6698 Sayılı Kişisel Verilerin Korunması Kanunu uyarınca Türk ticaret şirketlerinin yükümlülükleri

Türkiye'de kişisel verilerin korunması alanındaki genel düzenleme niteliğini haiz olan ilk kanun, 6698 sayılı Kişisel Verilerin Korunması Kanunu'dur. Kanun 07.04.2016 tarihli Resmi Gazete'de yayımlanmıştır. Kanun ile öngörülen sistem uyarınca Kişisel Verileri Koruma Kurumu oluşturulmuş ve bazı görev ve yetkiler de bu kuruma tanınmıştır. Ülkemizde, kişisel verilerin korunması hukukunun yaygınlaşmasında Kişisel Verileri Koruma Kurumu'nun verdiği kararların etkisi büyüktür. Kişisel Verileri Koruma Kurulu kararları incelendiğinde, idari yaptırım uygulanan veri sorumlusu genellikle bir şirkettir. Özellikle de belirli bazı yabancı şirketler dışında yaptırıma maruz kalan kesimin çok büyük bir oranda Türk ticaret şirketleri olduğu dikkat çekmektedir. Bu nedenle, kişisel verilerin korunması hukuku kapsamında bir veri sorumlusunun yerine getirmesi gereken yükümlülükleri, Türk ticaret şirketleri özelinde ele almayı tercih ettik ve çalışmamızda kamu kurumlarını, gerçek kişileri, yabancı şirketleri ele alıp konuyu dağıtmak yerine Türk ticaret şirketlerine odaklandık. Bu yaklaşımın bir sonucu olarak tez çalışmamızın konusunu "6698 Sayılı Kişisel Verilerin Korunması Kanunu Uyarınca Türk Ticaret Şirketlerinin Yükümlülükleri" olarak belirledik. Çalışmamızda veri sorumlusu kavramını sıklıkla kullanmakla birlikte örneklerimizi mümkün mertebe bir şirket üzerinden verilmesine gayret gösterdik. Aynı şekilde ele aldığımız kararların büyük bir kısmında da örnek teşkil etmesi açısından yaptırım uygulanan veri sorumlusunun bir şirket olmasına gayret gösterdik. Çalışmamızın giriş bölümünde kişisel verilerin korunması hukukunun tarihçesi, ulusal ve uluslararası kaynaklar konusunu ele ala aldık. Özellikle kişisel verilerin korunması alanında dünyada farklı yaklaşımlar benimsendiği için önce kişisel verilerin korunması hukukunun doğuşunu, akabinde ülkemizde ve diğer ülkelerdeki gelişimi ve en nihayetinde uluslararası hukuktaki gelişimi ele aldık. Çalışmamızın birinci bölümünde kanuna ilişkin temel kavramlar, temel ilkeler ve kanunda yer alan kişisel veri işleme şartlarını ele aldık. Temel kavramları çok kapsamlı bir şekilde incelemeye gayret gösterdik. Zira Kişisel Verilerin Korunması Kanunu kapsamında idari para cezası yaptırımına maruz kalma riski taşıyan şirketler tarafından Kişisel Veriler Koruma Kurulu'na sunmuş olunan çoğu savunmanın temel kavramlar üzerine kurgulandığını tespit ettik. Örneğin yaptırıma maruz kalma ihtimali doğan şirket, veri sorumlusu olmadığını öne sürebilmekte ya da veri işleme faaliyetinin alenen cezayı gerektirdiği durumlarda cezadan kurtulma gayesi ile gerçekleştirilen eylemin kişisel veri işleme faaliyeti olmadığını zira ortada bir veri kayıt sistemi bulunmadığını ileri sürebilmektedir. Özellikle kimin veri sorumlusu olduğu kimin veri işleyen olduğu Kişisel Verileri Koruma Kurulu tarafından yayınlanan birçok kararda, rehberde ve duyuruda yer bulmuş bir konudur. Hatta bir adım daha geriye gidecek olursak bazı uyuşmazlıklarda ortada bir kişisel veri bulunup bulunmadığı dahi tartışabilmektedir. Dolayısıyla kişisel verilerin korunması hukuku alanında temel kavramların çok iyi idrak edilmesi gerekmektedir. Temel kavramların iyi anlaşılması aynı zamanda kanundaki yükümlülüklerin kim tarafından yerine getirileceği ve yükümlülüğün bulunup bulunmadığı sorularının da cevabını bizlere verecektir. Örneğin bir eylemin kişisel veri işleme faaliyeti olarak tanımlanmaması durumunda kanunda belirtilen herhangi bir veri işleme şartına dayanmaya ihtiyaç bulunmayacaktır. Öte yandan eğer bir veri işleme faaliyeti söz konusuysa bunun bir veri işleme şartına dayanması gerekecektir. Öyleyse ilk değerlendirilmesi gereken husus, gerçekleştirilen eylemin kişisel verilerin işlenmesi olarak tanımlanıp tanımlanmayacağıdır. Ya da Kişisel Veriler Koruma Kurulu'nun, önüne gelen bir uyuşmazlıkta idari para cezası yaptırımı uygulamak istediği takdirde muhatabı, veri sorumlusudur. Bu nedenle Kişisel Verileri Koruma Kurulu'nun ilk tespit etmesi gereken veri sorumlusunun kim olduğudur. Bazı olaylarda veri sorumlusunun tespiti gerçekten de çok zor bir hal alabilmektedir. Dolayısıyla temel kavramlar, diğer kanunlardan farklı olarak Kişisel Verilerin Korunması Kanunu açısından çok büyük bir öneme sahiptir. Bu nedenle de mümkün olabilecek en detaylı şekilde ele alınmaya çalışılmıştır. Birinci bölümde ele aldığımız bir diğer başlık ise genel ilkelerdir. Genel ilkeler, birçok Kişisel Verileri Koruma Kurulu kararına konu olmuş ve birçok şirketin idari yaptırıma maruz kalmasına sebebiyet teşkil etmiş önemli bir konudur. Konunun öneminin bir nedeni de veri sorumlusu tarafından kanunda belirtilen bir veri işleme şartına dayanılsa dahi eğer veri işleme faaliyeti genel ilkelere uygunluk teşkil etmiyorsa gerçekleştirilen veri işleme faaliyetinin kanuna aykırı olmasıdır. Ayrıca genel ilkeler, kişisel veri işleme faaliyeti kapsamında her süreçte göz önünde bulundurulması gereken ilkeler olduğundan aslında bir veri sorumlusu kendisine sürekli yaptığı işlemin genel ilkelere uygun olup olmadığını sormalıdır. Çalışmanın bu bölümünde genel ilkeler konusunu özellikle Kişisel Verileri Koruma Kurulu kararları ışığında ele almaya gayret gösterdik. Zira ilkeler konusu genel itibariyle soyut bir konu olduğu için çalışmanın somutlaştırıcı olabilmesi adına birçok karara konu olay çalışmamızın bu bölümünde ele alınmıştır. Birinci bölüm içerisinde son ele aldığımız konu ise kişisel verilerin işlenme şartlarıdır. Kanun koyucu, ikili bir ayrıma gitmek suretiyle genel nitelikteki kişisel verilerin işlenme şartları ile özel nitelikli kişisel verilerin işlenme şartlarını ayrı ayrı düzenlemiştir. Biz de çalışmamızın bu bölümünde kanun koyucunun yaptığı temel ayrımı esas alarak konuyu ele aldık. Ayrıca konuyu Kişisel Verileri Koruma Kurulu kararları ışığında örneklerle sunmaya gayret gösterdik. Özellikle Kişisel Verileri Koruma Kurulu'nun birçok kararında veri sorumlusunun hiçbir veri işleme şartına dayanmadan kişisel veri işlemesi ya da açık rıza alması gerektiği halde açık rıza almadan kişisel veri işlemesi gibi konular sürekli tekrar ettiğinden uygulamada da şirketleri en çok zorlayan konunun doğru kişisel veri işleme şartını tespit etmek olduğunu gözlemledik. Uygulamada, gerek birlikte çalışma fırsatı bulduğumuz şirketlerden gerekse bu konuda danışmanlık hizmeti sunan meslektaşlarımızdan aldığımız soruların özellikle açık rıza almak gerekip gerekmediği ya da veri işleme faaliyetinin meşru menfaat kapsamında ele alınıp alınamayacağı hususları olduğunu da belirtmek isteriz. Bu nedenle kişisel veri işleme şartlarının doğru anlaşılabilmesi, doğru veri işleme şartının tespitinin ilk basamağını oluşturmaktadır. Belirttiğimiz sebepler uyarınca çalışmamızın bu bölümünde mümkün mertebe örnekler üzerinden ilerlemeye ve Kişisel Verileri Koruma Kurulu kararlarına yer vermeye gayret gösterdik. Çalışmamızın ikinci bölümünde, tezimizin de adını oluşturan Türk ticaret şirketlerinin 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamındaki yükümlülüklerini ele aldık. İkinci bölümde aydınlatma yükümlülüğü, VERBİS kayıt yükümlülüğü, veri güvenliğine ilişkin yükümlülükler, ilgili kişiler tarafından yapılan başvuruların cevaplanması yükümlülüğü, kurul kararlarının yerine getirilmesi yükümlülüğü, imha yükümlülüğü konularını ele alıp en nihayetinde bu yükümlülükleri 6102 sayılı Türk Ticaret Kanunu m. 1524, m. 64, m. 82, m. 55, m. 366 ve 375 ışığında değerlendirdik. Bu bölümde ele aldığımız ilk yükümlülüklerden birisi, kişisel verilerin hukuka aykırı olarak işlenmesini önleme yükümlülüğüdür. Kişisel verilerin hukuka aykırı olarak işlenmesini önleme yükümlülüğünün temelinde veri sorumlusunun doğru veri işleme şartını tespit etmesi ve buna dayanarak veri işleme faaliyetini gerçekleştirmesi yer almaktadır. Biz de bu doğrultuda önce kanun koyucunun Türk ticaret şirketlerinden beklentisini, olması gerekeni açıkladıktan sonra Kişisel Verileri Koruma Kurulu kararları ışığında hangi hallerde bu yükümlülüğünün ihlal edildiğine dair kanaat getirildiği konularını ele aldık. Ayrıca bu bölümde kişisel verilere hukuka aykırı olarak erişilmesini önleme yükümlülüğüne de kapsamlı bir şekilde yer verdik. Özellikle bu konuyu, şirket nezdinde belirli idari ve teknik tedbirleri almayı gerektirdiğinden Kişisel Verilerin Korunması Kanunu kapsamında alınabilecek idari ve teknik tedbirleri belirtmek suretiyle ele aldık. Hemen belirtmek gerekir ki bir kişisel veriye hukuka aykırı olarak erişim sağlandığı takdirde Kişisel Verileri Koruma Kurulu her halükarda bu yükümlülüğün yerine getirilmediğinden bahisle idari para cezası yaptırımı uyguladığı için kararlara konu olan olaylarda nelerin eksik yapıldığını tespit etmeye ve çözüm önerileri sunmaya gayret gösterdik. Zira Kişisel Verileri Koruma Kurulu, kararlarının büyük kısmında hukuka aykırılığı yalnızca tespit etmekle yetinmekte fakat olaya bir çözüm önerisi sunmamaktadır. Genellikle hukuka aykırılığı tespit ettiği noktalar da Türk ticaret şirketlerinin sıklıkla başvurduğu usul ve yöntemlerdir. Hal böyle olunca çalışmamızın bu bölümünde yükümlülüğün yerine getirilmesi için önerilerimize de yer verdik. Çalışmamızın temelinde, yükümlülüklere odaklanmakla birlikte elbette Türk ticaret şirketleri açısından bu yükümlülüğü yerine getirecek olan bir gerçek kişidir. Öte yandan, Kişisel Verileri Koruma Kurulu tarafından hükmedilebilecek idari para cezasının muhatabı her zaman veri sorumlusudur. İhlal, tamamen bir çalışanın kusurundan kaynaklansa dahi yaptırımın muhatabı şirket olacağı için bunun bir sonucu olarak rücu konusu sıklıkla karşımıza çıkmaktadır. Bu gibi durumlarda şirketin çalışanına rücu edebileceği çok açıktır. Öte yandan, şirket nezdinde bariz bir veri ihlali olmamakla birlikte Kişisel Verilerin Korunması Kanunu'na uyumluluk kapsamında hiçbir adım atılmamış olabilir, bir çalışma yapılmış fakat eksik kalmış olabilir ya da en sık karşılaşılan durum olan bir çalışma yapılmış fakat kağıt üzerinde kalmış olabilir. İşte bu gibi durumlarda sorumluluğun kimde olacağı konusunu da çalışmanın bu bölümünde ve çalışma kapsamı dışına çıkmadan genel hatlarıyla ele almaya çalıştık. Konuyu Türk ticaret şirketlerinin dinamik yapısına, ticaret hayatının gerekliliklerine uygun olarak değerlendirmeye gayret gösterdik. Belirtmek gerekir ki Kişisel Verilerin Korunması Kanunu kapsamında gerçekleşebilecek hukuka aykırılık ihtimali son derece fazladır. Hukuka aykırılığın bir çalışanın kusurundan kaynaklanması halinde bunu tespit etmek kolaydır. Fakat açıkça bir hukuka aykırılıktan ziyade ihmalden ya da eksiklikten kimin sorumlu olduğunu tespit etmek nispeten daha zordur. Bu nedenle bu alana gönül veren hukukçuların, onların bilgilerine oranla bilgimin okyanusta bir damla olduğu doktrine ufak da olsa bir katkı sağlamak amacıyla bu bölümün sonunda kendi kanaatlerimize de yer verdik. Çalışmanın tamamında Kişisel Verileri Koruma Kurumu tarafından yayınlanan rehberlere, Kişisel Verileri Koruma Kurulu kararlarına sıklıkla atıfta bulunduk. Bunu bütün bölümlerde yapmaya gayret gösterdik. Zira çalışmamızın konusunu teşkil eden kanun, sadece yedi senelik geçmişi olan bir kanundur. Kişisel verilerin korunmasına yönelik yargı kararlarına bakıldığında, 6698 sayılı Kişisel Verilerin Korunması Kanunu'ndan ziyade sıklıkla genel ilkeler uyarınca değerlendirme ve tespitlerde bulunulduğu anlaşılmaktadır. Kanunu'nun sadece yedi sene önce yayımlandığı, ülkemizde yargılama sürecinin de çok uzun sürdüğü göz önünde bulundurulduğunda çalışma yaptığımız alan çok fazla yargı kararına konu olmuş bir alan değildir. Öte yandan, Kişisel Verileri Koruma Kurumu bütün kararlarını kanun kapsamında ele almakta, kanunu anlaşılabilir kılmak için birçok rehber, duyuru ve video yayınlamaktadır. Hal böyle olunca çalışmamızda en çok istifade ettiğimiz kaynak Kişisel Verileri Koruma Kurumu'nun belirtilen basılı ve dijital kaynakları olmuştur. Netice itibariyle ülkemiz için çok yeni olan Kişisel Verilerin Korunması Kanunu kapsamında Türk ticaret şirketlerinin yükümlülüklerini, önce teorik açıklamalar, akabinde doktrindeki görüşler ve en nihayetinde Kişisel Verileri Koruma Kurulu kararları ışığında uygulamaya yönelik çözüm önerimizle ele almaya gayret gösterdik