Kişisel verilerin sözleşmeye konu olması

Verilerin internet ortamında hızlı biçimde transfer edilebiliyor olması temelinin verilerin oluşturduğu yeni bir ekonomik modelin gelişmesine neden olmuştur. Şüphesiz bu verilerin önemli bir kısmını da kişisel veriler oluşturmaktadır. Bu ekonomik model bir yandan toplumun refah seviyesinin yükselmesi için önemli fırsatlar vadetse de diğer bir taraftan insanların kişisel bütünlüklerine saygı bakımından önemli endişelere yol açmaktadırlar. Ancak bu tez altında kişisel verilerin kişilik hakları bakımından yeri değil, bu ekonomik model kapsamında kurulan sözleşmelerin sözleşme hukukundaki yeri tartışılacaktır. İnsanların birçok dijital hizmet ve içerikten para ödemeden, ancak kişisel verilerini sağlayarak yararlanması çokça karşılan bir sözleşme modeli haline gelmiştir. Elinizdeki tez bu sözleşme modellerini aşağıda özetlenen başlıkla altında ele almak için yazılmıştır. Bu kapsamda, öncelikle kişisel verilerin korunması hukuku rejimi anlatılmak istenmiştir. Bu amaç için Türk hukuku ve Avrupa Birliği (AB)'ndeki durum doktrindeki makaleler, doktrindeki şerhler, veri koruma kurumlarının rehberleri, veri koruma kurumlarının kararları, mahkeme kararları gibi birçok farklı kaynak ışığında ele alınmıştır. Tezin ana tartışmalarının yapıldığı ikinci kısımda ise sözleşme hukukunun yerleşik kurumları öğretideki temel kaynakların birçoğundan istifade edilerek açıklanmıştır. Daha sonra bunlar ile tezin konusunu oluşturan kişisel verileri konu edinen sözleşmeler arasındaki ilişkiler özellikle karşılaştırmalı hukuktaki gelişmeler tartışılmıştır. Özellikle aşağıda değinilecek olan yeni AB hukuku düzenlemeleri bu konudaki tartışmaları canlandırmış ve birçok AB üyesi ülkeyi bu konuda adım atmaya yöneltmiştir. Bu ülkelerin çalışmaları bu tez için de ilham verici olmuştur. Günümüzde kişisel verileri konu edinen bu ilişkiler daha çok özel hayata saygı hakkı çerçevesinde kişisel verilerin korunması hukuku kapsamında ele alınmaktadır. Buna karşın artık kişisel veriler karşılığında temellerinde tamamen ekonomik motivasyonlar bulunan özel hukuk ilişkileri kurulmaktadır. Bu yüzden kişisel verilerin sadece kişisel verilerin korunması hukuku bakış açısından ele alınmasının ne kadar yeterli olduğu esasında tartışmalıdır. Ancak bu tartışmayı yapmak için ilk olarak kişisel verilerin korunması hukukunun getirdiği rejimi anlamak gerekir. Bu kapsamda Kişisel Verilerin Korunması Kanunu (KVKK) ve Genel Veri Koruma Tüzüğü (General Data Protection Regulation [GDPR]) hükümlerine bakıldığında ilgili kişilere bilgi alma, verilerin silinmesini talep etme, rızanın geri çekilmesi gibi hakların verildiği görülür. Diğer taraftan ise veri sorumlularının veri işleme ilkelerini uygun faaliyet yürütme, veri güvenliği için gerekli tedbirleri alma gibi sorumlulukları yükler. Bunlar her ne kadar ilgili kişilerin haklarının korunması hukuku bakımından önemli olsalar bile yine de ilgili kişiler ve veri sorumluları arasındaki sözleşme ilişkisinin özelliklerini yeterince karşılamamaktadırlar. Bu nedenle artık veri ekonomisinin gerçeklerini daha iyi yansıtacak düzenlemelerin arayışına girilmiştir. Avrupa Birliği Tüketici Hakları Yönergesinde (Consumer Rights Directive [CRD]) yapılan değişiklikler ile sadece karşılığında para değil kişisel veri sağlanan sözleşmeler de tüketici işlemi kapsamında sayılmıştır. Benzer biçimde Dijital İçerik Yönergesi (Digital Content Directive [DCD]) kapsamına karşılığında para yerine kişisel veri sağlanan hukuki işlemler de alınmıştır. Ancak hukukumuzda doğrudan bir karşılığı olmayan bu yönergeler dahi sözleşmenin niteliği, geçerliliği, sona ermesi gibi birçok tartışmalı konuyu düzenlemek yerine devletlerin iç hukukuna bırakmayı tercih etmişlerdir. Bu durum sözleşme hukuku rejimi ile karşılığında kişisel veri sağlanan bu sözleşmelerin değerlendirilmesini zorunlu kılar. Bu değerlendirmenin öncesinde kişisel verilerin üzerinde kişilerin sahip oldukları hakkın nitelendirilme çalışmasının yapılması gerekir. Bu konuda doktrinde bu hakkın bir kişilik hakkı olduğu, mülkiyet hakkı olduğu, fikri mülkiyet hakkı gibi bir hak olduğu, bunun veri iş gücü olarak kabul edilmesi gerektiği ve son olarak veri üzerinde yönetim hakkı olduğu ileri sürülmüştür. Bu çalışmada veriden ekonomik olarak yararlanma hakkı tanınmadığı sürece kişisel veri üzerindeki hakkın salt kişilik hakkı olarak değerlendirilmesinin mümkün ve yerinde olmadığı, bu yüzden veri üzerindeki hakkın veri iş gücü olarak değerlendirilmesi gerektiği sonucuna varılmıştır. Sözleşme ilişkisi içinde artık bir kullanıcı olan ilgili kişinin ve sağlayıcı olan veri sorumlusunun sözleşmesel hak ve sorumluluklarını tanımlayabilmenin mümkün olması için bu sözleşe ilişkisinin vasıflandırmasının öncelikle yapılması gerekir. İlk olarak, kullanıcıların sağladıkları kişisel verilerin ekonomik bir değeri olduğu göz önüne alındığında bu sözleşmelerin ivazlı sözleşmeler oldukları kabul edilmelidir. Başka bir deyişle bu sözleşmeler sağlayıcıların kullanıcılar lehine yaptıkları karşılıksız kazandırmalar olarak değerlendirilemez. Bu sözleşmelerin kanunda düzenlenmiş tip sözleşmelerden hangisinin içine gireceği tespiti daha zordur. Esasında kanunumuzda karşı edimi veri olan bir sözleşme türü bulunmamaktadır. Bu yüzden söz konusu sözleşmelerin sui generis bir yapısı olduğu görülmektedir. Buna karşın bu sözleşmelere kıyasen uygulanabilecek sözleşme türleri ele alınabilir. Kanunlarımızda düzenlenen sözleşme tiplerinden en çok vekalet sözleşmesi hükümlerinin bu sözleşmelere uygulanması mümkün gözükmektedir. Tarafların her zaman sözleşmeyi sona erdirebiliyor olması, sağlayıcının bir sonuç borçlanmaması gibi hususlar bu sonucu destekler niteliktedir. Sözleşmenin nasıl vasıflandırıldığından bağımsız olarak bunların birer tüketici işlemi olduğunu kabul etmek gerekir. Bundan sonraki aşamada kişisel verilerin konu olduğu sözleşmelerin nasıl kurulduğunu incelemek gerekir. Bilindiği üzere sözleşmeler kıta Avrupası ülkelerinde karşılıklı birbirine uygun öneri ve kabul beyanları ile kurulmaktadır. Sağlayıcıların dijital içerik ve hizmetlerini internet ortamına koymalarını bir öneri beyanı olarak kabul etmek gerekir. Diğer taraftan bu hizmet veya içeriklere üye olurken sözleşme koşullarının kabul edildiğini ifade eden kutucuklara tıklanması açık kabul beyanı teşkil edecektir. Hizmet ve içeriklere üye olmadan onları doğrudan kullanma durumu ise ayrıca değerlendirilmelidir. Bu kullanımlar bakımından bağlanma iradesi çoğu zaman eksik olacağı için bunlar kabul beyanı teşkil etmezler. Ancak güven teorisi uyarınca bu kullanımların iradeyi ortaya koyan davranış olarak kabulü ve bu şekilde sözleşmenin kurulduğunun kabul edilmesi mümkündür. Kullanıcıların salt kişisel verilerin kullanımına rıza gösterdiklerini beyan etmiş olmaları ise kabul beyanı olarak değerlendirilemez. Bunlar dışında, öneri ve kabul beyanının tespitinin ötesinde irade uyuşmasının varlığı dahi tek başına sorunlu bir durum teşkil etmektedir. Kullanıcıların hizmet ve içeriklerden "ücretsiz" yararlandığının sağlayıcılar tarafından beyan edilmesi ancak aslında kullanıcıların bu hizmet ve içerikleri bir karşılık ödeyerek (kişisel veri sağlama) kullanıyor olması bu noktada tartışılmalıdır. Zira bu durumda hizmetten karşılık ödemeden yararlandığını zanneden kullanıcı aslında bir karşılık öngören bir sözleşme için irade açıklamaktadır. Ancak burada da güven teorisi uyarınca taraflar arasında en azından farazi olarak bir irade uyuşması olduğunu kabul etmek ve böylece sözlemenin kurulduğunu kabul etmek gerekir. Sözleşmenin kurulduğunun tespitinden sonra bu sözleşmenin geçerliliğinin de ayrıca tartışılması gerekir. Bu kapsamda ilke olarak kişisel verilerin korunması hukukuna aykırı olan sözleşme maddelerinin akıbeti gerek hukuki imkansızlık gerek de emredici hükümlere aykırılıktan geçersizlik olacaktır. Geçersizlik sonucunu doğurabilecek bir diğer husus ise verinin işlenmesine gösterilecek rızanın kişilik haklarına aykırı olmasıdır. Bu durumda sözleşme Türk Medeni Kanunu (TMK) madde 23 sınırlarını aştığı için Türk Borçlar Kanunu (TBK) madde 27 uyarınca kesin hükümsüz olacaktır. Sözleşmenin geçerliliğini etkileyecek diğer bir husus ise taraflardaki ehliyet eksikliğidir. Tam ehliyetsizler bakımından onların menfaatlerine bakılmalı, eğer tam ehliyetsizin menfaati gerektiriyorsa yasal temsilcisinin bu sözleşmeleri kurabileceği ve tam ehliyetsizin kişisel verilerinin işlenmesine rıza gösterebileceği kabul edilmelidir. Sınırlı ehliyetsizler bakımından da özellikle küçüklerin korunması amacıyla gerek sözleşmenin kurulması gerek de kişisel verilerin işlenmesine gösterilecek rıza için yasal temsilcinin rızası aranmalıdır. Bir diğer geçersizlik hali genel işlem koşullarına ve daha önce bu işlemlerin tüketici işlemi niteliğinde olduğu tespit edildiği için haksız şartlara aykırılıktan doğabilir. Genel işlem koşulu ve haksız şart denetiminden geçemeyen sözleşme hükümleri geçersizlik yaptırımı ile karşı karşıya kalacaktır. Bazı hizmet sağlayıcıların hizmet ve içeriklerini Türkçe sağlamalarına karşın kullanım sözleşmelerini Türkçe hazırlamadıkları görülmektedir. Bu işletmeler 805 sayılı İktisadi Müesseselerde Mecburi Türkçe Kullanılması Hakkında Kanun uyarınca sözleşmelerinin geçerliliğini riske atmaktadır. Son olarak, kurulduğu ve geçerli olduğu tespit edilen sözleşmeler aykırılık rejiminin incelenmesi gerekir. Bu bağlamda ilk olarak kişisel verilerin korunması hukukundan gelen rızanın geri çekilmesi ve unutulma hakkının sözleşmeye etkisinin ne olacağı tartışılmalıdır. Rıza geri çekildiğinde sözleşmenin kendiliğinden sona ereceği veya sağlayıcının sözleşmeyi sona erdirme hakkına sahip olacağı savunulmaktadır. Ancak gerek rızanın geri çekilmesi gerek de verilerin silinmesinin talep edilmesi ile sağlayıcının kullanıcıdan bir kullanım bedeli talep hakkı olmamalıdır. Diğer bir taraftan hizmet veya içeriğin sağlanmaması durumunda kullanıcının bir şey talep edip edemeyeceği değerlendirilmelidir. Bu sözleşmelere kıyasen vekalet sözleşmesinin uygulanacağı ve bu sözleşme hükümlerinde (genel işlem koşulu ve haksız şart denetiminden geçtiği sürece) sağlayıcılara sözleşmeyi tek taraflı olarak sona erdirme hakkı verildiği için sağlayıcıların sözleşmeyi sona erdirerek hizmet yükümlülüğünden kurtulma imkanları vardır. Ayrıca sağlayıcılar hizmeti olması gerektiği gibi sağlamayabilirler. Birçok sözleşme söz konusu hizmetlerin "olduğu gibi" sağlanacağına ilişkin hükümler bulundurmaktadır. Aynı zamanda hizmetlerin gereği gibi sağlanmadığı durumlarda sağlayıcıların sorumlu tutulamayacaklarına dair hükümlere de bu sözleşmelerde yer verilmektedir. Bu hükümler TBK m. 115'teki sorumsuzluk anlaşması üzerinden değerlendirildiğinde, bu maddelere sağlayıcıların bütün kusurları için değil sadece sağlayıcının hafif kusuru bakımından etki tanınabileceği sonucuna varılabilir. Ayrıca bu maddelerin çoğu zaman haksız şart denetiminden geçmesi de mümkün gözükmemektedir. Kullanıcıların sağladığı verilerin yanlış olması durumunda bunun sözleşmeye etkisinin ne olacağı da değerlendirilebilir. Burada her sağlayıcı kendi sözleşmesi altında farklı bir tercihte bulunduğu için her sözleşme özelinde ayrı bir değerlendirme yapmak en doğru çözüm gibi durmaktadır. Çalışmanın sonuç kısmında tartışılan ilgili bölümlerin ışığında varılan çözümler okuyucuya bir bütün halinde sunulmuştur. Bu tez ile amaçlanan kullanıcılar ile sağlayıcılar arasında kurulan hukuki ilişkinin sadece kişisel verileri koruma hukuku ekseninde incelemenin eksik olduğunu okuyucuya gösterebilmektedir. Bu hukuki ilişkilerin temellerinde ekonomik saikler yatmaktadır ve bu yüzden ekonomik bir perspektif ile bu hukuk ilişkilerinin sözleşme hukuku kapsamında ele alınması zorunludur. Ancak bu şekilde kullanıcıların hakları ve sağlayıcıların topluma sağladıkları hizmetlerden beklentileri arasında doğru bir denge kurulmuş olur. Bu yüzden bizim de bu tez de savunduğumuz üzere, bundan böyle, hukuk düzenimizin kullanıcılar ve sağlayıcılar arasındaki hukuki ilişkilere sadece kişisel verileri koruma hukuku ilkeleri üzerinden değil, sözleşme hukuku ilkeleri üzerinde de yaklaşması gereklidir. Bu çalışma bir taraftan mevcut sözleşme hukuku rejimimizin farklı görünümlerini yeni bir sözleşme modelini inceleyerek ortaya çıkarmıştır. Diğer bir taraftan, bu çalışma ile hukukumuzda ekonomik gerçeklerin yeni gereklerine ayak uydurabilmek için gelecekte yapılabilecek çalışmalara kapsamlı bir rehber sağlanmak istenmiştir. Umarım bu çalışma okuyucular için kişisel verilerin hayatımızda oynadığı rolü anlamak için yararlı bir kaynak teşkil edebilir.