Makale

Hızla dijitalleşen dünyada, kişisel verilerin korunması temel bir insan hakkı olarak karşımıza çıkmaktadır. Ülkemizde bu alanın düzenlenmesi ve denetlenmesi görevi Kişisel Verileri Koruma Kurumu tarafından yürütülmektedir. Regülasyon hukuku prensipleri bağlamında, Kurul sadece ihlaller oluştuktan sonra cezalandırıcı işlemler tesis etmekle kalmaz; aynı zamanda ihlallerin doğmasını engellemek veya mevcut zararın büyümesinin önüne geçmek amacıyla birtakım proaktif ve koruyucu adımlar da atar. Kurul'un, 6698 sayılı Kanun kapsamında yetkilendirildiği bu proaktif adımlar, önleyici kolluk tedbirleri ve idari işlemler niteliğindeki ihtarlar olarak tasnif edilebilir. Kurum'un ekonomik kolluk ve regülasyon faaliyetlerinin bir gereği olarak uyguladığı bu tedbirler, mülkiyet ve teşebbüs özgürlüğü gibi temel haklara müdahale niteliği taşıdığından, hukuka uygunluklarının sağlanması adına etkin bir yargısal denetim mekanizmasına tabi olmaları hukuk devleti ilkesinin vazgeçilmez bir unsurudur. Bu makalede, geçici önlemler, talimat niteliğindeki ihtar uygulamaları ve yargısal denetim süreci hukuki bir çerçevede değerlendirilecektir.

KVKK Kapsamında Önleyici Tedbirler

Kurumun regülasyon işlevi, ihlalleri gerçekleşmeden veya daha fazla zarara yol açmadan engellemeyi gerektirir. Bu noktada Kişisel Verilerin Korunması Kanunu ilgili hükümleri, Kurul'a oldukça önemli bir yetki vermektedir. İlgili yasal dayanak uyarınca Kurul, kişisel verilerin korunması hakkının ihlal edildiği iddiası üzerine veya resen yapacağı incelemelerde, telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılık şartlarının birlikte gerçekleşmesi hâlinde veri işlemenin durdurulmasına karar verebilir. Aynı acil koşullar altında, yurt dışına veri aktarımının kısıtlanmasına yönelik kararlar da alınabilmektedir. Bu idari kararlar, cezalandırıcı bir idari yaptırım olmaktan ziyade, hukuki tehlikenin büyümesini engellemeyi amaçlayan tipik bir önleyici kolluk tedbiri niteliğini haizdir. Alınan bu geçici önlemler, ihlalin kesin olarak tespit edilip nihai karar verilene kadar veri sahiplerini koruma altına alarak, potansiyel mağduriyetlerin önüne geçmekte ve regülasyonun temel hedeflerine etkin bir şekilde hizmet etmektedir.

İhtarlar ve İhlallerin Giderilmesi Talebi

Düzenleyici ve denetleyici kurumların duyarlı regülasyon yaklaşımının bir gereği olarak, her hukuka aykırılık doğrudan ağır yaptırımlarla karşılanmamakta, çeşitli ihtar ve uyarılara da sıklıkla başvurulabilmektedir. Kanun uyarınca Kurul, yaptığı şikayet incelemesi veya resen denetim sonucunda bir ihlalin varlığını tespit ederse, tespit ettiği bu hukuka aykırılıkların veri sorumlusu tarafından giderilmesine karar vererek kararı ilgililere tebliğ eder. Veri sorumlusu sıfatını haiz gerçek veya tüzel kişi, bu kararı en geç otuz gün içinde yerine getirmekle yükümlüdür. Kurul'un tesis ettiği bu icra ihbarnameleri ve yönlendirmeler, veri sorumlusuna mevzuata uyum sağlaması için tanınan bir fırsat mahiyetindedir. Ancak, bu idari kararlara veya verilen talimatlara uyulmaması durumu mevzuat kapsamında başlı başına ayrı bir kabahat teşkil etmektedir. Dolayısıyla, Kurul kararlarına muhalefet edilmesi, doğrudan bağımsız bir idari para cezası yaptırımının temel tetikleyicisi olarak karşımıza çıkmaktadır.

Önleyici Tedbirlerin ve İhtarların Yargısal Denetimi

Kurumun tesis ettiği idari işlemler her ne kadar kural olarak hukuka uygunluk karinesinden yararlansa da hukuk devleti ilkesi gereği idarenin her türlü eylem ve işlemine karşı yargı yolunun açık olması şarttır. Kurul'un önleyici tedbir kararları, ihtarları ve idari yaptırımları, piyasa aktörlerinin temel haklarına doğrudan müdahale niteliği taşıdığından, idari yargı mercileri önünde iptal davasına konu edilebilmektedir. Yakın geçmişe kadar, idari yaptırım kararlarının yargısal denetimi genel hükümler uyarınca sulh ceza hâkimlikleri tarafından yapılmaktayken, bu durum çeşitli hukuki tartışmalara sebebiyet vermiştir. Son dönemde gerçekleştirilen yapısal yasal değişiklikler ile birlikte, bu kararlara karşı idari yargı yoluna başvurulması usulü kanunlaşarak kabul edilmiş ve bu sayede ihtisas mahkemeleri olan idare mahkemelerinin görevli kılınması güvence altına alınmıştır. Bu yenilik, yargısal denetimin niteliğini oldukça artırmıştır.

İdari yargı yerleri, Kurul'un idari işlemlerini denetlerken yalnızca şekli bir hukuka uygunluk incelemesi yapmakla kalmamalı, aynı zamanda idarenin takdir yetkisini kullanırken hukuki güvenlik, belirlilik ve gerekçeli karar gibi temel anayasal ilkelere sıkı sıkıya uyup uymadığını da titizlikle araştırmalıdır. Kurul'un hukuka aykırılığın tespiti üzerine koruma tedbirleri uyguladığı spesifik durumlarda, idari yaptırımlara karşı açılan iptal davaları ile birlikte bu geçici önlemlerin de iptalinin talep edilmesi usulen mümkündür. İdari yargılama hukukunun temel bir kaidesi olarak mahkemeler, yerindelik denetimi yapma yasağı kapsamında idarenin yerine geçerek idari işlem niteliğinde yeni bir karar tesis edemez; ancak müdahalenin kanuniliğini ve sebep unsurlarını değerlendirerek işlemi hukuka aykırılık sebebiyle ortadan kaldırabilir. Yargı denetimine tabi olan bu işlemlerin fonksiyonel nitelikleri aşağıda tasnif edilmiştir:

• Veri İşlemenin Durdurulması: Telafisi güç veya imkansız bir zararın doğma ihtimali ve açık hukuka aykırılık koşullarının varlığı hâlinde uygulanan geçici nitelikteki bir önleyici kolluk tedbiridir.
• Yurt Dışına Aktarımın Durdurulması: İlgili yasal şartların fiilen sağlanmadığı ve veri ihlali tehlikesinin aciliyet arz ettiği durumlarda sınır ötesi veri akışını kesmek amacıyla alınır.
• İhlalin Giderilmesi İhtarı: Veri sorumlusuna, tespit edilen hukuka aykırılığı gidermesi ve kanuna uyum sağlaması için tebliğ tarihinden itibaren en fazla otuz günlük makul süre tanınmasını içeren karardır.
• İlke Kararları: Yapılan incelemeler neticesinde benzer nitelikteki ihlallerin yaygın olduğu kanaatine varılması durumunda, ilgili tüm sektörü yönlendirmek amacıyla alınan genel düzenleyici idari işlemlerdir.