Madde 1

KVKK m.1, kişisel verilerin işlenmesinde kişilerin temel hak ve özgürlüklerini, başta özel hayatın gizliliği olmak üzere korumayı amaçlar.1 Hüküm, veri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasların düzenlenmesini de aynı amaç bütününün parçası sayar.2

Bu yön, tek başına somut bir işlemenin hukuka uygunluğunu belirlemez. Madde gerekçesindeki veri işlemeyi disiplin altına alma düşüncesinin sistematik karşılığı, m.2 ile m.3'ün kapsamı ve kavramları belirlemesinde, m.4 ila m.6'da ise uygulanacak genel ilkeler ile işleme şartlarının yer almasında görülür.3 Aydınlatma, hakların kullanılması ve güvenlik yükümlülükleri m.10 ila m.12'de düzenlenmiştir. Başvuru ve Kurul denetimi de m.13 ila m.15'te koruma amacını işler hale getirir.4

Bir önceki notta sözü edilen koruma ihtiyacı, otomatik işleme ile merkezi kayıtların kişiye ilişkin bilgileri geniş ölçekte bir araya getirdiği dönemde daha görünür hale gelmiştir.1 Erken dönem düzenlemeler, denetim kaygısının kayıtların varlığıyla sınırlı olmadığını gösterir. Bu düzenlemelerde kayıtların kimin tarafından, hangi amaçla ve hangi denetim altında kullanıldığı da önem taşır.2

Bu denetim ihtiyacı, kişiye kayıt hakkında bilgi edinme, kayda erişme ve yanlışlığın düzeltilmesini isteme imkanı tanıyan modellerde görülür.3 Hessen'in 1970 tarihli kanunu kamu makamlarının işlemesini ve düzeltme talebini düzenlemiş, İsveç'teki 1973 tarihli Datalag teklifi ise otomatik kişisel kayıtların kurulmasını kural olarak Datainspektionen'in iznine bağlamayı öngörmüştür.4

Kayıtlar üzerindeki bu denetim sorunu, Alman Federal Anayasa Mahkemesinin Nüfus Sayımı kararında kişinin kendisiyle ilgili verilerin açıklanması ve kullanılması hakkında karar verebilmesi üzerinden ele alınmıştır. Mahkeme, 1983 tarihli Kanun'un tamamını değil, 9. maddenin ilk üç fıkrasındaki aktarım kurallarını hükümsüz saymıştır.1 Bilimsel amaçlı aktarımı düzenleyen dördüncü fıkra Anayasa'ya uygun bulunmuş, sayım programının diğer bölümleri için ek usuli güvenceler aranmıştır.2

Kararın gerekçesine göre kişi, modern veri işleme şartlarında kendisiyle ilgili verilerin açıklanması ve kullanılması hakkında kural olarak karar verebilmelidir.3 Türkçe hukuk yazınında bilgilerin geleceğini belirleme hakkı adıyla anılan bu yaklaşım, veriler üzerinde sınırsız tasarruf yetkisi değil, kişi üzerindeki etkiyi hesaba katan bir koruma düşüncesidir.4

Bu yetki üstün kamu yararı bulunduğunda sınırlanabilir.5 Sınırlamanın açık bir kanuni temele dayanması, ölçülü olması ve kişiliği koruyan örgütsel ya da usuli güvencelerle desteklenmesi gerekir.6

Avrupa düzeyindeki kurumsal çerçevenin temel adımlarından biri, 1981'de imzaya açılan 108 sayılı Sözleşmedir.1 Sözleşme, kişisel verilerin otomatik işlenmesi karşısında kişilerin hak ve özgürlüklerine, özellikle özel hayatlarına saygı gösterilmesini amaçlar.2 İki yıl sonra verilen Nüfus Sayımı kararı da veri işleme karşısında kişinin kendisiyle ilgili bilgilerin açıklanması ve kullanılması hakkında karar verebilmesini temel hak bağlamında ele almıştır.3 Sözleşme ile Nüfus Sayımı kararı, veri işleme karşısında kişinin korunması ve karar alanı sorununu farklı hukuk düzeylerinde ele alan iki ayrı yaklaşımdır. Sözleşme ayrıca taraf devletlerden temel ilkeleri iç hukuklarında etkili kılmalarını ister.4

Avrupa Birliği metinleri ise temel hakların korunması ile kişisel verilerin üye devletler arasındaki serbest dolaşımını birlikte düzenlemiştir.5 Bu iki amaç 95/46/AT sayılı Direktifte ve GDPR'de aynı maddede yer alır.6 KVKK m.1, veri dolaşımını ayrı bir amaç olarak saymaz.7

Kişisel verilerin temel haklarla birlikte korunmasına ilişkin gelişim, Türk hukukunda açık anayasal güvence ile 108 sayılı Sözleşmenin Türkiye bakımından yürürlüğe girmesi üzerinden izlenebilir. 5982 sayılı Kanunla Anayasa'nın 20. maddesine eklenen üçüncü fıkra, kişisel verilerin korunmasını isteme hakkını 2010'da açıkça güvence altına almıştır.1 Türkiye 108 sayılı Sözleşmeyi 1981'de imzalamışsa da Sözleşme Türkiye bakımından 2016'da onaylanıp yürürlüğe girmiştir.2

Anayasal güvence eklendikten sonra yasama metinlerindeki amaç dili de değişmiştir. 2008 tarihli tasarı kişinin dokunulmazlığı ile maddi ve manevi varlığını ayrıca anmış, 2014 tarihli tasarı ise temel hak ve özgürlükler ile veri işleyenlerin uyacağı usul ve esaslara yönelmiştir.3 Yürürlükteki m.1, koruma amacında özel hayatın gizliliğini de açıkça belirtir.4 Bu gelişim, m.1'in koruma yönünü açıklar. Somut olayda hangi işleme şartına dayanılabileceği yine ilgili hükümlere göre belirlenecektir.5

KVKK m.1'in temel hak ve özgürlükleri koruma amacı, kişisel verilerin ekonomik değer taşıyabileceğini yok saymaz.1 Verinin ekonomik değeri, onu kullananlar veya ilgili kişi bakımından menfaat doğurabilir.2

Verinin ekonomik değer taşıması, ilgili kişinin veri üzerinde medeni hukuk anlamında mülkiyet hakkına sahip olduğu anlamına gelmez.3 Veri başkasına açıklandıktan veya çoğaltıldıktan sonra sonraki kullanım üzerindeki denetim ihtiyacı, mülkiyet diliyle tek başına açıklanamaz.4 Anayasa Mahkemesi de kişisel verilerin korunmasını isteme hakkını insan onurunun korunması ve kişiliğin serbestçe geliştirilmesiyle ilişkilendirmiştir.5

Temel hak dayanağı, kişisel verilerin korunmasını isteme hakkının özel hayatla ilişkisini açıklar. Anayasa'nın 20. maddesinin üçüncü fıkrası bu hakkı güvence altına alır.1 Anayasa Mahkemesi, E.2018/73, K.2019/65 sayılı kararında güvenceyi özel hayatın gizliliğinin korunması kapsamında değerlendirmiştir.2

Özel hayatla ilişkili bu koruma, kişinin işlemeden haberdar olmasını, işleme hakkında talepte bulunabilmesini ve verilerin işlendiği ortamın korunmasını gerektirir. KVKK m.10, veri sorumlusunun kimliği, işleme amacı, aktarım yapılabilecek kişi grupları ve ilgili kişinin hakları hakkında bilgi verilmesini öngörerek işlemenin temel çerçevesini ilgili kişi bakımından açık hale getirir.3 KVKK m.11, ilgili kişiye işleme hakkında bilgi isteme, amaca uygun kullanımı öğrenme, düzeltme ve silme isteme gibi denetim ve talep imkanları tanır.4 KVKK m.12 ise hukuka aykırı işleme ve erişimi önlemeyi, ayrıca kişisel verilerin muhafazasını sağlamayı veri sorumlusunun yükümlülüğü haline getirir.5

Bu koruma alanı, yalnız gizli bilgileri kapsamaz. KVKK'de kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir.6 Güzide Defne Samyeli kararında Mahkeme, özel hayat, iş hayatı veya sosyal yaşama ilişkin bilginin alınmasını, kaydedilmesini, saklanmasını ya da kullanılmasını özel hayata saygı hakkına müdahale oluşturabilecek faaliyetler arasında görmüştür.7 Bu değerlendirmede bilginin türü, elde edilme ve saklanma bağlamı ile işlenme biçimi önem taşır.8

İşleme bağlamının koruma alanına etkisi, kurumsal e-posta incelemesinde kişisel verilerin korunmasını isteme hakkı ile haberleşme hürriyetinin birlikte gündeme gelmesinde görülür.9 E.Ü. kararında Mahkeme, işverenin denetim yetkisini tümüyle dışlamamış, fakat yargı mercilerinin önceden bilgilendirme, gereklilik ve daha hafif bir araca başvurulup başvurulamayacağını anayasal güvenceler bakımından incelemesini aramıştır.10 Bu ölçütlerin bütün işleme faaliyetlerine aynen uygulanacak kapalı bir liste oluşturduğu söylenemez.11

Birden çok hakkın etkilenmesi, kamu gücünün veri işlemesi bakımından kanunilik ve ölçülülük sorusunu doğurur. Anayasa'nın 13. maddesi ile 20. maddesinin üçüncü fıkrası, sınırlamanın kanuni dayanağını ve temel hak güvencelerini birlikte gerektirir.1 Anayasa Mahkemesi, güvenlik soruşturması ve arşiv araştırmasına ilişkin kuralda veri kullanımını, saklamayı, silmeyi, itirazı ve denetimi belirleyen kanuni güvencelerin bulunmasını aramıştır.2

Kanuni çerçevenin bulunması, veri toplama ve paylaşma yetkisinin sınırsız olduğu anlamına gelmez. Mahkeme, sağlık hizmetlerinin etkin ve hızlı yürütülmesini meşru amaç saymıştır. Buna rağmen kişisel bilgilerin her türlü vasıtayla toplanmasına, işlenmesine ve paylaşılmasına izin veren düzenlemeyi ölçüsüz bulmuştur.3 Karar, sağlık alanındaki bu somut norm incelemesinde amaç ile yetkinin kapsamı arasındaki bağı sınamaktadır.4

Aynı koruma sorunu özel kişiler arasındaki ilişkide, uyuşmazlığın anayasal güvenceler gözetilerek incelenmesini gerektirir.5 E.Ü. kararı bu incelemede çalışanın menfaati ile işverenin denetim amacının somut olgular üzerinden dengelenmesini istemiştir.6 Alper Erarslan kararında da Mahkeme, çatışan menfaatlerin adil biçimde dengelenmesini ve ulaşılan sonucun ilgili ve yeterli gerekçeyle açıklanmasını aramıştır.7 Bu nedenle m.1, korunan değeri ve KVKK'nin yönünü gösterir.8 Bir işlemenin genel ilkelere ve işleme şartlarına uygunluğu m.4 ila m.6 üzerinden incelenir. İlgili kişinin başvurusu ve Kurulun incelemesi ise m.13 ila m.15'te düzenlenen yol üzerinden yürür.9