YARGI KARARLARI KİŞİSEL VERİLERİN GÜVENLİĞİNİ TEHLİKEYE ATAR MI?

                      Yazar : Dr. Hasan DURSUN

         6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), Resmi Gazetede yayımlanarak yürürlüğe girdi. Söz konusu kanun ile "kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülüklerinin" düzenlenmesi amaçlanmaktadır.

            KVKK'nın 3.maddesinde kişisel veri "kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi" olarak tanımlanmıştır.

            Kişisel verilerin hangi hallerde işlenip kayıt altına alınacağı yasada belirtildikten sonra bu faaliyetler belirli ilkelere bağlanmıştır. Bu ilkeler KVKK'nın 4.maddesinde şu şekilde belirtilmiştir:

1) Kişisel veriler, ancak bu Kanunda ve diğer kanunlarda öngörülen usul ve esaslara uygun olarak işlenebilir.

(2) Kişisel verilerin işlenmesinde aşağıdaki ilkelere uyulması zorunludur:

a) Hukuka ve dürüstlük kurallarına uygun olma.

b) Doğru ve gerektiğinde güncel olma.

c) Belirli, açık ve meşru amaçlar için işlenme.

ç) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma.

d) İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.

      Temel kural kişisel verilerin işlenmesi için kişinin rızasının olması ise de, istisnai hallerde kişinin rızası olmasa dahi veri işlenmesi mümkündür. Bu istisnaların başında kanunun açıkça öngördüğü haller ile kişinin kendi rızası ile aleni hale getirdiği veriler sayılabilir (KVKK md.5).

     

      "Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir" (KVKK md.6/1). Bu veriler ilgilinin açık rızası olmaksızın işlenemez. Ancak yasal düzenlemeler ile sağlık ve cinsel hayat dışındaki özel nitelikli kişisel verilerin kişilerin rızası aranmaksızın yetkili/görevli kişiler veya kurumlar tarafından kayıt altına alınması mümkündür.

     

      Veriler işlendikten sonra, işlenmesine dayanak teşkil eden sebeplerin ortadan kalması halinde ilgili kişi veya kurum tarafından kendiliğinden veya ilgilisinin talebi üzerine silinir veya anonim hale getirilebilir (KVKK md.7).

      Veri sorumlusunun (yani kişisel verileri sisteme kayıt eden ve bu verileri kontrol eden gerçek veya tüzel kişilerin belirli yükümlülükleri vardır. Bunlar; elde ettiği verilerin hukuka aykırı olarak işlenmesini  ve bunlara erişilmesini önlemek, bilgileri muhafaza etmektir. Veri sorumlusu bu yükümlülüklerini yerine getirmek amacıyla gerekli önlemleri almak ve sistemleri kurmak durumundadır.

      Kişisel veriler bağlamında ceza yargılamasında bilgilerin elde edilmesi, muhafazası, açıklanması ve anonimleştirilmesi hususlarının yukarıda belirtilen ilkeler ve yükümlülükler uyarınca irdelenmesi gerektiği kanaatindeyim. Zira ceza yargılaması sürecinde gizli kalması ve saklanması gereken, açıklanması gerektiği taktirde anonimleştirilmesi zorunlu olan bir çok kişisel veri elde edilmektedir. Ancak uygulamada kişisel veriler açısından çok hassas davranılmadığı, ceza yargılama sujeleri tarafından oluşturulan belgelerde kişileri zor durumda bırakacak verilerin anonimleştirmeden (anonim hâle getirme: Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesini ifade eder) kullanıldığı müşahede edilmektedir.

      Özellikle savcılıklar tarafından verilen kararlar ile (kovuşturmaya yer olmadığına dair karar, iddianame, yetkisizlik, birleştirme vs.) mahkemece verilen kararlar (mahkumiyet, beraat, yetkisizlik, ceza verilmesine yer olmadığına dair karar vs.) incelendiğinde, içeriklerinde tarafların kimlik bilgileri dışında, telefon numaraları, iş ve ev adresleri, kredi kartı numaraları, araç plakaları gibi çok önemli kişisel verilere yer verildiği ve bu bilgilerin ilgili ilgisiz bir çok kişice öğrenilmesine olanak sağlayarak kişileri zor durumda bırakabilecek durumlara neden olduğu görülmektedir.

      Bu konuda çalışmamızda iddianameler ile mahkeme hükümlerinin içeriklerinin KVKK bağlamında yerinde olup olmadıklarına dair görüşlerimize yer vereceğiz.

      CMK'nın 182.maddesine göre duruşma herkese açıktır, istisnai haller dışında gizlilik kararı verilemez, yine gerekçeli karar ile hüküm duruşmada açıklanır.

      CMK'nın 183.maddesinde ses ve görüntü alıcı aletlerin duruşma sırasında kullanılması yasaklanmış ise de, çağımızın getirdiği kolaylıklar ve kontrolündeki zorluklar gözönüne alındığında, bu yasak ile etkin ve istisnasız bir mücadele yapıldığını söylemek doğru olmayacaktır.

      Duruşmanın başlangıcında katılanların açık kimliği saptanıp, kişisel ve ekonomik durumu hakkında bilgi alındıktan sonra, iddianame okunur ve sanığa hakları anlatılarak duruşma başlar (CMK md.191).

      CMK'nın 170.maddesine göre bir suç işlendiği konusunda yeterli şüphe olması durumunda Cumhuriyet savcısı tarafından iddianame düzenlenir. İddianame içeriğinde şüpheli ile maktul, mağdur veya suçtan zarar görenin kimliğine yer verileceği yasal düzenleme gereğidir.

      İddianame içeriğine dair düzenlemeye benzer şekilde CMK'nın 232.maddesinde hükmün gerekçesi ve hüküm fıkrasının hangi unsurları içereceği düzenlenmiştir. Konumuzla ilgili olarak mahkeme hükmünde, "Hükmü veren mahkeme başkanının ve üyelerinin veya hâkimin, Cumhuriyet savcısının ve zabıt kâtibinin, katılanın, mağdurun, vekilinin, kanunî temsilcisinin ve müdafiin adı ve soyadı ile sanığın açık kimliği" yazılır.

      CMK'nın 170.maddesi ile CMK'nın 232.maddesi birlikte okunduğunda kişisel veriler bağlamında ilk göze çarpan husus, iddianame içeriğinde şüpheli, maktul, mağdur veya suçtan zarar görenin "kimliğine" yer verileceği belirtilmesine karşın, mahkeme hükmünde sadece sanığın açık kimliğine yer verileceği, buna karşın diğer sujelerin sadece adı ve soyadı ile yetinilmesi gerektiğine yer verilmiştir.

      KVKK düzenlemesine göre kişisel verileni kayıt altına alınması ve kullanılmasına ilişkin kişinin rızasının aranmadığı ihtimallerden birisi ve en önemlisi yasal bir hükmün gereği olarak bunların yapılması zorunluluğudur. CMK'nın açık hükmü gereği ceza yargılaması çerçevesinde çok önemli kişisel veriler elde edilmekte, bunlar gerek dosya içerisinde, gerek kolluk birimleri kayıtlarında ve gerekse UYAP vasıtasıyla Adalet Bakanlığı kayıtlarında saklanmaktadır.

      Bundan dolayıdır ki yasal olarak ceza yargılaması çerçevesinde kişisel verileri elde eden ve depolayan kişi ve kurumlar (Adalet Bakanlığı, İçişleri Bakanlığı, emniyet müdürlükleri, jandarma komutanlıkları, Başsavcılıklar, Mahkemeler) KVKK anlamında "veri sorumlusu" sıfatına haiz olup, bunun gerektirdiği sorumlulukları yerine getirmeleri gerekir.

      Uygulamada iddianame hazırlanırken veya hüküm kurulurken, gerek başlıklarda ve gerekse içeriklerinde, yasanın zorunlu kılmadığı ve yargılama açısından gerekli olmayan bir çok kişisel veri, gerekli dikkat ve özen gösterilmemesi, kişisel verileri koruma hassasiyetinin ön planda tutulmaması nedeniyle alenileşmekte, kötü niyetli kişilerin kullanımına sunulmaktadır. Örneğin suç örgütü, fuhuş suçu, insan ticareti gibi suç yargılamalarında mağdurların bir çok kişisel verisi iddianame ve mahkeme kararlarına derpiş edilmektedir. Bu suçların özellikleri itibariyle mağdurların mağduriyetleri daha da derinleşip kötüleşebilmekte veya yeni suç mağduriyetlerinin yolu açılabilmektedir.

      Yine siber suç, bilişim suçu, dolandırıcılık suçu, kredi kartlarının kötüye kullanılması suçu bağlamında kötü niyetli kişiler tarafından kullanılmaya müsait çok önemli veriler iddianame ve hükümlerde yer almaktadır. Bu bağlamda kişilere ait kredi kartı bilgileri, ayrıntılı kimlik bilgileri, telefon numaraları gibi veriler sayılabilir.

      CMK'nın 232.maddesine yeterince riayet edilmemektedir. Yasada açıkça hüküm kısmında, sanık dışında, diğer sujelerin sadece ad ve soyadlarını yer verilmesi gerekmesine karşın, UYAP'ın sağladığı kolaylık ve önceden tevarüs edilen yanlış teamüller gereği katılanın, mağdurun, suçtan zarar görenin de ayrıntılı kimlik, adres ve telefon bilgilerine yer verilmektedir.

      Önceden mümkün olmamakla birlikte, KVKK'nın yürürlüğe girdiği tarihten sonra iddianame ve hükümlerde yer verilen ve ceza yargılaması bağlamında zorunlu olmayan kişisel verilerin açıklanması ve alenileştirilmesi nedeniyle bu yasanın 17 ve devamı maddelerinde belirtilen suç ve kabahatlerden dolayı veri sorumlularının mesuliyetleri yoluna gidilebilecektir. Zira savcılık iddianamesi ve mahkeme hükmü "fail ve fiil" ile ilgili olup, gerekli olmadığı halde kişisel verilerin alenileştirilmesini meşru kılmaz ve onları KVKK'nın açık hükümleri karşısında hukuka uygun hale getirmez.