Müvekkil Verisi Bilgisayardan Çıkmasın: Maskeleme Neyi Çözmez

Uygulamada şu cümle sık kurulur: "Adları kısalttım, dosya numarasını sildim; artık kişisel veri değil."

Kişisel Verilerin Korunması Kanunu'nun 3. maddesi, anonim hâle getirmeyi tanımlarken bu cümleyi doğrudan reddediyor:

"Anonim hâle getirme: Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesini … ifade eder."

Ölçü "adı görünmüyor" değil. Ölçü, başka verilerle eşleştirilerek dahi ilişkilendirilememektir. Bu, maskelemenin karşılayamayacağı kadar yüksek bir çıtadır.

Maskeleme ile anonimleştirme aynı şey değil

Bir dilekçeden adları çıkarıp yerine baş harfler koyduğunuzda geriye ne kalır? Mahkemenin adı. Esas numarası. Duruşma tarihleri. Taşınmazın ada-parseli. Olayın kendine özgü örgüsü. Tarafların sıfatları.

Bunların her biri, tek başına kimlik göstermez. Ama 3. maddenin aradığı ölçü tek başına değerlendirme değil, eşleştirme ölçüsüdür. UYAP'a, tapu kaydına ya da kamuya açık bir karara erişimi olan biri için bu parçalar birleşir.

Dolayısıyla maskelenmiş bir dilekçe, hukuken hâlâ kişisel veri taşır. Ve 3. maddenin (e) bendindeki tanım gereği, o metni bir sisteme yüklemek "kişisel verilerin işlenmesi"dir — bent, işlemeyi "elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması…" diye saydıktan sonra "gibi veriler üzerinde gerçekleştirilen her türlü işlem" diyerek listeyi kapatmıyor.

Maskeleme değersiz değildir; riski azaltır. Ama yükümlülüğü ortadan kaldırmaz. İkisi karıştırıldığında, alınan tedbir bir muafiyet sanılır.

Avukat Kanun'un istisnaları arasında değil

Uygulamada sık sorulan bir başka soru, yargısal faaliyetin KVKK dışında olup olmadığıdır. Kanun'un 28. maddesi gerçekten böyle bir istisna içeriyor — ama kime tanındığına dikkat etmek gerekiyor.

28. maddenin birinci fıkrasının (d) bendi: "Kişisel verilerin soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafından işlenmesi."

İstisna, işin niteliğine değil, işleyen özneye bağlanmış. Avukat yargı makamı değildir. Dolayısıyla bu bent avukatı kapsamaz.

Avukatın konumu 3. maddenin (ı) bendinde tanımlanan konumdur: "Veri sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi". Hangi aracın kullanılacağına ve verinin nasıl işleneceğine karar veren kişi avukat olduğuna göre, veri sorumlusu da avukattır.

28. maddenin ikinci fıkrası bazı yükümlülükleri hafifletiyor — aydınlatma, ilgili kişinin hakları ve sicile kayıt bakımından. Avukatlık faaliyeti bu fıkrada ayrıca sayılmamıştır; ancak (a) bendi "suç işlenmesinin önlenmesi veya suç soruşturması için gerekli olması" diyerek özneye değil faaliyete bağlandığından, müdafi bakımından kapsamı tartışmaya açıktır. Kesin olan şudur: o fıkra hangi hâlde uygulanırsa uygulansın, veri güvenliğine ilişkin 12. maddeyi hafifletmiyor.

Ceza dosyası, baştan sona özel nitelikli veri

Bir ceza dosyasında ne var? Adli sicil bilgisi, sağlık raporları, kimi zaman cinsel hayata ilişkin beyanlar, biyometrik incelemeler.

Kanun'un 6. maddesinin birinci fıkrası bunları tek tek sayıyor: "Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir."

Üçüncü fıkra kuralı koyuyor: "Özel nitelikli kişisel verilerin işlenmesi yasaktır." Sonra istisnaları sayıyor ve avukatın dayanağı bunların içinde, (d) bendinde: "Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması."

Yani avukat bu verileri işleyebilir — ama yasağın istisnası olarak işler, serbestçe değil. Ve dördüncü fıkra ek bir şart koyuyor: "Özel nitelikli kişisel verilerin işlenmesinde, ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır." Bu önlemler soyut değildir; Kurul'un 31.01.2018 tarihli ve 2018/10 sayılı kararı bunları ayrıca belirlemiştir.

Buradaki "ayrıca" kelimesi belirleyicidir. Hukuki dayanağın bulunması yeterli değil; ek teknik ve idari önlem alınması da şart koşulmuştur.

Bir araca yüklemek, sorumluluğu aktarmaz

Sonuçları en ağır olan soru ise şudur: "Veriyi ben işlemiyorum, sağlayıcı işliyor; sorumluluk onda mı?"

12. maddenin ikinci fıkrası bunu tek cümlede kapatıyor:

"Veri sorumlusu, kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde, birinci fıkrada belirtilen tedbirlerin alınması hususunda bu kişilerle birlikte müştereken sorumludur."

Sorumluluk aktarılmıyor, çoğalıyor. Bir çevrimiçi araca veri gönderen avukat, o araçtaki tedbirlerden de sorumlu olmaya devam eder.

Aynı maddenin birinci fıkrası, veri sorumlusuna hukuka aykırı işlemeyi ve erişimi önlemek ile verilerin muhafazasını sağlamak amacıyla "uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak" yükümlülüğü getiriyor. Dördüncü fıkra ise yükümlülüğün ömrünü uzatıyor: veri sorumluları ile veri işleyenler öğrendikleri kişisel verileri Kanun'a aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamazlar; "Bu yükümlülük görevden ayrılmalarından sonra da devam eder."

Yurt dışına aktarım: "arızi" kelimesi burada kilit

Kullanılan aracın sunucuları yurt dışındaysa, 9. madde devreye girer ve bu madde 2 Mart 2024 tarihli 7499 sayılı Kanun'la baştan yazılmıştır.

Kural, birinci fıkrada: aktarım için 5. veya 6. maddedeki şartlardan birinin bulunması ve aktarımın yapılacağı ülke, sektör ya da uluslararası kuruluş hakkında yeterlilik kararı olması gerekir. Yeterlilik kararını Kurul verir ve Resmî Gazete'de yayımlanır.

Yeterlilik kararı yoksa dördüncü fıkradaki uygun güvencelerden biri sağlanmalıdır. Fıkra bunları sayarken ayrıca bir ön şart koyuyor: ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması. Ayrıca bu güvenceler tek başına yetmiyor: birinci fıkradaki gibi burada da 5. veya 6. maddedeki şartlardan birinin bulunması aranıyor. Güvenceler şunlar: yurt dışındaki kamu kurum ve kuruluşları veya uluslararası kuruluşlar ile Türkiye'deki kamu kurum ve kuruluşları veya kamu kurumu niteliğindeki meslek kuruluşları arasında yapılan ve "uluslararası sözleşme niteliğinde olmayan" bir anlaşmanın varlığı ile Kurul'un aktarıma izin vermesi; Kurul onaylı bağlayıcı şirket kuralları; Kurul'un ilan ettiği standart sözleşme; ya da yeterli korumayı sağlayacak hükümler taşıyan bir taahhütname ile Kurul'un aktarıma izin vermesi. Standart sözleşme seçilirse beşinci fıkra bir de süre koyuyor: "Standart sözleşme, imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilir."

Altıncı fıkra son çıkışı tarif ediyor ve dikkatle okunması gereken yer burasıdır. Fıkra, yeterlilik kararı da uygun güvence de yoksa, sayılan hâllerden birinin varlığında aktarım yapılabileceğini söylüyor — ama başına bir kayıt koyarak: "arızi olmak kaydıyla".

Fıkranın (d) bendi "Bir hakkın tesisi, kullanılması veya korunması için kişisel verilerin aktarılmasının zorunlu olması" diyor ve avukatlık faaliyetine en yakın duran bent budur. Ancak "arızi" kaydı, bu bendin günlük ve sürekli bir iş akışına dayanak yapılmasına elverişli değildir.

Bu, yoruma açık bir çıkarım da değil: Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik (RG 10.07.2024) arızi aktarımı tanımlarken "düzenli olmayan, tek veya birkaç sefer gerçekleşen, süreklilik arz etmeyen ve olağan faaliyet akışı içinde bulunmayan" aktarımlar diyor. Her dilekçede tekrarlanan bir aktarım, bu tanımın karşıtıdır.

Sekizinci fıkra da zinciri uzatıyor: yurt dışına aktarılan verilerin sonraki aktarımları bakımından da aynı güvenceler sağlanır. Yani aracın kendi alt yüklenicileri de bu çerçevenin içindedir.

Sır saklama, KVKK'dan bağımsız ikinci katman

Bütün bunlar çözülse bile geriye ayrı bir yükümlülük kalır ve o, Kişisel Verilerin Korunması Kanunu'nda değil, Avukatlık Kanunu'nun 36. maddesindedir:

"Avukatların, kendilerine tevdi edilen veya gerek avukatlık görevi, gerekse, Türkiye Barolar Birliği ve barolar organlarındaki görevleri dolayısiyle öğrendikleri hususları açığa vurmaları yasaktır."

Maddenin yasakladığı şey, kimliğin açıklanması değil, hususların açığa vurulmasıdır. Ad silinse dahi, öğrenilen husus bir başkasına aktarılıyorsa yasağın konusu ortadan kalkmaz.

Maddenin ikinci fıkrası, bu yükümlülüğün ağırlığını gösteriyor: avukatların bu hususlarda tanıklık edebilmeleri iş sahibinin muvafakatini almış olmalarına bağlıdır; "Ancak, bu halde dahi avukat tanıklık etmekten çekinebilir." 2001'de eklenen cümle bunu tamamlıyor: "Çekinme hakkının kullanılması hukuki ve cezai sorumluluk doğurmaz."

Muvafakat verilmiş olsa bile çekinme hakkı tanınan bir yükümlülük, maskelemeyle aşılabilecek bir yükümlülük değildir.

Verinin hiç çıkmaması hukuken neyi değiştirir

İşlemenin cihazın dışına çıkmadığı bir kurguda tablo şöyle değişir — ve bu, bir araç önerisi değil, maddelerin doğrudan sonucudur.

9. madde hiç devreye girmez. Yurt dışına aktarım yoksa yeterlilik kararı, standart sözleşme, beş iş günlük bildirim ve "arızi" tartışmasının hiçbiri doğmaz.

12. maddenin ikinci fıkrasındaki müşterek sorumluluk doğmaz. Veriyi kendi adına işleyen başka bir gerçek veya tüzel kişi yoktur.

12. maddenin beşinci fıkrasındaki ihlal bildirimi riski daralır. O fıkra, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusunun durumu "en kısa sürede ilgilisine ve Kurula" bildirmesini emreder. Verinin bulunduğu yüzey küçüldükçe, bu bildirimi gerektirecek olayın yüzeyi de küçülür.

6. maddenin dördüncü fıkrasındaki "yeterli önlem" şartı somutlaşır. Ek önlem talebi, soyut bir taahhütle değil, verinin fiilen nerede durduğuyla karşılanır.

Buna karşılık yerel işleme, 36. maddedeki sır saklama yükümlülüğünü ortadan kaldırmaz; onu yalnızca daha savunulabilir bir zemine taşır. Cihazın kendisinin güvenliği, yedeklerin nerede tutulduğu ve büro içi erişim yetkileri, aynı 12. maddenin birinci fıkrası kapsamında değerlendirilmeye devam eder.

Bu Süreçte Bilinmesi Gerekenler

Maskeleme anonimleştirme değildir. 3. maddenin ölçüsü "başka verilerle eşleştirilerek dahi ilişkilendirilememek"tir.

28. maddedeki yargısal istisna avukatı kapsamaz; istisna yargı makamları ve infaz mercilerine tanınmıştır. Avukat, 3. maddenin (ı) bendi anlamında veri sorumlusudur.

Dava dosyaları özel nitelikli veri taşır. Dayanak 6. maddenin üçüncü fıkrasının (d) bendidir; dördüncü fıkra ayrıca Kurul'ca belirlenen yeterli önlemlerin alınmasını şart koşar.

Bir araca yüklemek sorumluluğu aktarmaz; 12. maddenin ikinci fıkrası müşterek sorumluluk kurar.

Yurt dışı aktarımda "bir hakkın korunması" bendi, ancak arızi hâllerde dayanak olur; sürekli iş akışı için 9. maddenin dördüncü fıkrasındaki güvencelerden biri gerekir.

Sır saklama ayrı bir katmandır. Avukatlık Kanunu'nun 36. maddesi, kimliğe değil öğrenilen hususa bağlanır.

Bu tablonun müvekkile bakan yüzünü ve sorulması gereken soruları ayrıca ele aldık: avukatınız yapay zekâ kullanıyor mu. Kullanılan aracın sözleşmesinde nelerin aranması gerektiği ise başlı başına bir konudur: yapay zekâ sözleşmesi nasıl okunur.

---

Bu yazı genel bilgilendirme amacıyla hazırlanmıştır; hukuki görüş ya da tavsiye niteliği taşımaz. Kişisel veri işleme faaliyetinin hukuka uygunluğu, kullanılan aracın yapısına, verinin niteliğine ve somut iş akışına göre ayrı ayrı değerlendirilir.