6698 sayılı kanuna göre kişisel veri; gerçek kişiyi belirlenebilir kılan her türlü bilgiyi ifade etmektedir. Örneğin kişinin adı, iletişim bilgileri, anne adı, tıbbî bilgileri, cinsel tercihi, dini, ırkı gibi her türlü bilgi kişisel veri sayılmaktadır. Bu bilgilerin elde edilmesi, kaydedilmesi, paylaşılması gibi işlemler de kanuna göre “kişisel verilerin işlenmesi” tanımıyla açıklanmış durumdadır.
Kanunun yürürlüğe girmesiyle kişisel verilerin işlenmesi bir takım şartlara bağlanmıştır. Örneğin kişiden açık rıza alınması durumunda kişisel veriler işlenebilecektir. Açık rıza olmasa dahi bazı durumlarda kişisel verinin işlenmesi kanunla mümkün kılınmıştır. Kişisel veri kişinin kendisi tarafından alenileştirildiğinde artık açık rıza aranmasına gerek yoktur. Kişiler, sosyal medya hesabındaki isim, fotoğraf, medenî hali, öğrenim gördüğü okul, beğeniler vs. gibi bilgilerini aleni hale getirebilmektedir. Facebook, Instagram gibi sosyal medya hesaplarındaki bilgi ve içerikler gizli hale getirilebildiği gibi arkadaş, takipçi vb. olunmasa dahi 3. kişilere bu bilgiler görünür halde olabilmektedir.
Kişinin sosyal medya hesabının aleni olduğunu düşünelim. Bu noktada kişiye ait iletişim bilgileri ve fotoğrafların da birçok şirket tarafından kaydedildiğini varsayalım. Buraya kadar bir sorun yok. Peki, bu kişi hesabını daha sonra gizli hale getirdiğinde veya bu bilgileri sildiğinde, önceden elde edilen veriler ne olacak? Bu şirketler elde ettikleri verilerin aleni olup olmadığını daha sonradan kontrol etmekle yükümlü mü? Gizli hale getirildikten sonra bu veriler kullanılabilir mi? İşi sadece sosyal medya hesaplarındaki aleni verileri toplamak olan şirketler silinmiş veya gizlenmiş kişisel veri konusunda ne yapmalı?
6698 sayılı kanun bu sorulara açık bir cevap vermemiştir. Kanunun da yürürlüğe yakın geçmişte girmesi sebebiyle henüz bir içtihat oluşmuş değildir. Bu doğrultuda kanunun benzer durumları ele aldığı maddeleri yorumlamak doğru olacaktır. 1 Ocak 2018 tarihinde yürürlüğe girecek Kişisel Verilerin Silinmesi, Yok Edilmesi Veya Anonim Hale Getirilmesi Hakkında Yönetmelik de bu sorulara net bir cevap vermiş değildir.
Sosyal medyada veri işlemesine dair içtihat henüz oluşmadı
Öncelikle veriler, aleni halde olduğu anda elde edildiği için veri sorumlusunun aydınlatma yükümlülüğü yoktur. Bu sebeple de veri sahibi, alenileştirmiş olduğu kişisel verilerinin kimler tarafından ve ne şekilde işlendiğini bilemeyebilir. Eğer tespit ederse ve 11. maddedeki şartlar oluşursa bu verilerin işlenmesine ilişkin bilge talep edebilir ve verilerin değiştirilmesini, silinmesini veya yok edilmesini ilgili şirketten talep edebilir. Bununla birlikte veri sorumlusunun verileri aleni halde elde ederken zaman damgası, ekran görüntüsü alma gibi ispatlayıcı unsurları kullanması ileride çıkabilecek uyuşmazlıklarda ispat açısından önemli hale gelebilir.
Yukarıda bahsettiğim gibi henüz bu konularda içtihat oluşmuş değildir. Uyuşmazlıklar yargıya taşındıkça içtihat oluşmaya başlayacaktır. Ancak kanaatimce söz konusu veriler için de kanun ve yönetmelikte belirli olan silme, yok edilme ve anonim hale getirme süreleri geçerli olacaktır. Veri sahibinin verilerin alenilik unsurunu sürekli kontrol etmesi gibi bir yükümlüğü kendisinden beklemek doğru olmayacaktır. Çünkü kanuna ve yönetmeliğe göre kendisine böyle bir sorumluluk yüklenmemiştir. Aksi halde belirlilik ve kanunilik ilkelerine ters düşen bir uygulamayla karşı karşıya kalınacaktır. Hem yargıda hem de Kişisel Veriler Kurulu kararlarında içtihat oluşmaya başladıkça hep birlikte göreceğiz.
Yorumlar