Anasayasa Mahkemesi - Norm Denetimi - E.2016/125, K.2017/143 Sayılı Karar - 28/09/2017

ANAYASA MAHKEMESİ KARARI

Esas Sayısı     :  2016/125

Karar Sayısı  :  2017/143

Karar Tarihi :  28.9.2017

R.G. Tarih – Sayı   : 23.1.2018 – 30310

İPTAL DAVASINI AÇAN: Türkiye Büyük Millet Meclisiüyeleri Engin ALTAY, Levent GÖK, Özgür ÖZEL ile birlikte 124 milletvekili

İPTAL DAVASININ KONUSU: 24.3.2016 tarihli ve6698 sayılı Kişisel Verilerin Korunması Kanunu’nun;

A. 4. maddesinin (2) numaralı fıkrasının (d) bendinde yeralan “…veya işlendikleri amaç için gerekli olan…” ibaresinin,

B. 5. maddesinin (2) numaralı fıkrasının (c), (ç), (e) ve (f)bentlerinin,

C. 6. maddesinin;

1. (1) numaralı fıkrasında yer alan “…mezhebi,…” ve “…kılıkve kıyafeti…” ibarelerinin,

2. (3) numaralı fıkrasının,

D. 7. maddesinin (2) numaralı fıkrasının,

E. 8. maddesinin (3) numaralı fıkrasının,

F. 9. maddesinin (6) numaralı fıkrasının,

G. 13. maddesinin (2) numaralı fıkrasının ikinci cümlesinin,

H. 15. maddesinin (3) numaralı fıkrasında yer alan “Devletsırrı niteliğindeki bilgi ve belgeler hariç…” ibaresinin,

I. 16. maddesinin (2) numaralı fıkrasının ikinci cümlesinin,

İ. 24. maddesinin (3) numaralı fıkrasının (b) bendinde yeralan “…Kurulca gerekli görülenlerin…” ibaresinin,

J. 28. maddesinin (1) numaralı fıkrasının (a) ve (ç)bentlerinin,

K. 30. maddesinin (7) numaralı fıkrası ile değiştirilen11.10.2011 tarihli ve 663 sayılı Sağlık Bakanlığı ve Bağlı KuruluşlarınınTeşkilat ve Görevleri Hakkında Kanun Hükmünde Kararname’nin 47. maddesinin,

Anayasa’nın 2., 5., 10., 13., 17., 20., 24., 25., 41., 56.ve 90. maddelerine aykırılığı ileri sürülerek iptallerine ve yürürlüklerinindurdurulmasına karar verilmesi talebidir.

I. İPTALİ İSTENEN KANUN HÜKÜMLERİ

İptali istenen kuralların yer aldığı 6698 sayılı Kanun’un;

1. 4. maddesi şöyledir:

“Genel ilkeler

MADDE 4- (1) Kişisel veriler, ancak bu Kanunda vediğer kanunlarda öngörülen usul ve esaslara uygun olarak işlenebilir.

(2) Kişisel verilerin işlenmesinde aşağıdaki ilkelere uyulmasızorunludur:

a) Hukuka ve dürüstlük kurallarına uygun olma.

b) Doğru ve gerektiğinde güncel olma.

c) Belirli, açık ve meşru amaçlar için işlenme.

ç) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma.

d) İlgili mevzuatta öngörülen veya işlendikleri amaç içingerekli olan süre kadar muhafaza edilme.”

2. 5. maddesi şöyledir:

“Kişisel verilerin işlenme şartları

MADDE 5- (1) Kişisel veriler ilgili kişinin açıkrızası olmaksızın işlenemez.

(2) Aşağıdaki şartlardan birinin varlığı hâlinde, ilgili kişininaçık rızası aranmaksızın kişisel verilerinin işlenmesi mümkündür:

a) Kanunlarda açıkça öngörülmesi.

b) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumdabulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da birbaşkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması.

c) Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgiliolması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesiningerekli olması.

ç) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesiiçin zorunlu olması.

d) İlgili kişinin kendisi tarafından alenileştirilmiş olması.

e) Bir hakkın tesisi, kullanılması veya korunması için veriişlemenin zorunlu olması.

f) İlgili kişinin temel hak ve özgürlüklerine zarar vermemekkaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunluolması.”

3. 6. maddesi şöyledir:

“Özel nitelikli kişisel verilerin işlenme şartları

MADDE 6- (1) Kişilerin ırkı, etnik kökeni, siyasidüşüncesi, felsefi inancı, dini, mezhebiveya diğer inançları, kılıkve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı,ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik vegenetik verileri özel nitelikli kişisel veridir.

(2) Özel nitelikli kişisel verilerin, ilgilinin açık rızasıolmaksızın işlenmesi yasaktır.

(3) Birinci fıkrada sayılan sağlık ve cinsel hayat dışındakikişisel veriler, kanunlarda öngörülen hâllerde ilgili kişinin açık rızasıaranmaksızın işlenebilir. Sağlık ve cinsel hayata ilişkin kişisel veriler iseancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi vebakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanınınplanlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunankişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızasıaranmaksızın işlenebilir.

(4) Özel nitelikli kişisel verilerin işlenmesinde, ayrıca Kurultarafından belirlenen yeterli önlemlerin alınması şarttır.”

4. 7. maddesi şöyledir:

“Kişisel verilerin silinmesi, yok edilmesi veya anonim hâlegetirilmesi

MADDE 7- (1) Bu Kanun ve ilgili diğer kanun hükümlerine uygunolarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadankalkması hâlinde kişisel veriler resen veya ilgili kişinin talebi üzerine verisorumlusu tarafından silinir, yok edilir veya anonim hâle getirilir.

(2) Kişisel verilerin silinmesi, yok edilmesi veya anonim hâlegetirilmesine ilişkin diğer kanunlarda yer alan hükümler saklıdır.

(3) Kişisel verilerin silinmesine, yok edilmesine veya anonim hâlegetirilmesine ilişkin usul ve esaslar yönetmelikle düzenlenir.”

5. 8. maddesi şöyledir:

“Kişisel verilerin aktarılması

MADDE 8- (1) Kişisel veriler, ilgili kişinin açık rızasıolmaksızın aktarılamaz.

(2) Kişisel veriler;

a) 5 inci maddenin ikinci fıkrasında,

b) Yeterli önlemler alınmak kaydıyla, 6 ncı maddenin üçüncüfıkrasında, belirtilen şartlardan birinin bulunması hâlinde, ilgili kişininaçık rızası aranmaksızın aktarılabilir.

(3) Kişisel verilerin aktarılmasına ilişkin diğer kanunlarda yeralan hükümler saklıdır.”

6. 9. maddesi şöyledir:

“Kişisel verilerin yurt dışına aktarılması

MADDE 9- (1) Kişisel veriler, ilgili kişinin açık rızasıolmaksızın yurt dışına aktarılamaz.

(2) Kişisel veriler, 5 inci maddenin ikinci fıkrası ile 6 ncımaddenin üçüncü fıkrasında belirtilen şartlardan birinin varlığı ve kişiselverinin aktarılacağı yabancı ülkede;

a) Yeterli korumanın bulunması,

b) Yeterli korumanın bulunmaması durumunda Türkiye’deki ve ilgiliyabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhütetmeleri ve Kurulun izninin bulunması, kaydıyla ilgili kişinin açık rızasıaranmaksızın yurt dışına aktarılabilir.

(3) Yeterli korumanın bulunduğu ülkeler Kurulca belirlenerek ilanedilir.

(4) Kurul yabancı ülkede yeterli koruma bulunup bulunmadığına veikinci fıkranın (b) bendi uyarınca izin verilip verilmeyeceğine;

a) Türkiye’nin taraf olduğu uluslararası sözleşmeleri,

b) Kişisel veri talep eden ülke ile Türkiye arasında veriaktarımına ilişkin karşılıklılık durumunu,

c) Her somut kişisel veri aktarımına ilişkin olarak, kişiselverinin niteliği ile işlenme amaç ve süresini,

ç) Kişisel verinin aktarılacağı ülkenin konuyla ilgili mevzuatı veuygulamasını,

d) Kişisel verinin aktarılacağı ülkede bulunan veri sorumlusutarafından taahhüt edilen önlemleri, değerlendirmek ve ihtiyaç duyması hâlinde,ilgili kurum ve kuruluşların görüşünü de almak suretiyle karar verir.

(5) Kişisel veriler, uluslararası sözleşme hükümleri saklı kalmaküzere, Türkiye’nin veya ilgili kişinin menfaatinin ciddi bir şekilde zarargöreceği durumlarda, ancak ilgili kamu kurum veya kuruluşunun görüşü alınarakKurulun izniyle yurt dışına aktarılabilir.

(6) Kişisel verilerin yurt dışına aktarılmasına ilişkin diğerkanunlarda yer alan hükümler saklıdır.”

7. 13. maddesi şöyledir:

“Veri sorumlusuna başvuru

MADDE 13- (1) İlgili kişi, bu Kanunun uygulanmasıyla ilgilitaleplerini yazılı olarak veya Kurulun belirleyeceği diğer yöntemlerle verisorumlusuna iletir.

(2) Veri sorumlusu başvuruda yer alan talepleri, talebinniteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olaraksonuçlandırır. Ancak, işlemin ayrıca bir maliyeti gerektirmesi hâlinde,Kurulca belirlenen tarifedeki ücret alınabilir.

(3) Veri sorumlusu talebi kabul eder veya gerekçesini açıklayarakreddeder ve cevabını ilgili kişiye yazılı olarak veya elektronik ortamdabildirir. Başvuruda yer alan talebin kabul edilmesi hâlinde veri sorumlusuncagereği yerine getirilir. Başvurunun veri sorumlusunun hatasından kaynaklanmasıhâlinde alınan ücret ilgiliye iade edilir.”

8. 15. maddesi şöyledir:

“Şikâyet üzerine veya resen incelemenin usul ve esasları

MADDE 15- (1) Kurul, şikâyet üzerine veya ihlal iddiasınıöğrenmesi durumunda resen, görev alanına giren konularda gerekli incelemeyiyapar.

(2) 1/11/1984 tarihli ve 3071 sayılı Dilekçe HakkınınKullanılmasına Dair Kanunun 6 ncı maddesinde belirtilen şartları taşımayan ihbarveya şikâyetler incelemeye alınmaz.

(3) Devlet sırrı niteliğindeki bilgi ve belgeler hariç; verisorumlusu, Kurulun, inceleme konusuyla ilgili istemiş olduğu bilgi ve belgelerion beş gün içinde göndermek ve gerektiğinde yerinde inceleme yapılmasına imkânsağlamak zorundadır.

(4) Şikâyet üzerine Kurul, talebi inceleyerek ilgililere bir cevapverir. Şikâyet tarihinden itibaren altmış gün içinde cevap verilmezse talepreddedilmiş sayılır.

(5) Şikâyet üzerine veya resen yapılan inceleme sonucunda, ihlalinvarlığının anlaşılması hâlinde Kurul, tespit ettiği hukuka aykırılıkların verisorumlusu tarafından giderilmesine karar vererek ilgililere tebliğ eder. Bukarar, tebliğden itibaren gecikmeksizin ve en geç otuz gün içinde yerinegetirilir.

(6) Şikâyet üzerine veya resen yapılan inceleme sonucunda, ihlalinyaygın olduğunun tespit edilmesi hâlinde Kurul, bu konuda ilke kararı alır vebu kararı yayımlar. Kurul, ilke kararı almadan önce ihtiyaç duyması hâlinde,ilgili kurum ve kuruluşların görüşlerini de alabilir.

(7) Kurul, telafisi güç veya imkânsız zararların doğması ve açıkçahukuka aykırılık olması hâlinde, veri işlenmesinin veya verinin yurt dışınaaktarılmasının durdurulmasına karar verebilir.”

9. 16. maddesi şöyledir:

“Veri Sorumluları Sicili

MADDE 16- (1) Kurulun gözetiminde, Başkanlık tarafındankamuya açık olarak Veri Sorumluları Sicili tutulur.

(2) Kişisel verileri işleyen gerçek ve tüzel kişiler, veriişlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorundadır. Ancak,işlenen kişisel verinin niteliği, sayısı, veri işlemenin kanundan kaynaklanmasıveya üçüncü kişilere aktarılma durumu gibi Kurulca belirlenecek objektifkriterler göz önüne alınmak suretiyle, Kurul tarafından, Veri SorumlularıSiciline kayıt zorunluluğuna istisna getirilebilir.

(3) Veri Sorumluları Siciline kayıt başvurusu aşağıdaki hususlarıiçeren bir bildirimle yapılır:

a) Veri sorumlusu ve varsa temsilcisinin kimlik ve adresbilgileri.

b) Kişisel verilerin hangi amaçla işleneceği.

c) Veri konusu kişi grubu ve grupları ile bu kişilere ait verikategorileri hakkındaki açıklamalar.

ç) Kişisel verilerin aktarılabileceği alıcı veya alıcı grupları.

d) Yabancı ülkelere aktarımı öngörülen kişisel veriler.

e) Kişisel veri güvenliğine ilişkin alınan tedbirler.

f) Kişisel verilerin işlendikleri amaç için gerekli olan azamisüre.

(4) Üçüncü fıkra uyarınca verilen bilgilerde meydana gelendeğişiklikler derhâl Başkanlığa bildirilir.

(5) Veri Sorumluları Siciline ilişkin diğer usul ve esaslaryönetmelikle düzenlenir.”

10. 24. maddesi şöyledir:

“Başkan

MADDE 24- (1) Başkan, Kurul ve Kurumun başkanı sıfatıylaKurumun en üst amiri olup Kurum hizmetlerini mevzuata, Kurumun amaç vepolitikalarına, stratejik planına, performans ölçütlerine ve hizmet kalitestandartlarına uygun olarak düzenler, yürütür ve hizmet birimleri arasında koordinasyonusağlar.

(2) Başkan, Kurumun genel yönetim ve temsilinden sorumludur. Busorumluluk, Kurum çalışmalarının düzenlenmesi, yürütülmesi, denetlenmesi,değerlendirilmesi ve gerektiğinde kamuoyuna duyurulması görev ve yetkilerinikapsar.

(3) Başkanın görevleri şunlardır:

a) Kurul toplantılarını idare etmek.

b) Kurul kararlarının tebliğini ve Kurulca gerekligörülenlerin kamuoyuna duyurulmasını sağlamak ve uygulanmalarınıizlemek.

c) Başkan Yardımcısını, daire başkanlarını ve Kurum personeliniatamak.

ç) Hizmet birimlerinden gelen önerilere son şeklini vererek Kurulasunmak.

d) Stratejik planın uygulanmasını sağlamak, hizmet kalitestandartları doğrultusunda insan kaynakları ve çalışma politikalarınıoluşturmak.

e) Belirlenen stratejilere, yıllık amaç ve hedeflere uygun olarakKurumun yıllık bütçesi ile mali tablolarını hazırlamak.

f) Kurul ve hizmet birimlerinin uyumlu, verimli, disiplinli vedüzenli bir biçimde çalışması amacıyla koordinasyonu sağlamak.

g) Kurumun diğer kuruluşlarla ilişkilerini yürütmek.

ğ) Kurum Başkanı adına imzaya yetkili personelin görev ve yetkialanını belirlemek.

h) Kurumun yönetim ve işleyişine ilişkin diğer görevleri yerinegetirmek.

(4) Kurum Başkanının yokluğunda İkinci Başkan, Başkana vekaleteder.”

11. 28. maddesi şöyledir:

“İstisnalar

MADDE 28- (1) Bu Kanun hükümleri aşağıdaki hâllerde uygulanmaz:

a) Kişisel verilerin, üçüncü kişilere verilmemek ve verigüvenliğine ilişkin yükümlülüklere uyulmak kaydıyla gerçek kişiler tarafındantamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgilifaaliyetler kapsamında işlenmesi.

b) Kişisel verilerin resmi istatistik ile anonim hâle getirilmeksuretiyle araştırma, planlama ve istatistik gibi amaçlarla işlenmesi.

c) Kişisel verilerin millî savunmayı, millî güvenliği, kamugüvenliğini, kamu düzenini, ekonomik güvenliği, özel hayatın gizliliğini veyakişilik haklarını ihlal etmemek ya da suç teşkil etmemek kaydıyla, sanat,tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamındaişlenmesi.

ç) Kişisel verilerin millî savunmayı, millî güvenliği, kamugüvenliğini, kamu düzenini veya ekonomik güvenliği sağlamaya yönelik olarakkanunla görev ve yetki verilmiş kamu kurum ve kuruluşları tarafından yürütülenönleyici, koruyucu ve istihbari faaliyetler kapsamında işlenmesi.

d) Kişisel verilerin soruşturma, kovuşturma, yargılama veya infazişlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafındanişlenmesi.

(2) Bu Kanunun amacına ve temel ilkelerine uygun ve orantılı olmakkaydıyla veri sorumlusunun aydınlatma yükümlülüğünü düzenleyen 10 uncu, zararıngiderilmesini talep etme hakkı hariç, ilgili kişinin haklarını düzenleyen 11inci ve Veri Sorumluları Siciline kayıt yükümlülüğünü düzenleyen 16 ncımaddeleri aşağıdaki hâllerde uygulanmaz:

a) Kişisel veri işlemenin suç işlenmesinin önlenmesi veya suçsoruşturması için gerekli olması.

b) İlgili kişinin kendisi tarafından alenileştirilmiş kişiselverilerin işlenmesi.

c) Kişisel veri işlemenin kanunun verdiği yetkiye dayanılarakgörevli ve yetkili kamu kurum ve kuruluşları ile kamu kurumu niteliğindekimeslek kuruluşlarınca, denetleme veya düzenleme görevlerinin yürütülmesi iledisiplin soruşturma veya kovuşturması için gerekli olması.

ç) Kişisel veri işlemenin bütçe, vergi ve mali konulara ilişkinolarak Devletin ekonomik ve mali çıkarlarının korunması için gerekli olması.”

12. 30. maddesi şöyledir:

“Değiştirilen ve eklenen hükümler

MADDE 30- (1) (10/12/2003 tarihli ve 5018 sayılı Kanun ile ilgiliolup yerine işlenmiştir.)

(2) ila (5) - (26/9/2004 tarihli ve 5237 sayılı Kanun ile ilgiliolup yerine işlenmiştir.)

(6) (7/5/1987 tarihli ve 3359 sayılı Sağlık Hizmetleri TemelKanunu ile ilgili olup yerine işlenmiştir.)

(7) 11/10/2011 tarihli ve 663 sayılı Sağlık Bakanlığı ve BağlıKuruluşlarının Teşkilat ve Görevleri Hakkında Kanun Hükmünde Kararnamenin 47nci maddesi aşağıdaki şekilde değiştirilmiştir.

‘MADDE 47- (1) Sağlık hizmeti almak üzere, kamu veya özel sağlıkkuruluşları ile sağlık mesleği mensuplarına müracaat edenlerin, sağlıkhizmetinin gereği olarak vermek zorunda oldukları veya kendilerine verilenhizmete ilişkin kişisel verileri işlenebilir.

(2) Sağlık hizmetinin verilmesi, kamu sağlığının korunması,koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ilesağlık hizmetlerinin planlanması ve maliyetlerin hesaplanması amacıylaBakanlık, birinci fıkra kapsamında elde edilen verileri alarak işleyebilir. Buveriler, Kişisel Verilerin Korunması Kanununda öngörülen şartlar dışındaaktarılamaz.

(3) Bakanlık, ikinci fıkra gereğince toplanan ve işlenen kişiselverilere, ilgili kişilerin kendilerinin veya yetki verdikleri üçüncü kişilerinerişimlerini sağlayacak bir sistem kurar.

(4) Üçüncü fıkraya göre kurulan sistemlerin güvenliği vegüvenilirliği ile ilgili standartlar Kişisel Verileri Koruma Kurulununbelirlediği ilkelere uygun olarak Bakanlıkça belirlenir. Bakanlık, bu Kanunuyarınca elde edilen kişisel sağlık verilerinin güvenliğinin sağlanması içingerekli tedbirleri alır. Bu amaçla, sistemde kayıtlı bilgilerin hangi görevlitarafından ne amaçla kullanıldığının denetlenmesine imkân tanıyan bir güvenliksistemi kurar.

(5) Sağlık personeli istihdam eden kamu kurum ve kuruluşları ileözel hukuk tüzel kişileri ve gerçek kişiler, istihdam ettiği personeli vepersonel hareketlerini Bakanlığa bildirmekle yükümlüdür.

(6) Kişisel sağlık verilerinin işlenmesi, güvenliği ve bu maddeninuygulanması ile ilgili diğer hususlar Bakanlıkça yürürlüğe konulan yönetmelikledüzenlenir.’”

II. İLK İNCELEME

1. Anayasa Mahkemesi İçtüzüğü hükümleri uyarınca Zühtü ARSLAN,Burhan ÜSTÜN, Engin YILDIRIM, Serdar ÖZGÜLDÜR, Serruh KALELİ, Osman AlifeyyazPAKSÜT, Recep KÖMÜRCÜ, Alparslan ALTAN, Nuri NECİPOĞLU, Hicabi DURSUN,Celal Mümtaz AKINCI, Erdal TERCAN, Muammer TOPAL, M. Emin KUZ, Hasan TahsinGÖKCAN, Kadir ÖZKAYA ve Rıdvan GÜLEÇ’in katılımlarıyla 22.6.2016 tarihindeyapılan ilk inceleme toplantısında dosyada eksiklik bulunmadığından işinesasının incelenmesine, yürürlüğü durdurma talebinin esas inceleme aşamasındakarara bağlanmasına OYBİRLİĞİYLE karar verilmiştir.

III. ESASIN İNCELENMESİ

2. Dava dilekçesi ve ekleri, Raportör Berrak YILMAZ tarafındanhazırlanan işin esasına ilişkin rapor, dava konusu kanun hükümleri, dayanılanve ilgili görülen Anayasa kuralları ve bunların gerekçeleri ile diğer yasamabelgeleri okunup incelendikten sonra gereği görüşülüp düşünüldü:

A. Kanun’un 4. Maddesinin (2) Numaralı Fıkrasının (d) Bendinde YerAlan “…veya işlendikleri amaç için gerekli olan…” İbaresinin İncelenmesi

1. İptal Talebinin Gerekçesi

3. Dava dilekçesinde özetle, dava konusu kuralın yer aldığımaddenin esas itibarıyla kişisel verilerin işlenmesindeki güvenceleridüzenlediği, bu güvencelerden en önemlisinin kişisel verilerin muhafaza süresiolduğu, işlendiği amaç için gerekli olan süre şeklindeki dava konusu kuralınise belirsiz, subjektif, geniş ve yorumlayana göre değişebilecek nitelikteolduğundan kişisel verileri işleyen gerçek veya tüzel kişilerin ne kadar süreile kişisel verileri muhafaza edebileceğinin belirli olmadığı, kişilerin hukukgüvenliğini tehdit ettiği ve Avrupa Konseyi tarafından hazırlanarak 1981tarihinde imzaya açılan 108 sayılı Kişisel Verilerin Otomatik İşleme TabiTutulması Karşısında Bireylerin Korunmasına Dair Sözleşme’de (108 sayılıSözleşme) yer alan esaslarla uyumlu olmadığı belirtilerek kuralın Anayasa’nın2. ve 90. maddelerine aykırı olduğu ileri sürülmüştür.

2. Anayasa’ya Aykırılık Sorunu

4. 6216 sayılı Anayasa Mahkemesinin Kuruluşu ve Yargılama UsulleriHakkında Kanun’un 43. maddesi uyarınca kural, ilgisi nedeniyle Anayasa’nın 20.maddesi yönünden de incelenmiştir.

5. Dava konusu kuralın yer aldığı fıkrada, kişisel verilerinişlenmesinde uyulması zorunlu ilkeler düzenlenmektedir. Fıkranın (d) bendindebu ilkelerden biri olarak kişisel verilerin mevzuatta öngörülen veyaişlendikleri amaç için gerekli olan süre kadar muhafaza edilmesiöngörülmektedir. Fıkrada yer alan “…veya işlendikleri amaç için gerekliolan …” ibaresi dava konusu kuralı oluşturmaktadır.

6. Anayasa’nın 2. maddesinde belirtilen hukuk devleti; eylem veişlemleri hukuka uygun, insan haklarına saygılı, bu hak ve özgürlükleri koruyupgüçlendiren, her alanda adaletli bir hukuk düzeni kurup bunu geliştirereksürdüren, Anayasa’ya aykırı durum ve tutumlardan kaçınan, Anayasa ve hukukunüstün kurallarıyla kendini bağlı sayan, yargı denetimine açık olan devlettir.

7. Hukuk devletinin temel ilkelerinden biri de “belirlilik”tir.Bu ilkeye göre yasal düzenlemelerin hem kişiler hem de idare yönünden herhangibir duraksamaya ve kuşkuya yer vermeyecek şekilde açık, net, anlaşılır veuygulanabilir olması, ayrıca kamu otoritelerinin keyfî uygulamalarına karşıkoruyucu önlem içermesi gereklidir. Belirlilik ilkesi, hukuksal güvenliklebağlantılı olup bu ilke gereği birey hangi somut eylem ve olguya hangi hukuksalyaptırımın veya sonucun bağlandığını, bunların hangi müdahale yetkisinidoğurduğunu bilmelidir. Birey ancak bu durumda kendisine düşen yükümlülükleriöngörebilir ve davranışlarını belirler. Hukuk güvenliği; normlarınöngörülebilir olmasını, bireylerin tüm eylem ve işlemlerinde devlete güvenduyabilmesini, devletin de yasal düzenlemelerde bu güven duygusunu zedeleyiciyöntemlerden kaçınmasını gerekli kılar.

8. Anayasa’nın 20. maddesinin birinci fıkrasında, “Herkes, özelhayatına ve aile hayatına saygı gösterilmesini isteme hakkına sahiptir. Özelhayatın ve aile hayatının gizliliğine dokunulamaz.” denilerek özel hayatıngizliliği hakkı güvence altına alınmıştır. Maddenin üçüncü fıkrasında iseherkesin kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahipolduğu, bu hakkın kişinin kendisiyle ilgili kişisel veriler hakkındabilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesinitalep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi dekapsadığı ifade edilmiştir. Maddede ayrıca kişisel verilerin ancak kanundaöngörülen hâllerde veya kişinin açık rızasıyla işlenebileceği ve kişiselverilerin korunmasına ilişkin esas ve usullerin kanunla düzenleneceği belirtilmiştir.

9. 6698 sayılı Kanun’un 3. maddesine göre kişisel veri, kimliğibelirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifadeetmektedir. Anayasa Mahkemesinin kararlarında da belirtildiği üzere ”...Bu bağlamda adı, soyadı, doğum tarihi ve doğum yeri gibi bireyin sadecekimliğini ortaya koyan bilgiler değil; telefon numarası, motorlu taşıt plakası,sosyal güvenlik numarası, pasaport numarası, özgeçmiş, resim, görüntü ve seskayıtları, parmak izleri, IP adresi, e-posta adresi, hobiler, tercihler,etkileşimde bulunulan kişiler, grup üyelikleri, aile bilgileri, sağlıkbilgileri gibi kişiyi doğrudan veya dolaylı olarak belirlenebilir kılan tümveriler” kişisel veri olarak kabul edilmektedir (E. 2013/122, K.2014/74, 9.4.2014; E. 2014/149, K. 2014/151, 2.10.2014; E. 2013/84, K.2014/183, 4.12.2014; E. 2014/74, K. 2014/201, 25.12.2014; E. 2014/180, K.2015/30, 19.3.2015; E. 2015/32, K. 2015/102, 12.11.2015).

10. Kişisel veri kavramı tarafı olduğumuz Avrupa İnsanHakları Sözleşmesi’nde (AİHS) açık bir şekilde düzenlenmemekle birlikte,AİHS’nin uygulanmasına ilişkin Avrupa İnsan Hakları Mahkemesi (AİHM)kararlarında 108 sayılı Sözleşme’ye atıfta bulunulmakta ve bu verilerin özelyaşamın gizliliğinin bir parçası olduğu kabul edilmektedir. AİHM kararlarındakişilere ait “görüntü”, “fotoğraf”, “parmak izi”, “DNA profili”, “hücreörnekleri”, “ev adresi” ve “yaş, doğum tarihi ve fizikselözellikler” kişisel veri kapsamında değerlendirilmektedir (Peck/BirleşikKrallık, B. No: 44647/98, 28.01.2003; Sciacca/İtalya, B.No: 50774/99, 11.01.2005; S. ve Marper/Birleşik Krallık(Büyük Daire), B.No: 30562/04, 30566/04, 04.12.2008; Alkaya/Türkiye, B. No:42811/06, 09.10.2012; K.U./Finlandiya, B. No: 2872/02, 02.12.2008).

11. Kişisel verilerin korunmasında hâkim olan temel ilkeler davakonusu kuralın da yer aldığı 6698 sayılı Kanun’un 4. maddesinde belirtilmiştir.Maddede, kişisel verilerin işlenmesinde uyulması zorunlu bu ilkeler; hukuka vedürüstlük kurallarına uygun olma, doğru ve gerektiğinde güncel olma, belirli,açık ve meşru amaçlar için işlenme, işlendikleri amaçla bağlantılı, sınırlı veölçülü olma, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekliolan süre kadar muhafaza edilme şeklinde sayılmıştır.

12. 108 sayılı Sözleşme’nin verilerin niteliğini düzenleyen 5.maddesinin (e) bendinde de otomatik işleme konu olan kişisel verilerin “Kaydedilmeamaçlarını gerçekleştirmek için gerekli olan süreyi aşmayacak şekilde ilgilikişilerin kimliklerini belirlemeye imkân veren bir biçimde” saklanacağıbelirtilmiştir.

13. AİHM kararlarında da kişisel verilerin gerekenden uzunsüre tutulması ihlal nedeni olarak kabul edilmiştir. Mahkeme şüphelilerinparmak izi, DNA profili ve hücre örneklerinin ulusal bir veri tabanınaaktarılmasına ilişkin başvuruda, kayıt altına alınabilir herhangi bir suçdolayısıyla bir kişinin parmak izi ve DNA örneklerinin belirsiz bir süresaklanmasına izin veren uygulamayı AİHS’nin 8. maddesine aykırı bulmuştur (S.ve Marper/Birleşik Krallık ((Büyük Daire), B. No: 30562/04,30566/04, 04.12.2008).

14. Dava konusu kuralın yer aldığı madde gerekçesinde, kişiselverilerin ancak ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekliolan süre kadar muhafaza edilmesinin zorunlu olduğu, buna göre verisorumlularının ilgili mevzuatta verilerin saklanması için öngörülen bir sürevarsa bu süreye uyacağı yoksa verileri ancak işlendikleri amaç için gerekliolan süre kadar muhafaza edebileceği, bir verinin daha fazla saklanması içingeçerli bir sebep olmaması durumunda o verinin silineceği veya anonim hâlegetirileceği, gelecekte kullanma ihtimalinin varlığına dayanarak verisaklanamayacağı, veri sorumlularının Kanun’un 16. maddesi uyarınca VeriSorumluları Siciline kayıt için başvuru yaparken kişisel verilerin işlendikleriamaç için gerekli olan azami süreyi bildirmek zorunda oldukları ifadeedilmektedir.

15. Kişisel verilerin işlendikleri amaç için gerekli olan sürekadar muhafaza edilmesi ilkesi kişisel verilerin korunmasının en önemliilkelerinden biridir. Zira kişisel verilerin korunması hakkı, herhangi birkişinin kendisiyle ilgili olarak toplanan kişisel verilerin toplanma amacınaulaşıldıktan sonra bilgisi dışında muhafaza edilmeyeceği veya başka bir amaçiçin kullanılmayacağı güvencesine sahip olması hâlinde söz konusu olabilir.Kişinin kişisel verilerinin hayatı boyunca bir yerlerde kayıtlı tutulacağını vebaşka bir amaçla kullanılabileceğini düşünmesi kişisel verilerin korunmasıhakkını zedeler. Bu bağlamda dava konusu kuralla kanun koyucunun, ilgilimevzuatta kişisel verilerin saklanması için bir süre öngörülmemesi durumunda buverilerin ancak işlendikleri amaç için gerekli olan süre kadar muhafazaedilebilmesi suretiyle kişisel verilerin süresiz bir şekilde muhafaza edilmesiihtimalini ortadan kaldırmaya yönelik bir düzenleme yapmayı ve kanunda muhafazasüresi belirtilmeyen kişisel verilerle ilgili olarak kişilere güvence sağlamayıamaçladığı anlaşılmaktadır.

16. Çok geniş bir kavramı ifade eden kişisel veriler çok farklıamaçlarla ve farklı şekillerde işlenebileceğinden kanun koyucu tarafından herbir kişisel veri için önceden muhafaza edilme süresi öngörülmesi mümkünolamayabilir. Diğer taraftan 6698 sayılı Kanun’un bireylere veri sorumlusunabaşvuru hakkının düzenlendiği 11. maddesine göre veri sahipleri her zamankişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıpkullanılmadığını öğrenme hakkına sahip olduğu gibi kişisel verilerin silinmesi,yok edilmesi veya anonim hâle getirilmesini düzenleyen 7. maddesine göreöngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yokedilmesini isteme hakkına da sahiptir.

17. Ayrıca 6698 sayılı Kanun’un 16. maddesine göre KişiselVerileri Koruma Kurulu gözetiminde Başkanlık tarafından kamuya açık olaraktutulan Veri Sorumluları Sicili’ne kişisel verileri işleyen gerçek ve tüzelkişiler tarafından veri işlenmeye başlanmadan önce bulunulması gereken kayıtbaşvurusunda yapılan bildirimde kişisel verilerin işlendikleri amaç içingerekli olan azami sürenin de belirtilmesi gerekir. Kanun’un anılan hükümlerive 108 sayılı Sözleşme’nin 5. maddesinin (e) bendindeki süreye yönelik düzenlemedikkate alındığında, muhafaza süresi mevzuatta öngörülmeyen kişisel verilerleilgili olarak kişilere güvence sağlamaya yönelik dava konusu kuralın belirsizve subjektif bir niteliğe sahip olduğu söylenemez. Dolayısıyla kuralda kişiselverilerin korunmasıyla ilgili uluslararası hukukta da temel ilkelerden biriolarak kabul edilen verilerin amacın gerektirdiğinden daha uzun süre tutulmamailkesine aykırı bir yön bulunmamaktadır.

18. Açıklanan nedenlerle kural Anayasa’nın 2. ve 20. maddelerineaykırı değildir. İptal talebinin reddi gerekir.

19. Kuralın Anayasa’nın 90. maddesiyle ilgisi görülmemiştir.

B. Kanun’un 5. Maddesinin (2) Numaralı Fıkrasının (c), (ç), (e) ve(f) Bentlerinin İncelenmesi

1. İptal Taleplerinin Gerekçesi

20. Dava dilekçesinde özetle, dava konusu kuralların yer aldığımaddede kişisel verilerin ilgili kişinin açık rızası olmaksızın işlenemeyeceğikuralının istisnalarının düzenlendiği, istisnaların sınırları belirlenmiş birşekilde tadadi olarak sayılması gerektiği ancak dava konusu kurallarlaistisnaların esas düzenleme hâline gelerek Kanun’un uygulanmasında açık rızanınaranmasına gerek duyulmasının neredeyse imkânsız hâle getirildiği, kişiselverilerin korunmasına ilişkin anayasal güvencenin yaşama geçirilebilmesi içinbu hakkı ilgilendiren yasal düzenlemelerin açık, anlaşılabilir ve kişilerin sözkonusu haklarını kullanabilmelerine elverişli olması gerektiği ancak davakonusu kuralların kapsam ve sınırlarının belirsiz olduğu, özellikle “meşrumenfaat” kavramının kapsamının belli olmadığı, temel hak veözgürlüklere ilişkin sınırlamanın Anayasa’ya uygun olabilmesi için temelhakların sınırlandırılmasına ilişkin ilkelere aykırı olmaması ve bu bağlamdakamu yararı ile özel hayatın gizliliği hakkı arasında adil bir denge kurmasıgerektiği, dava konusu kuralların ise bireylerin özel yaşamına doğrudan birmüdahale niteliğinde olduğu, kişisel verilerin korunması hakkını ölçüsüzcesınırlandırdığı ve hakkın özüne zarar verdiği, kanun koyucunun takdir yetkisiniadalet, hakkaniyet ve kamu yararı ölçütlerini göz önünde tutarak kullanmasıgerektiği, kuralların kamu yararı amacı taşımadığı belirtilerekAnayasa’nın 2., 13., 20. ve 90. maddelerine aykırı olduğu ileri sürülmüştür.

2. Anayasa’ya Aykırılık Sorunu

21. Dava konusu kuralların yer aldığı maddede kişisel verilerinişlenme şartları düzenlenmiştir. Maddenin birinci fıkrasında kişisel verilerinilgili kişinin açık rızası olmaksızın işlenemeyeceği hükme bağlanmış, ikincifıkrasında ise ilgili kişinin açık rızası aranmaksızın kişisel verilerininişlenmesinin mümkün olduğu hâller belirtilmiştir. Bunlar (2) numaralı fıkranın(a) bendinde, kanunlarda açıkça öngörülmesi; (b) bendinde, fiilî imkânsızlıknedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerliliktanınmayan kişinin kendisinin ya da bir başkasının hayatı veya bedenbütünlüğünün korunması için zorunlu olması; (c) bendinde, bir sözleşmeninkurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla sözleşmenintaraflarına ait kişisel verilerin işlenmesinin gerekli olması; (ç) bendinde,veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunluolması; (d) bendinde, ilgili kişinin kendisi tarafından alenileştirilmişolması; (e) bendinde, bir hakkın tesisi, kullanılması veya korunması için veriişlemenin zorunlu olması ve (f) bendinde, ilgili kişinin temel hak veözgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri içinveri işlemesinin zorunlu olması şeklinde belirlenmiştir. Dava konusu kurallarKanun’un 5. maddesinin (2) numaralı fıkrasının (c), (ç), (e) ve (f)bentleridir.

22. Anayasa’nın 2. maddesindeki hukuk devleti ilkesinin gereğiolarak kanunlar kamu yararı amacını gerçekleştirmek üzere çıkarılmalıdır.Anayasa Mahkemesi’nin kimi kararlarında kamu yararı kavramından ne anlaşılmasıgerektiği ortaya konulmuştur. Buna göre kamu yararı kavramı genel bir ifadeylebireysel, özel çıkarlardan ayrı ve bunlara üstün olan toplumsal yararı ifadeetmektedir. Bu bağlamda kanun koyucu, sosyal yaşamı düzenlemek için kamu yararıamacıyla kimi kurallar koyabilir. Kamu yararı düşüncesi olmaksızın yalnız özelçıkarlar için veya yalnız belli kişilerin yararına olarak kanun hükmükonulamaz. Böyle bir durumun açık bir biçimde ve kesin olarak saptanmasıhâlinde söz konusu kanun hükmü Anayasa’nın 2. maddesine aykırı düşer. Açıklananayrık hâl dışında bir kanun hükmünün ülke gereksinimlerine uygun olup olmadığı,hangi araç ve yöntemlerle kamu yararının sağlanabileceği bir siyasi tercihsorunu olarak kanun koyucunun takdirinde olduğundan bu kapsamda kamu yararıdeğerlendirmesi yapmak anayasa yargısıyla bağdaşmaz.

23. Anayasa’nın 20. maddesinin birinci fıkrasında özel hayatıngizliliği hakkı güvence altına alınmıştır. Ancak aynı maddenin ikincifıkrasında millî güvenlik, kamu düzeni, suç işlenmesinin önlenmesi, genelsağlık ve genel ahlakın korunması veya başkalarının hak ve özgürlüklerininkorunması sebeplerinden biriyle özel hayatın gizliliğinin sınırlanmasına olanaktanınmıştır. Anayasa Mahkemesi kararlarında da vurgulandığı üzere özelsınırlama nedeni öngörülmemiş özgürlüklerin de o özgürlüğün doğasındankaynaklanan sınırlarının bulunduğu, ayrıca Anayasa'nın başka maddelerinde yeralan hak ve özgürlükler ile devlete yüklenen ödevlerin özel sınırlama sebebigösterilmemiş hak ve özgürlüklere sınır teşkil edebileceği kabul edilmektedir.

24. Anayasa’nın 20. maddesinin üçüncü fıkrasında ise “Herkes,kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Buhak; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, buverilere erişme, bunların düzeltilmesini veya silinmesini talep etme veamaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar. Kişiselveriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıylaişlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunladüzenlenir.” hükmü yer almaktadır.

25. 108 sayılı Sözleşme’nin 9. maddesinde de devlet güvenliği,kamu güvenliği, devletin ekonomik menfaatlerinin korunması ve suçlarla mücadeleedilmesi, ilgilinin veya üçüncü kişilerin hak ve özgürlüklerinin korunması ileverilerin istatistiki veya bilimsel amaçlarla kullanılması durumlarında kişiselverilerin korunmasına sınırlamalar getirilebileceği belirtilmektedir.

26. Ancak bu sınırlama yapılırken temel hak ve özgürlüklerinsınırlandırılması rejimini belirleyen Anayasa’nın 13. maddesine de uyulmasıgerekmektedir. Anayasa’nın 13. maddesinde“Temel hak ve hürriyetler, özlerinedokunulmaksızın yalnızca Anayasanın ilgili maddelerinde belirtilen sebeplerebağlı olarak ve ancak kanunla sınırlanabilir. Bu sınırlamalar, Anayasanınsözüne ve ruhuna, demokratik toplum düzeninin ve lâik Cumhuriyetin gereklerineve ölçülülük ilkesine aykırı olamaz.” denilmektedir. Anayasa’nın 13.maddesi uyarınca özel hayatın gizliliği ve kişisel verilerin korunması hakları,yalnızca kanunla ve demokratik bir toplumda gerekli olduğu ölçüdesınırlanabilir. Ayrıca getirilen bu sınırlamalar hakkın özüne dokunamayacağıgibi Anayasa’nın sözüne ve ruhuna, demokratik toplum düzeninin gereklerine veölçülülük ilkesine aykırı olamaz.

27. Temel hak ve özgürlükler özlerine dokunulmaksızın yalnızcaAnayasa’da öngörülen sebeplerle ve ancak kanunla sınırlanabilir.Dokunulamayacak “öz”, her temel hak ve özgürlük açısından farklılıkgöstermekle birlikte kanunla getirilen sınırlamanın hakkın özüne dokunmadığınınkabulü için temel hakların kullanılmasını ciddi surette güçleştirip amacınaulaşmasına engel olmaması ve etkisini ortadan kaldırıcı bir nitelik taşımamasıgerekir.

28. Temel hak ve özgürlüklerin özlerine dokunulmaksızınyapılan sınırlamaların ise demokratik toplum düzeninin gerekleri ile ölçülülükilkesine aykırı olamayacağı belirtilmiştir. Öze dokunma yasağını ihlal etmeyenmüdahaleler yönünden gözetilmesi öngörülen “demokratik toplum düzeniningerekleri” kavramı, öncelikle ilgili hak yönünden getirilen sınırlamalarınzorunlu ve istisnai tedbir niteliğinde olmalarını gerektirmektedir. “Demokratiktoplum düzeninin gerekleri”nden olma, bir sınırlamanın demokratik birtoplumda zorlayıcı bir toplumsal ihtiyacın karşılanması amacına yönelikolmasını ifade etmektedir.

29. Anayasa’nın 13. maddesinde ifade edilen “ölçülülük ilkesi”,temel hak ve özgürlüklerin sınırlandırılmasına ilişkin başvurularda dikkatealınması gereken bir diğer ilkedir. Demokratik toplum düzeninin gerekleri veölçülülük ilkeleri, iki ayrı kriter olarak düzenlenmiş olmakla birlikte bu ikikriter arasında sıkı bir ilişki vardır. Temel hak ve özgürlüklere yönelikherhangi bir sınırlamanın başvurulabilecek en son çare ya da alınabilecek enson önlem olarak temel haklara en az müdahaleye olanak veren ölçülü birsınırlama niteliğinde olup olmadığının incelenmesi gerekir.

30. Demokratik toplum kişilerin temel hak ve özgürlüklerinin engeniş şekilde güvence altına alındığı bir düzeni gerektirir. Demokrasilerdedevlete düşen görev temel hak ve özgürlükleri korumak ve geliştirmek, bunlarınetkili şekilde kullanılmasını sağlayacak tedbirleri almaktır. Bu kapsamda devlet,özellikle temel hak ve özgürlükleri ortadan kaldıracak veya bunlara ölçüsüzmüdahale teşkil edecek tutumlardan kaçınmalı ve başkalarından gelebilecektehditlere karşı bireyleri korumalıdır.

31. Özel hayatın gizliliği ve kişisel verilerin korunması hakkı,temel hak ve özgürlükler arasında önemli bir yer alır. Özel hayatıngizliliğinin korunması, bu hayatın başkalarının gözleri önüne serilmemesidemektir. Kişinin özel hayatının, yalnız kendisi veya kendisinin bilmesiniistediği kimseler tarafından bilinmesini isteme hakkı, kişinin temelhaklarından biridir ve bu niteliği nedeniyle insan haklarına ilişkin beyannameve sözleşmelerde yer almış; demokratik ülkelerin mevzuatında açıkça belirlenenistisnalar dışında devlete, topluma ve diğer kişilere karşı korunmuştur.Kişisel verilerin korunması hakkı ise özel hayatın gizliliği hakkının özel birbiçimi olarak bireyin hak ve özgürlüklerini kişisel verilerin işlenmesisırasında korumayı amaçlamaktadır. Kişisel verilerin korunmasını isteme hakkınasağlanan anayasal güvencenin yaşama geçirilebilmesi için bu hakkı ilgilendirenyasal düzenlemelerin açık, anlaşılabilir ve kişilerin söz konusu haklarınıkullanabilmelerine elverişli olması gerekir. Ancak böyle bir düzenleme ilekişilerin özel hayatlarını ilgilendiren veri ve bilgilerin resmî makamlarınkeyfî müdahalelerine karşı korunması mümkün olabilir.

32. 6698 sayılı Kanun’un 5. maddesinde kişisel verilerin işlenmeşartları düzenlenmiştir. Buna göre kişisel veriler ilgili kişinin açıkrızası olmaksızın işlenemez. Maddenin dava konusu kuralın yer aldığı (2)numaralı fıkrasında belirtilen şartlardan birinin varlığı hâlinde ilgilikişinin açık rızası aranmaksızın kişisel verilerinin işlenmesi mümkündür.

33. 6698 sayılı Kanun’un 3. maddesinde açık rıza “belirlibir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza” şeklindetanımlanmıştır. Madde gerekçesinde açık rızanın 95/46/EC sayılı Avrupa BirliğiVeri Koruma Direktifi (95/46/EC sayılı Direktif) dikkate alınarak tanımlandığıifade edildikten sonra açık rızanın ilgili kişinin kendisiyle ilgili veriişlenmesine özgürce, konuyla ilgili yeterli bilgi sahibi olarak tereddüde yerbırakmayacak açıklıkta ve sadece o işlemle sınırlı olarak verdiği onay beyanışeklinde anlaşılması gerektiği ifade edilmiştir.

34. 95/46/EC sayılı Direktif’in 2. maddesinin (h) bendinegöre “veri öznesinin rızası”, “kendisine dair kişisel verilerinişlenmesi için veri öznesinin kabulüne işaret eden, özgürce ve bilgilendirilmeyapıldıktan sonra alınan rızayı” ifade etmektedir. Avrupa Birliğitarafından 95/46/EC sayılı Direktif’in yerini almak üzere 2016 yılında kabuledilen ve 2018 yılında yürürlüğe girecek olan 2016/679 sayılı Genel Veri KorumaYönetmeliği’nin 4. maddesinin (11) numaralı bendinde de veri sahibinin rızası “verisahibinin bir beyan yoluyla ya da açık bir onay eylemiyle kendisine ait kişiselverilerin işlenmesine onay verdiğini gösteren özgür bir şekilde verilmişspesifik, bilinçli ve açık gösterge” şeklinde tanımlanmaktadır.

35. 95/46/EC sayılı Direktif’in 7. maddesinin devamında açık rızakuralının istisnaları düzenlenmiştir. Buna göre kişisel verilerin işlenmesi,bir sözleşme yapmadan önce veri öznesinin talebi üzerine önlem almak için ya daveri öznesinin taraf olduğu bir sözleşmenin yerine getirilmesi için gerekliyseveya işlenme denetleyicinin konusu olan bir yasal yükümlülüğe uyum içingerekirse veya işlenme, veri öznesinin hayati menfaatlerini korumak içingerekliyse veya işlenme, verilerin açıklandığı üçüncü bir şahıs veyadenetleyiciye yetki veren kamu makamının uygulamasında veya kamu menfaatineyapılan bir görevin yerine getirilmesi için gerekliyse veya işlenme, bu türmenfaatlerin 1. maddenin (1) numaralı fıkrası kapsamında koruma gerektiren veriöznesinin temel hak ve özgürlükleriyle ilgili menfaatleri çiğnemesi haricindeverilerin açıklandığı üçüncü şahıs veya şahıslar tarafından ya da denetleyicitarafından takip edilen meşru menfaatlerin amaçları için gerekliyse veriöznesinin açık rızası aranmayabilecektir.

36. Dava konusu kurallarla, ilgili kişinin açık rızası olmasa dahikişisel verilerin işlenebileceği hâllerden bir kısmı düzenlenmektedir. Bunagöre ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesininmümkün olduğu hâller “bir sözleşmenin kurulması veya ifasıyla doğrudandoğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerinişlenmesinin gerekli olması”; “veri sorumlusunun hukukiyükümlülüğünü yerine getirebilmesi için zorunlu olması”; “Birhakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması”ile “ilgili kişinin temel hak ve özgürlüklerine zarar vermemekkaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunluolması” şeklinde öngörülmüştür.

37. Dava konusu kuralların yer aldığı madde gerekçesinde, kişiselverilerin ilgili kişinin açık rızası olmaksızın işlenebileceği hâller örneklerverilmek suretiyle detaylı olarak açıklanmıştır.

38. Fıkranın (c) bendiyle ilgili olarak madde gerekçesinde birsözleşmenin kurulması veya ifasıyla ilgili olarak kişisel veri işlenebileceği,örneğin yapılan bir sözleşme gereği paranın ödenmesi içinalacaklı tarafın hesap numarasının alınabileceği, bir bankayla kredi sözleşmesiyapılması sırasında bankanın o kişiye ait maaş bordrosunu, tapu kayıtlarını,icra borcu olmadığına dair belgeyi edinmesinin bu kapsamda değerlendirileceğibelirtilmiştir.

39. Fıkranın (ç) bendiyle ilgili olarak madde gerekçesinde verisorumlusunun, hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olanverileri, ilgili kişinin rızası olmasa dahi işleyebileceği, örneğin birşirketin çalışanına maaş ödeyebilmesi için banka hesap numarası, evli olupolmadığı, bakmakla yükümlü olduğu kişiler, eşinin çalışıp çalışmadığı, sosyalsigorta numarası gibi verileri işlemesinin bu bendin verdiği yetkiye istinadenolacağı ifade edilmiştir.

40. Fıkranın (e) bendiyle ilgili olarak madde gerekçesinde birhakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olmasıdurumunda kişisel verilerin işlenebileceği, bu bağlamda bir şirketin kendiçalışanı tarafından açılan bir davada ispat için bazı verileri kullanmasınınveya kısıtlı bir kişinin haklarının korunması amacıyla vasinin veya kayyımın,kısıtlının mali bilgilerini tutmasının hukuka uygun sayılacağı belirtilmiştir.

41. Fıkranın (f) bendiyle ilgili olarak madde gerekçesinde iseilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla verisorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması durumundada açık rıza şartı aranmaksızın kişisel verilerin işlenebileceği, örneğin birşirket sahibinin çalışanlarının temel hak ve özgürlüklerine zarar vermemekkaydıyla onların terfileri, maaş zamları yahut sosyal haklarınındüzenlenmesinde ya da işletmenin yeniden yapılandırılması sürecinde görev verol dağıtımında esas alınmak üzere çalışanların kişisel verileriniişleyebileceği, burada işletmenin yeniden yapılandırılması ya da ehliyetli veliyakatli çalışanların terfi almalarının veri sorumlusu statüsündeki şirketsahibinin “meşru menfaati” cümlesinden olduğu, kişiselverilerin korunmasına ilişkin temel ilkelere uyulması ve veri sorumlusu ileilgili kişinin menfaat dengesinin gözetilmesi gerektiği açıklanmıştır.

42. Dava konusu kuralların, kişisel verilerin korunmasına yönelikbir sınırlandırma getirdiği açıktır. Dava konusu kurallarla ilgili kişinin açıkrızası aranmaksızın kişisel verilerinin işlenmesinin mümkün olduğu bir kısımhâller düzenlenmek suretiyle kişisel verilerin korunması hakkına müdahaledebulunulmuş ise de açık rıza olmaksızın işlenebilecek kişisel veriler, ilgilininher türlü kişisel verisi olmayıp dava konusu kurallarda açıkça düzenlenenşartlardan birinin gerçekleşmesi durumu ile sınırlıdır. Bu bağlamda açık rızakavramına getirilen istisnaların esas düzenleme hâline getirildiği veya açıkrızaya gerek duyulmasını imkânsız hâle getirdiği söylenemez. Ayrıca dava konusukuralların, kişisel verilerin işlenmesini, bir işlemin yapılması, bir hakkın tesisi,kullanılması veya korunması veya veri sorumlusunun meşru menfaatleri içingerekli veya zorunlu olması durumlarıyla sınırlı tuttuğu dikkate alındığındagetirilen sınırlamaların kişisel verilerin korunması hakkının kullanılmasınıson derece zorlaştıran veya onu kullanılamaz duruma düşüren kayıtlarabağlamadığı da açıktır. Bir başka deyişle dava konusu kurallar, maddedebelirtilen konularda gereklilik veya zorunluluk hâllerinde ortaya çıkacak birihtiyacın karşılanmasını sağlamaya yönelik olup hakkın özüne dokunmamaktadır.Bu nedenle değerlendirilmesi gereken hususlar söz konusu sınırlamanındemokratik toplum düzeninin gereklerine ve ölçülülük ilkesine uygun olupolmadığıdır.

43. Kanun koyucunun kurallarla zorunlu ve gerekli olan hâllerlesınırlı olarak belirtilen konularda ilgili kişinin açık rızası olmaksızınkişisel verilerinin işlenebilmesine olanak sağlamak suretiyle toplumsal yaşamdabelirtilen konularda ortaya çıkabilecek gecikme, aksaklık veya düzensizliklerile hak ve menfaat kayıplarının engellenmesini sağlamayı amaçladığıanlaşılmaktadır. Kurallarla söz konusu verileri işleme yetkisinin amacı vefaaliyet alanı belirlenmiş ve bu şekilde kamu yararı ile özel hayatın gizliliğive kişisel verilerin korunması hakları arasında adil bir denge kurulmuştur.Ayrıca kurallarla belirtilen konularda söz konusu kişisel verilerin işlenmesidurumunda ise 6698 sayılı Kanun’dan kaynaklanan kişisel verilerin işlenmesineilişkin tüm ilke, yükümlülük ve sorumluluklara ilişkin düzenlemelergeçerliliğini korumaktadır. Bu durumda kişisel verilerin işlenmesinde 6698sayılı Kanun’da yer alan kişisel verilerin korunmasıyla ilgili olarak kişiselverilerin işlenmesinde uyulması zorunlu kurallar, kişisel verilerin işlenmeşartları, veri sorumlusunun aydınlatma yükümlülüğü, veri güvenliğine ilişkinyükümlülükler ile veri sorumlusuna başvuru ve Kurula şikâyete ilişkin hükümleruygulanacaktır.

44. Öte yandan 6698 sayılı Kanun’un 17. maddesinde kişiselverilere ilişkin suçlar bakımından 26.9.2004 tarihli ve 5237 sayılı Türk CezaKanunu’nun 135 ila 140. maddeleri hükümlerinin uygulanacağı ve Kanun’un 7.maddesi hükmüne aykırı olarak kişisel verileri silmeyen veya anonim hâlegetirmeyenlerin 5237 sayılı Kanun’un 138. maddesine göre cezalandırılacağıhükme bağlanmıştır. 5237 sayılı Kanun’un 136. maddesi uyarınca da kişiselverileri hukuka aykırı olarak başkasına vermek, yaymak veya ele geçirmek suç olarakdüzenlenmiştir. Dolayısıyla dava konusu kural kapsamında elde edilecekbilgilerin amacı dışında kullanılmasını önleyecek ve kişilerin özel hayatınadair bilgilerin ve kişisel verilerin ifşa edilmesini önleyecek yasal güvenceninsağlandığı görülmektedir.

45. Bu bağlamda Kanun’da sınırlama aracının sınırlama amacınauygun ve orantılı şekilde kullanılmasını sağlayacak yasal güvencelere yerverildiği ve yeterli korumanın sağlandığı da dikkate alındığında dava konusukurallarla getirilen sınırlamaların özel hayatın gizliliği ve kişisel verilerinkorunması hakkının özünü zedelemediği gibi amaç ile araç arasında makul dengekurduğu da açıktır. Dolayısıyla anılan kurallar, demokratik toplum düzeniningereklerine aykırılık teşkil etmediği gibi özel hayatın gizliliği ve kişiselverilerin korunması hakkına ölçüsüz bir müdahale de teşkil etmemektedir.

46. Anayasa’nın 20. maddesi, kişisel verilerin korunmasını istemehakkına sağlanan anayasal güvenceyi kişisel verilerin ancak kanunda öngörülenhâllerde veya kişinin açık rızasıyla işlenebileceği şeklinde belirtmiştir.Dolayısıyla bu hakkı ilgilendiren yasal düzenlemelerin çerçevesi çizilmiş;açık, anlaşılabilir, kişilerin söz konusu haklarını kullanabilmelerineelverişli ve özel hayatlarını ilgilendiren veri, bilgi ve belgelerin resmîmakamların keyfî müdahalelerine karşı korunmasını mümkün hâle getirmesigerekmektedir. Bu bağlamda dava konusu kurallar madde gerekçeleriyle birliktedeğerlendirildiğinde ilgili kişinin açık rızası aranmaksızın kişiselverilerinin işlenmesinin mümkün olduğu hâllerin kapsam, amaç ve sınırlarınınKanun’da açıkça yer alması karşısında kuralların belirsiz olduğu söylenemez.

47. Ayrıca dava dilekçesinde “meşru menfaat” kavramınınbelirsiz olduğu ifade edilmiştir. Ancak bu kavramın çalışanların temel hak veözgürlüklerine zarar vermemek kaydıyla gerekçede ifade edilen temel ilkelereuyulması ve veri sorumlusu ile ilgili kişinin menfaat dengesinin gözetilmesiçerçevesinde değerlendirilmesi gereken bir kavram olarak anlaşılması gerektiğidikkate alındığında belirsiz olduğu söylenemez.

48. Açıklanan nedenlerle kurallar Anayasa’nın 2., 13. ve 20.maddelerine aykırı değildir. İptal taleplerinin reddi gerekir.

49. Kuralların Anayasa’nın 90. maddesiyle ilgisi görülmemiştir.

C. Kanun’un 6. Maddesinin (1) Numaralı Fıkrasında Yer Alan “…mezhebi...”, “…kılıkve kıyafeti,…” İbareleri ile (3) Numaralı Fıkrasının İncelenmesi

1. “…mezhebi...” ve “…kılık vekıyafeti,…” İbarelerinin İncelenmesi

a. İptal Taleplerinin Gerekçesi

50. Dava dilekçesinde özetle, dava konusu “mezhebi” ile “kılıkve kıyafeti” ibarelerinin, Anayasa Mahkemesi kararları, 108 sayılıSözleşme, Ekonomik Kalkınma ve İşbirliği Örgütü (OECD) tarafından yayımlananKişisel Verilerin Korunması Rehber İlkeler ile 95/46/EC sayılı Direktif’tetanımlanan kişisel veri kavramlarıyla uyumlu olmadığı, uluslararası insanhakları hukuku ile bağdaşmayacak nitelikte olduğu, mezhep, kılık ve kıyafeteilişkin verilerin toplanmasının Her Türlü Irk Ayrımcılığının Tasfiye EdilmesineDair Uluslararası Sözleşme’de sağlanan güvencelere aykırı olduğu, kanunkoyucunun takdir yetkisinin aşıldığı ve yerleşik fişleme tarihi tartışmalarınınolduğu ülkemizde bireyler bakımından güvence değil risk oluşturduğu, toplumsalcinsiyet ayrımcılığına neden olacak nitelikte olduğundan eşitlik ilkesineaykırılık teşkil ettiği, kişinin sahip olduğu din ve vicdan özgürlüğü iledüşünce ve ifade özgürlüğünü ihlal ettiği belirtilerek dava konusu ibarelerinAnayasa’nın 2., 10., 20., 24., 25. ve 90. maddelerine aykırı olduğu ilerisürülmüştür.

b. Anayasa’ya Aykırılık Sorunu

51. Dava konusu ibarelerin yer aldığı fıkrada özel niteliklikişisel veriler düzenlenmiştir. Fıkrada kişilerin ırkı, etnik kökeni, siyasidüşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık vekıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, cezamahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetikverilerin özel nitelikli kişisel veri olduğu belirtilmektedir. Fıkrada yer alan “...mezhebi...” ve “...kılık ve kıyafeti...” ibareleridava konusu kuralları oluşturmaktadır.

52. Anayasa’nın 2. maddesinde hukuk devleti ilkesi, 20. maddesindeise kişisel verilerin korunması hakkı düzenlenmiştir.

53. Dava konusu kuralla, kişilerin mezhebine, kılık vekıyafetine ilişkin verileri özel nitelikli kişisel veriler olarak kabuledilmektedir. Mezhep bir dinin görüş, yorum ve anlayış farklılıkları sebebiyleortaya çıkan kollarından her biri; kılık ve kıyafet ise bir kimsenin giyinişi,dış görünüşü, üst başı, giysisi şeklinde ifade edilmektedir.

54. 6698 sayılı Kanun’un 6. maddesinin (2) numaralı fıkrasıgereğince özel nitelikli kişisel verilerin kural olarak ilgilinin açık rızasıolmaksızın işlenmesi yasaktır. Bu kuralın istisnaları ise maddenin (3) numaralıfıkrasında düzenlenmiştir. Maddenin (4) numaralı fıkrasına göre ise özelnitelikli kişisel verilerin işlenmesinde, ayrıca Kişisel Verileri Koruma Kurulutarafından belirlenen yeterli önlemlerin alınması şarttır.

55. Dava konusu kuralların yer aldığı maddenin gerekçesinde bazıkişisel verilerin başkaları tarafından öğrenildiği takdirde ilgili kişininmağdur olmasına veya ayrımcılığa maruz kalmasına neden olabileceğinden bu türverilerin özel nitelikli (hassas) veri olarak kabul edildiği ifade edilmiştir.Bu bağlamda kişilerin dinî görüş, yorum ve anlayış farklılıklarını ortaya koyanverileri ile dinî inancıyla bağlantılı kılık ve kıyafetine ilişkin verilerinözel nitelikli kişisel veriler olduğu kuşkusuzdur.

56. Nitekim 108 sayılı Sözleşme’nin 6. maddesi ile 2016/679 sayılıAvrupa Birliği Genel Veri Koruma Yönetmeliği’nin 9. maddesinde “diniveya diğer inançları ortaya koyan kişisel nitelikteki veriler” özelveri kategorileri arasında belirtilmiştir.

57. Kanun koyucunun dava konusu kurallarla, kişilerin mezhebi ilekılık ve kıyafetiyle ilgili verileri daha özel bir korumaya tabi olması gerekenverilerden kabul etmek suretiyle bu tür verileri diğer verilerden ayırdığı veişlenmesini daha özel koşullara bağladığı anlaşılmaktadır. Dolayısıyla davakonusu kuralların amacının bu verilerin toplanmasına yasal dayanak sağlamakdeğil kişisel veri olduğunda şüphe olmayan bu verileri özel koruma altınaalmaya yönelik olduğu açıktır. Bu bağlamda kişilerin mezhebi ve kılık ve kıyafetiyleilgili verileri daha özel bir koruma altına almak kanun koyucunun takdiryetkisi kapsamında olup kuralların Anayasa’ya aykırı bir yönü bulunmamaktadır.

58. Öte yandan kişilerin ayrımcılığa uğramasına neden olabilecekalanlarda bilgilerin toplanmasının, farklı grupların özel ihtiyaçlarının tespitedilmesi ve ayrımcılıkla mücadelede oluşan boşluk ve eksikliklerin tespitedilmesi ve giderilmesi bakımından önemli olduğu da bir gerçektir. Bu kapsamdahak sahiplerine yönelik politika ve hizmet geliştirmek için bazı verilerintoplanması gerekli olabilir. Bu durumlarda mezhep ve kılık kıyafet ile ilgiliverilerin işlenmesine olanak sağlayacak kanunların amaç, kapsam ve sınırlarınınAnayasa’da güvence altına alınan din ve vicdan özgürlüğü, düşünce ve ifadeözgürlüğü ve kişisel verilerin korunmasına ilişkin hükümlerde düzenlenenhakların özüne dokunmaması gerekir. Bu husus ise özellikle kanun koyucununkişilerin mezhebi ve kılık ve kıyafet ile ilgili verilerin işlenmesinekişilerin açık rızası olmaksızın imkân verdiği yasal düzenlemeler yapılırkengöz önüne alınmalıdır. Bu bağlamda her ne kadar dava dilekçesinde dava konusukuralların söz konusu özgürlükleri ihlal ettiği ifade edilmişse de kanunkoyucunun salt kişilerin mezhebi ve kılık ve kıyafeti ile ilgili kişiselverileri özel nitelikli kişisel veri kabul etmek suretiyle daha özel bir korumaaltına almayı amaçladığı dikkate alındığında dava konusu kuralın bu hak veyaözgürlükleri ve dolayısıyla Anayasa’yı ihlal ettiği söylenemez.

59. Açıklanan nedenlerle kural Anayasa’nın 2. ve 20. maddelerineaykırı değildir. İptal talebinin reddi gerekir.

60. Serdar ÖZGÜLDÜR, Serruh KALELİ ile Osman AlifeyyazPAKSÜT bu görüşe katılmamışlardır.

61. Kuralın Anayasa’nın 10., 24., 25. ve 90. maddeleriyle ilgisigörülmemiştir.

2. (3) Numaralı Fıkranın İncelenmesi

a. İptal Talebinin Gerekçesi

62. Dava dilekçesinde özetle, sağlık hizmetleri ile finansmanınınplanlanması ve yönetimi amacıyla kişilerin cinsel hayatlarına ve sağlığınailişkin verilerin açık rıza olmaksızın işlenebilmesinin kabul edilemez olduğu,özellikle cinsel hayatın bireyin özel yaşamının en mahrem yönünü oluşturduğu,kişilerin cinsel hayatlarına ve sağlığına ilişkin verilerin toplanmasındahiçbir ayırt edici ölçütün bulunmadığı, kuralın kişilerin sağlık hakkınaerişimden çeşitli endişelerle kaçınmalarına neden olabileceği ve bu durumunaynı zamanda kişilerin yaşam hakkına, maddi ve manevi varlıklarınıgeliştirmesine de müdahale anlamına geldiği, sağlıkla ilgili kişisel verilerinneredeyse hiçbir sınırlamaya tabi tutulmadan toplanması, işlenmesi veaktarılmasının insan haklarına saygılı bir devlet olma yükümlülüğü ilebağdaşmadığı, yeterli tedbirlerin niteliğine ve kapsamına yer vermeyerek etkinkorumanın sağlanmadığı ve belirsizliğe neden olunduğu, demokratik bir toplumdakişilerin özel hayatının gizliliği hakkını bütünüyle ortadan kaldıracak birmüdahale niteliğinde olan kuralın kişilerin sağlıkları ile ilgili bilgilerinkorunmasına yönelik uluslararası normlara aykırı olduğu, verileri işleyecekyetkili kurum ve kuruluşlar ibaresinin geniş bir kapsama sahip olduğubelirtilerek kuralın Anayasa’nın 2., 10., 17., 20., 24., 25., 56. ve 90. maddelerine aykırı olduğu ileri sürülmüştür.

b. Anayasa’ya Aykırılık Sorunu

63. 6216 sayılı Kanun’un 43. maddesi uyarınca kural ilgisinedeniyle Anayasa’nın 5. ve 13. maddeleri yönünden de incelenmiştir.

64. Dava konusu kuralın yer aldığı maddede özel nitelikli kişiselveriler sayılarak bu verilerin ilgilinin açık rızası olmaksızın işlenmesininyasak olduğu belirtilmiştir. Dava konusu kural ise birinci fıkradasayılan cinsel hayat ve sağlık dışındaki kişisel verilerin kanunlardaöngörülen hâllerde ilgili kişinin açık rızası aranmaksızın işlenebileceği,cinsel hayata ve sağlığa ilişkin kişisel verilerin ise ancak kamu sağlığınınkorunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerininyürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimiamacıyla sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum vekuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebileceğiöngörülmektedir.

65. Anayasa’nın 2. maddesinde belirtilen sosyal hukuk devleti;insan hak ve hürriyetlerine saygı gösteren, kişilerin huzur, refah ve mutlulukiçinde yaşamalarını güvence altına alan, kişi ile toplum arasında denge kuran,güçsüzleri güçlüler karşısında koruyarak sosyal adaleti gerçekleştiren, bubağlamda sağlık hizmetlerinden bireylerin yeteri kadar yararlanmasını sağlayandevlettir. Devlet, herkesin sağlık hizmetlerinden yararlanması için gereklitedbirleri almalı; kişilerin sağlık hizmetlerinden yararlanmasını sağlamalıdır.Devletin bu alandaki görevlerini yerine getirirken uygulayacağısınırlamalar, Anayasa’nın 13. maddesinin öngördüğü üzere Anayasa’nınsözüne ve ruhuna, demokratik toplum düzeninin ve laik Cumhuriyetin gereklerineve ölçülülük ilkesine aykırıolmamalıdır.

66. Anayasa’nın 17. maddesinde “Herkes, yaşama, maddî ve manevîvarlığını koruma ve geliştirme hakkına sahiptir.” denilmektedir. Kişininyaşama hakkı ile maddi ve manevi varlığını koruma hakkı; birbirleriyle sıkıbağlantıları olan, devredilmez ve vazgeçilmez haklarındandır.

67. Anayasa’nın 56. maddesinin birinci fıkrasında herkesinsağlıklı ve dengeli bir çevrede yaşam hakkına sahip olduğu hüküm altınaalınmış, üçüncü fıkrasında ise devlete herkesin hayatını, beden ve ruhsağlığı içinde sürdürmesini sağlamak amacıyla sağlık kuruluşlarını tek eldenplanlayıp hizmet vermesini düzenlemek ödevi verilmiştir. Sağlık hakkı,insanların sağlıklarının korunması, hastalandıklarında iyileşmeleri, tıbbibakım görebilmeleri ve tedavi edilebilmeleri için devletin sağladığı her türlüimkândan yararlanma hakkıdır. Sağlık hakkı, insanların doğuştan kazandıklarıvazgeçilemez ve devredilemez haklardan biridir. Yine devlet, kişilerin yaşamhakkını güvence altına almakla yükümlüdür. Aynı maddede “Herkes, yaşama, maddîve manevî varlığını koruma ve geliştirme hakkına sahiptir.” denilmektedir.

68. Anayasa'nın 5. maddesi de insanın maddi ve manevivarlığının gelişmesi için gerekli şartları hazırlamayı devletin temel amaç vegörevleri arasında saymıştır. Devlet, kişilerin sağlık hakkından tam anlamıylayararlanabilmeleri ve sağlıklı bir yaşam sürdürebilmeleri amacıyla yasal,idari, mali, yargısal ve diğer önlemleri almak zorundadır. Bu nedenle Anayasa, kişiler için bir hak olan sağlıkhizmetinin yerine getirilmesinde sosyalhukuk devleti olmanın gereği olarak devletepozitif yükümlülük getirmektedir.

69. Anayasa, sosyal hukuk devleti olmanın gereği olarak sağlıkhizmetlerinin sunumunda yüklediği pozitif yükümlülük kapsamında devleti, buhaklardan yararlanmayı artıracak önlemleri almakla mükellef kılmıştır. Bunedenle Anayasa’nın 17. ve 56. maddelerinde öngörülen kişilerin yaşama, maddive manevi varlığını koruma ve geliştirme hakkı ile sağlık hakkından yararlanmakonusunda en geniş ölçekli uygulamaların gerçekleştirilmesi gerekir. Zirasağlık hizmeti doğrudan yaşama hakkı ile ilgili olması nedeniyle diğer kamuhizmetlerinden farklı olup bu hizmetin temel hedefi olan insan sağlığı veyaşamı, mahiyeti itibarıyla ertelenemez ve ikame edilemez bir özelliğesahiptir. Kişiler için bir hak olan bu hizmetten yararlanmayı kolaylaştırıcı düzenlemeler yapılması ve buhizmetin daha iyi bir şekilde gerçekleştirilmesiiçin gerekli tedbirlerin alınması devletinAnayasa’dankaynaklanan bir ödevidir. Dolayısıyla Anayasa’da devlete verilen görevleringereği olarak kişilerin sağlıklı bir şekilde yaşam sürdürmeleri için genelsağlığın korunması amacıyla düzenlenen dava konusu kurallar demokratik toplumdüzeni bakımından alınması gereken tedbirler kapsamında kalmaktadır.

70. Anayasa’nın 20. maddesinin birinci fıkrasında “Herkes, özelhayatına ve aile hayatına saygı gösterilmesini isteme hakkına sahiptir. Özelhayatın ve aile hayatının gizliliğine dokunulamaz.” denilerek özel hayatıngizliliği güvence altına alınmıştır. Maddenin üçüncü fıkrasında ise herkesinkendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahip olduğu, buhakkın kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, buverilere erişme, bunların düzeltilmesini veya silinmesini talep etme veamaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsadığı ifadeedilmiştir. Maddede ayrıca kişisel verilerin ancak kanunda öngörülen hallerdeveya kişinin açık rızasıyla işlenebileceği ve kişisel verilerin korunmasınailişkin esas ve usullerin kanunla düzenleneceği belirtilmiştir. Kişiselverilerin korunması hakkı, bireyin hak ve özgürlüklerini kişisel verilerinişlenmesi sırasında korumayı amaçlamaktadır. Ancak bu hak sınırsız olmayıpdüzenlendiği maddede özel sınırlama nedeni öngörülmemiş özgürlüklerin de oözgürlüğün doğasından kaynaklanan bazı sınırlarının bulunduğu, ayrıca Anayasa'nınbaşka maddelerinde yer alan hak ve özgürlükler ile Devlete yüklenen ödevlerinözel sınırlama sebebi gösterilmemiş hak ve özgürlüklere sınır teşkiledebileceği kabul edilmektedir.

71. Ancak bu sınırlama yapılırken temel hak ve özgürlüklerinsınırlandırılması rejimini belirleyen Anayasa’nın 13. maddesine de uyulmasıgerekmektedir. Anayasa’nın 13. maddesi uyarınca, temel hak ve özgürlüklereyapılacak müdahaleler, demokratik toplum düzeninin gereklerine ve ölçülülükilkesine aykırı olamaz. Ölçülülük ilkesi, yasal sınırlamanın öngörülen amaçiçin zorunlu ve amaca ulaşmaya elverişli olmasını, ayrıca amaç ve araç arasındahakkaniyete uygun bir dengenin bulunması gereğini ifade eder.

72. 108 sayılı Sözleşme’nin 9. maddesinde de bazı durumlardakişisel verilerin korunmasına sınırlamalar getirilebilmesi öngörülmüştür.Ayrıca 95/46/EC sayılı Direktif’in 8. maddesinin (1) numaralı fıkrasında beşkategoride yer alan özel nitelikli kişisel verilerin işlenmesi kural olarakyasaklanmış ancak maddenin (2) numaralı fıkrasında bunun istisnalarıdüzenlenerek veri işlemenin önleyici hekimlik, tıbbi teşhis, tıbbi yardım veyabakım veya sağlık hizmetlerinin idarî olarak yürütülmesi için gerekli olması vebu verilerin ya sağlık personeli veya sağlık personeli gibi sır saklamaya tabikişiler tarafından işlenmesinin mümkün olduğu ifade edilmiştir. Maddede ayrıcabu istisnaların yanında üye devletlerin uygun önlemleri almak koşuluyla kamuyararı için başka bazı istisnalar da belirleyebileceği belirtilmiştir.

73. Dava konusu kuralın ilk cümlesinde, cinsel hayat ve sağlıkdışındaki özel nitelikli kişisel verilerin kanunlarda öngörülen hâllerdekişilerin açık rızası olmaksızın da işlenebileceği belirtilmiştir. Bunlar isekanun koyucunun takdir yetkisi kapsamında Kanun’un 6. maddesinin (1) numaralıfıkrasında kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı,dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya dasendika üyeliği, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ilebiyometrik ve genetik verileri olarak ifade edilmiştir. Anayasa’nın 20.maddesinde de belirtildiği üzere kişisel veriler ancak kanunda öngörülenhâllerde veya kişinin açık rızasıyla işlenebilir. Dolayısıyla kişisel verilerinişlenmesine kanunda açıkça imkân tanınan durumlarda kişinin açık rızasınaayrıca ihtiyaç bulunmamaktadır. Bu yönüyle kural Anayasa hükmünün tekrarıniteliğinde olup söz konusu kişisel verilerin, ilgilinin açık rızası olmaksızınişlenebileceği halleri doğrudan düzenlememekte, “kanunlarda öngörülenhallere” atıfta bulunmaktadır. Kişisel verilerin ilgili kişilerin açıkrızası olmaksızın işlenebileceği halleri düzenleyen kanunların iptalleritalebiyle Anayasa Mahkemesine başvurulması durumunda ise söz konusudüzenlemelerin Anayasa’ya aykırı olup olmadıklarının inceleneceği ve bukapsamda Anayasa’nın 13. maddesi hükmünün de gözetileceği tabiîdir. Bu nedenle,Anayasanın 20. maddesinde yer alan düzenlemeye uygun olarak kişiselverilerin “kanunlarda öngörülen hallerde” ilgili kişinin açıkrızasının aranmaksızın işlenebileceğinin belirtildiği kuralda Anayasa’yaaykırılık bulunmamaktadır.

74. Dava konusu kuralın ikinci cümlesinde ise sağlık ve cinselhayata ilişkin kişisel verilerin kamu sağlığının korunması, koruyucu hekimlik,tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ilefinansmanının planlanması ve yönetimi amacıyla sır saklama yükümlülüğü altındabulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açıkrızası aranmaksızın işlenebileceği belirtilmektedir. Dava konusu kurallakişisel verilerin korunması hakkı, Anayasa’nın 17. ve 56. maddelerindenkaynaklanan sebeplerle ve maddede sayma yöntemiyle belirtilen amaçlarlasınırlandığı anlaşılmaktadır.

75. Cinsel hayata ve sağlığa ilişkin kişisel verilerin işlenmesibakımından kural ilgilinin açık rızasının bulunmasıdır. Dava konusu kuralla bu kişiselverilerin ilgilinin açık rızası olmaksızın işlenebileceği hâller belirtilmeksuretiyle bu kurala istisna getirilmiştir. Özel nitelikli kişisel veriolduğunda kuşku olmayan sağlık ve cinsel hayata ilişkin verilerin söz konusudurumlarda ilgilinin açık rızası aranmaksızın işlenebileceğini düzenleyenkuralla özel hayatın gizliliği ve kişisel verilerin korunması haklarına birmüdahale söz konusu ise de kuralla kişisel verilerin işlenmesinin amaçbakımından sınırlandığı dikkate alındığında, getirilen sınırlamanın mezkûrhakların kullanılmasını son derece zorlaştıran veya onu kullanılamaz durumadüşüren kayıtlara bağlandığı söylenemeyeceğinden hakkın özüne dokunmadığıaçıktır. Bu nedenle değerlendirilmesi gereken husus, bu müdahalenin demokratiktoplum düzeninin gerekleri ile ölçülülük ilkesine uygun olup olmadığıdır.

76. Kanun koyucunun dava konusu kuralla, halk sağlığının korunmasıve geliştirilmesi, hastalık risklerinin azaltılması ve önlenmesi suretiyle kamusağlığının korunmasını; sağlık hizmetleri ile bu hizmetlerin finansmanınınplanlanması ve yönetimi suretiyle teşhis, tedavi ve rehabilite edici sağlıkhizmetlerinin yürütülmesi, eğitim ve araştırma faaliyetlerinin geliştirilmesi,insan gücü ve maddi kaynaklarda tasarruf sağlanması ve verimin artırılmasınıamaçladığı anlaşılmaktadır. Dolayısıyla Anayasa’da devlete verilen görevleringereği olarak kişilerin sağlıklı bir şekilde yaşam sürdürmeleri için genelsağlığın korunması amacıyla düzenlenen dava konusu kural demokratik toplumdüzeni bakımından alınması gereken tedbirler kapsamında kalmaktadır.

77. Öte yandan ilgilinin kişisel verilerinin açık rızasıolmaksızın kamu yararı amacıyla işlenebileceği hâllerin kapsam, amaç vesınırların kanunda açıkça yer alması ve maddenin (4) numaralı fıkrasında belirtildiğigibi özel nitelikli kişisel verilerin işlenmesinde ayrıca Kurul tarafındanbelirlenen yeterli önlemlerin alınacağı dikkate alındığında dava konusukuralın belirsiz olduğu da söylenemez.

78. Ayrıca dava konusu kuralda belirtilen sebeplerle kişiselverilerin işlenmesi ancak sır saklama yükümlülüğü altında bulunan kişiler veyayetkili kurum ve kuruluşlar tarafından yapılabilecektir. Sır saklamayükümlülüğü altında olan kişiler ise avukat, hekim veya mali müşavir gibi kendikanunlarında görevleri dolayısıyla edindikleri bilgileri zamanla sınırlıolmaksızın açığa vurmaları yasak olan ve bu yasağın ihlali hâlinde hukuki vecezai sorumluluğu olan kişilerdir.

79. 6698 sayılı Kanun’da kişisel verilerin işlenmesinde uyulmasızorunlu ilke ve kurallar, kişisel verilerin işlenme şartları, veri sorumlusununaydınlatma yükümlülüğü, veri güvenliğine ilişkin yükümlülükler ile verisorumlusuna başvuru ve Kurula şikâyete ilişkin ayrıntılı düzenlemeleryapılmıştır. Kanun’un 17. maddesinde ise kişisel verilere ilişkin suçlarbakımından 5237 sayılı Kanun’un 135 ila 140. maddeleri hükümlerininuygulanacağı ve Kanun’un 7. maddesi hükmüne aykırı olarak kişisel verilerisilmeyen veya anonim hâle getirmeyenlerin 5237 sayılı Kanun’un 138. maddesinegöre cezalandırılacağı hükme bağlanmıştır. 5237 sayılı Kanun’un 136. maddesiuyarınca da kişisel verileri hukuka aykırı olarak başkasına vermek, yaymak veyaele geçirmek suç olarak düzenlenmiştir.

80. 6698 sayılı Kanun, 5237 sayılı Kanun ve ilgili diğerkanunlarda yer alan düzenlemeler birlikte değerlendirildiğinde dava konusukural kapsamında işlenecek verilerin amacı dışında kullanılmasını ve kişilerinözel hayatına dair bilgilerin ve kişisel verilerin ifşa edilmesini önleyecekyasal güvencenin sağlandığı görülmektedir. Bu bağlamda dava konusu kuraldakişisel verilerin korunması hakkına sınırlama yapılırken Kanun’da sınırlamaaracının sınırlama amacına uygun ve orantılı şekilde kullanılmasını sağlayacakyasal güvencelere de yer verildiği, böylece hem özel hayatın gizliliği vekişisel verilerin korunması haklarının özünün zedelenmesinin önlendiği hem debu haklar ile toplum sağlığının korunmasına yönelik önlemler arasındaki makuldengenin kurulduğu görülmektedir. Dolayısıyla dava konusu kuralla kişiselverilerin korunmasını isteme hakkının özüne dokunan ya da bu hakkı ölçüsüzşekilde sınırlandıran bir husus bulunmadığı gibi kuralın demokratik toplumdüzeninin gereklerine aykırılık teşkil ettiği de söylenemez.

81. Açıklanan nedenlerle kurallar 2., 5., 13., 17., 20. ve56. maddelerine aykırı değildir. İptal taleplerinin reddi gerekir.

82. Engin YILDIRIM, Serdar ÖZGÜLDÜR, Serruh KALELİ ile OsmanAlifeyyaz PAKSÜT bu görüşe katılmamışlardır.

83. Kuralların Anayasa’nın 10., 24., 25. ve90. maddeleriyle ilgisi görülmemiştir.

D. Kanun’un 7. Maddesinin (2) Numaralı Fıkrasınınİncelenmesi

1. İptal Talebinin Gerekçesi

84. Dava dilekçesinde özetle, 6698 sayılı Kanun’un kişisel verileralanına ilişkin genel kanun niteliğinde olduğu, kişisel verilerinin silinmesi,yok edilmesi veya anonim hâle gelmesi hakkında bu Kanun hükümlerinin esasalınması gerektiği, bu hususlara ilişkin diğer kanunlarda yer alan hükümlerisaklı tutan dava konusu kuralın çok geniş kapsamlı olduğu, bireylerinhangi kişisel verilerinin hangi kanunda hangi düzenleme ile silineceği veya nekadar sürede silineceğini bilemeyeceği, kişisel verilerin yok edilme ve anonimhâle getirilmesi şartlarının belirsiz olduğu, kamu yararı ve ölçülülükilkesinin gözetilmediği belirtilerek kuralın Anayasa’nın 2. maddesine aykırıolduğu ileri sürülmüştür.

2. Anayasa’ya Aykırılık Sorunu

85. Dava konusu kuralın yer aldığı maddede kişisel verilerinsilinmesi, yok edilmesi veya anonim hâle getirilmesi düzenlenmiştir. Maddede,Kanun ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmenişlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel verilerinresen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silineceği,yok edileceği veya anonim hâle getirileceği hükme bağlanmaktadır. Dava konusukuralda ise kişisel verilerin silinmesi, yok edilmesi veya anonim hâlegetirilmesine ilişkin diğer kanunlarda yer alan hükümlerin saklı olduğubelirtilmektedir.

86. Hukuk devleti ilkesinin gereği olarak kanunlar kamu yararıamacını gerçekleştirmek üzere çıkarılmalıdır. Anayasa Mahkemesi kararlarındaifade edildiği gibi kamu yararı düşüncesi olmaksızın yalnız özel çıkarlar içinveya yalnız belli kişilerin yararına olarak kanun hükmü konulamaz. Böyle birdurumun açık bir biçimde ve kesin olarak saptanması hâlinde söz konusu kanunhükmü Anayasa’nın 2. maddesine aykırı düşer. Açıklanan ayrık hâl dışında birkanun hükmünün ülke gereksinimlerine uygun olup olmadığı ve hangi araç veyöntemlerle kamu yararının sağlanabileceği bir siyasi tercih sorunu olarakkanun koyucunun takdirinde olduğundan bu kapsamda kamu yararı değerlendirmesiyapmak anayasa yargısıyla bağdaşmaz.

87. Kanun koyucu, takdir yetkisi içerisindeki düzenlemeleriyaparken hukuk devleti ilkesinin bir gereği olan ölçülülük ilkesiyle debağlıdır. Bu ilke ise “elverişlilik”, “gereklilik” ve “orantılılık”olmak üzere üç alt ilkeden oluşmaktadır. “Elverişlilik” getirilenkuralın ulaşılmak istenen amaç için elverişli olmasını, “gereklilik” getirilenkuralın ulaşılmak istenen amaç bakımından gerekli olmasını, “orantılılık” isegetirilen kural ile ulaşılmak istenen amaç arasında olması gereken ölçüyü ifadeetmektedir. Bir kuralda öngörülen düzenleme ile ulaşılmak istenen amaç arasındada “ölçülülükilkesi” gereğince makul bir dengenin bulunması zorunludur.

88. Dava konusu kuralla maddenin gerekçesinde de ifade edildiğigibi kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesineilişkin diğer kanunlarda hüküm bulunması hâlinde bunların öncelikle uygulanmasıamaçlanmaktadır.

89. Genel kanun niteliğindeki 6698 sayılı Kanun’da kişiselverilerin silinmesi, yok edilmesi veya anonim hâle getirilmesine ilişkin herdurumun öngörülmesi ve düzenlenmesi mümkün olamayacağı gibi daha sonra ortayaçıkabilecek özel durumlara ilişkin hususların özel kanunlarda daha detaylıdüzenlenmesi de gerekebilir. Bu durumda aynı konuyla ilgili olarak genelkanunda ve özel kanunda hüküm bulunması hâlinde özel kanun hükmüuygulanacağından kuralın belirsiz olduğu söylenemez. Ayrıca dava konusu kuralınbazı özel durumlara ilişkin hususların daha ayrıntılı şekilde düzenlenmesini sağlamayayönelik kamu yararı amacıyla düzenlendiği açıktır. Dava konusu kuralınulaşılmak istenen amaç için elverişli ve gerekli olduğu, amaç ve araç arasındamakul ve uygun bir ilişki kurduğu ve orantılı olduğu anlaşıldığından kuralda ölçülülük ilkesine aykırı bir yön debulunmamaktadır.

90. Öte yandan özel hayatın gizliliği ve kişisel verilerinkorunmasını isteme hakkı Anayasa’nın 20. maddesinde güvence altına alınmıştır.Kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesineilişkin kanun koyucu tarafından özel kanunlarda yapılacak diğer düzenlemelerinde kişisel verilerin korunmasını düzenleyen Anayasa’nın 20. maddesine aykırıolmaması gerektiği hususunda şüphe yoktur. Bu bağlamda diğer kanunlarda yeralacak hükümlerin bireylerin kişisel verilerinin ne kadar sürede ve ne şekildesilineceği, bu verilerin yok edilme ve anonim hâle getirilmesi şartlarınıölçülülük ve belirlilik ilkesi çerçevesinde kamu yararını gözeterekdüzenlenmesi gerektiği açıktır. Dolayısıyla Anayasa’nın 20. maddesinde düzenlenenilke ve esaslara aykırı olmayacak şekilde kişisel verilerin silinmesi, yokedilmesi veya anonim hâle getirilmesine ilişkin diğer kanun hükümlerini saklıtutan dava konusu kuralın Anayasa’ya aykırı bir yönü bulunmamaktadır.

91. Açıklanan nedenlerle kural Anayasa’nın 2. maddesine aykırıdeğildir. İptal talebinin reddi gerekir.

E. Kanun’un 8. Maddesinin (3)Numaralı Fıkrasının İncelenmesi

1. İptal Talebinin Gerekçesi

92. Dava dilekçesinde özetle 6698 sayılı Kanun’un kişisel verileralanına ilişkin genel kanun niteliğinde olduğu, kişisel verilerin aktarılmasıhakkında bu Kanun hükümlerinin esas olması gerektiği, dolayısıyla buhususa ilişkin diğer kanunlarda yer alan hükümleri saklı tutan dava konusukuralın, bireylerin hangi kişisel verilerinin hangi kanundaki hangi düzenlemeile aktarıldığını bilmesini imkânsız kıldığı ve bireyler bakımından belirsizlikyarattığı, kamu yararı ve ölçülülük ilkesini gözetmediği belirtilerek kuralınAnayasa’nın 2. maddesine aykırı olduğu ileri sürülmüştür.

2. Anayasa’ya Aykırılık Sorunu

93. Dava konusu kuralın yer aldığı maddede kişisel verilerinaktarılması düzenlenmiştir. Buna göre kişisel veriler, kural olarak ilgilikişinin açık rızası olmaksızın aktarılamaz. Ancak kişisel verilerin 5. maddeninikinci fıkrasında ve yeterli önlemler alınmak kaydıyla 6. maddenin üçüncüfıkrasında belirtilen şartlardan birinin bulunması hâlinde ilgili kişinin açıkrızası aranmaksızın aktarılması mümkündür. Dava konusu kuralla ise kişiselverilerin aktarılmasına ilişkin diğer kanunlarda yer alan hükümlerin saklıolduğu belirtilmektedir.

94. Kanun'un 7. maddesinin (2) numaralı fıkrasının incelendiğibölümde kişisel verilerin silinmesi, yok edilmesi veya anonim hâlegetirilmesine ilişkin diğer kanunlarda yer alan hükümlerin saklı olmasıhakkında kuralın Anayasa'ya uygunluk denetimi kapsamında belirtilen gerekçelerdava konusu kural bakımından da geçerli bulunduğundan aynı gerekçelerle davakonusu kural da Anayasa'nın 2. maddesine aykırı değildir.

95. Açıklanan nedenle kural Anayasa’nın 2. maddesine aykırıdeğildir. İptal talebinin reddi gerekir.

F. Kanun’un 9. Maddesinin (6) Numaralı Fıkrasınınİncelenmesi

1. İptal Talebinin Gerekçesi

96. Dava dilekçesinde özetle 6698 sayılı Kanun’un kişisel verileralanına ilişkin genel kanun niteliğinde olduğu, kişisel verilerin yurt dışınaaktarılması hakkında bu Kanun hükümlerinin esas olmasıgerektiği, dolayısıyla bu hususa ilişkin diğer kanunlarda yer alanhükümleri saklı tutan dava konusu kuralın bireylerin hangi kişiselverilerinin hangi kanundaki hangi düzenleme ile yurt dışına aktarıldığını bilmesiniimkânsız kıldığı ve bireyler bakımından belirsizlik yarattığı, kamu yararı veölçülülük ilkesini gözetmediği belirtilerek kuralın Anayasa’nın 2. maddesineaykırı olduğu ileri sürülmüştür.

2. Anayasa’ya Aykırılık Sorunu

97. Dava konusu kuralın yer aldığı maddede kişisel verilerin yurtdışına aktarılması düzenlenmiştir. Buna göre kişisel veriler, kural olarakilgili kişinin açık rızası olmaksızın aktarılamaz. Ancak kişisel verilerin 5.maddenin ikinci fıkrası ile 6. maddenin üçüncü fıkrasında belirtilen şartlardanbirinin varlığı ve kişisel verinin aktarılacağı yabancı ülkede yeterlikorumanın bulunması hâlinde, yeterli korumanın bulunmaması durumunda iseTürkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli birkorumayı yazılı olarak taahhüt etmeleri ve Kurulun izninin bulunması kaydıylailgili kişinin açık rızası aranmaksızın yurt dışına aktarılmasının mümkünolduğu hükme bağlanmakta, dava konusu kuralla ise kişisel verilerin yurtdışına aktarılmasına ilişkin diğer kanunlarda yer alan hükümlerin saklı olduğubelirtilmektedir.

98. Kanun'un 7. maddesinin (2) numaralı fıkrasının incelendiğibölümde kişisel verilerin silinmesi, yok edilmesi veya anonim hâlegetirilmesine ilişkin diğer kanunlarda yer alan hükümlerin saklı olması hakkındakuralın Anayasa'ya uygunluk denetimi kapsamında belirtilen gerekçeler davakonusu kural bakımından da geçerli bulunduğundan aynı gerekçelerle dava konusukural da Anayasa'nın 2. maddesine aykırı değildir.

99. Açıklanan nedenle kural Anayasa’nın 2. maddesine aykırıdeğildir. İptal talebinin reddi gerekir.

G. Kanun’un 13. Maddesinin (2) Numaralı Fıkrasınınİkinci Cümlesinin İncelenmesi

1. İptal Talebinin Gerekçesi

100. Dava dilekçesinde özetle, hakkında işlenen verilerinin neolduğunu öğrenebilmesi için kişiden ücret talep edilmesinin,bireyin temel haklarından olan özel hayatın gizliliği hakkından etkin olarakyararlanmasını engellediği, bu hakkı sosyal hukuk devleti ve adalet ilkeleriylebağdaşmayacak surette sınırlandırdığı, sınırlandırmanın hakkın özüne dokunduğuve demokratik toplum düzeninin gereklerine aykırı olduğu, yürütmeninşekillendirdiği Kurul tarafından ücretin belirlenmesinin hukuki güvenlik vebelirlilik ilkelerine ve 108 sayılı Sözleşme’deki güvencelere aykırı olduğu belirtilerekkuralın Anayasa’nın 2., 5., 13., 20. ve 90. maddelerine aykırı olduğu ilerisürülmüştür.

2. Anayasa’ya Aykırılık Sorunu

101. Dava konusu kuralın yeraldığı maddede veri sorumlusuna başvuru usulü belirlenmiştir. Buna göre ilgilikişi, 6698 sayılı Kanun’un uygulanmasıyla ilgili taleplerini yazılı olarak veyaKurulun belirleyeceği diğer yöntemlerle veri sorumlusuna iletir. Veri sorumlusubaşvuruda yer alan talepleri, talebin niteliğine göre en kısa sürede ve en geçotuz gün içinde ücretsiz olarak sonuçlandırır. Dava konusu kuralla ise işleminayrıca bir maliyeti gerektirmesi hâlinde Kurulca belirlenen tarifedeki ücretinalınabileceği öngörülmektedir.

102. Kişisel verilerin korunması hakkı, kişinin insan onurununkorunmasının ve kişiliğini serbestçe geliştirebilmesi hakkının özel bir biçimiolarak bireyin hak ve özgürlüklerini kişisel verilerin işlenmesi sırasındakorumayı amaçlamaktadır. Ancak bu hak sınırsız olmayıp Anayasa Mahkemesikararlarında, özel sınırlama nedeni öngörülmemiş özgürlüklerin de o özgürlüğündoğasından kaynaklanan bazı sınırları bulunduğu, ayrıca Anayasa'nın başkamaddelerinde yer alan hak ve özgürlükler ile devlete yüklenen ödevlerin özelsınırlama sebebi gösterilmemiş hak ve özgürlüklere sınır teşkil edebileceği dekabul edilmektedir.

103. Ancak bu sınırlama yapılırken temel hak ve özgürlüklerinsınırlandırılması rejimini belirleyen Anayasa’nın 13. maddesine de uyulmasıgerekmektedir. Anayasa’nın 13. maddesi uyarınca, temel hak ve özgürlüklerinözlerine dokunulmaksızın yapılacak sınırlamalar, demokratik toplum düzeniningereklerine ve ölçülülük ilkesine aykırı olamaz. Ölçülülük ilkesi, yasalsınırlamanın öngörülen amaç için zorunlu ve amaca ulaşmaya elverişli olmasını,ayrıca amaç ve araç arasında hakkaniyete uygun bir dengenin bulunması gereğiniifade eder.

104. Dava konusu kuralla 6698sayılı Kanun’un uygulanmasıyla ilgili taleplerini verisorumlusuna ileten ilgili kişiden, yapılacak işleminayrıca bir maliyeti gerektirmesi hâlinde Kurulca belirlenen tarifedeki ücretin alınabileceği öngörülmek suretiyle kişiselveriler erişim hakkına bir sınırlandırma getirildiği açıktır. Kuralla kişilerinkendileri ile ilgili kişisel verilere erişme hakkına müdahalede bulunulmuş isede kişisel verilere erişimin bir maliyet gerektirmesi hâlinde söz konusu ücretinalınabileceği dikkate alındığında getirilen sınırlamanın Anayasa’nın 20.maddesinde düzenlenen kişisel verilerin korunması hakkının kullanılmasını sonderece zorlaştıran veya onu kullanılamaz duruma düşüren kayıtlara bağlandığısöylenemeyeceğinden hakkın özüne dokunmadığı açıktır. Bu nedenledeğerlendirilmesi gereken bu müdahalenin demokratik toplum düzeninin gerekleriile ölçülülük ilkesine uygun olup olmadığıdır.

105. 6698 sayılı Kanun kapsamında veri sorumlusu; kişiselverilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sistemininkurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi ifadeetmektedir. Kanun’un 11. maddesinde ilgili kişinin hakları düzenlenmiştir. Bunagöre herkes veri sorumlusuna başvurarak kendisiyle ilgili kişisel veri işlenipişlenmediğini öğrenme, kişisel verileri işlenmişse buna ilişkin bilgi talepetme, kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıpkullanılmadığını öğrenme, yurt içinde veya yurt dışında kişisel verilerin aktarıldığıüçüncü kişileri bilme, kişisel verilerin eksik veya yanlış işlenmiş olmasıhâlinde bunların düzeltilmesini isteme, 7. maddede öngörülen şartlarçerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme, 11.maddenin (d) ve (e) bentleri uyarınca yapılan kişisel verilerin eksik veyayanlış işlenmiş olması hâlinde bunların düzeltilmesini, silinmesini veya yokedilmesi işlemlerini kişisel verilerin aktarıldığı üçüncü kişilerebildirilmesini isteme, işlenen verilerin münhasıran otomatik sistemlervasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucunortaya çıkmasına itiraz etme ve kişisel verilerin kanuna aykırı olarakişlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etmehaklarına sahiptir.

106. Dava konusu kuralda, ilgili kişinin 6698 sayılı Kanun’dankaynaklanan hakları çerçevesinde başvurduğu veri sorumlusu tarafından talebininyerine getirilmesinin ayrıca bir maliyet gerektirmesi hâlinde bu maliyetinKurulca belirlenen tarifeye göre talepte bulunan ilgili tarafındankarşılanabileceği öngörülmektedir.

107. Kanun koyucunun kuralla, takdir yetkisi kapsamındailgililerin isteğine bağlı olarak veri sorumluları tarafından ifa edilecekhizmetlerin ayrıca maliyet gerektirmesi hâlinde bu maliyetin ilgililertarafından alınabilmesini sağlamayı amaçladığı anlaşılmaktadır. Zira verisorumlusunun Kanun’da öngörülen ilgili kişinin hakları çerçevesinde yerinegetireceği bazı işlemlerin maliyetinin olabileceği, bu hâlde ise söz konusumaliyet karşılanmadan ilgilinin taleplerini yerine getirebilmesinin mümkün olamayacağı açıktır. Veri sorumlusunun verdiği hizmetin ayrıca birmaliyet gerektirmesi hâlinde bu maliyetten sorumlu tutulması beklenemeyeceğigibi Kanun’un 13. maddesinde belirtildiği üzere ancak başvurunun veri sorumlusunun hatasından kaynaklanmasıhâlinde alınan ücret ilgiliye iade edilecektir. Diğer yandan 108sayılı Sözleşme de bu tür masrafların alınmasına imkân tanımaktadır.

108. Öte yandan işlemin ayrıca bir maliyeti gerektirmesi hâlindesöz konusu ücretin belirsiz olduğu da söylenemez. Zira Kurul tarafındanbelirlenecek ücretin miktarı yapılan işlemin maliyeti kadardır. Bir işleminmaliyetinin belirlenebilir, ölçülebilir bir değer olması nedeniyle objektif birkriter olması karşısında söz konusu ücretin Kurul tarafından belirlenecektarifeye göre alınmasında hukuki güvenlik ve belirlilik ilkelerine aykırı biryön bulunmamaktadır.

109. Dolayısıyla dava konusu kuralla sınırlama yapılırken Kanun’dasınırlama aracının sınırlama amacına uygun ve orantılı olduğu ve sınırlamaylakişisel verilerin korunması hakkı arasında hakkaniyete uygun bir dengekurulduğundan kuralların makul, ölçülü olduğu ve demokratik toplum düzeniningereklerine aykırılık teşkil etmediği de açıktır.

110. Açıklanan nedenlerle kural Anayasa’nın 2., 5., 13. ve 20.maddelerine aykırı değildir. İptal talebinin reddi gerekir.

111. Kuralın Anayasa’nın 90.maddesiyle ilgisi görülmemiştir.

H. Kanun’un 15. Maddesinin (3) Numaralı FıkrasındaYer Alan “Devlet sırrı niteliğindeki bilgi ve belgeler hariç...” İbaresinin İncelenmesi

1. İptal Talebinin Gerekçesi

112. Dava dilekçesinde özetle, kişisel verilerin korunmasına dairnormların kişiyi ve kişisel verileri korumak için oluşturulması gerektiği,devlet sırrı niteliğindeki bilgi ve belgelerin veri sorumlusu tarafındanKişisel Verileri Koruma Kuruluna (Kurul) gönderilmesine veya gerektiğindeyerinde inceleme yapılmasına istisna getiren dava konusu kuralın belirli veölçülü olmadığı, idarenin keyfî uygulamalarına sebep verecek nitelikte olduğu, kişinin kendisiyle ilgili kişisel veriler hakkındabilgilendirilmesine engel olduğundan kişinin özel hayatının gizliliğinedoğrudan müdahalede bulunduğu belirtilerek kuralın Anayasa’nın 2., 13. ve20. maddelerine aykırı olduğu ileri sürülmüştür.

2. Anayasa’ya Aykırılık Sorunu

113. Dava konusu kuralın yer aldığı maddede Kurul tarafındanşikâyet üzerine veya resen incelemenin usul ve esasları düzenlenmektedir.Maddenin (3) numaralı fıkrasında; devlet sırrı niteliğindeki bilgi ve belgelerhariç veri sorumlusunun, Kurulun inceleme konusuyla ilgili istemiş olduğu bilgive belgeleri on beş gün içinde göndermek ve gerektiğinde yerinde incelemeyapılmasına imkân sağlamak zorunda olduğu hüküm altına alınmıştır. Fıkrada yeralan “Devlet sırrı niteliğindeki bilgi ve belgeler hariç…” ibaresidava konusu kuralı oluşturmaktadır.

114. Kişisel verilerin korunması hakkı sınırsızolmayıp Anayasa Mahkemesi kararlarında, özel sınırlama nedeni öngörülmemişözgürlüklerin de o özgürlüğün doğasından kaynaklanan bazı sınırları bulunduğu,ayrıca Anayasa'nın başka maddelerinde yer alan hak ve özgürlükler ile devleteyüklenen ödevlerin özel sınırlama sebebi gösterilmemiş hak ve özgürlükleresınır teşkil edebileceği de kabul edilmektedir. Dolayısıyla kişiselverilerin korunması hakkının Anayasa'da Devlete bir görev olarak yüklenen millîgüvenliğin ve kamu düzeninin sağlanması ile suç işlenmesinin önlenmesiamaçlarıyla sınırlandırılması mümkündür.

115. Nitekim 108 sayılı Sözleşme’nin 9. maddesinde de devletgüvenliği, kamu güvenliği, devletin ekonomik menfaatlerinin korunması vesuçlarla mücadele edilmesi, ilgilinin veya üçüncü kişilerin hak veözgürlüklerinin korunması ile verilerin istatistiki veya bilimsel amaçlarlakullanılması durumlarında kişisel verilerin korunmasına sınırlamalargetirilebileceği öngörülmüştür.

116. Ancak bu sınırlama yapılırken temel hak ve özgürlüklerinsınırlandırılması rejimini belirleyen Anayasa’nın 13. maddesine de uyulmasıgerekmektedir. Anayasa’nın 13. maddesi uyarınca özel hayatın gizliliği vekişisel verilerin korunması hakkı, yalnızca kanunla ve Anayasa’da öngörülensebeplere bağlı olarak sınırlanabilir. Ayrıca getirilen bu sınırlamalar hakkınözüne dokunamayacağı gibi Anayasa’nın sözüne ve ruhuna, demokratik toplumdüzeninin gereklerine ve ölçülülük ilkesine aykırı olamaz.

117. 6698 sayılı Kanun’un 13. maddesinde ilgili kişinin verisorumlusuna başvuru hakkı düzenlenmiş; 14. maddesinde ise söz konusu başvurununreddedilmesi, verilen cevabın yetersiz bulunması veya başvuruya süresinde cevapverilmemesi hâllerinde ilgili kişinin Kurula şikâyette bulunabileceği hükümaltına alınmıştır. Kanun’un 15. maddesine göre ise Kurul, şikâyet üzerine veyaihlal iddiasını öğrenmesi durumunda resen, görev alanına giren konulardagerekli incelemeyi yapar.

118. 5271 sayılı Ceza Muhakemesi Kanunu’nun 47. maddesinin (1)numaralı fıkrasında yer alan “Açıklanması, Devletin dış ilişkilerine,milli savunmasına ve milli güvenliğine zarar verebilecek; anayasal düzeni vedış ilişkilerinde tehlike yaratabilecek nitelikteki bilgiler, Devlet sırrı sayılır.” hükmüdikkate alındığında dava konusu kuralda yer alan “Devlet sırrıniteliğindeki bilgi ve belgeler”ibaresinin devletin iç ve dış güvenliği ilemillî savunmasını sağlamaya ve anayasal düzenini korumaya yönelik bilgi vebelgeleri ifade ettiği anlaşılmaktadır. Bu bağlamda söz konusu ibareninbelirsiz bir kavram olduğu söylenemez.

119. Kurulun inceleme konusuyla ilgili veri sorumlusundanisteyebileceği bilgi ve belgeler arasında özel hayatın gizliliği kapsamındakalacak kişisel verilerin bulunduğu devlet sırrı niteliğindeki bilgi vebelgeler de bulunabilir. Dava konusu kural söz konusu bilgi ve belgelerinKurula gönderilmesi veya incelenmesi imkânını ortadan kaldırdığından Kurultarafından bu bilgi ve belgeler üzerinde ihlal iddiasıyla ilgili incelemeyapılamayacaktır. Bu durum ise Kurulda incelenmekte olan ihlal iddiasıylailgili olan kişilerin kendileriyle ilgili kişisel verilere ulaşmasını biranlamda kısıtlayacağından kuralla özel hayatın gizliliği ve kişisel verilerinkorunması haklarına sınırlama getirildiği açıktır. Ancak bu sınırlamanın;devletin dış ilişkilerine, millî savunmasına, millî güvenliğine, anayasaldüzeni ve dış ilişkilerinde tehlike yaratabilecek veya zarar verebileceknitelikteki bilgi ve belgelerin açıklanmasının önlenmesini sağlamak amacıylayapıldığı dikkate alındığında demokratik toplum düzeni bakımından alınmasıgereken tedbirler kapsamında kaldığı kuşkusuzdur.

120. Öte yandan devlet sırrı kavramı altında her türlü kişiselverinin gizli tutulması söz konusu değildir. Zira ceza yargılamasında 5271sayılı Kanun’un 47. maddesinin (1) numaralı fıkrasındaki “Bir suçolgusuna ilişkin bilgiler, Devlet sırrı olarak mahkemeye karşı gizlitutulamaz.” hükmü ile (2) numaralı fıkrasındaki “Tanıklıkkonusu bilgilerin Devlet sırrı niteliğini taşıması halinde; tanık, sadecemahkeme hâkimi veya heyeti tarafından zâbıt kâtibi dahi olmaksızın dinlenir.Hâkim veya mahkeme başkanı, daha sonra, bu tanık açıklamalarından, sadeceyüklenen suçu açıklığa kavuşturabilecek nitelikte olan bilgileri tutanağakaydettirir.” hükmü gereğince bir suç olgusuna ilişkin bilgiler devletsırrı olarak mahkemeye karşı gizli tutulamayacağı gibi tanıklık konusubilgilerin devlet sırrı niteliği taşıması hâlinde bunların mahkeme hâkimi veyaheyeti tarafından dinlenme imkânı da bulunmaktadır.

121. Öte yandan dava konusu kuralla sadece Kurulun incelemekonusuyla ilgili gönderilmesini isteyebileceği veya inceleyebileceği bilgi vebelgelere istisna getirilmiş olup bu istisna dışında kişisel verilerle ilgiliolarak 6698 sayılı Kanun’da yer alan kişisel verilerin işlenmesinde uyulmasızorunlu ilke ve kurallar, kişisel verilerin işlenme şartları ve verigüvenliğine ilişkin yükümlülükler ile kişisel verilere ilişkin suçlarbakımından 5237 sayılı Kanun’un 135 ila 140. maddeleri hükümlerininuygulanacağına ilişkin hükümler geçerliliğini korumaktadır.

122. 6698 sayılı Kanun, 5237 sayılı Kanun ve diğer kanunlarda yeralan bu düzenlemeler birlikte değerlendirildiğinde kişilerin özel hayatına dairbilgilerin ve kişisel verilerin korunması hakkında yeterli yasal güvenceninsağlandığı anlaşılmaktadır. Bu bağlamda bir devlet sırrı niteliğindeki bilgi vebelgelerin ifşa edilmesini önlemeye yönelik dava konusu kuralın ulaşılmakistenen amaç için elverişli ve gerekli olduğu, amaç ve araç arasında makul veuygun bir ilişki kurduğu ve öngörülen amaçla kişisel verilerin korunmasıhakkına yapılan sınırlamanın orantılı olduğu açıktır. Dolayısıyla dava konusukuralla kişisel verilerin korunması hakkına sınırlama yapılırken, Kanun’dasınırlama aracının sınırlama amacına uygun ve orantılı şekilde kullanılmasınısağlayacak yasal güvencelere yer verildiği, böylece hem özel hayatıngizliliği ve kişisel verilerin korunması haklarının özünün zedelenmesininönlendiği hem de bu haklar ile ülkede millî güvenliğin sağlanmasına yönelikönlemler arasındaki makul dengenin kurulduğu anlaşıldığından dava konusukuralın özel hayatın gizliliği ve kişisel verilerin korunması haklarının özünüzedelediğinden söz edilemeyeceği gibi demokratik toplum düzeninin gereklerine veölçülülük ilkesine aykırı düştüğü de söylenemez.

123. Açıklanan nedenlerle kural Anayasa’nın 2., 13. ve 20.maddelerine aykırı değildir. İptal talebinin reddi gerekir.

I. Kanun’un 16. Maddesinin (2) Numaralı Fıkrasının İkinciCümlesinin İncelenmesi

1. İptal Talebinin Gerekçesi

124. Dava dilekçesinde özetle, Veri Sorumluları Sicilinin kişiselverilerin kimler ve hangi kuruluşlar tarafından işlendiğini gösteren bir listeolduğu, bu listeye kayıt zorunluluğuna getirilecek istisnanın kişisel verileri işlenenkişiyi korumasız hâle getireceği, bu durumun kişinin maddi ve manevi varlığınadoğrudan, ölçüsüz bir müdahale olduğu, hukuk devleti ilkesi ile bağdaşmadığı veistisnanın uluslararası sözleşmelere aykırı olduğu belirtilerek kuralınAnayasa’nın 2. ve 90. maddelerine aykırı olduğu ileri sürülmüştür.

2. Anayasa’ya Aykırılık Sorunu

125. Dava konusu kuralın yer aldığı maddede Kurulungözetiminde, Başkanlık tarafından kamuya açık olarak Veri Sorumluları Sicilitutulacağı ve kişisel verileri işleyen gerçek ve tüzel kişilerin veri işlemeyebaşlamadan önce Veri Sorumluları Siciline kaydolmak zorunda olduğu hüküm altınaalınmıştır. Dava konusu kuralla ise işlenen kişisel verinin niteliği, sayısı,veri işlemenin kanundan kaynaklanması veya üçüncü kişilere aktarılma durumugibi Kurulca belirlenecek objektif kriterler göz önüne alınmak suretiyle Kurultarafından, Veri Sorumluları Siciline kayıt zorunluluğuna istisnagetirilebileceği öngörülmektedir.

126. Anayasanın 2. maddesinde yer alan hukuk devleti ilkesi gereğincekanun koyucu düzenlemeler yaparken ölçülülük ilkesiyle bağlıdır. Bu ilkeise “elverişlilik”, “gereklilik” ve “orantılılık” olmaküzere üç alt ilkeden oluşmaktadır. “Elverişlilik”, başvurulanönlemin ulaşılmak istenen amaç için elverişli olmasını, “gereklilik” başvurulanönlemin ulaşılmak istenen amaç bakımından gerekli olmasını, “orantılılık” isebaşvurulan önlem ve ulaşılmak istenen amaç arasında olması gereken ölçüyü ifadeetmektedir. Bir kuralda öngörülen düzenleme ile ulaşılmak istenen amaç arasındada “ölçülülük ilkesi” gereğince makul bir dengenin bulunmasızorunludur.

127. 95/46/EC sayılı Direktif de ulusal veri koruma otoritelerinesicillere bildirim yapılması yükümlülüğünü kaldırma veya basitleştirme imkânıtanımaktadır.

128. Dava konusu kuralın yer aldığı 16. maddeye göre kişiselverileri işleyen gerçek ve tüzel kişiler veri işlemeye başlamadan önce VeriSorumluları Siciline kaydolmak zorunda olup kayıt başvurusunda maddedebelirtilen hususları içeren bildirimde bulunurlar. Bu bildirim; verisorumlusu ve varsa temsilcisinin kimlik ve adres bilgilerini, kişisel verilerinhangi amaçla işleneceğini, veri konusu kişi grubu ve grupları ile bu kişilereait veri kategorileri hakkındaki açıklamaları, kişisel verilerinaktarılabileceği alıcı veya alıcı grupları, yabancı ülkelere aktarımı öngörülenkişisel verileri, kişisel veri güvenliğine ilişkin alınan tedbirler ve kişiselverilerin işlendikleri amaç için gerekli olan azami süreyi içerir. Bubilgilerde meydana gelen değişiklikler derhâl Başkanlığa bildirilir. VeriSorumluları Siciline ilişkin diğer usul ve esaslar yönetmelikle düzenlenir.

129. Veri Sorumluları Siciline kaydolmak zorunda olan gerçek vetüzel kişiler birbirinden farklı büyüklük ve ölçekte olabileceği gibi bunlartarafından işlenen verilerle ilgili olarak nitelik, sayı, veri işlemeninkanundan kaynaklanması veya üçüncü kişilere aktarılması gibi farklı yoğunluk veönem derecesine sahip durumlar da olabilir. Kanun koyucunun dava konusukuralla, söz konusu farklılıkları dikkate alarak kişisel verileri işleyengerçek ve tüzel kişilerin tümünün Veri Sorumluları Siciline kaydolmasına gerekgörmediği ve bazılarını Kurul tarafından belirlenecek objektif kriterler gözönüne alınmak suretiyle yine Kurul tarafından verilecek kararla kayıtzorunluluğundan istisna tutmayı amaçladığı anlaşılmaktadır. Bu bağlamda kanunkoyucunun takdir yetkisi kapsamında düzenlediği dava konusu kuralın amaç vearaç arasında makul ve uygun bir ilişki kurduğu ve orantılı olduğuanlaşıldığından ölçülülük ilkesine aykırı bir yönü bulunmamaktadır.

130. Öte yandan dava konusu kuralla sadece Veri SorumlularıSiciline kayıt zorunluluğuna istisna getirilmiş olup veri sorumlularının verigüvenliğine ilişkin olarak Kanun’da öngörülen yükümlülüklere istisnagetirilmemiştir. Zira Kanun’un 12. maddesinde veri sorumlusunun verigüvenliğine ilişkin yükümlülükleri belirlenmiştir. Buna göre verisorumlusu kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, kişiselverilere hukuka aykırı olarak erişilmesini önlemek ve kişisel verilerinmuhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekliher türlü teknik ve idari tedbirleri almak zorundadır. Veri sorumlusu, kişiselverilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesihâlinde 12. maddenin birinci fıkrasında belirtilen tedbirlerin alınmasıhususunda bu kişilerle müştereken sorumlu olup kendi kurum veya kuruluşunda buKanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmakveya yaptırmak zorundadır. Ayrıca veri sorumluları ile veri işleyen kişiler,öğrendikleri kişisel verileri bu Kanun hükümlerine aykırı olarak başkasınaaçıklayamaz ve işleme amacı dışında kullanamazlar. Bu yükümlülük, veri işleyenkişilerin görevden ayrılmalarından sonra da devam eder. Bu bağlamda verisorumlularının yükümlülükleri bakımından bunların Sicile kayıtlı olupolmamalarının bir önemi bulunmamakta olup dava konusu kural, ilgili kişininhaklarını korumak üzere oluşturulan icrai mekanizma ve özel tedbirleri ortadankaldıran veya zedeleyen bir düzenleme şeklinde değerlendirilemez. Dolayısıylakuralla ulaşılmak istenen amaç arasında makul bir denge kurulduğundan ve verisorumlularının yükümlülükleri de ortadan kaldırılmadığından kuralın Anayasa’yaaykırı bir yönü bulunmamaktadır.

131. Açıklanan nedenlerle kural Anayasa’nın 2. maddesine aykırıdeğildir. İptal talebinin reddi gerekir.

132. Engin YILDIRIM, Serdar ÖZGÜLDÜR, Serruh KALELİ ile OsmanAlifeyyaz PAKSÜT bu görüşe katılmamışlardır.

133. Kuralın Anayasa’nın 90. maddesiyle ilgisi görülmemiştir.

İ. Kanun’un 24. Maddesinin (3) Numaralı Fıkrasının (b)Bendinde Yer Alan “Kurulca gerekli görülenlerin...” İbaresinin İncelenmesi

1. İptal Talebinin Gerekçesi

134. Dava dilekçesinde özetle, Kurulun gerek görmemesi hâlindekararlarının yayımlanmamasına olanak sağlayan kuralın başvurucu kişi ve kamuoyubakımından belirsizlik yarattığı, Kurula yapılan başvurular arasında ayırımyapıldığı, bu ayrıma dair objektif kriterlerin belirlenmediği belirtilerekkuralın Anayasa’nın 2. maddesine aykırı olduğu ileri sürülmüştür.

2. Anayasa’ya Aykırılık Sorunu

135. Dava konusu kuralın yer aldığı maddenin (3) numaralıfıkrasında Başkanın görevleri sayılmıştır. Bu görevlerden biri de fıkranın (b)bendinde “Kurul kararlarının tebliğini ve Kurulca gerekli görülenlerinkamuoyuna duyurulmasını sağlamak ve uygulanmalarını izlemek” şeklindebelirlenmiştir. Fıkrada yer alan “Kurulca gerekli görülenlerin” ibaresi,dava konusu kuralı oluşturmaktadır.

136. Anayasa’nın 2. maddesinde yer alan hukuk devletinin önemlibir unsuru olan belirlilik ilkesi bireylerin hukuk kurallarını öncedenbilmeleri, davranış ve tutumlarını bu kurallara göre güvenle düzenesokabilmelerini gerektirmekte olup hukuk kurallarının belirliliğinin sağlanmasıyalnızca kanunla düzenleme yapılması anlamına gelmemektedir. Belirlilik ilkesi,yalnızca yasal belirliliği değil daha geniş anlamda hukuki belirliliği de ifadeetmektedir. Yasal dayanağının bulunması ve erişilebilir, bilinebilir veöngörülebilir olması gibi gereklilikleri karşılaması koşuluyla mahkemeiçtihatları ve yürütmenin düzenleyici işlemleri ile de hukuki belirliliksağlanabilir. Hukuki belirlilik ilkesinde asıl olan, bir hukuknormunun uygulanmasıyla ortaya çıkacak sonuçların o hukuk düzenindeöngörülebilir olmasıdır.

137. Dava konusu kuralda, Kişisel Verileri Koruma Kurulutarafından verilen kararlardan Kurulca gerekli görülenlerin Başkan tarafındankamuoyuna duyurulması öngörülmektedir. Dolayısıyla Kurul tarafından gerekligörülmeyen kararlar kamuoyuna duyurulmayacaktır.

138. 6698 sayılı Kanun’un Kurulun çalışma esaslarının düzenlendiği23. maddesinde Kurulun toplantı günlerini ve gündemini Başkanın belirleyeceği,Başkanın gereken hâllerde Kurulu olağanüstü toplantıya çağırabileceği, Kurultoplantılarındaki görüşmelerin gizli olduğu, Kurulda görüşülen işlerin tutanağabağlanacağı ve Kurulun gerekli gördüğü kararları kamuoyuna duyuracağı, Kurulunçalışma usul ve esasları ile kararların yazımı ve diğer hususların yönetmelikledüzenleneceği hüküm altına alınmıştır. Bu bağlamda Kurulca kamuoyunaduyurulacak kararların söz konusu yönetmelikteki usul ve esaslara göreyapılacak çalışma çerçevesinde belirleneceği dikkate alındığında kuralınbelirsiz olduğundan söz edilemez.

139. Öte yandan dava dilekçesinde Kurula yapılan başvurulararasında ayrım yapıldığı ve bu ayrıma dair objektif kriterlerin belirlenmediğiifade edilmişse de kuralla, verdiği kararların hangilerinin kamuoyunaduyurulacağını belirleme konusunda Kurula yetki verildiği anlaşılmaktadır. ZiraKanun’un 22. maddesinde Kurulun görev ve yetkileri düzenlenmekte olup bu görevve yetkilerin bir kısmının idari işleyiş ve yönetime ilişkin olması karşısındaKurulca verilen tüm kararların kamuoyuna duyurulmasında kamu yararı olduğusöylenemez. Bu bağlamda kuralın kanun koyucunun takdir yetkisi kapsamındaolduğunda kuşku yoktur. Dolayısıyla kuralda hukuk devleti ilkesine aykırı biryön bulunmamaktadır.

140. Açıklanan nedenlerle kural Anayasa’nın 2. maddesine aykırıdeğildir. İptal talebinin reddi gerekir.

J. Kanun’un 28. Maddesinin (1) Numaralı Fıkrasının (a) ve (ç)Bentlerinin İncelenmesi

1. (a) Bendinin İncelenmesi

a. İptal Talebinin Gerekçesi

141. Dava dilekçesinde özetle, sadece aynı konutta yaşamanın birbaşkasının kişisel alanına müdahale edilebileceği anlamına gelmediği, özelyaşamın sadece aile yaşamı veya konut mahremiyeti olmadığı, kişisel özerkliğinözel yaşama saygı kapsamındaki güvencelerin yorumlanmasında önemli bir ilkeolduğu, aynı konutta yaşayan bireyler kapsamında eşler, eşlerin üstsoyu,evlilik birliği içinde veya dışında doğan veya evlat edinilen yahut koruyucuaile olarak bakımı üstlenilen çocukların da olabileceği, özel yaşamın gizliliğikonusunda özellikle çocuklar ve korunmasız bireylerin etkili bir şekildekorunma hakkına sahip olduğu, velayet ilişkisinin çocuğun varlığını, onurunu,maddi ve manevi bütünlüğünü ortadan kaldıran bir hukuki müessese olmadığı,çocukların kişisel verilerinin işlenmesi öncesinde yaşları ve gelişimdurumlarına göre uygun kapsam ve yöntemlerle bilgilendirilmeleri ve açıkrızalarının alınmasının gerektiği belirtilerek kuralın Anayasa’nın 2., 13.,20., 41. ve 90. maddelerine aykırı olduğu ileri sürülmüştür.

b. Anayasa’ya Aykırılık Sorunu

142. Dava konusu kuralın yer aldığı maddede 6698 sayılı Kanunhükümlerinin uygulanmayacağı hâller hüküm altına alınmıştır. Dava konusukuralla kişisel verilerin, üçüncü kişilere verilmemek ve veri güvenliğineilişkin yükümlülüklere uyulmak kaydıyla gerçek kişiler tarafından tamamenkendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetlerkapsamında işlenmesi hâlinde 6698 sayılı Kanun hükümlerinin uygulanmayacağıhüküm altına alınmaktadır.

143. Anayasa’nın 20. maddesinin birinci fıkrasının birincicümlesinde “Herkes, özel hayatına ve aile hayatına saygı gösterilmesiniisteme hakkına sahiptir.” denilmek suretiyle özel hayat ve aile hayatınasaygı gösterilmesini isteme hakkı güvence altına alınmıştır.

144. Anayasa’nın 41. maddesinde “Aile, Türk toplumununtemelidir ve eşler arasında eşitliğe dayanır. Devlet, ailenin huzur ve refahıile özellikle ananın ve çocukların korunması ve aile planlamasınınöğretimi ile uygulanmasını sağlamak için gerekli tedbirleri alır, teşkilâtıkurar. Her çocuk, korunma ve bakımdan yararlanma, yüksek yararına açıkça aykırıolmadıkça, ana ve babasıyla kişisel ve doğrudan ilişki kurma ve sürdürmehakkına sahiptir. Devlet, her türlü istismara ve şiddete karşı çocuklarıkoruyucu tedbirleri alır.” denilmektedir.

145. Anayasa’nın 41. maddesinde aile Türk toplumunun temeli olaraktanımlanmış, ailenin birey ve toplum hayatındaki önemine işaret edilmiş vedevlete ailenin korunması için gerekli düzenlemeleri yapması ve teşkilatıkurması konusunda ödevler yüklenmiştir. Böylece aile kurumuna anayasal korumasağlanmıştır. Bu düzenlemeyle eşler ve çocuklardan oluşan ailenin birlik vebütünlüğünün korunması amaçlanmaktadır. 41. maddeye 7.5.2010 tarihli ve 5982sayılı Kanun’la eklenen dördüncü fıkrada da devletin her türlü istismara veşiddete karşı çocukları koruyucu tedbirleri alacağı belirtilmiştir. Budüzenlemeyle “Ailenin korunması” şeklindeki maddebaşlığı “Ailenin korunması ve çocuk hakları” şeklindedeğiştirilip maddeye çocukların korunması konusu da eklenerek çocukların temelhakları vurgulanmış ve devletin çocukları koruyucu tedbirleri alacağıbelirtilmiştir.

146. Dava konusu kuralla kişisel verilerin, üçüncü kişilereverilmemek ve veri güvenliğine ilişkin yükümlülüklere uyulmak kaydıyla gerçekkişiler tarafından tamamen kendisiyle veya aynı konutta yaşayan ailefertleriyle ilgili faaliyetler kapsamında işlenmesi hâlinde 6698 sayılıKanun’da yer alan kişisel verilerin korunmasına ilişkin hükümlerinuygulanmayacağı düzenlenmiştir. Söz konusu düzenleme ile bir kişinin gerek kendigerekse aynı konutta birlikte oturduğu aile fertlerine ilişkin kişisel verileriişlemesinin, söz konusu birlikte yaşamanın doğal ve zorunlu bir sonucu olduğuanlaşılmaktadır. Ayrıca dava konusu kuralın söz konusu hakların kullanılmasınıson derece zorlaştıran veya onu kullanılamaz duruma düşüren kayıtlarabağlandığı da söylenemeyeceğinden hakkın özüne dokunmadığı açıktır. Bu nedenledeğerlendirilmesi gereken husus bu müdahalenin demokratik toplum düzeniningerekleri ile ölçülülük ilkesine uygun olup olmadığıdır.

147. Dava konusu kuralla, kişiler tarafından tamamen kendisiyleveya aynı konutta yaşayan aile fertleriyle ilgili faaliyetler kapsamındakişisel verilerin işlenmesi hâlinde 6698 sayılı Kanun hükümlerininuygulanmayacağı hüküm altına alınmıştır. 4721 sayılı Türk MedeniKanunu’na göre eşler ve çocuklardan oluşan aile fertlerinin, kendileriyle veyadiğer aile fertleriyle ilgili olarak 4721 sayılı Kanun’da veya diğer kanunlardabelirtilen faaliyet ve yükümlülükleri olabileceği gibi günlük hayatın akışıiçinde gerçekleştirilecek faaliyetleri de olabilir. Bu faaliyet veyükümlülüklerin yerine getirilmesi ise söz konusu aile fertleriyle ilgili bazıkişisel verilerin işlenmesini gerektirebilir. Kanun koyucunun kuralla takdiryetkisi kapsamında gerçek kişilerin kendisiyle veya aynı konutta yaşayan ailefertleriyle ilgili söz konusu faaliyet ve yükümlülüklerin sıklık ve yoğunlukderecesini de dikkate alarak bunlarla ilgili veri işleme prosedürünükolaylaştırmayı amaçladığı anlaşılmaktadır. Aynı konutta yaşayan ailefertleriyle ilgili faaliyetler kapsamında tanınan dava konusu istisnanın baştaçocuklar olmak üzere aile fertlerinin özerk varlığını, onurunu, maddi vemanevi bütünlüğünü ortadan kaldırmayı amaçlayan ya da bu amaca matuf bir hukukimüessese olmadığı aksine Anayasa’nın 41. maddesi ve başta 4721 sayılıKanun olmak üzere diğer kanunlardan kaynaklanan aile fertleriyle ilgili hukukifaaliyet ve yükümlüklerin tam ve zamanında yerine getirilebilmesi suretiyleailenin ve özellikle çocukların korunmasını sağlamaya yönelik olduğu açıktır.

148. Öte yandan anne ve babaların, çocukları üzerinde velayethakkını yerine getirirken 4721 sayılı Kanun’dan kaynaklanan yükümlülüklereuygun hareket etme zorunluluğu bulunmaktadır. 4721 sayılı Kanun’da çocuklarınkorunması ve yetiştirilmesine ilişkin söz konusu yükümlülüklere aykırıhareketlerin hukuki sonuçlarına ilişkin hükümlere yer verildiği gibi 5395sayılı Çocuk Koruma Kanunu’nda yer alan ilkeler uyarınca çocuğun haklarınınkorunması konusunda da ayrıntılı düzenlemeler hüküm altına alınmıştır. Bubağlamda kuralla sınırlama yapılırken ilgili kanunlarda sınırlama aracınınsınırlama amacına uygun ve orantılı şekilde kullanılmasını sağlayacak yasalgüvencelere yer verildiği de görülmektedir. Dolayısıyla kuralla ulaşılmakistenen amaç arasında makul bir denge kurulduğu de dikkate alındığında kuralındemokratik toplum düzeninin gerekleri ve ölçülülük ilkesine aykırı bir yönübulunduğu söylenemez.

149. Açıklanan nedenlerle kural Anayasa’nın 2., 13., 20. ve41. maddelerine aykırı değildir. İptal talebinin reddi gerekir.

150. Kuralın Anayasa’nın 90. maddesiyle ilgisi görülmemiştir.

2. (ç) Bendinin İncelenmesi

a. İptal Talebinin Gerekçesi

151. Dava dilekçesinde özetle, önleyici, koruyucu ve istihbarifaaliyetlerin geniş ve belirsiz bir kavram olarak idarenin keyfî uygulamalarınayol açabilecek nitelikte olduğu, bu istisnalar kapsamına giren konularda kamukurumlarının hangi hâllerde veri toplayacağı ve işleyeceğinin sayılması vesınırlandırılması gerektiği, kuralın kişilerin özel yaşamlarının gizliliğihakkının özüne dokunduğu, hakkın kullanımını olanaksız hâle getirdiği,belirlilik ilkesine aykırı olduğu, sınırları belirsiz şekilde bireylerin özelyaşamlarının gizliliğine doğrudan bir müdahale niteliğinde olduğu belirtilerekkuralın Anayasa’nın 2., 13., 20. ve 90. maddelerine aykırı olduğu ilerisürülmüştür.

b. Anayasa’ya Aykırılık Sorunu

152. Dava konusu kuralda 6698 sayılı Kanun hükümlerininuygulanmayacağı hâllerden biri olarak kişisel verilerin millîsavunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini veya ekonomikgüvenliği sağlamaya yönelik olarak kanunla görev ve yetki verilmiş kamu kurumve kuruluşları tarafından yürütülen önleyici, koruyucu ve istihbari faaliyetlerkapsamında işlenmesi sayılmaktadır.

153. Kişisel verilerin korunması hakkı sınırsızolmayıp Anayasa Mahkemesi kararlarında, özel sınırlama nedeni öngörülmemişözgürlüklerin de o özgürlüğün doğasından kaynaklanan bazı sınırları bulunduğu,ayrıca Anayasa'nın başka maddelerinde yer alan hak ve özgürlükler ile devleteyüklenen ödevlerin özel sınırlama sebebi gösterilmemiş hak ve özgürlükleresınır teşkil edebileceği de kabul edilmektedir. Dolayısıyla kişisel verilerinkorunması hakkının Anayasa'da Devlete bir görev olarak yüklenen millîgüvenliğin ve kamu düzeninin sağlanması ile suç işlenmesinin önlenmesiamaçlarıyla sınırlandırılması mümkündür.

154. Ancak bu sınırlama yapılırken temel hak ve özgürlüklerinsınırlandırılması rejimini belirleyen Anayasa’nın 13. maddesine de uyulmasıgerekmektedir. Anayasa’nın 13. maddesi uyarınca özel hayatın gizliliği vekişisel verilerin korunması hakkı, yalnızca kanunla ve demokratik bir toplumdagerekli olduğu ölçüde sınırlanabilir. Ayrıca getirilen bu sınırlamalar hakkınözüne dokunamayacağı gibi Anayasa’nın sözüne ve ruhuna, demokratik toplumdüzeninin gereklerine ve ölçülülük ilkesine aykırı olamaz.

155. Nitekim 108 sayılı Sözleşme’nin 9. maddesinde de devletgüvenliği, kamu güvenliği, devletin ekonomik menfaatlerinin korunması vesuçlarla mücadele edilmesi, ilgilinin veya üçüncü kişilerin hak veözgürlüklerinin korunması ile verilerin istatistiki veya bilimsel amaçlarlakullanılması durumlarında kişisel verilerin korunmasına sınırlamalargetirilebileceği belirtilmiştir. AİHM de işe alınırken gizlibir polis dosyasında yer alan daha önceki sendikal faaliyetlerine ilişkinverilerin saklanması ve kullanılması hakkında yapılan bir başvuruda demokratikbir toplumda istihbarat servislerinin varlığının ve verilerin saklanmasınınyasalara uygun olabileceğini, meşru menfaat başka bir deyişle suçişlenmesinin önlenmesi ya da ulusal güvenliğin korunması amaçlarını gözetmesikoşuluyla vatandaşların menfaatlerinin önüne geçebileceğini belirterek sözkonusu müdahaleyi demokratik bir toplumda ulusal güvenlik gibi devlete genişbir takdir yetkisi tanıyan bir konuda ağır basan sosyal ihtiyacı da göz önünealarak AİHS’ne aykırı görmemiştir (Leander/İsveç, B. No: 9248/81,23.3.1987).

156. Kuralın yer aldığı madde gerekçesinde kişisel verilerinmillî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini veya ekonomikgüvenliği sağlamaya yönelik önleyici, koruyucu ve istihbari faaliyetlerkapsamında işlenmesinin istisna olarak düzenlendiği; buna göre Millî İstihbaratTeşkilatı ile diğer istihbarat birimlerinin millî savunmayı, millî güvenliği,kamu güvenliğini, kamu düzenini ve ekonomik güvenliği sağlamaya yönelikfaaliyetler kapsamında işlediği verilerin Kanun kapsamı dışında tutulduğu; aynışekilde suç gelirlerinin aklanması, terörizmin finansmanının önlenmesi ve malisuçların araştırılması konusunda yetkili birim tarafından yürütülen faaliyetlerkapsamında işlenen verilerin de bu istisna kapsamında olduğu, bu konulardakiyetkili birimin millî savunmayı, millî güvenliği kamu güvenliğini, kamudüzenini ve ekonomik güvenliği sağlamaya yönelik olmak üzere mali araştırmayapmak, mali istihbarat elde etmek ve üretmek, veri toplamak, şüpheli işlembildirimleri ve diğer bildirimleri almak, analiz etmek, değerlendirmek,inceleme yapmak ve ilgili kurumlarla paylaşmak suretiyle işlediği verilerin de6698 sayılı Kanun kapsamı dışında tutulduğu ifade edilmektedir.

157. Kuralla millî savunmayı, millî güvenliği, kamu güvenliğini,kamu düzenini veya ekonomik güvenliği sağlamaya yönelik olarak görev ve yetkiverilmiş olan kamu kurum ve kuruluşları tarafından yürütülecek önleyici,koruyucu ve istihbari faaliyetler kapsamında kişisel verilerin işlenmesinde6698 sayılı Kanun hükümlerinin uygulanmayacağı hüküm altına alınmaktadır.İşlenecek bu bilgiler arasında özel hayatın gizliliği kapsamında kalacakbilgiler ve kişisel veriler de bulunabileceğinden kuralla özel hayatıngizliliği ve kişisel verilerin korunması haklarına sınırlama getirildiğiaçıktır. Ancak bu sınırlama, Anayasa’da devlete verilen görevlerin gereğiolarak millî güvenliğin, kamu düzeninin ve suç işlenmesinin önlenmesinisağlamak amacıyla yapıldığından demokratik toplum düzenibakımından alınması gereken tedbirler kapsamında kalmaktadır.

158. Kuralda yer alan “önleyici, koruyucu veistihbari faaliyetler”, “millî savunma”, “millî güvenlik”, “kamu güvenliği”,“kamu düzeni”, “ekonomik güvenlik” ibarelerinin soyut ve genelkavramlar olması kuralın belirsiz olduğu anlamına gelmemekte, bu durum kanun yapmatekniğinin doğasından kaynaklanmaktadır. Zira yasa kurallarının genel ve soyutolması; somut olayın özelliğine göre değişebilecek tüm çözümleri kuralınbünyesinde barındırma, bir başka ifadeyle kuralın amaca uygun sonucaulaştıracak herhangi bir çözümü dışlamasını önleme ihtiyacındankaynaklanmaktadır.

159. Öte yandan 2559 sayılı Polis Vazife ve SalahiyetKanunu, 2937 sayılı Devlet İstihbarat Hizmetleri ve Millî İstihbaratTeşkilatı Kanunu gibi ilgili kuruluş kanunlarında görev ve yetki verilmiş polisteşkilatı ve MİT gibi veya 4208 sayılı Kanun’la kurulan, görev ve yetkileri5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun ile yenidenbelirlenen Malî Suçları Araştırma Kurulu (MASAK) gibi kamu kurum vekuruluşlarının dava konusu kuralda yer alan millî güvenliği, kamu güvenliğini,kamu düzenini ve ekonomik güvenliği sağlamaya yönelik olarak kanunla görev veyetki verilen kamu kurum ve kuruluşları olduğu açıktır. Bu kanunlarda, sözkonusu kamu kurum ve kuruluşlarının görev ve yetkileri ayrıntılı şekildedüzenlenmiş ve bu düzenlemelerde söz konusu görevlerin Türkiye Cumhuriyeti’ninülkesi ve milleti ile bütünlüğüne, varlığına, bağımsızlığına, güvenliğine,Anayasal düzenine ve millî gücünü meydana getiren bütün unsurlarına karşı içtenve dıştan yöneltilen mevcut ve muhtemel faaliyetler hakkında millî güvenlikistihbaratını oluşturmak veya suç gelirlerinin aklanmasının önlenmesinisağlamaya yönelik olduğu belirtilerek bu kamu kurum ve kuruluşları tarafındanyürütülecek önleyici, koruyucu ve istihbari faaliyetler de düzenlenmiştir. Bubağlamda dava konusu kuralla düzenlenen “önleyici, koruyucu ve istihbari”faaliyetlerin ilgili kuruluş kanunlarında veya diğer kanunlarda kapsam, sınırve içeriklerinin ayrıntılı şekilde düzenlenmesi karşısında söz konusufaaliyetlerin kapsamının belirsiz olduğu söylenemez.

160. Ayrıca söz konusu kurum ve kuruluşların yetki vesorumlulukları ile bunlara aykırı davranılması hâlinde öngörülen cezaiyaptırımlar ilgili kanunlarda ayrıntılı şekilde düzenlendiği gibi 5237 sayılıKanun’un 136. maddesi uyarınca da kişisel verileri hukuka aykırı olarakbaşkasına vermek, yaymak veya ele geçirmek suç olarak düzenlenmiştir.Dolayısıyla dava konusu kural kapsamında elde edilecek bilgilerin amacı dışındakullanılmasını önleyecek ve kişilerin özel hayatına dair bilgilerin ve kişiselverilerin ifşa edilmesini önleyecek yasal güvencenin sağlandığı görülmektedir.Bu bağlamda ilgili kanunlarda sınırlama aracının sınırlama amacına uygun veorantılı şekilde kullanılmasını sağlayacak yasal güvencelere yer verildiği veyeterli korumanın da sağlandığı dikkate alındığından dava konusukurallarla kişisel verilerin korunması hakkına getirilen sınırlamaların özelhayatın gizliliği ve kişisel verilerin korunması hakkının özünü zedelenmediği gibi buhaklar ile ülkede millî güvenliğin sağlanmasına yönelik önlemler arasındakimakul dengenin kurulduğu görülmektedir. Dolayısıyla dava konusu kuralla özelhayatın gizliliği ve kişisel verilerin korunması haklarına getirilensınırlamanın söz konusu hakların özünü zedelediğinden söz edilemeyeceği gibidemokratik toplum düzeninin gereklerine ve ölçülülük ilkesine aykırı düştüğü desöylenemez.

161. Açıklanan nedenlerle kural Anayasa’nın 2., 13. ve20. maddelerine aykırı değildir. İptal talebinin reddi gerekir.

162. Kuralın Anayasa’nın 90. maddesiyle ilgisi görülmemiştir.

K. Kanun’un 30. Maddesinin (7) Numaralı Fıkrası ileDeğiştirilen 663 Sayılı Kanun Hükmünde Kararname’nin 47.Maddesinin İncelenmesi

1. İptal Talebinin Gerekçesi

163. Dava dilekçesinde özetle, dava konusu kuralların kişilerinsağlık hizmeti almaktan imtina etmesine neden olabileceğinden sağlık hakkına veyaşam hakkına bir müdahale niteliğinde olduğu, kişilerin sağlıkla ilgilibilgilerinin kamu yararı bulunan bazı durumlar dışında devletten dahi gizlitutulmasını isteme hakkı bulunduğu ancak kuralla geniş şekilde sayılanamaçların kamu sağlığını korumayı aşacak nitelikte olduğu, sağlık hizmetlerininplanlanması ve maliyetlerin hesaplanması amacının yerine getirebilmesi içinbireylerin her türlü verisinin işlenmesine ihtiyaç bulunmadığı, SağlıkBakanlığının topladığı her türlü kişisel veriyi üçüncü kişilere aktarmasıhususunun sadece 6698 sayılı Kanun’daki düzenlemelere tabi olduğu ancakKanun’daki düzenlemelerin kişilerin açık rızasının alınmasına gerekduyulmayacak şekilde ve kapsamı geniş tutulan istisnalar şeklindedüzenlendiğinden her türlü kişisel verinin üçüncü kişilere aktarılabileceği,kurulacak sistemin üçüncü kişilere kişisel verilere erişim imkânı yarattığı, budurumun özellikle kadın üzerinde toplumsal baskı yaratacağı, töre ve namuscinayetlerine zemin hazırlayacağı, oluşturulacak merkezî sisteme kimlertarafından erişilebileceğinin belirsiz olduğu, yetkili kılınacak sağlıkpersoneli bakımından sınırlama yapılmadığı, kişinin doktorunun bu verilereerişmesi hedeflenmiş olsa da kurulan merkezî sistemin bu amacı ve kastı aştığı,merkezî sistemin güvenliği ve güvenilirliği ile ilgili standartların KişiselVerileri Koruma Kurulunun belirlediği ilkelere uygun olarak Sağlık Bakanlığıncabelirlenmesi ile Sağlık Bakanlığı’nın kişisel sağlık verilerinin güvenliğininsağlanması için gerekli tedbirleri almasına ilişkin düzenlemesinin belirsizolduğu, Kurulun çoğunluğunun yürütme tarafından oluşturulan bir yapı olduğu, belirlenecekilkelerin yürütmenin çoğunlukta olduğu bu yapı tarafından belirlenmesininkeyfîliğe yol açabileceği, kuralların uluslararası sözleşmelere aykırı olduğu,yönetmelikle düzenleneceği öngörülen kişisel sağlık verilerinin işlenmesi,güvenliği ve kapsamı belirli olmayan ilgili diğer hususların neler olduğununkanun ile belirlenmesinin zorunlu olduğu belirtilerek kuralın Anayasa’nın 2.,13., 17., 20., 56. ve 90. maddelerine aykırı olduğu ileri sürülmüştür.

2. Anayasa’ya Aykırılık Sorunu

164. 6216 sayılı Kanun’un 43. maddesi uyarınca, kural ilgisinedeniyle Anayasa’nın 5. ve 7. maddeleri yönünden de incelenmiştir.

165. Dava konusu kuralların yer aldığı 663 sayılı Kanun HükmündeKararname (KHK) Sağlık Bakanlığı ve bağlı kuruluşlarının teşkilat, görev, yetkive sorumluluklarını düzenlemektedir. KHK’nın 2. maddesine göre Bakanlığıngörevi; herkesin bedenî, zihnî ve sosyal bakımdan tam bir iyilik hâli içindehayatını sürdürmesini sağlamaktır. Bu kapsamda Bakanlık halk sağlığınınkorunması ve geliştirilmesi, hastalık risklerinin azaltılması ve önlenmesi,teşhis, tedavi ve rehabilite edici sağlık hizmetlerinin yürütülmesi,uluslararası önemi haiz halk sağlığı risklerinin ülkeye girmesinin önlenmesi,sağlık eğitimi ve araştırma faaliyetlerinin geliştirilmesi, sağlıkhizmetlerinde kullanılan ilaçlar, özel ürünler, ulusal ve uluslararası kontroletabi maddeler, ilaç üretiminde kullanılan etken ve yardımcı maddeler,kozmetikler ve tıbbi cihazların güvenli ve kaliteli bir şekilde piyasadabulunması, halka ulaştırılması ve fiyatlarının belirlenmesi, insan gücünde vemaddi kaynaklarda tasarruf sağlamak ve verimi artırmak, sağlık personelininülke sathında dengeli dağılımını sağlamak ve bütün paydaşlar arasında işbirliğini gerçekleştirmek suretiyle yurt sathında eşit, kaliteli ve verimlihizmet sunumunun sağlanması, kamu ve özel hukuk tüzel kişileri ile gerçekkişiler tarafından açılacak sağlık kuruluşlarının ülke sathında planlanması veyaygınlaştırılması ile ilgili olarak sağlık sistemini yönetir ve politikaları belirler.

166. Bakanlık, bu amaçları gerçekleştirmek üzere strateji vehedefleri belirler; planlama, düzenleme ve koordinasyon, uluslararası vesektörler arası iş birliği, rehberlik, izleme, değerlendirme, teşvik,yönlendirme ve denetleme yapar, müeyyide uygular, acil durum ve afet hâllerindesağlık hizmetlerini planlar ve yürütür, bölgesel farklılıkları gidermeye veherkesin sağlık hizmetine erişimini sağlamaya yönelik tedbirler alır, ilgilikurum ve kuruluşların insan sağlığını doğrudan ve dolaylı olarak etkileyenfaktörler ve sosyal belirleyicilerle ilgili uygulamalarına ve düzenlemelerineyön verir, bunu teminen gerekli bildirimleri yapar, görüş bildirir ve müeyyideuygular, görevin ve hizmetin gerektirdiği her türlü tedbiri alır.

167. Dava konusu kuralların yer aldığı 663 sayılı KHK’nın 47.maddesinde sağlık hizmetine ilişkin kişisel veriler hakkında bilgi toplama,işleme ve paylaşma yetkisi düzenlenmiştir. Maddenin (1) numaralı fıkrasındasağlık hizmeti almak üzere kamu veya özel sağlık kuruluşları ile sağlık mesleğimensuplarına müracaat edenlerin, sağlık hizmetinin gereği olarak vermek zorundaoldukları veya kendilerine verilen hizmete ilişkin kişisel verilerinişlenebileceği, (2) numaralı fıkrasında ise sağlık hizmetinin verilmesi, kamusağlığının korunması; koruyucu hekimlik, tıbbi teşhis, tedavi ve bakımhizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması ve maliyetlerinhesaplanması amacıyla Bakanlığın bu fıkra kapsamında elde edilen verilerialarak işleyebileceği ve bu verilerin, Kişisel Verilerin Korunması Kanunundaöngörülen şartlar dışında aktarılamayacağı öngörülmektedir.

168. Anayasa’nın 20. maddesinde belirtildiği üzere kişisel verilerancak kanunda öngörülen hâllerde veya kişinin açık rızasıyla işlenebilir. 6698sayılı Kanun’un 6. maddesinin (2) numaralı fıkrasına göre özel niteliklikişisel verilerden olan kişilerin sağlığı ile ilgili verilerin kural olarakilgilinin açık rızası olmaksızın işlenmesi yasaktır. Maddenin (3) numaralıfıkrasına göre özel nitelikli kişisel veriler kanunlarda öngörülen hâllerdeilgili kişinin açık rızası aranmaksızın işlenebilir, cinsel hayata ve sağlığailişkin kişisel veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik,tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ilefinansmanının planlanması ve yönetimi amacıyla sır saklama yükümlülüğü altındabulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açıkrızası aranmaksızın işlenebilir. Kanun koyucunun dava konusu kurallarla kişiselverilerin korunması hakkında genel kanun niteliğinde olan 6698 sayılı Kanun’dabelirtilen hükümleri Sağlık Bakanlığı ve bağlı kuruluşlarının teşkilat, görev,yetki ve sorumluluklarını düzenleyen özel kanun niteliğindeki 663 sayılı KHK’dada benzer şekilde düzenlemek suretiyle uygulamada ortaya çıkabileceksıkıntıları önlemeyi amaçladığı anlaşılmaktadır.

169. Diğer taraftan 108 sayılı Sözleşme’nin 9. maddesinde, maddedebelirtilen bazı hâllerde kişisel verilerin korunmasına sınırlamalargetirilebileceği belirtilmiştir. 95/46/EC sayılı Direktif’in 8. maddesinin (2)numaralı fıkrasında da veri işlemenin önleyici hekimlik, tıbbi teşhis, tıbbiyardım veya bakım ya da sağlık hizmetlerinin idari olarak yürütülmesi içingerekli olması ve bu verilerin ya sağlık personeli veya sağlık personeli gibisır saklama yükümlülüğüne tabi kişiler tarafından işlenmesi mümkünkılınmıştır. Maddede ayrıca üye devletlerin uygun önlemleri almakkoşuluyla kamu yararı için başka istisnalar da belirleyebileceğibelirtilmiştir.

170. Dava konusu kurallarla özel hayatın gizliliği ve kişiselverilerin korunması haklarına sınırlama getirildiği şüphesizdir. Kurallarla herne kadar söz konusu haklara müdahalede bulunulmuş ise de kuralların sadecesağlık hizmeti almak üzere müracaat edenlerin sağlık hizmetlerinin gereğiolarak vermek zorunda oldukları veya kendilerine verilen hizmete ilişkinkişisel verilerin işlenebilmesini düzenlediği dikkate alındığında dava konusukurallarla getirilen sınırlamanın söz konusu hakların kullanılmasını son derecezorlaştıran veya onu kullanılamaz duruma düşüren kayıtlara bağlandığısöylenemeyeceğinden hakkın özüne dokunmadığı açıktır. Bu nedenledeğerlendirilmesi gereken husus bu müdahalenin demokratik toplum düzeniningerekleri ile ölçülülük ilkesine uygun olup olmadığıdır.

171. Sağlık hizmetlerinin yerine getirilebilmesi, hasta takipsisteminin iyi bir şekilde işleyebilmesi ve hastaların sağlık hizmetlerinden eniyi şekilde yararlanabilmesi için söz konusu verilerin kamu veya özel sağlıkkuruluşları ile sağlık mesleği mensupları tarafından işlenmesi gerektiğiaçıktır. Ayrıca söz konusu verilerin Bakanlık tarafından işlenmesininBakanlığın 663 sayılı KHK’da belirtilen sağlık hizmetleriyle ilgili strateji vehedefleri belirlemek, planlama, düzenleme ve koordinasyon yapmak, acil durum veafet hâllerinde sağlık hizmetlerini planlamak ve yürütmek, bölgeselfarklılıkları gidermeye ve herkesin sağlık hizmetine erişimini sağlamayayönelik tedbirler almak, ilgili kurum ve kuruluşların insan sağlığını doğrudanve dolaylı olarak etkileyen faktörler ve sosyal belirleyicilerle ilgiliuygulamalarına ve düzenlemelerine yön vererek bunu temin için gereklibildirimleri yapmak, görüş bildirmek ve müeyyide uygulamak gibi görev, yetki vesorumluluklarını yerine getirmesi bakımından da gerekli olduğunda kuşku yoktur.

172. Anayasa'nın 5. maddesi insanın maddi ve manevi varlığınıngelişmesi için gerekli şartları hazırlamayı devletin temel amaç ve görevleriarasında saymıştır. Devlet, kişilerin sağlık hakkından tam anlamıylayararlanabilmeleri ve sağlıklı bir yaşam sürdürebilmeleri amacıyla yasal,idari, mali, yargısal ve diğer önlemleri almak zorundadır. Ayrıca Anayasa,sosyal hukuk devleti olmanın gereği olarak sağlık hizmetlerinin sunumundayüklediği pozitif yükümlülük kapsamında devleti bu haklardan yararlanmayı artıracakönlemleri almakla mükellef kılmıştır. Bu nedenle Anayasa’nın 17. ve 56.maddelerinde öngörülen kişilerin yaşama, maddi ve manevi varlığını koruma vegeliştirme hakkı ile sağlık hakkından yararlanma konusunda en geniş ölçekliuygulamaların gerçekleştirilmesi gerekir. Kişileriçin bir hak olan sağlık hizmetinden yararlanmayıkolaylaştırıcı düzenlemeler yapılması ve bu hizmetin daha iyi birşekilde gerçekleştirilmesi için gerekli tedbirlerin alınması devletin Anayasa’dankaynaklanan bir ödevidir. Dolayısıyla Anayasa’da devlete verilen görevleringereği olarak kişilerin sağlıklı bir şekilde yaşam sürdürmeleri için genelsağlığın korunması amacıyla düzenlenen dava konusu kurallar demokratik toplumdüzeni bakımından alınması gereken tedbirler kapsamında kalmaktadır.

173. Öte yandan 6698 sayılı Kanun’un 2. maddesine göre Kanunhükümleri, kişisel verileri işlenen gerçek kişiler ile bu verileri tamamen veyakısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmakkaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişiler hakkındauygulanır. Dolayısıyla dava konusu kurallar kapsamında sağlık verilerininişlenmesi bakımından 6698 sayılı Kanun’da yer alan tüm ilke ve kurallar ilegüvencelere uyulması zorunlu olup Kanun’da yer alan kişisel verilerin işlenmeşartlarına, aktarılmasına, veri sorumlusunun aydınlatma yükümlülüğüne, verigüvenliğine ilişkin kurallar uygulanacaktır. Aksi hâlde Kanun’un 17. maddesindeyer alan kişisel verilere ilişkin suçlar bakımından 5237 sayılı Kanun’un 135ila 140. maddeleri hükümleri uygulanacak ve Kanun’un 7. maddesi hükmüne aykırıolarak kişisel verileri silmeyen veya anonim hâle getirmeyenler 5237 sayılıKanun’un 138. maddesine göre cezalandırılacaktır. Kişisel verileri hukukaaykırı olarak başkasına verme, yayma veya ele geçirme suçu ise 5237 sayılıKanun’un 136. maddesi uyarınca cezalandırılacaktır. Bu bağlamda dava konusukurallar kapsamında işlenecek verilerin amacı dışında kullanılmasını vekişilerin özel hayatına dair bilgilerin ve kişisel verilerin ifşa edilmesiniönleyecek yasal güvencelerin sağlandığı görülmektedir. Dava konusu kurallardakişisel verilerin korunması hakkına sınırlama getirilirken Kanun’da sınırlamaaracının sınırlama amacına uygun ve orantılı şekilde kullanılmasını sağlayacakyasal güvencelere de yer verildiği, böylece hem özel hayatın gizliliği vekişisel verilerin korunması haklarının özünün zedelenmesinin önlendiği, hem debu haklar ile ülkede genel sağlığın sağlanmasına yönelik önlemler arasındakimakul dengenin kurulduğu görülmektedir.

174. Dolayısıyla dava konusu (1) ve (2) numaralı fıkralardakişisel verilerin korunmasını isteme hakkının özüne dokunan ya da bu hakkıölçüsüz şekilde sınırlandıran bir husus bulunmamaktadır. Kurallarla söz konusuverileri işleme yetkisinin amacı ve faaliyet alanı belirlenmiş ve bu şekildekamu yararı ile özel hayatın gizliliği ve kişisel verilerin korunması haklarıarasında adil bir denge kurulmuştur. Bu nedenle dava konusu kurallardaöngörülen sağlık verilerinin işlenmesi yetkisinin ölçülülük ilkesine aykırı biryönü bulunmamaktadır.

175. Maddenin (3) numaralı fıkrasında Bakanlığın ikinci fıkragereğince toplanan ve işlenen kişisel verilere, ilgili kişilerin kendilerininveya yetki verdikleri üçüncü kişilerin erişimlerini sağlayacak bir sistem kuracağı;(4) numaralı fıkrasında, üçüncü fıkraya göre kurulan sistemlerin güvenliği vegüvenilirliği ile ilgili standartların Kişisel Verileri Koruma Kurulununbelirlediği ilkelere uygun olarak Bakanlıkça belirleneceği, Bakanlığın bu Kanunuyarınca elde edilen kişisel sağlık verilerinin güvenliğinin sağlanması içingerekli tedbirleri alacağı, bu amaçla sistemde kayıtlı bilgilerin hangi görevlitarafından ne amaçla kullanıldığının denetlenmesine imkân tanıyan bir güvenliksistemi kuracağı; (5) numaralı fıkrasında ise sağlık personeli istihdam edenkamu kurum ve kuruluşları ile özel hukuk tüzel kişileri ve gerçek kişilerinistihdam ettiği personeli ve personel hareketlerini Bakanlığa bildirmekleyükümlü olduğu hüküm altına alınmıştır.

176. Dava konusu kurallarla kanun koyucunun KHK’nın 47. maddesinin(1) ve (2) numaralı fıkraları gereğince toplanan ve işlenen kişisel verilere,ilgili kişilerin kendilerinin veya yetki verdikleri üçüncü kişilerinerişimlerini sağlayacak bir sistemin kurulması ile kurulacak bu sistemingüvenliği ve güvenilirliğinin sağlanmasına yönelik ilke ve tedbirlerinbelirlenmesi suretiyle özel nitelikli kişisel veri kategorisindeki sağlıkverilerini daha özel olarak koruma altına almayı amaçladığıanlaşılmaktadır. Kanun koyucunun, kamu yararı amacıyla sağlığa ilişkinkişisel verilerin korunmasının önemini dikkate alarak bu verilerin güvenliğininsağlanmasına yönelik olarak düzenlediği anlaşılan dava konusu kurallarınAnayasa’ya aykırı bir yönü bulunmamaktadır.

177. AİHM’nin kararlarında da kişisel sağlık verilerineizinsiz erişilmesine karşı etkin ve somut bir korumanın önemi vurgulanarak kamukurumları ve devletin bu verilerin gizliliğini güvence altına alabilmek içinkişisel verileri koruyacak kuralları yürürlüğe koyma ve gerekli güvencelerisağlama yükümlülüğü altında olduğu ifade edilmiş ve kişisel sağlık verilerinisaklamakta başarısız olunması veya bu bilgilere erişime engel olacak güvenli vesağlam bir sistem kurulamamasının AİHS’nin ihlali olarak değerlendirildiğigörülmektedir. (I/Finlandiya, B.No: 20511/03, 17.07.2008).

178. Maddenin (6) numaralı fıkrasında kişisel sağlık verilerininişlenmesi, güvenliği ve maddenin uygulanması ile ilgili diğer hususlarınBakanlıkça yürürlüğe konulan yönetmelikle düzenleneceği belirtilmektedir.

179. Anayasa’nın 7. maddesinde yasama yetkisinin Türk Milletiadına Türkiye Büyük Millet Meclisine ait olduğu ve bu yetkinindevredilemeyeceği öngörülmüştür. Anayasa’da kanun ile düzenlenmesi öngörülenkonularda yürütme organına genel ve sınırları belirsiz bir düzenleme yetkisininverilmesi mümkün değildir. Anayasa’nın 20. maddesinde kişisel verilerin ancakkanunda öngörülen hâllerde veya kişinin açık rızasıyla işlenebileceğiöngörülmüştür.

180. Kanunla düzenleme ilkesi, düzenlenen alanda temel ilkelerin kanunlakonulmasını ve çerçevenin kanunla çizilmesini ifade etmektedir. Gelişen koşulve durumlara göre sık sık değişik önlemler alma, bunları kaldırma ve süratlibiçimde hareket etme zorunluluğunun bulunduğu alanlarda yasama organının temelkuralları saptadıktan sonra uzmanlık ve idare tekniğine ilişkin hususlarıyürütmeye bırakması, yasama yetkisinin devri olarak yorumlanamayacağı gibiyürütme organının yasama organı tarafından çerçevesi çizilmiş alanda ve değişenkoşullara uyum sağlayabilecek esnekliğe sahip kriterlere uygun olarak genelnitelikte hukuksal tasarruflarda bulunması, kanunla düzenleme ilkesineaykırılık oluşturmaz ve yasama yetkisinin devri olarak yorumlanamaz.

181. Maddenin (1), (2), (3), (4) ve (5) numaralı fıkralarındasağlık hizmetinin gereği olarak verilmesi zorunlu kişisel verilerin işlenmesive güvenliğine ilişkin genel çerçevenin belirlendiği; hem kişiler hem de idareyönünden herhangi bir duraksamaya ve kuşkuya yer vermeyecek şekilde açık, net,anlaşılır, uygulanabilir olduğu ve kamu otoritelerinin keyfî uygulamalarınakarşı koruyucu önlem içerdiği açıktır. Dolayısıyla kanun koyucunun temelesasları ve ilkeleri belirleyip sınırları çizdikten sonra bazı teknik konularındüzenlenmesini idareye bıraktığı dava konusu kuralın belirsiz olduğusöylenemeyeceği gibi yasama yetkisinin devredilmezliği ilkesine aykırı bir yönüde bulunmamaktadır.

182. Açıklanan nedenlerle kural Anayasa’nın 2., 5., 7., 13., 17.,20. ve 56. maddesine aykırı değildir. İptal talebinin reddi gerekir.

183. Engin YILDIRIM, Serdar ÖZGÜLDÜR, Serruh KALELİ ile OsmanAlifeyyaz PAKSÜT bu görüşe katılmamışlardır.

184. Kuralın Anayasa’nın 90. maddesiyle ilgisi görülmemiştir.

IV. YÜRÜRLÜĞÜN DURDURULMASI TALEBİ

185. Dava dilekçesindeözetle iptali istenen kuralların Anayasa’ya açıkça aykırı olduğu veyürürlüklerinin durdurulmaması hâlinde hukuk devleti yönünden giderilmesiolanaksız durum ve zararların ortaya çıkacağı belirtilerek kurallarınyürürlüklerinin durdurulmasına karar verilmesi gerektiği ileri sürülmüştür.

24.03.2016 tarihli ve 6698 sayılı Kişisel Verilerin KorunmasıKanunu’nun;

A. 4. maddesinin (2) numaralı fıkrasının (d) bendinde yeralan “…veya işlendikleri amaç için gerekli olan…” ibaresine,

B. 5. maddesinin (2) numaralı fıkrasının (c), (ç), (e) ve (f)bentlerine,

C. 6. maddesinin;

1. (1) numaralı fıkrasında yer alan “…mezhebi,…” ve “…kılıkve kıyafeti…” ibarelerine,

2. (3) numaralı fıkrasına,

D. 7. maddesinin (2) numaralı fıkrasına,

E. 8. maddesinin (3) numaralı fıkrasına,

F. 9. maddesinin (6) numaralı fıkrasına,

G. 13. maddesinin (2) numaralı fıkrasının ikinci cümlesine,

H. 15. maddesinin (3) numaralı fıkrasında yer alan “Devletsırrı niteliğindeki bilgi ve belgeler hariç…” ibaresine,

I. 16. maddesinin (2) numaralı fıkrasının ikinci cümlesine,

J. 24. maddesinin (3) numaralı fıkrasının (b) bendinde yeralan “...Kurulca gerekli görülenlerin…” ibaresine,

K. 28. maddesinin (1) numaralı fıkrasının (a) ve (ç) bentlerine,

L. 30. maddesinin (7) numaralı fıkrası ile değiştirilen11.10.2011 tarihli ve 663 sayılı Sağlık Bakanlığı ve Bağlı KuruluşlarınınTeşkilat ve Görevleri Hakkında Kanun Hükmünde Kararname'nin 47.maddesine yönelik iptal talepleri, 28.9.2017 tarihli, E.2016/125,K.2017/143 sayılı kararla reddedildiğinden, bu madde, fıkra, bent, cümle veibarelere ilişkin yürürlüğün durdurulması taleplerininREDDİNE, 28.9.2017tarihinde OYBİRLİĞİYLE karar verilmiştir.

V. HÜKÜM

24.03.2016 tarihli ve 6698 sayılı Kişisel Verilerin KorunmasıKanunu’nun;

A. 4. maddesinin (2) numaralı fıkrasının (d) bendinde yeralan “…veya işlendikleri amaç için gerekli olan…” ibaresinin, Anayasa’yaaykırı olmadığına ve iptal talebinin REDDİNE OYBİRLİĞİYLE,

B. 5. maddesinin (2) numaralı fıkrasının (c), (ç), (e) ve (f)bentlerinin Anayasa’ya aykırı olmadıklarına ve iptal taleplerinin REDDİNEOYBİRLİĞİYLE,

C. 6. maddesinin;

1. (1) numaralı fıkrasında yer alan “…mezhebi,…” ve “…kılıkve kıyafeti…” ibarelerinin Anayasa’ya aykırı olmadıklarına veiptal taleplerinin REDDİNE, Serdar ÖZGÜLDÜR, Serruh KALELİ ile OsmanAlifeyyaz PAKSÜT’ün karşıoyları ve OYÇOKLUĞUYLA,

2. (3) numaralı fıkrasının Anayasa’ya aykırı olmadığına veiptal talebinin REDDİNE, Engin YILDIRIM, Serdar ÖZGÜLDÜR, Serruh KALELİile Osman Alifeyyaz PAKSÜT’ün karşıoyları ve OYÇOKLUĞUYLA,

D. 7. maddesinin (2) numaralı fıkrasının Anayasa’ya aykırıolmadığına ve iptal talebinin REDDİNE OYBİRLİĞİYLE,

E. 8. maddesinin (3) numaralı fıkrasının Anayasa’ya aykırıolmadığına ve iptal talebinin REDDİNE OYBİRLİĞİYLE,

F. 9. maddesinin (6) numaralı fıkrasının Anayasa’ya aykırıolmadığına ve iptal talebinin REDDİNE OYBİRLİĞİYLE,

G. 13. maddesinin (2) numaralı fıkrasının ikincicümlesinin Anayasa’ya aykırı olmadığına ve iptal talebinin REDDİNEOYBİRLİĞİYLE,

H. 15. maddesinin (3) numaralı fıkrasında yer alan “Devletsırrı niteliğindeki bilgi ve belgeler hariç…” ibaresinin Anayasa’yaaykırı olmadığına ve iptal talebinin REDDİNE OYBİRLİĞİYLE,

I. 16. maddesinin (2) numaralı fıkrasının ikincicümlesinin Anayasa’ya aykırı olmadığına ve iptal talebininREDDİNE, Engin YILDIRIM, Serdar ÖZGÜLDÜR, Serruh KALELİ ile OsmanAlifeyyaz PAKSÜT’ün karşıoyları ve OYÇOKLUĞUYLA,

J. 24. maddesinin (3) numaralı fıkrasının (b) bendinde yeralan “...Kurulca gerekli görülenlerin…” ibaresinin Anayasa’yaaykırı olmadığına ve iptal talebinin REDDİNE, OYBİRLİĞİYLE,

K. 28. maddesinin (1) numaralı fıkrasının (a) ve (ç)bentlerinin Anayasa’ya aykırı olmadıklarına ve iptal taleplerinin REDDİNEOYBİRLİĞİYLE,

L. 30. maddesinin (7) numaralı fıkrası ile değiştirilen11.10.2011 tarihli ve 663 sayılı Sağlık Bakanlığı ve Bağlı KuruluşlarınınTeşkilat ve Görevleri Hakkında Kanun Hükmünde Kararname'nin 47.maddesinin Anayasa’ya aykırı olmadığına ve iptal talebininREDDİNE, Engin YILDIRIM, Serdar ÖZGÜLDÜR, Serruh KALELİ ile OsmanAlifeyyaz PAKSÜT’ün karşıoyları ve OYÇOKLUĞUYLA,

28.9.2017 tarihinde karar verildi.

Başkan

Zühtü ARSLAN

Başkanvekili

Burhan ÜSTÜN

Başkanvekili

Engin YILDIRIM

Üye

Serdar ÖZGÜLDÜR

Üye

Serruh KALELİ

Üye

Osman Alifeyyaz PAKSÜT

Üye

Recep KÖMÜRCÜ

Üye

Hicabi DURSUN

Üye

Celal Mümtaz AKINCI

Üye

Muammer TOPAL

Üye

M. Emin KUZ

Üye

Hasan Tahsin GÖKCAN

Üye

Kadir ÖZKAYA

Üye

Rıdvan GÜLEÇ

Üye

Recai AKYEL

Üye

Yusuf Şevki HAKYEMEZ

KARŞIOY GÖRÜŞÜ

A. 6698 Sayılı Kişisel Verilerin Korunması Kanunu’nun 6.Maddesinin Üçüncü Fıkrası Yönünden

1. Dava konusu kural, cinsel hayata ve sağlığa ilişkinkişisel verilerin ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbiteşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ilefinansmanının planlanması ve yönetimi amacıyla sır saklama yükümlülüğü altındabulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açıkrızası aranmaksızın işlenebileceğini düzenlemektedir.

2. Devletin kamu sağlığının korunması, koruyucu hekimlik, tıbbiteşhis, tedavi ve bakım hizmetlerinin yürütülmesi amaçlarıyla bazı verilereihtiyaç duyması ve bunun için ilgili kişilerin açık rızasını aramaması bir aniçin kabul edilebilir olsa bile aynı şeyi sağlık hizmetleri ile finansmanınınplanlanması ve yönetimi amaçları doğrultusunda kişilerin sağlık ve cinselhayatlarına ilişkin hassas kişisel verilerin açık rıza olmadan işlenmesi içinsöyleyemeyiz.

3. Cinsel hayata ve sağlığa ilişkin özel nitelikli hassas verilerkişinin özel hayatına ait en mahrem bilgileri de içerdiğinden bunların ancakaçık rıza ile işlenmesi gerekmektedir. Kişiler, bu tür bilgilerin kendirızaları dışında kaydedilmesinden, toplanması, aktarılması ve işlenmesindenendişe duyarak bazı temel hak ve hürriyetlerini kullanmaktan kaçınabileceklerigibi sağlık hizmeti almakta tereddüt yaşayabilirler.

4. Anayasa’nın 20. maddesinin birinci fıkrasında “Herkes, özelhayatına ve aile hayatına saygı gösterilmesini isteme hakkına sahiptir. Özelhayatın ve aile hayatının gizliliğine dokunulamaz.” denilerek özel hayatıngizliliği güvence altına alınmıştır. Maddenin üçüncü fıkrasında ise herkesinkendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahip olduğu, buhakkın kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, buverilere erişme, bunların düzeltilmesini veya silinmesini talep etme veamaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsadığı hükmebağlanarak kişisel verilerin ancak kanunda öngörülen hallerde veya kişinin açıkrızasıyla işlenebileceği ve kişisel verilerin korunmasına ilişkin esas veusullerin kanunla düzenleneceği belirtilmiştir.

5. Cinsel hayata ve sağlığa ilişkin özel nitelikli hassas kişiselverilerin işlenmesinde temel ilke ilgilinin açık rızasının bulunmasıdır. İptaliistenen kuralla bu kişisel verilerin ilgilinin açık rızası olmaksızınişlenebileceği hâller belirtilmek suretiyle yukarıda ifade edilen temel ilkeyeistisna getirilmiştir. Özel nitelikli hassas kişisel veri olduğundan en küçükşüphe duyulmayan sağlık ve cinsel hayata ilişkin verilerin belirtilen hallerdeilgilinin açık rızası olmadan işlenebileceğini düzenleyen kuralla özel hayatıngizliliği ve kişisel verilerin korunması haklarına bir müdahalede bulunulmaktadır.

6. Bu müdahale söz konusu hakların kullanılmasını son derecezorlaştırmadığı veya onları kullanılamaz hale getirmediğinden hakkın özünedokunmamakla beraber, müdahalenin demokratik toplum düzeninin gerekleri ileölçülülük ilkesine uygun olup olmadığının değerlendirilmesi gerekmektedir.

7. Anayasa’nın 13. maddesinde, temel hak ve özgürlüklerin özlerinedokunulmaksızın ölçülülük ilkesine uygun şekilde, yasaylasınırlandırılabileceği belirtilmektedir. Ölçülülük ilkesi sınırlamadabaşvurulan aracın sınırlama amacını gerçekleştirmeye elverişli olmasını;bu aracın sınırlama amacı açısından gerekli olmasını ve araçlaamacın ölçüsüz bir oran içinde bulunmamasını ifade eder.Burada kısıtlama için kullanılan araçla amaç arasında hak ve özgürlüğü en azsınırlayacak dengeli bir orantı aranmaktadır.

8. Elverişlilik ölçütüne göre bir yasal düzenlemenin sınırlamaamacı bakımından elverişli sayılması için bu düzenlemenin arzulanan amaca katkıyapması gerekmektedir. İncelediğimiz kural bu niteliği kısmen taşımaktadır.Gereklilik ise bir temel hakkı en az sınırlayan aracın seçilmesinigerektirmekle birlikte dava konusu kuralın, hakkı en az sınırlayan yumuşak biraraç olduğunu söylemek mümkün değildir. Çünkü söz konusu kural, çok geniş veadeta sınırsız bir çerçeveyi kapsayarak bireyin neredeyse her türlü özelnitelikli hassas sağlığa ve cinsel hayata ilişkin kişisel verisinin toplanması,aktarılması ve işlenmesini kapsamı dâhilinde görmektedir.

9. Kuralın, Anayasa’nın amir hükümleri gereğince genel sağlığınkorunması amacına dönük olarak kamu yararı taşıdığı açıktır ancak kuralın özelhayatın gizliliği ve kişisel verilerin korunması hakları ile toplum sağlığınınkorunmasına yönelik önlemler arasındaki makul bir denge kurmayarak, birincisiniikincisine feda ettiğini ifade etmek mümkündür.

10. Özel hayatın gizliliği ve bu kapsamda özel nitelikli hassaskişisel verilerin korunması konusu her şeyden önce insan onuruna saygı vekişilik haklarına dayanmaktadır. Bu hak, kişinin saygınlığını ve kişiliğiniserbestçe geliştirmesini mümkün kılan şeref ve haysiyet, özel yaşam ve sağlıkgibi kişisel değerler üzerindeki çıkarlarını belirterek, bireye kişiliğinidilediği şekilde, serbestçe geliştirebileceği, kendisi ve sevdikleriyle birarada olabileceği özerk bir yaşam alanına sahip olma şansı vermektedir. Bualanda birey, maddi ve manevi kişiliğini geliştirmek ve başkaları tarafındanbilinmesini istemediği hususların güvence altına alınmasını istemek hakkınasahiptir.

11. Kişisel verilerin toplanması ve işlenmesi sırasında bireyin buveriler üzerindeki hakkı, onun devlet veya üçüncü kişiler tarafından sıradanbir veri nesnesine indirgenmesini önlemek amacını taşımaktadır. Sağlık vecinsel hayatla ilgili özel nitelikli hassas kişisel verilerin ilgili kişininaçık rızası olmadan toplanması, işlenmesi ve aktarılması, kişinin basit birveri nesnesi olarak değerlendirilmesine yol açtığından insan haysiyetini zedelemektedir.Bireyin, ahlaki ve toplumsal kişiliğinin gelişiminde ve diğer insanlarla olanilişkilerini düzenlemede önemli bir kavram olan mahremiyetin ihlali insanhaysiyetinin ve kişiliğinin ihlali anlamına gelmektedir.

12. Hassas kişisel verilerin korunması kişinin maddi vemanevi varlığını geliştirmesine imkân tanıyarak, bireyin hayatını kendi özgüriradesiyle düzenlemesine katkı sağlamaktadır. Bireyin özel nitelikli hassaskişisel verileri üzerindeki hakkı yeteri kadar korunmazsa, kişiliğini serbestçegeliştirmesi zora gireceğinden, özgür iradeleriyle yaşamlarını biçimlendirenbireylerden oluşan demokratik bir toplum düzeninin ortaya çıkması ve korunmasıda güçleşecektir.

13. Anayasa’nın 20. maddesinde kişisel verilerin ancak kanundaöngörülen hallerde veya kişinin açık rızasıyla işlenebileceği ve kişiselverilerin korunmasına ilişkin esas ve usullerin kanunla düzenleneceğibelirtilmekle beraber dava konusu kural sağlık ve cinsel hayatla ilgili özelnitelikli hassas kişisel verilerle ilgili olduğundan bunların toplanması,aktarılması ve işlenmesinde ilgili kişinin açık rızasınınaranmaması demokratik toplum düzeninin gereklerine ve ölçülülük ilkesineaykırılık taşımaktadır. “Kanunda öngörülen haller” ibaresi hertürlü kişisel verinin rıza olmadan işlenmesine imkân tanıyan açık bir çekolarak yorumlanmamalıdır.

14. Sonuç olarak kuralın Anayasa’nın 20. ve 13. maddelerine aykırıolduğu gerekçesiyle karara muhalif kalınmıştır.

B. Kanun’un 16. Maddesinin İkinci Fıkrasının İkinci CümlesiYönünden

1. İptali istenen kuralın yer aldığı maddede Kurulungözetiminde, Başkanlık tarafından kamuya açık olarak Veri Sorumluları Sicilitutulacağı ve kişisel verileri işleyen gerçek ve tüzel kişilerin veri işlemeyebaşlamadan önce Veri Sorumluları Siciline kaydolmak zorunda olduğu hüküm altınaalınmıştır. Dava konusu kural ise işlenen kişisel verinin niteliği, sayısı,veri işlemenin kanundan kaynaklanması veya üçüncü kişilere aktarılma durumugibi Kurulca belirlenecek objektif kriterler göz önüne alınmak suretiyle Kurultarafından, Veri Sorumluları Siciline kayıt zorunluluğuna istisnagetirilebileceğini öngörmektedir.

2. Kişisel verileri işleyen gerçek ve tüzel kişiler veri işlemeyebaşlamadan önce Veri Sorumluları Siciline Kaydolmak Zorundadır. Bu sicilkişisel verilerin kimler ve hangi kuruluşlar tarafından işlendiğini gösterenbir listedir. Getirilen istisna sayesinde kuruluş kanunu ile kendisine kişiselverileri toplama yetkisi verilen kurumlar kişisel verileri toplarken kanundadüzenlendiği gerekçesiyle kişinin açık rızasını aramadan da bu işlemleriniyapabilecektir.

3. Birey kişisel verisinin kim tarafından işlendiğini görmek içinveri sorumluları siciline bakmak istediğinde kanundan kaynaklanan istisnaidüzenlemeden yararlanılması durumunda bunu öğrenemeyeceği gibi listede yeralmayan veri sorumlusunun kişisel verileri üçüncü kişilere aktarıp,aktarmadığını da bilemeyecektir.

4. Kuralla getirilen istisna kişisel verileri işlenen kişiyikorumasız hâle getirdiğinden hukuk devleti ilkesi ile bağdaşmamaktadır. Bunedenle Anayasa’nın 2. maddesine aykırılık taşıdığı düşüncesindeyim.

C. Kanun’un 30. Maddesinin (7) Numaralı Fıkrası ile Değiştirilen663 Sayılı Kanun Hükmünde Kararname’nin 47. Maddesinin Birinci, İkinci veÜçüncü Fıkraları Yönünden

Dava konusu kuralın birinci, ikinci ve üçüncü fıkralarınınyukarıda (A) başlığı altında yazılan gerekçelerle Anayasa’ya aykırıolduğu kanaatine varılmıştır.

KARŞI OY GEREKÇESİ

I.24.3.2016 tarih ve 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun “Özel nitelikli kişisel verilerinişlenme şartları” başlıklı 6 ncı maddesinin, iptal istemine konu (1) numaralıfıkrasında yer alan “…mezhebi…” ve “…kılıkve kıyafeti…” ibarelerinin, fıkrada yer alan diğer unsurlarlabirlikte “özel nitelikli (hassas) veri” olarak kabuledildiği, gerek madde metninden, gerek madde gerekçesinden anlaşılmaktadır.Kanun’un 6 ncı maddesinin (1) ve (2) numaralı fıkra metinlerinden, kişilerin“mezhebi” ve “kılık ve kıyafeti”nin, kendilerinin açık rızası olmaksızınişlenemeyeceği gibi bir anlam çıkıyorsa da, maddenin yine iptal istemine konu(3) numaralı fıkrasında sayılan birçok durumda bu kurala istisna getirilmişve “Kanunlarda öngörülen hallerde” kişilerin “mezhebi” ile“kılık ve kıyafetinin” de işlenebileceği hükme bağlanmıştır. Her ne sebep vegerekçeye dayanırsa dayansın, kişilerin “mezhebi” ile “kılık ve kıyafeti” gibihassas verilerin bir şekilde işlenmesine (kaydedilmesi, başka kurum vebirimlerle paylaşılması, kategorize edilmesi vb.) imkân tanıyan yasaldüzenlemenin Anayasa’nın 2., 20., 24. ve 25. maddeleri ile bağdaştırılmasınaimkân yoktur. Toplumun hassas bir yönü olan işaret edilen hususların(verilerin) değil işlenmesi, kaydının tutulması dahi Anayasaya açık aykırılıklamalüldür. Ülkemizin yakın tarihine bakıldığında da, vahim toplumsalçatışmaların çıkmasına neden olan bir konunun “kişisel veri” olarak kabulü vegeniş istisnalar tanınarak işlenmesine imkân tanınmasının hukuk devleti kavramıile de bağdaşır bir yönü bulunmamaktadır.

Avrupa Konseyi’nin 108 sayılı “KişiselNitelikli Verilerin Otomatik İşleme Tabi Tutulması Karşısında ŞahıslarınKorunmasına Dair Sözleşme”sinin, (1) numaralı fıkrasında “Dini veya felsefiinançları” özel veri kabul edilmiş; ancak metinde “mezhep”kavramına yer verilmemiş; istisnaları düzenleyen (2) numaralı fıkrasında da, buözel verilerin işlenebileceği haller arasında, iptal istemine konu (3) numaralıfıkradaki gibi geniş bir takdir yetkisi tanınmamıştır. Dolayısiyle, kuralınAvrupa Birliği ilkeleri ile uyumlu olduğundan da söz edilemez.

6 ncı maddenin iptal istemine konu (3) numaralıfıkrasında, yukarıda açıklandığı gibi hem “mezhep” ile “kılık ve kıyafet” gibikişisel verilerin rahatça işlenmesine yol açacak istisna hükümlerine yerverilmiş, hem de “sağlık ve cinsel hayata ilişkin kişisel verilerin” bir çokhalde (hemen hemen sağlık birimlerinin uygun göreceği her durumda) ilgilikişinin açık rızası aranmaksızın işlenebileceği ifade edilmiştir. SağlıkBakanlığı ve bağlı kuruluşlarına, görevlerini yürütebilmeleri için gerekli olanbilgileri toplama, işleme, paylaşma yetkisi veren kuralın (663 sayılı KHK’nin47. maddesinin 1, 2 ve 3 numaralı fıkralarının) iptali istemi ile açılan davadaAnayasa Mahkemesi 4.12.2014 tarih ve E.2013/114, K.2014/184 sayılı kararında,şu gerekçeyle kuralların iptaline karar vermiştir: “…663 sayılı KHK’nın 47.maddesinin dava konusu (1) numaralı fıkrasıyla Bakanlık ve bağlı kuruluşlarına,mevzuatla kendilerine verilen görevleri, e-devlet uygulamalarına uygun olarakdaha etkin ve daha hızlı biçimde yerine getirebilmeleri amacıyla bütün kamu veözel sağlık kurum ve kuruluşlarından; sağlık hizmeti alanların, hizmetin gereğiolarak ilgili sağlık kurum ve kuruluşuna vermek zorunda oldukları kişiselbilgileri ve bu kimselere verilen hizmete ilişkin bilgileri her türlü vasıtaylatoplama, işleme ve paylaşma yetkisi verilmektedir. Verilen yetkiyle özelhayatın ve kişisel verilerin korunması haklarına bir sınırlama getirildiği açıkolup, bu sınırlama, demokratik toplum düzeni bakımından alınması gerekentedbirler kapsamında kalmaktadır… Ancak kuralda söz konusu kişisel bilgilerin‘her türlü vasıtayla’ toplanmasına, işlenmesine ve paylaşılmasına izinverilmesi, sınırlamayı, öngörülme amacının ötesinde kişisel bilgileringizliliğinin keyfi şekilde ihlâl edilmesi sonucunu doğurabilecek bir aracadönüştürmektedir. Bu ise sınırlama aracıyla sınırlamaamacı arasında bulunması gereken makul dengeyi bozmakta, özel hayatınve kişisel verilerin korunmasını isteme haklarına kuralda belirtilen sınırlamaamacı dışında ölçüsüz bir şekilde müdahale edilebilmesine imkân tanımaktadır… 47.maddenin dava konusu (2) numaralı fıkrasında da (1) numaralı fıkrada belirtilenyöntemlerle toplanan ve işlenen verilerin, ilgili üçüncü kişiler ile kamu kurumve kuruluşlarıyla paylaşılması öngörüldüğünden, yukarıda belirtilen aynıgerekçelerle bu düzenleme de ölçülülük ilkesini ihlâl etmektedir… 47. maddenindava konusu (3) numaralı fıkrasında ise Bakanlık ve bağlı kuruluşlarının,mevzuatla kendilerine verilen görevleri yerine getirebilmek için gerekenbilgileri, kamu ve özel ilgili bütün kişi ve kuruluşlardan istemeye yetkiliolduğu ve ilgili kişi ve kuruluşların istenilen bilgileri vermekle yükümlüoldukları düzenlenmektedir. Bakanlık ve bağlı kuruluşlarına verilengörevler çok geniş bir alanı kapsamakta olup, bu görevlerin tamamının kişilerinözel hayatlarına müdahale edilmesini gerektirecek bir toplumsal zorunluluğubünyesinde barındırdığı söylenemez. Dolayısiyle dava konusu kuralla sadecedemokratik toplum düzeni yönünden zorunlu olan sınırlamalara değil, özelhayatın ve kişisel verilerin korunması haklarına yapılabilecek her türlüsınırlamaya izin verilmesi, bir başka ifadeyle, kuralda anılan haklarasınırlama getirilirken sınırlama aracının sınırlama amacına uygun ve orantılıolarak kullanılmasını temin edecek güvencelere yer verilmemesi ölçülülükilkesine aykırı düşmektedir. Açıklanan nedenlerle dava konusu kurallarAnayasa’nın 2., 13. ve 20. maddelerine aykırıdır. İptali gerekir…” İptalistemine konu (3) numaralı fıkranın incelenmesinde, “Sağlık ve cinsel hayatailişkin kişisel veriler”in, maddede sayılan pek çok halde, “sır saklamayükümlülüğü altında bulunan kişiler” veya “yetkili kurum ve kuruluşlar”tarafından, ilgilinin açık rızası aranmaksızın işlenebileceği hüküm altınaalınmaktadır. Kural, bu haliyle, Anayasa Mahkemesinin yukarıda işaret edileniptal kararına açıkça aykırı düştüğü gibi, kişi hakkında sağlık bilgilerinesahip olup, bunu kayıtla yükümlü olan ilgili hekim ve sağlık kuruluşu dışındamerkezi bir kayıt tutma (işleme) ve bunu başka kişi veya birimlerle paylaşmagibi istisnalar (imtiyazlar) getirmesi itibariyle Anayasa’nın 2., 13. ve 20.maddelerine aykırılıkla malûldür. Keza, kişilerin cinsel hayatına ilişkin durumve tercihlerinin işlenmesi imkânı tanınması aynı nedenlerle Anayasa’yaaykırıdır.

II. 6698sayılı Kanun’un “Veri sorumluları sicili” başlıklı 16 ncı maddesinin iptalistemine konu (2) numaralı fıkrasıyla, (1) numaralı fıkrada öngörülen kamuyaaçık “Veri sorunluları sicili” ne tüm kişisel veri işleyen gerçek ve tüzelkişilerin kaydedilmesi zorunluluğuna istisnalar getirilmekte ve işlenen kişiselverilerin niteliği, sayısı, veri işlemenin kanundan kaynaklanması veya üçüncükişilere aktarılma durumu gibi Kurulca belirlenecek kriterler göz önüne alınmaksuretiyle, Kurul tarafından, Veri Sorumluları Siciline kayıt zorunluluğunaistisna getirilebileceği belirtilmektedir. Kişisel verileri kaydedip işleyenkimi görevliler yönünden getirilen bu istisna, ilgili görevlileri koruyacakancak hakkındaki veriler işlenen kişileri tamamen korumasız duruma getirecek,haksız ve sübjektif nedenlerle veri işlendiği iddiasıyla yasal yollarınkullanılması halinde dava edilecek bir muhatap bile bulunamayacaktır. Kişiselverilerin işlenmesi gibi çok önemli bir idari fonksiyonu ifade eden kişileryönünden getirilen ve imtiyaz mahiyetindeki bu kuralın hukuk devleti ilkesi ilebağdaştırılabilmesi imkânı bulunmamaktadır. Dolayısiyle kural Anayasa’nın 2.maddesine aykırıdır.

III. 6698sayılı Kanun’un 30. maddesinin (7) numaralı fıkrası ile değiştirilen 11.10.2011 tarih ve 663 sayılı Sağlık Bakanlığı ve Bağlı Kuruluşlarının Teşkilat veGörevleri Hakkında Kanun Hükmünde Kararname’nin 47. maddesi de, “KarşıoyGerekçesi”nin (I) no’lu başlığındaki gerekçelerle Anayasa’nın, 13. ve 20.maddesine aykırı düşmektedir.

Yukarıdaki açıklanan nedenlerle, anılankuralların iptaline karar verilmesi gerektiği kanaatine ulaştığımızdan, aksiyöndeki çoğunluk kararına katılmıyoruz.

Üye

Serdar ÖZGÜLDÜR

Üye

Serruh KALELİ

KARŞIOY YAZISI

I. GİRİŞ

1. 24.3.2016 tarihli ve 6698 sayılı Kişisel verilerin KorunmasıKanunu’nun,

- 6. maddesinin (1) numaralı fıkrasında yer alan “…mezhebi…” ve“…kılık ve kıyafeti…” ibarelerinin,

- (3) numaralı fıkrasının,

- 16. maddesinin (2) numaralı fıkrasının ikinci cümlesinin,

- 30. maddesinin (7) numaralı fıkrası ile değiştirilen 663 sayılıSağlık Bakanlığı ve Bağlı Kuruluşlarının Teşkilat ve Görevleri Hakkında KanunHükmünde Kararname’nin 47. maddesinin,

Anayasa’ya aykırı olmadıklarına dair çoğunluk görüşünekatılmamaktayım. Karşıoy gerekçelerim aşağıda maruzdur.

II. GENEL AÇIKLAMALAR

2. Anayasa’ya aykırılık iddiasıyla iptali istenen kurallarınincelenmesi, öncelikle bahse konu kural veya kuralların anlam ve kapsamınıntesbitini gerektirir. Bir kuralın, içinde yer aldığı yasanın veya diğeryasaların ilgili maddeleriyle birlikte uygulandığında Anayasa’ya aykırısonuçlara yol açıp açmadığının değerlendirilmesi yapılmadan, iptal talebinekonu edilen kuralın Anayasa’ya uygunluğu konusunda hükme ulaşılamaz. Birsözcük, ibare veya cümlenin, veya bir rakamın atıf yaptığı veya kapsamıitibariyle sirayet ettiği diğer kuralların, anlam ve işlerlik kazandığı veyakazandırdığı diğer kurallarla birlikte değerlendirilmesi Anayasa’ya aykırılıksonucunu ortaya koyabileceği gibi, ilk bakışta Anayasa’ya aykırı olduğuizlenimi veren bir kuralın da birlikte uygulanacağı, aynı yasadaki veya başkayasalardaki farklı hükümler nedeniyle, Anayasa’ya aykırı olmadığı sonucuna davarılabilir.

3. İnceleme konusu 6698 sayılı Kişisel Verilerin Korunması Kanunu,büyük ölçüde Avrupa Birliği mevzuatından iktibas edilmek suretiyle, sistematikbir yaklaşım içerisinde düzenlenmiştir. Kanunda amaç, kapsam ve tanımlar;kişisel verilerin işlenmesi ilkeleri ve işlenmesi şartları; haklar veyükümlülükler; başvuru, şikayet ve veri sorumluları sicili; suçlar vekabahatler ve nihayet, Kişisel Verileri Koruma Kurulu düzenlenmiştir. Yasadakihükümlerin pek çoğu diğerlerine işlerlik ve anlam kazandıran veya diğerlerineistisna getiren hükümler olup, iptal istemine konu kurallar özellikle böyledir.

4. Bu nedenle, iptal istemlerine konu olan kurallar yönünden birdenetim yapabilmek için Kanunun iptal istemine konu olmayan ilgili kurallarınınve koşullarının 6698 sayılı bu Kanun’daki güvenceleri etkisiz kılıp kılmayacağıyönünden değerlendirme yapılmalıdır. Aksi halde kişisel verilerin korunmasıiçin somut ve etkili görünen düzenlemelerin içi boşaltılmış olacak, kanundakigenel ilkeler birer temenni, kurulan yeni kurullar da bürokratik ve hantalyapılardan ibaret kalabilecektir.

5. Kanunlar kamu yararı amacıyla çıkarıldığında ve ancak birkanunun kamu yararını gerçekleştirmeye elverişli olup olmadığının denetiminin,Anayasa Mahkemesinin yetkisi dışında olduğunda kuşku yoktur. Diğer birifadeyle, kamu yararını gerçekleştirmeye elverişli olmayan bir kanun da yasakoyucunun takdir yetkisi içinde kalmak ve Anayasaya aykırı olmamak koşuluyla,iptal edilemeyecektir. Ancak Anayasa’nın 20. maddesinin son fıkrasında Devlete,kişisel verilerin korunmasını kanunla düzenleme yönünde bir yükümlülükgetirildiğinden, bu doğrultuda yasa ile yapılacak düzenlemelerin Anayasalgerekleri karşılayıp karşılamadığının denetimi, Anayasa Mahkemesinin yetkisidahilindedir. Bu nedenle kişisel verilerin kaydının demokratik bir toplumdazorunlu ve ölçülü olup olmadığına, ayrıca verilerin korunması için öngörülendüzenlemelerin yeterli olup olmadığına da bakılması gerekir.

6. Anayasa’nın 20. maddesinin son fıkrası şöyledir:

“Herkes, kendisiyle ilgili kişisel verilerin korunmasını istemehakkına sahiptir. Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkındabilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesinitalep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi dekapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açıkrızasıyla işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usullerkanunla düzenlenir”.

Buna göre, özel hayatın gizliliğinin korunmasını isteme hakkıkapsamında bir hak olan kişisel verilerin korunması hakkı, bir temel hak olmasınedeniyle, kanunla bir müdahale söz konusu olduğunda Anayasa’nın 2.maddesindeki hukuk devleti ve 13. maddesindeki temel hak ve hürriyetlerinsınırlanması konusundaki ölçütlere tabidir. Anayasa’da “…kanundaöngörülen hallerde veya…”denilmiş olmasına bakılarak, meşru bir amaçtaşımadıkça ve demokratik bir toplumda zorunlu ve ölçülü olmadıkça her türlükişisel verinin işlenmesine yol açan kanuni düzenlemeler yapılamayacağıaçıktır.

7. Öte yandan, kişisel verilerin korunmasında Anayasa’nın Eşitlikİlkesini düzenleyen 10. maddesi, Din ve Vicdan Hürriyetini düzenleyen 24. ileDüşünce ve Kanaat Hürriyetini düzenleyen 25. maddeleri, aşağıda açıklanacağıüzere konu ile doğrudan ilgilidir. Ancak 10. maddenin ve mezhep ibaresi dışında24. maddenin ilgisiz görülmesi, kanaatimce bazı özel nitelikli veriler yönündenciddi sakıncalara yol açacak bir sonuca varılmasına neden olmuştur.

III. İPTALİ İSTENEN KURALLARIN İNCELENMESİ

Altıncı Maddenin (1) Numaralı Fıkrasındaki “…mezhebi” İbaresininİncelenmesi

8. (1) numaralı fıkrayla, kişilerin mezhepleri ile kılık vekıyafetleri, “özel nitelikli kişisel veri” olaraksınıflandırılmaktadır. Özel nitelikli kişisel verinin yasada ayrı bir tanımıyer almamakla birlikte, maddenin (2) numaralı fıkrasındaki “Özelnitelikli kişisel verilerin, ilgilinin açık rızası olmaksızın işlenmesi yasaktır” hükmünden,özel nitelikli bir kişisel verinin, açık rıza olmaksızın işlenemeyecek veriolarak belirlendiği anlaşılmaktadır. Açık rıza ise Kanun’un 3. maddesinin(1) numaralı fıkrasına göre “Belirli bir konuya ilişkin,bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızayı” ifadeeder.

9. Mezhepler, gerek İslam aleminde gerek ülkemizde, inkaredilemeyecek bir realitedir. Mezhepler konusu aynı zamanda son derece hassasolup, mezhep farklılıklarının körüklenmesinin toplumlar için yıkıcı sonuçlarayol açabildiği, tarihte ve bölgemizin yakın tarihinde görülmüş vegörülmektedir. Bu nedenle kişilerin mezheplerine ilişkin verilerinalenileşmesinden ve yaygınlaştırılmasından ve özellikle kamusal veritabanlarına işlenmesinden kaçınılarak, Anayasa’nın değiştirilemeyecekhükümlerinde esasları ve nitelikleri belirlenen Türkiye Cumhuriyeti devletininözgür ve eşit vatandaşlarının din, vicdan ve inanç alanında bırakılmalıdır.

Anayasa’nın 10. maddesinde “Kanun önünde eşitlik” ilkesidüzenlenmiştir. Buna göre “Herkes dil, ırk, renk, cinsiyet, siyasidüşünce, felsefi inanç, din, mezhep ve benzeri sebeplerle ayırımgözetilmeksizin kanun önünde eşittir”. Bu ilkeyle kişiler arasındakieşitlik güvence altına alınmakta, aynı zamanda hem kişilere hem de Devleteayırımcılık yasağı getirilmektedir.

Anayasa’nın 24. maddesinin birinci fıkrasında herkesin vicdan,dini inanç ve kanaat hürriyetine sahip olduğu; maddenin üçüncü fıkrasında dakimsenin ibadete, dini ayin ve törenlere katılmaya, dini inanç ve kanaatleriniaçıklamaya zorlanamayacağı, dini inanç ve kanaatlerinden dolayı kınanamayacağıve suçlanamayacağı belirtilmiştir.

10. Çoğunluk gerekçesinde iptali istenen kuralın, her ne kadarkişinin mezhebinin özel nitelikli veri sayılmasını ve böylece bu verinin ancakkişinin açık rızasıyla işlenebileceğini öngörmek suretiyle daha üst bir korumasağladığı ve bu suretle toplanacak verilerin kişilerin ayrımcılığa uğramasınaneden olabilecek alanlarda ihtiyaçların belirlenmesi, boşluk ve eksiklikleringiderilmesi gibi konularda önemli olacağı belirtilmekteyse de, somutluktaşımayan, farazi ihtiyaçların, temel bir hakka yani kişisel mezhep bilgilerineyapılacak somut bir müdahale bakımından Anayasa’nın 13. maddesinde güvencealtına alınan “demokratik bir toplumda zorunlu olmak” ve “ölçülülük” ilkelerinikarşıladığından söz edilemez. Zira çoğunluk gerekçesinde belirtilen türdenihtiyaçlar için kişisel verilerin kaydedilmesi zorunlu olmayıp, verilerinanonim olarak işlenmesiyle de aynı sonuçlar elde edilebilecektir. Mezhebin,kişinin açık rızası aranmaksızın veri olarak işlenebilmesi meşru bir amacadayanmalıdır. İnanç alanında kalan ve ancak kişinin kendisinin bilebileceğimezhep, esas itibariyle ancak kişinin açık rızasının varlığı halindekaydedilebilecek bir veridir. Kişinin mezhebi ve dini inançları, o mezhebinibadet yerleri veya mezhebi tören ve ritüeller gibi, kamusal alana sirayet edenkonularda dahi, ilgilinin açık rızası olmadan kaydedilemez. Zira kişinin sadecebir mezhebin ibadet yerlerine gitmesi veya törenlerine katılması dahi kişininmezhebinin kendi rızası hilafına kaydedilmesi için yeterli değildir.Anayasa’nın 24. maddesi buna engeldir. Bu nedenle, mutlak ayrımcılık yasağıbulunan ve Devleti ilgilendirebilecek yönleri çok sınırlı olan bir konuda,kanunla genel bir ifadeyle mezhep verilerinin işlenebileceğinin öngörülmesininAnayasa’ya uygun olmadığı açıktır.

11. 6698 sayılı Kanun’un 6. maddesinin (3) numaralı fıkrasındayapılan düzenleme ile, görünüşte özel veri sayılarak daha yüksek bir korumasağlanan mezhep verileri, kişinin açık rızası aranmaksızın işlenemeyecekveriler arasından çıkartılmıştır. Maddenin (3) numaralı fıkrasının birincicümlesinde “Birinci fıkrada sayılan … kişisel veriler, kanunlardaöngörülen hallerde, ilgili kişinin açık rızası aranmaksızın işlenebilir” denilmişolup, mezhep de birinci fıkrada sayılan bu kişisel veriler arasında yeralmaktadır. Tabir caizse aynı madde içindeki düzenlemelerle bir elle verilendiğer elle geri alınmakta, “mezhep” verisinin korunmasına yöneliken önemli güvence yani “açık rıza” esası ortadankaldırılmaktadır.

12. Mezhep verilerinin yine de özel nitelikli veri sayılmasınedeniyle Kanunda öngörülen düzenlemeler kapsamında uygulanabilecek daha üstbir korumadan yararlanabileceği, bu nedenle yasadaki düzenlemenin bütünüyleanlamsız olmadığı şeklindeki gerekçelere katılmak mümkün değildir. Zira,Maddenin (4) numaralı fıkrasında özel nitelikli veriler için Kurulca (KişiselVerileri Koruma Kurulu) belirleneceği öngörülen önlemlerin yeterli olmadığıgörülmektedir.

6698 sayılı Kanun’un 22. maddesinin (1) numaralı fıkrasının (ç)bendinde Kurula, “Özel nitelikli kişisel verilerin işlenmesi için arananyeterli önlemleri belirlemek” görev ve yetkisi verilmiştir. Yeterli önlemlerinneler olabileceği hakkında kanunla ilke ve esaslar belirlenmeden, çerçevesiçizilmeden idareye ucu açık, belirsiz, etkili olup olmayacağı şüpheli biryetkinin verilmiş olması, Anayasa’nın öngördüğü anlamda kanunla düzenlemesayılamayacağından, yeterli kanuni güvenceleri de içermeden kişisel verileremüdahale imkanı veren iptal istemine konu düzenlemenin Anayasa’nın 20.maddesine uygun olmadığı açıktır.

13. Sonuç olarak eşitlik ilkesi ve ayrımcılık yasağı gereği, ilgilininaçık rızası olmadıkça her hangi bir eylem, işlem veya uygulamaya konuyapılamayacak olan mezhep bilgisinin işlenmesinin, Anayasa’nın 13. maddesindekiesaslara aykırı olarak kanunla öngörülemeyeceği açıktır. Bu nedenle kural,Anayasa’nın 2. maddesindeki hukuk devletine, 3. maddesindeki millet bütünlüğüneve ayrıca 10. ve 24. maddelerine aykırıdır.

“…kılık ve kıyafeti…” İbaresinin İncelenmesi

14. Kılık ve kıyafet, kişinin inançları gereği benimsediğibelirli bir giyim tarzı olabileceği gibi, her hangi bir siyasi veya felsefianlam taşımaksızın, sırf kişinin özel yaşamı kapsamındaki bir tercihindenibaret de olabilir. Ayrıca, kişi, kılık ve kıyafetini her zaman serbestçedeğiştirebilmek hakkına da sahiptir. Kılık ve kıyafetin tercihindeki nedenlertamamen kişinin iç alemine ait olup, Anayasa’nın 24. ve 25. maddelerindegüvence altına alınan hürriyetlerle yakın ilgisi bulunan bu bilgilerinişlenmesinde ancak çok açık zorunluluk bulunmalı ve bahse konu özgürlüğeyapılacak müdahale ölçülü olmalıdır.

15. Kılık ve kıyafetin, kişinin açıkça görülebilen birözelliği olması, bu verinin işlenmesi için kişinin rızasının bulunduğu anlamınagelmemektedir. Esasen 6698 sayılı Kanun’un 3. maddesinin (1) numaralıfıkrasının (a) bendinde “açık rıza” nın, belirli bir konuyailişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızayı ifadeettiği belirtilmektedir. Bu nedenle, iptali istenen kuralla kılık ve kıyafetin,özel nitelikli yani açık rıza olmadıkça işlenemeyecek veri kapsamına alan birdüzenleme konusu yapılmış olması, bu temel hak ve özgürlük yönünden ek birgüvence getirmemiştir.

16. Öte yandan, “…mezhebi…” ibaresi ileilgili olarak Anayasa’nın 2., 3., 10., 13., 20., 24. ve 25. maddeleribağlamında yukarıda belirtilen Anayasa’ya aykırılık gerekçeleri, “…kılıkve kıyafeti…” yönünden de aynen geçerlidir.

Altıncı Maddenin (3) Numaralı Fıkrasının Birinci Cümlesi

17. Bahse konu birinci cümle şöyledir:

“Birinci fıkrada sayılan sağlık ve cinsel hayat dışındaki kişiselveriler, kanunlarda öngörülen hallerde ilgili kişinin açık rızası aranmaksızınişlenebilir”.

Birinci fıkrada sayılan sağlık ve cinsel hayat dışındaki verilerise şunlardır:

“Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı,dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya dasendika üyeliği, … ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili verileriile biyometrik ve genetik verileri…”

18. Buna göre, daha önce incelenen mezhep ve kılık kıyafet hariçtutulursa, kişinin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini,diğer inançları, dernek, vakıf ya da sendika üyeliği, ceza mahkumiyeti vegüvenlik tedbirleriyle ilgili verileri, biyometrik ve genetik verileri kişininaçık rızası olmaksızın işlenebilecektir.

Verilerden bir kısmı esasen işlenmesinde zorunluluk bulunan,kişinin özel yaşamının yanı sıra kamusal alanı da ilgilendiren verilerdir.Bunlar; dernek, vakıf ya da sendika üyeliği, ceza mahkumiyeti ve güvenliktedbirleridir. Bu nedenle bu veriler ayrı bir kategori halindedeğerlendirilebilir. Kuşkusuz, bu tür verilere ilişkin işlemelerde de yineAnayasa’nın 13. maddesi esasları gözetilmek zorundadır.

Diğer taraftan, kişinin ırkı, etnik kökeni, dini, siyasi düşüncesive diğer inançları somut olarak tesbit edilemeyecek verilerdir. Din, siyasi vediğer inançlar ise tamamen kişinin iç alemine ilişkin ve yine kişinin serbestiradesiyle her zaman değişebilecek verilerdir. Bu nedenle bunların, kişininaçık rızası dışında diğer kişiler veya devlet tarafından işlenmesi, tahmin,yakıştırma ve yaftalamadan öteye gidemez. Bu veriler mahiyetleri icabı, açıkrıza dışında işlenebilecek veriler değildir.

Mezhep ve kılık-kıyafet konusunda daha önce belirtilen Anayasayaaykırılık gerekçeleri, ırk, etnik köken, dini ve diğer inançlar, siyasi vefelsefi düşünceler yönünden de aynen geçerlidir.

20. Fıkranın iptali istenen birinci cümlesinin yaptığı atıfla,-Anayasa’ya aykırı olarak- açık rıza aranmaksızın işlenebilir veri halinegetirilen konuların tahdidi olarak sayıldıkları anlaşılmaktadır. Halbuki bunlararasında birinci fıkrada sayılmayan ancak, kişinin rızası dışında işlenmesihalinde kişinin maddi ve manevi mağduriyetine neden olabilecek, daha pek çokveri kategorisi saymak mümkündür (kişinin merakları, hobileri, yeme içme vetüketim alışkanlıkları, hoşlandığı ve hoşlanmadığı kişi ve konular ve bunungibi sayılamayacak kadar çok, özel hayat kapsamındaki veriler). İptali istenenkuralla, bunlara ilişkin tüm veriler de açık rıza aranmaksızın kanunlaişlenebilecek veriler haline getirilmektedir.

21. Özetle, 6. maddenin (1) numaralı fıkrasıyla bazı kişiselveriler özel nitelikli yani kişinin açık rızası olmaksızın işlenemeyecek veriolarak düzenlenir ve böylece üst düzey bir korumaya kavuşturulur gözükürken,aynı maddenin (3) numaralı fıkrasının birinci cümlesi ile bu kapsamdançıkartılmakta; diğer her türlü kişisel veriler ise açık rıza şartı aranmaksızınkanunla işlenebilir veri haline getirilmektedir. Bu şekliyle kanundakidüzenlemelerle, Anayasa’nın 20. maddesinde öngörülen ve Anayasanın diğerhükümleri ile birlikte değerlendirilmesi gereken “kanunla düzenleme” ile “açıkrıza” koşullarından “kanunla düzenlemeye mutlak üstünlük verilip, “açık rıza”şartının etkisiz hale getirdiği, Anayasa’da üstün kamu yararı ile kişi hak veözgürlükleri arasında kurulması gereken makul ve adil dengenin bozulduğuanlaşılmaktadır.

Bu nedenle iptali istenen kurallar Anayasa’nın 2., 10., 20., 24.ve 25. maddelerine aykırıdır.

Altıncı Maddenin (3) Numaralı Fıkrasının İkinci Cümlesinin ve 30.Maddenin (7) Numaralı Fıkrası ile Değiştirilen 663 Sayılı KHK’nin 47.Maddesinin İncelenmesi

22. Bahse konu (3) numaralı fıkranın ikincicümlesinde, “Sağlık ve cinsel hayata ilişkin kişisel veriler ise ancakkamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakımhizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması veyönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkilikurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızınişlenebilir” denilmektedir.

663 sayılı Sağlık Bakanlığı ve Bağlı Kuruluşlarının Teşkilat veGörevleri Hakkında Kanun Hükmünde Kararname’nin 47. maddesinin (1) numaralıfıkrasında sağlık hizmeti almak üzere kamu veya özel sağlık kuruluşları veyasağlık mesleği mensuplarına müracaat edenlerin, sağlık hizmetinin gereği olarakvermek zorunda oldukları veya hizmete ilişkin kişisel verilerin işlenebileceği,(2) numaralı fıkrasında sağlık hizmetinin verilmesi, kamu sağlığının korunması,koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlıkhizmetlerinin planlanması ve maliyetinin hesaplanması amacıyla SağlıkBakanlığının birinci fıkra kapsamında elde edilen verileri alarakişleyebileceği, (3) numaralı fıkrasında Bakanlığın bu verilere ilgili kişilerinerişimini sağlayacak bir sistem kuracağı, (4) numaralı fıkrasında üçüncüfıkraya göre kurulan bu sistemlerin güvenliği ve güvenilirliği ile ilgilistandartların Kişisel Verileri Koruma Kurulu’nun belirlediği ilkelere uygunolarak Bakanlıkça belirleneceği, Bakanlığın verilerin güvenliğinin sağlanmasıamacıyla sisteme kayıtlı bilgilerin hangi görevli tarafından ne amaçlakullanıldığının denetlenmesine imkan tanıyan bir güvenlik sistemi kuracağı, (5)numaralı fıkrasında sağlık kurum ve kuruluşları ile özel kişilerin istihdamettikleri personeli ve personel hareketlerini Bakanlığa bildirmekle yükümlüolduğu, (6) numaralı fıkrasında ise sağlık verilerinin işlenmesi ve güvenliğiile ilgili hususların Bakanlıkça yürürlüğe konulacak yönetmelikle düzenleneceğibelirtilmiştir.

23. Buna göre, 6698 sayılı Kanun’un 6. maddesinin (3) numaralıfıkrasının ikinci cümlesinde sağlık ve cinsel hayata ilişkin verilerinilgililerin açık rızası aranmaksızın işlenmesinin hangi amaçlarlagerçekleştirilebileceği düzenlenmiş, 30. maddesi ile düzenlenen 663 sayılıKHK’nin 47. maddesinde ise verilerin alınması ve güvenliği ile ilgili olarakSağlık Bakanlığının görev ve yetkileri belirlenmiştir. Başka bir deyişle,sağlık ve cinsel hayata ait veriler sır saklama yükümlülüğü altında bulunankişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızasıaranmaksızın işlenemeyecek olmakla birlikte, verilerin korunması için gereklidüzenlemeleri yapmak ve birtakım önlemler almakla sadece Sağlık Bakanlığıgörevlidir.

24. Bu durumda, kapsamı belli olmayan “yetkili kurum vekuruluşlar” tanımı altında gerek idarenin farklı birimlerine gerekyetkilendirilebilecek diğer özel kurum ve kuruluşlara, ilginin açık rızasıaranmaksızın cinsel hayata ait verileri işleme yetkisi verilebileceği, ancakbunların Sağlık Bakanlığına bağlı olmamaları nedeniyle Sağlık Bakanlığınınverileri koruma yükümlülüğü kapsamında alacağı önlemleri uygulamak zorunda olupolmayacakları konusunda belirsizlik bulunduğu anlaşılmaktadır.

25. Kurallar birlikte değerlendirildiğinde; bir kısım meşruamaçlar belirtilmek ve verilerin korunmasına ilişkin güvenceler getirilmeksuretiyle kamusal üstün yararlar ve kişi hak ve hürriyetlerininsınırlandırılması arasında makul bir denge kurulmaya çalışılmış ise dekuralların bunu sağlayamadığı, bu nedenle iptali istenen hükümlerin Anayasanın20. maddesine aykırı oldukları anlaşılmaktadır.

Anayasa Mahkemesinin 4.12.2014 tarihli ve Esas:2013/114,Karar:2014/184 sayılı kararında kişisel verilerle ilgili bazı kurallarıniptaline karar verilirken, Sağlık Bakanlığı ve bağlı kuruluşlarına verilengörevlerin çok geniş bir alanı kapsadığı, ilgili kurallarla öngörülen veritoplama görevlerinin toplumsal bir zorunluluğu bünyesinde barındırdığınınsöylenemeyeceği belirtilmiştir. Anayasa Mahkemesi ayrıca bahse konudüzenlemelerde öngörülen güvenceleri de yeterli bulmamıştır. Bu kere incelenenkurallarda da aynı durumun devam ettiği anlaşılmaktadır. Nitekim, “…kamu sağlığının korunması, koruyucu hekimlik, … sağlık hizmetleri ilefinansmanının planlanması ve yönetimi …” gibi görevlerin sağlık veözellikle cinsel hayata ilişkin kişisel verilerin işlenmesini zorunlukıldığından ve bu verileri korumak amacıyla getirilen düzenlemelerin açık, netve etkili olduğundan söz edilemez.

26. Sonuç olarak, iptali istenen kurallar, kişinin sağlık ve özelhayatın en mahrem alanı olan cinsel hayatına ait verilerinin işlenmesi vekorunması konusunda yeterli yasal dayanakları ortaya koymayan, kamu yararı ilekişi hak ve hürriyetleri arasında Anayasal ölçütlere göre kurulması gerekenadil ve makul dengeyi kişi aleyhine bozan, Anayasa’nın 20. maddesinde güvencealtına alınan temel haklara yapılmış ölçüsüz bir müdahaledir.

Onaltıncı Maddenin (2) Numaralı Fıkrasının İkinci Cümlesi

27. İptal istemine konu cümle şu şekildedir:

“Ancak, işlenen kişisel verinin niteliği, sayısı, veri işlemeninkanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi Kurulcabelirlenecek objektif kriterler göz önüne alınmak suretiyle, Kurul tarafından,Veri Sorumluları Siciline kayıt zorunluluğuna istisna getirilebilir.”

Veri Sorumlusu, 6698 sayılı Kanun’un 3. maddesinin (1) numaralıfıkrasının (ı) bendinde “Kişisel verilerin işleme amaçlarını vevasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesindensorumlu olan gerçek veya tüzel kişiyi ifade eder” şeklindetanımlanmıştır. Kanun’un 10. maddesine göre veri sorumlusunun, kişiselverilerin elde edilmesi sırasında ilgili kişileri ayrıntılı biçimdeaydınlatması gerekmekte, yine Kanun’un 12. maddesine göre veri güvenliğineilişkin yükümlülükleri ve sorumlulukları bulunmaktadır. Kanun’un 13.maddesinde, kişilerin, veri sorumlusuna, kanuni yükümlülük ve sorumluluklarıylailgili taleplerini iletebilecekleri, talebin yerine getirilmemesi halinde Kurulaşikayette bulunabilecekleri belirtilmiş ve bunun yöntemleri ile süreleridüzenlenmiştir.

Veri Sorumluları Sicili, Kanun’un 16. maddesinin (1) numaralıfıkrasına göre, Kurulun gözetiminde “kamuya açık olarak” tutulacaktır.

28. İptal isteminin reddine ilişkin çoğunluk gerekçesinde verisorumlularının yükümlülükleri bakımından bunların sicile kayıtlı olupolmadıklarının bir önemi bulunmadığı ifade edilmiş ise de bu görüşe katılmakmümkün değildir. Zira kişilerin veri sorumlularına kolayca ulaşmaları,verilerin korunması bakımından en önemli güvencelerden biri olup, Kurulun kenditakdirine göre bazı veri sorumlularına sicil muafiyeti getirmesi, Kanun’dakişiler lehine tanınan hakların birçoğunun kullanılmasını güçleştirecek, verigizliliğinin ihlali halinde sorumluların takibini engelleyecek, verigüvenliğine ilişkin kurulan sistemlerin ve kanuni güvencelerin etkisizleşmesineyol açabilecektir.

29. Bugünkü teknolojik gelişmeler doğrultusunda maliye, vergi,sigorta, bankacılık gibi işlemlerde en küçük veriler dahi kolayca işlenebilirve binlerce terabayt hacminde veriler muhafaza edilebilirken, verisorumlularının tam bir sicilinin tutulamayışı için her hangi bir nesnel güçlükve haklı neden söz konusu olamaz. Bu nedenle sırf gerek bulunmadığıdüşüncesiyle bazı veri sorumlularının sicilden muaf tutulmasının, Anayasa’nın20. maddesinde yer alan kişisel verilerin korunmasını isteme hakkının “bilgilendirilme,bu verilere erişme, bunların düzeltilmesini ve silinmesini talep etme veamaçları doğrultusunda kullanılıp kullanılmadığını öğrenme” unsurlarıyönünden ağır biçimde zedelenmesine yol açan, ölçüsüz bir düzenleme olduğu,dolayısıyla Anayasa’ya aykırı olduğu açıktır.

Yukarıda belirtilen nedenlerle çoğunluk görüşlerinekatılmamaktayım.

Full & Egal Universal Law Academy