KVKK Dedikleri…
26 / Şubat / 20
“Mahremiyete değer vermeyen ve kişisel verilere ucuz bir eşya muamelesi yapan toplumlar, er ya da geç, vatandaşlarına da aynı şekilde davranırlar.”
John Grace, 1982
(Kanada’nın ilk Mahremiyet Komiseri)
Bilişim sektörüne 1989 yılında bilgisayar programcılığı veya daha doğru söylemek gerekirse kod yazarak başladığım için o günlerden kalma bir alışkanlıkla, söyleyeceğim veya
sunacağım her şeyi bir neden-sonuç ilişkisine bağlamaya özen gösteririm. Bunun için yazımı (neden) sorular ve (sonuç) cevaplar olarak hazırladım.
6698 sayılı Kişisel Verilerin Korunması Kanunu hakkında konuşurken de aslında önce yasanın nereden ve neden geldiğini bilmek gerekiyor. Burada söylemek istediğim yasanın 1. maddesinde yazan “amaç” değil. Bu yasaya neden ihtiyaç duyulduğu ve sürecin başından itibaren gelişimin nasıl olduğu.
Kişisel Verileri Koruma Kanunu 7 Nisan 2016 tarihinde yürürlüğe girdi.
Soru 1: Bundan önce kişisel verilerimiz ile ilgili koruma yok muydu?
Tabii ki vardı. Ülkemizde kişisel verilerin korunması hukukunda başta Anayasa olmak üzere, Türk Ceza Kanunu, Ceza Muhakemeleri Kanunu, Polis Vazife ve Selahiyet Kanunu, Elektronik Haberleşme Kanunu, Elektronik Ticaret Kanunu, Türk Medeni Kanunu, İş Kanunu ve Bankacılık Kanunu’nda kişisel verilerin korunmasına ilişkin hükümler yer almaktaydı ama 12 Eylül 2010 tarihinde yapılan halk oylaması sonucu kabul edilen 5982 sayılı Kanunla Anayasanın 20’inci maddesinde yapılan düzenlemeyle, kişisel verilerin korunması temel bir insan hakkı olarak güvence altına alınmış ve detayların kanunla düzenlenmesi öngörülmüştür.
Soru 2: Tamamen kişisel verileri korumaya yönelik bir yasaya neden ihtiyaç duyuldu?
Bu ihtiyaç daha çok uluslararası etkenlerden kaynaklanmıştır. Bu uluslararası etkenler de Avrupa Birliği’ne uyum sürecinde, Avrupa Birliği Komisyonu’nun İlerleme Raporları aracılığıyla sıklıkla dile getirilmiştir.
18 Ocak 2016 tarihinde dönemin Başbakanı Ahmet Davutoğlu tarafından TBMM’ye sunulan 117 sıra numaralı Kişisel Verilerin Korunması Kanunu Tasarısı ve Adalet Komisyonu Raporu’nda da belirtildiği şekliyle “Türkiye’nin Avrupa Birliği tam üyelik sürecinde, müzakere fasıllarından dördü, doğrudan kişisel verilerle ilgilidir. Bu fasıllarla ilgili sürecin ilerleyebilmesi için ülkemizde kişisel verilerin korunmasına ilişkin temel bir kanunun yürürlüğe girmesi gerekmektedir. Avrupa Birliği’nin Türkiye ile ilgili olarak hazırladığı ilerleme raporlarında Türkiye’de veri koruma alanındaki kanuni boşluğa işaret edilmekte” denilmektedir. Aynı raporda “EUROPOL ile ülkemiz güvenlik birimleri arasında operasyonel işbirliği anlaşması yapılamamakta ve elektronik bilgi değişimi gerçekleştirilememekte” ve “sınır aşan suçlarla ilgili değişik ülkelerin
yargı mercilerinin ortak operasyonlar yapabilmesi amacıyla oluşturulan EURO JUST ile çok sayıda sınır aşan suçun işlendiği geçiş güzergahında bulunan ülkemiz arasında bu suçlarla mücadeleye yönelik işbirliği yapılamamaktadır” ibareleriyle bu yasa tasarısının ulusal güvenliğimiz için de çok önemli olduğunun altı çizilmiştir. Ayrıca Türkiye’de yaşayan AB vatandaşları ile Avrupa ülkelerinde yaşayan Türk vatandaşlarının askerlik, vatandaşlık, kimlik ve mal varlığı gibi konularda veri paylaşımında sorunlar yaşandığı belirtilmiştir.
Türkiye olarak Avrupa Birliği uyum sürecinde GDPR (General Data Protection Regulation) AB Genel Veri Koruma Tüzüğü’ne uymak adına KVKK’ya geçiyoruz.
Soru 3: Avrupa Birliği neden GDPR’ geçti?
Bilindiği gibi “kişisel verilerin işlenmesi kavramı” her zaman hayatımızda vardı ama kişisel verilerin “otomatik olarak” işlenmesi kavramı 1970 ve sonrasında hayatımıza girmeye başladı. Aslında verilerin otomatik işlenmesinin tarihi ilk bilgisayarla başlar ama burada bahsettiğimiz kişisel verilerin işlenerek ticari olarak kullanılması dönemidir. Kişisel verilerin korunması, 1960’lardan beri üzerinde çalışma yapılan bir konu olmakla beraber tarihsel süreç ve teknolojinin gelişimi karşısında giderek boyut değiştirmiştir. Bu konu küresel Bilişim Teknoloji hizmetlerinin yaygınlaşmasının sonucu olarak ülkeler arasında artan veri trafiği nedeniyle sosyal ve iktisadi açıdan uluslararası öneme sahip olmuştur.
1970’li yıllarda yapılan birkaç ulusal düzenleme sonrasında (1970 Almanya, 1973 İsveç ve 1974 ABD) 1980’li yıllardan itibaren, başta OECD’nin (İktisadi İşbirliği ve Kalkınma Teşkilatı) kılavuz ilkeleri ve Avrupa Konseyi’nin kişisel verilerin otomatik işlenme karşısında korunması hakkındaki sözleşmesi olmak üzere, uluslararası hukuk belgelerinde kişisel verilerin korunması hakkı kabul edilmiştir.
Bu konuda uluslararası ilk sözleşmelerden kabul edilen, Avrupa Konseyi’nin 28 Ocak 1981 tarihinde Strazburg’da imzaya açtığı “108 No’lu Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Bireylerin Korunması Sözleşmesi” Türkiye tarafından da imzalanmıştı. Bilgisayar işlemcilerinin ve depolama alanlarının eksponansiyel olarak gelişmesiyle beraber veri korumaya ait bir çok yeni tüzük sisteme girmiştir. En son olarak 1995 yılında yürürlüğe giren Avrupa Birliği Veri Koruma Direktifi’nin de her şeyi çözemediği anlaşılmıştır çünkü 27 AB ülkesinde (2013 yılında 28 oldu) birbirinden farklı uygulama biçimleri ortaya çıkmıştır. Yapılan bir araştırmayla bu farklılığı ortadan kaldıracak çerçeve bir düzenlemenin mevcut ülkeler arası farklılaşmayı ve işletmeler bakımından yıllık 2,3 milyar Euro’ya varan tasarruf anlamına gelen pahalı idari yükleri ortadan kaldıracağı öngörülmüştür.
Sonuç olarak baktığımızda Avrupa Birliği, birlik ülkeleri arasında ticaret yaparken, hem veri sahibi olan ilgili kişiyi hem de veriyi işleyen veri sorumlusunun korunması ihtiyacını, bunun için de herkesin aynı yasal düzenlemeye tabi olması gerektiğini söylemiştir.
Yukarıdaki 3 soruya verdiğimiz cevaplar sonucunda ulaştığımız nokta;
1. KVKK’ya geçtik çünkü AB uyum yasalarına göre kişisel verileri korumamız gerekiyordu ve AB GDPR’a geçmişti.
2. AB GDPR’a geçti çünkü 80’lerden sonra ticaret yaparken büyük hacimli kişisel verilerin işlenmesi esnasında hem ilgili kişiyi hem de veri sorumlusunu bir yasa çerçevesinde korumak
gerekiyordu.
3. Büyük hacimli kişisel veriler işlenmesi 1980 sonrasında daha kolay hale geldi çünkü bilgisayar ve internet gelişti.
Aslında kişisel verinin bilgisayar ortamına aktarılması (dijital dönüşümü) nedeniyle bugün KVKK ve GDPR gibi yasaları konuşuyoruz.
Tuncay IŞIK
Satış Ve Pazarlama Direktörü
