnamesi gönderilmesinde hukuken engel bulunmadığına, (ii) İcra Müdürlükleri nezdinde gerçekleştirilen ilgili kişilerin kişisel verilerinin işlenmesi faaliyetinin Kanunun 5 inci maddesinin (2) numaralı fıkrası kapsamında ‘Kanunlarda açıkça öngörülme’ şartına dayanılarak gerçekleştirildiğini değerlendirerek söz konusu başvuruya ilişkin olarak Kanun kapsamında yapılacak bir işlem bulunmadığına karar vermiştir.
Veri sorumlusu bünyesinde 657 sayılı Devlet Memurları Kanunu kapsamında çalışan bir memur tarafından yapılan şikayette, personel giriş çıkışlarının takibi için parmak izi okuma cihazları ile kişisel verilerinin, her personel için parmak izi bilgilerinin alındığı ve sisteme tanıtıldığı, bu konudaki uygulama için kendisine ait olan parmak izi bilgilerinin veri sorumlusunun kayıt sisteminden, kağıt ortamından ve elektronik ortamdan silinmesi ve kendisine bilgi verilmesi talebiyle veri sorumlusuna başvuru yaptığı; kendisine verilen cevapta sistemlerinden bu bilgilerin silinemeyeceğinin beyan edildiğini, parmak izi bilgilerinin onayı olmadan işlenemeyeceği ve resmi başvuru yapmasına rağmen verilerinin silinmesi isteğinin kabul edilmediği belirtilmiştir.
Kanunda düzenlenen genel ilkeler, Avrupa Veri Koruma Tüzüğünde yer alan detaylı düzenlemeler ve Danıştay içtihatları göz önünde bulundurularak, Kurul tarafından başlatılan inceleme sonucunda; (i) veri sorumlusu tarafından üstün güvenlik önlemi alınmasına ihtiyaç duyulmayan alanlarda yalnızca mesai kontrolü amacıyla biyometrik veri olan parmak izinin işlenmesinin Kanunun “Genel İlkeler” başlıklı 4 üncü maddesinin (ç) bendindeki amaçla bağlantılı, sınırlı ve ölçülü olma ilkesine aykırı olduğuna (ii) söz konusu işleme faaliyetinin hukuka uygun bir veri işleme şartına dayanmadığı dikkate alındığında (açık rıza alındığına dair bir işarete rastlanmadığından bahisle) Kanun’un 12.1 (a) bendi kapsamında düzenlenen hukuka aykırı işlemenin önlenmesi yükümlülüğüne aykırılık teşkil ettiği değerlendirilerek, özetle;
karar verilmiştir.
Üniversitede öğretim üyesi olarak görev yapmakta olan ilgili kişi yapmış olduğu şikayette aynı üniversitede açılan akademik kadroya aile yakınının alınmasında usulsüzlük bulunduğu hususunda yapılan haberlerin arama motorunda adı ve soyadı ile arama yapıldığında listelenmemesine yönelik talebinin arama motoru tarafından URL’ler hakkında herhangi bir işlem yapılmamasına karar verildiği ve kaldırma talebinin söz konusu siteyi kontrol eden web yöneticisine gönderebileceği bilgisinin tarafına iletildiği, dolayısıyla arama motoru tarafından talebinin karşılanmadığını belirterek ve yapılan haberlerin aile yakınının ve kendisinin kamuda görev yapmasını ve hayatını olumsuz yönde etkilediğini de ifade ederek söz konusu içeriklerin arama motorunda indekslenmeyecek şekilde teknik düzenlemeye tabi tutulmasını Kurumdan talep etmiştir.
Kurul yapmış olduğu incelemede; usulsüzlük iddiaları sonucunda üniversite tarafından soruşturma açıldığı bilgisinin doğru olduğu, söz konusu bağlantılarda yer alan haberin ilgili kişinin çalışma yaşamına ilişkin olduğu ve ilgili kişinin hâlihazırda aynı işi yaptığı, bilgilerin özel nitelikli kişisel veri niteliği taşımadığı, yapılan haberlerin 2020 tarihli olduğu, dolayısıyla güncel olduğu, bilginin kişi açısından risk doğurmadığı ve içeriklerin gazetecilik faaliyeti kapsamında değerlendirilebileceği, öte yandan, bilginin kişi hakkında ön yargıya sebep olabileceği ancak bunun kanıtlanabilir nitelikte olmadığı, ilgili kişiye ilişkin bilgilerin yayınlanmasında yasal zorunluluk bulunmadığı, bilginin kişinin kendisi tarafından yayımlanmadığı, bilginin ceza gerektiren bir suçla ilgili olmadığı hususları değerlendirerek ilgili kişi hakkında yayınlanan içeriklerin arama motorundan kaldırılması yönündeki talebine ilişkin olarak veri sorumlusu tarafından yapılan işlemin 23.06.2020 tarih ve 2020/481 sayılı Kurul Kararı ekinde yer alan kriterler açısından yerinde olduğuna, bu minvalde söz konusu şikayet ile ilgili olarak Kanun kapsamında tesis edilecek bir işlem bulunmadığına karar vermiştir.
Yayınlara dön