Veri Sorumlusu Olarak Sosyal Ağ Şirketlerinin Hukuki Sorumluluğu
Yazar: Av. Fatma OKUR
Veri sorumlusu kavramı Kişisel Verilerin Korunması Kanunu kapsamında hayatımıza girmiş olup, veri ile bu verinin sahibi olan sujenin hangi şartlarda ve ne şekilde korunacağı ilgili ve verinin nasıl işleneceği ile yakından bağlantılıdır.
Bu yazıda öncelikle veri sorumlusu tanımını ve daha sonra veri sorumlusu ile veri işleyen arasındaki farkı açıklanarak devamında sosyal ağ sağlayıcı şirketlerin veri sorumlusu kapsamında sorumlulukları üzerinde durulacaktır.
Veri sorumlusu kişisel verinin işlenme amaçlarını belirlemekle birlikte bu verilerin hangi vasıtalarla işleneceğini belirler. Bu nedenle verinin işlenme amacı ve işlenme süresi kişisel verinin korunması açısından hayati önem sahip noktalardan biridir. Ayrıca veri sorumlusu ilgili verinin tutulacağı kayıt sisteminin kurulmasını ve bu sistemin yönetilmesini takip etmekle sorumlu olan gerçek ya da tüzel kişiyi de ifade eder. Tüzel kişiler kişisel verilerin işlenmesi konusundaki faaliyetlerinde bizzat kendileri veri sorumlusu olup kanun kapsamındaki sorumlulukta bizzat tüzel kişiyi ifade etmektedir.
Veri işleyen de tıpkı veri sorumlusu gibi gerçek ya da tüzel kişi olabilir ancak veri işleyen veri sorumlusunun verdiği yetki ile hareket edebilen ancak veri sorumlusunun organizasyonu dışında ama veri soumlusunun talimatı ile ilgili verileri ilgili yerlerde işleyebilen ve de veri sorumlusu ile kişisel veri işleme sözleşmesi yapmak suretiyle veri sorumlusunda ayrı bir gereçke veya tüzel kişidir. Veri işleyenin görevi verinin nerede ve nasıl işleneceği gibi biraz daha teknik konularla alakalıdır.
Önemle belirtmek gerekir ki veri sorumlusu ve veri işleyen aynı gerçek veya tüzel kişi olabilir Örneğin bir eczahane sahibi kendi personeli ile ilgili olarak tuttuğu kişisel veriler açısından veri sorumlusu iken aynı zamanda müşterilerinden aldığı kişisel veriler açısından veri işleyen konumunda olacaktır.
Bir diğer örnekte ise Mali müşavirler, müşterilerinin hesaplarıyla ilgili kayıtları tutarken bu kayıtlardaki kişisel verilerin işlenmesi bakımından veri sorumlusudurlar. Zira mali müşavir işledikleri kişisel verilerle ilgili sorumluluk almasını zorunlu kılan yasal yükümlülükleri bulunmaktadır. Örneğin, bir şirketin hesaplarıyla ilgili kayıtları tutarken herhangi bir yolsuzluğa rastlamaları durumunda mali müşavirlerin adli ve idari birimler veya diğer yetkili kurumlara bildirimde bulunma zorunluluğu bulunmaktadır. Bildirimi yaparken müşterisinin talimatları doğrultusunda hareket etmiyor olacağı açıktır. Dolayısıyla bunun gibi uzman hizmet sağlayıcıları, kendi mesleki yasal yükümlülüklerine tabi oldukları sürece veri sorumlusu statüsünde bulunacaklardır ve veri sorumlusu olmaktan kaynaklanan yükümlülüklerini anlaşmayla müşteriye kısmen veya tamamen bırakmaları mümkün olmayacaktır. Bunun gibi örnekleri çoğaltmak mümkün olacaktır
Sosyal ağ sağlayıcıları ise 5651 sayılı kanuna 2020 yılında eklenen s bendi ile tanımlanmıştır. Kanunun 2. Maddesine göre ;Sosyal etkileşim amacıyla kullanıcıların internet ortamında metin, görüntü, ses, konum gibi içerikleri oluşturmalarına, görüntülemelerine veya paylaşmalarına imkân sağlayan gerçek veya tüzel kişileri, ifade eder. denmektedir.
Kanun çerçevesinde sosyal ağ sağlayıcıları tanımlanmakla birlikte Ek 4. Madde ile günlük erişimi 1 milyon üzerinde olan sosyal ağlara bir takım yükümlülükler de getirilmiştir. Bu yükümlülüklerden bazıları sıralanacak olursa;
-Eğer Türkiye’deki erişimi günlük 1 milyonu aşıyorsa ve bu sosyal ağ yurt dışı kaynaklı bir sosyal ağ ise Türkiye ‘de bir temsilci bulundurması gerekecektir. Bu temsilcinin gerçek ya da tüzel kişi olması arasında bir fark olmamakla birlikte eğer gerçek kişi temsilci olarak atanırsa bu gerçek kişinin Türk vatandaşı ve Türkiye’de mukim olması gerekecektir. Burada sosyal medya aracılığı ile işlenen birçok suçta adli ve idari makamlarca gönderilen tebligatların gereğinin yapılması ve kanun kapsamında yapılacak başvuruların cevaplandırılması ve yükümlülüklerin yerine getirilmesi amaçlanmıştır. Böylece bir suç soruşturması veya kovuşturması sırasında suça konu olayda kullanılan sosyal ağlar vasıtasıyla olayın aydınlatılması daha kolay olacaktır. Yaın zamana kadar yurt dışı kaynaklı birçok sosyal ağ vasıtasıyla çeşitli suçlara sebebiyet verilmiş ancak bu sosyal medya platformlarının Türkiye’de bir temsilciliğinin olmaması sebebiyle soruşturma ve kovuşturma makamları sırf bu nedenle ilerleyememekteydi. Söz konusu kanuna eklenen madde ile artık temsilci bulundurma zorunluluğu getirilmiş ve böylece büyük bir ilerleme katedilmiştir.
-Günlük erişim 10 milyonun üzerinde olan ve yurt dışı kaynaklı sosyal ağ sağlayıcı temsilcileri sosyla ağ sağlayıcının her türlü sorumluluğu saklı kalmak üzerekendisi bizzat idari , hukuki, ve mali yönden tam yetkili ve sorumlu olacaktır. Eğer bu temsilci tüzel kişi ise sosyal ağ sağlayıcı tarafından sermaye şirketi olarak kurulan bir şirketin şubesi olmak zorundadır.
-Sosyal ağ sağlayıcı tarafında belirlenen temsilcinin Bilgi Teknolojileri ve İletişim Kurumu’na bildirilmesi gerekecektir. Bu bildirime uyulmadığı takdirde Kurum tarafından bildirimin yapılması gerektiği belirtilerek Kanunun belirlediği süre de verilecektir. Bu süre içinde de sosyal ağ sağlayıcı tarafından bildirim yapılmazsa ilgili ağ sağlayıcıya otuz milyon Türk lirası daha idari para cezası verilir. İkinci kez verilen idari para cezasının tebliğinden itibaren otuz gün içinde bu yükümlülüğün yerine getirilmemesi hâlinde Başkan tarafından Türkiye’de mukim vergi mükellefi olan gerçek ve tüzel kişilerin ilgili sosyal ağ sağlayıcısına yeni reklam vermesi yasaklanır, bu kapsamda yeni sözleşme kurulamaz ve buna ilişkin para transferi yapılamaz.
-Kanunda belirtilen yükümlülükler yerine getirilmemekte ısrar edildiği takdirde öncelikle sosyal ağ sağlayıcının internet trafiğinin bant genişliğinin yüzde eli oranında daraltılması için Kurum tarafından sulh ceza hakimliğine başvurulacaktır. Bu kısıtlamaya rağmen yükümlülükleri yerine getirmeyen sosyal ağ sağlayıcısının internet trafiği bant genişliği bu defa yüzde doksan oranında daraltılması için Sulh cezaya başvurulur. Hakim ikinci başvuru sonrasında vereceği kararda sunulan hizmeti de dikkate alarak talepten daha bir oranda belirleyebilir. Hakimin verdiği karara karşı Kurum başkanı itiraz yoluna gidebilir.
- Hakim tarafında verilen karar Sosyal ağ sağlayıcılarına bildirilmek üzere Kurum’a gönderilir Kararların gereği, bildirimden itibaren derhâl ve en geç dört saat içinde erişim sağlayıcıları tarafından yerine getirilir.
-Temsilci belirleme ve bildirme yükümlülüğünün yerine getirilmesi hâlinde; verilen idari para cezalarının dörtte biri tahsil edilir, reklam yasağı kaldırılır ve hâkim kararları kendiliğinden hükümsüz kalır. İnternet trafiği bant genişliğine yapılan müdahalenin sona erdirilmesi için erişim sağlayıcılara Kurum tarafından bildirim yapılır.
-Türkiye’den günlük erişimi bir milyondan fazla olan yurt içi veya yurt dışı kaynaklı sosyal ağ sağlayıcı kendisine bildirilen içeriğin çıkarılması ve/veya erişimin engellenmesi kararlarının uygulanmasına ve üçüncü fıkra kapsamındaki başvurulara ilişkin istatistiksel ve kategorik bilgileri içeren Türkçe hazırlanmış raporları altı aylık dönemlerle Kuruma bildirir. Üçüncü fıkra kapsamındaki başvurulara ilişkin rapor, kişisel verilerden arındırılmak suretiyle sosyal ağ sağlayıcının kendi internet sitesinde de yayınlanır.
- Sosyal ağ sağlayıcı hesap verebilirlik ilkesine uygun şekilde hareket etmek, Kanunun uygulanmasında şeffaflığı sağlamak, Kanunun uygulanmasına ilişkin gerekli tüm bilgi ve belgeleri Kurum tarafından istenildiği zaman Kuruma vermekle yükümlüdür. Sosyal ağ sağlayıcı kullanıcılarına eşit ve tarafsız davranmakla yükümlü olup Kuruma sunulacak raporda bu hususa ilişkin alınan tedbirlere de yer verilir.
Kişisel verilerin kişilerin izni olmadan sosyal medya aracılığı ile kullanılması birçok ülkeden bu alanı koruma altına almaya yöneltmiştir. Ülkemizde de öncelikle 2010 Yılında Anayasa eklenen ek fıkra ile Herkesin , kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahip olduğu ve devamında Bu hakkın kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve bu amaçlar doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsadığı belirtilmiştir.
Anayasanın bu hükmü sonrasında kişisel verilerin daha fazla güvence altına alınması düşüncesi ile Kişisel Verilerin Korunması Kanunu düzenlemeye tabi tutulmuştur. Kişisel verilerin Korunması Kanunu ile ayrıntılı düzenlemelere yer verilmiş böylece kişisel verilerin kötü niyetli kullanılmaması yolunda bir adım daha atılmıştır. Ancak düzenlemeler bununla sınırlı kalmamış hem Kurumun bizzat yayınlandığı tebliğler hem de bu konuda yayınlanan yönetmeliklerle kişisel verilerin daha fazla korunması amaçlanmıştır.
Devam eden düzenlemelerle internet ortamında yapılan yayınları düzenlemek ve bu yayınlar vasıtasıyla işlenen suçlarla mücadele etmek amacıyla çıkarılan kanun ve eklenen ek maddelerle günümüzde facebook, instagram, X Tiktok, Pinterest gibi çok yoğun bir şekilde kullanılan sosyal medya ağları ve bu ağlar vasıtasıyla kişilerin kişisel verilerin hukuka aykırı kullanılmasının önüne geçilmek istenmektedir.
Bu hukuka aykırı kullanımla sosyal ağ sağlayıcılarının hesap verilebilir zeminde olmaması nedeniyle devam eden soruşturma ve kovuşturma dosyaları ilerleyememekte idi. Ancak 2007 yılında yayınlanan 5651 sayılı kanun ve bu kanuna 2020 yılında eklenen ek maddeler ile özellikle Yurt dışı kaynaklı sosyal ağ sağlayıcılarının Türkiye’de temsilci bulundurma zorunluluğu getirilmiş ve böylece kanuni denetim kolaylaşmıştır.
Yazar: Av. Fatma OKUR