ANAYASA MAHKEMESİ KARARI
Esas Sayısı : 2014/180
Karar Sayısı : 2015/30
Karar Tarihi : 19.3.2015
R.G. Tarih-Sayı :3.4.2015-29315
İTİRAZ YOLUNA BAŞVURAN : Danıştay OnbeşinciDairesi
İTİRAZIN KONUSU : 31.5.2006 tarihli ve5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu'nun 67.maddesinin üçüncü fıkrasına, 1.3.2012 tarihli ve 6283 sayılı Kanun'un 1.maddesiyle eklenen ".biyometrik yöntemlerle kimlik doğrulamasınınyapılması ve/veya." ibaresinin Anayasa'nın 2., 13. ve 20.maddelerine aykırılığı ileri sürülerek iptaline karar verilmesi istemidir.
I- OLAY
Genel sağlık sigortalısı davacı tarafından, biyometrik kimlikdoğrulama sistemine tanımlanmaksızın hizmet sunmayan özel hastanebaşhekimliğinin uygulamasının bildirimi niteliğinde olan işlemin ve dayanakgösterdiği mevzuatın iptali istemiyle Sosyal Güvenlik Kurumu Başkanlığıaleyhine açılan davada, itiraz konusu kuralın Anayasa'ya aykırı olduğu kanısınavaran Mahkeme, iptali için başvurmuştur.
III- YASA METİNLERİ
A- İtiraz Konusu Yasa Kuralı
Kanun'un itiraz konusu kuralı da içeren 67. maddesinin üçüncüfıkrası şöyledir:
"Ayrıca genel sağlık sigortalısı ve bakmakla yükümlü olduğukişilerin sağlık hizmetlerinden ve diğer haklardan yararlanabilmeleri içinsağlık hizmet sunucularına başvurduklarında acil haller hariç olmak üzere (acilhallerde ise acil halin sona ermesinden sonra); biyometrikyöntemlerle kimlik doğrulamasının yapılması ve/veya nüfus cüzdanı,sürücü belgesi, evlenme cüzdanı, pasaport veya Kurum tarafından verilen resimlisağlık kartı belgelerinden birinin gösterilmesi zorunludur."
B- Dayanılan Anayasa Kuralları
Başvuru kararında, Anayasa'nın 2., 13. ve 20. maddelerinedayanılmıştır.
IV- İLK İNCELEME
Anayasa Mahkemesi İçtüzüğü hükümleri uyarınca Serruh KALELİ,Alparslan ALTAN, Serdar ÖZGÜLDÜR, Osman Alifeyyaz PAKSÜT, Recep KÖMÜRCÜ, BurhanÜSTÜN, Engin YILDIRIM, Nuri NECİPOĞLU, Hicabi DURSUN, Celal Mümtaz AKINCI,Erdal TERCAN, Muammer TOPAL, M. Emin KUZ ve Hasan Tahsin GÖKCAN'ınkatılımlarıyla 4.12.2014 tarihinde yapılan ilk inceleme toplantısında, dosyadaeksiklik bulunmadığından işin esasının incelenmesine OYBİRLİĞİYLE kararverilmiştir.
V- ESASIN İNCELENMESİ
Başvuru kararı ve ekleri, Raportör Berrak YILMAZ tarafındanhazırlanan işin esasına ilişkin rapor, itiraz konusu yasa kuralı, dayanılanAnayasa kuralları ve bunların gerekçeleri ile diğer yasama belgeleri okunupincelendikten sonra gereği görüşülüp düşünüldü:
Başvuru kararında, biyometrik yöntemlerle yapılacak kimlikdoğrulaması sonucu elde edilecek kişisel verilerin toplanması ve işlenmesininkapsamı ile bu verilerin korunmasına ilişkin usul ve esasların belirliolmadığı, yasama organı tarafından temel ilkeleri koyulmadan, çerçevesiçizilmeden biyometrik veri toplanmasına olanak veren itiraz konusu kuralın,Anayasa'nın 2., 13. ve 20. maddelerine aykırı olduğu ileri sürülmüştür.
Kanun'un 67. maddesinin itiraz konusu kuralı da içeren üçüncüfıkrasında, genel sağlık sigortalısı ve bakmakla yükümlü olduğu kişilerinsağlık hizmetlerinden ve diğer haklardan yararlanabilmeleri için sağlık hizmetsunucularına başvurduklarında acil hâller hariç olmak üzere (acil hâllerde iseacil hâlin sona ermesinden sonra); biyometrik yöntemlerle kimlikdoğrulamasının yapılması ve/veya nüfus cüzdanı, sürücü belgesi, evlenme cüzdanı,pasaport veya Kurum tarafından verilen resimli sağlık kartı belgelerindenbirinin gösterilmesinin zorunlu olduğu öngörülmüştür.
Biyometrik yöntemlerle kimlik doğrulama, hizmet talep eden birkullanıcının, ölçülebilir fizyolojik ve bireysel özellikler yoluylagerçekleştirilen ve otomatik olarak doğrulanabilen kimlik denetleme yoluylagerçek kullanıcı olup olmadığının doğrulanması anlamına gelmektedir.
Anayasa'nın 2. maddesinde belirtilen hukuk devleti, insanhaklarına dayanan, bu hak ve özgürlükleri koruyup güçlendiren, eylem veişlemleri hukuka uygun olan, her alanda adaletli bir hukuk düzeni kurup bunugeliştirerek sürdüren, Anayasa'ya aykırı durum ve tutumlardan kaçınan, hukukutüm devlet organlarına egemen kılan, Anayasa ve kanunlarla kendini bağlı sayan,yargı denetimine açık olan devlettir. Kanun koyucu, Anayasa'ya ve hukukungenel ilkelerine aykırı olmamak kaydıyla her türlü düzenlemeyi yapma konusundatakdir yetkisine sahiptir. Kanun koyucunun hukuki düzenlemelerde kendisinetanınan takdir yetkisini anayasal sınırlar içinde adalet, hakkaniyet ve kamuyararı ölçütlerini göz önünde tutarak kullanması ve keyfi davranmaması gerekir.
Anayasa'nın 2. maddesinde yer alan hukuk devletinin temelilkelerinden biri "belirlilik"tir. Belirlilik ilkesi, yalnızcayasal belirliliği değil, daha geniş anlamda hukuki belirliliği de ifadeetmektedir. Yasal düzenlemeye dayanarak erişilebilir, bilinebilir veöngörülebilir gibi niteliksel gereklilikleri karşılaması koşuluyla, mahkemeiçtihatları ve yürütmenin düzenleyici işlemleri ile de hukuki belirliliksağlanabilir. Aslolan muhtemel muhataplarının mevcut şartlar altında belirlibir işlemin ne tür sonuçlar doğurabileceğini öngörmelerini mümkün kılacak birnormun varlığıdır.
Anayasa'nın 20. maddesinin birinci fıkrasında, herkesin, özelhayatına saygı gösterilmesini isteme hakkına sahip olduğu, özel hayatın ve ailehayatının gizliliğine dokunulamayacağı belirtilmiş; üçüncü fıkrasında da "Herkes,kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Buhak; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, buverilere erişme, bunların düzeltilmesini veya silinmesini talep etme veamaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar. Kişiselveriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıylaişlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunladüzenlenir." denilerek kişisel verilerin korunması, özel hayatıngizliliğinin korunması kapsamında güvenceye kavuşturulmuştur.
Anayasa'nın 13. maddesinde, temel hak ve hürriyetlerin, özlerinedokunulmaksızın yalnızca Anayasa'nın ilgili maddelerinde belirtilen sebeplerebağlı olarak ve ancak kanunla sınırlanabileceği, bu sınırlamaların Anayasa'nınsözüne ve ruhuna, demokratik toplum düzeninin ve lâik Cumhuriyetin gereklerineve ölçülülük ilkesine aykırı olamayacağı belirtilmiştir.
Kişisel verilerin korunması hakkı, kişinin insan onurununkorunması ve kişiliğini serbestçe geliştirebilmesi hakkının özel bir biçimiolarak, bireyin hak ve özgürlüklerini kişisel verilerin işlenmesi sırasındakorumayı amaçlamaktadır. Ancak söz konusu hak mutlak ve sınırsız olmayıpAnayasa'nın 13. ve 20. maddeleri gereğince belirli koşullarda, demokratiktoplum düzeninin gereklerine ve ölçülülük ilkesine aykırı olmamak üzere kanunlasınırlanabilir. Nitekim Türkiye'nin imzaladığı ancak uygulama kanunununyürürlüğe konamaması nedeniyle taraf olmadığı 1981 tarihli ve 108 sayılıKişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında KişilerinKorunmasına Dair Avrupa Konseyi Sözleşmesi'nin 9. maddesinde de devletgüvenliği, kamu güvenliği, devletin ekonomik menfaatlerinin korunması ve suçlarlamücadele edilmesi, ilgilinin veya üçüncü kişilerin hak ve özgürlüklerininkorunması ile verilerin istatistiki veya bilimsel amaçlarla kullanılmasıdurumlarında kişisel verilerin korunmasına sınırlamalar getirilebileceğiöngörülmüştür. Bu nedenle, kişisel verilerin korunması temel hakkına kamuyararı nedenlerine dayalı olarak müdahale edilebilmesine olanak tanınmaktadır.
İtiraz konusu kuralla, genel sağlık sigortalısı olanlar ve bakmaklayükümlü olduğu kişilerin sağlık hizmetlerinden ve diğer haklardanyararlanabilmeleri için hastane gibi kurumlara başvurduğunda, nüfus cüzdanı,sürücü belgesi, evlenme cüzdanı, pasaport veya verilmiş ise çalıştığı Kurumsağlık kartı belgelerinden biriyle kimlik tespitinin yanında veya sadecebiyometrik yöntemlerle kimlik doğrulaması yapılması öngörülmektedir.
Kişisel veri kavramı, belirli veya kimliği belirlenebilir olmakşartıyla, bir kişiye ilişkin bütün bilgileri ifade etmektedir. Bu bağlamda adı,soyadı, doğum tarihi ve doğum yeri gibi bireyin sadece kimliğini ortaya koyanbilgiler değil; telefon numarası, motorlu taşıt plakası, sosyal güvenliknumarası, pasaport numarası, özgeçmiş, resim, görüntü ve ses kayıtları,parmak izleri, genetik bilgiler, IP adresi, e-posta adresi, hobiler,tercihler, etkileşimde bulunulan kişiler, grup üyelikleri, aile bilgileri gibikişiyi doğrudan veya dolaylı olarak belirlenebilir kılan tüm veriler kişiselveri kapsamındadır. Bu bağlamda itiraz konusu kuralla öngörülen biyometrikyöntemle elde edilen verilerin kişisel veri olduğunda kuşku yoktur. Bununlabirlikte söz konusu verilerin, 108 sayılı Sözleşme'nin 6. maddesinde özelolarak belirtilen politik düşünce, dini inanç, sağlık, cinsel yaşam veya cezamahkûmiyetlerine ilişkin veriler gibi çok hassas verilerden olduğu dasöylenemez.
Biyometrik yöntemlerle kimlik doğrulama, kişinin kendiözelliklerini esas alması nedeniyle izinsiz kullanımlara karşı güvenli, kamukuruluşlarına yönelik yolsuzluk ve bunların neden olduğu zararlara karşı etkilive sosyal güvenliği olan kişiler bakımından da güvenli hizmet alınmasınısağlayan bir yöntemdir. İtiraz konusu kuralla öngörülen yöntemin sağlıksektöründeki suiistimallerin engellenmesi ve bu konudaki sahteciliğin önlenmesimaksadıyla önemli bir güvenlik önlemi olduğunda şüphe yoktur. Nitekim itirazkonusu kuralın gerekçesinde sağlık hizmetlerinin elektronik ortamda güveniliraltyapılar üzerinden sağlanması ve hizmetten yararlananların kimliklerininsaptanmasında geleneksel yöntemlerin eksiklikleri nedeniyle ortaya çıkan kötüyekullanımların önlenmesinin amaçlandığı belirtilmiştir. Dolayısıyla kurallaöngörülen yöntemin etkin bir şekilde kullanılmasının, Sosyal GüvenlikKurumundan haksız menfaat temin edilmesini engellemeye yönelik olduğu vekuralda kamu yararı bulunduğu açıktır.
Bu bağlamda itiraz konusu kuralla özel hayatın ve kişiselverilerin korunması haklarına yönelik olarak yapılan müdahalenin, öngörülenamaçla orantılı olduğu, müdahale edilen hakların özüne dokunmadığı vedemokratik toplum düzeninin gereklerine aykırılık teşkil etmediğianlaşıldığından Anayasa'ya aykırı bir yönü yoktur.
Öte yandan itirazkonusu kuralla öngörülen yöntemin sadece sağlık sektöründe bu hizmettenyararlanma amacıyla kullanılabileceği, bu nedenle elde edilen verilerin sadecebu amaçla sınırlı olarak ve hizmetin devamı için zorunlu olduğu müddetlesınırlı olmak üzere tutulabileceği dikkate alındığında, bu verilerin neden vehangi gerekçeyle temin edileceğine ilişkin olarak konu, amaç ve kapsamı ile neşekilde ve hangi süreyle kullanılacaklarına dair bir belirsizlik olduğusöylenemez.
Ayrıca itiraz konusukuralda öngörülen yöntemle elde edilen verilerin amaç ve kapsamdışında depolanması ve kullanılması hâlinde 5237 sayılı Türk Ceza Kanunu'ndakikişisel verilerin korunmasına ilişkin ceza hükümlerinin uygulanacak olmasınedeniyle bu konuda kanuni güvence de bulunmaktadır.
Açıklanan nedenlerle, itiraz konusu kural Anayasa'nın 2., 13. ve20. maddelerine aykırı değildir. İptal isteminin reddi gerekir.
Serruh KALELİ, Alparslan ALTAN, Serdar ÖZGÜLDÜR, Engin YILDIRIM veErdal TERCAN bu görüşe katılmamışlardır.
VI- SONUÇ
31.5.2006 tarihli ve 5510 sayılı Sosyal Sigortalar ve Genel SağlıkSigortası Kanunu'nun 67. maddesinin üçüncü fıkrasına, 1.3.2012 tarihli ve 6283sayılı Kanun'un 1. maddesiyle eklenen ".biyometrik yöntemlerlekimlik doğrulamasının yapılması ve/veya." ibaresinin, Anayasa'yaaykırı olmadığına ve itirazın REDDİNE, Serruh KALELİ, Alparslan ALTAN, SerdarÖZGÜLDÜR, Engin YILDIRIM ile Erdal TERCAN'ın karşıoyları ve OYÇOKLUĞUYLA,19.3.2015 tarihinde karar verildi.
Başkan
Zühtü ARSLAN
Başkanvekili
Serruh KALELİ
Başkanvekili
Alparslan ALTAN
Üye
Serdar ÖZGÜLDÜR
Üye
Osman Alifeyyaz PAKSÜT
Üye
Recep KÖMÜRCÜ
Üye
Burhan ÜSTÜN
Üye
Engin YILDIRIM
Üye
Nuri NECİPOĞLU
Üye
Hicabi DURSUN
Üye
Celal Mümtaz AKINCI
Üye
Erdal TERCAN
Üye
Muammer TOPAL
Üye
M. Emin KUZ
Üye
Hasan Tahsin GÖKCAN
Üye
Kadir ÖZKAYA
KARŞIOY GEREKÇESİ
5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu'nun67. maddesinin üçüncü fıkrasına, 6283 sayılı Kanun'un 1. maddesiyle eklenen". biyometrik yöntemlerle kimlik doğrulamasının yapılması ve/veya."ibaresinin Anayasa'ya aykırılığı ileri sürülmüştür.
Kural, sağlık sigortalısı ve bakmakla yükümlü olduğu kişilerinsağlık hizmetlerinden yararlanmak amacıyla sağlık hizmet sunucularınabaşvurduklarında biyometrik yöntemlerle meşru bir kullanıcı olup,olmadıklarını tespit etmeyi amaçlamaktadır. Kuralda "ve/veya" bağlacının kullanılması, kimliği tespit etmek ve denetlemek amacıyla biyometrikyöntemlerin kullanılmasının zorunlu olmadığını, belirtilen diğer belge veusullerle de kimlik doğrulamasının yapılabileceğini ortaya koymaktaysa da;Sosyal Güvenlik Kurumu Sağlık Uygulama Tebliği'nde "ve/veya" bağlacıyerine "ve" bağlacı kullanıldığından biyometrik yöntemlerle kimlikdoğrulaması uygulamada zorunlu hale getirilmiştir. Sağlık hizmetindenyararlanmak isteyenler biyometrik kimlik doğrulamasını kabul etmediklerindesağlık hizmeti alamamaktadır. Bu da sağlık hizmeti almak isteyenlerden zorlakişisel veri alınması ile eşanlamlıdır. Hasta sağlık hizmeti almak içinbiyometrik yönteme boyun eğmek zorunda bırakılmakta, bu yöntemle elde edilen kişiselverilerinin ne amaçla kimler tarafından kullanılacağını bilmemekte, verilerineulaşma, düzeltilmesini ya da silinmesini isteme haklarından mahrumbulunmaktadır.
"Özel hayatın gizliliği" başlıklı Anayasa'nın 20.maddesinin 7.5.2010 tarih ve 5982 sayılı Kanun'la eklenen son fıkrasında"Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkınasahiptir. Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkındabilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesinitalep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi dekapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açıkrızasıyla işlenebilir. Kişisel verilerin korunmasına ilişkin esas veusuller kanunla düzenlenir." denilmektedir. Anılan hükmüngerekçesinde de "Anayasada kişisel verilerin korunmasına yönelik dolaylıhükümler bulunmakla birlikte yeterli değildir. Mukayeseli hukukta ve tarafıolduğumuz uluslararası belgelerde de kişisel verilen korunması önemle vurgulanmaktadır.Maddeyle, herkesin, kendisiyle ilgili kişisel verilerin korunmasını istemehakkı, anayasal bir hak olarak teminat altına alınmaktadır. Bu bağlamda,bireylerin kendilerini ilgilendiren kişisel veriler üzerinde hangi hak veyetkilere sahip olduğu ve kişisel verilen hangi hallerde işlenebileceği hükmebağlanırken, kişisel verilerin korunmasına ilişkin esas ve usullerin kanunladüzenleneceği öngörülmektedir." şeklinde değerlendirmenin yer aldığıgörülmektedir. Anayasa'nın 20. maddesinin çıkarılmasını öngördüğü kanun isehenüz çıkarılmamıştır. Ancak, örneğin Türk Ceza Kanunu'nun 135 - 140.maddelerinde kişisel verilerin hukuka aykırı olarak kaydedilmesi ve işlenmesihalleri suç olarak düzenlenmiş ve yaptırıma bağlanmıştır.
Öte yandan, birçok uluslar arası sözleşmede de kişisel verilerleilgili düzenlemeler yapılmış ve konunun önemi bu uluslararası metinlereyansımıştır. Örneğin, Türkiye'nin de 1981'de imzalamasına karşın henüzonaylamadığı, Avrupa Konseyi'nin 28.1.1981 tarih ve 108 Numaralı "KişiselNitelikli Verilerin Otomatik İşleme Tâbi Tutulması Karşısında ŞahıslarınKorunmasına Dair Sözleşme"nin 6. maddesine göre, iç hukukta uygungüvenceler sağlanmadıkça, ırk menşeini, politik düşünceleri, dini veyadiğer inançları ortaya koyan kişisel nitelikli verilerle, sağlık veyacinsel yaşamla ilgili kişisel nitelikteki veriler ve ceza mahkumiyetleri, otomatikbilgi işlemine tâbi tutulamazlar. Yine Avrupa Birliğinin 24 Ekim 1995tarihli "Kişisel Verilerin İşlenmesinde Gerçek Kişilerin Korunması Yönergesi(95/46/EC)"nde de, siyasi, dini, felsefi görüşler veya uyuşturucu, alkolbağımlılığı veya sağlık gibi hassas verilerin korunmasınailişkin düzenlemelere yer verilmiştir.
Avrupa İnsan Hakları Mahkemesi de, kişilerin fiziki ve sosyal kimlikleri, kişisel bilgileri, cinsiyetleri, şahıslarına ait özerksahaları, adları, fiziki ve ruhsal bütünlükleri (sağlık/tıbbibilgileri) iş ilişkileri, sosyal etkinlikleri, kişisel gelişimi,fiziki ve moral güvenliği, dış çevrede insanlarla ilişkileri gibi hususları,sözleşmenin "Özel hayatın ve aile hayatının korunması" başlıklı 8.maddesi kapsamında "özel hayat" kavramı içinde değerlendirmektedir. Avrupa İnsan Hakları Mahkemesinin birçok kararındada, tıbbi verilerin ve bilgilerin Sözleşmenin 8. maddesininkoruması altında olduğu, bunların korunması ve güvenliğinin üye ülkelerinsorumluluğunda bulunduğu, bu bilgi ve verilerin başkalarının eline geçmemesiiçin gerekli tüm yasal düzenlemelerin ve güvencelerin mevcudiyetinin gerektiği,keza parmak izi, DNA analizi vb. gibi biyometrik verilerin salt kimliktespitine ve güvenlik nedenine yönelik durumlar müstesna, hassas kişisel veriolarak korunmaları gerektiği içtihat olarak ortaya konulmuştur. Bir örnek olmaküzere, Avrupa İnsan Hakları Mahkemesinin S. ve Marper'in BirleşikKrallığa karşı yaptığı başvuru sonucunda verdiği kararında; gözaltına alınankişilerin kan, hücre örnekleri ve parmak izinin alınması fakat daha sonradan bu kişilerin kendilerine isnat edilen suçla ilişkilerinin kalmaması durumunda,halen bu bilgilerin tutulmaya devam edilmesini bu ölçüt açısından değerlendirmiş ve durumu Avrupa İnsan Hakları Mahkemesi Sözleşmesinin8. maddesinin ihlâli olarak görmüştür. Mahkeme, kişisel verilerin muhafazası,tutulma süresi, kullanımı, üçüncü kişilerin erişimine açık olup, olmamasıverilerin gizliliği ve silinmesi konularında açık ve ayrıntılı asgarigüvencelerin sağlanması gerektiğini vurgulamıştır. (Case of S.and Marper v. TheUnited Kingdom, Başvuru No: 30562/04 ve 30566/04, Karar Tarihi: 4 Aralık2008 paragraf 99.)
Anayasa Mahkemesi de aşağıda işaret edilen kararlarında, sözkonusuyasal düzenlemelerde yer alan düzenlemeleri, kişisel verilerin korunmasına ilişkin Anayasa'nın 20. maddesi ile 13. maddesine aykırıbularak iptali yoluna gitmiştir:
- ". İtiraz konusu kuralla, Bilgi Teknolojileri ve İletişimKurumunun elektronik haberleşme sektörüyle ilgili kişisel verilerinişlenmesine ve gizliliğinin korunmasına yönelik usul ve esasları belirlemeyeyetkili olduğu hükme bağlanmıştır. Kişisel verilerin korunması hakkı, kişinininsan onurunun korunması ve kişiliğini serbestçe geliştirebilmesihakkının özel bir biçimi olarak, bireyin hak ve özgürlüklerini kişisel verilerinişlenmesi sırasında korumayı amaçlamaktadır. Bilişim teknolojilerindekigelişmeler sonucunda, geleneksel yöntemlerle mümkün olmayan çok sayıdaverinin toplanabilmesi; daha önce birbirinden ilişkisiz şekilde tutulan pek çokverinin merkezi olarak bir araya getirilebilmesi; verilerin, veri eşleştirme veveri madenciliği gibi ileri teknolojik imkânlarla analize tâbi tutulmaksuretiyle, veriden yeni veriler üretme kapasitesinin atması; verilere erişim veveri transferinin kolaylaşması; kişisel verilerin ticari işletmeler içinkıymetli bir varlık niteliği kazanması neticesinde, özel sektörunsurlarınca yaratılan risklerin daha yaygın ve önemli boyutlara ulaşması,terör ve suç örgütlerinin kişisel verileri ele geçirme yönündeki faaliyetlerinin artması gibi etkenler, günümüzde kişiselverilerin en üst seviyede korunmasını zorunlu kılmaktadır. Bu bağlamdaAnayasa'nın 20. maddesinin üçüncü fıkrasının son cümlesinde 'Kişisel verilerinkorunmasına ilişkin usul ve esaslar kanunla düzenlenir.' hükmüne yer verilerek,kişisel verilerin korunması hakkı anayasal güvenceye bağlanmış ve bu şekildekamu makamlarının keyfi müdahalelerine karşı koruma altına alınmıştır. Yasamayetkisinin devredilemezliği ilkesi gereğince, Anayasa'nın açıkça kanunladüzenlenmesini öngördüğü konularda yürütme organına doğrudan ve ilk eldendüzenleyici işlem yapma yetkisi verilemez. Elektronik haberleşme sektörüyleilgili kişisel verilerin işlenmesi ve gizliliğinin korunmasına yönelik usul veesasları belirleme yetkisini Bilgi Teknolojileri ve İletişim Kurumuna verenitiraz konusu kural, Anayasa'nın 20. maddesinde öngörülen kişisel verilerinkorunmasına ilişkin usul ve esasların ancak kanunla düzenlenebileceğine ilişkingüvenceye aykırıdır. Açıklanan nedenlerle, itiraz konusu kural Anayasa'nın 20.maddesine aykırıdır. İptali gerekir..." (Any. Mah.nin 9.4.2013 tarih veE.2013/122, K.2014/74 sayılı kararı; RG. 26.7.2014, Sayı: 29072)
-"... Dava konusu kural, internet trafik bilgisinin TİBtarafından ilgili işletmecilerden herhangi bir hukuki inceleme ya da sürecedahil olmadan alınmasını ve hâkim tarafından karar verilmesi durumunda bubilginin ilgili mercilere verilmesini düzenlemektedir... Kişisel verilerinkorunmasını isteme hakkına sağlanan anayasal güvencenin yaşama geçirilebilmesiiçin, bu hakkı ilgilendiren yasal düzenlemelerin, açık, anlaşılabilirve kişilerin söz konusu haklarını kullanabilmelerine elverişli olmasıgerekir. Ancak böyle bir düzenleme ile kişilerin özel hayatlarınıilgilendiren veri, bilgi ve belgelerin resmi makamların keyfi müdahalelerinekarşı korunması olanaklı hale getirilebilir... Çağdaş demokrasiler temel hak veözgürlüklerin en geniş ölçüde sağlanıp güvence altına alındığı rejimlerdir.Temel hak ve özgürlükleri büyük ölçüde kısıtlayan ve kullanılamaz hale getirensınırlamalar hakkın özüne dokunur. Temel hak ve özgürlüklere getirilensınırlamaların yalnız ölçüsü değil, koşulları, nedeni, yöntemi, kısıtlamayakarşı öngörülen kanun yolları gibi güvenceler hep demokratik toplum düzenikavramı içinde değerlendirilmelidir... Özel hayatın korunması her şeyden öncebu hayatın gizliliğinin korunması, başkalarının gözleri önüne serilmemesidemektir. Kişinin özel hayatında yaşananların, yalnız kendisi veya kendisininbilmesini istediği kimseler tarafından bilinmesini isteme hakkı, kişinin temelhaklarında biridir ve bu niteliği nedeniyle insan haklarına ilişkin beyannameve sözleşmelerde yer almış, tüm demokratik ülkelerin mevzuatlarında açıkçabelirlenen istisnalar dışında devlete, topluma ve diğer kişilere karşıkorunmuştur... Trafik bilgisi adı altında istenen bilgiler genel anlamdabelirli veya kimliği belirlenebilir olmak şartıyla, bir kişiye ilişkin bütünbilgileri ihtiva eden kişisel veri kavramı içerisindedir. Kişisel verilerinkorunması hakkı, kişinin insan onurunun korunmasının ve kişiliğini serbestçegeliştirebilmesi hakkının özel bir biçimi olarak, bireyin hak ve özgürlüklerinikişisel verilerin işlenmesi sırasında korumayı amaçlamaktadır... Dava konusukural, yukarıda belirtilen kişisel veri niteliğinde olan ve çok ciddi suçlarıntespiti, soruşturulması ve kovuşturmasında kullanılmak üzere gerçek ve tüzelkişilere ilişkin trafik bilgisinin, işlenmemiş veri halinde süreli olarakmuhafaza edildiği erişim veya yer sağlayıcılardan, TİB tarafından herhangi birgerekçe veya neden göstermeksizin temin edilmesine olanak sağlamaktadır. Sözkonusu veriler ulaşabilirlik, kişilerin tercihleri, düşünceleri ve davranışlarıhakkında fikir verebileceğinden kişilerin özel hayatlarına müdahale edilmeriskini içermektedir. Kuralda, temin edilecek bilgiyle ilgili olarakherhangi bir konu ve amaç sınırlaması bulunmadığı gibi bilginin kapsamı, neşekilde kullanılacağı, tutulacağı süre, temin edilme gerekçesi gibi hususlarlailgili olarak da herhangi bir belirlilik bulunmamaktadır... Bu durumdaverilerin işlenebileceği hallerin kanunda açıkça yer alması zorunluluğubulunmasına karşın, kuralda herhangi bir belirleme ve sınırlama yapılmaksızındoğrudan kişisel veri niteliğindeki trafik bilgisinin temin edilmesine veişlenmesine olanak sağlanmasının bu yönüyle Anayasa'nın 20. maddesine aykırıolduğu açıktır... Anayasa'nın 13. ve 20. maddelerinde yer alangüvencelere rağmen dava konusu kural ile kişiler, bilgi toplama, saklama,işleme ve değiştirme yetkisi olan idareye ve diğer kişilere karşı korumasızbırakılmış, veri toplamanın amaç, gerekçe, kapsam ve sınırlama yasaldüzenlemede yer verilmemiştir. Açıklanan nedenlerle, dava konusu kuralAnayasa'nın 2., 13. ve 20. maddelerine aykırıdır. İptali gerekir..."(Any. Mah.nin 2.10.2014 tarih ve E.2014/149, K.2014/151 sayılı kararı, RG.1.1.2015, Sayı: 29223)
-"... Dava konusu ibarenin de yer aldığı (a) bendinde, aynıKanun'un 22. maddesinin (1) numaralı fıkrasında PTT'nin faaliyetleri arasındabelirtilen "Adres bilgi kayıt sistemi"nin neyi ifade ettiği hususbelirtilmiştir. Buna göre, adres bilgi kayıt sistemi 25.4.2006 günlü, 5490sayılı Nüfus Hizmetleri Kanunu ve ilgili mevzuatı saklı kalmak kaydıyla, gerçekkişilerin rızası alınarak gerçek ve tüzel kişiler ile kamu kurum vekuruluşlarına ait fiziki ve elektronik adreslerin, reklâm ve tanıtım amacıylaPTT hizmetlerinden yararlananlara ücret karşılığı kullandırılmasınayönelik olarak oluşturulan PTT'ye ait veri tabanını ifade etmektedir. Davakonusu ibare, adres bilgi kayıt sisteminde, gerçek kişilerin rızasınıaramaktadır. Dolayısıyla, ibarenin mefhumu muhalifinden, tüzel kişileryönünden onların rızalarının alınmasına gerek bulunmadığı anlamıçıkmaktadır. Kişisel verilerin korunması temel hakkı, Anayasahukukunda esas olarak yüksek kişilik değerlerini korumaya yönelik bireyselhaklara ilişkindir. Bu hak, kişinin insan onurunun korunmasının ve kişiliğini serbestçe geliştirebilmesi hakkının özel bir biçimi olarak,bireyin hak ve özgürlüklerini kişisel verilerin işlenmesi sırasında korumayıamaçlamaktadır. Kişisel veri kavramı, belirli veya kimliğibelirlenebilir olmak şartıyla, bir kişiye ilişkin bütün bilgileri ifadeetmektedir. Bu bağlamda, bir kişinin kendisinin veya ailesinin sürekliveya geçici olarak konakladığı, ikamet ettiği yerlere ait bilgiler (fizikiadresleri) de kişisel veri niteliğindedir. Aynı şekilde, elektronikposta olarak adlandırılan ve elektronik iletişim ağı üzerindengönderilen ve internette ya da kullanıcının bilgisayarında kaydedilebilenher türlü yazı, ses, resim ya da dil iletilerinin de kişisel veriniteliğinde olduğu kabul edilmektedir. .. (Anayasa'nın 20. maddesi)metninde kişisel verilerle ilgili olarak 'herkes'tabirininkullanılması dikkate alındığında, tüzel kişilere ilişkin verilerinde20. madde kapsamında değerlendirilmesi gerekeceği açıktır. Bu durumda.tüzel kişilerin kişisel veri niteliğinde bulunan fiziki veya elektronik adreslerinin, yetkili kişi ya da organlarının rızaları alınmaksızın, davakonusu kural uyarınca PTT A.Ş. tarafından reklâm veya tanıtım amacıyla toplanıpkaydedilmesinin ve bunların üçüncü kişilere verilmesinin, Anayasa'nın 20.maddesine aykırılık oluşturduğu açıktır. Açıklanan nedenlerle, davakonusu kural Anayasa'nın 20. maddesine aykırıdır. İptali gerekir." (Any.Mah.nin 4.12.2014 tarih ve E.2013/84, K.2014/183 sayılı kararı; RG.13.3.2015,Sayı: 29294.)
- Nihayet Anayasa Mahkemesi, henüz gerekçesi yayımlanmayan4.12.2014 tarih ve E.2013/114, K.2014/184 sayılı kararı ile 12.7.2013tarih ve 6495 sayılı Kanun'la değiştirilen Sağlık Bakanlığı veBağlı Kuruluşlarının Teşkilat ve Görevleri Hakkındaki 663 sayılı Kanun HükmündeKararname'nin 47. maddesinin aşağıda metnine yer verilen (1), (2) ve (3)numaralı fıkralarının iptaline karar vermiştir:
" (1) Bakanlık ve bağlı kuruluşları, mevzuatla kendilerine verilen görevleri, e-devletuygulamalarına uygun olarak daha etkin ve daha hızlı biçimde yerinegetirebilmek için, bütün kamu ve özel sağlık kurum ve kuruluşlarından;sağlık hizmeti alanların, aldıkları sağlık hizmetinin gereği olarak ilgilisağlık kurum ve kuruluşuna vermek zorunda oldukları kişiselbilgileri ve bu kimselere verilen hizmete ilişkin bilgileri her türlüvasıtayla toplamaya, işlemeye ve paylaşmaya yetkilidir.
(2) Bakanlık ve bağlı kuruluşları kişisel sağlık verilerini ilgiliüçüncü kişiler ve kamu kurum ve kuruluşları ile ancak bu kişi vekurumların bu verilere erişebileceği hususunda kanun en yetkili olmasıhalinde görevlerinin yapmalarına yetecek derecede paylaşabilir.
(3) Bakanlık ve bağlı kuruluşları, mevzuatla kendilerine verilengörevleri yerine getirebilmek için gereken bilgileri, kamu ve özel ilgili bütünkişi ve kuruluşlardan istemeye yetkilidir. İlgili kişi ve kuruluşlar istenilenbilgileri vermekle yükümlüdür."
Yukarıdan beri yapılan açıklamalar ışığında ilk tespiti gerekenhusus, dava konusu kuralın (biyometrik yöntemlerle kimlik doğrulamasınınyapılması ve/veya) salt bir kimlik tespitine yönelik düzenlememahiyetinde olup olmadığı, kişisel sağlık verilerinin bu yolla depolanıpişlenmesi ve paylaşılması sonucunu doğurup doğurmayacağının ortayakonulmasıdır. Sosyal Güvenlik Kurumunun (SGK), kendisine sağlık hizmetisunulanlar yönünden bir kimlik tespiti ihtiyacı olduğunda kuşku yoksa da;kuralda bu amaca yönelik bir düzenleme öngörülürken, sigortalıların ve bakmaklayükümlü oldukları yakınlarının hassas kişisel veri mahiyetindeki "sağlıkbilgilerinin" korunmasına yönelik düzenlemelerin yapılması gerektiğiaçıktır. Çünkü, biyometrik yöntemlerle kimlik bilgilerinin sağlık hizmetisunucularınca tespiti, beraberinde o kişinin tüm sağlık verilerinin yetkisizellere geçmesi ihtimalini de getirmekte; aynı şekilde SGK'da toplanan bu kimlikverilerinin başkalarıyla paylaşılmaması, başka kişi ya da yerlere iletilmemesigerekmektedir. Oysa dava konusu kuralda bu yönde hiçbir belirlilikbulunmamakta, bilakis kural bu mahiyeti itibariyle her türlü kötüye kullanmayamüsait görünmektedir.
Sigortalı kişilerden alınacak biyometrik örnekler, kişinin sağlıkhizmetine ihtiyaç duyduğu süre boyunca, yani yaşamın sonuna değin elektroniksistemde saklanacaktır. Kuvvetli suç şüphesi halinde dahi amaçla orantılı birsürede saklanabilen bu verilerin, prim ödeyerek sağlık hizmetinden yararlananyurttaşlar yönünden süresiz olarak saklanmasının süre yönünden de ölçüsüz birtedbir olduğu açıktır. Dolayısıyla kuralın belirlilik ilkesiyle ve dolayısıylahukuk devleti ilkesiyle bağdaşmadığı söylenemez.
Anayasa'nın 13. maddesinde, temel hak ve özgürlüklerin özlerinedokunulmaksızın ölçülülük ilkesine uygun şekilde, yasaylasınırlandırılabileceği belirtilmektedir. Ölçülülük ilkesi sınırlamadabaşvurulan aracın sınırlama amacını gerçekleştirmeye elverişli olmasını; buaracın sınırlama amacı açısından gerekli olmasını ve araçla amacın ölçüsüz biroran içinde bulunmamasını ifade eder. Burada kısıtlama için kullanılan araçlaamaç arasında hak ve özgürlüğü en az sınırlayacak dengeli bir orantıaranmaktadır.
Özel hayatın gizliliği ve bu kapsamda kişisel verilerin korunmasıkonusu her şeyden önce insan onuruna saygı ve kişilik haklarına dayanmaktadır.Bu hak, kişinin saygınlığını ve kişiliğini serbestçe geliştirmesini mümkünkılan şeref ve haysiyet, özel yaşam ve sağlık gibi kişisel değerler üzerindekiçıkarlarını belirterek, bireye kişiliğini dilediği şekilde, serbestçegeliştirebileceği, kendisi ve sevdikleriyle bir arada olabileceği özerk biryaşam alanına sahip olma şansı vermektedir. Bu alanda birey, maddi ve manevikişiliğini geliştirmek ve başkaları tarafından bilinmesini istemediğihususların güvence altına alınmasını istemek hakkına sahiptir.
Sosyal Güvenlik Kurumu tarafından özel sağlık kuruluşlarınabaşvuran hastalardan talep edilen biyometrik veriler, Anayasa'nın 20.maddesinde düzenlenen, 'özel hayatın gizliliği' ilkesinin mutlak korumasıaltındadır. Bireylerin sağlığına veya fiziksel/biyolojik özelliklerine ilişkinbilgilerin kişisel veri kapsamında olduğunda ise şüphe yoktur.
Kişisel verilerin sistematik biçimde kayıt altına alınabilmesiiçin verilerin korunmasına ilişkin esas ve usullerin kanunla düzenlenmesi önkoşuldur. Başka bir deyişle kişisel verilerin korunmasına ilişkin gerekli yasaldüzenlemeye ve teknik olanaklara sahip olmayan bir kamu otoritesinin, yasallıkve kişinin rızası koşullarını sağlaması halinde dahi veri işlemenin hukukauygunluğundan söz etmek olanaklı olmayacaktır. Kişisel verilerin alınması veişlenmesinin demokratik bir toplumda gerekli olması, amaçla orantılı ve ölçülübir tedbir olması gerekmektedir. İtiraz konusu düzenlemede biyometrikyöntemlerle yapılacak kimlik doğrulaması sonucu elde edilen kişisel verilerintoplanması ve işlenmesinin kapsamı ile bu verilerin korunmasına ilişkin usul veesaslara yer verilmemiştir.
Devlet Denetleme Kurulu da, Sağlık Bakanlığı ve Sosyal GüvenlikKurumunu da kapsayan kişisel verilerle ilgili raporunda; kişisel verilerinhangi ilkeler kapsamında toplanacağı, ne şekilde korunacağı, kimlerle ve neşekilde paylaşılabileceği, nasıl silineceği, kişilerin Anayasa ile getirilenhaklarını kullanabilmeleri için kurumların ne tür önlemler alması gerektiğigibi pek çok konuda önemli sorunlar olduğuna dikkat çekmiştir.
(Devlet Denetleme Kurulunun; "Kişisel Verilerin Korunmasınaİlişkin Ulusal ve Uluslararası Durum Değerlendirmesi ile Bilgi Güvenliği veKişisel Verilerin Korunması Kapsamında Gerçekleştirilen DenetimÇalışmaları" hakkında hazırlanan 27/11/2013 tarih ve 2013/3 sayılıDenetleme Raporu Özeti, http://www.tccb.gov.tr/ddk26.pdf, erişim tarihi25.3.2015)
Kuralın Anayasa'nın 13. maddesi bakımından yapılandeğerlendirilmesinde, ölçülü ve gerekli olmadığı da açıktır. SGK yönündensağlık suistimalleri gerekçe gösterilerek bu düzenlemenin yapıldığı kuralıngerekçesinden öne sürülmekteyse de; resmi kimlik belgelerini bir anlamdageçersiz kılan kuralın ölçülü ve gerekli olduğu kabul edilemez. AyrıcaAnayasa'nın 20. maddesinde belirtilen esaslı unsurlar da kuralda (yasada) yeralmadığından, kuralın Anayasa'nın 20. maddesinin de ihlâli sonucuna yol açtığıve Anayasa Mahkemesinin yukarıda işaret edilen iptal kararlarındaki ölçütleritaşımadığı görülmektedir.
Açıklanan nedenlerle, ilk nazarda sadece bir kimlik tespitiyöntemi gibi görünse de, gerçekte sigortalıların tüm sağlık bilgilerinin(hassas kişisel verilerinin) deşifre edilmesi, işlenmesi, kötüye kullanılmasıihtimalini barındıran ve esaslı hiçbir ölçüt ve güvence ihtiva etmeyen kuralınAnayasa'nın 2., 13. ve 20. maddelerine aykırı olduğu ve iptali gerektiğikanaatine vardığımızdan; çoğunluğun aksi yöndeki kararına katılmıyoruz.
Başkanvekili
Serruh KALELİ
Başkanvekili
Alparslan ALTAN
Üye
Serdar ÖZGÜLDÜR
Üye
Engin YILDIRIM
Üye
Erdal TERCAN