Madde 1

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) m.1, kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumayı amaçlar.1 Aynı hüküm, kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasların düzenlenmesini de amaçlar.2

Madde gerekçesinde kişisel verilerin işlenmesinin disiplin altına alınması ile temel hak ve özgürlüklerin korunması birlikte açıklanmıştır.3 Somut bir işleme faaliyetinin hukuka uygunluğu ise KVKK m.4'teki genel ilkelere ve m.5 ile m.6'daki işleme şartlarına göre belirlenecektir.4

Kişisel verilerin korunmasına ilişkin erken dönem düzenlemelerinde otomatik işleme ile merkezi kayıt sistemlerinin denetlenmesi öne çıkmıştır.1 Bu düzenlemeler, ilgili kişilere veri bankalarında kendileri hakkında hangi kayıtların tutulduğunu öğrenme, bu kayıtlara erişme ve yanlış kayıtların düzeltilmesini isteme imkanı tanımıştır.2

Hessen'in 1970 tarihli kanunu, eyalet makamlarının kişisel verileri işlemesini düzenlemiştir. Kanun, yanlış kayıtların düzeltilmesini isteme hakkına ve hukuka aykırı müdahalelere karşı başvuru imkanına da yer vermiştir.3 İsveç'te 1973 tarihli Datalag teklifi ise otomatik kişisel kayıtların kurulmasını kural olarak veri koruma otoritesi Datainspektionen'in iznine bağlamıştır.4

Alman Federal Anayasa Mahkemesi, 1983 Nüfus Sayımı Kanunu'nun tamamını değil, 9. maddesinin ilk üç fıkrasındaki aktarım kurallarını genel kişilik hakkına aykırı bularak hükümsüz saymıştır.1 Mahkeme, aynı maddenin bilimsel amaçlı aktarımı düzenleyen dördüncü fıkrasını Anayasa'ya uygun bulmuştur. Sayım programının diğer bölümleri bakımından ise ek usuli güvencelerin sağlanmasını gerekli görmüştür.2

Mahkemeye göre, modern veri işleme koşullarında kişi, kişisel verilerinin açıklanması ve kullanılması hakkında kural olarak kendisi karar verebilmelidir.3 Türk hukuk yazınında bu yaklaşım bilgilerin geleceğini belirleme hakkı olarak anılmaktadır.4

Bilgilerin geleceğini belirleme hakkı mutlak değildir.5 Hakkın sınırlanabilmesi için üstün kamu yararının bulunması, sınırlamanın kanunda açıkça öngörülmesi, ölçülülük ilkesine uyulması ve kişilik hakkını koruyan örgütsel veya usuli güvencelerin sağlanması gerekir.6

108 sayılı Sözleşme, otomatik işleme karşısında kişilerin hak ve özgürlüklerine, özellikle özel hayatlarına saygı gösterilmesini güvence altına almayı amaçlar.1 Taraf devletler, Sözleşmedeki temel veri koruma ilkelerini iç hukuklarında etkili kılmakla yükümlüdür.2

95/46/AT sayılı Direktif, temel hakların korunması ile kişisel verilerin üye devletler arasındaki serbest dolaşımını birlikte düzenlemiştir.3 Genel Veri Koruma Tüzüğü (GDPR) de kişisel verilerin korunması ile serbest veri dolaşımını aynı maddede düzenler.4 KVKK m.1'de veri dolaşımı ayrı bir amaç olarak sayılmamıştır.5

Türkiye, 108 sayılı Sözleşmeyi 28 Ocak 1981'de imzalamıştır.1 2008 tarihli Kanun Tasarısında, kişinin dokunulmazlığını ve maddi ve manevi varlığını koruma amacı belirtilmiştir.2 5982 sayılı Kanunla 2010 yılında Anayasa'nın 20. maddesine kişisel verilerin korunmasını isteme hakkını düzenleyen üçüncü fıkra eklenmiştir.3

2014 tarihli Kanun Tasarısının amaç maddesinde, temel hak ve özgürlüklerin korunması ile veri işleyenlerin uyacakları usul ve esaslara yer verilmiştir.4 Yürürlükteki KVKK m.1'de, koruma amacı açıklanırken özel hayatın gizliliğine de açıkça yer verilmiştir.5 Türkiye, 108 sayılı Sözleşmeyi 2 Mayıs 2016'da onaylamış, Sözleşme 1 Eylül 2016'da Türkiye bakımından yürürlüğe girmiştir.6

KVKK m.1, kişisel verinin ekonomik değerini Kanunun amaçları arasında saymaz ve kişisel verilerin işlenmesi karşısında temel hak ve özgürlüklerin korunmasını amaçlar.1

Verinin ekonomik değeri, veriyi işleyenler bakımından ticari menfaat doğurabilir.2 Ancak verinin ticari değer taşıması, ilgili kişinin veri üzerinde medeni hukuk anlamında mülkiyet hakkına sahip olduğu sonucuna varmak için tek başına yeterli değildir.3

Anayasa Mahkemesi, kişisel verilerin korunmasını isteme hakkını insan onurunun korunması ve kişiliğin serbestçe geliştirilmesiyle ilişkilendirmiştir.4

Anayasa'nın 20. maddesinin üçüncü fıkrası, kişisel verilerin korunmasını isteme hakkını güvence altına alır.1 Anayasa Mahkemesi, E.2018/73, K.2019/65 sayılı kararında bu güvenceyi özel hayatın gizliliğinin korunması kapsamında değerlendirmiştir.2

KVKK'de kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi olarak tanımlanmıştır.3 Kişisel veri sayılabilmesi için bilginin gizli olması gerekmez.4

Anayasa Mahkemesi, Güzide Defne Samyeli kararında özel hayata, iş hayatına ve sosyal yaşama ilişkin bilgilerin alınmasını, kaydedilmesini, saklanmasını veya kullanılmasını özel hayata saygı hakkına müdahale olarak değerlendirmiştir.5 Mahkeme, kaydedilen bilginin sonradan kullanılmış olmasını müdahalenin varlığı için belirleyici saymamıştır.6 Değerlendirmede verinin türünü, elde edilme ve saklanma bağlamını, işlenme biçimini ve veriden çıkarılabilecek sonuçları dikkate almıştır.7

E.Ü. kararında Mahkeme, kurumsal e-posta yazışmalarının incelenmesini kişisel verilerin korunmasını isteme hakkı ile haberleşme hürriyeti yönünden birlikte ele almıştır.8 Mahkeme, işverenin denetim yetkisini tümüyle reddetmemiştir.9 Yargı mercilerinin somut uyuşmazlığı anayasal güvenceleri gözeterek yeterince incelememesi nedeniyle kişisel verilerin korunmasını isteme hakkı ile haberleşme hürriyetinin ihlal edildiğine karar vermiştir.10

Kamu makamlarının kişisel verileri işlemesi, kişisel verilerin korunmasını isteme hakkını sınırlıyorsa müdahalenin Anayasa'nın 13. ve 20. maddelerindeki kanunilik ve ölçülülük şartlarını taşıması gerekir.1 Anayasa Mahkemesi, güvenlik soruşturması ve arşiv araştırması yapılacağını belirtmekle yetinen bir düzenlemeyi yeterli bulmamıştır.2 Mahkeme, verilerin kullanılması, saklanması ve silinmesi ile itiraz ve denetim yollarına ilişkin güvencelerin kanunda gösterilmesini aramıştır.3

Anayasa Mahkemesi, sağlık hizmetlerinin etkin ve hızlı yürütülmesini meşru amaç olarak kabul etmiştir.4 Buna karşılık kişisel bilgilerin her türlü vasıtayla toplanmasına, işlenmesine ve paylaşılmasına izin veren hükmü ölçüsüz bulmuştur.5

E.Ü. kararında Mahkeme, özel kişiler arasındaki uyuşmazlığın anayasal güvenceler gözetilerek incelenmesini gerekli görmüştür.6 Mahkeme, çalışanın denetim hakkında önceden bilgilendirilip bilgilendirilmediğinin, e-posta içeriğine erişmenin gerekli olup olmadığının ve aynı amaca daha hafif bir araçla ulaşılıp ulaşılamayacağının incelenmesi gerektiğini belirtmiştir.7 Alper Erarslan kararında ise çatışan menfaatlerin somut olayda adil biçimde dengelenmesi ve ulaşılan sonucun ilgili ve yeterli bir gerekçeyle açıklanması gerektiğini belirtmiştir.8