Kişisel Verilerin Korunması

KİŞİSEL VERİLERİN KORUNMASI

Teknolojinin gelişmesi ve özellikle dijital platformlarda özel hayatın gizliliğinin korunmasının zorlaşmasıyla birlikte, Türkiye’nin de28 Ocak 1981 tarihinde taraf olduğu ‘Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Bireylerin Korunması Sözleşmesi’ ile uyruğu veya ikametgahı ne olursa olsun gerçek kişilerin, temel hak ve özgürlüklerini ve özellikle kendilerini ilgilendiren kişisel nitelikteki verilerin otomatik yollarla işleme tabi tutulması karşısında özel yaşam haklarını güvence altına almayı amaçlamıştır.

Avrupa Birliği’nin 1995 tarihli, Kişisel Verilerin İşlenmesi ve Serbest Dolaşımı Bakımından Bireylerin Korunmasına İlişkin Avrupa Parlamentosu ve Avrupa Konseyi Direktifi de üye ve aday ülkelerin kişisel verilerin korunmasına ilişkin düzenlemeler yapmalarını gerektirmektedir.

Bu doğrultuda Türkiye’de 6698 sayılı Kişisel Verilerin Korunması Kanunu, 7.4.2016 tarihinde yürürlüğe girmiştir. Kanun’un amacı, kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemektir.

Kanun’a göre kişisel veri, ‘kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi’, kişisel verilerin işlenmesi ise ‘kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi’ ifade etmektedir.

Veri işleyen, ‘veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişidir. Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemine ‘veri kayıt sistemi’ denmektedir. Veri sorumlusu ise kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir.

Kanun’a göre Kişisel verilerin işlenmesinde aşağıdaki ilkelere uyulması zorunludur:

1. a) Hukuka ve dürüstlük kurallarına uygun olma.
2. b) Doğru ve gerektiğinde güncel olma.
3. c) Belirli, açık ve meşru amaçlar için işlenme.

ç) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma.

1. d) İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.

Kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez.İlgili kişi, kişisel verisi işlenen gerçek kişidir. Açık rıza ise belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızayı ifade etmektedir. Aşağıdaki şartlardan birinin varlığı hâlinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesi mümkündür:

1. a) Kanunlarda açıkça öngörülmesi.
2. b) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması.
3. c) Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması.

ç) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.

1. d) İlgili kişinin kendisi tarafından alenileştirilmiş olması.
2. e) Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.
3. f) İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.

Özel nitelikli kişisel verilerin, ilgilinin açık rızası olmaksızın işlenmesi yasaktır. Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir. Sağlık ve cinsel hayat dışındaki kişisel veriler, kanunlarda öngörülen hâllerde ilgili kişinin açık rızası aranmaksızın işlenebilir. Sağlık ve cinsel hayata ilişkin kişisel veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebilir. Özel nitelikli kişisel verilerin işlenmesinde, ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır.

Kanun’a uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel veriler resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinir, yok edilir veya anonim hâle getirilir. Anonim hâle getirme, kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesidir.

Kişisel veriler, ilgili kişinin açık rızası olmaksızın aktarılamaz. Ancak m.5/2’de ilgili kişinin açık rızasının kabul edildiği ve m.6/3’te belirtilen özel nitelikli kişisel verilere ilişkin şartlardan birinin bulunması hâlinde, ilgili kişinin açık rızası aranmaksızın aktarılabilir. Kişisel veriler, ilgili kişinin açık rızası olmaksızın yurt dışına da aktarılamaz. Ancak belirtilen şartlardan birinin varlığı ve kişisel verinin aktarılacağı yabancı ülkede; yeterli korumanın bulunması, yeterli korumanın bulunmaması durumunda Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve Kurulun izninin bulunması, kaydıyla ilgili kişinin açık rızası aranmaksızın yurt dışına aktarılabilir. Yeterli korumanın bulunduğu ülkeler Kişisel Verileri Koruma Kurulu tarafından belirlenir. Kurul yabancı ülkede yeterli koruma bulunup bulunmadığına ve izin verilip verilmeyeceğine; Türkiye’nin taraf olduğu uluslararası sözleşmeleri, kişisel veri talep eden ülke ile Türkiye arasında veri aktarımına ilişkin karşılıklılık durumunu, her somut kişisel veri aktarımına ilişkin olarak, kişisel verinin niteliği ile işlenme amaç ve süresini, kişisel verinin aktarılacağı ülkenin konuyla ilgili mevzuatı ve uygulamasını, kişisel verinin aktarılacağı ülkede bulunan veri sorumlusu tarafından taahhüt edilen önlemleri, değerlendirmek ve ihtiyaç duyması hâlinde, ilgili kurum ve kuruluşların görüşünü de almak suretiyle karar verir. Kişisel veriler, uluslararası sözleşme hükümleri saklı kalmak üzere, Türkiye’nin veya ilgili kişinin menfaatinin ciddi bir şekilde zarar göreceği durumlarda, ancak ilgili kamu kurum veya kuruluşunun görüşü alınarak Kurulun izniyle yurt dışına aktarılabilir.

Kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi, ilgili kişilere;

1. a) Veri sorumlusunun ve varsa temsilcisinin kimliği,
2. b) Kişisel verilerin hangi amaçla işleneceği,
3. c) İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,

ç) Kişisel veri toplamanın yöntemi ve hukuki sebebi,

konusunda bilgi vermekle yükümlüdür.

Bununla birlikte herkes, veri sorumlusuna başvurarak kendisiyle ilgili; kişisel veri işlenip işlenmediğini öğrenme, kişisel verileri işlenmişse buna ilişkin bilgi talep etme, kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme, kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme, kişisel verilerin silinmesini veya yok edilmesini isteme, işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme, kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme haklarına sahiptir.

Veri sorumlusu; kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, kişisel verilere hukuka aykırı olarak erişilmesini önlemek, kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır. Veri sorumlusu, kendi kurum veya kuruluşunda, Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptırmak zorundadır. Veri sorumluları ile veri işleyen kişiler, öğrendikleri kişisel verileri Kanun hükümlerine aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamazlar. Bu yükümlülük görevden ayrılmalarından sonra da devam eder. İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekmesi hâlinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir.

İlgili kişi, Kanunun uygulanmasıyla ilgili taleplerini yazılı olarak veya Kurulun belirleyeceği diğer yöntemlerle veri sorumlusuna iletir. Veri sorumlusu başvuruda yer alan talepleri, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırır. Ancak, işlemin ayrıca bir maliyeti gerektirmesi hâlinde, Kurulca belirlenen tarifedeki ücret alınabilir. Veri sorumlusu talebi kabul eder veya gerekçesini açıklayarak reddeder ve cevabını ilgili kişiye yazılı olarak veya elektronik ortamda bildirir. Başvuruda yer alan talebin kabul edilmesi hâlinde veri sorumlusunca gereği yerine getirilir. Başvurunun veri sorumlusunun hatasından kaynaklanması hâlinde alınan ücret ilgiliye iade edilir. Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde başvuruya cevap verilmemesi hâllerinde; ilgili kişi, veri sorumlusunun cevabını öğrendiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunabilir. Kişilik hakları ihlal edilenler, genel hükümlere göre tazminat talep etme hakkına sahiptir.

Kurul, şikâyet üzerine veya ihlal iddiasını öğrenmesi durumunda resen, görev alanına giren konularda gerekli incelemeyi yapar. Şikâyet üzerine Kurul, talebi inceleyerek ilgililere bir cevap verir. Şikâyet tarihinden itibaren altmış gün içinde cevap verilmezse talep reddedilmiş sayılır. Şikâyet üzerine veya resen yapılan inceleme sonucunda, ihlalin varlığının anlaşılması hâlinde Kurul, tespit ettiği hukuka aykırılıkların veri sorumlusu tarafından giderilmesine karar vererek ilgililere tebliğ eder. Bu karar, tebliğden itibaren gecikmeksizin ve en geç otuz gün içinde yerine getirilir.

Kurulun gözetiminde, Başkanlık tarafından kamuya açık olarak Veri Sorumluları Sicili tutulur. Kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorundadır.

Kişisel verilere ilişkin suçlar bakımından Türk Ceza Kanunu’nun Özel Hayata ve Hayatın Gizli Alanına Karşı Suçlar’ başlığı altında yer alan 135-140. madde hükümleri uygulanır. Kanun’a aykırı olarak; kişisel verileri silmeyen veya anonim hâle getirmeyenler TCK’nun verileri yok etmemeye ilişkin 138. maddesine göre cezalandırılır.

Kanun’un ‘Kabahatler’ kısmında ise aydınlatma yükümlülüğünü yerine getirmeyenler hakkında, veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler hakkında, Kurul tarafından verilen kararları yerine getirmeyenler hakkında, Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırı hareket edenler hakkında idari para cezası verileceğine hükmedilmektedir. Öngörülen idari para cezaları veri sorumlusu olan gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanır.

Kanun’a uygunluğu denetlemek üzere Kişisel Verileri Koruma Kurumu ihdas edilmiştir.

Kanun’un 28. Maddesinde, Kanun hükümlerinin uygulanmayacağı istisnai haller düzenlenmiştir. Bunlar:

1. a) Kişisel verilerin, üçüncü kişilere verilmemek ve veri güvenliğine ilişkin yükümlülüklere uyulmak kaydıyla gerçek kişiler tarafından tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetler kapsamında işlenmesi.
2. b) Kişisel verilerin resmi istatistik ile anonim hâle getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla işlenmesi.
3. c) Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini, ekonomik güvenliği, özel hayatın gizliliğini veya kişilik haklarını ihlal etmemek ya da suç teşkil etmemek kaydıyla, sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamında işlenmesi.

ç) Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini veya ekonomik güvenliği sağlamaya yönelik olarak kanunla görev ve yetki verilmiş kamu kurum ve kuruluşları tarafından yürütülen önleyici, koruyucu ve istihbari faaliyetler kapsamında işlenmesi.

1. d) Kişisel verilerin soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafından işlenmesi.

Kişisel Verilerin Korunmasına İlişkin Kararlar

“Davalı … tarafından davacının kimlik bilgilerinin kullanılması suretiyle hat çıkarılması işleminde bayi olarak gereken dikkat ve özeni göstermeyen davalı … haksız fiil faili ile birlikte zarardan sorumlu olduğu halde adı geçen davalı bakımından yazılı gerekçe ile davanın reddine karar verilmiş olması da yerinde değildir.

Somut olayda; davalı …’un davacının rızası olmaksızın kimlik bilgilerini kullanarak ve imzasını taklit ederek davacı adına telefon hattı çıkardığı, telefon faturasının ödenmemesi sebebiyle davacı aleyhine icra takibi yapıldığı ve davacının icra takipleri sebebiyle menfi tespit davası açmak zorunda kaldığı, adı geçen davalının eylemi sebebiyle hakkında ceza yargılaması yapıldığı ve yargılama esnasında alınan bilirkişi raporuyla imzanın davacının eli ürünü olmaması sebebiyle davalı hakkında mahkumiyet hükmü kurulduğu anlaşılmaktadır. Şu halde; davacının kimlik bilgilerinin rızası dışında kullanılması sebebiyle davacının kişisel verilerinin haksız olarak ele geçirildiği ve kullanıldığı sabit olup davalının eyleminin davacının kişilik haklarına saldırı teşkil ettiği dikkate alınarak uygun bir miktar manevi tazminata hükmedilmesi gerekirken tümden reddine karar verilmiş olması doğru olmamış kararın bu sebeple de bozulması gerekmiştir.”(Yargıtay 4. Hukuk Dairesi 2019/979 E., 2019/2679 K.)

“TCK’nun 136. maddesindeki “verileri hukuka aykırı olarak verme veya ele geçirme” suçu, seçimlik hareketli bir suç olarak düzenlenmiştir. Hukuka aykırı olarak kişisel verilerin başkasına verilmesi, kişisel verilerin yayılması ve kişisel verilerin ele geçirilmesi şeklindeki seçimlik hareketlerin birinin gerçekleştirilmesiyle suç işlenmiş olacaktır.

“Kişisel verileri bir başkasına verme” seçimlik hareketinde, maddede geçen “başkası” gerçek bir kişi olabileceği gibi tüzel kişi de olabilecek, veriler bu kişilere elden, posta ya da internet üzerinden elektronik posta ile vb. şekillerde verilebilecektir. Türk Dil Kurumu Büyük Türkçe Sözlüğünde “vermek”; “üzerinde, elinde veya yakınında olan bir şeyi birisine eriştirmek, iletmek, düşünce veya bilgi anlatan şeyleri başkalarına iletmek, bildirmek” şeklinde açıklanmıştır. Bu seçimlik harekette verilerin hukuka uygun ya da aykırı yöntemle elde edilmiş olmasının önemi bulunmamakta olup, önemli olan husus verme eyleminin hukuka aykırı olmasıdır.

“Kişisel verileri yayma” seçimlik hareketi de çeşitli şekillerde gerçekleştirilebilecektir. İnternet üzerindeki bir web sitesinde kişisel verileri yayınlamak, birçok kişiye elektronik posta ile ya da telefondan kısa mesajla göndermek, yazılı ya da görsel medyada yayınlamak gibi… Türk Dil Kurumu Büyük Türkçe Sözlüğünde “yaymak”; “birçok kimseye duyurmak, çevreye dağılmasına sebep olmak” olarak açıklanmıştır.

“Kişisel verilerin ele geçirilmesi” seçimlik hareketi ise; kişisel verilerin kayıtlı olduğu belgelerin alınması ya da kayıtlı olduğu bilişim sisteminden ele geçirilmesi vb… şekillerde gerçekleştirilebilecektir. Ele geçirme fiili, başkasının hakimiyeti altında bulunan bir kişisel verinin, failin hakimiyeti altına girmesi ile gerçekleşmiş olacaktır.

Bu suçta herhangi bir neticenin gerçekleşmesi aranmadığından maddede sayılan seçimlik hareketlerin yapılmasıyla suç oluşacaktır. Bu açıdan TCK’nun 136. maddesindeki “verileri hukuka aykırı olarak verme veya ele geçirme” soyut tehlike suçudur.

Bu açıklamalar ışığında somut olay değerlendirildiğinde;

Sanığın adına ve Antalya’da bulunan adresine kayıtlı ADSL hattı üzerinden 12.04.2007 tarihinde “” IP numarası ile “www.va.com” isimli arkadaşlık sitesine “” rumuzu kullanılarak oluşturulan profilde, katılanın rızası dışında telefon numarası ile gezip eğlenmeyi seven erkeklerle tanışmak istediği bilgisine yer verildiği, siteye giren kişilerce katılanın telefonuna çeşitli mesajlar gönderildiği olayda;

Katılanın, suçun Antalya ilinde işlenmesinden bir gün sonra Beykoz Cumhuriyet Başsavcılığına bizzat şikâyette bulunarak sanığın kızı ile aralarında bulunan husumetten dolayı eylemi sanığın gerçekleştirdiğine dair beyanı; katılana ait telefon numarasının verildiği arkadaşlık sitesindeki üyelik işleminin, sanığın adına kayıtlı ADSL hattını kullanan bilgisayar üzerinden gerçekleştirildiğine ilişkin bilirkişi raporu ile Yeni Medya Elektronik Yayıncılık ve Türk Telekominikasyon Anonim Şirketi yazıları karşısında; sanığın, eylemin evlerine gelen katılan tarafından gerçekleştirildiği ve kendisine komplo kurulduğuna dair savunmalarının suçtan kurtulmaya yönelik olduğunun kabulü ile itibar edilemeyeceği cihetle, üzerine atılı verileri hukuka aykırı yayma suçunu işlediği kabul edilmelidir.

Bu itibarla, yerel mahkeme direnme hükmünün, sanığın atılı suçtan mahkûmiyeti yerine beraatine karar verilmesi isabetsizliğinden bozulmasına karar verilmelidir.” (Yargıtay Ceza Genel Kurulu 2017/829 E. 2017/363 K.)

“Avrupa İnsan Hakları Sözleşmesi’nin “Özel Hayatın ve Aile Hayatının Korunması” başlıklı 8. maddesinde, herkesin özel ve aile yaşamına, konutuna ve haberleşmesine saygı gösterilmesi hakkına sahip olduğu, Birleşmiş Milletler Medeni ve Siyasi Haklar Sözleşmesi’nin “Mahremiyet Hakkı” başlıklı 17. maddesinde de, hiç kimsenin özel ve aile yaşamına, konutuna veya haberleşmesine keyfi veya hukuka aykırı olarak müdahale edilemeyeceği; onuru veya itibarının hukuka aykırı saldırılara maruz bırakılamayacağına, herkesin bu tür saldırılara veya müdahalelere karşı hukuk tarafından korunma hakkına sahip olduğu belirtilmiştir.

657 sayılı Devlet Memurları Kanunu’nun 99 ve devam eden maddelerinde Devlet memurlarının çalışma saatleri ile günlük çalışma saatlerinin başlama ve bitme saatlerinin tespitine yönelik düzenlemelere yer verilmiş olmakla birlikte, kamu görevlilerinin mesaiye devam durumlarının kontrolü konusunda ayrıntılı bir yasal düzenleme mevzuatımızda bulunmamaktadır. İdarelerce, gelişen teknolojinin kamu hizmetlerinin etkin ve verimli yürütülmesini kolaylaştırıcı etki sağlaması amacıyla, kamu kesiminde kullanılmaya başlamasını doğal karşılamak gerekir. Ancak; teknolojinin kullanılarak Kişisel verilerin kayıt altına alınması uygulamasının yukarıda belirtilen hükümlere uygun olması gerektiği kuşkusuzdur.

Personelin parmak izi tarama sistemi ile mesai kontrolünün yapılması durumunun, temel hak ve hürriyetler içerisinde sayılan özel hayatın gizliliği ilkesi kapsamında Kişisel bilgi veya Kişisel verilerin alınması kavramları içinde değerlendirilmesi gerekmektedir.

Mesai kontrol sisteminin şekli ve içeriği dikkate alındığında, sözü edilen uygulama ile kurumca amaçlanan kamu yararı arasında orantılılık bulunmadığından bu uygulama, anayasal ilke olan ölçülülük ilkesine aykırılık teşkil etmektedir. Anayasa’nın 13. maddesinde, temel hak ve hürriyetlerin ancak kanunla sınırlanabileceği, değişik 20/3 maddesinde de, Kişisel verilerin ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebileceğinin belirtildiği, ancak konuyla ilgili bu aşamada yasal bir düzenlemenin yapılmadığı anlaşılmaktadır.

Olayda, personelden Kişisel Veri alınması kapsamında olan “parmak izi tarama sistemi” ile mesai takibi uygulamasının, kamusal alanda da olsa “özel hayatın gizliliği” ilkesi kapsamında bulunduğunun anlaşılması karşısında; uygulamanın sınırlarını usul ve esaslarını gösteren bir yasal dayanağının bulunmaması, toplanan verilerin ileride başka bir şekilde kullanılamayacağına dair bir güvencenin mevcut olmaması göz önüne alındığında, yukarıda belirtilen temel haklar ve Anayasal ilkelerle bağdaşmayan dava konusu işlemde hukuka uyarlık, davanın reddi yolunda verilen İdare Mahkemesi kararında hukuki isabet bulunmadığı anlaşılmıştır.

Açıklanan nedenlerle, davacının temyiz isteminin kabulüyle Konya 1. İdare Mahkemesi’nce verilen 07/02/2013 günlü, E:2012/417, K:2013/119 sayılı kararın 2577 sayılı İdari Yargılama Usulü Kanunu’nun 49. maddesinin 1/b fıkrası uyarınca bozulmasına, aynı maddenin 3622 sayılı Kanunla değişik 3. fıkrası gereğince ve yukarıda belirtilen hususlar da gözetilerek yeniden bir karar verilmek üzere dosyanın adı geçen Mahkemeye gönderilmesine, 10.12.2013 tarihinde oyçokluğuyla karar verildi.” (Danıştay 5. Daire 2013/5342 E. 2013/9525 K.)