Kişisel Verileri Koruma Kurulu Kararları

Demir Hukuk Bürosu | Av. İbrahim Esad SARI

Anayasada öngörülen özel hayatın gizliliği ile temel hak ve özgürlüklerin korunması kapsamında, kişisel verilerin korunmasını sağlamak ve buna yönelik farkındalık oluşturarak bilinç düzeyini geliştirmek, aynı zamanda veri temelli ekonomide özel ve kamusal aktörlerin uluslararası rekabet kapasitelerini artırıcı bir ortam oluşturmak amacıyla 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) ile Kişisel Verileri Koruma Kurulu (“Kurul”) kurulmuştur. Kurul’un başlıca görevi Kanun kapsamında gerçekleşen ihlallere dair başvuruları incelemektir. Kurul nezdinde incelemeler, karar organı olarak tayin edilen Kurul tarafından gerçekleştirilecektir.

Kurul, herhangi bir ihlale ilişkin incelemesini ilgili kişilerin şikâyeti üzerine yapabileceği gibi durumdan bir şekilde haberdar olması üzerine resen de yapabilir. Kurul yaptığı inceleme sonucunda çeşitli kararlar verebilmektedir. Şikâyet üzerine Kurul tarafından 60 gün içerisinde karar verilmesi gerekmektedir. Aksi takdirde şikâyet başvurusu reddedilmiş sayılır.

Kurul incelemesi sonucunda çeşitli kararlar verebilmektedir. Aşağıda bu kararlar incelenmektedir:

1- HUKUKA AYKIRILIĞIN GİDERİLMESİ KARARI

Kanun’un 15/5. maddesinde “Şikâyet üzerine veya resen yapılan inceleme sonucunda, ihlalin varlığının anlaşılması hâlinde Kurul, tespit ettiği hukuka aykırılıkların veri sorumlusu tarafından giderilmesine karar vererek ilgililere tebliğ eder. Bu karar, tebliğden itibaren gecikmeksizin ve en geç otuz gün içinde yerine getirilir.” hükmünü havidir.

Hükümden de görüleceği üzere Kurul incelemesi sonucu kişisel verilerin korunmasına dair bir ihlal durumunu tespit ederse ihlalin ortadan kaldırılmasına karar verir. Kurul bu kapsamda verdiği kararları “talimatlandırma” kararları olarak adlandırmaktadır. Yani Kurul tespit edilen hukuka aykırılığın ortadan kaldırılması yönünde ilgiliye talimat vermektedir. Kararın muhatabı olan veri sorumlusunun bu talimatı yerine getirmek için 30 günlük süresi bulunmaktadır.

2- İLKE KARARI

Kurul, ihlalin yaygın olduğunu tespit ederse ilke kararı alabilir. Bu yetki Kanun’un 15/6 hükmünde “Şikâyet üzerine veya resen yapılan inceleme sonucunda, ihlalin yaygın olduğunun tespit edilmesi hâlinde Kurul, bu konuda ilke kararı alır ve bu kararı yayımlar. Kurul, ilke kararı almadan önce ihtiyaç duyması hâlinde, ilgili kurum ve kuruluşların görüşlerini de alabilir.” şeklinde ifade edilmiştir. Yani bir ihlalin yalnızca önündeki olayda değil, buna benzer diğer durumlarda da mevcut olduğu tespit edilirse ilke kararı alınacaktır. İlke kararında Kurul, Kanun’un bu durumlarda nasıl anlaşılması gerektiğini ve ihlalin oluşmaması için gereken tedbirleri açıklar. Bir bakıma Kurul tarafından bundan sonra gerçekleştirilecek incelemelerde benzer olaylara nasıl yaklaşılacağı açıklanmakta, ilgililerin önceden önlem alması gerektiği ilan edilmektedir.

3- VERİ İŞLENMESİNİN/YURT DIŞINA AKTARILMASININ DURDURULMASI KARARI

Kanun’un 15/7. maddesinde “Kurul, telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılık olması hâlinde, veri işlenmesinin veya verinin yurt dışına aktarılmasının durdurulmasına karar verebilir.” düzenlemesine yer verilmiştir. Kurul önüne gelen olayda telafisi güç veya imkânsız zararlar doğuran bir durum olması ve açıkça hukuka aykırılık olması halinde veri işlenmesinin veya verinin yurt dışına aktarılmasının durdurulmasına karar verebilir. Kanun’un 22. maddesinde bu karar geçici bir önlem olarak adlandırılmıştır. Yani Kurul, hukuka aykırılık tespit etmekle birlikte veri işlenmesinin ya da yurt dışına aktarılmasının derhal durdurulmaması halinde önemli zararlar doğacağını düşünürse tedbir kararı alabilir.

4- İDARİ PARA CEZASI KARARI

Kanun’un 18. maddesinde bazı eylemler kabahat olarak düzenlenmiştir. Buna göre hangi hallerde hangi idari para cezalarının verileceği aşağıdaki tabloda gösterilmiştir:

Bu para cezaları veri sorumluları hakkında uygulanacaktır. Veri sorumlusunun kamu kurumu olması halinde idari para cezasına karar verilmeyecek fakat kurumdaki sorumlular hakkında disiplin hükümleri uygulanacaktır.

Bu düzenlemede Kanun’un dört ayrı maddesinde öngörülen yükümlülüklerin yerine getirilmemesi hali kabahat olarak düzenlenmiştir. Veri sorumluları bu sorumluluklarına aykırı hareket etmeleri halinde belirli miktarlar arasında idari para cezası ile tecziye edileceklerdir. Kurul ihlalin ve olayın şartlarını değerlendirerek idari para cezasının miktarını Kanun maddesinde belirtilen miktarlar arasında takdir edecektir. Kanun gerekçesinde kabahatin haksızlık içeriği, failin kusuru ve veri sorumlusunun ekonomik durumunun idari para cezasının takdirinde önemli rol oynayacağı belirtilmiştir.

İdari para cezaları her ne kadar Kanun’un dört maddesine aykırılığın karşılığı olarak düzenlenmişse de Kurul tarafından verilen kararların yerine getirilmemesi halinde de para cezası verilmektedir. Bu nedenle ilgililerin Kurul kararlarının gereklerini mutlaka uygulamaları gerekmektedir. Aksi halde para cezası ile karşı karşıya kalınabilir.

Örneğin veri sorumlularının Kurul tarafından verilen hukuka aykırılığın giderilmesine ilişkin kararları 30 günlük süre içerisinde ya da gereği gibi uygulamamaları, verilerin işlenmesini/aktarılmasını derhal durdurmamaları ya da ilke kararlarının gereklerini yerine getirmemeleri halinde haklarında idari para cezası tesis edilebilir.

Kurul tarafından verilen idari para cezaların karşı 5326 Sayılı Kabahatler Kanunu hükümlerine göre 15 gün içerisinde sulh ceza hâkimliklerine itiraz edilebilir. Kabahatler Kanunu’nun 27/8 hükmü uyarınca idari para cezasının verildiği işlem kapsamında idarî yargının görev alanına giren bir başka karar verilirse, her ikisine ilişkin açılacak dava idari yargıda görülmelidir.