Bakan Yardımcısı Bakan a. Nazif Yılmaz imzalı resmi yazıda ''Kişisel Verileri Koruma Kurumu Başkanlığından Bakanlığımıza gönderilen 9 Ekim 2023 tarihli ve E-19462324-105.99-161322 sayılı yazısında kişisel verilerin işlenmesi hususunda uyulması gereken ilkeler belirtilmiş, yaşanan sorunlar ifade edilmiş ve özetle şu hususların üzerinde durulmuştur:

Anayasa'nın 20'nci maddesi kapsamında bir temel hak ve özgürlük olarak Anayasal güvenceye kavuşan ''kişisel verilerin korunmasını isteme hakkı''; bireylere kişisel verilerinin geleceğini bizzat kendilerinin tayin etme hakkını vermektedir.

Bilindiği üzere, dayanağı Anayasa'nın 20'nci maddesinin 3 numaralı fıkrası olan 6698 sayılı Kişisel Verilerin Korunması Kanunu (Kanun), 7 Nisan 2016 tarih ve 29677 sayılı Resmi Gazete'de yayımlanarak yürürlüğe girmiş olup Kanunun amacı, kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemektir. Kanunda kamu kurumları ile özel kuruluşlar arasında bir ayrım yapılmamış olup Bakanlığımıza bağlı olarak faaliyet gösteren eğitim ve öğretim kurum ve kuruluşları, kamu hukuku ya da özel hukuk tüzel kişileri olmaları fark etmeksizin Kanunun belirlediği usul ve esaslara kural olarak uymakla yükümlü bulunmaktadır.

6698 Sayılı Kanunun ''Tanımlar'' başlıklı 3'üncü maddesinin 1 numaralı fıkrasının (ç) bendinde ise ilgili kişi; ''Kişisel verisi işlenen gerçek kişi'' olarak tanımlanmış olup herhangi bir ayrım yapılmaksızın çocuklar da dahil olmak üzere tüm bireyler için kişisel verilerin korunması hakkı eşit şekilde güvence altına alınmıştır.

Anılan Kanunun ''Genel İlkeler'' başlıklı 4'üncü maddesinde; kişisel verilerin ancak Kanunda ve diğer kanunlarda öngörülen usul ve esaslara uygun olarak işlenebileceği, kişisel verilerin işlenmesinde ''hukuka ve dürüstlük kurallarına uygun olma'', ''doğru ve gerektiğinde güncel olma'', ''belirli, açık ve meşru amaçlar için işlenme'', ''işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma'' ve ''ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme'' ilkelerine uyulmasının zorunlu olduğu hükme bağlanmıştır.

Kanunun ''Kişisel Verilerin İşlenme Şartları'' başlıklı 5'inci maddesinin (1) numaralı fıkrasında kişisel verilerin ilgili kişinin açık rızası olmaksızın işlenemeyeceği, (2) numaralı fıkrasında ise ancak a) kanunlarda açıkça öngörülmesi, b) fiili imkansızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki gerçeklilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması, c) bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması, ç) veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması, d) ilgili kişinin kendisi tarafından alenileştirilmiş olması, e) bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması, f) ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması şartlarından birinin varlığı halinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesinin mümkün olduğu hükme bağlanmıştır.

Kişisel verilerin ve özel nitelikli kişisel verilerin işleme şartlarından biri olan ''açık rıza'', Kanunun ''Tanımlar'' başlıklı 3'ünvü maddesinin (1) numaralı fıkrasının (a) bendinde, ''belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza'' olarak tanımlanmaktadır. Belirli bir konu ile sınırlandırılmayan ve ilgili işlemle sınırlı olmayan genel nitelikteki açık rızalar hukuken geçersiz sayılmaktadır. Ayrıca, açık rızanın özgür irade ile açıklanması gerektiğinden, ilgili kişinin açık rızasının alınması, bir ürün veya hizmetin sunulmasının ya da ürün veya hizmetten yararlandırılmasının ön şartı olarak ileri sürülemeyecektir.