Makale

Bilgi ve iletişim teknolojilerindeki devrimsel gelişmeler, fiziksel mesafelere bağımlı kalmadan iletişim kurabilme maliyetlerini düşürmüş ve toplumları devasa bir dijital ağın parçası haline getirmiştir. Bireylerin ağ üzerindeki her hareketinin kaydedilmesiyle oluşan büyük veri evreni, günümüzde idari ve ticari faaliyetleri şekillendiren en temel hammadde konumuna yükselmiştir. Sosyal ağlardan mobil sensörlere, sağlık otomasyonlarından e-ticaret platformlarına kadar uzanan bu bilgi yığını, inovasyon için eşsiz potansiyeller barındırır. Ancak, aşırı ölçekli hacme, hıza ve çeşitliliğe sahip olan yapılandırılmamış veri yığınları, veri öznelerinin mahremiyeti ve güvenliği noktasında ağır yasal tehditleri de beraberinde getirmektedir. Bir bilişim hukuku uzmanı perspektifiyle değerlendirildiğinde, bu devasa verinin orantısız ve denetimsiz işlenmesi temel insan haklarının ihlaline zemin hazırlamaktadır. Bu noktada modern hukukun temel amacı, teknolojik kalkınmanın getirdiği fayda ile bireylerin vazgeçilmez özel hayatın gizliliği hakkı arasındaki o hassas dengeyi yasal güvencelerle sağlamaktır.

Büyük Verinin Yapısı ve Veri İşleme Faaliyetleri

Büyük veri, geleneksel teknolojiler veya standart ilişkisel veri tabanları ile yönetilemeyecek kadar karmaşık, muğlak ve dağınık veri kümelerini ifade eder. Hayatımızın her anında sistemler tarafından sürekli üretilen bu yapılandırılmamış dijital izler, anlamlı bir bilgiye dönüşebilmek için Hadoop gibi çok katmanlı veri madenciliği altyapılarına ihtiyaç duyar. Verinin toplanmasından kaydedilmesine, depolanmasından değiştirilmesine ve üçüncü şahıslara aktarılmasına kadar geçen tüm yaşam döngüsünü kapsayan veri işleme faaliyetleri, ticari şirketler ve devlet kurumları arasındaki bilgi akışının merkezini oluşturur. Müşteri profillemesi, pazar optimizasyonu veya idari denetimler gibi hukuki amaçlarla gerçekleştirilen kurumsal bilgi paylaşımları, şeffaf bir regülatif denetime tabi tutulmadığında bireysel hak kayıpları yaratır. Özellikle şirket birleşmeleri, taşeron dış kaynak kullanımları veya sektörler arası bilgi transferleri, dijital ekosistemdeki veri kontrolünün yitirilmesine ve telafisi imkansız kişisel veri ifşası risklerinin doğmasına neden olmaktadır.

Bireysel Özerklik ve Özel Hayatın Gizliliği

Enformasyon toplumunun hızla büyümesiyle birlikte gerçek dünyadaki mahremiyet beklentisi, yerini kapsamlı bir dijital gözetim mekanizmasına bırakmıştır. Warren ve Brandeis'in literatüre kazandırdığı meşhur "yalnız kalabilme hakkı", modern teknoloji çağında bireysel özerkliği korumak adına en çetin hukuksal mücadele alanlarından biri olmuştur. Her adımı izlenen, tüketim alışkanlıkları profillenen ve kendi bilgileri üzerindeki kontrolünü yitiren bir veri öznesinin hür iradesinden hukuken söz edilemez. Sistematik olarak birleştirilen görünüşte zararsız veriler; kişilerin siyasi yönelimleri, ırksal kökenleri, psikolojik eğilimleri veya sağlık durumları gibi hassas kişisel verileri açıkça ifşa edebilecek algoritmik bir kapasiteye sahiptir. Bu durum veri öznelerini; kimlik hırsızlıklarına, şantaj eylemlerine, fişlenmeye ve telafisi zor manevi zararlara karşı savunmasız bırakmaktadır. Tam da bu nedenle, çağdaş veri koruma hukuku, temel hak ve özgürlüklerin ihlalini engellemeyi nihai hedef olarak belirler. Mevzuat, verinin ekonomik değerinden çok bireyin şahsiyetini merkeze alarak rıza, orantılılık ve şeffaflık ilkelerini emredici kurallar olarak uygular.

Avrupa Birliği Mevzuatında Kişisel Veri Güvenliği

Avrupa Birliği, dijitalleşme sürecinde kişisel verilerin korunmasına yönelik katı kurallar getirerek küresel çapta güçlü bir içtihat ve regülasyon standardı yaratmıştır. Birliğin bu konudaki temel dayanağı olan 95/46/AT sayılı Yönerge, kişisel veriyi bireyin kimliğini doğrudan veya dolaylı yollarla saptayabilen her türlü bilgi olarak geniş ve korumacı bir perspektifle tanımlar. İlgili regülasyon uyarınca, veri işleme operasyonları; veri öznesinin kesin ve açık rızasının bulunması, hukuki bir sözleşmenin ifası, kamusal bir görevin icrası veya veri sorumlusunun meşru bir menfaatinin zorunlu olması şartlarına bağlanmıştır. Özellikle sendikal aidiyet, cinsel yönelim, etnik köken veya felsefi inanç gibi hassas verilerin işlenmesi mutlak surette sınırlandırılmış ve yasaklanmıştır. Ek olarak sektörel bazda yürürlüğe giren 2002/58/AT sayılı Yönerge, telekomünikasyon sektöründeki faturalama ve trafik verilerinin hukuka uygun işlenmesini denetim altına alarak elektronik haberleşme gizliliğini sağlar. Avrupa Birliği'nin bu yaklaşımı, uluslararası veri aktarımı ilişkilerinde dahi karşı ülkeden asgari düzeyde bir yasal koruma talep ederek veri cennetlerinin oluşmasını engellemeyi hedefler.

Türk Hukukunda Kişisel Verilere Yönelik İhlaller ve Yaptırımlar

Türk hukuku kapsamında özel hayatın gizliliği ve verilerin güvencesi, normlar hiyerarşisinin tepesinde yer alan 1982 Anayasası'nın 20. maddesiyle güvence altına alınmış bir insan hakkıdır. Onaysız ve orantısız gerçekleştirilen her türlü veri işleme faaliyeti, Türk Medeni Kanunu'nun 24. maddesi uyarınca kişilik haklarına açık bir saldırı sayılırken; Borçlar Kanunu kapsamında da veri sorumlusu aleyhine maddi ve manevi tazminat yükümlülüğü doğurur. Özel hukukun sağladığı bu şemsiyeye ek olarak, Türk Ceza Kanunu büyük veri yığınları üzerinden bireylerin hedef alınarak kişisel bilgilerinin hukuka aykırı şekilde kaydedilmesini ve dağıtılmasını ağır yaptırımlara bağlamıştır. Bilgi sistemlerini işleten tüm ticari yapıların bu cezai riskleri titizlikle yönetmesi hukuki bir zorunluluktur. Türk Ceza Kanunu kapsamında kişisel verilere karşı işlenen başlıca suç tipleri şunlardır:

• Özel hayatın gizliliğini ihlal: TCK 134. madde uyarınca bireylerin mahrem alanlarına ilişkin ses ve görüntülerin kanuna aykırı şekilde kayda alınarak kamuoyuna sunulması doğrudan hapis cezasını gerektirir.
• Kişisel verilerin kaydedilmesi: TCK 135. madde ile kişilerin felsefi inançları, ırki yapıları, ahlaki eğilimleri veya sağlık geçmişlerine ilişkin bilgilerin rızaya aykırı fiillerle veri tabanlarında depolanması cezalandırılır.
• Verilerin hukuka aykırı ifşası: TCK 136. madde kapsamında, kurumsal veri sistemlerinden ele geçirilen şahsi bilgilerin yetkisiz şekilde üçüncü partilere verilmesi veya yayılması durumunda nitelikli cezai yaptırımlar uygulanır.
• Verileri yok etmeme suçu: TCK 138. maddeye göre, yasal saklama süreleri dolmuş olmasına rağmen sistemlerindeki verileri usulüne uygun şekilde imha etmeyen veri sorumluları ayrı bir suç işlemiş kabul edilir.

Ceza mevzuatındaki bu çerçevenin yanı sıra, Bilgi Teknolojileri ve İletişim Kurumu tarafından çıkarılan Elektronik Haberleşme Yönetmeliği ilgili teknoloji şirketlerine özel sıkı idari tedbirler getirmektedir. Yönetmelik, operatörlerin elindeki trafik ve yer verilerinin ancak katma değerli hizmetin zorunlu kıldığı süreler içinde ve abonenin bilgilendirilmiş rızası kapsamında işlenebileceğini emreder. Dijital hizmet sağlayıcıların büyük veri analitiği yürütürken dürüstlük kuralına ve amaçla bağlantılılık ilkesine riayet etmesi hukuki bir angajmandır. Bu sınırı aşan tüm veri manipülasyonları telafisi olmayan idari para cezalarına ve lisans iptallerine kadar varan hukuki ihtilafları beraberinde getirecektir.