Makale

Günümüzün veri güdümlü ekonomisinde, teşebbüslerin stratejik kararlarını alırken kullandıkları en önemli parametre haline gelen kişisel veriler, hukuki açıdan ciddi koruma kalkanlarına ihtiyaç duymaktadır. Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında yürütülen veri işleme faaliyetlerinin hukuka uygun kabul edilebilmesi için yalnızca bir yasal işleme şartına dayanması yeterli olmamakta, aynı zamanda Kanun'un kalbini oluşturan temel ilkelere de mutlak surette riayet edilmesi gerekmektedir. Özellikle dijital pazarlama, büyük veri analizi ve profilleme gibi modern uygulamalar, bireylerin mahremiyetini derinden etkileme potansiyeli taşıdığından, hukuki risklerin doğru analiz edilmesi elzemdir. Bu noktada, hukuki öznelerin faaliyetlerini salt ticari amaçlarla değil, insan onurunu ve özel hayatın gizliliğini merkeze alan bir uyum süreciyle tasarlaması kanuni bir zorunluluktur. Bu makalede, KVKK'nın temel ilkeleri ışığında, işletmelerin karşı karşıya kaldığı riskler ve yasal işleme şartlarının pratik hayattaki sınırları incelenmektedir.

KVKK Kapsamında Kişisel Verilerin İşlenmesine Hakim Temel İlkeler

Kişisel verilerin korunması hukukunda her türlü işleme faaliyetine yön veren ve diğer kurallara kaynaklık eden ilkelerin başında hukuka ve dürüstlük kurallarına uygun olma ilkesi gelmektedir. Bu ilke, kişisel veri işleme süreçlerini yürüten öznelerin yalnızca yürürlükteki mevzuata değil, aynı zamanda evrensel hukuk normlarına ve dürüstlük kurallarına uymasını emreder. İlgili kişilerin çıkarlarının gözetilmesi ve faaliyetlerin öngörülebilir olması, bu ilkenin doğal bir uzantısıdır. Bununla birlikte, toplanan verilerin belirli, açık ve meşru amaçlar için işlenmesi şarttır. İşleme faaliyetine başlamadan önce amacın kesin sınırlarla belirlenmesi gerekmekte olup, ileride ortaya çıkabilecek muhtemel durumlar için genel-geçer ve muğlak gayelerle veri depolamaktan kaçınılmalıdır. Sonradan ortaya çıkacak yepyeni amaçlar için veri işlenebilmesi, yasal veri işleme şartlarının en baştan titizlikle yeniden değerlendirilmesini gerektirir.

Amaçla Bağlantılılık ve Veri Minimizasyonu

Kanun'un en kritik emredici kurallarından biri de kişisel verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ilkesidir. Hukuk pratiğinde veri minimizasyonu olarak da bilinen bu kural uyarınca, belirlenen amaca ulaşmak için gerekenden daha fazla verinin işlenmesi hukuka aykırılık teşkil eder. Eğer hedeflenen ticari veya operasyonel bir sonuca, kişinin verileri işlenmeden veya daha az müdahaleci yöntemlerle ulaşılabiliyorsa, zorunlu olarak bu yollar tercih edilmelidir. Örneğin, basit bir abonelik işlemi için kişinin siyasi görüşü ya da kan grubu gibi tamamen ilgisiz verilerin toplanması ölçülülük kuralına açıkça aykırıdır. Bu ilkenin etkili bir şekilde uygulanabilmesi, projenin en başından yani tasarım aşamasından itibaren gizliliğin gözetilmesini zorunlu kılar. İhlal henüz gerçekleşmeden önleyici idari ve teknik tedbirlerin alınması, hem yasal bir yükümlülük hem de itibar yönetiminin temelidir.

Yasal İşleme Şartları ve Uygulamadaki Sınırları

Kişisel verilerin işlenmesinde anayasal temel kural, işlemenin ancak kanunda öngörülen hallerde veya açık rıza ile mümkün olmasıdır. Ancak rıza, hukuka uygunluk yollarından sadece biri olup, Kanun'da sayılan diğer şartlarla arasında herhangi bir hiyerarşi bulunmamaktadır. Mevzuatta yer alan diğer veri işleme şartlarının bulunduğu hallerde, işlemi adeta bir garanti altına almak maksadıyla ilgili kişiden açık rıza talep edilmesi, denetleyici otorite kararları ışığında hakkın kötüye kullanılması ve dürüstlük kuralına aykırılık olarak değerlendirilmektedir. Hukuken geçerli ve sağlam bir açık rızanın belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanması esastır. Bir hizmetin veya ürünün sunulmasının, o hizmet için kesinlikle zorunlu olmayan verilerin işlenmesine rıza gösterilmesi şartına bağlanması, rızanın özgürce verildiği kabulünü temelden sakatlar ve geçersiz kılar.

Kanunlarda Açıkça Öngörülme ve Meşru Menfaat

İlgili kişinin açık rızası olmaksızın veri işlenebilmesine imkan tanıyan başlıca hukuki dayanaklardan biri, faaliyetin kanunlarda açıkça öngörülme şartıdır. Burada işlemi gerçekleştiren tarafın kanundan doğan net bir yetkisi veya mutlak bir yükümlülüğü bulunmalıdır. Diğer bir son derece önemli işleme şartı ise, ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla meşru menfaatler için zorunlu olma halidir. Uygulamada sıklıkla bir "joker" formülü gibi her duruma uyarlanmaya çalışılan bu şart, hukuken dar ve katı yorumlanmalıdır. Bu meşru menfaate dayanılabilmesi için, işlem sonucunda elde edilecek fayda ile ilgili bireyin hakları arasında son derece hassas bir denge testi yapılmalı, menfaatin halihazırda somut, belirgin ve kişisel hürriyetleri zedelemeyecek meşruiyette olması mutlaka gözetilmelidir.

Büyük Veri Analizleri, Profilleme ve Battaniye Rıza Sorunu

Çevrimiçi pazarlama ve devasa boyutlardaki veri madenciliği operasyonları, verilerin çapraz analiz edilerek bireyler hakkında çok daha derin yeni çıkarımlar yapılmasını sağlar. Profilleme olarak adlandırılan bu analitik faaliyetler, kişilerin davranışlarını, tüketim tercihlerini, anlık konumlarını ve eğilimlerini inceleyerek çoğu zaman tahmin edilemeyen, hatta yapısı gereği özel nitelikli kişisel veri statüsüne ulaşabilen yeni sonuçlar üretir. Bu durum, klasik veri koruma prensipleriyle temelden ve sert bir çelişki yaratır. Büyük veriden elde edilen her bir yeni çıkarım, verinin ilk toplanma aşamasındaki asıl amaçtan sapma riski doğurur ve bu da aydınlatma ile başlangıçta alınan açık rızanın sınırlarını çoktan aşmış olur. Uygulamada şirketlerin tüm bu olası karmaşık işlemeler için ucu açık, sınırları belirsiz ve genel nitelikli onaylar alması, hukuken baştan geçersiz sayılan battaniye rıza probleminin doğmasına yol açarak dijital mahremiyeti ciddi şekilde tehdit eder.

Çözüm Yolu Olarak Veri Koruma Etki Analizi (DPIA)

Büyük veri uygulamalarının ve profilleme teknolojilerinin barındırdığı bu tür yüksek hukuki riskler karşısında, proaktif ve son derece koruyucu hukuki mekanizmaların ivedilikle devreye sokulması şarttır. Bu mekanizmaların en başında uluslararası standartlarda da kabul gören veri koruma etki analizi (DPIA) gelmektedir. Kişisel veri işleme faaliyetlerine, özellikle de otomatik işlemeye dayanan ve kişiler üzerinde hukuki veya benzeri ciddi etkiler doğuran sistematik değerlendirmelere başlanmadan önce, sürecin barındırdığı muhtemel tehlikelerin detaylıca analiz edilmesi gerekmektedir. Risklerin kalıcı olarak bertaraf edilmesi ve KVKK'nın temel ilkeleriyle tam uyumun sağlanabilmesi için hukuki bağlamda dikkat edilmesi gereken adımlar şu şekilde sıralanabilir:

• Gerçekleştirilecek olan veri işleme faaliyetinin şeffaflık ilkesi doğrultusunda ilgili kişilere son derece net ve sade bir dille aktarılması.
• Uygulanan profilleme algoritmaları neticesinde özel nitelikli verilere ulaşılabilecek durumlarda yasal işleme şartlarının dar ve son derece titiz yorumlanması.
• Tüketicilerden rıza gerektiren süreçlerde, haksız bir rıza yorgunluğu yaratmayacak ve kesinlikle battaniye rıza içermeyecek parçalı onay mekanizmalarının kurulması.
• Muhtemel tüm ihlallere ve sızıntılara karşı, yazılım ve tasarım aşamasından itibaren gizliliğin tüm veri işleme operasyonlarına ayrılmaz bir bütün olarak entegre edilmesi.