Anayasal Bir Hak Olarak Kişisel Verilerin Korunması ve İlgili Kişi Hakları

Teknolojinin büyük bir hızla gelişmesi ve kişisel verilerin işlenme hacminin tarihte eşi benzeri görülmemiş seviyelere ulaşması, kişisel verilerin korunması hakkını modern hukuk sistemlerinin en önemli tartışma konularından biri haline getirmiştir. Türk hukukunda 2010 yılında Anayasa'nın 20. maddesine eklenen fıkra ile bu hak, anayasal bir güvenceye kavuşturulmuş ve temel haklar ve özgürlükler rejimi içerisindeki sağlam yerini almıştır. Anayasa Mahkemesi'nin içtihatlarında da vurgulandığı üzere, bu hak yalnızca özel hayatın gizliliğinin bir uzantısı değil, aynı zamanda bireyin insan onurunun korunması ve kişiliğini serbestçe geliştirebilmesi hakkının özel ve dinamik bir görünümüdür. Bireylerin kendi kişisel verileri üzerindeki hâkimiyetlerini ifade eden geleceğini belirleme hakkı, veri sahiplerine yasal düzenlemelerle sunulan birtakım somut ve proaktif hakların kullanılmasını zorunlu kılmaktadır. Kişisel verilerin korunması hukukunun özünü oluşturan bu mekanizma, veri işleyen otoriteler karşısında bireyi anayasal bir zırh ile korumaktadır.

Anayasal Koruma ve Özel Hayatın Gizliliği

Hukuk sistemimizde kişisel verilerin korunması hakkı, temel olarak Anayasa'nın 20. maddesi kapsamında özel hayatın gizliliği başlığı altında yer almaktadır. Ancak bu hak, geleneksel anlamdaki mahremiyet kavramını aşan, tamamen kendine özgü (sui generis) özellikler barındıran proaktif bir hak kategorisidir. Anayasa Mahkemesi kararlarında da altı çizildiği gibi, bireyi doğrudan veya dolaylı olarak belirlenebilir kılan her türlü bilgi kişisel veri sayılmakta ve bu verilerin işlenmesi esnasında kamu makamlarının veya özel hukuk kişilerinin keyfi müdahalelerine karşı anayasal güvence sağlanmaktadır. Bu anayasal temel, bireylerin kendi verileri hakkında bilgilendirilme, bu verilere erişme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenme gibi temel ilgili kişi haklarını anayasal bir statüye yükseltmiştir.

İlgili Kişiye Tanınan Temel Haklar

Kişisel verilerin anayasal düzeyde korunması, bireyin sadece pasif bir koruma altında olmasını değil, aynı zamanda aktif olarak veri işleme süreçlerine doğrudan müdahil olabilmesini gerektirir. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve uluslararası temel mevzuat olan Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) kapsamında ilgili kişilere tanınan haklar, bu aktif müdahale imkânının en güçlü hukuki araçlarıdır. Bireyin kendi kişisel verileri üzerindeki anayasal hâkimiyetini kurabilmesi, süreçleri denetleyebilmesi ve gerektiğinde yasal yollara etkin biçimde başvurabilmesi için mevzuatımızda aşağıda detaylandırılan ve her biri anayasal temele dayanan bir dizi temel hak tesis edilmiştir:

• Bilgi Alma Hakkı: Kişisel verilerin işlenip işlenmediğini, işlenme amacını ve aktarılan üçüncü kişileri öğrenme hakkıdır.
• Erişim Hakkı: İşlenen verilere ulaşarak veri işleme faaliyetinin hukuka uygunluğunu teyit edebilme yetkisidir.
• Düzeltme Hakkı: Eksik veya yanlış işlenen kişisel verilerin düzeltilmesini ve güncellenmesini talep edebilme hakkıdır.
• İmha ve Unutulma Hakkı: İşlenme şartları ortadan kalkan verilerin silinmesini, yok edilmesini ve dijital hafızadan tamamen silinmesini isteme hakkıdır.
• İtiraz Hakkı: Özellikle münhasıran otomatik sistemler vasıtasıyla aleyhe çıkan sonuçlara itiraz etme yetkisidir.

Bilgi Alma ve Erişim Hakkının Hukuki Niteliği

Veri sahiplerine tanınan haklar yelpazesinde bilgi alma hakkı, diğer tüm hakların kullanımına temel teşkil eden ön koşul niteliğinde bir haktır. Bireyin, kendisi hakkında hangi verilerin, hangi hukuki sebeplere dayanılarak işlendiğinden ve kimlerle paylaşıldığından haberdar olmaması durumunda, düzeltme veya imha gibi diğer yasal haklarını kullanması pratik olarak imkânsız hale gelecektir. Bu hakkın doğal bir uzantısı olan erişim hakkı ise, bireyin kendi verilerinin işlendiği sisteme veya kayıt ortamına doğrudan erişiminden ziyade, verilerin içeriğine makul, açık ve anlaşılır bir şekilde ulaşabilmesini ifade eder. Kişisel Verileri Koruma Kurulu'nun çeşitli kararlarında da vurgulandığı üzere, veri sorumlusunun güvenliğe ilişkin yükümlülükleri ile bireyin bilgiye ulaşma ihtiyacı arasında adil bir denge kurularak erişim imkânı sağlanmalıdır.

Verilerin İmhası ve Unutulma Hakkı Çerçevesi

Dijitalleşme ve bulut teknolojilerinin gelişimi, bir kez kayıt altına alınan bilginin sonsuza dek var olabilmesi riskini doğurmuş, bu durum unutulma hakkı kavramının acil bir anayasal ihtiyaç olarak ortaya çıkmasına sebep olmuştur. İlgili kişinin, işlenme amacı ortadan kalkan kişisel verilerinin silinmesini, yok edilmesini veya anonim hale getirilmesini talep etme hakkı, sadece hukuki bir prosedür değil, bireyin geçmişinin ağırlığından kurtularak hayatında yeni bir sayfa açabilmesinin en önemli teminatıdır. Türk hukukunda KVKK'nın 11. maddesi ile vücut bulan bu imha yetkisi, kişinin dijital hafızada yer alan fotoğraf, kimlik, ses veya adres gibi her türlü bilgisinin, geri getirilemeyecek şekilde ortadan kaldırılmasını kapsar. Bu mekanizma, ifade özgürlüğü veya kamunun bilgi edinme hakkı gibi diğer temel anayasal haklarla yarışması durumunda, titiz bir orantılılık ilkesi testine tabi tutularak uygulanmaktadır.

İtiraz Hakkı ve Veri Taşınabilirliği

Gelişen yapay zekâ ve büyük veri analitiği teknolojileri karşısında bireyin korunması maksadıyla, itiraz hakkı son derece kritik bir hukuki araçtır. Türk hukukunda özellikle kişisel verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi sonucu bireyin aleyhine ortaya çıkan neticelere itiraz etme hakkı tanınmıştır. Bununla birlikte, kişinin açık rızasına dayanarak gerçekleştirilen veri işleme faaliyetlerinde, bu rızanın her zaman geri alınabilmesi de özünde bir itiraz hakkı görünümüdür. Diğer yandan, GDPR ile hukuk dünyasına giren ve elektronik haberleşme sektöründeki numara taşınabilirliğine benzeyen veri taşınabilirliği hakkı, bireyin bir hizmet sağlayıcıda yer alan tüm verilerini makinece okunabilir bir formatta alarak engelsiz bir biçimde başka bir sisteme aktarabilmesini ifade eder. Her ne kadar KVKK'da doğrudan bağımsız bir hak olarak düzenlenmemiş olsa da veri sahiplerinin dijital ekosistemdeki özgürlüklerini ve kişisel veri hâkimiyetini güçlendiren çok önemli bir hukuki müessesedir.