Kişisel Verileri Koruma Kanunu: 2020 tarihli 151 sayılı yasa size ne güvence veriyor?

Bir vatandaş her uygulamadan yemek sipariş ettiğinde, her banka hesabı açtığında ya da her cep telefonu hattı satın aldığında, kişisel bilgileri elinden çıkıp hiç görmediği kurumlara ulaşır: ad, telefon numarası, adres, kimi zaman bunlardan çok daha fazlası. Bu veri akışı onlarca yıl boyunca kapsamlı bir hukuki düzenlemeden yoksun kaldı; ta ki 2020 yazında, kişisel verilerin korunmasına dair 2020 tarihli ve 151 sayılı kanun çıkarılana kadar. Bu, şirketlerin ve kurumların bireylerin verilerini nasıl toplayabileceğini, saklayabileceğini, işleyebileceğini ve kullanabileceğini belirleyen ilk bütünlüklü Mısır düzenlemesidir.

Kanunun anayasal kökleri açıktır: 2014 Anayasası’nın 57. maddesi özel hayatın dokunulmaz olduğunu, her türlü yazışma ve haberleşmenin ancak gerekçeli bir yargı kararıyla kaldırılabilecek bir korumadan yararlandığını hükme bağlar. Kanun, bu anayasal ilkeyi vatandaşların verileriyle çalışan herkes için somut yükümlülüklere çevirir. Ayrıca, Avrupa’da kısaca “GDPR” olarak bilinen Genel Veri Koruma Tüzüğü’nün ardından dünyayı saran yasama dalgasının içinde doğdu; o tüzük onlarca ülkede benzer kanunlara ilham vermişti.

Peki kanunun gözünde “kişisel veri” nedir? Tanım bilinçli olarak geniştir: kimliği belirli ya da doğrudan veya dolaylı biçimde belirlenebilir bir gerçek kişiye ilişkin her türlü veri; addan ve ulusal kimlik numarasından konum verilerine ve elektronik tanımlayıcılara kadar. Kanun ayrıca daha sıkı korunan bir kategori tanımlar: “hassas kişisel veriler”. Bu kapsama bedensel ve ruhsal sağlık verileri, biyometrik veriler, mali veriler, dini inançlar, siyasi görüşler ve adli sicil kayıtlarının yanı sıra, velinin onayını gerektiren çocuk verileri girer.

Kanunun tamamının üzerine kurulduğu temel ilke rızadır: kural olarak kişisel veriler, sahibinin açık rızası olmadan ya da kanunun izin verdiği haller dışında toplanamaz, işlenemez veya açıklanamaz. Veriler meşru, belirli ve ilgilisine bildirilmiş amaçlarla toplanmalı, doğru ve güncel tutulmalı, toplanma amacının gerektirdiğinden daha uzun süre saklanmamalıdır.

Kanun, veri sahibine uygulamada gerçekten kullanılabilir bir haklar demeti tanır: kurumların sizin hakkınızda hangi verileri tuttuğunu öğrenme hakkı, bunları görme ve bunlara erişme hakkı, yanlış olanları düzelttirme ya da değiştirtme hakkı, amaç ortadan kalktığında sildirme hakkı, işlenmesine itiraz etme hakkı ve daha önce verilmiş rızayı geri alma hakkı. Verilerinizi etkileyen herhangi bir ihlalden ya da sızıntıdan haberdar edilme hakkınızı da güvence altına alır.

Bu hakların kâğıt üstünde kalmaması için kanun uzmanlaşmış bir denetim kurumu kurdu: Haberleşme ve Bilgi Teknolojileri Bakanlığı’na bağlı Kişisel Verileri Koruma Merkezi. Merkez, veri işleyen kuruluşlara lisans ve izin veriyor, vatandaşların şikâyetlerini alıyor, kanuna tabi kuruluşları denetliyor, yol gösterici kurallar yayımlıyor ve ihlal edenlere idari yaptırım uyguluyor.

Buna karşılık kanun, şirketlere ve kurumlara somut yükümlülükler getiriyor: yükümlü oldukları yerlerde bir veri koruma sorumlusu atamak, işleme kayıtları tutmak, verileri güvenceye almak için teknik ve idari tedbirler almak ve verileri etkileyen her ihlali yetmiş iki saat içinde Merkez’e bildirmek. Kanun doğrudan elektronik pazarlamayı da düzenliyor: hedef kişiden önceden onay alınmasını, gönderenin kimliğinin açıklanmasını ve alıcının dilediği anda mesajları durdurabilmesini şart koşuyor.

Kişisel verilerin yurt dışına aktarılması ise ancak Merkez’in lisansı veya izniyle ve alıcı ülkedeki hukuki koruma düzeyinin Mısır kanununda öngörülenin altında olmaması koşuluyla mümkündür. Mısırlıların verilerinin Kahire’den binlerce kilometre uzaktaki sunucularda tutulabildiği bulut bilişim çağında bu koşulun ağırlığı büyüktür.

Kanun dişsiz de gelmedi: ihlaller, faillerine yüz binlerce Mısır poundundan başlayan ve bazı suçlarda milyonlara ulaşabilen para cezaları getiriyor; hassas verilerin hukuka aykırı biçimde açıklanması gibi belirli hallerde ise hürriyeti bağlayıcı cezalar öngörülüyor. Ne var ki kanunun tam olarak uygulanması, yürürlüğe girmesinden yıllar sonra çıkarılabilen uygulama yönetmeliğine bağlıydı; uzmanların belgelediği bu gecikme, metinle gerçeklik arasındaki en belirgin boşluk olarak kaldı.

Kanunun herkesi ve her şeyi kapsamadığını da eklemek gerekir: belirli istisnalar var. Bireylerin tümüyle kişisel kullanım için işlediği veriler, Merkez Bankası’nın yetki alanına girenler gibi özel düzenleyici çerçevelere tabi veriler ve başka kanunlarla düzenlenen ulusal güvenlik gerekçeleri bunların arasında. Kanunun sınırlarını bilmek, ondaki haklarınızı bilmenin bir parçasıdır.

Peki sıradan vatandaş bütün bunlarla ne yapmalı? Pratikte: gizlilik politikalarını onaylamadan önce, hızlıca da olsa okuyun; uygulamalara işleyişleri için gerekmeyen izinleri vermeyin; iş yaptığınız kuruluşlara verilerinizin akıbetini sorun; işlemlerinizi kanıtlayan belgeleri saklayın. Kanun vatandaşa daha önce var olmayan araçlar verdi; ama bunların gerçek değeri, sahiplerinin bu araçların farkında olmasına ve uygulama altyapısının önümüzdeki yıllarda tamamlanmasına bağlı.