Elektronik haberleşme sektörü; günümüzde hemen hemen herkesi ilgilendiren, teknolojinin yakından takip edilmesini gerektiren, geçmişten bugüne gizliliğin ve mahremiyetin her zaman büyük önemi haiz olduğu, sıkı düzenlemelere tâbi olan, stratejik bir sektördür. Sektörün çok geniş bir yelpazede bireysel ve kurumsal kullanıcıların hayatına dokunan bu nitelikleri; bu sektörü kişilerin temel hak ve hürriyetlerinin korunması bakımından da özel bir yere koymaktadır. Bunun doğal bir sonucu olarak Türkiye’de kişisel verilerin korunması anlayışı bu denli gündeme gelmeden önce dahi elektronik haberleşme sektörü bu alanda belirli düzenlemelere tâbi idi. Ancak, günümüzün farklı ihtiyaçları bu alanda yeni düzenlemelere gidilmesini gerektirmiş olup yakın bir zamanda bu alanda önemli düzenlemeler yapılmıştır. Bu yazıda elektronik haberleşme sektöründe kişisel verilerin korunması hususu kısa bir şekilde ele alınacaktır.
Kuşkusuz elektronik haberleşme sektörünün paydaşları, kişisel verilerin işlendiği her alanda olduğu gibi 6698 sayılı Kişisel Verilerin Korunması Kanunu, (“KVKK”) bu kanuna dayalı olarak yürürlüğe konan alt düzenlemelere tâbidir. Bununla beraber sektöre özgü bir düzenleme olarak 5809 sayılı Elektronik Haberleşme Kanunu (“EHK”) ile bu kanuna ilişkin alt düzenlemeler karşımıza çıkmaktadır. Dolayısıyla, elektronik haberleşme sektörünün paydaşları, Bilgi Teknolojileri ve İletişim Kurumu’nun yanı sıra Kişisel Verilerin Korunması Kurumu’nun da düzenlemelerine tâbi durumdadır.
EHK düzenlemelerini ele aldığımızda KVKK yürürlüğe girmeden çok daha önce, henüz 2008 yılında kişisel verilerin korunmasına ilişkin hem BTK’ya hem de sektördeki işletmecilere yükümlülükler getirmiştir. Öte yandan yine henüz 2015 yılında kişisel verilerin korunması ile ilgili temel hususlar EHK düzenlemeleri arasında yer bulmuştur. EHK’nın 51. maddesinde yer alan düzenlemelere göre:
- EHK’dan daha sonra yürürlüğe giren KVKK’da sayılan temel ilkelerle hemen hemen aynı ilkeler EHK anlamında kişisel verilerin işlenmesi bakımından da önemlidir. Buna göre elektronik haberleşme sektöründe de kişisel veriler işlenirken, veri işleme faaliyetinin; hukuka ve dürüstlük kurallarına uygun olması, doğru ve gerektiğinde güncel olması, belirli, açık ve meşru amaçlar için işlenmesi, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ile işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesine dikkat edilmesi gerekmektedir.
- Haberleşmeye taraf olanların tamamının rızası olmaksızın haberleşmenin dinlenmesi, kaydedilmesi, saklanması, kesilmesi ve takip edilmesi kural olarak yasaktır.
- Kişisel verilerin korunması için teknik ve idari tedbirlerin alınması gerekmektedir.
- Kullanıcıların cihazlarında saklanan verilere ulaşmak, elektronik haberleşme ile ilgili hizmetin verilmesi bakımından zorunlu değilse, kullanıcıların açık rızasına bağlıdır.
- Trafik verilerinin yurtdışına aktarılmasının açık rızayı gerektirdiği vurgulanmıştır.
- Bazı verilerin hangi koşullar altında ve ne kadar süre boyunca işleneceği belirlenmiştir.
EHK’da yer alan bu genel düzenlemeler, 04.12.2020 tarihli Elektronik Haberleşme Sektöründe Kişisel Verilerin İşlenmesi Ve Gizliliğin Korunmasına İlişkin Yönetmelik (“Yönetmelik”) ile birlikte daha da detaylandırılmıştır. Bu Yönetmelik düzenlemeleri uyarınca:
- Abonelerle birlikte, abone olmayan kullanıcıların kişisel verilerinin korunmasına ilişkin düzenlemelere yer verilmiştir.
- Trafik ve konum verilerinin milli güvenlik gerekçesiyle yurtiçinde bulundurulmasının esas olduğu vurgulanmıştır.
- İşletmecilerin EHK, KVKK, ulusal standartlar ve uluslararası standartlara uygun olarak gerekli teknik ve idari tedbirleri alarak hem kişisel verileri hem de hizmetlerini korumaları gerektiğinin altı çizilmiştir. Kişisel verilere ve ilişkili diğer sistemlere yapılan erişim bilgilerinin 2 yıl boyunca saklanması gerektiği düzenlenmiştir.
- Kişisel veri ihlallerinin yanı sıra, güvenlik risklerinin de bildirilmesi gerektiği vurgulanmıştır.
- Aydınlatma yükümlülüğü yerine getirilirken verilmesi gereken bilgiler ile aydınlatmanın şekline detaylı bir şekilde yer verilmiştir.
- Açık rızanın hizmet şartına bağlanamayacağı, ancak; hediye dakika, SMS ve veri gibi ek fayda sağlanması karşılığında açık rıza talep edilebileceği vurgulanmıştır.
- Açık razının geri alınmasıyla ilgili esaslar düzenlenmiştir ve açık rıza ile ilgili veri işlendiği durumlarda bununla ilgili her yılın üçüncü çeyreği içinde bilgilendirme yapılması zorunluluğu getirilmiştir.
- Öte yandan numaraların gizlenmesi, fatura detaylarının gizlenmesi, otomatik yönlendirmelerle ilgili sınırlamalar da düzenlemede yer almaktadır.
Elektronik haberleşme sektöründe kişisel verilerin korunmasına ilişkin düzenlemelerin ihlali halinde; işletmeciler aleyhine BTK tarafından bir önceki takvim yılındaki net satışlarının yüzde üçüne kadar idari para cezası uygulanması söz konusu olabilecektir.
Yukarıda genel bir çerçevede ele alınan elektronik haberleşme sektöründe kişisel verilerin korunması hususu, sektörün stratejik bir önemi olması ve toplumun pek çok kesimine doğrudan ulaşabilen sayılı sektörlerden olması sebebiyle temel ve hak özgürlükler açısından büyük önem taşımaktadır. Öte yandan sektörün paydaşları nezdinde gerek KVKK gerekse ETH uyarınca uygulanabilecek idari para cezalarının ağırlığı da konunun bir diğer önemli boyutudur. Dolayısıyla hem abonelerle kullanıcıların hem de işletmecilerin kişisel verilerin korunması kavramının öneminin farkında olması ve gerekli adımları atması pek çok olumsuzluğun önüne geçebilecektir.
Av. Kerem Utku ÖRER
TARLAN BAKSI AVUKATLIK BÜROSU
AV. AYLİN TARLAN – AV. DERYA BAKSI
Tarlan Avukatlık Bürosu Bloğu 