Makale

Küreselleşme ve teknolojik gelişmeler neticesinde sanal bir nitelik kazanan dünyamızda, kişisel verilerin hukuka uygun işlenmesi ve korunması, evrensel bir hukuk ve özgürlük sorunu haline gelmiştir. Uluslararası alanda, bireyin kendi verileri üzerindeki kontrol yeteneğini güvence altına almak maksadıyla, Avrupa Konseyi, Birleşmiş Milletler, OECD ve Avrupa Birliği gibi uluslararası kuruluşlar tarafından bağlayıcı ve tavsiye niteliğinde temel standartlar oluşturulmuştur. Bu düzenlemelerin ortak amacı, verinin salt bir nesne olarak korunmasından ziyade, bireyin temel hak ve özgürlüklerinin korunması ile özel hayatın gizliliğinin güvence altına alınmasıdır. Bir bilişim hukuku uzmanı perspektifiyle değerlendirildiğinde, küresel veri akışı ile kişi mahremiyeti arasındaki hassas dengenin ancak uluslararası veri koruma ilkeleri ekseninde sağlanabileceği görülmektedir. Bu ilkeler, veri işlem sorumlularına sınırları net bir biçimde çizilmiş yükümlülükler yüklerken, ilgili kişilere de güçlü denetim ve katılım hakları sunarak, meşru bir veri işleme rejiminin evrensel zeminini oluşturmaktadır.

Veri İşleme Sürecinde Kalite ve Amaca Uygunluk

Uluslararası veri koruma hukukunun omurgasını oluşturan en temel kriterlerden biri, verilerin kaliteli olması ilkesi olarak karşımıza çıkmaktadır. Avrupa Birliği Veri Koruma Yönergesi ve diğer uluslararası metinlerde açıkça vurgulandığı üzere, kişisel verilerin hukuka ve dürüstlük kurallarına uygun olarak işlenmesi evrensel ve yasal bir zorunluluktur. İdarelerin veya ticari veri sorumlularının makul beklentileri sarsacak şekilde gizli ve aldatıcı veri toplaması açık bir hukuka aykırılık teşkil eder. Bununla birlikte, toplanan verilerin her zaman belirli, açık ve meşru amaçlar için elde edilmesi gerekmektedir. Hukuk uygulamasında, soyut veya ileride lazım olabilir düşüncesiyle geniş kapsamlı veri havuzları oluşturulması, temel haklara doğrudan bir müdahale kabul edilerek engellenmektedir. Dolayısıyla, veri işleme faaliyetinin sınırları önceden çizilmeli ve amaca uygunluk prensibi ekseninde dar yorumlanmalıdır.

Aynı ilkenin bir uzantısı olarak, işlenen verilerin elde ediliş amacına uygun, bu amaca ulaşmak için ilgili ve ölçülülük kuralı çerçevesinde aşırı olmaması büyük önem taşımaktadır. Gerek Avrupa Konseyi Sözleşmeleri gerekse OECD Rehber İlkeleri, işlemeyi yürüten tarafın ancak asgari düzeyde veri toplayarak hak ihlallerinden kaçınmasını talep etmektedir. Ek olarak, kayıtların doğru ve güncel tutulması yükümlülüğü de tamamen veri denetçisine aittir. Zira eksik veya hatalı verilerle yürütülen işlemler, hukuki sakatlıklara zemin hazırlayabilir. İlgili evrensel metinler, verilerin, kişinin kimliğinin tespitini gerektiren amacın hasıl olmasının ardından gerektiğinden daha uzun süre muhafaza edilmemesi ve bireylerin dijital dünyadaki izlerinin silinmesine olanak tanıyan unutulma hakkına saygı duyulması gerektiğini de güçlü bir şekilde vurgulamaktadır.

Hassas Verilerin Özel Koruması ve Veri Güvenliği

Standart kişisel verilerin ötesinde, kişinin toplum içindeki itibarını zedeleyebilecek ve ayrımcılığa neden olabilecek bilgilerin korunması daha sıkı kurallara bağlanmıştır. Avrupa Birliği ve Avrupa Konseyi düzenlemelerinde ifade edildiği şekliyle, kişilerin ırksal veya etnik kökenini, siyasal düşüncesini, dini inançlarını ve sağlık veya cinsel yaşamını belirten hassas veriler, kural olarak mutlak bir işleme yasağına tabidir. Bir bilişim hukuku perspektifinden bu yasak, yalnızca bireyin açık ve bilinçli rızasıyla ya da hukuki bir zorunluluk veya üstün kamu yararı hallerinde istisnai olarak delinebilir. Hassas verilerin haksız ifşası veya işlenmesi, kişinin maddi ve manevi bütünlüğüne ağır saldırı niteliğinde olduğundan, yasal dayanağı olmayan her türlü faaliyet uluslararası denetim mekanizmalarıyla engellenmektedir.

Uluslararası metinlerin tümünde zorunlu tutulan bir diğer mekanizma ise veri güvenliği ilkesi kapsamındaki hukuki ve teknik tedbirlerin alınmasıdır. Verilerin kazara veya yetkisiz kişilerce tahrip edilmesi, değiştirilmesi veya ele geçirilmesini engellemek için, veri işleyen kişi ve kuruluşların yüksek standartlarda idari ve teknik güvenlik protokolleri oluşturması gerekmektedir. Kurulan sistemin yalnızca başlangıçta değil, verilerin depolandığı ve transfer edildiği tüm aşamalarda dış müdahalelere karşı kapalı olması sağlanmalıdır. Zira, kişisel verilerin güvenliğinin sağlanamaması, yalnızca bireylerin özel hayatının haksız yere ifşasına değil, aynı zamanda kurumlar arası güvenin sarsılmasına ve ağır tazminat yükümlülüklerine neden olabilecek zincirleme hukuki ihlallere zemin hazırlamaktadır.

Birleşmiş Milletler Rehber İlkelerinde Veri Koruma Kriterleri

Birleşmiş Milletler tarafından kabul edilen “Bilgisayarla İşlenen Kişisel Veri Dosyaları Hakkında Yönlendirici İlkeler”, kişisel veri güvenliğinde küresel standartları belirleyen önemli hukuki referanslardan biridir. Söz konusu evrensel belgede, temel hukuk ilkeleri şu şekilde sıralanmıştır:

• Yasallık ve Dürüstlük: Verilerin hukuka ve ahlaka aykırı yöntemlerle toplanmasının önüne geçilmesi.
• Doğruluk ve Güncellik: Verilerin gerçeği yansıtması ve sürekli kontrole tabi tutulması.
• Amacın Belirli Olması: İşleme faaliyetinin haklı, meşru ve öngörülebilir bir amaca özgülenmesi.
• Erişim ve Katılım Hakkı: Veri sahibinin, hakkında tutulan kayıtları zaman ve masraf kaybı yaşamadan öğrenme ve itiraz etme hakkının tanınması.
• Ayrımcılıktan Kaçınma: Hassas nitelikli bilgilerin yasanın izin verdiği mutlak durumlar dışında toplanmasının yasaklanması.
• Bağımsız Denetim: Sistemin adil ve yetkin bir ulusal kontrol makamınca kesintisiz gözetim altında tutulması. Bu standartlar, günümüz veri koruma politikalarının inşasında ve sınır ötesi veri aktarımı süreçlerinde idarelerin uyması gereken temel hukuki ölçütleri sunmaktadır.

İlgili Kişinin Bilgilendirilmesi, Katılımı ve Denetimi

Evrensel veri koruma rejiminin belkemiği, veri işleme faaliyetinin başından sonuna dek şeffaflık ilkesinin etkin bir şekilde sürdürülmesi esasına dayanır. Veri öznesi konumundaki bireyler, haklarında hangi kurumun, ne sebeple ve hangi kapsamda veri topladığını bilme hakkına sahiptir. Veri sorumluları, işlemin başında kendi kimliklerini, verinin işlenme amaçlarını, aktarılacağı üçüncü tarafları ve bilgi verme zorunluluğunun sonuçlarını açıkça beyan etmekle mükelleftir. Hukuk terminolojisinde "Manga Charta" olarak nitelendirilen bu bilgilendirilme ve erişim hakkı, ilgili kişiye, verileri üzerinde rasyonel bir denetim yetkisi kullanma imkanı tanır. Şayet kişisel bilgiler doğrudan bireyden değil de üçüncü kaynaklardan temin edilmişse, hukuki yükümlülük gereği veri sorumlusunun bu durumu dürüstlük kuralı çerçevesinde gecikmeksizin ilgili kişiye bildirmesi zorunludur.

İlgili kişinin katılımı, yalnızca pasif bir bilgi alma sürecinden ibaret olmayıp, müdahaleci hakları da içermektedir. Birey, toplanan verilerin eksik, hatalı veya uluslararası normlara aykırı bir biçimde işlendiğini tespit etmesi halinde, bu verilerin derhal düzeltilmesini, engellenmesini veya tamamen silinmesini talep etme hakkına sahiptir. Özellikle veri sorumlusunun, işleme faaliyetine devam edebilmek için hukuki bir dayanağı veya bireyin özgür iradesiyle verilmiş açık rızası bulunmuyorsa, toplanan bilgilerin yok edilmesi emredici bir yasal yüklülüktür. Olası hukuka aykırılıklar durumunda, bağımsız kontrol organları ve mahkemeler aracılığıyla zararın giderilmesini isteme ve etkin bir tazminat talep hakkı, uluslararası sözleşmelerin bireye sunduğu en güçlü ve vazgeçilmez hukuki koruma mekanizmalarındandır.