AYM Norm Denetimi E.2014/180 K.2015/30

Dairesi

İTİRAZIN KONUSU

31.5.2006 tarihli ve 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu'nun 67. maddesinin üçüncü fıkrasına, 1.3.2012 tarihli ve 6283 sayılı Kanun'un 1. maddesiyle eklenen ".biyometrik yöntemlerle kimlik doğrulamasının yapılması ve/veya." ibaresinin Anayasa'nın 2., 13. ve 20. maddelerine aykırılığı ileri sürülerek iptaline karar verilmesi istemidir.

I- OLAY

Genel sağlık sigortalısı davacı tarafından, biyometrik kimlik doğrulama sistemine tanımlanmaksızın hizmet sunmayan özel hastane başhekimliğinin uygulamasının bildirimi niteliğinde olan işlemin ve dayanak gösterdiği mevzuatın iptali istemiyle Sosyal Güvenlik Kurumu Başkanlığı aleyhine açılan davada, itiraz konusu kuralın Anayasa'ya aykırı olduğu kanısına varan Mahkeme, iptali için başvurmuştur.

III- YASA METİNLERİ

A- İtiraz Konusu Yasa Kuralı

Kanun'un itiraz konusu kuralı da içeren 67. maddesinin üçüncü fıkrası şöyledir:

"Ayrıca genel sağlık sigortalısı ve bakmakla yükümlü olduğu kişilerin sağlık hizmetlerinden ve diğer haklardan yararlanabilmeleri için sağlık hizmet sunucularına başvurduklarında acil haller hariç olmak üzere (acil hallerde ise acil halin sona ermesinden sonra); biyometrik yöntemlerle kimlik doğrulamasının yapılması ve/veya nüfus cüzdanı, sürücü belgesi, evlenme cüzdanı, pasaport veya Kurum tarafından verilen resimli sağlık kartı belgelerinden birinin gösterilmesi zorunludur."

B- Dayanılan Anayasa Kuralları

Başvuru kararında, Anayasa'nın 2., 13. ve 20. maddelerine dayanılmıştır.

IV- İLK İNCELEME

Anayasa Mahkemesi İçtüzüğü hükümleri uyarınca Serruh KALELİ, Alparslan ALTAN, Serdar ÖZGÜLDÜR, Osman Alifeyyaz PAKSÜT, Recep KÖMÜRCÜ, Burhan ÜSTÜN, Engin YILDIRIM, Nuri NECİPOĞLU, Hicabi DURSUN, Celal Mümtaz AKINCI, Erdal TERCAN, Muammer TOPAL, M. Emin KUZ ve Hasan Tahsin GÖKCAN'ın katılımlarıyla 4.12.2014 tarihinde yapılan ilk inceleme toplantısında, dosyada eksiklik bulunmadığından işin esasının incelenmesine OYBİRLİĞİYLE karar verilmiştir.

V- ESASIN İNCELENMESİ

Başvuru kararı ve ekleri, Raportör Berrak YILMAZ tarafından hazırlanan işin esasına ilişkin rapor, itiraz konusu yasa kuralı, dayanılan Anayasa kuralları ve bunların gerekçeleri ile diğer yasama belgeleri okunup incelendikten sonra gereği görüşülüp düşünüldü:

Başvuru kararında, biyometrik yöntemlerle yapılacak kimlik doğrulaması sonucu elde edilecek kişisel verilerin toplanması ve işlenmesinin kapsamı ile bu verilerin korunmasına ilişkin usul ve esasların belirli olmadığı, yasama organı tarafından temel ilkeleri koyulmadan, çerçevesi çizilmeden biyometrik veri toplanmasına olanak veren itiraz konusu kuralın, Anayasa'nın 2., 13. ve 20. maddelerine aykırı olduğu ileri sürülmüştür.

Kanun'un 67. maddesinin itiraz konusu kuralı da içeren üçüncü fıkrasında, genel sağlık sigortalısı ve bakmakla yükümlü olduğu kişilerin sağlık hizmetlerinden ve diğer haklardan yararlanabilmeleri için sağlık hizmet sunucularına başvurduklarında acil hâller hariç olmak üzere (acil hâllerde ise acil hâlin sona ermesinden sonra); biyometrik yöntemlerle kimlik doğrulamasının yapılması ve/veya nüfus cüzdanı, sürücü belgesi, evlenme cüzdanı, pasaport veya Kurum tarafından verilen resimli sağlık kartı belgelerinden birinin gösterilmesinin zorunlu olduğu öngörülmüştür.

Biyometrik yöntemlerle kimlik doğrulama, hizmet talep eden bir kullanıcının, ölçülebilir fizyolojik ve bireysel özellikler yoluyla gerçekleştirilen ve otomatik olarak doğrulanabilen kimlik denetleme yoluyla gerçek kullanıcı olup olmadığının doğrulanması anlamına gelmektedir.

Anayasa'nın 2. maddesinde belirtilen hukuk devleti, insan

haklarına dayanan, bu hak ve özgürlükleri koruyup güçlendiren, eylem ve

işlemleri hukuka uygun olan, her alanda adaletli bir hukuk düzeni kurup bunu

geliştirerek sürdüren, Anayasa'ya aykırı durum ve tutumlardan kaçınan, hukuku

tüm devlet organlarına egemen kılan, Anayasa ve kanunlarla kendini bağlı sayan,

yargı denetimine açık olan devlettir. Kanun koyucu, Anayasa'ya ve hukukun

genel ilkelerine aykırı olmamak kaydıyla her türlü düzenlemeyi yapma konusunda

takdir yetkisine sahiptir. Kanun koyucunun hukuki düzenlemelerde kendisine

tanınan takdir yetkisini anayasal sınırlar içinde adalet, hakkaniyet ve kamu

yararı ölçütlerini göz önünde tutarak kullanması ve keyfi davranmaması gerekir.

Anayasa'nın 2. maddesinde yer alan hukuk devletinin temel ilkelerinden biri "belirlilik"tir. Belirlilik ilkesi, yalnızca yasal belirliliği değil, daha geniş anlamda hukuki belirliliği de ifade etmektedir. Yasal düzenlemeye dayanarak erişilebilir, bilinebilir ve öngörülebilir gibi niteliksel gereklilikleri karşılaması koşuluyla, mahkeme içtihatları ve yürütmenin düzenleyici işlemleri ile de hukuki belirlilik sağlanabilir. Aslolan muhtemel muhataplarının mevcut şartlar altında belirli bir işlemin ne tür sonuçlar doğurabileceğini öngörmelerini mümkün kılacak bir normun varlığıdır.

Anayasa'nın 20. maddesinin birinci fıkrasında, herkesin, özel

hayatına saygı gösterilmesini isteme hakkına sahip olduğu, özel hayatın ve aile

hayatının gizliliğine dokunulamayacağı belirtilmiş; üçüncü fıkrasında da "Herkes,

kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu

hak; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu

verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve

amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar. Kişisel

veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla

işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla

düzenlenir." denilerek kişisel verilerin korunması, özel hayatın

gizliliğinin korunması kapsamında güvenceye kavuşturulmuştur.

Anayasa'nın 13. maddesinde, temel hak ve hürriyetlerin, özlerine dokunulmaksızın yalnızca Anayasa'nın ilgili maddelerinde belirtilen sebeplere bağlı olarak ve ancak kanunla sınırlanabileceği, bu sınırlamaların Anayasa'nın sözüne ve ruhuna, demokratik toplum düzeninin ve lâik Cumhuriyetin gereklerine ve ölçülülük ilkesine aykırı olamayacağı belirtilmiştir.

Kişisel verilerin korunması hakkı, kişinin insan onurunun

korunması ve kişiliğini serbestçe geliştirebilmesi hakkının özel bir biçimi

olarak, bireyin hak ve özgürlüklerini kişisel verilerin işlenmesi sırasında

korumayı amaçlamaktadır. Ancak söz konusu hak mutlak ve sınırsız olmayıp

Anayasa'nın 13. ve 20. maddeleri gereğince belirli koşullarda, demokratik

toplum düzeninin gereklerine ve ölçülülük ilkesine aykırı olmamak üzere kanunla

sınırlanabilir. Nitekim Türkiye'nin imzaladığı ancak uygulama kanununun

yürürlüğe konamaması nedeniyle taraf olmadığı 1981 tarihli ve 108 sayılı

Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Kişilerin

Korunmasına Dair Avrupa Konseyi Sözleşmesi'nin 9. maddesinde de devlet

güvenliği, kamu güvenliği, devletin ekonomik menfaatlerinin korunması ve suçlarla

mücadele edilmesi, ilgilinin veya üçüncü kişilerin hak ve özgürlüklerinin

korunması ile verilerin istatistiki veya bilimsel amaçlarla kullanılması

durumlarında kişisel verilerin korunmasına sınırlamalar getirilebileceği

öngörülmüştür. Bu nedenle, kişisel verilerin korunması temel hakkına kamu

yararı nedenlerine dayalı olarak müdahale edilebilmesine olanak tanınmaktadır.

İtiraz konusu kuralla, genel sağlık sigortalısı olanlar ve bakmakla yükümlü olduğu kişilerin sağlık hizmetlerinden ve diğer haklardan yararlanabilmeleri için hastane gibi kurumlara başvurduğunda, nüfus cüzdanı, sürücü belgesi, evlenme cüzdanı, pasaport veya verilmiş ise çalıştığı Kurum sağlık kartı belgelerinden biriyle kimlik tespitinin yanında veya sadece biyometrik yöntemlerle kimlik doğrulaması yapılması öngörülmektedir.

Kişisel veri kavramı, belirli veya kimliği belirlenebilir olmak

şartıyla, bir kişiye ilişkin bütün bilgileri ifade etmektedir. Bu bağlamda adı,

soyadı, doğum tarihi ve doğum yeri gibi bireyin sadece kimliğini ortaya koyan

bilgiler değil; telefon numarası, motorlu taşıt plakası, sosyal güvenlik

numarası, pasaport numarası, özgeçmiş, resim, görüntü ve ses kayıtları,

parmak izleri, genetik bilgiler, IP adresi, e-posta adresi, hobiler,

tercihler, etkileşimde bulunulan kişiler, grup üyelikleri, aile bilgileri gibi

kişiyi doğrudan veya dolaylı olarak belirlenebilir kılan tüm veriler kişisel

veri kapsamındadır. Bu bağlamda itiraz konusu kuralla öngörülen biyometrik

yöntemle elde edilen verilerin kişisel veri olduğunda kuşku yoktur. Bununla

birlikte söz konusu verilerin, 108 sayılı Sözleşme'nin 6. maddesinde özel

olarak belirtilen politik düşünce, dini inanç, sağlık, cinsel yaşam veya ceza

mahkûmiyetlerine ilişkin veriler gibi çok hassas verilerden olduğu da

söylenemez.

Biyometrik yöntemlerle kimlik doğrulama, kişinin kendi

özelliklerini esas alması nedeniyle izinsiz kullanımlara karşı güvenli, kamu

kuruluşlarına yönelik yolsuzluk ve bunların neden olduğu zararlara karşı etkili

ve sosyal güvenliği olan kişiler bakımından da güvenli hizmet alınmasını

sağlayan bir yöntemdir. İtiraz konusu kuralla öngörülen yöntemin sağlık

sektöründeki suiistimallerin engellenmesi ve bu konudaki sahteciliğin önlenmesi

maksadıyla önemli bir güvenlik önlemi olduğunda şüphe yoktur. Nitekim itiraz

konusu kuralın gerekçesinde sağlık hizmetlerinin elektronik ortamda güvenilir

altyapılar üzerinden sağlanması ve hizmetten yararlananların kimliklerinin

saptanmasında geleneksel yöntemlerin eksiklikleri nedeniyle ortaya çıkan kötüye

kullanımların önlenmesinin amaçlandığı belirtilmiştir. Dolayısıyla kuralla

öngörülen yöntemin etkin bir şekilde kullanılmasının, Sosyal Güvenlik

Kurumundan haksız menfaat temin edilmesini engellemeye yönelik olduğu ve

kuralda kamu yararı bulunduğu açıktır.

Bu bağlamda itiraz konusu kuralla özel hayatın ve kişisel verilerin korunması haklarına yönelik olarak yapılan müdahalenin, öngörülen amaçla orantılı olduğu, müdahale edilen hakların özüne dokunmadığı ve demokratik toplum düzeninin gereklerine aykırılık teşkil etmediği anlaşıldığından Anayasa'ya aykırı bir yönü yoktur.

Öte yandan itiraz konusu kuralla öngörülen yöntemin sadece sağlık sektöründe bu hizmetten yararlanma amacıyla kullanılabileceği, bu nedenle elde edilen verilerin sadece bu amaçla sınırlı olarak ve hizmetin devamı için zorunlu olduğu müddetle sınırlı olmak üzere tutulabileceği dikkate alındığında, bu verilerin neden ve hangi gerekçeyle temin edileceğine ilişkin olarak konu, amaç ve kapsamı ile ne şekilde ve hangi süreyle kullanılacaklarına dair bir belirsizlik olduğu söylenemez.

Ayrıca itiraz konusu kuralda öngörülen yöntemle elde edilen verilerin amaç ve kapsam dışında depolanması ve kullanılması hâlinde 5237 sayılı Türk Ceza Kanunu'ndaki kişisel verilerin korunmasına ilişkin ceza hükümlerinin uygulanacak olması nedeniyle bu konuda kanuni güvence de bulunmaktadır.

Açıklanan nedenlerle, itiraz konusu kural Anayasa'nın 2., 13. ve 20. maddelerine aykırı değildir. İptal isteminin reddi gerekir.

Serruh KALELİ, Alparslan ALTAN, Serdar ÖZGÜLDÜR, Engin YILDIRIM ve Erdal TERCAN bu görüşe katılmamışlardır.

ARSLAN

Başkanvekili

Serruh

KALELİ

Başkanvekili

Alparslan

ALTAN

Üye

Serdar

ÖZGÜLDÜR

Üye

Osman Alifeyyaz PAKSÜT

Üye

Recep

KÖMÜRCÜ

Üye

Burhan

ÜSTÜN

Üye

Engin

YILDIRIM

Üye

Nuri

NECİPOĞLU

Üye

Hicabi

DURSUN

Üye

Celal Mümtaz AKINCI

Üye

Erdal

TERCAN

Üye

Muammer

TOPAL

Üye

M. Emin KUZ

KARŞIOY GEREKÇESİ

5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu'nun 67. maddesinin üçüncü fıkrasına, 6283 sayılı Kanun'un 1. maddesiyle eklenen ". biyometrik yöntemlerle kimlik doğrulamasının yapılması ve/veya." ibaresinin Anayasa'ya aykırılığı ileri sürülmüştür.

Kural, sağlık sigortalısı ve bakmakla yükümlü olduğu kişilerin

sağlık hizmetlerinden yararlanmak amacıyla sağlık hizmet sunucularına

başvurduklarında biyometrik yöntemlerle meşru bir kullanıcı olup,

olmadıklarını tespit etmeyi amaçlamaktadır. Kuralda "ve/veya"

bağlacının kullanılması, kimliği tespit etmek ve denetlemek amacıyla biyometrik

yöntemlerin kullanılmasının zorunlu olmadığını, belirtilen diğer belge ve

usullerle de kimlik doğrulamasının yapılabileceğini ortaya koymaktaysa da;

Sosyal Güvenlik Kurumu Sağlık Uygulama Tebliği'nde "ve/veya" bağlacı

yerine "ve" bağlacı kullanıldığından biyometrik yöntemlerle kimlik

doğrulaması uygulamada zorunlu hale getirilmiştir. Sağlık hizmetinden

yararlanmak isteyenler biyometrik kimlik doğrulamasını kabul etmediklerinde

sağlık hizmeti alamamaktadır. Bu da sağlık hizmeti almak isteyenlerden zorla

kişisel veri alınması ile eşanlamlıdır. Hasta sağlık hizmeti almak için

biyometrik yönteme boyun eğmek zorunda bırakılmakta, bu yöntemle elde edilen kişisel

verilerinin ne amaçla kimler tarafından kullanılacağını bilmemekte, verilerine

ulaşma, düzeltilmesini ya da silinmesini isteme haklarından mahrum

bulunmaktadır.

"Özel hayatın gizliliği" başlıklı Anayasa'nın 20.

maddesinin 7.5.2010 tarih ve 5982 sayılı Kanun'la eklenen son fıkrasında

"Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına

sahiptir. Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkında

bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini

talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de

kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık

rızasıyla işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve

usuller kanunla düzenlenir." denilmektedir. Anılan hükmün

gerekçesinde de "Anayasada kişisel verilerin korunmasına yönelik dolaylı

hükümler bulunmakla birlikte yeterli değildir. Mukayeseli hukukta ve tarafı

olduğumuz uluslararası belgelerde de kişisel verilen korunması önemle vurgulanmaktadır.

Maddeyle, herkesin, kendisiyle ilgili kişisel verilerin korunmasını isteme

hakkı, anayasal bir hak olarak teminat altına alınmaktadır. Bu bağlamda,

bireylerin kendilerini ilgilendiren kişisel veriler üzerinde hangi hak ve

yetkilere sahip olduğu ve kişisel verilen hangi hallerde işlenebileceği hükme

bağlanırken, kişisel verilerin korunmasına ilişkin esas ve usullerin kanunla

düzenleneceği öngörülmektedir." şeklinde değerlendirmenin yer aldığı

görülmektedir. Anayasa'nın 20. maddesinin çıkarılmasını öngördüğü kanun ise

henüz çıkarılmamıştır. Ancak, örneğin Türk Ceza Kanunu'nun 135 - 140.

maddelerinde kişisel verilerin hukuka aykırı olarak kaydedilmesi ve işlenmesi

halleri suç olarak düzenlenmiş ve yaptırıma bağlanmıştır.

Öte yandan, birçok uluslar arası sözleşmede de kişisel verilerle

ilgili düzenlemeler yapılmış ve konunun önemi bu uluslararası metinlere

yansımıştır. Örneğin, Türkiye'nin de 1981'de imzalamasına karşın henüz

onaylamadığı, Avrupa Konseyi'nin 28.1.1981 tarih ve 108 Numaralı "Kişisel

Nitelikli Verilerin Otomatik İşleme Tâbi Tutulması Karşısında Şahısların

Korunmasına Dair Sözleşme"nin 6. maddesine göre, iç hukukta uygun

güvenceler sağlanmadıkça, ırk menşeini, politik düşünceleri, dini veya

diğer inançları ortaya koyan kişisel nitelikli verilerle, sağlık veya

cinsel yaşamla ilgili kişisel nitelikteki veriler ve ceza mahkumiyetleri, otomatik

bilgi işlemine tâbi tutulamazlar. Yine Avrupa Birliğinin 24 Ekim 1995

tarihli "Kişisel Verilerin İşlenmesinde Gerçek Kişilerin Korunması Yönergesi

(95/46/EC)"nde de, siyasi, dini, felsefi görüşler veya uyuşturucu, alkol

bağımlılığı veya sağlık gibi hassas verilerin korunmasına

ilişkin düzenlemelere yer verilmiştir.

Avrupa İnsan Hakları Mahkemesi de, kişilerin fiziki ve

sosyal kimlikleri, kişisel bilgileri, cinsiyetleri, şahıslarına ait özerk

sahaları, adları, fiziki ve ruhsal bütünlükleri (sağlık/tıbbi

bilgileri) iş ilişkileri, sosyal etkinlikleri, kişisel gelişimi,

fiziki ve moral güvenliği, dış çevrede insanlarla ilişkileri gibi hususları,

sözleşmenin "Özel hayatın ve aile hayatının korunması" başlıklı 8.

maddesi kapsamında "özel hayat" kavramı içinde

değerlendirmektedir. Avrupa İnsan Hakları Mahkemesinin birçok kararında

da, tıbbi verilerin ve bilgilerin Sözleşmenin 8. maddesinin

koruması altında olduğu, bunların korunması ve güvenliğinin üye ülkelerin

sorumluluğunda bulunduğu, bu bilgi ve verilerin başkalarının eline geçmemesi

için gerekli tüm yasal düzenlemelerin ve güvencelerin mevcudiyetinin gerektiği,

keza parmak izi, DNA analizi vb. gibi biyometrik verilerin salt kimlik

tespitine ve güvenlik nedenine yönelik durumlar müstesna, hassas kişisel veri

olarak korunmaları gerektiği içtihat olarak ortaya konulmuştur. Bir örnek olmak

üzere, Avrupa İnsan Hakları Mahkemesinin S. ve Marper'in Birleşik

Krallığa karşı yaptığı başvuru sonucunda verdiği kararında; gözaltına alınan

kişilerin kan, hücre örnekleri ve parmak izinin alınması fakat daha sonradan bu

kişilerin kendilerine isnat edilen suçla ilişkilerinin kalmaması durumunda,

halen bu bilgilerin tutulmaya devam edilmesini bu ölçüt

açısından değerlendirmiş ve durumu Avrupa İnsan Hakları Mahkemesi Sözleşmesinin

8. maddesinin ihlâli olarak görmüştür. Mahkeme, kişisel verilerin muhafazası,

tutulma süresi, kullanımı, üçüncü kişilerin erişimine açık olup, olmaması

verilerin gizliliği ve silinmesi konularında açık ve ayrıntılı asgari

güvencelerin sağlanması gerektiğini vurgulamıştır. (Case of S.and Marper v. The

United Kingdom, Başvuru No: 30562/04 ve 30566/04, Karar Tarihi: 4 Aralık

2008 paragraf 99.)

Anayasa Mahkemesi de aşağıda işaret edilen kararlarında, sözkonusu yasal düzenlemelerde yer alan düzenlemeleri, kişisel verilerin korunmasına ilişkin Anayasa'nın 20. maddesi ile 13. maddesine aykırı bularak iptali yoluna gitmiştir:

- ". İtiraz konusu kuralla, Bilgi Teknolojileri ve İletişim

Kurumunun elektronik haberleşme sektörüyle ilgili kişisel verilerin

işlenmesine ve gizliliğinin korunmasına yönelik usul ve esasları belirlemeye

yetkili olduğu hükme bağlanmıştır. Kişisel verilerin korunması hakkı, kişinin

insan onurunun korunması ve kişiliğini serbestçe geliştirebilmesi

hakkının özel bir biçimi olarak, bireyin hak ve özgürlüklerini kişisel verilerin

işlenmesi sırasında korumayı amaçlamaktadır. Bilişim teknolojilerindeki

gelişmeler sonucunda, geleneksel yöntemlerle mümkün olmayan çok sayıda

verinin toplanabilmesi; daha önce birbirinden ilişkisiz şekilde tutulan pek çok

verinin merkezi olarak bir araya getirilebilmesi; verilerin, veri eşleştirme ve

veri madenciliği gibi ileri teknolojik imkânlarla analize tâbi tutulmak

suretiyle, veriden yeni veriler üretme kapasitesinin atması; verilere erişim ve

veri transferinin kolaylaşması; kişisel verilerin ticari işletmeler için

kıymetli bir varlık niteliği kazanması neticesinde, özel sektör

unsurlarınca yaratılan risklerin daha yaygın ve önemli boyutlara ulaşması,

terör ve suç örgütlerinin kişisel verileri ele geçirme yönündeki

faaliyetlerinin artması gibi etkenler, günümüzde kişisel

verilerin en üst seviyede korunmasını zorunlu kılmaktadır. Bu bağlamda

Anayasa'nın 20. maddesinin üçüncü fıkrasının son cümlesinde 'Kişisel verilerin

korunmasına ilişkin usul ve esaslar kanunla düzenlenir.' hükmüne yer verilerek,

kişisel verilerin korunması hakkı anayasal güvenceye bağlanmış ve bu şekilde

kamu makamlarının keyfi müdahalelerine karşı koruma altına alınmıştır. Yasama

yetkisinin devredilemezliği ilkesi gereğince, Anayasa'nın açıkça kanunla

düzenlenmesini öngördüğü konularda yürütme organına doğrudan ve ilk elden

düzenleyici işlem yapma yetkisi verilemez. Elektronik haberleşme sektörüyle

ilgili kişisel verilerin işlenmesi ve gizliliğinin korunmasına yönelik usul ve

esasları belirleme yetkisini Bilgi Teknolojileri ve İletişim Kurumuna veren

itiraz konusu kural, Anayasa'nın 20. maddesinde öngörülen kişisel verilerin

korunmasına ilişkin usul ve esasların ancak kanunla düzenlenebileceğine ilişkin

güvenceye aykırıdır. Açıklanan nedenlerle, itiraz konusu kural Anayasa'nın 20.

maddesine aykırıdır. İptali gerekir..." (Any. Mah.nin 9.4.2013 tarih ve

E.2013/122, K.2014/74 sayılı kararı; RG. 26.7.2014, Sayı: 29072)

-"... Dava konusu kural, internet trafik bilgisinin TİB

tarafından ilgili işletmecilerden herhangi bir hukuki inceleme ya da sürece

dahil olmadan alınmasını ve hâkim tarafından karar verilmesi durumunda bu

bilginin ilgili mercilere verilmesini düzenlemektedir... Kişisel verilerin

korunmasını isteme hakkına sağlanan anayasal güvencenin yaşama geçirilebilmesi

için, bu hakkı ilgilendiren yasal düzenlemelerin, açık, anlaşılabilir

ve kişilerin söz konusu haklarını kullanabilmelerine elverişli olması

gerekir. Ancak böyle bir düzenleme ile kişilerin özel hayatlarını

ilgilendiren veri, bilgi ve belgelerin resmi makamların keyfi müdahalelerine

karşı korunması olanaklı hale getirilebilir... Çağdaş demokrasiler temel hak ve

özgürlüklerin en geniş ölçüde sağlanıp güvence altına alındığı rejimlerdir.

Temel hak ve özgürlükleri büyük ölçüde kısıtlayan ve kullanılamaz hale getiren

sınırlamalar hakkın özüne dokunur. Temel hak ve özgürlüklere getirilen

sınırlamaların yalnız ölçüsü değil, koşulları, nedeni, yöntemi, kısıtlamaya

karşı öngörülen kanun yolları gibi güvenceler hep demokratik toplum düzeni

kavramı içinde değerlendirilmelidir... Özel hayatın korunması her şeyden önce

bu hayatın gizliliğinin korunması, başkalarının gözleri önüne serilmemesi

demektir. Kişinin özel hayatında yaşananların, yalnız kendisi veya kendisinin

bilmesini istediği kimseler tarafından bilinmesini isteme hakkı, kişinin temel

haklarında biridir ve bu niteliği nedeniyle insan haklarına ilişkin beyanname

ve sözleşmelerde yer almış, tüm demokratik ülkelerin mevzuatlarında açıkça

belirlenen istisnalar dışında devlete, topluma ve diğer kişilere karşı

korunmuştur... Trafik bilgisi adı altında istenen bilgiler genel anlamda

belirli veya kimliği belirlenebilir olmak şartıyla, bir kişiye ilişkin bütün

bilgileri ihtiva eden kişisel veri kavramı içerisindedir. Kişisel verilerin

korunması hakkı, kişinin insan onurunun korunmasının ve kişiliğini serbestçe

geliştirebilmesi hakkının özel bir biçimi olarak, bireyin hak ve özgürlüklerini

kişisel verilerin işlenmesi sırasında korumayı amaçlamaktadır... Dava konusu

kural, yukarıda belirtilen kişisel veri niteliğinde olan ve çok ciddi suçların

tespiti, soruşturulması ve kovuşturmasında kullanılmak üzere gerçek ve tüzel

kişilere ilişkin trafik bilgisinin, işlenmemiş veri halinde süreli olarak

muhafaza edildiği erişim veya yer sağlayıcılardan, TİB tarafından herhangi bir

gerekçe veya neden göstermeksizin temin edilmesine olanak sağlamaktadır. Söz

konusu veriler ulaşabilirlik, kişilerin tercihleri, düşünceleri ve davranışları

hakkında fikir verebileceğinden kişilerin özel hayatlarına müdahale edilme

riskini içermektedir. Kuralda, temin edilecek bilgiyle ilgili olarak

herhangi bir konu ve amaç sınırlaması bulunmadığı gibi bilginin kapsamı, ne

şekilde kullanılacağı, tutulacağı süre, temin edilme gerekçesi gibi hususlarla

ilgili olarak da herhangi bir belirlilik bulunmamaktadır... Bu durumda

verilerin işlenebileceği hallerin kanunda açıkça yer alması zorunluluğu

bulunmasına karşın, kuralda herhangi bir belirleme ve sınırlama yapılmaksızın

doğrudan kişisel veri niteliğindeki trafik bilgisinin temin edilmesine ve

işlenmesine olanak sağlanmasının bu yönüyle Anayasa'nın 20. maddesine aykırı

olduğu açıktır... Anayasa'nın 13. ve 20. maddelerinde yer alan

güvencelere rağmen dava konusu kural ile kişiler, bilgi toplama, saklama,

işleme ve değiştirme yetkisi olan idareye ve diğer kişilere karşı korumasız

bırakılmış, veri toplamanın amaç, gerekçe, kapsam ve sınırlama yasal

düzenlemede yer verilmemiştir. Açıklanan nedenlerle, dava konusu kural

Anayasa'nın 2., 13. ve 20. maddelerine aykırıdır. İptali gerekir..."

(Any. Mah.nin 2.10.2014 tarih ve E.2014/149, K.2014/151 sayılı kararı, RG.

1.1.2015, Sayı: 29223)

-"... Dava konusu ibarenin de yer aldığı (a) bendinde, aynı

Kanun'un 22. maddesinin (1) numaralı fıkrasında PTT'nin faaliyetleri arasında

belirtilen "Adres bilgi kayıt sistemi"nin neyi ifade ettiği husus

belirtilmiştir. Buna göre, adres bilgi kayıt sistemi 25.4.2006 günlü, 5490

sayılı Nüfus Hizmetleri Kanunu ve ilgili mevzuatı saklı kalmak kaydıyla, gerçek

kişilerin rızası alınarak gerçek ve tüzel kişiler ile kamu kurum ve

kuruluşlarına ait fiziki ve elektronik adreslerin, reklâm ve tanıtım amacıyla

PTT hizmetlerinden yararlananlara ücret karşılığı kullandırılmasına

yönelik olarak oluşturulan PTT'ye ait veri tabanını ifade etmektedir. Dava

konusu ibare, adres bilgi kayıt sisteminde, gerçek kişilerin rızasını

aramaktadır. Dolayısıyla, ibarenin mefhumu muhalifinden, tüzel kişiler

yönünden onların rızalarının alınmasına gerek bulunmadığı anlamı

çıkmaktadır. Kişisel verilerin korunması temel hakkı, Anayasa

hukukunda esas olarak yüksek kişilik değerlerini korumaya yönelik bireysel

haklara ilişkindir. Bu hak, kişinin insan onurunun korunmasının ve

kişiliğini serbestçe geliştirebilmesi hakkının özel bir biçimi olarak,

bireyin hak ve özgürlüklerini kişisel verilerin işlenmesi sırasında korumayı

amaçlamaktadır. Kişisel veri kavramı, belirli veya kimliği

belirlenebilir olmak şartıyla, bir kişiye ilişkin bütün bilgileri ifade

etmektedir. Bu bağlamda, bir kişinin kendisinin veya ailesinin sürekli

veya geçici olarak konakladığı, ikamet ettiği yerlere ait bilgiler (fiziki

adresleri) de kişisel veri niteliğindedir. Aynı şekilde, elektronik

posta olarak adlandırılan ve elektronik iletişim ağı üzerinden

gönderilen ve internette ya da kullanıcının bilgisayarında kaydedilebilen

her türlü yazı, ses, resim ya da dil iletilerinin de kişisel veri

niteliğinde olduğu kabul edilmektedir. .. (Anayasa'nın 20. maddesi)

metninde kişisel verilerle ilgili olarak 'herkes'tabirinin

kullanılması dikkate alındığında, tüzel kişilere ilişkin verilerinde

20. madde kapsamında değerlendirilmesi gerekeceği açıktır. Bu durumda.

tüzel kişilerin kişisel veri niteliğinde bulunan fiziki veya elektronik

adreslerinin, yetkili kişi ya da organlarının rızaları alınmaksızın, dava

konusu kural uyarınca PTT A.Ş. tarafından reklâm veya tanıtım amacıyla toplanıp

kaydedilmesinin ve bunların üçüncü kişilere verilmesinin, Anayasa'nın 20.

maddesine aykırılık oluşturduğu açıktır. Açıklanan nedenlerle, dava

konusu kural Anayasa'nın 20. maddesine aykırıdır. İptali gerekir." (Any.

Mah.nin 4.12.2014 tarih ve E.2013/84, K.2014/183 sayılı kararı; RG.13.3.2015,

Sayı: 29294.)

- Nihayet Anayasa Mahkemesi, henüz gerekçesi yayımlanmayan 4.12.2014 tarih ve E.2013/114, K.2014/184 sayılı kararı ile 12.7.2013 tarih ve 6495 sayılı Kanun'la değiştirilen Sağlık Bakanlığı ve Bağlı Kuruluşlarının Teşkilat ve Görevleri Hakkındaki 663 sayılı Kanun Hükmünde Kararname'nin 47. maddesinin aşağıda metnine yer verilen (1), (2) ve (3) numaralı fıkralarının iptaline karar vermiştir:

" (1) Bakanlık ve bağlı kuruluşları, mevzuatla kendilerine verilen görevleri, e-devlet uygulamalarına uygun olarak daha etkin ve daha hızlı biçimde yerine getirebilmek için, bütün kamu ve özel sağlık kurum ve kuruluşlarından; sağlık hizmeti alanların, aldıkları sağlık hizmetinin gereği olarak ilgili sağlık kurum ve kuruluşuna vermek zorunda oldukları kişisel bilgileri ve bu kimselere verilen hizmete ilişkin bilgileri her türlü vasıtayla toplamaya, işlemeye ve paylaşmaya yetkilidir.

(2) Bakanlık ve bağlı kuruluşları kişisel sağlık verilerini ilgili üçüncü kişiler ve kamu kurum ve kuruluşları ile ancak bu kişi ve kurumların bu verilere erişebileceği hususunda kanun en yetkili olması halinde görevlerinin yapmalarına yetecek derecede paylaşabilir.

(3) Bakanlık ve bağlı kuruluşları, mevzuatla kendilerine verilen görevleri yerine getirebilmek için gereken bilgileri, kamu ve özel ilgili bütün kişi ve kuruluşlardan istemeye yetkilidir. İlgili kişi ve kuruluşlar istenilen bilgileri vermekle yükümlüdür."

Yukarıdan beri yapılan açıklamalar ışığında ilk tespiti gereken

husus, dava konusu kuralın (biyometrik yöntemlerle kimlik doğrulamasının

yapılması ve/veya) salt bir kimlik tespitine yönelik düzenleme

mahiyetinde olup olmadığı, kişisel sağlık verilerinin bu yolla depolanıp

işlenmesi ve paylaşılması sonucunu doğurup doğurmayacağının ortaya

konulmasıdır. Sosyal Güvenlik Kurumunun (SGK), kendisine sağlık hizmeti

sunulanlar yönünden bir kimlik tespiti ihtiyacı olduğunda kuşku yoksa da;

kuralda bu amaca yönelik bir düzenleme öngörülürken, sigortalıların ve bakmakla

yükümlü oldukları yakınlarının hassas kişisel veri mahiyetindeki "sağlık

bilgilerinin" korunmasına yönelik düzenlemelerin yapılması gerektiği

açıktır. Çünkü, biyometrik yöntemlerle kimlik bilgilerinin sağlık hizmeti

sunucularınca tespiti, beraberinde o kişinin tüm sağlık verilerinin yetkisiz

ellere geçmesi ihtimalini de getirmekte; aynı şekilde SGK'da toplanan bu kimlik

verilerinin başkalarıyla paylaşılmaması, başka kişi ya da yerlere iletilmemesi

gerekmektedir. Oysa dava konusu kuralda bu yönde hiçbir belirlilik

bulunmamakta, bilakis kural bu mahiyeti itibariyle her türlü kötüye kullanmaya

müsait görünmektedir.

Sigortalı kişilerden alınacak biyometrik örnekler, kişinin sağlık hizmetine ihtiyaç duyduğu süre boyunca, yani yaşamın sonuna değin elektronik sistemde saklanacaktır. Kuvvetli suç şüphesi halinde dahi amaçla orantılı bir sürede saklanabilen bu verilerin, prim ödeyerek sağlık hizmetinden yararlanan yurttaşlar yönünden süresiz olarak saklanmasının süre yönünden de ölçüsüz bir tedbir olduğu açıktır. Dolayısıyla kuralın belirlilik ilkesiyle ve dolayısıyla hukuk devleti ilkesiyle bağdaşmadığı söylenemez.

Anayasa'nın 13. maddesinde, temel hak ve özgürlüklerin özlerine dokunulmaksızın ölçülülük ilkesine uygun şekilde, yasayla sınırlandırılabileceği belirtilmektedir. Ölçülülük ilkesi sınırlamada başvurulan aracın sınırlama amacını gerçekleştirmeye elverişli olmasını; bu aracın sınırlama amacı açısından gerekli olmasını ve araçla amacın ölçüsüz bir oran içinde bulunmamasını ifade eder. Burada kısıtlama için kullanılan araçla amaç arasında hak ve özgürlüğü en az sınırlayacak dengeli bir orantı aranmaktadır.

Özel hayatın gizliliği ve bu kapsamda kişisel verilerin korunması konusu her şeyden önce insan onuruna saygı ve kişilik haklarına dayanmaktadır. Bu hak, kişinin saygınlığını ve kişiliğini serbestçe geliştirmesini mümkün kılan şeref ve haysiyet, özel yaşam ve sağlık gibi kişisel değerler üzerindeki çıkarlarını belirterek, bireye kişiliğini dilediği şekilde, serbestçe geliştirebileceği, kendisi ve sevdikleriyle bir arada olabileceği özerk bir yaşam alanına sahip olma şansı vermektedir. Bu alanda birey, maddi ve manevi kişiliğini geliştirmek ve başkaları tarafından bilinmesini istemediği hususların güvence altına alınmasını istemek hakkına sahiptir.

Sosyal Güvenlik Kurumu tarafından özel sağlık kuruluşlarına başvuran hastalardan talep edilen biyometrik veriler, Anayasa'nın 20. maddesinde düzenlenen, 'özel hayatın gizliliği' ilkesinin mutlak koruması altındadır. Bireylerin sağlığına veya fiziksel/biyolojik özelliklerine ilişkin bilgilerin kişisel veri kapsamında olduğunda ise şüphe yoktur.

Kişisel verilerin sistematik biçimde kayıt altına alınabilmesi

için verilerin korunmasına ilişkin esas ve usullerin kanunla düzenlenmesi ön

koşuldur. Başka bir deyişle kişisel verilerin korunmasına ilişkin gerekli yasal

düzenlemeye ve teknik olanaklara sahip olmayan bir kamu otoritesinin, yasallık

ve kişinin rızası koşullarını sağlaması halinde dahi veri işlemenin hukuka

uygunluğundan söz etmek olanaklı olmayacaktır. Kişisel verilerin alınması ve

işlenmesinin demokratik bir toplumda gerekli olması, amaçla orantılı ve ölçülü

bir tedbir olması gerekmektedir. İtiraz konusu düzenlemede biyometrik

yöntemlerle yapılacak kimlik doğrulaması sonucu elde edilen kişisel verilerin

toplanması ve işlenmesinin kapsamı ile bu verilerin korunmasına ilişkin usul ve

esaslara yer verilmemiştir.

Devlet Denetleme Kurulu da, Sağlık Bakanlığı ve Sosyal Güvenlik Kurumunu da kapsayan kişisel verilerle ilgili raporunda; kişisel verilerin hangi ilkeler kapsamında toplanacağı, ne şekilde korunacağı, kimlerle ve ne şekilde paylaşılabileceği, nasıl silineceği, kişilerin Anayasa ile getirilen haklarını kullanabilmeleri için kurumların ne tür önlemler alması gerektiği gibi pek çok konuda önemli sorunlar olduğuna dikkat çekmiştir.

(Devlet Denetleme Kurulunun; "Kişisel Verilerin Korunmasına İlişkin Ulusal ve Uluslararası Durum Değerlendirmesi ile Bilgi Güvenliği ve Kişisel Verilerin Korunması Kapsamında Gerçekleştirilen Denetim Çalışmaları" hakkında hazırlanan 27/11/2013 tarih ve 2013/3 sayılı Denetleme Raporu Özeti, http://www.tccb.gov.tr/ddk26.pdf, erişim tarihi 25.3.2015)

Kuralın Anayasa'nın 13. maddesi bakımından yapılan değerlendirilmesinde, ölçülü ve gerekli olmadığı da açıktır. SGK yönünden sağlık suistimalleri gerekçe gösterilerek bu düzenlemenin yapıldığı kuralın gerekçesinden öne sürülmekteyse de; resmi kimlik belgelerini bir anlamda geçersiz kılan kuralın ölçülü ve gerekli olduğu kabul edilemez. Ayrıca Anayasa'nın 20. maddesinde belirtilen esaslı unsurlar da kuralda (yasada) yer almadığından, kuralın Anayasa'nın 20. maddesinin de ihlâli sonucuna yol açtığı ve Anayasa Mahkemesinin yukarıda işaret edilen iptal kararlarındaki ölçütleri taşımadığı görülmektedir.

Açıklanan nedenlerle, ilk nazarda sadece bir kimlik tespiti yöntemi gibi görünse de, gerçekte sigortalıların tüm sağlık bilgilerinin (hassas kişisel verilerinin) deşifre edilmesi, işlenmesi, kötüye kullanılması ihtimalini barındıran ve esaslı hiçbir ölçüt ve güvence ihtiva etmeyen kuralın Anayasa'nın 2., 13. ve 20. maddelerine aykırı olduğu ve iptali gerektiği kanaatine vardığımızdan; çoğunluğun aksi yöndeki kararına katılmıyoruz.

Üye

Hasan Tahsin GÖKCAN

Üye

Kadir

ÖZKAYA

Başkanvekili

Serruh

KALELİ

Başkanvekili

Alparslan

ALTAN

Üye

Serdar

ÖZGÜLDÜR

Üye

Engin

YILDIRIM

Üye

Erdal

TERCAN