Makale

Dijitalleşen dünyada kişisel verilerin kullanımı artık günlük yaşamın ve ticari faaliyetlerin vazgeçilmez bir parçası haline gelmiştir. Günden güne artan ticari rekabet ortamında, kişisel verileri elinde bulunduranların ekonomik anlamda güçlü bir konumda olduğu yadsınamaz bir gerçektir. Bireylerin maddi ve manevi değerlerini kapsayan kişilik hakkı, kişisel verilerin yasal zeminlerde korunmasını da zorunlu kılmaktadır. Türk hukukunda bu koruma ihtiyacını karşılamak üzere yürürlüğe giren Kişisel Verilerin Korunması Kanunu, veri mahremiyetinin sağlanması adına önemli bir dönüm noktası oluşturmuştur. Kanun, veri işleme süreçlerinde hem veri sorumlusu hem de ilgili kişi açısından birtakım temel hukuki pozisyonlar ihdas etmiş ve veri sorumlusuna, veri işleme süreçleri hakkında bireyleri şeffaf bir şekilde bilgilendirme görevi olan aydınlatma yükümlülüğü getirmiştir. Bu makalede, hukuk sistemimizde yer alan temel veri koruma kavramlarının hukuki alt yapısı ve aydınlatma yükümlülüğünün kavramsal doğası detaylı bir şekilde ele alınmaktadır.

Kişisel Verilerin Korunması Hukukunda Temel Kavramlar

Kanun kapsamında kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi olarak tanımlanmaktadır. Bu tanım oldukça geniş tutulmuş olup, verinin yalnızca nesnel veya öznel olmasına bakılmaz; kişinin adı, adresi, yaşantısı gibi unsurların yanı sıra araç plakası gibi kişiyi dolaylı yoldan belirlenebilir kılan bilgiler de bu kapsamda değerlendirilmektedir. Kişisel verisi işlenen bu gerçek kişiler ise ilgili kişi olarak adlandırılmaktadır. Kanun, tüzel kişilere ait verileri koruma kapsamı dışında bırakmış, yalnızca gerçek kişilerin özel hayatının gizliliğini ve temel haklarını korumayı hedeflemiştir. Nitekim tüzel kişilerin verileri, ticari sır gibi farklı hukuki zeminlerde korunsa da doğrudan bu kanunun asıl öznesi değillerdir. Ana rahmindeki ceninin verileri anneyi belirli kıldığı ölçüde anneye ait sayılarak korunurken, ölen kişilerin kişisel verileri ancak hayattaki mirasçıları belirlenebilir kılması halinde mirasçılar bakımından bir koruma kapsamına dahil olabilmektedir.

Veri işleme süreçlerinin en önemli aktörü olan veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir. Kanun, özel hukuk tüzel kişileri ile kamu tüzel kişileri arasında bir ayrım yapmamış, veri işleme amacını belirleyen her oluşumu bu sıfatla doğrudan sorumlu tutmuştur. Tüzel kişiler, veri işleme faaliyetlerini çalışanları veya iç organları aracılığıyla gerçekleştirse dahi nihai kanuni sorumluluk bizzat tüzel kişiliğin kendisindedir. Diğer bir aktör olan veri işleyen ise, veri sorumlusunun verdiği yetkiye dayanarak onun adına veri işleyen gerçek veya tüzel kişidir. Veri işleyen, daha çok veri işlemenin teknik boyutları ve güvenlik tedbirleriyle ilgilenir; veri işlemenin temel amacını ve yöntemini tek başına belirleme yetkisine sahip değildir. Dolayısıyla taraflar arasındaki temel fark, karar alma mekanizması noktasında ortaya çıkmaktadır.

Aydınlatma Yükümlülüğünün Terminolojisi ve Hukuki Niteliği

Hukukumuzda bilgi aktarımını ifade eden bilgilendirme, bilgi verme ve öğüt verme gibi birçok terminolojik kavram bulunmasına rağmen, aydınlatma kavramı muhatabın bilmediği ancak kararı üzerinde önemli bir etkiye sahip olan bilgilerin, talep edilmeksizin ve herhangi bir sübjektif değer yargısı katılmaksızın karşı tarafa açıklanarak aktarılmasıdır. Bilgilendirme sürecinde yalnızca düz bir bilgi akışı varken, aydınlatmada bilginin daha açık, anlaşılır ve şeffaf şekilde izah edilmesi söz konusudur. Veri sorumlusunun aydınlatma yükümlülüğü, ilgili kişinin herhangi bir bilgi talebine bağlı kalmaksızın, kişisel veri işleme şartlarının bulunduğu her senaryoda bizzat yerine getirilmesi gereken proaktif bir süreci ifade eder. Bu yükümlülük, genel borçlar hukuku bağlamında incelendiğinde sıradan bir külfet değil, bizzat uyulması zorunlu bir hukuki yükümlülük teşkil eder. Külfetin yerine getirilmemesi yalnızca hak kaybına yol açarken, hukuki bir yükümlülük olan aydınlatma görevinin ihmal edilmesi doğrudan emredici yasa hükümlerine aykırılık teşkil eder.

Aydınlatma Yükümlülüğünün Hukuki Kaynakları

Sözleşme ilişkilerinde kural olarak herkes kendi hukuki riskini ve bilgisini kendisi araştırmak zorunda olsa da, aydınlatma yükümlülüğü bu genel kuralın bir istisnası olarak dürüstlük kuralından ve emredici kanun hükümlerinden doğmaktadır. Dürüstlük kuralı gereğince, tarafların birbiriyle hukuki bir zeminde sosyal temasa geçmesi haklı bir güven ilişkisini doğurur ve bu güven, teknik bilgi açısından uzman olan tarafın diğer tarafı önemli konularda aydınlatmasını zorunlu kılar. Kanun koyucu, veri işleme süreçlerinde taraflar arasında oluşabilecek asimetrik güç ve bilgi dengesizliğini ortadan kaldırmak, zayıf konumda olan ilgili kişiyi korumak amacıyla bu süreci yasal bir görev haline getirmiştir. Dolayısıyla, günümüz veri koruma hukukunda dürüstlük kuralı bağlamındaki şartların varlığı tek tek araştırılmaksızın, doğrudan kanundan kaynaklı emredici aydınlatma yükümlülüğü devreye girmekte ve uyulması kesin bir zorunluluk taşımaktadır.

Genel hukuk dogmatiği ve borçlar hukuku prensipleri çerçevesinde değerlendirildiğinde, dürüstlük kuralından kaynaklanan aydınlatma yükümlülüğünün doğabilmesi için doktrinde kabul edilen birtakım temel unsurların bir arada bulunması aranmaktadır:

• Aydınlatma yükümlüsünün önemli bir hususu bizzat bilmesi veya uzmanlığı gereği bilmesinin gerekmesi.
• Muhatabın fark edilebilir nitelikte aydınlatılma ihtiyacının bulunması ve teknik bilgiye ulaşma imkânının kısıtlı olması.
• Aydınlatılacak hususun, muhatabın alacağı kararda ve hukuki iradesinde fark edilebilir derecede önemli bir etkiye sahip olması.
• Aydınlatmanın yapılmamasında, bilgi sahibinin korunmaya değer üstün ve meşru bir menfaatinin bulunmaması.