1. GİRİŞ

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“Kanun”) 11. maddesi veri sahiplerine, veri sorumlusuna karşı ileri sürebilecekleri bir takım haklar tanımaktadır. Bu haklardan biri de, ilgili maddenin (g) bendinde düzenlenen “İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme”  hakkıdır. Kanun’un 11. maddesi kapsamındaki diğer hakların hangi durumlarda kullanılabileceği ve kullanılması halinde veri sorumlusu açısından ne gibi sonuçlar doğuracağı nispeten açık ve öngörülebilir durumdadır. Ancak (g) bendinde düzenlenen hakkın Kanun ilkeleri çerçevesinde yorumlanarak, bu hakkın niteliği ve hangi durumlarda ileri sürülebileceği ile hakkın kullanılması halinde meydana gelecek sonuçların değerlendirilmesi önem arz etmektedir.

2. GENEL VERİ KORUMA YÖNETMELİĞİ’NİN 22. MADDESİ İLE BAĞLANTI

Kanun, Avrupa Birliği standartlarına uyum çerçevesinde, Avrupa Birliği’nde daha önce geçerli olan 95/46/EC sayılı Veri Koruma Direktifi hükümleri göz önünde bulundurularak hazırlanmıştı. Bilindiği üzere, Veri Koruma Direktifi, 2017/679 sayılı Genel Veri Koruma Yönetmeliği’nin (“GVKY”) yürürlüğe girmesi ile birlikte geçerliliğini yitirdi. Avrupa Birliği’nde hali hazırda geçerli olan GVKY’nin 22. maddesi, veri sahiplerine Kanun’un 11(g) maddesinde belirtilen hakka oldukça benzer bir hak tanımaktadır.

GVKY’nin 22. maddesi, profilleme faaliyetleri de dahil olmak üzere,  veri sahiplerine, kendilerine ilişkin olarak hukuki sonuç doğuran veya benzer şekilde önemli sonuçlar doğuran ve verilerin münhasıran otomatik yöntemlerle işlenmesi ile elde edilen bir karara tabi olmama hakkı tanımaktadır. Madde 22’de belirtilen bu hakkın bir takım istisnaları mevcut olmakla birlikte, ilgili hükmün veri sahiplerine kullanılabilir nitelikte bir hak mı tanıdığı yoksa münhasıran otomatik yöntemlerle veri işlenmesine yönelik bir yasak mı getirdiği tartışmalıdır. Aynı hususun, Kanun’un 11(g) maddesindeki hak bakımından da değerlendirilmesi önem arz etmektedir zira iki madde birbiri ile benzer niteliktedir.

3. KANUN’UN 11(G) MADDESİNİN İKİ ANA UNSURU

Kanun’un 11(g) maddesi incelendiğinde iki temel unsur göze çarpmaktadır: (i) verilerin münhasıran otomatik sistemler vasıtasıyla işlenmesi ve (ii) veri sahibi aleyhine bir sonucun ortaya çıkması.

Verilerin münhasıran otomatik sistemler vasıtasıyla işlenmesi, verilerin insan müdahelesi söz konusu olmaksızın işlenmesi olarak yorumlanabilir. Ancak bu, veri işleme faaliyetine yapılacak en ufak insan müdahelesinin dahi, o işleme faaliyetini madde 11(g) kapsamından çıkartacağı şeklinde yorumlanmamalıdır ve söz konusu insan müdahelesinin veri işleme faaliyetleri üzerindeki etkisi incelenmelidir. İnsan müdahelesinin, veri işleme faaliyetini madde 11(g) kapsamından çıkartabilmesi için, söz konusu müdahalenin veri işleme faaliyetlerinin sonucunu önemli ölçüde etkileyebilecek güce sahip olması gerekir. Örneğin: Bir e-ticaret sitesinde, kullanıcıların cinsiyetleri, yaşadıkları şehir ve yaşlarına göre çeşitli profiller oluşturulmakta ve bu profillere göre kullanıcılara reklam gösterilmektedir. Profil oluşturma faaliyeti, yalnızca otomatik bir algoritma vasıtasıyla yapılıyor ve çıkartılan sonuçlara bir insan müdahelesinde bulunulmuyor ise, münhasıran otomatik bir sistemden bahsedilebilir. Bununla birlikte, algoritmanın meydana getirdiği sonuçlar, bir insan tarafından filtrelendikten sonra profiller oluşturuluyor ise, bu sistemin münhasıran otomatik olmadığından bahsedilebilir.

Maddenin ikinci unsuru ise, veri sahibi aleyhine bir sonucun ortaya çıkmasıdır. Esas itibariyle, burada seçilen “aleyhe” kelimesi, GVKY madde 22’de yer alan “önemli etki” kriterine kıyasla daha az tartışmaya açık ve daha net bir kriter olarak yorumlanabilir. Zira, madde lafzından anlaşılan, Kanun’un 11(g) maddesindeki hakkın ileri sürülebilmesi için, münhasıran otomatik sistemler vasıtasıyla elde edilen kararın veri sahibi açısından olumsuz etki yaratacak bir karar olması gerektiğidir. Ancak elbette burada da, olumsuz etki açısından belirli bir önem eşiğinin olup olmayacağı tartışılabilir. Örneğin; yukarıda belirtilen profilleme örneğinde, bir kişi yaşı, cinsiyeti ve yaşadığı şehir nedeniyle belirli bir ürünün reklamlarını alamıyor ise, bunun kişinin fiziksel, ekonomik veya hukuki durumunda fiili olarak esaslı bir olumsuzluğa sebebiyet verdiğini söylemek pek mümkün olmayacaktır zira kişi mutlaka bu ürünü satın almak istiyorsa, reklamı görmeden de satın alabilecektir.

4. KANUN’UN 11(G) MADDESİ BİR HAK MI SAĞLAMAKTA YOKSA BİR YASAK MI GETİRMEKTEDİR?

GVKY’nin 22. maddesi bakımından söz konusu olan tartışma, Kanun’un 11(g) maddesi açısından da değerlendirmeye değer niteliktedir. GVKY’nin 22. maddesinde veri sahibine belirli bir işleme faaliyetine baştan itibaren tabi olmama hakkı verildiğinden, burada veri sahibine verilen, aktif olarak kullanılabilir bir haktan ziyade münhasıran otomatik sistemler ile veri işlemeye yönelik bir yasak getirildiği yönündeki yoruma yaklaşmak mümkündür. Ancak Kanun’un 11(g) maddesi açıkça bir itirazdan bahsettiğinden, burada münhasıran otomatik sistemler vasıtasıyla veri işlemenin tamamen yasaklandığından bahsetmek mümkün olmamalıdır. Kanun’un 11(g) maddesi kapsamında veri sahibine tanınan hak, veri işleme faaliyetine itiraz etme değil, münhasıran otomatik sistemler vasıtasıyla verilerinin işlenmesi sonucunda aleyhinde ortaya çıkan sonuca itiraz etme olarak yorumlanabilir. Örneğin; yukarıdaki örnekte veri sahibi için e-ticaret sitesi üzerinde oluşturulan profile göre, kendisine diğer bir kullanıcıya göre daha yüksek bir fiyat gösteriliyor ise, veri sahibinin kendisine aleyhine oluşan bu yüksek fiyata itiraz etme hakkı gündeme gelecektir. Ancak veri sahibi henüz kendisi aleyhine bir sonuç ortaya çıkmadan, yalnızca verilerin münhasıran otomatik yöntemlerle işlenmesine itiraz edememelidir zira bu aşamada işleme faaliyeti sonucunda veri sahibi aleyhine bir sonucun ortaya çıkıp çıkmayacağı bilinmemektedir.

5. KANUN’UN 11(G) MADDESİNDEKİ HAKKIN KULLANILMASININ SONUÇLARI

Veri sahibi, Kanun’un 11(g) maddesindeki hakkını kullandıktan sonra veri sorumlusunun nasıl bir aksiyon alması gerektiği de değerlendirilmelidir. Yukarıdaki yorumdan hareket ile, veri sahibinin münhasıran otomatik yöntemlerle veri işlenmesinin sonucunda ortaya çıkan aleyhe karara itiraz etmesi halinde, veri sorumlusunun söz konusu aleyhe karar yönünden bir değerlendirme yapması gerekir. Bu minvalde, eğer veriler münhasıran otomatik yöntemlerle işlenmeseydi veri sahibi için daha lehe bir sonuç ortaya çıkacak idiyse, veri sorumlusunun kararı bu yönde revize etme yükümlülüğünden bahsedilebilir. 

6. SONUÇ

Kanun’un 11(g) maddesi, Kanun kapsamında münhasıran otomatik sistemler ile veri işlenmesini tamamen yasaklamamaktadır. Ancak elbette veri işleme faaliyetinin amacına göre, bu tür veri işleme faaliyetlerinin de Kanun’un 5(2) veya 6(3) maddesi doğrultusunda uygun bir hukuki sebebe sahip olması gerekmekte ve buna göre (gerekli ise) veri sahibinden açık rıza temin etme ve aydınlatma yükümlülükleri yerine getirilmelidir.

Bununla birlikte, münhasıran otomatik sistemler ile veri işleme sonucunda, veri sahibinin fiziksel, ekonomik veya hukuki durumunda olumsuz etkiye sebebiyet veren, aleyhe bir karar oluşması halinde, veri sahibi bu karara itiraz edebilecektir.

Naz Ergörün
Avukat | [email protected]