A) CİMER Başvurularına Dair Kayıtların Arşivlenmesi

CİMER, dijital ortamda vatandaşların pek çok şikayetini iletebildiği ve bilgi edinme başvurusunda bulunabildiği önemli bir kamu hizmeti platformudur. Vatandaşların pek çok konuda CİMER’e yazabildiği ve kimi zaman da gerekmese bile oldukça mahrem kişisel verilerine bu başvurularda yer verebildiği gözlemlenmektedir. Sorun şudur ki buraya iletilen bilgiler, başvuru sonuçlansa veya geri çekilse bile belirli durumlarda arşivlenmektedir. Bu durum, Cumhurbaşkanlığı İletişim Merkezi Yönetmeliği md. 9/2’de ‘‘Başvuru ve başvuru sahibine ilişkin tüm bilgiler, yapılan başvurudan dolayı ileride doğabilecek hukuki uyuşmazlıklar nedeniyle yargı organları ile diğer yetkili makamların taleplerini yerine getirmek üzere 6698 sayılı Kanun ve ilgili mevzuat hükümleri uyarınca arşivlenir.’’ şeklinde düzenlenmiştir.

CİMER’e yapılan başvurular içerisindeki bilgilerden kişisel veri niteliğinde olanlar, yukarıdaki yönetmelik hükmünde de belirtildiği üzere 6698 s. Kişisel Verileri Koruma Kanunu düzenlemelerine tabidir. Ayrıca ilgili yönetmeliğin 10. maddesinde de verilerin, ‘kişisel verilerin işlenme şartına uygun olarak’ saklanacağı belirtilmektedir.

Yönetmelikteki ‘yapılan başvurudan dolayı ileride doğabilecek hukuki uyuşmazlıklar nedeniyle yargı organları ile diğer yetkili makamların taleplerini yerine getirmek’ üzere arşivleme faaliyeti, 6698 s. Kanun hükümleri uyarınca yapılabileceği için ilgili kanunda bu yönde bir dayanak bulunması şarttır. Kanunda ise ‘‘ileride doğabilecek hukuki uyuşmazlıklar nedeniyle yargı organları ile diğer yetkili makamların taleplerini yerine getirmek’’ şeklinde ayrık bir veri işleme gerekçesi bulunmamaktadır. 6698 s. Kanun’un 28. maddesinin birinci fıkrasında, kanundan muaf tutulan bazı veri işleme faaliyetleri mevcuttur ancak CİMER platformu, düzenlemenin ilk fıkrasındaki istisnalar kapsamına da girmemektedir. Dolayısıyla CİMER’deki kayıtlar evvela 6698 s. Kanun’un 5 ve 6. maddelerindeki genel şartlara dayalı olarak işlenebilmektedir.

Kanundaki genel veri işleme şartlarından pek çoğu; ortada yerine getirilmesi gereken ayrık bir kanuni yükümlülük yoksa, CİMER’e yapılan bir başvuru sonlandırıldıktan veya başvuru sahibi tamamlanmamış bir başvurusunu iptal ettikten sonra veri işlemeye dayanak olamayacaktır. Çünkü başvuru tamamlandığında ya da kişi başvurusunu geri çektiğinde, artık bu kamu hizmetinden faydalanmak istememektedir ve sürdürülmesi gereken bir işlem de kalmayacaktır. Burada kanaatimce ‘bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması’ durumu, ‘niteliğine uygun düştüğü ölçüde’ gündeme gelebilir. Bu nitelikte olmayan kişisel verilere yönelik ise ‘ortada ayrık bir kanuni yükümlülük yoksa’ başvuru tamamlandıktan veya iptal edildikten sonra bunların işlenmesi için bir sebep bulunmayacağı söylenebilir.

B) Arşivlenen Kayıtların Silinmesi

Başvuru tamamlandıktan veya iptal edildikten sonra kayıtların arşivlenmesi için gerekli şartların varlığında bile ne yönetmelik md. 9/2 ne de 6698 s. Kanun md. 5-6, sınırsız bir veri işleme yetkisi tanımamaktadır. Evvela bu noktada kişi, madde 11’e dayanarak sildirme talebinde bulunabilir. Fakat 6698 s. Kanun md. 28/2’de, gerek aydınlatma yükümlülüğü gerekse sildirme talebi gibi haklar bağlamında bazı istisnai durumlar yaratılmıştır. Yönetmelikte zikredilen ‘ileride doğabilecek hukuki uyuşmazlıklar nedeniyle yargı organları ile diğer yetkili makamların taleplerini yerine getirmek’ durumu; 6698 s. Kanun md. 28/2’de sayılan istisnalar arasından ‘kişisel veri işlemenin suç soruşturması için gerekli olması’ ve ‘kişisel veri işlemenin kanunun verdiği yetkiye dayanılarak görevli ve yetkili kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarınca, disiplin soruşturma veya kovuşturması için gerekli olması’ durumları ile örtüşmektedir. Dolayısıyla diğer hallerde kullanabilecek olsa bile bu tür durumlarda 6698 s. Kanun md. 11’de bulunan sildirme hakkı kullanılamayacaktır.

Belirtmek gerekir ki yukarıda zikredilen istisnalar, 6698 s. Kanun’un 7. maddesini kapsamamaktadır ve bu maddede ‘işlenmesini gerektiren sebeplerin ortadan kalkması halinde’ kişisel verilerin re’sen silinmesi gerektiği düzenlenmiştir. Dolayısıyla yukarıda zikredilen adli-idari süreçler noktasındaki zaruret ortadan kalktığı an, ilgili kişi arşivden kayıtlarının silinmesi talebinde bulunabilir. Kanaatimce bir cezai veya idari suç şüphesi içermediği açık olan CİMER başvuruları noktasında, ölçülülük ilkesi gereğince bunların yönetmeliğin 9/2 maddesi ile bağlantılı 6698 s. Kanun’un 28/2 maddesi bağlamında değerlendirilmesi doğru olmayacaktır. Dolayısıyla ilgilinin, 11. maddeye dayanarak bunların silinmesi için doğrudan veri sorumlusuna bir başvuruda bulunması mümkün olmalıdır.

CİMER başvuruları aynı zamanda ilgili kurumlara iletildiği için bu kişisel veriler ilgili kurumlar bünyesinde de tutulmaktadır. Dolayısıyla aynı açıklamalar, bu kurumlar ve onların tuttuğu kişisel veriler için de geçerlidir. Buradaki temel sorun, bu kurumların kendi bünyelerinde kanundan doğan ayrı veri işleme yükümlülükleri bulunabileceği veya doğrudan 28/1 bağlamında bir istisna içerisinde kalabilecek olmalarıdır. Dolayısıyla her kurumun ayrıca kendi özelinde değerlendirilmesi gerekir.