VERİ GÜVENLİĞİ VE KİŞİSEL VERİLERİN KORUNMASIYLA İLGİLİ BİR ANALİZ: GIDA VE TARIM SEKTÖRÜNDEKİ İŞLETMELER AÇISINDAN VURGULAMA

“Scientia Potentia Est”[1]

ÖZET

Teknolojik gelişmelerin takip edilemeyecek bir hızda gerçekleştiği, dijital ortamın ve yapay zekânın en az yüz yüze ilişkiler kadar günlük hayatın içine girdiği günümüz dünyasında, bilgiyi depolamak ve aktarmak giderek kolay bir hal almaktadır. Ancak bu durum, veri güvenliğinin sağlanması ile ilgili tereddütleri de beraberinde getirmektedir. Kısaca, insana ait ve bireyi tanımlayabilecek her türlü bilgi olarak tanımlanan kişisel verilerin korunması, giderek artan bir önem arz etmektedir.  Günümüzde, bilginin gücü sayesinde bilgiyi kontrol altında tutan teknoloji firmaları, dünya siyasetine yön verecek ve birçok ülkenin ekonomisi ile boy ölçüşecek konuma gelmişlerdir. Tüm bu şartlar altında gerçek ve tüzel kişilere ait verilerin güvenliği açsından uluslararası bağlayıcılığı olan düzenlemeler giderek daha fazla önem arz etmektedir.

ABSTRACT

In today’s world, where technological developments occur at an untraceable pace and digital media and artificial intelligence are as much a part of daily life as face-to-face relationships, storing and transferring information is becoming increasingly easy. However, this situation also brings with it hesitations regarding data security. In short, the protection of personal data, defined as all kinds of information that belongs to a person and can identify an individual, is of increasing importance. Today, thanks to the power of information, technology companies that control information have come to a position to direct world politics and compete with the economies of many countries. Under all these conditions, internationally binding regulations are becoming increasingly important for the security of data belonging to real and legal persons.

Veri Güvenliği Ve Kişisel Verilerin Korunmasıyla İlgili Bir Analiz: Gıda Ve Tarım Sektöründeki İşletmeler Açısından Vurgulama

İngilizce “personal data” olarak anılan “kişisel veri” kavramı, bireyin etnik kökeni, politik düşünceleri, dini inançları, ticari ilişkileri ve üyelikleri, biyometrik detayını da kapsayan, genetik verileri, sağlık bilgileri gibi tanımlanmasına katkı sağlayan, önemli bilgiler olarak tanımlanmaktadır. Bu bağlamda bireyin adı, soyadı, doğum tarihi ve doğum yeri gibi onun kesin teşhisini sağlayan bilgilerin yanı sıra aynı zamanda kişinin fiziki, ailevi, ekonomik, sosyal ve sair özelliklerine ilişkin bilgiler de kişisel veri kapsamında sayılmaktadır. Kısaca “kişisel veri”, elde edildiği takdirde belirli veya belirlenebilir bir kişiyle ilgili tüm bilgiler olarak tanımlanabilir.

“Kişisel verilerin işlenmesi”, kişisel verilerin elde edilmesi, saklanması, üzerinde herhangi bir değişiklik yapılması, sınıflandırılması, başkalarına aktarılması ve başkaları tarafından erişilebilir hâle getirilmesi, ya da kullanılması ve ait olduğu kişi tarafından kullanımının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi ifade eder. Yani çeşitli yerlerde depolanmış, daha önce birbiri ile ilişkisi olmayan pek çok verinin merkezi olarak bir araya getirilebilmesi bunun sonucu olarak anlamlandırılmasıdır.

Veri erişim ve aktarım hızının gelişen teknoloji ile en üst seviyelere çıkmasıyla beraber, kişisel verilerin amaç dışı işlenmesini ya da kötüye kullanımının engellenmesi, kişisel hakların ihlal edilmesinin önüne geçilmesi ve verinin güvenliğini sağlamak ulusal ve uluslararası platformlarda en önemli gündemlerden biri haline gelmiştir. Bununla birlikte kişisel verilerin korunması, gerçek kişiler kadar, hangi ölçekte olursa olsun tüm işletmeler açısından da önemli bir mesele hâlini almıştır.[2] Ülkemizde 2016 yılında yürürlüğe giren 6689 sayılı Kişisel Verileri Koruma Kanunu bu açıkları kapatmak amacıyla çıkarılmıştır.

Türk Hukukunda doğrudan kişisel veri kavramını konu alan ilk normatif düzenleme,  Avrupa Konseyi’nin üretimi olan 28.1.1981 tarihli ve 108 numaralı “Kişisel Nitelikteki Verilerin Otomatik İşleme Tabi Tutulması Karşısında Şahısların Korunmasına dair sözleşme” ’ye dâhil olmamızla başlar.[3] Bu sözleşmeyle birlikte “95/46/EC numaralı Avrupa Parlamentosu ve Konseyi Yönergesi” (DPD)[4] 6689 numaralı kanunda konuyla ilgili yapılan tüm düzenlemelerin kaynağını oluşturmaktadırlar. Ülkemiz gibi diğer birçok ülke tarafından kabul edilerek, kapsamı kendi iç hukuklarına aktarılan bu belgeler, tanımlamalarındaki belirsizlikler nedeniyle hala tartışma konusu olmaya devam etmektedir.[5] Kaldı ki, hızla gelişen teknoloji ve yapay zekânın kullanımının yaygınlaştığı çağımızda, Avrupa Birliği hukukunda DPD’nin halefi olarak kabul edilen, daha kapsamlı “2016/670 sayılı Avrupa Parlamentosu ve Konseyi Tüzüğü” (Genel Veri Koruma Tüzüğü, GDPR)[6] dahi yetersiz kalmaktadır. Kişisel verilerin korunmasında önemli düzenlemelere sahip Avrupa Birliği üyesi ülkelerde dahi, vatandaşların kişisel verilerinin korunduğuna dair ciddi endişelerinin olduğu yapılan araştırmalara yansımıştır.[7]

Ülkemizde, 2003 yılına kadar farklı tasarı çalışmaları yapılmış olmasına rağmen, “Kişisel Verilerin Korunması Kanun Tasarısı”, 2003 yılında üç yıllık bir çalışma sonrası hazırlanabilmiştir. Bununla birlikte, tasarı on üç yıl sonra 2016 yılında 6689 numaralı “Kişisel Verileri koruma Kanunu (KVKK)” adı altında kanunlaşarak yürürlüğe girmiştir.[8] Bu kanun ile kişisel verilerin işlenmesi, sınırları belirlenmiş ölçüde ve uluslararası standartlara tabi olacak şekilde düzenlenmiştir. Türk hukukunda herkesin kişisel verilerin korunmasını isteme hakkına sahip olduğu karinesi, T.C. Anayasası m. 20/3 ile düzenleme altına alınmıştır.[9] Bu hak, kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirme, bu verilere erişme, bunların düzeltilmesi veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi kapsar. Aynı zamanda, 4721 sayılı Türk Medeni Kanunu kapsamında m. 24 ve devamında yer alan kişilik haklarının korunmasına yönelik düzenlemeler de, kişisel verilerin korunmasıyla bağlantılıdır. Bununla birlikte, Türk hukuk düzeninde kişisel verilerin korunması konusu 6689 sayılı KVKK Yasası yürürlüğe girene, hatta Kişisel Verileri Koruma Kurulu[10] üyeleri seçilmeye başlanıncaya kadar yeterli ve gerekli ilgiyi görmemiştir.[11]

KVKK’da konuyla ilgili öngörülen yaptırımlar, Suçlar ve Kabahatler olmak üzere iki ayrı başlık altında düzenlenmiştir. Kişisel verilere ilişkin ihlallerin bir kısmı Türk Ceza Kanunu kapsamında değerlendirilirken, diğer bazı ihlaller için Kabahatler Kanunu kapsamında idari yaptırım gerektirmektedir.

5237 sayılı Türk Ceza Kanununa 2005 tarihinde eklenen “Özel Hayata ve Hayatın Gizli Alanına Karşı Suçlar” başlıklı 9. Bölümüyle kişisel veriler, kısmen koruma altına alınmıştır. Hapis cezası gerektiren bu suçlar; TCK 135-138. maddelerde düzenlenen “Kişisel Verilerin Kaydedilmesi suçu, Verileri Hukuka Aykırı Olarak Verme Veya Ele Geçirme suçu ve Verilerin Yok Edilmemesi suçu ve Kişisel Verilerin Silinmemesi veya Anonim Hale Getirilmemesi” suçudur. 140. Madde ise tüzel kişiler tarafından uygulanması gereken güvenlik tedbirlerinin ihlali ile ilgilidir.

Buna karşılık ceza hukukunun son çare olması ilkesinden hareketle kişisel verilerin korunmasına ilişkin bazı ihlal biçimlerini kabahat olarak değerlendirilebilmektedir. Kişisel Verilerin Korunması Kanunu’nun 18’inci maddesinde düzenlenen ve idari para cezası uygulanan bu ihlaller; aydınlatma yükümlülüğünün yerine getirilmemesi, veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi, kurul tarafından verilen kararların yerine getirilmemesi ile veri sorumluları siciline kayıt ve bildirim yükümlülüğüne aykırı hareket edilmesi olarak belirtilmiştir.

Bununla birlikte,  Türk Ceza Kanunu’nda kişisel verilerin işlenmesi konusunda herhangi bir hükmün bulunmaması başta olmak üzere, kişisel veriler ile ilgili hem içerik hem de kavramlar yönünden TCK ve KVKK arasında bazı uyumsuzluklar devam etmektedir. Bu uyumsuzluklar nedeniyle, suçta ve cezalarda kanunilik ilkesinin kabul edildiği ceza hukukunda, bazı ihlallerin cezalandırılmasında aksaklıklar yaşandığı görülmektedir. Benzer sıkıntıların aşılması için, birçok Avrupa ülkesinde kişisel verilerin korunmasına ilişkin özel kanunlar yapılmış ve bu özel kanunların içerisinde cezai hükümler getirilmiştir. İtalya ve Almanya’da olduğu gibi ülkemizde de, benzer ihlallerin KVKK içinde tekrar düzenlenmesinin çözüm olabileceği dile getirilmektedir.[12]

Günümüz dünyasında ve ülkemizde, kişisel verilerin korunmasıyla ilgili hukuki yaptırımlar, büyüklü küçüklü tüm işletmeleri kapsayacak şekilde giderek yaygınlaşmaktadır. Nitekim  T.C. Tarım ve Orman Bakanlığı Eğitim ve Yayın Dairesi Başkanlığı’nın bir duyurusunda[13] KVKK ile ilgili uyumluluk açısından bilgi güvenlik politikalarının yeniden yapılandırılmasıyla ilgili çalışmaların devam ettiği belirtilmektedir.[14] Bu durumun tarım sektöründe çalışan tüm işletmeleri bağlayacağı unutulmamalıdır. Nitekim 213 sayılı VUK’nun m. 235 hükmünde, “1. ve 2. sınıf tüccarlar ile defter tutmak zorunda olan çiftçilerin, gerçek usulde vergiye tabii olmayan çiftçilerden satın aldıkları malların bedelini ödedikleri esnada iki nüsha müstahsil makbuzu düzenleme ve bunlardan birini imzalayarak satıcı çiftçiye verme, diğer nüshasını ona imzalattırarak geri alma” zorunluluğundan bahsedilmektedir. Bununla birlikte fatura yerine geçen müstahsil makbuzları düzenlenirken, malı satın alan tüccar ya da çiftçinin adı soyadı, unvanı ve adresi ve TC numarası gibi, 6689 numaralı kanunla koruma altına alınan kişisel verilerin de kayıt altına alındığı unutulmamalıdır.

SONUÇ

Gerçek bir kişi ile bağlantısı kurulabilecek kişisel verileri alan ve saklayan her kurum kişisel Verilerin Korunması Kanunu kapsamına girmektedir. Nitekim günümüzde bu kanunun kapsamında değerlendirilen ihlallerin büyük çoğunluğunu tüzel kişiliklerle ilgili konular oluşturmaktadır. Bu nedenle tüm tüzel kişiliklerin KVKK ile ilgili yapılanmaları kendi bünyelerinde oluşturması elzemdir.

Ülkemizde  toplumun önemli bir kesimi kırsal alanda yaşamaktadır. Bu kesimin iktisadi olarak elde ettiği gelirler zirai faaliyetlerden oluşmaktadır. Ülkemiz genelinde zirai faaliyetlerden kaynaklanan gelirlerini gerçek usulde vergilendirilen mükellef sayısı oldukça sınırlıdır ve elde edilen gelirlerin kayıt altına alınması ve vergilendirilmesi GVK hükümlerine göre gerçek usulde vergilendirme ve stopaj yoluyla yapılmaktadır. Ancak, bu amaçla  düzenlenmesi zorunlu müstahsil makbuzlarının, 6689 numaralı “Kişisel Verileri koruma Kanunu” kapsamına giren kişisel verileri içerdiği unutulmamalıdır. Nitekim T.C. Tarım ve Orman Bakanlığı Eğitim ve Yayın Dairesi Başkanlığı’nın bu konuyla ilgili yaptığı duyurusu, tarım sektöründe çalışan büyüklü küçüklü tüm tüzel kişilikleri bağlayıcı nitelik taşımaktadır.

KAYNAKÇA

• Lambert, Paul B.: Understanding the New European Data Protection Rules, New York: CRC Press, 2018.
• Lloyd, Ian J., Information Technology Law, 6th Edition, Oxford University Press, Oxford, 2011.
• Custers, Bart-SEARS, Alan M. Vd. (2019). EU Personal Data Protection in Policy and Practice. The Hague: Springer.
• Dülger, Murat Volkan, Bilişim Suçları ve İnternet İletişim Hukuku, 6. Bası, Seçkin Yayıncılık, Ankara, 2015.
• Orhan U, Kişisel Verilerin Korunmasına İlişkin Türk Ceza Hukuku Düzenlemeleri Üzerine Değerlendirmeler Ankara Üni. Hukuk Fak. Dergisi, 70 (4) 2021: 1359-1384.

Av. Cemre Nur Aladağ

[1] Francis Bacon‘a atfedilen ve “Bilgi güçtür” anlamına gelen Latince bir özdeyiştir.

[2] Lambert, (2018) s 24.

[3] Söz konusu sözleşme Türkiye tarafından 28.01.1981 tarihinde imzalanmış ve usulüne uygun olarak 30.1.2016 tarihli ve 6669 sayılı yasa ile onaylanarak Avrupa Konseyi Genel Sekreterliği’ne depo edilmiştir.

[4] Düzenlemenin İngilizce orijinal başlığı şu şekildedir: “Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data”. DPD 23.11.1995 tarih ve L281 sayılı Avrupa Birliği Resmî Gazetesi’nde yayımlanmıştır.

[5] Ian J. Lloyd, (2011), s. 39.

[6] Düzenlemenin İngilizce orijinal başlığı şu şekildedir: “Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation)”. GDPR 04.05.2016 tarih L119 sayılı Avrupa Birliği Resmî Gazetesi’nde yayımlanmıştır.

[7] Custers, (2019), s197.

[8] 6689 numaralı Kişisel Verileri koruma Kanunu (KVKK), 24.3.2016 tarihinde meclis tarafından kabul edilmiş ve 7.4.2016 tarihli ve 29677 sayılı Resmi Gazete’de yayımlanarak yürürlüğe girmiştir. (Yasanın 32. maddesi gereğince “8 inci, 9 uncu, 11 inci, 13 üncü, 14 üncü, 15 inci, 16 ncı, 17 nci ve 18 inci maddeleri yayımı tarihin den altı ay sonra yürürlüğe girmiştir).”

[9] 07.05.2010 tarihinde Anayasa’nın 20’nci maddesine eklenen “Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir” hükmü ile kişisel verilerin korunması anayasal güvence altına alınmıştır.

[10] 6689 numaralı kanunla tanımlanan, “Kişisel Verileri Koruma Kurulu” nun görevleri arasında; verilerin işlenmesinde yeterli önlemlerin alınması ile ilgili kontrolleri sağlamak, yabancı ülkelere veri aktarımına ilişkin izinleri vermek, kişisel veriler için yeterli koruma bulunan ülkelerin tespitin yapmak yanında, “veri sorumlularına yapılan başvuruların reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde başvuruya cevap verilmemesi” hallerinde, kendisine yapılan şikâyetleri incelemek, şikâyet üzerine veya re ’sen harekete geçmek suretiyle tespit ettiği hukuka aykırılıkların veri sorumlusu tarafından giderilmesine karar vermek gibi, denetleyici ve düzenleyici işlemler bulunmaktadır.

[11] Dülger, (2015), s 265.

[12] Orhan U, Ankara Üni. Hukuk Fak. Dergisi, 70 (4) 2021: 1359-1384. S. 1381

[13] https://www.tarimtv.gov.tr/tr/sayfa/kvkk?utm_source=chatgpt.com

[14]  Bilgi Güvenliği Politikamız ve KVKK uyumluluk çalışmalarımız için detaylı bilgi almak için; “www.tarimtv.gov.tr, www.tariminsan.gov.tr, www.turktarim.gov.tr, www.tarimbulteni.gov.tr, www.hiebis.tarimorman.gov.tr, www.tydbis.tarimorman.gov.tr, www.timer.tarimorman.gov.tr”, ilgili yasa hakkında daha detaylı bilgi sahibi olmak için Kişisel Verileri Koruma Kurumu’nun “www.kvkk.gov.tr” adresini ziyaret ederek bilgi sahibi olabilirsiniz. 6698 sayılı Kişisel Verilerin Korunması Kanunu’nu Resmi Gazete www.resmigazete.gov.tr üzerinden erişebilirsiniz. Kurum olarak yukarıda yaptığımız açıklamalarla, sizleri bilgilendirmiş ve aydınlatma yükümlüğümüzü yerine getirmiş bulunuyoruz.