(Lexpera Blog’da yayınlanmıştır. Link için buraya tıklayınız.)
Giriş
Son dönemlerde Koronavirüs (Covid-19) salgını nedeniyle iş, ticari, eğitim vb. faaliyetlerimizin birçoğu online platformlar vasıtasıyla devam ettirilmektedir. Sosyal ilişkilerimiz açısından da günlük hayatımızın vazgeçilmezi haline gelen söz konusu platformlar aynı zamanda başta görüntü ve ses olmak üzere birçok kişisel verimizin işlenmesine de sebep olmaktadır.
Kişisel Verileri Koruma Kurumu, 07 Nisan 2020 tarihli Kamuoyu Duyurusu’nda “Uzaktan eğitim platformlarında, öğrencilerin ad ve soyadları gibi kişisel verileri ile ses ve görüntü gibi biyometrik veri kapsamında değerlendirilebilecek bazı özel nitelikli kişisel verilerinin işlendiği görülmektedir. 6698 sayılı Kişisel Verilerin Korunması Kanununun 5 inci maddesinde kişisel verilerin işlenme şartları, 6 ncı maddesinde ise biyometrik verilerin dâhil olduğu özel nitelikli kişisel verilerin işlenme şartları belirlenmiştir. Bu noktada, kişisel verilerin Kanunun 5 inci ve/veya 6 ncı maddesinde belirtilen şartlara uygun olarak işlenmesi gerekmektedir.” ifadelerine yer vermiştir.
Kamuoyu duyurusunda yer alan ifadelerden de anlaşılacağı üzere Kurum, kişilere ait ses ve görüntülerin biyometrik veri kapsamında değerlendirilebileceğini belirtmiştir. Ancak ses ve görüntü kayıtlarının her durumda biyometrik veri olarak değerlendirilmesi birçok sorunu da beraberinde getirecektir. Bu sebeple ses ve görüntü verilerinin ancak biyometrik yöntemler vasıtası ile işlemeye tabi tutulması halinde özel nitelikli veri olarak kabul edileceğinin belirtilmesi gerekmektedir.
1. Türk Hukukunda Kişisel Veriler ve Özel Nitelikli Kişisel Veriler
7 Nisan 2016 tarihli ve 29677 sayılı Resmi Gazete’ de yayınlanarak yürürlüğe giren 6698 sayılı Kişisel Verilerin Korunması Kanunu’nda kişisel veri ve özel nitelikli kişisel veri kavramları hukuki olarak tanımlanmış ve söz konusu verilerin hangi şartlarda işlenebileceğinin kuralları belirlenmiştir.
Kanunun “Tanımlar” başlıklı 3/d maddesinde kişisel veri; “Kimliği belirli veya belirlenebilir gerçek kişiye ait her türlü bilgi” şeklinde tanımlanmıştır. Bununla birlikte, Kanunun 6. Maddesinde “Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir.” şeklinde özel korumaya muhtaç olan kişisel veriler sınırlı sayıda sayılmıştır.
“Özel Nitelikli Kişisel Verilerin İşlenme Şartları” başlıklı 6. Maddenin gerekçesinde ise; “Bu verilerin, başkaları tarafından öğrenildiği takdirde ilgili kişinin mağdur olabilmesine veya ayrımcılığa maruz kalabilmesine neden olabilecek nitelikte veriler olmaları dikkate alınmakta, bu sebeple bu tür veriler özel nitelikli (hassas) veri olarak kabul edilmektedir.” ifadelerine yer verilmiştir.
Kanunun 5. Maddesinin birinci fıkrasında kişisel verilerin açık rıza olmaksızın işlenemeyeceği, ikinci fıkrasında ise bazı durumlarda açık rıza aranmaksızın kişisel verilerin işlenebileceği belirtilmiştir. İstisnai durumlar ise şöyle sıralanmıştır:
a) Kanunlarda açıkça öngörülmesi.
b) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması.
c) Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması.
ç) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.
d) İlgili kişinin kendisi tarafından alenileştirilmiş olması.
e) Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.
f) İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.
Ancak özel nitelikli kişisel verilerin işlenmesi bakımından aynı kapsamda bir istisna uygulamasına gidilmemiştir. Kanun kapsamında sağlık ve cinsel hayat dışındaki özel nitelikli kişisel verilerin kanunlarda öngörülen hallerde açık rıza olmaksızın işlenebileceği, sağlık ve cinsel hayata ilişkin özel nitelikli kişisel verilerin ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amaçlarıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından işlenebileceği düzenlenmiştir. Görüleceği üzere özel nitelikli kişisel verilerin işlenmesi daha sıkı şartlara tabi tutulmuştur.
Kanun’da biyometrik veri tanımına yer verilmemiş olup, GDPR’da yüz görüntüleri veya daktiloskopik veriler gibi bir gerçek kişinin özgün bir şekilde teşhis edilmesini sağlayan veya teyit eden fiziksel, fizyolojik veya davranışsal özelliklerine ilişkin olarak spesifik teknik işlemeden kaynaklanan kişisel veriler biyometrik veri olarak tanımlanmıştır. Yine, GDPR’ın Recital bölümünün 51 inci maddesinde de biyometrik verilerle ilgili olarak; fotoğrafların işlenmesinin doğrudan biyometrik veri olarak nitelendirilemeyeceği ifade edilmiş olup yalnızca gerçek bir kişinin benzersiz bir şekilde tanımlanmasına veya doğrulanmasına izin veren belirli bir teknik yöntemle işlendiğinde bu verilerin biyometrik verilerin tanımı kapsamında kabul edileceği belirtilmiştir. Dolayısıyla bir verinin biyometrik veri kapsamında değerlendirilebilmesi için o verinin sadece o kişiyi tanımlayabilme ya da doğrulayabilme özelliğine sahip olması gerekmektedir.
2. Ses ve Görüntü Verilerinin İşlenmesi
Görüntü ve ses gibi kişisel verilerin, biyometrik yöntemler vasıtası ile bir tanımlama veya doğrulama işlemine tabi tutulmadığı sürece özel nitelikli kişisel veri olarak kabul edilmemesi gerekmektedir. Online platformlarda gerçekleştirilen eğitim veya iş faaliyetleri esnasında kayıt alınması nedeniyle özel nitelikli kişisel veri işleme faaliyetinin gerçekleştiğini söylemek Kanun’un amacı bakımından doğru olmayacaktır.
Ancak, görüntü ve ses kayıtlarının, gerçek bir kişinin benzersiz bir şekilde tanımlanmasına veya doğrulanmasına izin veren belirli bir teknik yöntemle işlenmediği takdirde biyometrik veri olmaması yani özel nitelikli veri kapsamında değerlendirilmemesi gerektiği, söz konusu verilerin, Kanunun 3. Maddesinde tanımlanan “kişisel veri” olmasına engel değildir.
Online platformlarda gerçekleştirilen birçok toplantı, görüşme ve derslerin tamamının veya bir kısmının kayıt altına alınması ya da fotoğraflanması ve daha sonra ya da eş zamanlı olarak bazı katılımcılar tarafından sosyal medyada veya diğer platformlarda paylaşılması, Kişisel Verilerin Korunması Kanunu açısından değerlendirildiğinde hukuka aykırılıklara sebep olabilecek niteliktedir.
Yukarıda değindiğimiz üzere Kanunun 5. Maddesinde kişisel verilerin açık rıza olmaksızın işlenemeyeceği belirtilmiş, akabinde ise açık rıza aranmaksızın işlenebilecek durumlar sayılmıştır. Online platformda gerçekleştirilen sesli ve görüntülü toplantı/görüşme esnasında alınan kayıtların ve bu kayıtların paylaşılmasının Kanunun 5/2. maddesinde belirtilen istisnai durumların içerisinde değerlendirilemeyeceği kanaatindeyiz. Bu sebeple toplantı/görüşme esnasında kayıt yapılması ve bu kaydın sosyal medya vb. platformlarda paylaşılması için açık rıza alınması gerekmektedir. Açık rıza ise Kanunun 3/a maddesinde; “Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza” olarak tanımlanmaktadır.
Sonuç:
Online platformlarda gerçekleştirilen birçok toplantı, görüşme ve derslerin tamamının veya bir kısmının kayıt altına alınması ya da fotoğraflanması ve daha sonra ya da eş zamanlı olarak bazı katılımcılar tarafından sosyal medyada veya diğer platformlarda paylaşılması, Kişisel Verilerin Korunması Kanunu açısından değerlendirildiğinde hukuka aykırılıklara sebep olabilecek niteliktedir.
Kişisel Verilerin Korunması Kanunu’nda yer alan hükümlere göre; toplantı, görüşme ve derslerin kayıt altına alınması ya da fotoğraflanması ve bunların sosyal medya vb. platformlarda paylaşılabilmesi için ilgilisinden açık rıza alınması gerekmektedir
Bu nedenle; iş, eğitim, ticari, sosyal vb. faaliyetler sebebiyle oldukça sık kullandığımız ve kullanmaya devam edeceğimiz birçok uygulama ile online platformda görüşmeler yaparken bu görüşmelerin kayıt altına alınması veya fotoğraflanması ve paylaşılmasının bir veri işleme faaliyetini olduğunu, söz konusu veri işleme faaliyetini gerçekleştirmeden önce ilgili kişilerden açık rıza almak zorunda olduğumuzu, aksi takdirde çeşitli idari, hukuki ve cezai yaptırımlar ile karşı karşıya kalabileceğimizi unutmamalıyız.