Panel Kullanımı Yasal mıdır? Bugün ve Gelecekte Hukuki Sınırlar
Panel Kullanımı Yasal mıdır? Konunun Temel Noktası
İnternette “panel” kelimesini duyduğumda ilk aklıma gelen şey, aslında birbirinden tamamen farklı iki kullanım alanının aynı kelimeyle ifade edilmesi oluyor. Bir şirketin müşterilerini yönetmek için kullandığı yönetim paneli, e-ticaret mağazasının sipariş ekranı veya bir kurumun kendi personeline açtığı bilgi sistemi başka bir konu. Buna karşılık başkalarına ait telefon numarası, adres, T.C. kimlik numarası, araç bilgisi, sosyal medya hesabı ya da benzeri kişisel verileri izinsiz biçimde sorgulamaya yarayan sistemlerden söz ediliyorsa hukuki tablo tamamen değişiyor.
Türkiye açısından temel soru “Panel kullanmak yasak mı?” şeklinde sorulduğunda tek başına evet veya hayır demek doğru olmaz. Çünkü hukuki değerlendirme panelin kendisinden çok, sistemin nasıl elde edildiği, hangi verilere erişildiği, erişimin yetkili olup olmadığı, verilerin hangi amaçla işlendiği ve üçüncü kişilere aktarılıp aktarılmadığı üzerinden yapılır.
6698 sayılı Kişisel Verilerin Korunması Kanunu bakımından kişisel verilerin işlenmesi belirli hukuki şartlara bağlıdır. Kanunun 5. maddesi, açık rızanın yanı sıra kanunda öngörülen bazı durumlarda başka hukuki sebeplerle de veri işlenmesine imkân tanır. Dolayısıyla “internette bulunuyor” veya “bir panelde görünüyor” demek tek başına verinin sınırsız biçimde kullanılabileceği anlamına gelmez.
Panelin Yasal Olabileceği Durumlar
Örneğin bir şirketin yalnızca kendi çalışanlarının yetkili olduğu insan kaynakları panelini düşünelim. Çalışanların hangi verilere erişebileceği görev tanımlarıyla belirlenmişse, sistem güvenli biçimde işletiliyorsa ve kişisel veriler belirli, açık ve meşru amaçlarla işleniyorsa bu tür bir panel normal bir bilişim sistemi olarak değerlendirilebilir.
Benzer şekilde bir hastanenin doktorlara, bir bankanın çalışanlarına veya bir kamu kurumunun yetkili personeline sunduğu bilgi ekranları da “panel” olarak adlandırılabilir. Buradaki kritik nokta erişimin yetkili olmasıdır.
KVKK Kurulunun kararlarında da kişisel verilerin yalnızca teknik olarak erişilebilir olmasının yeterli olmadığı görülüyor. Kurul, kişisel verilerin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişimi önlemek amacıyla veri sorumlularının uygun teknik ve idari tedbirleri alması gerektiğini açıkça vurguluyor.
Bu nedenle bir panelin “yasal” olup olmadığını anlamaya çalışırken şu sorular çok daha anlamlıdır:
- Sistemin sahibi veya işletmecisi kim?
- Veriler nereden geliyor?
- Kullanıcının bu verilere erişme yetkisi var mı?
- Veriler hangi amaçla kullanılıyor?
- Verilerin üçüncü kişilere aktarılması için hukuki dayanak bulunuyor mu?
- Sistem üzerindeki erişimler kayıt altına alınıyor mu?
- Elde edilen bilgiler saklanıyor veya satılıyor mu?
İzinsiz Veri Panellerinde Hukuki Risk Neden Artıyor?
Kamuoyunda “panel” denildiğinde bazen özellikle kişisel verilerin topluca sorgulanabildiği yasa dışı sistemler kastediliyor. Burada mesele yalnızca KVKK ile sınırlı kalmayabilir.
5237 sayılı Türk Ceza Kanunu'nun 243. maddesi, bir bilişim sisteminin tamamına veya bir kısmına hukuka aykırı olarak girilmesini veya sistemde hukuka aykırı biçimde kalmaya devam edilmesini suç olarak düzenliyor. Aynı maddede, sistem içindeki veri nakillerinin teknik araçlarla hukuka aykırı şekilde izlenmesine ilişkin de ayrıca düzenleme bulunuyor.
Daha önemlisi, kişisel verilerin hukuka aykırı şekilde başkasına verilmesi, yayılması veya ele geçirilmesi TCK'nın 136. maddesinde ayrıca düzenlenmiş durumda. Madde kapsamında iki yıldan dört yıla kadar hapis cezası öngörülüyor.
Bu nedenle internette “panel var, ben sadece baktım” şeklindeki yaklaşım hukuki açıdan güvenli bir varsayım değildir. Somut olayın niteliğine göre sisteme giriş, veriyi elde etme, saklama, paylaşma veya yayma gibi farklı eylemler ayrı ayrı değerlendirilebilir.
KVKK Kurulunun geçmiş kararlarından biri de bu ayrımı anlamak açısından dikkat çekici. Kurul, bir çalışanın WhatsApp yazışmalarının rıza dışında elde edilmesi ve üçüncü kişilerle paylaşılması iddialarında TCK'nın kişisel verilere ilişkin hükümlerine işaret etmişti.
“Veri İnternette Vardı” Savunması Neden Her Zaman Yeterli Değil?
Bence konunun en çok yanlış anlaşılan taraflarından biri burası.
Bir kişinin telefon numarasının, adresinin veya başka bir bilgisinin internette herhangi bir yerde bulunması, o verinin her amaçla toplanabileceği anlamına gelmiyor. KVKK Kurulunun 2021 tarihli bir kararında, bir kişinin iletişim bilgisinin kamuya açık bir yerde bulunmasının tek başına “ilgili kişi tarafından alenileştirilmiş” sayılmayabileceği; alenileştirmenin kişinin iradesi ve amacıyla birlikte değerlendirilmesi gerektiği belirtiliyor. Ayrıca verinin alenileştirilmiş olmasının, her farklı amaçla kullanılabileceği anlamına gelmediği vurgulanıyor.
Bu yaklaşım gelecekte daha da önemli hale gelebilir. Çünkü yapay zekâ, büyük veri analizi ve otomatik veri eşleştirme teknolojileri sayesinde daha önce ayrı ayrı duran bilgiler artık çok daha kolay bir biçimde birleştirilebiliyor.
Örneğin bir kişinin herkese açık sosyal medya profili, eski bir ilanı, şirket kaydı ve başka bir platformdaki iletişim bilgisinin otomatik biçimde bir araya getirilmesi teknik açıdan kolaylaştıkça “Bu zaten internette vardı” anlayışının hukuki sınırları daha fazla tartışılabilir.
Gelecekte Panel Sistemleri Nasıl Değişebilir?
Önümüzdeki yıllarda benim öngörüm, “panel” kavramının giderek daha fazla otomatik denetimle birlikte anılacağı yönünde. Bu, tamamen teknik bir tahmin değil; veri güvenliği alanındaki mevcut eğilimlerden çıkarılabilecek bir sonuç.
Şirketler ve kurumlar bugün zaten erişim yetkilerini, kullanıcı hareketlerini, olağandışı girişleri ve veri aktarımını izlemek için çeşitli güvenlik araçları kullanıyor. Yapay zekâ tabanlı güvenlik sistemlerinin yaygınlaşmasıyla, örneğin bir kullanıcının normalde erişmediği binlerce kayda kısa sürede ulaşması otomatik olarak şüpheli davranış şeklinde işaretlenebilir.
Gelecekte şu tür bir sistemin daha yaygın hale gelmesi şaşırtıcı olmaz:
“Bu kullanıcı normalde 20 kayıt görüntülerken bugün 20.000 kayda erişti. Yetkisi var mı? Verileri dışarı aktardı mı? Davranış olağan mı?”
Bu tür otomatik denetimler, hem kurumların güvenliğini artırabilir hem de yetkili kullanıcıların yaptığı hataların daha erken fark edilmesini sağlayabilir.
Panel Kullanımı Yasal mıdır? Konunun Temel Noktası
İnternette “panel” kelimesini duyduğumda ilk aklıma gelen şey, aslında birbirinden tamamen farklı iki kullanım alanının aynı kelimeyle ifade edilmesi oluyor. Bir şirketin müşterilerini yönetmek için kullandığı yönetim paneli, e-ticaret mağazasının sipariş ekranı veya bir kurumun kendi personeline açtığı bilgi sistemi başka bir konu. Buna karşılık başkalarına ait telefon numarası, adres, T.C. kimlik numarası, araç bilgisi, sosyal medya hesabı ya da benzeri kişisel verileri izinsiz biçimde sorgulamaya yarayan sistemlerden söz ediliyorsa hukuki tablo tamamen değişiyor.
Türkiye açısından temel soru “Panel kullanmak yasak mı?” şeklinde sorulduğunda tek başına evet veya hayır demek doğru olmaz. Çünkü hukuki değerlendirme panelin kendisinden çok, sistemin nasıl elde edildiği, hangi verilere erişildiği, erişimin yetkili olup olmadığı, verilerin hangi amaçla işlendiği ve üçüncü kişilere aktarılıp aktarılmadığı üzerinden yapılır.
6698 sayılı Kişisel Verilerin Korunması Kanunu bakımından kişisel verilerin işlenmesi belirli hukuki şartlara bağlıdır. Kanunun 5. maddesi, açık rızanın yanı sıra kanunda öngörülen bazı durumlarda başka hukuki sebeplerle de veri işlenmesine imkân tanır. Dolayısıyla “internette bulunuyor” veya “bir panelde görünüyor” demek tek başına verinin sınırsız biçimde kullanılabileceği anlamına gelmez.
Panelin Yasal Olabileceği Durumlar
Örneğin bir şirketin yalnızca kendi çalışanlarının yetkili olduğu insan kaynakları panelini düşünelim. Çalışanların hangi verilere erişebileceği görev tanımlarıyla belirlenmişse, sistem güvenli biçimde işletiliyorsa ve kişisel veriler belirli, açık ve meşru amaçlarla işleniyorsa bu tür bir panel normal bir bilişim sistemi olarak değerlendirilebilir.
Benzer şekilde bir hastanenin doktorlara, bir bankanın çalışanlarına veya bir kamu kurumunun yetkili personeline sunduğu bilgi ekranları da “panel” olarak adlandırılabilir. Buradaki kritik nokta erişimin yetkili olmasıdır.
KVKK Kurulunun kararlarında da kişisel verilerin yalnızca teknik olarak erişilebilir olmasının yeterli olmadığı görülüyor. Kurul, kişisel verilerin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişimi önlemek amacıyla veri sorumlularının uygun teknik ve idari tedbirleri alması gerektiğini açıkça vurguluyor.
Bu nedenle bir panelin “yasal” olup olmadığını anlamaya çalışırken şu sorular çok daha anlamlıdır:
- Sistemin sahibi veya işletmecisi kim?
- Veriler nereden geliyor?
- Kullanıcının bu verilere erişme yetkisi var mı?
- Veriler hangi amaçla kullanılıyor?
- Verilerin üçüncü kişilere aktarılması için hukuki dayanak bulunuyor mu?
- Sistem üzerindeki erişimler kayıt altına alınıyor mu?
- Elde edilen bilgiler saklanıyor veya satılıyor mu?
İzinsiz Veri Panellerinde Hukuki Risk Neden Artıyor?
Kamuoyunda “panel” denildiğinde bazen özellikle kişisel verilerin topluca sorgulanabildiği yasa dışı sistemler kastediliyor. Burada mesele yalnızca KVKK ile sınırlı kalmayabilir.
5237 sayılı Türk Ceza Kanunu'nun 243. maddesi, bir bilişim sisteminin tamamına veya bir kısmına hukuka aykırı olarak girilmesini veya sistemde hukuka aykırı biçimde kalmaya devam edilmesini suç olarak düzenliyor. Aynı maddede, sistem içindeki veri nakillerinin teknik araçlarla hukuka aykırı şekilde izlenmesine ilişkin de ayrıca düzenleme bulunuyor.
Daha önemlisi, kişisel verilerin hukuka aykırı şekilde başkasına verilmesi, yayılması veya ele geçirilmesi TCK'nın 136. maddesinde ayrıca düzenlenmiş durumda. Madde kapsamında iki yıldan dört yıla kadar hapis cezası öngörülüyor.
Bu nedenle internette “panel var, ben sadece baktım” şeklindeki yaklaşım hukuki açıdan güvenli bir varsayım değildir. Somut olayın niteliğine göre sisteme giriş, veriyi elde etme, saklama, paylaşma veya yayma gibi farklı eylemler ayrı ayrı değerlendirilebilir.
KVKK Kurulunun geçmiş kararlarından biri de bu ayrımı anlamak açısından dikkat çekici. Kurul, bir çalışanın WhatsApp yazışmalarının rıza dışında elde edilmesi ve üçüncü kişilerle paylaşılması iddialarında TCK'nın kişisel verilere ilişkin hükümlerine işaret etmişti.
“Veri İnternette Vardı” Savunması Neden Her Zaman Yeterli Değil?
Bence konunun en çok yanlış anlaşılan taraflarından biri burası.
Bir kişinin telefon numarasının, adresinin veya başka bir bilgisinin internette herhangi bir yerde bulunması, o verinin her amaçla toplanabileceği anlamına gelmiyor. KVKK Kurulunun 2021 tarihli bir kararında, bir kişinin iletişim bilgisinin kamuya açık bir yerde bulunmasının tek başına “ilgili kişi tarafından alenileştirilmiş” sayılmayabileceği; alenileştirmenin kişinin iradesi ve amacıyla birlikte değerlendirilmesi gerektiği belirtiliyor. Ayrıca verinin alenileştirilmiş olmasının, her farklı amaçla kullanılabileceği anlamına gelmediği vurgulanıyor.
Bu yaklaşım gelecekte daha da önemli hale gelebilir. Çünkü yapay zekâ, büyük veri analizi ve otomatik veri eşleştirme teknolojileri sayesinde daha önce ayrı ayrı duran bilgiler artık çok daha kolay bir biçimde birleştirilebiliyor.
Örneğin bir kişinin herkese açık sosyal medya profili, eski bir ilanı, şirket kaydı ve başka bir platformdaki iletişim bilgisinin otomatik biçimde bir araya getirilmesi teknik açıdan kolaylaştıkça “Bu zaten internette vardı” anlayışının hukuki sınırları daha fazla tartışılabilir.
Gelecekte Panel Sistemleri Nasıl Değişebilir?
Önümüzdeki yıllarda benim öngörüm, “panel” kavramının giderek daha fazla otomatik denetimle birlikte anılacağı yönünde. Bu, tamamen teknik bir tahmin değil; veri güvenliği alanındaki mevcut eğilimlerden çıkarılabilecek bir sonuç.
Şirketler ve kurumlar bugün zaten erişim yetkilerini, kullanıcı hareketlerini, olağandışı girişleri ve veri aktarımını izlemek için çeşitli güvenlik araçları kullanıyor. Yapay zekâ tabanlı güvenlik sistemlerinin yaygınlaşmasıyla, örneğin bir kullanıcının normalde erişmediği binlerce kayda kısa sürede ulaşması otomatik olarak şüpheli davranış şeklinde işaretlenebilir.
Gelecekte şu tür bir sistemin daha yaygın hale gelmesi şaşırtıcı olmaz:
“Bu kullanıcı normalde 20 kayıt görüntülerken bugün 20.000 kayda erişti. Yetkisi var mı? Verileri dışarı aktardı mı? Davranış olağan mı?”
Bu tür otomatik denetimler, hem kurumların güvenliğini artırabilir hem de yetkili kullanıcıların yaptığı hataların daha erken fark edilmesini sağlayabilir.