SOSYAL MEDYADA KİŞİSEL VERİLERİN İHLALİ
Teknolojinin giderek daha da hızlı geliştiği bu dönemde Covid 19 pandemisinin de etkisiyle artık dijital çağda yaşadığımız inkar edilemez bir gerçek. Global Digital 2024 raporuna göre; 2024 yılında internet kullanıcı sayısı 5 milyar 347 milyon, sosyal medya kullanıcı sayısı 5 milyar 40 milyonu bulmuştur ve bu sayı hızla artmaya devam etmektedir. Yaygınlaşan sosyal medya kullanımıyla birlikte bireylerin yaptığı paylaşımlar kişisel verilere erişimi kolaylaştırmaktadır. Bu durum, teknolojiyi amaç dışı kullananların özel hayatı ve kişisel verileri ihlal etme olasılığını arttırmaktadır. Peki kullanıcıların fotoğraf, video, düşünce gibi içerikler paylaşabildikleri Facebook, Instagram, Twitter, Snapchat gibi günümüzde sıkça kullanılan sosyal medya platformlarında kişisel verilerimizin başkaları tarafından paylaşılması hangi durumlarda suç oluşturur ve bunun yaptırımları nelerdir?
6698 sayılı Kişisel Verilerin Korunması Kanunu, kişisel veriyi kısaca kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi şeklinde tanımlamaktadır. Bu kapsamda sosyal medyada paylaşılan ad, soyad, kullanıcı adı, telefon numarası, fotoğraf gibi bilgiler kişisel veriye örnek olarak verilebilir.Özel nitelikli kişisel veriler ise öğrenilmesi halinde ilgili kişi hakkında ayrımcılık yapılmasına veya mağduriyete neden olabilecek nitelikteki verilerdir. Kanunda özel nitelikli kişisel veriler, sınırlı sayma yoluyla belirlenmiştir. Bunlar; kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileridir.
Kişisel verilerin otomatik olan ya da olmayan yollarla elde edilmesi, kaydedilmesi, muhafaza edilmesi, değiştirilmesi, açıklanması, aktarılması gibi veriler üzerinde gerçekleştirilen her türlü işlem, kişisel verilerin işlenmesi olarak kabul edilmektedir. Kişisel verilerin işlenmesine ilişkin KVKK 4. maddesinde yer alan genel ilkeler, tüm kişisel veri işleme faaliyetlerinin özünde bulunmalı ve tüm kişisel veri işleme faaliyetleri bu ilkelere uygun olarak gerçekleştirilmelidir. Kişisel verilerin işlenmesindeki şartlar ise özel nitelikli olup olmamasına göre değişiklik göstermektedir. Özel nitelikli olmayan kişisel verilerin işlenmesinde kişinin açık rızası büyük önem taşımaktadır. İlgili kişiden açık rıza alınmasına ancak kanundaki diğer şartlardan en az birine dayanılıyorsa gerek bulunmamaktadır. Özel nitelikli kişisel veriler bakımından da açık rıza şarttır ancak sağlık ve cinsel hayata ilişkin veriler açısından Kanunda açık rızanın aranmayacağı haller düzenlenmiştir. Açık rıza, belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızadır. Kanun çerçevesinde açık rıza, kişinin sahip olduğu verinin işlenmesine, kendi isteği ile ya da karşı taraftan gelen istek üzerine, onay vermesi olarak nitelendirilmektedir. Açık rıza vermek, kişiye sıkı sıkıya bağlı bir hak olduğundan dilendiğinde geri alınabilir olmalıdır.
Günlük yaşam içinde birinin kişisel verilerini ihlal suçunu neyin teşkil edebileceği ayırt etmek bile çok kolay değilken sosyal medyada bu durum daha da karmaşıktır. Öncelikle belirtilmelidir ki kişilerin kimliği belirlenemeyen fotoğrafların çekilmesi, gizlice çekilmemiş ve kişilik haklarına saldırı içermeyen fotoğrafların sosyal medyada paylaşılması, herkese açık olarak ayarlanmış özel hayata ilişkin olmayan paylaşımın başka hesapta yer alması kişisel veri ihlali suçu oluşturmamaktadır. Yargıtay kararlarında herkese açık olarak paylaşılan günlük kıyafetlerle poz verilmiş görüntüler, başkalarınca görülmesi ve bilinmesi istenmeyen; hukuk tarafından gizliliği sağlanması ve korunması gereken özel yaşam alanına ilişkin paylaşımlar olarak değerlendirmemiştir. Dolayısıyla sosyal medyada her yapılan ihlal suç sayılmayabilir. Öte yandan kişisel verilerin ihlali noktasında ifade özgürlüğünün bir yansıması olan basın özgürlüğü ile kişilik hakları karşı karşıya geldiğinde paylaşımın; kamu ilgi ve yararı taşıması, gerçek ve güncel olması, özü ile gerçek arasındaki denge kriterleri değerlendirildiğinde hangi hakka üstünlük tanınması gerektiğine göre KVKK hükümleri uygulanmayabilir.
Sosyal medya kullanıcılarının kişisel verileri paylaşmadan önce ilgili kişinin rızasını almaya, özel hayatın gizliliğini ihlal edecek içerikler paylaşmamaya, paylaşımın yasalara uygun olup olmadığını değerlendirmeye dikkat etmesi gerekir. Kişisel verilere ilişkin suçlar, verilerin hukuka aykırı yollarla kaydedilmesi, kaydedilen verilerin yine hukuka aykırı olarak başkasına verilmesi, yayılması veya ele geçirilmesi; kanunlarca verilen süreler geçmesine rağmen verilerin yok edilmemesi durumunda oluşur. Suçun unsurları oluşması halinde şikayete bağlı olmaksızın Türk Ceza Kanunu’ nda Özel Hayata ve Hayatın Gizli Alanına Karşı Suçlar bölümündeki hükümlere göre hapis cezası yaptırımı uygulanmaktadır. Ayrıca sosyal medyada kişisel verilerin işlenmesi kişilik hakkına saldırı olarak nitelendirildiği için Türk Medeni Kanunu’nun kişilik haklarına saldırı için önerdiği hukuki yollara müracaat edilebilir. 3. kişiler tarafından gerçekleştirilen ihlal hali hala devam ediyorsa saldırının önlenmesi davası; saldırı sona ermiş ise saldırının varlığını belirlemek amacıyla tespit davası açılabilir. Manevi tazminat davası da TMK ‘de öngörülen veri ihlalinin zarar göreninde meydana gelen acı ve üzüntüleri azaltıcı bir yollardan biridir. Veri ihlali nedeniyle kişinin malvarlığında bir azalma söz konusu ise rıza dışı bu azalma ile zarar verenin kusurlu eylemi arasında uygun illiyet bağı bulunuyorsa maddi tazminat davası da açılabilmektedir.
Sosyal medya platformları ise kullanıcıların kişisel verilerini korumak ve özel hayatın gizliliğini ihlal eden içerikleri engellemek için zorunlu önlemleri almaya dikkat etmelidir. Kanuna göre veri sorumlusu, kişisel verilerin işlenme amacını ve yöntemini belirleyen gerçek veya tüzel kişidir. Bu bağlamda sosyal medya platformları veri sorumlusu tüzel kişi olarak değerlendirilmektedir. Veri sorumlularına KVKK kapsamında belirlenen yükümlülükleri ihlal etmeleri halinde meydana gelecek kabahatler karşısında idari para cezası yaptırımı uygulanmaktadır. Ek olarak kişisel verilerin hukuka uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde bu veriler, resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinmek, yok edilmek veya anonim hâle getirilmek zorundadır.
Kişisel verilerin ihlali halinde gerekli bildirimler, Kişisel Verileri Koruma Kurumu tarafından düzenlenen Kişisel Veri İhlali Bildirim Formu aracılığıyla yapılmaktadır. Nasıl doldurulacağı konusunda kolay erişim sağlanması için Kişisel Veri İhlali Bildirim Formu Kılavuzu düzenlenmiş ve Kurumun internet sitesinde yayımlanmıştır. Veri sorumluları, veri ihlali hususunda yasal olarak ihlalden etkilenen kişilere ve Kişisel Verileri Koruma Kuruluna ihlal ile alakalı bildirimde bulunmak mecburiyetindedir. Veri ihlalinden etkilenmiş olan kişiler saptandıktan sonra makul olan en kısa süre içinde iletişim bilgileri biliniyorsa direkt olarak ilgili kişiye; aksi hâlde veri sorumlusunun internet sitesinde yayımlanarak veya benzeri şekillerde gerçekleştirilmelidir. Kişisel Verileri Koruma Kurulu’ nun 24 Ocak 2019 tarih ve 2019/10 sayılı kararına göre; veri ihlali sonucunda, veri sorumlularının, 72 saatlik zaman zarfı içerisinde bu konuyu Kişisel Verileri Koruma Kuruluna iletmeleri gereklidir.