Geçtiğimiz hafta bu köşede, Kişisel Verilerin Ko­runması Kanunu kapsamında Kişisel Verileri Ko­ruma Kurulu tarafından verilen en güncel kararlardan bazılarını derlemiştik. Bu derlediğimiz kararlar, bir aykı­rılık görülen ve bu aykırılığın da ceza ile yaptırıma uğ­ratıldığı kararlardı. Bu haftaki köşemizde, geçen haftanın aksine, ceza verilmesine gerek bulunma­dığı yönündeki bazı kararları inceleyelim. Tekrar, bu kararların detaylı olduğunu, herhangi bir sonuca varmadan önce kararın tamamının, iddia-cevapla­rın, hukuki gerekçelerin okunması gerektiğini de belirtelim.

İlk karar, borç ne­deniyle borçluların aranıp mesaj atıl­ması ile ilgili. Bir hukuk bürosu çalı­şanı, büronun mü­vekkili olan şirketin bir borçlusunu, borcu nedeniyle, te­lefonla arıyor. Ayrıca beş kez mesaj gön­deriyor. Telefonla aramadan önce aydınlatma yükümlülüğünün yerine getirilme­diği, kişiye sık mesaj gönderilmesi ve hukuka aykırı elde edilen veriler ile kişinin kimlik ve iletişim bilgileri­nin edinildiği iddialarıyla şikayet ediliyor. Kurul bir hak­kın yerine getirilmesi için aslında ayda yalnızca bir kez mesaj attığı ve bunun dürüstlük kuralına uygun ol­duğu bulgusuyla, aydınlatma yükümlülüğü konu­sunda ise başvurucunun veri sorumlusuna başvurularında yeterli bilgi bulunmadığı nedeniyle, ve hukuka aykırı yollarla elde edilen bilgilerin kullanıldığı iddiasında ise iddiayı tevsik edici herhangi bir bilgi bu­lunmadığı gerekçeleriyle, hukuk bürosuna ceza veril­memesi gerektiğine karar veriyor. Burada önemli olan fikrimce şu; kurula şikayet yapılmadan önce veri sorumlusu olan şirkete başvuru ve bu başvuru­nun içeriği, sonradan kurulun vereceği kararda ol­dukça önemli. Ayrıca soyut olup da altında tevsik edici bilgi-belge bulunmayan iddialar, sonuca pek gitmiyor.

İnceleyeceğimiz diğer karar ise oldukça uzun ve detaylı. Pazarlama bölümünde çalışan personel, id­diaya göre, şirketle ilgili gizli belgeleri şirket e-pos­tasından şahsi e-postasına gönderiyor, buna ilave olarak bir çalışan ile olan telefon görüşmesini izin­siz kaydedip bu kaydı yine aynı şirket e-posta adre­sinden kendi şahsi adresine gönderiyor. Denetimde bu hususlar tespit ediliyor ve çalışan ile yollar ayrılıyor. Ardından, şirketin kendisine atadığı kurumsal e-posta adresindeki içeriklerin şirket tarafından izlendiği ve buna bağlı olaylarla ilgili hukuka aykırılıklar olduğu id­dialarıyla şirketi şikayet ediyor. Kurulun olayla ilgili var­dığı sonuçlar arasında şunlar öne çıkıyor: Toplu bir şekilde, iş sözleşmesi ekinde imzalatılan veri koruma hukukunu ilgilendiren evrak takımının “yanıltıcı şe­kilde alelacele imzalatıldığı” iddiası soyut bir iddia olup, bunu destekleyici somut emareler yoksa, bu id­diayı Kurul dinlememiş. Şirket, e-postaların yalnızca iş için kullanılacağı yönünde taahhütname imzalat­mış, ve bununla ilgili aydınlatma yükümlülüğünü de yerine getirmişse; o zaman Kurul, veri sorumlusu olan şirketin hem de ticari bilgilerinin transferinin izlen­mesini haklı menfaat kapsamında değerlendirmiş, ve zira burada Türk Borçlar Kanunu 396 ve İş Kanunu 25. Maddelere atıf yapmış. Denetim yapılmasını da ölçülülük ilkesine uygun olarak değerlendirmiş. Sonuç olarak, bu olayda veri sorumlusu olan şirketin veri işleme hareketlerini kanuna uygun bulup, şikayet­çinin tüm şikayetlerini reddetmiş.