Bir hastaneye gittiğimizde sağlık bilgilerimizi, bankada işlem yaptığımızda hesap bilgilerimizi, bir kuruma başvurduğumuzda kimlik bilgilerimizi, bir işyerine girdiğimizde kimi zaman biyometrik verilerimizi paylaşıyoruz. Telefon numaramızı veriyor, adresimizi yazıyor, fotoğrafımızı yüklüyor, parmak izimizi okutuyor, yüzümüzü tanıma sistemlerine teslim ediyoruz.

Bütün bunları çoğu zaman hayatın sıradan işlemleri olarak görüyoruz. Oysa her işlem, beraberinde son derece önemli bir soruyu getiriyor: Bize ait bilgiler kimin elinde? Hangi amaçla kullanılıyor? Kimlerle paylaşılıyor? Ne kadar süreyle saklanıyor?

Belki de daha önemlisi: Bize ait olan bir bilgi, onu bir kuruma verdiğimiz anda artık o kurumun istediği gibi kullanabileceği bir malzemeye mi dönüşür?

İşte 6698 sayılı Kişisel Verilerin Korunması Kanunu, kısaca KVKK, bu soruların hukuki karşılığını oluşturmaktadır. Ancak KVKK’yı yalnızca kurumların yerine getirmesi gereken teknik bir yükümlülük olarak görmek, konunun özünü kaçırmak olur. Çünkü kişisel verilerin korunması, aslında insanın kendisini korumaktır.

Bir başka ifadeyle mesele yalnızca verinin güvenliği değil; insanın mahremiyetinin, özgürlüğünün, kişiliğinin ve onurunun korunmasıdır.

KVKK Bir Kurum Değil, Bir Kanundur

Öncelikle sıkça karıştırılan bir kavramı açıklığa kavuşturmak gerekir. KVKK, Kişisel Verilerin Korunması Kanunu’nun kısaltmasıdır. Kişisel Verileri Koruma Kurumu ise bu alandaki düzenleme, gözetim ve denetim görevlerini yerine getiren kamu kurumudur.

6698 sayılı Kanun, 2016 yılında yürürlüğe girmiştir. Temel amacı, kişisel verilerin işlenmesinde kişilerin temel hak ve özgürlüklerini korumak ve veri işleyen gerçek ve tüzel kişilerin yükümlülüklerini belirlemektir. Bu ayrım küçük bir terminoloji ayrıntısı gibi görülebilir. Oysa hukukta kavramların doğru bilinmesi, hakların doğru kullanılmasının ilk şartıdır. Neyi bildiğimizi doğru ifade edemezsek, hangi hakkımızı nasıl kullanacağımızı da bilemeyiz.

Kişisel Veri Nedir?

Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir.

Adımız, soyadımız, telefon numaramız, e-posta adresimiz, ev adresimiz, T.C. kimlik numaramız, banka hesap bilgilerimiz, maaş bilgilerimiz, fotoğraflarımız ve kamera görüntülerimiz kişisel veri kapsamında değerlendirilebilir.

Fakat kişisel veri kavramı bunlarla sınırlı değildir. Bir insanın sağlık durumu, eğitim geçmişi, alışkanlıkları, tercihleri veya bir kurumla olan ilişkisi de kişisel veri niteliği taşıyabilir. Burada çok önemli bir ayrıntı vardır: Bir bilginin kişisel veri olması, onun mutlaka gizli olduğu anlamına gelmez. Ancak kişisel veri olması, o bilginin hukuka uygun şekilde işlenmesini gerektirir.

Örneğin telefon numaramızı bir kuruma vermemiz, o kurumun bu numarayı dilediği kişiye aktarabileceği veya ilgisiz amaçlarla kullanabileceği anlamına gelmez. İşte kişisel verilerin korunması, tam da bu sınırın korunmasıdır.

Her Kişisel Veri Aynı Derecede Hassas Değildir

Kanun, bütün kişisel verileri korumakla birlikte bazı veriler için daha sıkı bir koruma öngörmektedir. Bunlara özel nitelikli kişisel veriler denilmektedir.

Sağlık bilgileri, genetik veriler, biyometrik veriler, dinî veya diğer inançlar, siyasi düşünce, felsefi inanç, kılık ve kıyafet, ırk ve etnik köken, dernek, vakıf veya sendika üyeliği ile ceza mahkûmiyeti ve güvenlik tedbirlerine ilişkin veriler bu kapsamda yer almaktadır.

Buna karşılık T.C. kimlik numarası, telefon numarası, ev adresi, banka hesap numarası veya maaş bilgisi kişisel veri olmakla birlikte, dokümanda belirtildiği üzere özel nitelikli kişisel veri kategorisinde değildir. Bu ayrım, bazı kişisel verilerin korunmayacağı anlamına gelmez.  Bütün kişisel veriler korunmalıdır; ancak insanın mahremiyetine ve ayrımcılığa karşı korunmasına doğrudan temas eden veriler daha yüksek hassasiyet taşır.

Sağlık Bilgisi Bir Dosya Değildir, Bir Emanettir

Bir insanın geçirdiği hastalık, ameliyat, kullandığı ilaç, tahlil sonucu, psikolojik durumu veya engellilik bilgisi; onun hayatının en özel alanlarından birine aittir.

Bir kişinin sağlık durumunu bilmek, onun hayatına ilişkin çok önemli bir bilgiye sahip olmak demektir. Bu nedenle sağlık verileri özel nitelikli kişisel veriler arasında yer almaktadır.

Bir tahlil sonucunun, reçetenin veya kullanılan ilacın ilgisiz kişilerin eline geçmesi, basit bir mahremiyet ihlali olarak görülemez.

Böyle bir bilgi; kişinin çalışma hayatından sosyal ilişkilerine, gelecekteki fırsatlarından toplum içindeki konumuna kadar pek çok alanda mağduriyet doğurabilir. Bu nedenle sağlık bilgisine yalnızca bilgisayar ekranındaki bir kayıt olarak bakamayız.

Sağlık bilgisi, insanın bedenine ve hayatına ilişkin bir emanettir. Ve emanet, sahibine karşı sorumluluk doğurur.

Yüzümüzü Değiştiremeyiz, Parmak İzimizi Yenileyemeyiz  Teknoloji geliştikçe kişisel verilerin niteliği de değişiyor. Parmak izi, avuç içi taraması, retina veya iris taraması, yüz tanıma ve ses analizi gibi teknolojiler, insanın benzersiz fiziksel veya davranışsal özelliklerini elektronik sistemlere aktarıyor.

Burada çok çarpıcı bir gerçek var: Şifremizi değiştirebiliriz. Fakat yüzümüzü, parmak izimizi veya genetik yapımızı bir şifre gibi değiştirip yenileyemeyiz.

İşte biyometrik verilerin korunmasını diğer birçok veriden ayıran temel özelliklerden biri budur. Öte yandan her fotoğrafın otomatik olarak biyometrik veri olmadığı da unutulmamalıdır. Fotoğrafın bir sistem tarafından kişinin benzersiz özellikleri analiz edilerek kimlik doğrulama amacıyla kullanılması, farklı bir hukuki değerlendirmeyi gündeme getirebilir.

Teknoloji bize büyük kolaylıklar sağlıyor. Ama teknoloji geliştikçe şu soruyu daha yüksek sesle sormamız gerekiyor: Kolaylık adına insanın kendisini ne kadar veriye dönüştürmesine izin vereceğiz?

İnancımız, Düşüncemiz ve Hayat Tarzımız da Bize Aittir

İnsan yalnızca adı ve kimlik numarasıyla tanımlanamaz. Onun düşünceleri, inançları, tercihleri ve hayatı algılayış biçimi de kişiliğinin ayrılmaz parçalarıdır.

Bu nedenle kişinin dinî veya felsefi inancı, siyasi düşüncesi, kılık ve kıyafeti, dernek, vakıf veya sendika üyeliği gibi bilgiler özel nitelikli kişisel veriler kapsamında değerlendirilmektedir. Çünkü insanın farklı düşünebilmesi, farklı inanabilmesi ve farklı yaşayabilmesi özgürlüğün temel unsurlarındandır.

Bir kişinin hangi inanca sahip olduğu, hangi siyasi düşünceyi benimsediği veya hangi sivil toplum kuruluşuna üye olduğu; onu baskı, ayrımcılık veya dışlanmanın hedefi hâline getirmemelidir. Bu nedenle veri güvenliği, yalnızca bilgisayar sistemlerinin güvenliği değildir. Veri güvenliği, insanın farklı olabilme hakkının da korunmasıdır.

İnsanı Geçmişteki Bir Kaydına Mahkûm Etmemek

Ceza mahkûmiyetleri ve güvenlik tedbirlerine ilişkin bilgiler de özel nitelikli kişisel veriler arasındadır. Bu bilgilerin gelişigüzel kullanılması, insanın geçmişindeki bir kaydın bütün hayatının üzerine yapıştırılmış bir etikete dönüşmesine neden olabilir. Oysa hukuk devleti, insanı yalnızca geçmişteki bir kaydıyla tanımlamaz. İnsanın değişebilme, topluma yeniden katılabilme ve hayatına devam edebilme hakkı vardır.

Dolayısıyla kişisel verilerin korunması, yalnızca mahremiyetin değil, aynı zamanda insan onurunun ve kişinin yeniden topluma katılma hakkının korunmasıdır.

Peki, Verilerimiz Üzerinde Hangi Haklara Sahibiz?

KVKK’nın 11. maddesi, kişisel verileri işlenen gerçek kişilere önemli haklar tanımaktadır. Birey;

• Kişisel verilerinin işlenip işlenmediğini öğrenebilir,
• Verilerinin hangi amaçla işlendiğini ve kullanılıp kullanılmadığını sorgulayabilir,
• Verilerinin yurt içinde veya yurt dışında kimlere aktarıldığını öğrenebilir,
• Eksik veya yanlış işlenen verilerin düzeltilmesini isteyebilir,
• Kanuni şartlar oluştuğunda verilerin silinmesini, yok edilmesini veya anonim hâle getirilmesini talep edebilir,
• Yapılan düzeltme veya silme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteyebilir,

·         Münhasıran otomatik sistemlerle yapılan analiz sonucunda aleyhine bir sonuç ortaya çıkmasına itiraz edebilir,

·         Hukuka aykırı veri işlenmesi nedeniyle zarara uğramışsa tazminat talep edebilir.

Burada özellikle üzerinde durulması gereken nokta şudur: Bilmediğimiz bir işlem üzerinde denetim kuramayız. Dolayısıyla kişisel verilerimizin nasıl işlendiğini bilmek, aslında onları korumanın ilk adımıdır.

Hak Bilmek Yetmez, Hakkı Kullanmayı da Bilmek Gerekir

Kişisel verilerinin hukuka aykırı işlendiğini düşünen kişi, öncelikle verilerini işleyen veri sorumlusuna başvurmalıdır. Başvuru; yazılı olarak veya kayıtlı elektronik posta, mobil imza ya da sistemlerinde kayıtlı e-posta adresi üzerinden yapılabilir. Veri sorumlusu, başvuruyu kural olarak en geç 30 gün içinde sonuçlandırmakla yükümlüdür.

Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresi içinde cevap verilmemesi hâlinde ise kanunda öngörülen şartlar çerçevesinde Kişisel Verileri Koruma Kurulu’na şikâyette bulunulabilir. Burada önemli olan yalnızca haklarımızın olduğunu bilmek değildir. Hak arama yollarını bilmek ve onları doğru biçimde kullanmak da hakkın kendisi kadar önemlidir.

Kurumlar İçin Yükümlülük, Bireyler İçin Güvence

KVKK yalnızca bireylere hak veren bir düzenleme değildir. Şirketler, kamu kurumları, eğitim kuruluşları, sağlık kuruluşları ve diğer veri sorumluları; kişisel verileri hukuka uygun biçimde işlemek, gerekli güvenlik tedbirlerini almak ve kanunun öngördüğü yükümlülüklere uymak zorundadır.

Bu nedenle KVKK uyumu, bir dosya hazırlama veya birkaç prosedür oluşturma işi olarak görülmemelidir. KVKK uyumu, kurum kültürünün bir parçası olmalıdır. Bir kurumun;

• Hangi veriyi topladığı,
• Neden topladığı,
• Kimlerin bu verilere erişebildiği,
• Ne kadar süreyle sakladığı,
• Kimlerle paylaştığı

o kurumun hukuka, insan haklarına ve bireye verdiği önemin de göstergesidir.

Yapay Zekâ Çağında Daha Büyük Bir Soru

Bugün yapay zekâ, büyük veri, yüz tanıma sistemleri ve otomatik karar mekanizmaları hayatımızın giderek daha büyük bir bölümüne giriyor.

Teknoloji bize hız, kolaylık ve verimlilik sağlıyor. Ancak her teknolojik imkân, beraberinde yeni bir sorumluluk da getiriyor.

Bir insanın verisinin toplanması, analiz edilmesi veya başka sistemlere aktarılması yalnızca teknik bir işlem değildir. Her veri işleme faaliyeti, doğrudan veya dolaylı biçimde insan hayatına dokunmaktadır.

Özellikle yapay zekâ ve otomatik karar sistemleri söz konusu olduğunda mesele daha da hassas hâle geliyor.

Bir insanın işe alınması, değerlendirilmesi veya herhangi bir konuda karar verilmesi yalnızca bir algoritmanın ürettiği sonuca bırakılabilir mi?

Algoritma doğru çalışıyor olabilir. Ama algoritmanın kullandığı veri yanlışsa? Eksikse? Önyargılıysa? İşte o zaman teknoloji, hatayı ortadan kaldırmak yerine büyütebilir. Bu nedenle çağımızın en önemli sorularından biri şudur: Bir şeyi yapabiliyor olmamız, onu her zaman yapmamız gerektiği anlamına gelir mi?

Teknolojik imkân ile etik sorumluluk arasındaki sınır tam da burada başlar.

Veri Ekonomisi ve İnsan Onuru

Kişisel veriler günümüzde ekonomik değeri olan önemli bir kaynak hâline gelmiştir. Şirketler, kamu kurumları, bankalar, sağlık kuruluşları ve dijital platformlar hizmet sunabilmek için çok çeşitli verileri işlemektedir.

Ancak bir verinin ekonomik değer kazanması, onun insanın mahremiyetinden bağımsız bir nesne hâline geldiği anlamına gelmez. Bir insanın sağlık bilgisi, yalnızca veri tabanındaki bir satır değildir. Onun bedenidir. Bir kişinin siyasi düşüncesi yalnızca bir sınıflandırma unsuru değildir. Onun özgür iradesidir. Bir insanın biyometrik verisi yalnızca bir güvenlik anahtarı değildir. Onun bedenine ait benzersiz bir özelliktir. İşte bu nedenle kişisel verilerin korunması, aslında insanın kendi hayatı üzerindeki söz hakkının korunmasıdır.

Sonuç ve Değerlendirme

İçinde yaşadığımız çağda insanın hayatı giderek daha fazla dijital iz bırakıyor. Adımız, adresimiz, telefonumuz, fotoğrafımız, sağlık bilgilerimiz, biyometrik özelliklerimiz, düşüncelerimiz, inançlarımız ve yaşamımıza ilişkin daha pek çok bilgi farklı sistemlerde tutuluyor. Bu tablo bize önemli bir gerçeği hatırlatıyor: Kişisel veri, insandan bağımsız bir eşya değildir.

O veri, bir insanın hayatından kopmuş bir parçadır. Bu nedenle kişisel verilerin korunması yalnızca bilgisayar sistemlerine güçlü şifreler koymak, güvenlik yazılımları kullanmak veya teknik tedbirler almak değildir. Bunlar elbette önemlidir. Ancak asıl mesele, verinin arkasındaki insanı görebilmektir.

KVKK’nın gerçek anlamı da burada ortaya çıkmaktadır. Kanun bireye haklar verir; kurumlara sorumluluk yükler. Fakat hukuki düzenlemelerin gerçek gücü, toplumun bu hak ve sorumlulukları ne ölçüde benimsediğiyle ortaya çıkar.

Birey verisinin değerini bilmeli; kurum verinin emanet olduğunu unutmamalıdır. Çünkü bir insanın sağlık bilgisi, yalnızca bir kayıt değildir. Bir insanın inancı, yalnızca bir sınıflandırma değildir. Bir insanın parmak izi, yalnızca bir kimlik doğrulama aracından ibaret değildir. Bir insanın geçmişi, onu ömür boyu mahkûm edecek bir damga değildir. Bunların her biri, insanın kendisine ait hayat parçalarıdır. Ve emanet edilen her şey gibi kişisel veriler de sorumluluk ister. Belki de bugün kendimize sormamız gereken en temel soru şudur:

“Verilerimiz kimlerin elinde?” Fakat bunun hemen ardından ikinci soruyu da sormalıyız: “Bize emanet edilen başkalarının verilerine biz nasıl davranıyoruz?” Çünkü kişisel verilerin korunması yalnızca “Benim verim” meselesi değildir. Aynı zamanda “Bana emanet edilen veri” meselesidir.

Ve nihayetinde bu konu, bilgisayarların, algoritmaların veya hukuk metinlerinin ötesinde, insana duyulan saygının bir ölçüsüdür.

Saygılarımla,

Prof. Dr. Ayhan ERDEM
Gazi Üniversitesi Öğretim Üyesi
aerdem@gazeteankara.com.tr
Gazete Ankara DHP-Köşe Yazarı
“Türkiye’nin kalbi Ankara’nın sesi”