Kişisel Verileri Koruma Kurumu Başkanı Prof. Dr. Faruk BİLİR ile Söyleşi

Kişisel Verileri Koruma Kurumu Başkanı Prof. Dr. Faruk BİLİR ile Söyleşi

Anayasada öngörülen özel hayatın gizliliği ile temel hak ve özgürlüklerin korunması kapsamında, ülkemizde kişisel verilerin korunmasını sağlamak ve buna yönelik farkındalık oluşturarak bilinç düzeyini geliştirmek, aynı zamanda veri temelli ekonomide sektörleri yönlendirerek özel ve kamusal aktörlerin uluslararası rekabet kapasitelerini artırıcı bir ortam oluşturmak ve toplumun ilgili tüm kesimleri tarafından ulaşılabilen ve ihtiyaçları önceden karşılayabilen bir kurum olarak kişisel verilerin korunması ile buna ilişkin vatandaşlık bilincinin oluşmasında etkin ve uluslararası alanda söz sahibi bir otorite olmak gayesiyle çalışmalarını yürüten Kişisel Verileri Koruma Kurumu Başkanı Prof. Dr. Faruk Bilir ile; siber güvenlik alanında bilgi ve bilinç düzeyini arttırmak, konu ile ilgili teknolojik gelişmeleri izlemek, milli teknolojilerin geliştirilmesine katkı sağlamak, bireysel, kurumsal ve ulusal düzeydeki riskler konusunda farkındalık oluşturmak amacı ile Türkiye’de bilişim sektörünün durumu, devletimizin kalkınmasında BT ve Telekomünikasyon sektörünün yeri ve bilhassa siber güvenlik ve Kişisel Verilerin Korunması Kanunu kapsamında bilinmesi gerekenler ve çözüm önerileri konularında ülkemizin bugünü ve geleceği adına yapılması gerekenleri konuştuk.

Kişisel Verileri Koruma Kurumu Başkanı Prof. Dr. Faruk Bilir ile Söyleşi

CyberMag: Öncelikle Kişisel Verileri Koruma Kurumu’nun kuruluş sürecini anlatır mısınız?

Prof. Dr. Faruk Bilir: 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 7 Nisan 2016 tarihli ve 29677 sayılı Resmi Gazetede yayımlanarak yürürlüğe girmesini takiben kurul üyeliği için seçimler tamamlanmış, kurul üyeleri 12.01.2017 tarihinde Yargıtay Birinci Başkanlık Kurulu huzurunda yemin etmişler ve üye olarak seçilenler arasından yapılan oylama ile başkan ve ikinci başkan seçilmiştir. Kurum, idari - mali özerkliğe sahip ve kamu tüzel kişiliğini haiz olup Kişisel Verileri Koruma Kurulu ve Başkanlık teşkilatından oluşmaktadır.

CyberMag: Kurumunuz bünyesinde yapmış olduğunuz çalışmalar neticesinde kurumun nihai amaç ve hedefleri nelerdir?

Prof. Dr. Faruk Bilir: Özel hayatın gizliliğini koruma, temel hak ve özgürlüklere saygı, tarafsızlık, bağımsızlık, güvenilirlik, hukuka ve etik ilkelere uygunluk, şeffaflık, hesap verilebilirlik, hızlı, doğru ve objektif karar alma, işbirliği ve katılımcılık, ulusal ve uluslararası düzeyde hizmet verme değerleri doğrultusunda anayasada öngörülen özel hayatın gizliliği ile temel hak ve özgürlüklerin korunmasını teminen; ülkemizde kişisel verilerin korunmasını sağlamak, buna yönelik farkındalık oluşturmak, veri temelli ekonomide özel ve kamusal aktörlerin uluslararası rekabet kapasitelerini artırıcı bir ortam yaratmak temel amaç ve değerlerimizdir.

CyberMag: KVKK olarak gerek üniversitelerde gerek kamu ve özel sektör bünyesinde çalıştay, konferans ve seminerler düzenlemektesiniz. Bu çalışmalardan beklentileriniz nelerdir? Umduğunuz verimi alabiliyor musunuz?

Prof. Dr. Faruk Bilir: Kurum olarak çalışmalarımıza başladığımız günden bu yana önceliğimiz kanunu, kanunun hukuk sistemimize katkıları ile kişilere getirdiği hak ve yükümlülükleri ve bu alanda ülkemizin yetkili otoritesi olarak kurumu tanıtmak oldu. Nitekim daha önce kişisel verilerin korunmasına yönelik çeşitli mevzuat düzenlemeleri bulunmakla birlikte, ülkemizde ilk kez 6698 sayılı kanun ile bu alanda başlı başına bir kanuni düzenleme yapılmış ve yetkili bir otorite tesis edilmiştir.

Diğer yandan, alanın güncel ve dinamik bir yapıya sahip olması, teknolojik gelişmelerden çok hızlı etkilenmesi, uluslararası mevzuatın da bir taraftan sürekli değişmesi, bu alanda faaliyet gösterenlerin ve onların faaliyetlerinden etkilenenlerin ihtiyaçlarının da bu etkenlere bağlı olarak farklılaşması, hem konuya ilişkin daha fazla çalışma yapılmasını, hem karşılıklı bilgi alışverişini güncel tutmayı hem de kurum olarak sahadaki son gelişmeleri takip etmeyi gerektirmektedir. Bu bakımdan kurum olarak gerek kamu sektörü ile gerek özel sektör ile işbirliği halinde gerçekleştirilen çalışmaların her anlamda faydalı ve geliştirici olduğunu düşünüyoruz. 

CyberMag: Kişisel Verilerin Silinmesi Yok Edilmesi veya Anonim Hale Getirilmesi Yönetmelik Taslağı kamuoyunun görüş ve önerilerine sunuldu. Beklediğiniz geri dönüşleri alabildiniz mi?

Prof. Dr. Faruk Bilir: Bugüne kadar hazırlanan yönetmelik taslaklarından hem Veri Sorumluları Sicili Hakkında Yönetmelik hem de Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik kamuoyunun görüş ve önerilerine sunuldu. Her iki yönetmelik taslağına ilişkin olarak gerek özel sektör gerek kamu kurum ve kuruluşları oldukça yoğun ilgi gösterdiler, bu anlamda çok sayıda kuruluş söz konusu düzenleme taslakları ile ilgili olarak görüş ve önerilerini bizimle paylaştı. Bu görüş ve öneriler kurulumuz tarafından değerlendirildi. Bu kapsamda gerekli görülen değişiklikler de yapılarak söz konusu yönetmelik taslakları yayımlanmak üzere Başbakanlığa gönderildi.  

CyberMag: Kişisel Verilerin Korunması Kanunu’nun 16. maddesinde “Veri Sorumluları Sicili” tutulması hükme bağlanmıştır. Kişisel verileri işleyen gerçek ve tüzel kişilerin kayıt altında tutulmasını şart koşan bu maddenin gerekliliklerini okuyucularımızla paylaşır mısınız? Söz konusu maddeye göre, bazı durumlarda Kişisel Verileri Koruma Kurumu, Kurul kararıyla sicile kayıt zorunluluğuna istisna getirilebiliyor? Bu istisnai durumlardan bahsedebilir misiniz?

Prof. Dr. Faruk Bilir: Veri Sorumluları Sicili, veri sorumlularının kayıt olmak zorunda oldukları ve veri işleme faaliyetleri ile ilgili bilgileri beyan ettikleri bir kayıt sistemidir.  Kişisel veri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorundadır.

Sicile kayıt olma yükümlülüğü, kişisel verilerin işlenmesi faaliyetlerinde şeffaflık sağlanması ve veri sorumlarının mevzuata uyumlu hareket etmeleri konusunda daha güvenli bir ortam oluşturulması amacını taşımaktadır. Sicile açıklanacak bilgiler; veri güvenliği, süreç optimizasyonu, ekonomik fizibilite gibi oldukça detaylı ve disiplinler arası bir çalışma sonucunda derlenecek bilgilerdir.

İşlenen kişisel verinin niteliği, sayısı, veri işlemenin kanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi kurulca belirlenecek objektif kriterler göz önüne alınmak suretiyle, kurul tarafından, sicile kayıt zorunluluğuna istisna getirilebilir. Veri işleme faaliyetinin büyük bir kısmı kanun hükmüne dayanmakta olup bu faaliyetlerin alt yapısında gerekli teknik ve idari güvencenin oluşturulduğuna ve yeterli hukuki himayenin sağlandığına kanaat getirilmesi halinde ilgili veri sorumlusuna sicile kayıt yükümlülüğü getirilip getirilmeyeceği noktasında bir değerlendirme yapılabilecektir.

Burada öngörülen yalnızca sicile kayıt yükümlülüğünün istisnası olup kişisel verilerin korunmasına ilişkin genel esaslara ve kanunla getirilen diğer düzenlemelere uygun davranma yükümlülüğü devam edecektir.

CyberMag: Dünyadaki örnekleri de dikkate alarak (AB’nin kullandığı General Data Protection Regulation, Amerika’nın kullandığı The Privacy Act of 1974 veya İngiltere’nin kullandığı 1984 tarihli Data Protection Act ) ülkemizde yürürlüğe giren Kişisel Verilerin Korunması Kanunu’nu değerlendirebilir misiniz? Kişisel verilerin korunması adına yapılması gerekenler nelerdir?

Prof. Dr. Faruk Bilir: The Privacy Act of 1974, Amerika Birleşik Devletleri’nde kişisel verilerin korunması konusunda federal seviyede geniş kapsamlı koruma sağlayan ilk düzenlemedir. Özel Hayat Kanunu olarak Türkçeye çevirebileceğimiz bu Kanun, kişisel verilerin Federal Devlet tarafından işlenmesi halinde uygulanacak olup federal kurumların kişisel verileri işleme usul ve esasları ile ilgili kişilerin haklarını düzenlemektedir. ABD’de özel hayatın korunması bakımından anglo sakson bakış açısı diğer bir ifade ile devletin kişilerle ilgili hiçbir müdahalesinin olmaması esası geçerli olduğundan, bu yönüyle Kıta Avrupası hukuk sisteminden ayrılır. Belirtmek gerekir ki ABD’de kişisel veriler teamül hukuku, federal kanunlar, anayasa, eyalet kanunları ve bazı eyalet anayasaları olmak üzere parçalı bir sistem ile korunmaya çalışılmakta, bu durum uygulama bakımından pratik görülmemektedir.

İngiltere’nin 1984 tarihli Data Protection Act diğer bir ifade ile Veri Koruma Kanunu ilk kapsamlı veri koruma kanunudur. Kanunun temel prensipleri 1998 tarihli Veri Koruma Kanunu’nda aynen benimsenmiştir. Bu kanun ile 95/46/AT sayılı direktif uygulamaya konulmuştur. Bilindiği üzere, bizim kanunumuz da 95/46/AT sayılı direktif ile uyumludur. Bu bakımdan İngiltere uygulaması ile ülkemiz uygulaması arasında büyük bir benzerlik bulunduğu söylenebilir.

2016/679 sayılı Avrupa Birliği Genel Veri Koruma Tüzüğü (General Data Protection Regulation/GDPR), 95/46/AT sayılı direktifin kurallarının güncellendiği ve modernize edildiği bir düzenlemedir. Her ne kadar direktif ile AB ülkeleri için ortak hükümler getirilmiş olsa da uygulama bakımından her ülkenin iç hukukuna atıf yapıldığından, uygulamada birlik sağlanamamıştır. AB tarafından reform olarak kabul edilen bu tüzük ile AB ülkelerinin tamamında uygulanacak olan tek bir düzenleme getirilmesi öngörülmektedir. 2016 yılında kabul edilen bu düzenleme 25 Mayıs 2018 tarihinde 95/46 sayılı “direktif”i ilga ederek yürürlüğe girecektir. 

CyberMag: Kişisel veri denince akla ilk bankalar ve sağlık kuruluşları gelse de Twitter, Facebook gibi sosyal medya veya Whatsapp gibi mesajlaşma uygulamaları da kişisel verilerimizi barındıran ve işleyen platformlardır. Yürürlükteki Kişisel Verilerin Korunması Kanunu kişisel verilerimizi ülkemiz dışında saklayan ve işleyen sosyal medya şirketlerini nasıl etkileyecek? Bahsi geçen kanun sosyal medya şirketleri tarafından işlenen verilerimizin ülkemiz içinde tutulmasına ve işlenmesine ön ayak olabilir mi?

Prof. Dr. Faruk Bilir: Veri Sorumluları Sicili Hakkında Yönetmeliğin yürürlüğe girmesi ile birlikte yalnızca Türkiye’de yerleşik veri sorumluları değil, ülkemiz sınırları içerisinde kişisel verileri elde eden, bir başka ifade ile Türkiye’de yerleşik gerek yerli gerek yabancıların kişisel verilerini işleyen veri sorumluları da veri sorumluları siciline kayıt olmakla yükümlü olacaklardır. Kişisel verilerin elde edilmesi bir kişisel veri işleme faaliyeti olduğundan, kişisel veriler ülkemiz sınırları içerisinde elde edildiği takdirde bundan sonraki işleme faaliyetleri yurtdışında gerçekleşse ve söz konusu veriler yurtdışında saklansa dahi bu işlemi gerçekleştiren kişi ve kuruluşlar da veri sorumluları siciline temsilcilerini bildirmek suretiyle kaydolacak ve kanunun hükümlerine uymakla yükümlü olacaktır.  Kaldı ki kişisel verilerin elde edilme aşaması dâhil olmak üzere hiçbir şekilde ülkemizde kişisel veri işlemeyen kuruluşlar bile Türkiye’de yerleşik bir veri sorumlusundan kişisel verilerin aktarılması yoluyla bu bilgilere ancak kanunda belirtilen usuller dâhilinde sahip olabilecektir.

CyberMag: Oluşturulan Kişisel Verileri Koruma Kurumu hakkında okuyucularımıza bilgi verebilir misiniz? Kurum kime bağlı olacak? Kurumun nasıl bir yapısı olacak? Kurumun ne gibi yaptırım gücü olacak? Kuruma bağlı kurulun ne gibi görevleri ve yetkileri olacak?

Prof. Dr. Faruk Bilir: Kanunun yürürlüğe girmesi ile birlikte, kanunla verilen görevleri yerine getirmek üzere Kişisel Verileri Koruma Kurumu kurulmuştur. Kurul üyelerimizin seçilmesi ve yemin etmeleri ile birlikte kurum da fiili olarak faaliyetlerine başlamıştır. Kurum, idari ve mali özerkliğe sahip, kamu tüzel kişiliğini haiz ve Başbakanlıkla ilişkilidir.

Kurum; kurul ve başkanlıktan oluşur. Kurumun karar organı “Kurul”dur.

Kurul, bu kanunla ve diğer mevzuatla verilen görev ve yetkilerini kendi sorumluluğu altında, bağımsız olarak yerine getirir ve kullanır. Görev alanına giren konularla ilgili olarak hiçbir organ, makam, merci veya kişi, kurula emir ve talimat veremez, tavsiye veya telkinde bulunamaz. Kurul; beşi Türkiye Büyük Millet Meclisi, ikisi Cumhurbaşkanı, ikisi Bakanlar Kurulu tarafından seçilen dokuz üyeden oluşur. Seçilen üyeler Yargıtay Birinci Başkanlık Kurulu huzurunda yemin ederek göreve başlamış olurlar.

Kurulun başlıca görevleri; kişisel verilerin temel hak ve özgürlüklere uygun olarak işlenmesini sağlamak, özel nitelikli kişisel verilerin işlenmesinde gerekli ve yeterli önlemleri almak, kişisel verilerin yurt dışına aktarımında yeterli korumanın bulunduğu ülkeleri tespit ve ilan etmek, kişisel verilerin aktarılacağı yabancı ülkede yeterli korumanın bulunmaması durumunda veri aktarımına izin verilip verilmeyeceğini değerlendirmek, yurt dışına aktarımda uyulacak usul ve esasları belirlemek, veri sorumluları tarafından kuruma yapılan bildirimleri incelemek, ilgili kişi başvurularını incelemek, ilke kararları almak, telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılık olması hâllerinde veri işlenmesinin veya verinin yurt dışına aktarılmasının durdurulmasına karar vermek, sicilin gözetimini yapmak, sicile kayıt zorunluluğuna istisnalar getirmek, düzenleyici işlemler yapmak ve kişisel verilere ilişkin hüküm içeren mevzuat taslakları hakkında görüş bildirmek olarak sıralanabilir.

CyberMag: Öncelikle kanunun koruma altına aldığı kişisel veri kavramından bahsedebilir misiniz? Hangi bilgiler kişisel veri kapsamına girer?

Prof. Dr. Faruk Bilir: Kimliği belirli ya da belirlenebilir nitelikteki gerçek bir kişiye ilişkin her türlü bilgi kişisel veridir. Kişisel veriden söz edebilmek için, verinin bir gerçek kişiye ilişkin olması ve bu kişinin de belirli ya da belirlenebilir nitelikte olması gerekmektedir. Bu bakımdan tüzel kişilere ait veriler kanunun getirdiği korumanın dışında kalmaktadır. Örneğin, bir şirketin ticaret unvanı ya da adresi gibi tüzel kişiliğe ilişkin bilgiler kişisel veri sayılmayacaktır. Bunun istisnası ise tüzel kişiye ait bilginin bir gerçek kişiyle ilişkilendirilebileceği durumlardır.

Gerçek kişiye ilişkin her türlü bilgi kanunun koruması kapsamındadır. Örneğin gerçek kişinin; adı, soyadı, doğum tarihi ve doğum yeri, telefon numarası, motorlu taşıt plakası, sosyal güvenlik numarası, pasaport numarası, özgeçmiş, resim, görüntü ve ses kayıtları, parmak izleri, IP adresi, e-posta adresi, hobiler, tercihler, aile bilgileri, sağlık bilgileri gibi kişiyi doğrudan veya dolaylı olarak belirlenebilir kılan tüm veriler kişisel veri olarak kabul edilmektedir.

Kanunda hangi bilgilerin kişisel veri olarak kabul edileceğine ilişkin sınırlı sayma yoluna gidilmediğinden kapsamının genişletilmesi mümkündür. Önemli olan bir verinin kişi ile ilişkilendiriliyor olması ya da kişiyi tanımlayabilmesidir.

CyberMag: Kanun kapsamında kural olarak kişisel verilerin işlenmesi için ilgili kişinin açık rızası gerekir. Ancak bazı koşullarda kişisel veri sahibinin rızasının alınmasına gerek yoktur. Kişisel verilerin işlenmesindeki bu istisnai durumlara örnek verebilir misiniz?

Prof. Dr. Faruk Bilir: Açık rıza, belirli bir konuya ilişkin bilgilendirilmeye dayanan ve özgür irade ile açıklanan rızadır. Başka bir ifade ile ilgili kişinin veri işlenmesine özgürce, konu hakkında yeterli bilgi sahibi olarak ve sadece o işlemle sınırlı kalmak kaydıyla verdiği onay beyanıdır.

Kanunda kural olarak veri işleme faaliyeti için açık rıza aranır. Ancak; kanunlarda açıkça öngörülmesi, fiili imkânsızlık (rıza açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması), bir sözleşmenin kurulması veya ifası, veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi, kişisel verinin ilgili kişinin kendisi tarafından alenileştirilmiş olması,  bir hakkın tesisi, kullanılması veya korunması ve (ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla) veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması hallerinde ilgili kişinin açık rızası olmaksızın kişisel verilerin işlenmesi mümkündür.

CyberMag: Veri İşleyen ve Veri Sorumlusu kavramları çokça karıştırılıyor. Bu kavramları açıklayabilir misiniz?

Prof. Dr. Faruk Bilir: Veri sorumlusu, kişisel verileri işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir. Bu kişiler, gerçek kişiler olabileceği gibi kamu kurumları, şirketler, dernekler veya vakıflar gibi tüzel kişiler de olabilecektir.

Veri işleyen ise, veri sorumlusu adına ve veri sorumlusunun verdiği yetkiye dayanarak kişisel veri işleyen gerçek veya tüzel kişidir.

Veri sorumlusunun tespiti için; kişisel verilerin işlenmesi ve işlenme amacı, işlenecek kişisel veri türleri, işlenen kişisel verilerin hangi amaçla kullanılacağı, kimlerin kişisel verisinin işleneceği, kişisel verilerin paylaşılıp paylaşılmayacağı, paylaşılacaksa kimlerle paylaşılacağı, ne kadar süreyle saklanacağı, ilgili kişilerin erişim hakkı ve diğer haklarının uygulanıp uygulanmayacağı gibi hususlarda kimin karar verdiği dikkate alınır. Örneğin, veri sorumlusunun verdiği yetkiye dayanarak veri sorumlusu adına faaliyet gösteren, dışarıdan hizmet alınması suretiyle çağrı merkezi hizmeti veren bir şirket bu faaliyet kapsamında veri işleyen olarak kabul edilecektir.

CyberMag: KVKK olarak, bilgi güvenliği konusunda çalışma yürüten sivil toplum kuruluşlarına, derneklere destek veriyorsunuz. Bu durum göz önünde bulundurulduğunda, sektör üzerinde bir sinerji oluşturmak ve farkındalık yaratmak adına sivil inisiyatif organlarına düşen görevler nelerdir?

Prof. Dr. Faruk Bilir: 6698 sayılı kanunun iyi analiz edilerek uygulamada birlik sağlanabilmesi, kanun ile hem kişisel verisi işlenenlerin hem de kişisel veri işleme faaliyetinde bulunanların maksimum faydayı elde etmesi, iki tarafın da hak ve menfaatler dengesinde çıkarlarının gözetilebilmesi için sektörün ve sektörün etkilediği kişi ve kurumların birlikte hareket etmesi faydalı olacaktır.

CyberMag: CyberMag, siber dünyadaki riskler ve siber güvenlik konusuna odaklanmış Türkiye’nin ilk basılı ve elektronik dergisi olarak farkındalığı artırmayı ve insanları bilgilendirmeyi amaç edinmektedir. Bu amaçla yola çıkan ve yayın hayatına bir seneyi aşkın bir süredir devam eden CyberMag hakkında düşünceleriniz nelerdir?

Prof. Dr. Faruk Bilir: Siber güvenlik gibi spesifik bir alanda, konuya ilişkin güncel gelişmelere, makale, haber ve etkinliklere bir arada ulaşma imkanı veren CyberMag sadece bir dergi değil aynı zamanda bu alanda çalışanlar için faydalı bir kaynak ve platform değeri taşımaktadır. Hem firmaların hem de ilgili kimselerin tüm siber gelişmeleri takip edebileceği ve paylaşabileceği ortak bir nokta yaratılmasının gerekli ve faydalı olduğu açıktır.

CyberMag: Eklemek istediğiniz başka bir konu var mı?

Prof. Dr. Faruk Bilir: Kişisel verilerin korunmasının önemine binaen, ilgili kişiler nezdinde farkındalık oluşturulması amacıyla bugüne kadar kanunun uygulanmasına ilişkin rehber, broşür, soru-cevap kitapçığı çalışmaları gerçekleştirdik, kamu kurum ve kuruluşlarına ve özel sektörde faaliyet gösteren kuruluşlara yönelik çalıştaylar düzenledik. Bu anlamda hazırlanan ikincil düzenlemelere, duyurulara, haberlere ve gerçekleştirilen faaliyetlere, kurumumuzun internet sitesi ile Twitter ve Facebook hesaplarında da yer veriyoruz. Bundan sonraki süreçte de kamuoyu nezdinde farkındalık oluşturulmasını teminen tanıtıcı film, broşür ve kamu spotlarının yayımlanması, sosyal medyaya ilişkin çalışmaların zenginleştirilmesi en önemli hedeflerimiz arasında. Bu alandaki gelişmeler ile kurumumuz faaliyetlerini söz konusu mecralardan takip edebilirsiniz.