İdarenin Veri Sorumlusu Sıfatı ve İstisna Rejimi

Kişisel verilerin korunması hukuku, gelişen dijital çağda yalnızca özel hukuk kişilerini değil, kamu gücü ayrıcalıklarıyla donatılmış olan idareyi de yakından ilgilendirmektedir. İdare, toplumun çeşitli ihtiyaçlarını karşılamak ve kamu hizmetlerini yürütmek amacıyla devasa boyutlarda veri işleme faaliyetleri gerçekleştirmektedir. Bu bağlamda, idarenin gerçekleştirdiği veri işleme faaliyetlerinde veri sorumlusu sıfatını haiz olup olmadığı ve hangi hallerde hukuki koruma hükümlerinden muaf tutulacağı büyük bir hukuki önem taşımaktadır. Kanuni idare ilkesi gereğince idarenin görev ve yetkileri mevzuatla çizilmiş olsa da, bu yetkilerin kullanımı sırasında hangi verilerin ne şekilde işleneceğine doğrudan idare karar vermektedir. Bu durum, idareyi idari işlemleri bakımından veri sorumlusu statüsüne sokmaktadır. Öte yandan, devletin güvenliği, kamu düzeni ve istihbari faaliyetler gibi üstün kamu yararı barındıran bazı alanlarda idareye tanınan tam ve kısmi istisna rejimleri, veri koruma hukukunun kamu sektörü özelindeki esnekliklerini oluşturmaktadır. Bu makalede, idarenin veri sorumluluğu ve tabi olduğu istisnai düzenlemeler mevzuat hükümleri ışığında analiz edilecektir.

İdarenin Veri Sorumlusu Olarak Nitelendirilmesi

Kişisel verilerin korunması mevzuatı uyarınca veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi ifade etmektedir. Kanun, kamu hukuku tüzel kişileri ile özel hukuk tüzel kişileri arasında bu sıfat bakımından bir ayrım yapmamıştır. İdare hukuku perspektifinden bakıldığında, idarenin kanuni idare ilkesi gereği yalnızca yetki ve belirlenen amaçlar doğrultusunda hareket etmesi, onun veri işleme amaç ve vasıtalarını belirlemediği şeklinde yorumlanmamalıdır. Zira idare, hukuki görevleri yerine getirirken hangi bireylerin verilerini, ne kadar süreyle ve hangi yöntemlerle işleyeceğine fiilen karar vermektedir. Bu aktif karar alma mekanizması idareyi doğrudan veri sorumlusu konumuna yerleştirmektedir. Ayrıca, idari teşkilat yapısında tüzel kişiliği bulunmayan bakanlıklar ve hiyerarşisine tabi birimler gibi yapıların da idari yargıda taraf sıfatını haiz olmaları sebebiyle, uygulamada veri sorumlusu olarak kabul edilmesi gerektiği hukuki bir gerçekliktir.

Kapsamda İdareye Uygulanan İstisna Rejimi

Veri koruma hukuku kuralları, özel sektör ile kamu sektörü arasında temel yükümlülükler bakımından kural olarak ayrım yapmamakla birlikte, devletin varlığını ve fonksiyonlarını sürdürebilmesi için çeşitli istisna rejimleri öngörmüştür. İlgili yasal çerçevenin istisnaları düzenleyen kısmı, bazı idari faaliyetleri temel kuralların uygulama alanının tamamen veya kısmen dışına çıkarmaktadır. Bu istisnalar, idari faaliyetlerin doğası gereği ortaya çıkan üstün kamu yararı ile bireyin veri mahremiyeti arasında makul bir denge kurma arayışının sonucudur. Muafiyet hükümlerinin hukuka uygun biçimde uygulanabilmesi için, idarenin gerçekleştirdiği faaliyetin açıkça verilmiş bir görev ve yetkiye dayanması şarttır. Bu durum, idari kolluk ve hayati kamu hizmeti faaliyetlerinin sekteye uğramasını engellerken, diğer yandan idarenin hukuka bağlılık ilkesi çerçevesinde hareket etmesini zorunlu kılar. İstisnalar kendi içinde tam istisnalar ve kısmi istisnalar olmak üzere iki temel kategoriye ayrılmış olup, idari işlemler nezdinde her iki durumun doğurduğu hukuki sonuçlar farklılık göstermektedir.

Tam İstisna Halleri ve Hukuki Sonuçları

Mevzuat metninde yer alan tam istisna halleri, ilgili veri işleme faaliyetlerinin korunma kurallarının hiçbir hükmüne tabi olmaması sonucunu doğurmaktadır. İdareyi yakından ilgilendiren tam istisnalar genel olarak önleyici, koruyucu ve istihbari faaliyetler ile resmi istatistik süreçlerine ilişkindir. Devletin güvenliği, kamu düzeni ve ekonomik yapısının güvence altına alınmasına yönelik olarak yetkili kurumlarca yürütülen eylemler bu gruba girmektedir. Bu kapsamda, aşağıda belirtilen idari faaliyet alanları tamamen yasal uygulama alanı dışında bırakılmıştır:

• Kişisel verilerin salt resmi istatistik amacıyla işlenmesi eylemleri.
• Kanunla yetki verilmiş kamu kurumları tarafından yürütülen milli savunma, milli güvenlik ve kamu düzenini sağlamaya yönelik önleyici ve koruyucu faaliyetler.
• Yargı makamları veya infaz mercileri tarafından ifa edilen soruşturma, kovuşturma ve infaz işlemleri. Bu faaliyetler sırasında idare, aydınlatma, veri güvenliği sağlama veya sicile kayıt olma gibi yasal yükümlülüklerden tamamen muaf olmaktadır. Ancak bu durum, idarenin Anayasa ve genel idare hukuku prensiplerine uygun davranma ve temel haklara ölçüsüz müdahaleden kaçınma zorunluluğunu ortadan kaldırmaz.

Kısmi İstisna Halleri ve Sınırları

Kısmi istisna halleri ise, tam istisnaların aksine, idarenin gerçekleştirdiği veri işleme faaliyetini kanunun bütünüyle dışına çıkarmaz. Bu hallerde, yalnızca idarenin aydınlatma yükümlülüğü, sicil kayıt zorunluluğu ve ilgili kişinin zararın giderilmesini talep etme hakkı dışındaki usuli diğer hakları uygulanmaz. İdari faaliyetler özelinde en sık karşılaşılan kısmi istisnalar; suç işlenmesinin önlenmesi veya suç soruşturması için gerekli olan veri işlemeler, bütçe, vergi ve mali konularda devletin ekonomik çıkarlarının korunması ile kamu kurumlarınca yürütülen düzenleme, denetleme ve disiplin soruşturmalarıdır. İdare, bu spesifik faaliyetlerini yürütürken bireyleri aydınlatmak veya özel veri siciline kayıt olmak zorunda değildir. Ancak, idarenin bu veri işleme süreçlerinde mevzuatta belirlenen genel hukuk kaidelerine ve orantılılık prensibine riayet etmesi hukuki bir zorunluluktur. Bireylerin bu alanlardaki hukuka aykırı işlemler sebebiyle ortaya çıkacak maddi ve manevi zararları için genel idare hukuku hükümleri uyarınca tazminat talep etme hakları her zaman saklıdır.