Türkiye – KİŞİSEL VERİLERİ KORUMA KURUMUNUN MİLLİ EĞİTİM BAKANLIĞINA GÖNDERDİĞİ 09/06/2021 TARİH VE 2021/573 NUMARALI KURUL KARARININ DÜŞÜNDÜRDÜKLERİ ÜZERİNE NOTLAR

• Kişisel Verileri Koruma Kurumuna (Kurum) intikal eden bir şikâyet üzerine, konunun Kişisel Verileri Koruma Kurulu (Kurul) tarafından incelendiği ve Milli Eğitim Bakanlığının (Bakanlık) varılan sonuçlar hakkında bilgilendirildiği, Kurul’un 09/06/2021 tarih ve 2021/573 sayılı kararından (Karar) anlaşılmaktadır .
• Kararın incelenmesinden, Kurul tarafından yapılan değerlendirmeler sonucunda:

1. Somut olayda şikâyetçinin özel bir okulda öğrenci olduğu anlaşılan oğluna ait fotoğrafların “velisinin açık rızası olmaksızın” işlenemeyeceğine,
2. Milli Eğitim Bakanlığı’na bağlı okullardaki öğrencilere ait kişisel verilerin işlenmesine ilişkin açık rıza metinlerinin “Avrupa ülkelerinde okullarda çekilen fotoğrafların kullanımına ilişkin açık rızanın her işleme faaliyetine özel ayrıştırılarak alınmakta olduğunun dikkate alınması suretiyle” revize edilmesinin Bakanlık’a bildirilmesine karar verildiği anlaşılmaktadır.

• Kararın içeriğinde incelenmesi gerekebilecek başka hususlar da olduğu görülmekle birlikte, bu inceleme salt “öğrencinin kişisel verilerinin kullanılmasına ilişkin açık rızanın niteliği ve kimlerce verilmesinin gerektiği konusu” ile sınırlı tutulmuştur. Bu amaçla da öncelikle temel bir kısım kavramlara değinilerek, Kurul’un benzeri duruma ilişkin yayınlamış olduğu bir başka kararında vardığı sonuçlar ile değerlendirilen Karar’daki sonuçlar kısaca karşılaştırılmıştır. Konuya bu genel çerçeveden bakıldığında:

1. Kişisel verilerin hukuki niteliği ve bunlar üzerinde gerçekleştirilecek (ticari olanlar da dahil) işlemlere “kimin karar verebileceği” konusunda çeşitli yaklaşımlar bulunmaktadır. Ancak bu konu Anayasamızın Temel Haklar ve Ödevler başlıklı Bölümünde düzenlendiğinden, kişisel verilerin akıbetini belirlemek temel kişilik haklarındadır. Dolayısıyla bu durumun, her türlü değerlendirme veya yorum faaliyetinde dikkate alınması veya herhangi bir uyuşmazlığın çözümünde uygulanacak hükümlerin belirlenmesine de esas olması gerekmektedir.
2. Somut olaydaki sorun, okul çağındaki (yaşı ve ayırt etme gücü açısından durumu bilinemeyen) küçüğün fotoğraflarının işlenmesinde “kanuni veri işleme koşulu olarak açık rızanın kim veya kimler tarafından verileceğine” ilişkindir.
3. 6698 sayılı Kişisel Verilerin Korunması Kanununda (Kanun), GDPR’nin aksine, açık rızanın unsurlarına ilişkin hüküm bulunmakla birlikte, açık rızanın beyanına ilişkin “ilgili kişilerin yaşına bağlı” bir ayrım mevcut değildir. (AB uygulamasında, GDPR m. 8/1’in atfıyla m. 6/1 gereğince en az 16 yaşındaki küçükler, kendi kişisel verilerine ilişkin rıza beyanında bulunabilmektedirler.) Bu durumda değerlendirmenin (kaçınılmaz olarak) hak ve fiil ehliyetine ilişkin Türk Medeni Kanunu (TMK) hükümleri çerçevesinde yapılması gerekmektedir.
4. Kurul çeşitli kararlarında 18 yaşını doldurmamış ilgili kişilerin (küçüklerin) kişisel verilerine ilişkin değerlendirmeler yapmakta ve yayımlamaktadır. Örneğin Kurul “18 yaşını doldurmamış ilgili kişiye ait sağlık raporunun imha edilmesine yönelik ilgili kişinin babası tarafından veri sorumlusuna başvurulması ve cevap alınamaması üzerine ilgili kişinin kendisi tarafından Kurumumuza şikayette bulunulması hakkında Kişisel Verileri Koruma Kurulunun 11/08/2020 tarihli ve 2020/622 sayılı Karar Özetinde” (https://www.kvkk.gov.tr/Icerik/6816/2020-622) :

• Kişisel verilerin akıbetinin belirlenmesine ilişkin hakkın “kişiye sıkı sıkıya bağlı” nitelikte olduğuna,
• Bu hakkın TMK m. 13 ve 16 hükümleri çerçevesinde “ayırt etme gücüne sahip küçük” tarafından “velisinin rızası olmaksızın” kendi başına da kullanılabileceğine”; zira ayırt etme gücüne sahip küçüğün kanuni temsilcinin izni olmaksızın gerçekleştiremeyeceği işlemlerin TMK’nın çeşitli hükümlerinde açıkça düzenlendiğine (m. 12’de ergin kılınma, m. 118’de nişanlanma vs.),
• Hatta Kişisel Sağlık Verileri Hakkında Yönetmeliğin 8/1 maddesine “Ayırt etme gücüne sahip çocuklar, sağlık geçmişlerine ebeveynlerinin erişimini e-Nabız üzerinden izne tabi tutabileceklerinin” açıkça düzenlendiğine,
• Açık rıza beyanda bulunmanın da “kişiye sıkı sıkıya bağlı haklardan” olduğuna, bu nedenle ayırt etme gücüne sahip küçük tarafından “kendi başına da kullanılabileceğine” dair değerlendirmelere ve bunun ilmi dayanaklarına yer verdiğine görülmektedir.

Bu kararda bahsedilen hukuki gerekçelerden “ayırt etme gücüne sahip küçüğün, kendi kişisel verilerinin işlenmesine ilişkin süreçlere dahil edilmesi gerektiği; zira ayırt etme gücüne sahip küçüğün, kanuni temsilcisinin vereceği açık rızayı geri alabileceği” sonucunu çıkarmak hukuken mümkün görülmektedir.

• Oysa Kurul, Milli Eğitim Bakanlığına gönderdiği (inceleme konusu) ve ana sınıfından 12. sınıfa değin ve aralarında “ayırt etme gücüne sahip” milyonlarca öğrenciyi ilgilendiren Kararında, 2020/622 sayılı Kararında işaret ettiği (ve kanımızca da son derece yerinde olan) teknik hukuk ayrıntılarını dikkate almamış görünmektedir.
• Kişisel verilerin korunması hukuku, niteliği gereği mevzuat yanında Kurul ve yargı kararları ile şekillenecek bir alana ilişkindir. Kurul kararlarının rehberliği ve bu rehberliğin tutarlılığı, bu alanın daha sağlam bir temele oturmasını temin edecektir. Dolayısıyla verilen kararların (tıpkı Anayasa Mahkemesi uygulamasında olduğu gibi) birbirlerine kaynak (atıf) teşkil edecek nitelikte olması, uygulayıcıların işlerini de kolaylaştıracaktır.

Sonuç olarak: Bahsedilen çerçevede Kurul’un Milli Eğitim Bakanlığına ilettiği kararı, 2020/622 sayılı Kararındaki tartışmaları da yapacak şekilde gözden geçirmesi ve metne “ayırt etme gücüne sahip küçüklerin de aydınlatılması ve açık rızalarının alınması gerektiğine işaret eden” ibaresinin eklenmesi ileride çıkması muhtemel uyuşmazlıkları azaltabileceği gibi öğrencilerdeki kişisel veri mahremiyetine ilişkin farkındalığı artıracaktır. Ayrıca, model alınan “Avrupa Uygulaması” bütünlüğünün bozulmaması, her seviyedeki yorumların tutarlılığı ve Ülkemiz uygulamasının yeknesaklığı açısından da olumlu sonuçlar doğuracaktır.