Ipek
New member
[HEADING=1]Panel Legal mi? Kültürler, Toplumlar ve Kişisel Verilerin Hukuki Sınırları[/HEADING]
Bir süredir internette “panel” kelimesini duyuyorum ve açıkçası ilk bakışta masum bir teknik araç gibi algılanabildiğini düşünüyorum. Bir isim, telefon numarası, adres veya başka bir kişisel bilgi birkaç saniye içinde bulunabiliyorsa insanın aklına ister istemez şu soru geliyor: “Bu bilgi internette bir şekilde bulunabiliyorsa, onu toplamak veya başkasına vermek de yasal mı?”
Bence konunun asıl düğüm noktası tam burada.
Türkiye’de “panel” denildiğinde çoğu zaman kişilerin telefon numarası, adresi, kimlik bilgileri veya başka kişisel verilerini sorgulamaya yaradığı iddia edilen sistemler kastediliyor. Ancak “panel” tek başına hukuki bir kategori değil. Bir yazılımın veya veri tabanının legal olup olmadığı; hangi verileri içerdiği, verilerin nereden elde edildiği, hangi amaçla işlendiği, kimlerin erişebildiği ve bu işlemler için hukuki bir dayanak bulunup bulunmadığı üzerinden değerlendirilir.
Dolayısıyla “Panel legal mi?” sorusunun cevabı basitçe “panel evet” veya “panel hayır” şeklinde verilemez. Fakat kişisel verilerin hukuka aykırı şekilde ele geçirilmesi, paylaşılması veya erişime açılması açısından ciddi hukuki sorunlar doğabileceği açık.
[HEADING=1]Türkiye'de Panel Meselesine Hukuken Nasıl Bakılıyor?[/HEADING]
Türkiye açısından konunun merkezinde 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) bulunuyor.
KVKK'da kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi olarak tanımlanıyor. Kanun yalnızca kişinin adını değil, kişiyi belirlenebilir hale getiren çeşitli bilgileri de koruma kapsamına alıyor. Kişisel verilerin elde edilmesi, kaydedilmesi, depolanması, değiştirilmesi, açıklanması veya aktarılması gibi işlemler de “verilerin işlenmesi” kapsamında değerlendirilebiliyor. KVKK+1
Burada önemli bir ayrıntı var: “İnternette bulunabiliyor” demek, “istediğim gibi kullanabilirim” anlamına gelmiyor.
KVKK'nın 5. maddesinde kişisel verilerin işlenmesinin hangi şartlarda mümkün olabileceği düzenleniyor. Açık rıza bunlardan biri olmakla birlikte tek hukuki dayanak değil; kanunda öngörülme, sözleşmenin kurulması veya ifası için gerekli olma, hukuki yükümlülük, bir hakkın tesisi veya korunması ve belirli koşullarda meşru menfaat gibi başka hukuki sebepler de bulunabiliyor. KVKK+1
Bu nedenle bir veri tabanında kişisel bilgilerin bulunması tek başına o veri tabanının hukuka uygun olduğunu göstermiyor.
Dahası, verilerin bir kişiden başka bir kişiye aktarılması da ayrıca hukuki kurallara tabi. KVKK'nın 8. maddesine ilişkin Kurul kararlarında, kişisel verilerin aktarılmasının da belirli hukuki şartlara bağlandığı açıkça görülüyor. KVKK
[HEADING=1]“Sadece Meraktan Baktım” Hukuki Durumu Değiştirir mi?[/HEADING]
İnternet forumlarında bu konu konuşulurken sık rastlanan bir yaklaşım var:
“Ben sadece sorguladım, kimseye zarar vermedim.”
Burada teknik eylem ile hukuki sonuç arasında fark olabilir.
Bir kişinin verisini izinsiz şekilde elde etmek başka, bu veriyi başkalarına dağıtmak başka, ticari amaçla kullanmak ise daha farklı bir durum olabilir. Dolayısıyla “sadece baktım” ifadesi tek başına hukuki değerlendirmeyi ortadan kaldırmaz.
Özellikle verinin kaynağı belirsizse ve sistem kişilerin bilgilerini yetkisiz biçimde topluyor veya erişilebilir hale getiriyorsa mesele yalnızca kullanıcı ile sistem arasındaki ilişki olmaktan çıkar.
Kişisel verilerin korunması bakımından veri sorumlusunun verilerin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişimi önlemek için gerekli teknik ve idari tedbirleri alması gerekiyor. KVKK Kurulu'nun çeşitli kararlarında bu yükümlülük açıkça vurgulanıyor. KVKK
Bu yüzden “paneli kullanan kişi mi sorumlu, paneli işleten mi?” sorusunun da her olayda ayrı değerlendirilmesi gerekiyor.
[HEADING=1]Avrupa'da Aynı Konuya Nasıl Bakılıyor?[/HEADING]
Konu yalnızca Türkiye'ye özgü değil.
Avrupa Birliği'nde GDPR, kişisel verilerin işlenmesine ilişkin temel kurallardan birini oluşturuyor. GDPR'ın 5. maddesi; hukuka uygunluk, adillik ve şeffaflık yanında amaçla sınırlılık ve veri minimizasyonu gibi ilkeleri ortaya koyuyor. 6. madde ise veri işlemenin hukuka uygun sayılabilmesi için belirli hukuki dayanaklardan en az birinin bulunmasını öngörüyor. Eur-Lex
Bu yaklaşımın önemli tarafı şu:
Verinin var olması ile verinin kullanılabilir olması aynı şey değil.
Örneğin bir kişinin sosyal medya hesabında telefon numarasını açıkça paylaşması, başka bir kişinin bu bilgiyi sınırsız biçimde toplayıp farklı amaçlarla dağıtabileceği anlamına gelmeyebilir. GDPR'ın amaç sınırlaması yaklaşımı tam da bu ayrımı ortaya koyuyor. Veriler belirli, açık ve meşru amaçlarla toplanmalı ve bu amaçlarla bağdaşmayan şekilde kullanılmamalı. Eur-Lex
Bu açıdan Türkiye'deki KVKK ile Avrupa'daki GDPR arasında önemli bir ortaklık görülebiliyor: kişisel veri üzerinde mutlak ve sınırsız bir “internet serbestliği” anlayışı bulunmuyor.
[HEADING=1]Amerika'da Durum Neden Biraz Daha Farklı?[/HEADING]
Amerika Birleşik Devletleri'nde kişisel verilerin düzenlenmesi Avrupa'daki GDPR modelinden farklı ve daha parçalı bir yapıya sahip.
Bununla birlikte ABD'de de kişisel bilgi toplayan “people search” siteleri ve veri brokerları uzun süredir tartışılıyor. Federal Trade Commission, bu tür hizmetlerin kamu kayıtları, sosyal medya ve çeşitli ticari kaynaklardan bilgi toplayarak kişiler hakkında kapsamlı raporlar oluşturabildiğini belirtiyor. Bu raporlarda adres geçmişinden aile ilişkilerine, eğitim ve çalışma bilgilerinden çeşitli kamu kayıtlarına kadar farklı bilgiler bulunabiliyor. Tüketici Bilgileri
Buradaki ilginç nokta, teknolojinin farklı kültürlerde benzer bir problemi ortaya çıkarması:
Bir insan hakkında ne kadar bilgi toplanabilir ve bu bilginin sahibi kimdir?
FTC, veri broker sektöründe şeffaflık ve tüketicilerin kendi verileri üzerindeki kontrolü konusunda uzun süredir sorunlara dikkat çekiyor. Federal Trade Commission
Daha yakın dönemde ise ABD'de hassas konum verilerinin satışı ve paylaşımı konusunda FTC'nin veri brokerlarına karşı işlemleri de görüldü. Federal Trade Commission+1
Yani ülkelerin hukuk sistemleri farklı olsa da temel toplumsal tartışma şaşırtıcı derecede benzer.
[HEADING=1]Farklı Kültürlerde “Mahremiyet” Aynı Şey mi?[/HEADING]
Burada kültür faktörü gerçekten önemli.
Bazı toplumlarda bireysel mahremiyet daha güçlü bir kişisel hak olarak ele alınırken, bazı toplumlarda aile, akrabalık, mahalle ve sosyal çevrenin bilgi paylaşımı üzerindeki etkisi daha belirgin olabiliyor.
Örneğin Türkiye'de bir kişinin ailesi, memleketi, medeni durumu veya sosyal çevresi hakkında bilgi sahibi olmak bazı sosyal ortamlarda olağan kabul edilebilir. Fakat bu kültürel alışkanlık, aynı bilgilerin dijital ortamda sınırsız şekilde toplanmasını veya satılmasını otomatik olarak meşru hale getirmiyor.
Japonya gibi güçlü toplumsal uyum normlarının bulunduğu kültürlerde de kişisel ve toplumsal alan arasındaki sınırlar farklı biçimlerde algılanabiliyor. Batı Avrupa'da ise bireyin kişisel verisi ve veri üzerinde kontrol hakkı daha açık biçimde hukuki tartışmanın merkezinde yer alabiliyor.
Burada benim dikkat çekici bulduğum nokta şu: Kültürler mahremiyetin nasıl yaşandığını değiştirebilir ama dijital verinin kötüye kullanılmasından doğan riskleri ortadan kaldırmaz.
Bir süredir internette “panel” kelimesini duyuyorum ve açıkçası ilk bakışta masum bir teknik araç gibi algılanabildiğini düşünüyorum. Bir isim, telefon numarası, adres veya başka bir kişisel bilgi birkaç saniye içinde bulunabiliyorsa insanın aklına ister istemez şu soru geliyor: “Bu bilgi internette bir şekilde bulunabiliyorsa, onu toplamak veya başkasına vermek de yasal mı?”
Bence konunun asıl düğüm noktası tam burada.
Türkiye’de “panel” denildiğinde çoğu zaman kişilerin telefon numarası, adresi, kimlik bilgileri veya başka kişisel verilerini sorgulamaya yaradığı iddia edilen sistemler kastediliyor. Ancak “panel” tek başına hukuki bir kategori değil. Bir yazılımın veya veri tabanının legal olup olmadığı; hangi verileri içerdiği, verilerin nereden elde edildiği, hangi amaçla işlendiği, kimlerin erişebildiği ve bu işlemler için hukuki bir dayanak bulunup bulunmadığı üzerinden değerlendirilir.
Dolayısıyla “Panel legal mi?” sorusunun cevabı basitçe “panel evet” veya “panel hayır” şeklinde verilemez. Fakat kişisel verilerin hukuka aykırı şekilde ele geçirilmesi, paylaşılması veya erişime açılması açısından ciddi hukuki sorunlar doğabileceği açık.
[HEADING=1]Türkiye'de Panel Meselesine Hukuken Nasıl Bakılıyor?[/HEADING]
Türkiye açısından konunun merkezinde 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) bulunuyor.
KVKK'da kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi olarak tanımlanıyor. Kanun yalnızca kişinin adını değil, kişiyi belirlenebilir hale getiren çeşitli bilgileri de koruma kapsamına alıyor. Kişisel verilerin elde edilmesi, kaydedilmesi, depolanması, değiştirilmesi, açıklanması veya aktarılması gibi işlemler de “verilerin işlenmesi” kapsamında değerlendirilebiliyor. KVKK+1
Burada önemli bir ayrıntı var: “İnternette bulunabiliyor” demek, “istediğim gibi kullanabilirim” anlamına gelmiyor.
KVKK'nın 5. maddesinde kişisel verilerin işlenmesinin hangi şartlarda mümkün olabileceği düzenleniyor. Açık rıza bunlardan biri olmakla birlikte tek hukuki dayanak değil; kanunda öngörülme, sözleşmenin kurulması veya ifası için gerekli olma, hukuki yükümlülük, bir hakkın tesisi veya korunması ve belirli koşullarda meşru menfaat gibi başka hukuki sebepler de bulunabiliyor. KVKK+1
Bu nedenle bir veri tabanında kişisel bilgilerin bulunması tek başına o veri tabanının hukuka uygun olduğunu göstermiyor.
Dahası, verilerin bir kişiden başka bir kişiye aktarılması da ayrıca hukuki kurallara tabi. KVKK'nın 8. maddesine ilişkin Kurul kararlarında, kişisel verilerin aktarılmasının da belirli hukuki şartlara bağlandığı açıkça görülüyor. KVKK
[HEADING=1]“Sadece Meraktan Baktım” Hukuki Durumu Değiştirir mi?[/HEADING]
İnternet forumlarında bu konu konuşulurken sık rastlanan bir yaklaşım var:
“Ben sadece sorguladım, kimseye zarar vermedim.”
Burada teknik eylem ile hukuki sonuç arasında fark olabilir.
Bir kişinin verisini izinsiz şekilde elde etmek başka, bu veriyi başkalarına dağıtmak başka, ticari amaçla kullanmak ise daha farklı bir durum olabilir. Dolayısıyla “sadece baktım” ifadesi tek başına hukuki değerlendirmeyi ortadan kaldırmaz.
Özellikle verinin kaynağı belirsizse ve sistem kişilerin bilgilerini yetkisiz biçimde topluyor veya erişilebilir hale getiriyorsa mesele yalnızca kullanıcı ile sistem arasındaki ilişki olmaktan çıkar.
Kişisel verilerin korunması bakımından veri sorumlusunun verilerin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişimi önlemek için gerekli teknik ve idari tedbirleri alması gerekiyor. KVKK Kurulu'nun çeşitli kararlarında bu yükümlülük açıkça vurgulanıyor. KVKK
Bu yüzden “paneli kullanan kişi mi sorumlu, paneli işleten mi?” sorusunun da her olayda ayrı değerlendirilmesi gerekiyor.
[HEADING=1]Avrupa'da Aynı Konuya Nasıl Bakılıyor?[/HEADING]
Konu yalnızca Türkiye'ye özgü değil.
Avrupa Birliği'nde GDPR, kişisel verilerin işlenmesine ilişkin temel kurallardan birini oluşturuyor. GDPR'ın 5. maddesi; hukuka uygunluk, adillik ve şeffaflık yanında amaçla sınırlılık ve veri minimizasyonu gibi ilkeleri ortaya koyuyor. 6. madde ise veri işlemenin hukuka uygun sayılabilmesi için belirli hukuki dayanaklardan en az birinin bulunmasını öngörüyor. Eur-Lex
Bu yaklaşımın önemli tarafı şu:
Verinin var olması ile verinin kullanılabilir olması aynı şey değil.
Örneğin bir kişinin sosyal medya hesabında telefon numarasını açıkça paylaşması, başka bir kişinin bu bilgiyi sınırsız biçimde toplayıp farklı amaçlarla dağıtabileceği anlamına gelmeyebilir. GDPR'ın amaç sınırlaması yaklaşımı tam da bu ayrımı ortaya koyuyor. Veriler belirli, açık ve meşru amaçlarla toplanmalı ve bu amaçlarla bağdaşmayan şekilde kullanılmamalı. Eur-Lex
Bu açıdan Türkiye'deki KVKK ile Avrupa'daki GDPR arasında önemli bir ortaklık görülebiliyor: kişisel veri üzerinde mutlak ve sınırsız bir “internet serbestliği” anlayışı bulunmuyor.
[HEADING=1]Amerika'da Durum Neden Biraz Daha Farklı?[/HEADING]
Amerika Birleşik Devletleri'nde kişisel verilerin düzenlenmesi Avrupa'daki GDPR modelinden farklı ve daha parçalı bir yapıya sahip.
Bununla birlikte ABD'de de kişisel bilgi toplayan “people search” siteleri ve veri brokerları uzun süredir tartışılıyor. Federal Trade Commission, bu tür hizmetlerin kamu kayıtları, sosyal medya ve çeşitli ticari kaynaklardan bilgi toplayarak kişiler hakkında kapsamlı raporlar oluşturabildiğini belirtiyor. Bu raporlarda adres geçmişinden aile ilişkilerine, eğitim ve çalışma bilgilerinden çeşitli kamu kayıtlarına kadar farklı bilgiler bulunabiliyor. Tüketici Bilgileri
Buradaki ilginç nokta, teknolojinin farklı kültürlerde benzer bir problemi ortaya çıkarması:
Bir insan hakkında ne kadar bilgi toplanabilir ve bu bilginin sahibi kimdir?
FTC, veri broker sektöründe şeffaflık ve tüketicilerin kendi verileri üzerindeki kontrolü konusunda uzun süredir sorunlara dikkat çekiyor. Federal Trade Commission
Daha yakın dönemde ise ABD'de hassas konum verilerinin satışı ve paylaşımı konusunda FTC'nin veri brokerlarına karşı işlemleri de görüldü. Federal Trade Commission+1
Yani ülkelerin hukuk sistemleri farklı olsa da temel toplumsal tartışma şaşırtıcı derecede benzer.
[HEADING=1]Farklı Kültürlerde “Mahremiyet” Aynı Şey mi?[/HEADING]
Burada kültür faktörü gerçekten önemli.
Bazı toplumlarda bireysel mahremiyet daha güçlü bir kişisel hak olarak ele alınırken, bazı toplumlarda aile, akrabalık, mahalle ve sosyal çevrenin bilgi paylaşımı üzerindeki etkisi daha belirgin olabiliyor.
Örneğin Türkiye'de bir kişinin ailesi, memleketi, medeni durumu veya sosyal çevresi hakkında bilgi sahibi olmak bazı sosyal ortamlarda olağan kabul edilebilir. Fakat bu kültürel alışkanlık, aynı bilgilerin dijital ortamda sınırsız şekilde toplanmasını veya satılmasını otomatik olarak meşru hale getirmiyor.
Japonya gibi güçlü toplumsal uyum normlarının bulunduğu kültürlerde de kişisel ve toplumsal alan arasındaki sınırlar farklı biçimlerde algılanabiliyor. Batı Avrupa'da ise bireyin kişisel verisi ve veri üzerinde kontrol hakkı daha açık biçimde hukuki tartışmanın merkezinde yer alabiliyor.
Burada benim dikkat çekici bulduğum nokta şu: Kültürler mahremiyetin nasıl yaşandığını değiştirebilir ama dijital verinin kötüye kullanılmasından doğan riskleri ortadan kaldırmaz.