Dr. Numan Emre ERGİN
Avukat, YMM, E. Hesap Uzmanı
n.emre.ergin@hotmail.com
Kişisel Verilerin Korunması Kanunu (Kanun), 2016 yılında yürürlüğe girdi ama uygulanması biraz gecikti. Kanunun temelinde teknolojinin gelişmesiyle birlikte şirketler ve devletler karşısında güçsüz durumda olan bireylerin “verilerinin” korunması fikri yatmaktadır. Kanun’un uygulanmasından sorumlu kamu otoritesi Kişisel Verileri Koruma Kurumu olup Kurum’un organı olan Kişisel Verileri Koruma Kurulu (KVKK) düzenleyici denetleyici organ olarak uygulamayı yönlendirmekte, mevzuata aykırılıklara ceza kesmektedir. Mevzuatın tam olarak olgunlaştığı söylenemez, gelişmekte olan bir alan…
Korona virüs salgını ile birlikte uygulamaya konulan birçok tedbir (ateş ölçümü, termal kamera uygulaması, sağlık verilerinin işlenmesi, hayat eve sığar aplikasyonu vb.) kişisel veri hukukunun alanına girmektedir. Salgının yavaşlamasıyla birlikte yeni bir “normal” içerisinde hayata kaldığımız yerden devam etmeye başladık. Bu kapsamda birçok iş yeri, AVM’ler, adliyeler kapılarını açıp faaliyete geçti. Ancak salgın sona ermediği için birçok tedbir de uygulanmaya devam etmektedir. Devlet de iş yerlerinde korona virüse karşı tedbirler alınmasını istemekte ve teşvik etmektedir. Bu kapsamda, Aile, Çalışma ve Sosyal Hizmetler Bakanlığı’nın iş yerlerine yönelik hazırladığı 20 Mart 2020 tarihli COVID-19 rehberinde[1], çalışanlara işe başlamadan önce ateş ölçer ile ateş ölçümü yapılması gerektiği belirtilmektedir. Sanayi ve Teknoloji Bakanlığı’nın organize sanayi bölgeleri, fabrikalar ve teknoparklar gibi üretim merkezlerine yönelik 22 Mart 2020 tarihli bilgi notu[2] ile iş yerlerine girişlerde istisnasız tüm çalışanların ateşinin ölçülmesi gerektiği, 37,8 üzeri ateşi olanların iş yerine girmemesi, ateş vb. diğer semptomları taşıyanların çalıştırılmaması gerektiği belirtilmiştir. Emniyet Genel Müdürlüğü Özel Güvenlik Denetleme Başkanlığı tarafından valiliklere yönelik 23 Mart 2020 tarihli yazıda,[3] özel güvenlik görevlilerinin ziyaretçilerin ateşini ölçmesinin makul bir uygulama olduğu ve salgın süresince, özel güvenlik görevlilerinin önceden eğitim almak kaydıyla termal kamera ve gelişmiş ateş ölçer ile ölçüm yapmasında sakınca görülmediği belirtilmiştir. KVKK da 27 Mart 2020’de “COVID-19 ile mücadele sürecinde kişisel verilerin korunması kanunu kapsamında bilinmesi gerekenler” başlığı ile bir duyuru yayımlamıştır.[4] (Diğer taraftan bu duyuruda ateş ölçümü konusunda net bir açıklama bulunmamaktadır.)
Peki, çeşitli kamu makamları tarafından yapılan bu açıklamaların ateş ölçümü bağlamında Kişisel Verilerin Korunması Kanunu karşısındaki durumu nasıldır? Öncelikle Kanun’un ilgili hükümlerini kısaca tanıtmakta fayda bulunmaktadır. Kanun kişisel veriyi, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi olarak tanımlamış, sağlık verilerinin ise özel kişisel veri olduğunu belirtmiştir. Bu durumda, kişilerin vücut sıcaklığı bilgisi sağlık verisi olarak özel kişisel veridir. Kanun uyarınca özel kişisel veriler ancak ilgilinin açık rızası alınarak işlenebilir. Kanun, açık rızayı bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlamıştır. Peki kişisel verilerin işlenmesi ne demektir? Kanun, kişisel veri işlenmeyi, kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem olarak tanımlamaktadır. Oldukça geniş bir tanım.
Bu tanımlardan yola çıkıldığında, ateş ölçümü uygulaması kişisel veri işleme olarak değerlendirilebilecektir. Bu durumda, kişiye önce ateş ölçümü konusunda bir bilgilendirme (aydınlatma) yapılmalı, sonrasında kişi özgür iradesiyle açık rıza verirse ateş ölçümü yapılabilecektir. Bu durum, ateş ölçümü konusunda yazılı bir aydınlatma metni ile açık rıza beyanının gerekliliğini ortaya koymaktadır.
Diğer taraftan, Kanun açık rıza alınmasına istisna da getirmiştir. Buna göre, sağlığa ilişkin kişisel veriler ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, “sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar” tarafından ilgilinin açık rızası aranmaksızın işlenebilir. Öyleyse, iş yeri hekimi, doktor, hemşire gibi sağlık çalışanları tarafından yapılan ateş ölçümlerinde açık rıza alınmasına gerek bulunmamaktadır. Ancak bu durumda yine de aydınlatma gereklidir. Ayrıca, özel nitelikli kişisel verilerin işlenmesinde veri sorumlularınca alınması gereken özel önlemler bulunmaktadır. Bu önlemler KVKK’nın 31.01.2018 tarih ve 2018/10 sayılı kararında açıklanmıştır.[1] Karar uyarınca, özel nitelikli kişisel verilerin işlenmesi süreçlerinde yer alan çalışanlara yönelik, a) Kanun ve buna bağlı yönetmelikler ile özel nitelikli kişisel veri güvenliği konularında düzenli olarak eğitimler verilmesi, b) Gizlilik sözleşmelerinin yapılması, c) Verilere erişim yetkisine sahip kullanıcıların, yetki kapsamlarının ve sürelerinin net olarak tanımlanması, ç) Periyodik olarak yetki kontrollerinin gerçekleştirilmesi, d) Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkilerinin derhal kaldırılması ve bu kapsamda, veri sorumlusu tarafından kendisine tahsis edilen envanterin iade alınması gerekmektedir.
Yukarıdaki açıklamalardan görüleceği üzere, mevcut mevzuat kapsamında özel bir kişisel veri olan vücut sıcaklığının ölçümü, ya aydınlatma yapılarak açık rıza gerek olmadan sağlık personeli tarafından, ya da aydınlatma yapılarak ve açık rıza alınarak yukarıda açıklanan şartları sağlayan diğer kişiler (örneğin özel güvenlik görevlisi) tarafından yapılabilir. Elde edilen verilerin ise özel bir şekilde muhafaza edilmesi gerekmektedir. Çeşitli kamu kuruluşlarınca ateş ölçümü yapılması konusunda yapılan açıklamalar, o kurumların yetkisindeki ilgili mevzuat açısından geçerli olup Kişisel Verilerin Korunması Kanunu karşısında bir istisna yaratmamaktadır. Dolayısıyla, Kanun’a aykırılık nedeniyle idari para cezasıyla muhatap olma riski bulunmaktadır.
Diğer taraftan, Türk Ceza Kanunu’nun 135. maddesinde hukuka aykırı olarak kişisel verileri kaydeden kimseye bir yıldan üç yıla kadar hapis cezası verileceği, 136. maddesinde kişisel verileri, hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişinin, iki yıldan dört yıla kadar hapis cezası ile cezalandırılacağı, 137. maddesinde ise bu suçların kamu görevlisi tarafından ve görevinin verdiği yetki kötüye kullanılmak suretiyle veya belli bir meslek ve sanatın sağladığı kolaylıktan yararlanmak suretiyle işlenmesi halinde verilecek cezanın yarı oranında artırılacağı, 140. maddesinde ise bu suçların işlenmesi dolayısıyla tüzel kişiler hakkında bunlara özgü güvenlik tedbirlerine hükmolunacağı belirtilmiştir. Çeşitli kamu kurumu açıklamalarının hukuka aykırılığı kaldırıp kaldırmayacağı tartışmalıdır. Dolayısıyla, Kişisel Verilerin Korunması Kanunu’na aykırı bir ateş ölçümü, hapis cezası riskini de doğurabilir.
Bu açıklamalar sonrasında, korona virüs sonrasında hayatın normalleşmeye başlamasıyla birlikte uygulanan ateş ölçümleri, mevcut durumda çok da mevzuata uygun yapılmamaktadır. Muhtemelen konu çok fazla bilinmediğinden veya meşru karşılandığından insanlar ateş ölçümü uygulamalarına karşı çıkmamaktadırlar. Mevcut uygulama, kamu sağlığı açısından meşru olsa da halihazırda hukuka uygun ilerlememektedir. Her kapalı mekanda sürekli bir sağlık çalışanı istihdam etmek mümkün olmadığından uygulama daha ziyade özel güvenlik görevlileri tarafından yerine getirilmektedir. Ancak ne aydınlatma yapılmakta, ne de açık rıza alınmaktadır. Bu durum ise hem ilgili iş yerlerini (AVM, plaza vb.), hem özel güvenlik şirketlerini, hem de özel güvenlik görevlilerini hukuki ve cezai açıdan riske sokmaktadır.
Bu durumda, uygulama açısından pratik çözüm olarak şunu önerebiliriz. Mekan girişlerine kocaman “aydınlatma metni” asılıp ateş ölçümüne ilişkin detaylı bilgilendirme yapılabilir. Ateş ölçümü öncesinde de ilgili kişinin aydınlatma metnini okuduğuna ve açık rıza verdiğine ilişkin yazılı bir beyan alınabilir. Bu beyan kişinin adı soyadı, aydınlatma metnini okuduğu ve açık rıza verdiğine ilişkin imzasının alındığı birkaç sütundan oluşan bir liste şeklinde de olabilir.
Diğer bir çözüm, içinde bulunduğumuz olağanüstü şartları dikkate alınarak korona virüs nedeniyle yapılacak vücut sıcaklığı ölçümlerini kolaylaştırıcı geçici bir maddenin Kanun’a eklenmesidir. Her ne kadar Kanun hükümleri karşısında tartışmalı olsa da, ehven-i şer olarak, KVKK bu yönde bir karar alıp uygulamayı da yönlendirebilir.
Sözün özü: Cehenneme giden yol iyi niyet taşlarıyla döşelidir.
Dipnot:
[1] https://www.ailevecalisma.gov.tr/isggm/haberler/koronavirus/
[2] https://www.sanayi.gov.tr/medya/haber-detayi/gLAYI4bI8x47
[3] https://www.egm.gov.tr/ozelguvenlik/ozel-guvenlik-gorevlilerinin-ates-olcer-cihaz-kullanimi-hk
[5] https://kvkk.gov.tr/Icerik/4110/2018-10
Kaynak: Dr. Numan Emre ERGİN, Avukat, YMM, E. Hesap Uzmanı. İçerik, Sayın Numan Emre ERGİN’in Dunya.com’daki Perspektif isimi köşesinden Yazarın ve Dunya.com’un sahibi olan şirketin özel izni ile yayınlanmıştır. Yazının tüm hakları ve sorumluluğu yazara ve Dunya.com’a aittir.
Yasal Uyarı: Bu içerikte yer alan bilgi, görsel, tablolar, açıklama, yorum, analiz ve bir bütün olarak içeriğin tamamı sadece genel bilgilendirme amacıyla verilmiştir. Kişi veya kuruma özel profesyonel bir bilgilendirme ve yönlendirmede bulunma amacı güdülmemiştir. Konu ile benzerlik gösterse de her işletmenin kendi özel şartları nedeniyle farklı durumları olabilir. Bu nedenle, bu yazıda belirtilen içerikte yola çıkarak işletmenizi etkileyecek herhangi bir karar alıp uygulamaya geçmeden önce, uzmanına danışmanız menfaatiniz gereğidir. Muhasebenews veya ilişkili olduğu kişi veya kurumlardan hiç biri, bu belgede yer alan bilgi, tablo, görsel, görüş ve diğer türdeki tüm içeriklerin özel veya resmi, gerçek veya tüzel kişi, kurum ve organizasyonlar tarafından kullanılması sonucunda ortaya çıkabilecek zarar veya ziyandan sorumlu değildir.
