Kişisel Verilerin Korunması Kanunu'nda istisna rejimi: AB uygulaması çerçevesinde bir inceleme

Bu çalışma, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 28. maddesinde düzenlenen istisna rejimini bütüncül bir yaklaşımla inceleyerek, kişisel verilerin korunması hakkının ne ölçüde ve hangi kriterler çerçevesinde sınırlanabileceğini ortaya koymayı amaçlamaktadır. 6698 sayılı Kanun'da yer alan yükümlülükler ve hakları devre dışı bırakan bu istisnalar, tam ve kısmi muafiyet öngörecek şekilde düzenlenmektedir. 6698 sayılı Kanun'un 28. maddesi, kişisel verilerin korunmasını isteme hakkı ile diğer temel hak ve özgürlükler veya devlete yüklenen birtakım ödevler arasındaki denge arayışını da düzenlemektedir. Tez çalışması, 28. maddede yer alan istisna hükümlerinin kapsamını ve pratik sonuçlarını inceleyerek, bunların gerek ulusal gerekse de Avrupa Birliği (AB) mevzuatıyla ne kadar uyumlu olduğunu araştırmaktadır. Çalışma kapsamında ilk olarak, temel hak ve özgürlüklerin sınırlandırılması rejimine değinilmiştir. Sonrasında 6698 sayılı Kanun'un ve Genel Veri Koruma Tüzüğü'nün genel sistematiğinde istisna hükümlerinin ele alınış biçimi ortaya konulmuştur. Buna ilave olarak tam istisna ile kısmi istisna hükümleri ayrı başlıklar altında sırasıyla ele alınmıştır. Bu plan, istisna hükümlerinin her birinin niteliği ve hangi durumlarda uygulanabileceği konusunda sistematik bir bakış sağlamaktadır. Çalışma boyunca bu hükümlerin yorumu ve uygulamasına ilişkin olarak yargı mercilerinin ve idari otoritelerin kararları da değerlendirilmiştir. Bu sayede, teorik ve pratik yönleriyle istisna hükümlerin işleyişi ortaya konulmaya çalışılmıştır. Çalışmanın yöntemsel çerçevesi büyük ölçüde karşılaştırmalı hukuka dayanmaktadır. Bu doğrultuda, bir taraftan Anayasa'da yer alan temel hak ve özgürlüklerin sınırlanması rejimine ilişkin özellikle ölçülülük, hakkın özüne dokunmama ve kanunilik kriterleri çerçevesinde, 6698 sayılı Kanun'un 28. maddesinin söz konusu anayasal ilkelerle tutarlılığı sorgulanmıştır. Öte yandan, AB düzenlemeleri özellikle Genel Veri Koruma Tüzüğü ışığında, benzer istisnaların hangi kapsamda öngörüldüğü ve hangi sınırlamalarla uygulandığı incelenmiştir. AB hukukunda istisnalara ilişkin yerleşik kriterler ve AB Adalet Divanı kararları da mercek altına alınarak, hangi noktalarda Türk ve AB hukukunun benzerlik gösterdiği, hangi noktalarda ise ayrıştığı ortaya konulmuştur. Böylece, 6698 sayılı Kanun'un hazırlanmasında esas alınan AB mevzuatına uygunluk düzeyine yönelik somut tespitler de ortaya konulmuştur. Tezde elde edilen en önemli bulgulardan biri, 6698 sayılı Kanun'da tam istisnalara tabi faaliyetlerin kapsamının oldukça geniş şekilde ve yeterli ölçüde belirlilikten uzak şekilde düzenlenmiş olmasıdır. Bu doğrultuda, kişilerin kendisi veya aile fertlerine yönelik faaliyetlerini ele alan istisnanın düzenlenme biçimi, bireylerin özel hayatına kişisel verilerin korunması amacıyla gereğinden fazla müdahale edilmesi riskini doğurabilecek bir niteliğe sahiptir. Kamu kurumlarının önleyici, koruyucu ve istihbari nitelikteki kişisel veri işleme faaliyetleri, geniş niteliğe sahip kavramlar ile Kanun'dan muaf tutulmakta; böylece kişilerin hak arama yolları daralmaktadır. Ayrıca 6698 sayılı Kanun'da yargılama faaliyetlerine ilişkin kapsamlı bir muafiyet tanınmış olmakla birlikte, AB hukukunda mahkemelerin bağımsızlığına saygı göstermek kaydıyla belirli veri koruma tedbirlerinin uygulanabildiği görülmektedir. Kişisel Verileri Koruma Kurulu'nun istisnanın kapsamını daraltmaya yönelik yaklaşımı da kimi hallerde, mahkemenin bağımsızlığı ile savunma hakkının kullanımına yönelik ölçüsüz bir kısıtlamaya yol açma riski barındırmaktadır. Resmî istatistik ve bilimsel araştırma istisnaları bakımından da benzer durum söz konusudur. AB hukukunda, özellikle kanunilik ve ölçülülük ilkeleri kapsamında öngörülen veri güvenliği tedbirleri ile istisna dışında bırakılan bazı haklar istisnanın kapsamını daraltmaktadır. Türk hukuku bu konuda daha katı bir muafiyet rejimine sahiptir. Kısmi istisnalara ilişkin olarak, öncelikle suç işlenmesinin önlenmesi veya suç soruşturması kapsamındaki kişisel veri işleme faaliyetlerine yönelik istisnanın büyük ölçüde kolluk tarafından yapılan işlemlere uygulanacağı söylenebilecek ise de buna ilişkin net kriterler bulunmamaktadır. Alenileştirme faaliyetlerine yönelik istisnanın AB düzenlemelerinden oldukça farklı şekilde düzenlendiği söylenebilecektir. Öte yandan alenileştirme kavramının Kişisel Verileri Koruma Kurulu'nun içtihadıyla kapsamının daraltılmaya çalışıldığı tespit edilmiştir. Kamu kurum ve kuruluşlarının denetleme, düzenleme ve disiplin süreçleri ile devletin ekonomik ve mali çıkarlarının korunmasına yönelik getirilen istisnaların da hangi kapsamda uygulanacağı, hangi koruyucu tedbirlerin mevcut olması gerektiği noktasında net sınırlara sahip olmadığı ifade edilebilecektir. Tüm bu bulgular çerçevesinde çalışma, 28. maddenin kapsam ve sınırlarının, AB düzenlemeleri ile daha uyumlu hâle getirilmesi gerektiği sonucuna varmaktadır. Öncelikle hangi faaliyetlerin tam istisnaya, hangilerinin kısmi istisnaya konu olduğuna dair yasal çerçevenin daha ayrıntılı ve belirli olması önerilmektedir. AB hukukunda olduğu şekilde, ilgili kişilerin hakları, kategorik bir muafiyete tabi olmak yerine ölçülülük kriteri temelinde sınırlandırılmalıdır. Veri sorumlularının özellikle ulusal güvenlik, kolluk ve yargılama faaliyetleri gibi konularda en azından asgari denetim önlemlerine tabi olması gerektiği vurgulanmaktadır. İstisnaların belirlilik, öngörülebilirlik ve ölçülülük kriterlerine uygun düzenlenmesi, bireylerin temel hakları ile kamu kurumlarının meşru amaçlarla gerçekleştirdikleri veri işleme faaliyetlerini daha dengeli bir zeminde uzlaştıracaktır. Nitekim AB hukukundaki yaklaşım, tam ya da kısmi istisnaların sınırlı şekilde uygulanmasını ve mutlaka ek güvencelerle desteklenmesini gerektirmektedir. Sonuç olarak, bu çalışma, 6698 sayılı KVKK'nin 28. maddesinde yer alan istisnaların geniş yorumlanması hâlinde kişisel verilerin korunması hakkına yönelik korumanın ciddi ölçüde zayıflayabileceğini göstermektedir. Zira istisna rejimi mevcut haliyle birçok etkin koruma mekanizmasını devre dışı bırakabilecek bir niteliğe sahiptir. Bu durumun önlenmesi adına gerek mevzuatsal değişikliklerin yapılması gerekse de yargı mercileri ve Kişisel Verileri Koruma Kurulu aracılığıyla ek kriterler konulması uygun olacaktır. Böylece, kamu yararı ve temel hakların korunması arasındaki dengenin sağlanması ve 6698 sayılı Kanun'un AB mevzuatıyla uyumunun artırılması mümkün olacaktır.