Kişisel Verilerin Korunmasında Veri Sorumlusu İdarenin Tespiti

Determination of the Data Controller Administration on Personal Data Protection

Eser US DOĞAN

6698 sayılı Kişisel Verilerin Korunması Kanunu veri sorumlusu kavramına açık bir şekilde kamu kurum ve kuruluşlarını dahil etmemiştir. Kanun veri sorumlusunu, olarak tanımlamıştır. Kanunun tamamı incelendiğinde veri sorumlusuna gerek devlet tüzel kişiliği ve gerekse diğer kamu tüzel kişileri ile idarenin de dâhil olduğu şüphesizdir. Nitekim kamusal yetkiler kullanan devlet ve diğer kamu tüzel kişileri, yetki ve görev alanları ile yöneldikleri amaçlarla bağlı olarak her türlü veriyi elde etme, toplama, saklama, değiştirme, aktarma faaliyetlerinde bulunabilmekte ve kural olarak bu yetkilerini kanundan almaktadırlar. Diğer kamu tüzel kişileri açısından veri sorumlusunun tespiti daha kolay olacaktır. Ancak devlet tüzel kişiliği altında örgütlenen merkezi idare içinde veri sorumlusunun tespiti, kişisel verilerin korunması hakkı ve başvuru hakları açısından olduğu kadar, idarenin ve kamu görevlisinin sorumluluğu açısından da önem arz etmektedir.

Kişisel Veri, Veri Sorumlusu, Kamu Tüzel Kişileri, Merkezi İdare, Kamu Kurumları.

Law of the Protection of Personal Data numbered 6698 data does not explicitly include the administration in the concept of data controller. The law defines the data controller as “the natural or legal person who determines the purposes and means of processing personal data and who is responsible for establishing and managing the data recording system”. When analyzing the Law as a whole, there is no doubt that the data controller includes public authorities. In fact, the State and other public figures, who exercise public powers, may obtain, record, organize, store, modify, combine with other data, communicate by transmission or dissemination all kinds of data within the framework of their missions and powers and for the purposes they pursue, and as a general rule, they derive these powers from the law. Identifying the data controller for other public legal persons is easier. However, the determination of the data controller within the central administration, which is organized under the state legal personality, is important not only in terms of the right to protection of personal data and right to an effective remedy, but also in terms of the responsibility of the administration and public officials.

Personal Data, Data Controller, Public Legal Person, Central Administration, Public Institutions.

GİRİŞ

Anayasa m. 20’de 2010 yılında yapılan değişiklik ile kişisel verilerin korunması hakkı anayasal güvenceye alınmış ve 2016’da 6698 sayılı Kişisel Verilerin Korunması Kanunu yürürlüğe girmiştir. Kanun, Avrupa Birliği’nin 95/46/EC Kişisel Verilerin İşlenmesi ve Bu Tür Verilerin Serbest Dolaşımına Dair Bireylerin Korunmasına Dair Direktif’ten esinlenerek hazırlanmıştır. Daha sonra 2016 yılında kabul edilerek Direktif’in yerini alan Avrupa Birliği Genel Veri Koruma Tüzüğü (GVKT) 25 Mayıs 2018’de yürürlüğe girmiştir. Uluslararası düzenlemelerde yer alan kişisel veri, veri işleme, veri sorumlusu ile veri işleyen kavramlarının 6698 sayılı Kanunda düzenlenme ve Kişisel Verileri Koruma Kurulu tarafından bu düzenlemelerin yorumlanma biçiminin idarenin veri işleme faaliyetlerinin niteliği ve özellikle idarenin veri sorumlusu sıfatı açısından değerlendirilmesi gerekmektedir.

En geniş kapsamda ve her tür nitelikte kişisel veri işleme görev ve yetkisine sahip olan devlet ile görev alanlarıyla sınırlı olmak kaydıyla diğer kamu tüzel kişilerinin, 6698 sayılı Kanuna göre veri sorumlusu olduğu konusunda kuşku bulunmamaktadır. Bununla birlikte, tüm merkezi idarenin, başkent ve taşra teşkilatı ile birlikte tek bir tüzel kişilik, yani devlet tüzel kişiliği altında örgütlendiği dikkate alındığında, ilgili kişinin haklarını kullanabilmek için tek bir muhatap bulması imkânı olmadığı da tespit edilebilecektir.

Bu nedenle öncelikle, idare tarafından veri işleme faaliyeti gerçekleştirilmesi temelinde genel kavramlar incelenecek; devamında ise özellikle merkezi idare içinde ilgili kişinin haklarını kullanabilmesi için başvuru mercii olan idare ile 6698 sayılı Kanun tanım ve uygulamasındaki veri sorumlusunun eşleşip eşleşmediği ortaya koyulacaktır.