Anayasa Mahkemesi’nin (“AYM”) 2018/11988 başvuru numaralı, 10/3/2022 tarihli ve 19 Nisan 2022 tarihinde Resmî Gazete’de yayımlanan bireysel başvuru kapsamında, başvurucunun kişisel verilerinin korunmasını isteme hakkının ihlal edildiği yönündeki kararında:
Başvurucu; kamu görevlilerinin mesaiye devam durumlarının kontrolü konusunda mevzuatta bir düzenlemenin bulunmamasına rağmen, mesai takibi için belediye memurlarının parmak izinin kullanıldığını, parmak izinin kaydedilip bir kod oluşturulduğunu, dolayısıyla kişisel verilerinin işlendiğini, kayıtlı parmak izlerinin Kurum bünyesinde depolanması gerektiğini ancak depolanan bu verilerin de ne şekilde kullanılacağı veya paylaşılıp paylaşılmayacağı konusunda bir bilgisi olmadığı gibi Belediyenin de bir garantisi olmadığını, bu uygulamanın kanuni dayanağı olmamasına ve uygulamaya rızası olmamasına rağmen parmak izi kayıtları ile mesai takibi yapılmaya devam edildiğini, bu kapsamda gerçekleştirilen faaliyetin özel hayata saygı hakkını, kişisel verilerin korunmasını isteme hakkını ve adil yargılanma hakkını ayrıca zorla çalıştırma yasağını ihlal ettiğini ileri sürmüştür.
AYM gerçekleştirdiği incelemede, konuya ilişkin uluslararası belgeler ve karşılaştırmalı hukuku da dikkate alarak, kişisel verinin belirli veya belirlenebilir bir gerçek veya tüzel kişi hakkındaki her türlü bilgi olarak değerlendirileceğini belirttikten sonra; biyometrik verinin, bir kişinin diğer şahıslardan ayrılmasını ve bizzat kişinin kimliğinin tanımlanmasını sağlayan, kişiye ait biyolojik veya davranışsal bilgi içerdiğini; bu nedenle önemine binaen özel nitelikli kişisel veri olarak kabul edildiğini, parmak izinin de bu kapsamda bir biyometrik veri olduğunu ve özel nitelikli kişisel veri kategorisinde olduğu konusunda herhangi bir şüphe bulunmadığını belirtmiştir.
AYM, mesai takibine ilişkin hususların değerlendirilmesinde; genel olarak temel hak ve özgürlüklere getirilen sınırlamaların kanunla öngörülmüş olması gerektiğini ve bir kanun hükmü olmaksızın yürütme veya idarenin bir temel hak ve hürriyeti düzenleyici işlem ile ilk elden sınırlamasının mümkün olmadığını belirtmiştir. Ayrıca Mahkeme, Anayasa’nın 20. maddesinde kişisel verilerin “ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla” işlenebileceğinin ve kişisel verilerin korunmasına ilişkin esas ve usullerin “kanunla” düzenleneceğinin öngörüldüğüne dikkat çekmiştir. Bu şekilde yürürlüğe konulan kanunların da şeklen var olmasının yeterli olmayacağını, kanunilik ölçütünün aynı zamanda maddi bir içeriğinin de bulunduğunu, kanunla getirilen sınırlamanın erişilebilirliğini, öngörülebilirliğini ve kesinliğini ifade edecek netlikte, uygulayıcının keyfî davranışlarının önüne geçecek nitelikte bir düzenleme getirmesi gerektiği belirtilmiştir. Bu kapsamda kanunun, belirli bir ölçüde takdir alanını uygulamaya bırakması halinde, bu takdir alanının sınırlarının da yeterli açıklıkta belirlenmesi gerektiğini ve kanuni düzenlemenin asgari bir kesinlik içermesinin zaruri olduğunu belirtmiştir.
AYM, kanunlara ilişkin bu genel prensipleri ortaya koyduktan sonra somut olayın değerlendirmesinde; KVKK’da özel nitelikli kişisel verilerin işlemesinde, kişinin açık rızasına dayanmanın zorunlu olduğunu, bunun istisnasının ise özel nitelikli kişisel verinin işlenebileceğinin kanunlarda açıkça öngörülmesi durumu olduğunu belirtmiş, burada kanunlarda açıkça öngörülme ibaresinden kastedilenin ise özel nitelikli verilerin işlenebilmesinin ve kullanılabilmesinin ilgili faaliyet alanına veya sektöre ilişkin kanunlarda ayrıca ve açıkça düzenlenmiş olmasının anlaşılması gerektiğini belirtmiştir. Somut olaya uygulanan kanuni düzenlemelerde rıza olmaksızın veri işleme nedenleri arasında kurum veya kuruluşların mesai düzenlerinin yer almadığını, Devlet Memurları Kanunu ve Belediye Kanunu’nda da özel nitelikli kişisel verilerin işlenmesine yönelik bir düzenlemenin yapılmadığını tespit etmiştir.
Bu kapsamda AYM, ilgili temel hak ve özgürlüğe gerçekleştirilen müdahalenin kanunilik ilkesini karşılamadığı anlaşılmış olduğundan, Anayasa md. 13’te düzenlenen temel hak ve özgürlüklerin sınırlandırılmasındaki diğer ilkelerden; ölçülülük ve ilgili hakkın özüne dokunmama gibi şartların gerçekleşip gerçekleşmediğini ayrıca incelemeksizin başvurucunun özel hayata saygı hakkı kapsamındaki kişisel verilerin korunmasını isteme hakkının ihlal edildiğine karar vermiştir. Bu itibarla karardan; parmak izi ile mesai takibi gerçekleştirilmesine yönelik bir düzenlemenin kanunla öngörülmüş olması ihtimali söz konusu olsaydı dahi, AYM’nin bu durumda düzenlemenin kişisel verilerin korunması isteme hakkının özüne dokunmamasını ve ölçülü olmasını arayacağı yani; elverişli, zorunlu ve orantılı bir müdahale niteliğinde olması şartlarını değerlendireceği ve Anayasa md. 13’te yer alan diğer sınırlamalara da uygun davranılmasını arayacağı sonucuna varılmaktadır.
Bilgilerinize sunarız.