|
ÖZET: Bu karar, bir bankanın basın kartını resmi kimlik belgesi olarak kabul etmemesi ve cep telefonu bilgisinin hukuka aykırı olarak talep edilmesi üzerine yapılan başvuruyu incelemektedir. Başvurucu, bankacılık işlemleri sırasında basın kartının kabul edilmesi ve cep telefonu bilgisinin talep edilmesinin durdurulmasını istemiştir. Kamu Denetçiliği Kurumu, basın kartının hukuki statüsünü değerlendirerek, bu kartın resmi kimlik belgesi olarak kabul edilemeyeceğine karar vermiştir.
Ayrıca, bankaların cep telefonu bilgilerini talep etme uygulamasının hukuka aykırı olduğu sonucuna varılmıştır. Bu bağlamda, Bankacılık Düzenleme ve Denetleme Kurumu’na, cep telefonu bilgisi talep edilmesi uygulamasının sonlandırılması yönünde tavsiyede bulunulmuştur. Karar, kişisel verilerin korunması ve hukuka uygunluk açısından önemli bir içtihat oluşturmaktadır. |
TÜRKİYE BÜYÜK MİLLET MECLİSİ KAMU DENETÇİLİĞİ KURUMU (OMBUDSMANLIK)
SAYI : 2020/3688-S.20.5913
BAŞVURU NO : 2019/16891
KARAR TARİHİ : 09/03/2020
KISMEN TAVSİYE KISMEN RET KARARI
BAŞVURUYA KONU İDARE : İLETİŞİM BAŞKANLIĞI
BANKACILIK DÜZENLEME VE DENETLEME
KURUMU BAŞKANLIĞI
MALİ SUÇLARI ARAŞTIRMA KURULU
BAŞKANLIĞI
KİŞİSEL VERİLERİ KORUMA KURUMU
BAŞKANLIĞI
BAŞVURUNUN KONUSU : Vatandaşın kişisel verisinin bankalar tarafından hukuka aykırı olarak talep edilmesi uygulamasının durdurulması ve bu kurumların yaptıkları işlemler sırasında, resmi bir kimlik belgesi niteliğinde olan basın kartını da kabul etmelerinin sağlanması talebi hakkındadır.
BAŞVURU TARİHİ : 24/09/2019
I. BAŞVURANIN İDDİA VE TALEPLERİ
(1) Başvurucu tarafından, bir bankacılık işlemi (okul taksiti yatırma) için gittiği özel bir bankada, eski Başbakanlık tarafından, hali hazırda da Cumhurbaşkanlığı İletişim Başkanlığı tarafından tanzim edilen ve yürürlükteki mevzuata göre resmi bir kimlik belgesi niteliğinde olan sarı basın kartının, resmi kimlik belgesi olarak kabul edilmediği; yanı sıra cep telefonu numarasını paylaşmadığı gerekçesi ile bahse konu bankacılık işleminin yapılmadığı, cep telefonu bilgisinin, mer’i mevzuat uyarınca kişisel verisi kapsamında olduğu, hiç kimsenin baskı yolu ile kişisel verisini paylaşmak zorunda bırakılamayacağı, iddia ve şikâyet edilerek; (2) Bankalar tarafından, vatandaşın kişisel verisinin hukuka aykırı olarak talep edilmesi uygulamasının durdurulması ve bu kurumların yaptıkları işlemler sırasında, resmi bir kimlik belgesi niteliğinde olan sarı basın kartını da kabul etmelerinin sağlanması talep edilmektedir.
II. İDARENİN BAŞVURUYA İLİŞKİN AÇIKLAMALARI
(3) Kurumumuzca, verilecek karara esas olmak üzere, başvuru belgesinde yer alan iddiaların doğruluğunun tespiti amacı ile 6328 sayılı Kamu Denetçiliği Kurumu Kanunu hükümleri kapsamında İletişim Başkanlığı, Mali Suçları Araştırma Kurulu Başkanlığı (MASAK), Bankacılık Düzenleme ve Denetleme Kurumu (BDDK) ve Kişisel Verileri Koruma Kurumu (KVKK) nezdinde inceleme ve araştırma gerçekleştirilmiştir. MASAK, BDDK ve KVKK’dan iletilen bilgi, belge ve değerlendirmeler dosyasında muhafaza edilmiş; İletişim Başkanlığı ise herhangi bir cevap Kurumumuza gönderilmediği tespit edilmiştir.
(4) MASAK tarafından özetle; 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında
Kanunun 3 üncü maddesinde, yükümlülerin, kendileri nezdinde yapılan veya aracılık ettikleri işlemlerde işlem yapılmadan önce, işlem yapanlar ile nam veya hesaplarına işlem yapılanların kimliklerini tespit etmek zorunda oldukları, kimlik tespitine esas belge nevilerini belirlemeye
Hazine ve Maliye Bakanlığının yetkili olduğu, kimlik tespitini gerektiren işlem türleri, bunların parasal sınırları ve konuyla ilgili diğer usul ve esasların yönetmelikle belirlendiği, (5) 5549 sayılı Kanunun verdiği yetkiye istinaden 09/01/2008 tarih ve 26751 sayılı Resmi
Gazetede yayımlanarak yürürlüğe giren Suç Gelirlerinin Aklanmasının ve Terörün
Finansmanının Önlenmesine Dair Tedbirler Hakkında Yönetmeliğin (Tedbirler Yönetmeliği), “Gerçek kişilerde kimlik tespiti” başlıklı 6 ncı maddesi ikinci fıkrası (a) bendinde, Türk uyruklu gerçek kişilerin kimlik bilgilerinin, T.C. nüfus cüzdanı, T.C. sürücü belgesi veya pasaport üzerinden teyit edileceğinin belirtildiği; Tedbirler Yönetmeliğinin, 14/12/2017 tarihli ve 30270 sayılı Resmi Gazetede yayımlanarak yürürlüğe giren, 6 ncı maddesi ikinci fıkrası (a) bendinde yapılan değişiklikle, Türk uyruklu gerçek kişiler için T.C. nüfus cüzdanı, T.C. sürücü belgesi veya pasaportun yanı sıra üzerinde T.C. kimlik numarası bulunan ve özel kanunlarında resmi kimlik hükmünde olduğu açıkça belirtilen kimlik belgelerinin de gerçek kişilerde kimlik tespitinde kullanılabilecek belgeler arasına dâhil edildiği, (6) Bu kapsamda, Basın Kartı Yönetmeliğinin 5 inci maddesi birinci fıkrasında, basın kartının
“resmi nitelikte bir kimlik belgesi” olduğunun belirtildiği, ancak yukarıda da ifade edildiği üzere; herhangi bir kimlik belgesinin Tedbirler Yönetmeliğinin 6 ncı maddesi ikinci fıkrası (a)
bendi kapsamında kimlik tespitinde geçerli belge olarak kabul edilebilmesi için özel kanunlarında bu kimlik belgesinin “resmi kimlik hükmünde olduğu” hükmünün açıkça düzenlenmiş olması gerektiği, (7) Tedbirler Yönetmeliğinin 6 ncı maddesinin birinci fıkrasında, gerçek kişilerin kimlik tespitinde, ilgilinin adı, soyadı, doğum yeri ve tarihi, uyruğu, kimlik belgesinin türü ve numarası, adresi ve imza örneği, varsa telefon numarası, faks numarası, elektronik posta adresi, iş ve mesleğine ilişkin bilgiler ile Türk vatandaşları için bu bilgilere ilave olarak anne, baba adı ve T.C. kimlik numarası bilgilerinin alınacağının belirtildiği, bu itibarla müşterinin kimlik tespitinde, telefon numarasının, alınması zorunlu bilgiler arasında bulunmadığı, değerlendirmesi Kurumumuza iletilmiştir.
(8) BDDK tarafından cevaben; 5411 sayılı Bankacılık Kanununun 76 ncı maddesinde, “…Bankaların, kimliklerini ve vergi numaralarını belgelemeyen müşterileri adına mevduat, katılım fonu, kredi ve her ne ad altında olursa olsun hesap açmaları, sözleşme düzenlemeleri, havale ve kambiyo hizmetleri ile diğer bankacılık ve mali hizmetleri vermeleri yasaktır. Bu fıkranın uygulanmasına ilişkin usûl ve esaslar Kurumun görüşü alınarak Malîye Bakanlığınca düzenlenir. Bu fıkra hükmüne ve Malîye Bakanlığınca yapılan düzenlemelere uymayanlar hakkında 2.4.1998 tarihli ve 4358 sayılı Kanunun 5 inci maddesi hükmünün uygulanması bu
Kanunun kovuşturma usulü hükümlerine tâbi değildir.” hükmünün yer aldığı, (9) Anılan madde uyarınca çıkartılan ve 1.11.2006 tarihli ve 26333 sayılı Resmi Gazetede yayımlanarak yürürlüğe giren Mevduat ve Katılım Fonunun Kabulüne, Çekilmesine ve
Zamanaşımına Uğrayan Mevduat, Katılım Fonu, Emanet ve Alacaklara İlişkin Usul ve Esaslar
Hakkında Yönetmeliğin 4 üncü maddesi ikinci fıkrasının, “Kredi kuruluşlarının, müşterileri adına mevduat veya katılım fonu kabul edebilmeleri için, müşterilerini tanımak amacıyla müşterilerin kimliklerini, T.C. kimlik ve vergi numaralarını belgelemesi ve 5411 sayılı
Bankacılık Kanununun 76. maddesinin üçüncü fıkrası hükmüne istinaden Maliye Bakanlığınca yapılan düzenlemelerde yer alan yükümlülükleri yerine getirmesi zorunludur.” hükmünü amir olduğu, (10) Ayrıca, 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun ile anılan
Kanuna istinaden MASAK tarafından çıkarılan Suç Gelirlerinin Aklanmasının ve Terörün
Finansmanının Önlenmesine Dair Tedbirler Hakkında Yönetmelik (Tedbirler Yönetmeliği)
hükümleri uyarınca finansal kuruluşlar ile bunların şube, acente, temsilci ve ticari vekilleri ile benzeri bağlı birimlerinin, müşterilerin kimlik tespitini yapmakla yükümlü oldukları, bahsi geçen Yönetmeliğin 30.10.2017 tarihli ve 2017/10938 sayılı Bakanlar Kurulu Kararı Eki
Yönetmeliğin 1 inci maddesiyle değişik 6 ncı maddesinin (2) numaralı fıkrasının (a) bendinin, “Türk uyruklular için T.C. nüfus cüzdanı, T.C. sürücü belgesi veya pasaport ile üzerinde T.C.
kimlik numarası bulunan ve özel kanunlarında resmi kimlik hükmünde olduğu açıkça belirtilen kimlik belgeleri” hükmünü içermekte olduğu, (11) Öte yandan, ilgilinin dilekçesinde sarı basın kartı olarak belirtilen kartın niteliğinin,
14.12.2018 tarihli ve 30625 sayılı Resmi Gazetede yayımlanarak yürürlüğe giren Basın Kartı
Yönetmeliği ile belirlenmiş olduğu, anılan Yönetmeliğin “Basın Kartının Niteliği” başlıklı 5 inci maddesi birinci fıkrasının, “Basın kartı, bu Yönetmelikte belirtilen kişilere verilen resmi nitelikte bir kimlik belgesidir.” hükmünü amir olduğu, (12) Bununla birlikte, yukarıda belirtilen Tedbirler Yönetmeliğinde, bir kimlik belgesinin bankacılık işlemlerinde kullanılabilmesi için özel kanunlarında resmi kimlik belgesi hükmünde olması gerektiği şartı arandığının açıkça belirtildiği, oysa ilgilinin talebine konu basın kartının kanun ile değil yönetmelik hükümlerine göre belirlendiği dikkate alındığında, basın kartının bankalarda kimlik tespitine esas belge niteliğinde olmadığının değerlendirildiği; yine de bu konuda nihai değerlendirmenin MASAK’a ait olduğunun düşünüldüğü, değerlendirmesi Kurumumuza bildirilmiştir.
(13) KVKK tarafından; bankaların gerçek kişilere ait cep telefonu bilgisini toplama, işleme, saklama, aktarma gibi fiillerinin 6698 sayılı Kişisel Verilerin Korunması Kanun hükümleri kapsamında değerlendirilmesi sadedinde, Kanunun 2 nci maddesinde Kanunun kapsamının
“Bu Kanun hükümleri, kişisel verileri işlenen gerçek kişiler ile bu verileri tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişiler hakkında uygulanır.” şeklinde belirlendiği, Kanunun 3 üncü maddesinin birinci fıkrasının (d) bendi uyarınca kişisel verinin, “kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi”, (e) bendi uyarınca kişisel verilerin işlenmesinin, kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi ifade ettiği, (ç) bendi uyarınca ilgili kişinin, kişisel verisi işlenen gerçek kişiyi, (ı) bendi uyarınca veri sorumlusunun, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek ve tüzel kişiyi ifade ettiği, (14) Yukarıda yer verilen hükümler çerçevesinde cep telefonu bilgisinin kişisel veri, cep telefonu bilgisinin elde edilerek kullanılmasının kişisel verilerin işlenmesi faaliyeti, bankaların veri sorumlusu, kendilerine ait cep telefonu bilgisi işlenen kişilerin ise ilgili kişi olduğu; bu itibarla bankalar tarafından ilgili kişinin cep telefonu bilgilerinin işlenmesi faaliyetlerinin aşağıda yer verilen mevzuat hükümlerine uygun şekilde gerçekleştirilmesi gerektiği, (15) Buna göre Kanunun “Genel ilkeler” başlıklı 4 üncü maddesinde kişisel verilerin ancak bu
Kanunda ve diğer kanunlarda öngörülen usul ve esaslara uygun olarak işlenebileceği ve kişisel verilerin işlenmesinde maddede, “a) Hukuka ve dürüstlük kurallarına uygun olma, b) Doğru ve gerektiğinde güncel olma, c) Belirli, açık ve meşru amaçlar için işlenme, ç) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma, d) İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.” şeklinde sayılan ilkelere uyulmasının zorunlu olduğu; anılan madde hükmünden açıkça anlaşılacağı üzere, kişisel verilerin işlenmesinde her hal ve şartta Kanunun 4 üncü maddesinde sayılan genel ilkelere uyulmasının hukuki bir gereklilik olduğu, bu ilkelerden kişisel verilerin “belirli, açık ve meşru amaçlar için işlenme” ilkesi, kişisel veri işleme faaliyetlerinin ilgili kişi tarafından açık bir şekilde anlaşılır olmasını, kişisel veri işleme faaliyetinin hangi hukuki işleme şartına dayalı olarak gerçekleştirildiğinin tespit edilmesini, kişisel veri işleme faaliyetinin ve bu gerçekleştirilme amacının belirliliğini sağlayacak detayda ortaya konulmasını ifade ettiği; amacın meşru olması, veri sorumlusunun işlediği verilerin, yapmış olduğu iş veya sunmuş olduğu hizmetle bağlantılı ve bunlar için gerekli olması anlamına geldiği, bir diğer önemli ilke olan “işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması” ilkesine göre, işlenen verilerin belirlenen amaçların gerçekleştirilmesine elverişli olması, amacın gerçekleştirilmesiyle ilgili olmayan veya sonradan ortaya çıkması muhtemel ihtiyaçların karşılanmasına yönelik veri işleme yoluna gidilmemesi, burada önemli olanın, amacı gerçekleştirmeye yönelik yeterli verinin temin edilmesi, bunun dışındaki gerekli olmayan veriyi işlemeden kaçınılması olduğu; “ölçülülük ilkesinin” ise veri işleme ile gerçekleştirilmesi istenen amaç arasında makul bir dengenin kurulması yani veri işlemenin, amacı gerçekleştirecek ölçüde olması demek olduğu, “amaçla sınırlılık ilkesinin” bir gereği olarak kişisel verilerin işlendikleri amaç için gerekli olan süreye uygun olarak muhafaza edilmesi gerektiği, bununla ilgili olarak veri sorumlusunun, kişisel veri saklama politikası ve esaslarını oluşturmak, saklama süreleri ve muhafazada uygulamaya alınacak teknik ve idari tedbirleri belirlemek ve kişisel verilerin bu esaslara uygun olarak muhafazasını sağlamakla yükümlü olduğu, kişisel verilerin saklanması için “amaçla sınırlılık ilkesi” uyarınca veri sorumlusu tarafından belirlenen saklama sürelerinin yanı sıra, veri sorumlusunun tabi olduğu ilgili mevzuat kapsamında da belirlenmiş saklama sürelerinin mevcut olduğu, buna göre veri sorumlularının, ilgili kişisel veriler için mevzuatta öngörülmüş bir süre varsa bu süreye riayet edeceği, eğer böyle bir süre öngörülmemişse verileri ancak işlendikleri amaç için gerekli olan süre kadar saklayabilecekleri, bir verinin daha fazla saklanması için geçerli bir sebep bulunmaması halinde, o verinin silinecek, yok edilecek ya da anonim hale getirileceği; nitekim Kanunun “Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi” başlıklı 7 nci maddesinde, bu Kanun ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel verilerin resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silineceği, yok edileceği veya anonim hâle getirileceği, kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesine ilişkin diğer kanunlarda yer alan hükümlerin saklı olduğunun hükme bağlandığı, (16) Kişisel verilerin işlenme şartlarının düzenlendiği Kanunun 5 inci maddesinin birinci fıkrasında da kişisel verilerin ilgili kişinin açık rızası olmaksızın işlenemeyeceği, ikinci fıkrasında belirtilen şartlardan (-Kanunlarda açıkça öngörülmesi, -Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması, -Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması, -Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması, -İlgili kişinin kendisi tarafından alenileştirilmiş olması. -Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması, -ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması) birinin varlığı halinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesinin mümkün olduğu hususunun hükme bağlandığı, (17) Kişisel verilerin aktarılmasının ise Kanunun 8 inci maddesinde düzenlendiği, buna göre kişisel verilerin, ilgili kişinin açık rızası olmaksızın aktarılamadığı, ancak kişisel verilerin
Kanunun 5 inci maddesinin ikinci fıkrası ile 6 ncı maddesinin üçüncü fıkrasında belirtilen şartlardan birinin bulunması hâlinde, ilgili kişinin açık rızası aranmaksızın aktarılabileceği, ayrıca madde hükmüne göre kişisel verilerin aktarılmasına ilişkin diğer kanunlarda yer alan hükümlerin saklı tutulduğu, (18) Yine Kanunun 10 uncu maddesi uyarınca kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişinin ilgili kişileri kişisel verilerin işlenme faaliyeti hakkında anılan maddede yer verilen unsurları içerecek şekilde bilgilendirmesi gerektiği, Bu kapsamda
Kanunun 10 uncu maddesinde yer alan aydınlatma yükümlülüğünün, Aydınlatma
Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ hükümlerine uygun olarak yerine getirilmesi gerektiği, ayrıca kişisel veri işleme faaliyetinin ilgili kişinin açık rızasına bağlı olması durumunda, veri sorumlusunun aydınlatma yükümlülüğü ile açık rıza alınması işlemlerinin ayrı ayrı yerine getirilmesi gerektiği, (19) Diğer taraftan, veri sorumlusunun, kişisel veri işleme faaliyetinin tüm süreçlerinde kişisel veri güvenliğine ilişkin Kanunun 12 nci maddesinde düzenlenen uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak ve anılan maddede belirtilen diğer yükümlülüklere uymak zorunda olduğu, değerlendirmesi aktarılmıştır.
III. İLGİLİ MEVZUAT
(20) 2709 sayılı Türkiye Cumhuriyeti Anayasasının; (20.1), “Özel hayatın gizliliği” başlıklı 20 nci maddesi birinci fıkrasında, herkesin, özel hayatına ve aile hayatına saygı gösterilmesini isteme hakkına sahip olduğu güvence altına alınmıştır. Aynı maddenin Ek üçüncü fıkrasında, “Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir.” hükmü kural altına alınmıştır.
(20.2) “Temel hak ve hürriyetlerin korunması” başlıklı 40 ıncı maddesinde, Anayasa ile tanınmış hak ve hürriyetleri ihlal edilen herkesin, yetkili makama geciktirilmeden başvurma imkânının sağlanmasını isteme hakkına sahip olduğu güvence altına alınmıştır.
(20.3) “Dilekçe, bilgi edinme ve kamu denetçisine başvurma hakkı” başlıklı 74 üncü maddesinde, herkesin kamu denetçisine başvurma hakkının olduğu ve Türkiye Büyük Millet
Meclisi Başkanlığına bağlı olarak kurulan Kamu Denetçiliği Kurumunun, idarenin işleyişiyle ilgili şikâyetleri inceleyeceği hüküm altına alınmıştır.
(21) Birleşmiş Milletler İnsan Hakları Evrensel Beyannamesinin 12 nci maddesi, “Kimsenin özel yaşamına, ailesine konutuna ya da haberleşmesine keyfi olarak karışılamaz, şeref ve adına saldırılamaz. Herkesin bu gibi karışma ve saldırılara karşı yasa tarafından korunmaya hakkı vardır.” ifadelerine yer verilerek, özel hayatın korunmasına yönelik temel güvence öngörülmüştür.
(22) Birleşmiş Milletler Medeni ve Siyasi Haklara İlişkin Uluslararası Sözleşmenin 17 nci maddesinde, “(1) Hiç kimsenin özel ve aile yaşamına, konutuna veya haberleşmesine keyfi veya hukuka aykırı olarak müdahale edilemez; onuru veya itibarı hukuka aykırı saldırılara maruz bırakılamaz. (2) Herkes bu tür saldırılara veya müdahalelere karşı hukuk tarafından korunma hakkına sahiptir.” hükmü güvence altına alınmıştır.
(23) İnsan Hakları ve Temel Özgürlüklerin Korunmasına İlişkin Avrupa Sözleşmesinin, “Özel ve aile hayatına saygı hakkı” başlıklı 8 inci maddesinde “(1) Herkes özel ve aile hayatına, konutuna ve yazışmasına saygı gösterilmesi hakkına sahiptir. (2) Bu hakkın kullanılmasına bir kamu makamının müdahalesi, ancak müdahalenin yasayla öngörülmüş ve demokratik bir toplumda ulusal güvenlik, kamu güvenliği, ülkenin ekonomik refahı, düzenin korunması, suç işlenmesinin önlenmesi, sağlığın veya ahlakın veya başkalarının hak ve özgürlüklerinin korunması için gerekli bir tedbir olması durumunda söz konusu olabilir.” hükmü öngörülmüştür.
(24) Avrupa Konseyinin 28/01/1981 tarih ve 108 numaralı Kişisel Nitelikli Verilerin Otomatik
İşleme Tabi Tutulması Karşısında Şahısların Korunmasına Dair Sözleşmesinin, (17.3.2016 tarih ve 29656 sayılı Resmi Gazetede yayımlanan 2016/8576 sayılı Bakanlar Kurulu ile onaylanan) “Tanımlar” başlıklı 2 nci maddesinde kişisel veri, “Kimliği belirli veya belirlenebilen bir gerçek kişi (ilgili kişi) hakkındaki tüm bilgiler” şeklinde tanımlanmıştır. Aynı
Sözleşmenin “Verilerin niteliği” başlıklı 5 inci maddesinde, “Otomatik işleme konu olan
kişisel veriler:
a) Adil biçimde ve yasal yoldan elde edilir ve işlenir; b) Belli ve meşru amaçlar için kaydedilir ve bu amaçlara aykırı şekilde kullanılmaz; c) Kaydedilme amaçlarına göre uygun ve yerinde olur ve aşırı olmaz; d) Doğru bilgileri yansıtır ve gerektiğinde güncellenir; e) Kaydedilme amaçlarını gerçekleştirmek için gerekli olan süreyi aşmayacak şekilde ilgili kişilerin kimliklerini belirlemeye imkan veren bir biçimde saklanır.” şeklinde düzenlenmeye yer verilmiştir.
(25) Avrupa Birliğinin 24/10/1995 tarih ve 95/46EC sayılı Kişisel Verilerin İşlenmesinde
Gerçek Kişilerin Korunması Yönergesinin, “Verilerin güvenliği” başlıklı 7 nci maddesinde, “Otomatik fişlere kaydedilen kişisel nitelikteki verileri korumak için, bunların kazaen veya izinsiz olarak imhasına veya zayi olmasına veya bunların elde edilmesine, değiştirilmesine veya izinsiz olarak dağıtılmasına karşı uygun güvenlik önlemleri alınması zorunludur. Veriler yasal çerçevede toplanabilir ve verinin öznesine sistem hakkında bilgilendirme yapılır. Verilerin gizliliği ve güvenliği esastır.” hükmü düzenlenmiştir.
(26) 18/12/2000 tarih ve 45/2001(CE) sayılı Avrupa Parlamentosu Kararında; [Kişisel
Verilerin Avrupa Topluluğu Kurumları ve Kuruluşları Tarafından İşlenmesine İlişkin Olarak
Bireylerin Korunması ve Bu Verilerin Serbest Dolaşımı Hakkındaki Yönerge] “Kişisel veriler, adil ve yasal olarak belirlenen, açık ve yasal olan amaçlar için toplanmalı ve ancak bu amaçlar doğrultusunda kullanılmalı, toplanma amacıyla ilgili ve yeterli ölçüde olmalı, bu amacı aşmamalı, doğru ve güncel olmalı ve ancak amaca uygun olarak gerektiği sürece saklanmalıdır.” ifadeleri yer almaktadır.
(27) Avrupa Temel Haklar Şartının “Kişisel bilgilerin korunması” başlıklı 8 inci maddesinde, “1. Herkes, kendisine ilişkin kişisel bilgilerin korunmasını isteme hakkına sahiptir. 2. Bu tür bilgiler, belirtilen amaçlar için ve ilgili kişinin muvafakatine veya yasada öngörülen başka meşru temele dayalı olarak adil şekilde kullanılmalıdır. Herkes, kendisi hakkında toplanmış olan bilgilere erişme ve bunlarda düzeltme yaptırma hakkına sahiptir.” düzenlemesi kayıt altına alınmıştır.
(28) 6328 sayılı Kamu Denetçiliği Kurumu Kanununun “Kurumun görevi” başlıklı 5 inci maddesi birinci fıkrasında, Kamu Denetçiliği Kurumunun, şikâyet üzerine, idarenin her türlü eylem ve işlemleri ile tutum ve davranışlarını; insan haklarına dayalı adalet anlayışı içinde, hukuka ve hakkaniyete uygunluk yönlerinden incelemek, araştırmak ve idareye önerilerde bulunmakla görevli olduğu hüküm altına alınmıştır.
(29) 6698 sayılı Kişisel Verilerin Korunması Kanununun; (29.1) “Amaç” başlıklı 1 inci maddesinde, bu Kanunun amacı, kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenleme olarak belirlenmiştir.
(29.2) “Kapsam” başlıklı 2 nci maddesinde, bu Kanun hükümlerinin, kişisel verileri işlenen gerçek kişiler ile bu verileri tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişiler hakkında uygulanacağı hüküm altına alınmıştır.
(29.3) “Tanımlar” başlıklı 3 üncü maddesinde, “açık rıza”, belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza; “anonim hâle getirme”, kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesi; “kişisel veri”, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi; “kişisel verilerin işlenmesi”, kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem; “veri işleyen”, veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi; “veri sorumlusu”, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi şeklinde tanımlanmıştır.
(29.4) “Genel ilkeler” başlıklı 4 üncü maddesinde, “(1) Kişisel veriler, ancak bu Kanunda ve diğer kanunlarda öngörülen usul ve esaslara uygun olarak işlenebilir. (2) Kişisel verilerin işlenmesinde aşağıdaki ilkelere uyulması zorunludur: a) Hukuka ve dürüstlük kurallarına uygun olma. b) Doğru ve gerektiğinde güncel olma. c) Belirli, açık ve meşru amaçlar için işlenme. ç) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma. d) İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.” hükmüne yer verilmiştir.
(29.5) “Kişisel verilerin işlenme şartları” başlıklı 5 inci maddesi birinci fıkrasında, “Kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez.” hükmü düzenlenmiştir.
(29.6) “Kişisel verilerin aktarılması” başlıklı 8 inci maddesi birinci fıkrasında, “Kişisel veriler, ilgili kişinin açık rızası olmaksızın aktarılamaz.” hükmü düzenlenmiştir.
(29.7) “Veri sorumlusunun aydınlatma yükümlülüğü” başlıklı 10 uncu maddesi şu şekildedir:
“(1) Kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi, ilgili kişilere; a) Veri sorumlusunun ve varsa temsilcisinin kimliği, b) Kişisel verilerin hangi amaçla işleneceği, c) İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği, ç) Kişisel veri toplamanın yöntemi ve hukuki sebebi, d) 11 inci maddede sayılan diğer hakları, konusunda bilgi vermekle yükümlüdür.” (29.8) “Veri güvenliğine ilişkin yükümlülükler” başlıklı 12 nci maddesi şu şekildedir: “(1) Veri sorumlusu; a) Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, b) Kişisel verilere hukuka aykırı olarak erişilmesini önlemek, c) Kişisel verilerin muhafazasını sağlamak, amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır. (2) Veri sorumlusu, kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde, birinci fıkrada belirtilen tedbirlerin alınması hususunda bu kişilerle birlikte müştereken sorumludur. (3) Veri sorumlusu, kendi kurum veya kuruluşunda, bu Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptırmak zorundadır. (4) Veri sorumluları ile veri işleyen kişiler, öğrendikleri kişisel verileri bu Kanun hükümlerine aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamazlar. Bu yükümlülük görevden ayrılmalarından sonra da devam eder. (5)
İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekmesi hâlinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir.” (30) 5237 sayılı Türk Ceza Kanununun “Özel hayatın gizliliğini ihlal” başlıklı 134, “Kişisel verilerin kaydedilmesi” başlıklı 135, “Verileri hukuka aykırı olarak verme veya ele geçirme” başlıklı 136, “Verileri yok etmeme” başlıklı 138 ve “Gizliliğin ihlali” başlıklı 285 inci maddeleri, kişisel verilerin korunmasının sağlanması konusunda yaptırıma tabi bir dizi müeyyideyi hüküm altına almaktadır.
(31) 5490 sayılı Nüfus Hizmetleri Kanununun; (31.1) “Tanımlar” başlıklı 3 üncü maddesinde kimlik kartı, “Kimlik kartı: Kişinin Türk vatandaşı olduğunu ve aile kütüğüne kayıtlı bulunduğunu gösteren Türkiye Cumhuriyeti kimlik kartı” şeklinde tanımlanmıştır.
(31.2) “Tescil mecburiyeti” başlıklı 11 inci maddesi birinci fıkrasında, “Türkiye Cumhuriyeti vatandaşı olan her kişi yurt içinde nüfus müdürlüğüne, yurt dışında dış temsilciliğe müracaatla kendisini nüfus kütüklerine yazdırmaya ve kimlik kartı almaya mecburdur.” hükmü düzenlenmiştir.
(31.3) “Kimlik Paylaşımı Sisteminin kullanılması” başlıklı 45 inci maddesi birinci fıkrasında, “Bakanlık, merkezî veri tabanında tutulan verileri bu Kanunda belirtilen usul ve esaslar çerçevesinde … kimlik verilerini… 5411 sayılı Bankacılık Kanunu çerçevesinde faaliyette bulunan bankalar, … yerleşim yeri ve diğer adres bilgilerini ise … 5411 sayılı Kanun çerçevesinde faaliyette bulunan bankalar, … ile paylaşabilir.” hükmüne yer verilmiştir.
(31.4) “Kimlik numarası” başlıklı 46 ncı maddesi birinci fıkrası, “Kimlik numarası, Türkiye
Cumhuriyeti vatandaşlarının nüfus kayıtları arasında bağ kurmak, kişilerin kaydına ulaşmak ve kamu kuruluşlarında tutulan kayıtlar arasında ilişki sağlamak amacını taşıyan bir numara sistemidir. Türkiye Cumhuriyeti kimlik numarası kişiye bir defa verilir ve değiştirilemez.” hükmünü amirdir.
(31.5) “Atıflar” başlıklı 1 inci ek maddesi birinci fıkrasında, “Diğer mevzuatta “nüfus cüzdanı”, “hüviyet cüzdanı”, “nüfus hüviyet cüzdanı”, “hüviyet varakası”, “nüfus kâğıdı” ibarelerine yapılan atıflar “Türkiye Cumhuriyeti kimlik kartı”na yapılmış sayılır.” hükmü amirdir.
(32) 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanunun “Kimlik tespiti” başlıklı 3 üncü maddesi aşağıdaki gibidir: “(1) Yükümlüler, kendileri nezdinde yapılan veya aracılık ettikleri işlemlerde işlem yapılmadan önce, işlem yapanlar ile nam veya hesaplarına işlem yapılanların kimliklerini tespit etmek zorundadır. (2) Kimlik tespitine esas belge nevilerini belirlemeye Bakanlık yetkili olup, kimlik tespitini gerektiren işlem türleri, bunların parasal sınırları ve konuyla ilgili diğer usûl ve esaslar yönetmelikle belirlenir.” (33) 5411 sayılı Bankacılık Kanununun; (33.1) “Sırların saklanması” başlıklı 73 üncü maddesi üçüncü fıkrasına, 20/2/2020 tarih ve
7222 sayılı Kanun ile eklenen ek cümlelerde, “…Bankacılık faaliyetlerine özgü olarak
bankalarla müşteri ilişkisi kurulduktan sonra oluşan gerçek ve tüzel kişilere ait veriler, müşteri sırrı hâline gelir. Diğer kanunların emredici hükümleri saklı kalmak kaydıyla, müşteri sırrı niteliğindeki bilgiler, bu maddede belirtilen sır saklama yükümlülüğünden istisna tutulan hâller haricinde, 24/3/2016 tarihli ve 6698 sayılı Kişisel Verilerin Korunması Kanunu uyarınca müşterinin açık rızası alınsa dahi, müşteriden gelen bir talep ya da talimat olmaksızın yurt içindeki ve yurt dışındaki üçüncü kişilerle paylaşılamaz ve bunlara aktarılamaz. Kurul ekonomik güvenliğe ilişkin yapacağı değerlendirme neticesinde, müşteri sırrı ya da banka sırrı niteliğinde olan her türlü verinin, yurt dışındaki üçüncü kişilerle paylaşılmasını ya da bunlara aktarılmasını yasaklamaya, ayrıca bankaların faaliyetlerini yürütmede kullandıkları bilgi sistemleri ve bunların yedeklerinin yurt içinde bulundurulması hususunda karar almaya yetkilidir. Bu maddede belirtilen sır saklama yükümlülüğünden istisna tutulan hâllerde yapılacak paylaşımlar da dâhil olmak üzere, müşteri sırrı ve banka sırrı niteliğindeki bilgiler, sadece belirtilen amaçlarla sınırlı olmak ve ölçülülük ilkesine uygun olarak bu amaçların gerektirdiği kadar veriyi içermek kaydıyla paylaşılabilir…” hükmüne yer verilmiştir.
(33.2) Müşteri hakları” başlıklı 76 ncı maddesi üçüncü fıkrasında, “Bankaların, kimliklerini ve vergi numaralarını belgelemeyen müşterileri adına mevduat, katılım fonu, kredi ve her ne ad altında olursa olsun hesap açmaları, sözleşme düzenlemeleri, havale ve kambiyo hizmetleri ile diğer bankacılık ve mali hizmetleri vermeleri yasaktır. Bu fıkranın uygulanmasına ilişkin usûl ve esaslar Kurumun görüşü alınarak Malîye Bakanlığınca düzenlenir. Bu fıkra hükmüne ve Malîye Bakanlığınca yapılan düzenlemelere uymayanlar hakkında 2.4.1998 tarihli ve 4358 sayılı Kanunun 5 inci maddesi hükmünün uygulanması bu Kanunun kovuşturma usulü hükümlerine tâbi değildir.” hükmü düzenlenmiştir.
(34) 9.1.2008 tarih ve 26751 sayılı Resmi Gazetede yayımlanarak yürürlüğe giren Suç
Gelirlerinin Aklanmasının ve Terörün Finansmanının Önlenmesine Dair Tedbirler Hakkında
Yönetmeliğin “Gerçek kişilerde kimlik tespiti” başlıklı 6 ncı maddesi birinci fıkrasında, “Gerçek kişilerin kimlik tespitinde; ilgilinin adı, soyadı, doğum yeri ve tarihi, uyruğu, kimlik belgesinin türü ve numarası, adresi ve imza örneği, varsa telefon numarası, faks numarası, elektronik posta adresi, iş ve mesleğine ilişkin bilgiler ile Türk vatandaşları için bu bilgilere ilave olarak anne, baba adı ve T.C. kimlik numarası alınır.” hükmü düzenlenmiş; aynı maddenin ikinci fıkrası (a) bendinde; Türk uyruklu gerçek kişilerin kimlik bilgilerinin T.C.
nüfus cüzdanı, T.C. sürücü belgesi veya pasaportun yanı sıra üzerinde T.C. kimlik numarası bulunan ve özel kanunlarında resmi kimlik hükmünde olduğu açıkça belirtilen kimlik belgeleri üzerinden teyit edileceği düzenlenmiştir.
(35) 01.11.2006 tarihli ve 26333 sayılı Resmi Gazetede yayımlanarak yürürlüğe giren Mevduat ve Katılım Fonunun Kabulüne, Çekilmesine ve Zamanaşımına Uğrayan Mevduat, Katılım
Fonu, Emanet ve Alacaklara İlişkin Usul ve Esaslar Hakkında Yönetmeliğin 4 üncü maddesi ikinci fıkrası, “Kredi kuruluşlarının, müşterileri adına mevduat veya katılım fonu kabul edebilmeleri için, müşterilerini tanımak amacıyla müşterilerin kimliklerini, T.C. kimlik ve vergi numaralarını belgelemesi ve 54/1 sayılı Bankacılık Kanununun 76. maddesinin üçüncü fıkrası hükmüne istinaden Maliye Bakanlığınca yapılan düzenlemelerde yer alan yükümlülükleri yerine getirmesi zorunludur.” hükmünü amirdir.
(36) 14.12.2018 tarihli ve 30625 sayılı Resmi Gazetede yayımlanarak yürürlüğe giren Basın
Kartı Yönetmeliğinin “Tanımlar” başlıklı 4 üncü maddesinde, “basın kartı”, bu Yönetmelikte belirtilen kişilere, Başkanlıkça verilen kimlik kartı şeklinde tanımlanmıştır. Aynı Yönetmeliğin
“Basın kartının niteliği” başlıklı 5 inci maddesi birinci fıkrası aşağıdaki gibidir: “Basın kartı, bu Yönetmelikte belirtilen kişilere verilen resmi nitelikte bir kimlik belgesidir.” (37) 10.3.2018 tarih ve 30356 sayılı Resmi Gazetede yayımlanarak yürürlüğe giren Aydınlatma
Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ hükümleri
IV. KAMU DENETÇİSİ CELİLE ÖZLEM TUNÇAK’IN KAMU BAŞDENETÇİSİNE
ÖNERİSİ
(38) Şikâyet dilekçesinde yer verilen iddia ve talep ile ilgili kamu idarelerinden temin edilen bilgi, belge ve değerlendirme ışığında, gerekçe bölümünde açıklandığı şekilde; basın kartının bankacılık işlemleri sırasında resmi kimlik belgesi olarak kabul edilmesi talebi yönünden başvurunun reddi; bankacılık işlemlerinde kişisel veri niteliğindeki cep telefonu bilgisinin talep edilmesinin hukuka aykırılığı iddiasının ise kabulü yönünde hazırlanan “Kısmi Tavsiye Kısmi
Ret Karar Önerisi” Kamu Başdenetçisine sunulmuştur.
V. DEĞERLENDİRME VE GEREKÇE
A. Hukuka, Hakkaniyete ve İnsan Haklarına Uygunluk Açısından Değerlendirme (39) Şikâyet başvurusu, özel bir banka tarafından “basın kartının”, bankacılık işlemleri sırasında resmi kimlik belgesi olarak kabul edilmemesi ve aynı bankacılık işleminde kişisel bilgi niteliğindeki cep telefonu bilgisinin hukuka aykırı şekilde talep edildiği iddia ve şikâyetine istinaden, bankacılık işlemlerinde kişisel veri niteliğindeki cep telefonu bilgisinin talep edilmesi uygulamasının durdurulması ve bu işlemler sırasında, resmi bir kimlik belgesi niteliğinde olan basın kartını da kabul edilmesi talebi ile Kurumumuza iletilmiştir.
(40) Kurumumuzca yürütülen inceleme ve araştırma, başvuruya konu iddia ve talep doğrultusunda “basın kartının hukuki statüsü” ve “bankacılık işlemlerinde kişisel veri niteliğindeki cep telefonu bilgisinin talep edilip edilemeyeceği” meselesi açısından gerçekleştirilmiştir.
Basın Kartının Bankacılık İşlemleri Sırasında Resmi Kimlik Belgesi Olarak Kabul Edilip
Edilemeyeceği (41) Genel anlamı ile kimlik belgesi, vatandaşlarına devletçe verilen ve vatandaşların kişisel durumlarını gösteren resmî belgedir. 5490 sayılı Nüfus Hizmetleri Kanunu açısından kimlik kartı, kişinin Türk vatandaşı olduğunu ve aile kütüğüne kayıtlı bulunduğunu gösteren Türkiye
Cumhuriyeti kimlik kartı olarak tanımlanmıştır [Madde 3]. Kanunun “Tescil mecburiyeti” başlıklı 11 inci maddesi birinci fıkrasında, Türkiye Cumhuriyeti vatandaşı olan her kişinin yurt içinde nüfus müdürlüğüne, yurt dışında ise dış temsilciliğe müracaatla kendisini nüfus kütüklerine yazdırmaya ve kimlik kartı almaya mecbur olduğu hükmü düzenlenmiştir. Kanunun
“Kimlik numarası” başlıklı 46 ncı maddesi birinci fıkrasında ise kimlik numarası tanımlanmış olup, buna kimlik numarası, Türkiye Cumhuriyeti vatandaşlarının nüfus kayıtları arasında bağ kurmak, kişilerin kaydına ulaşmak ve kamu kuruluşlarında tutulan kayıtlar arasında ilişki sağlamak amacını taşıyan bir numara sistemidir. Aynı Kanunun “Atıflar” başlıklı 1 inci ek maddesi birinci fıkrasında da diğer mevzuatta “nüfus cüzdanı”, “hüviyet cüzdanı”, “nüfus hüviyet cüzdanı”, “hüviyet varakası”, “nüfus kâğıdı” ibarelerine yapılan atıfların, “Türkiye
Cumhuriyeti kimlik kartına” yapılmış sayılacağı hüküm altına alınmıştır. Son olarak aynı
Kanunun “Kimlik Paylaşımı Sisteminin kullanılması” başlıklı 45 inci maddesi birinci fıkrasında, İçişleri Bakanlığının, merkezî veri tabanında tutulan verileri bu Kanunda belirtilen usul ve esaslar çerçevesinde kimlik verilerini diğer kurum ve kuruluşlar yanı sıra, 5411 sayılı
Bankacılık Kanunu çerçevesinde faaliyette bulunan bankalarla paylaşabileceği düzenlenmiştir.
(42) 5490 sayılı Nüfus Hizmetleri Kanununun yukarıda kayıtlı hükümleri uyarınca görüleceği gibi, Türk vatandaşlarının, diğer gerçek kişiler ile kamu-özel hukuk tüzel kişileri nezdinde geçerliliğe haiz temel kimlik belgesi, “nüfus cüzdanı”, “hüviyet cüzdanı”, “nüfus hüviyet cüzdanı”, “hüviyet varakası”, “nüfus kâğıdı” vb. isimler ile anılan Türkiye Cumhuriyeti kimlik kartıdır.
(43) Gündelik hayatta, vatandaşlar açısından kimlik tespiti hayati önem arz eden bir meseledir.
Vatandaşlar, bankacılık, kargo, postane, hastane, eczane vb. gibi görece basit onlarca gündelik işlemleri yanı sıra; kolluk birimlerine yönelik uygulamalar (durdurma, arama vb.) açısından da kimliklerini ibraz etmek durumundadır. 5490 sayılı Nüfus Hizmetleri Kanununun, yukarıda aktarılan hükümlerinden, gündelik iş ve işlemler açısından her kişi ve kurum nezdinde geçerliliğe haiz temel belgenin, Türkiye Cumhuriyeti kimlik kartı olduğu anlaşılmaktadır.
Kimlik tespiti açısından Türkiye Cumhuriyeti kimlik kartı ile aynı statüde geçerliliğe haiz olduğu anlaşılan “sürücü belgesi”, “pasaport” ve “mavi kimlik” dışında, basın kartı, avukatlık kartı, sair meslek mensuplarınca taşınan kartlar ve özel-kamu kurum kartlarının durumu konusunda mezkûr Kanunda herhangi bir atıf yer almamaktadır.
(44) Meselenin kapsamı, şikâyet konusu “bankacılık sektörü” açısından sınırlandırıldığında, bu sektörde de “kimlik tespitinin” ayrı bir önemle düzenlendiği görülmektedir. Nitekim 5549 sayılı
Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanunun “Kimlik tespiti” başlıklı 3 üncü maddesinde “(1) Yükümlüler, kendileri nezdinde yapılan veya aracılık ettikleri işlemlerde işlem yapılmadan önce, işlem yapanlar ile nam veya hesaplarına işlem yapılanların kimliklerini tespit etmek zorundadır. (2) Kimlik tespitine esas belge nevilerini belirlemeye Bakanlık yetkili olup, kimlik tespitini gerektiren işlem türleri, bunların parasal sınırları ve konuyla ilgili diğer usûl ve esaslar yönetmelikle belirlenir.” hükmü ile 5411 sayılı Bankacılık Kanununun 76 ncı maddesi üçüncü fıkrasında kayıtlı, “Bankaların, kimliklerini ve vergi numaralarını belgelemeyen müşterileri adına mevduat, katılım fonu, kredi ve her ne ad altında olursa olsun hesap açmaları, sözleşme düzenlemeleri, havale ve kambiyo hizmetleri ile diğer bankacılık ve mali hizmetleri vermeleri yasaktır. Bu fıkranın uygulanmasına ilişkin usûl ve esaslar Kurumun görüşü alınarak Malîye Bakanlığınca düzenlenir.” hükmü karşımıza çıkmaktadır. Her iki kanun maddesinin de bankacılık işlemleri sırasında “kimlik tespitine” özel bir önem verdiği anlaşılmaktadır. Bu durumda ise kimlik tespitine aracılık edecek belge türlerinin ne olacağı meselesi karşımıza çıkmaktadır.
(45) Bankacılık sektöründe “kimlik tespitine esas belge nevileri” ise 5549 sayılı Suç
Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun ve 5411 sayılı Bankacılık Kanununun yukarıdaki hükümleri uyarınca 9.1.2008 tarih ve 26751 sayılı Resmi Gazetede yayımlanarak yürürlüğe giren Suç Gelirlerinin Aklanmasının ve Terörün Finansmanının Önlenmesine Dair
Tedbirler Hakkında Yönetmelik (Tedbirler Yönetmeliği) ile belirlenmiştir. Mezkur 5549 ve
5411 sayılı kanunların, kimlik türleri, hangi tür işlemler açısından isteneceği vs. hususlarda
verdiği yasal dayanağa istinaden yürürlük kazanan Tedbirler Yönetmeliğinin “Gerçek kişilerde kimlik tespiti” başlıklı 6 ncı maddesi birinci fıkrasında, “Gerçek kişilerin kimlik tespitinde; ilgilinin adı, soyadı, doğum yeri ve tarihi, uyruğu, kimlik belgesinin türü ve numarası, adresi ve imza örneği, varsa telefon numarası, faks numarası, elektronik posta adresi, iş ve mesleğine ilişkin bilgiler ile Türk vatandaşları için bu bilgilere ilave olarak anne, baba adı ve T.C. kimlik numarası alınır.” hükmü düzenlenmiş; aynı maddenin ikinci fıkrası (a) bendinde; Türk uyruklu gerçek kişilerin kimlik bilgilerinin T.C. nüfus cüzdanı, T.C. sürücü belgesi veya pasaportun yanı sıra üzerinde T.C. kimlik numarası bulunan ve özel kanunlarında resmi kimlik hükmünde olduğu açıkça belirtilen kimlik belgeleri üzerinden teyit edileceği düzenlenmiştir.
(46) Tedbirler Yönetmeliğinin yukarıda kayıtlı başlıklı 6 ncı maddesinin ikinci fıkrası (a) bendi ilk hali ile “… Türk uyruklu gerçek kişilerin kimlik bilgilerinin T.C. nüfus cüzdanı. T.C. sürücü belgesi veya pasaport…” şeklinde düzenlenmiş iken; 14/12/2017 tarihli ve 30270 sayılı Resmi
Gazetede yayımlanarak yürürlüğe giren ve Tedbirler Yönetmeliğinin söz konusu 6 ncı maddesi ikinci fıkrası (a) bendinde yapılan değişiklikle metnin, “…T.C. nüfus cüzdanı, T.C. sürücü belgesi veya pasaportun yanı sıra üzerinde T.C. kimlik numarası bulunan ve özel kanunlarında resmi kimlik hükmünde olduğu açıkça belirtilen kimlik belgeleri…” şeklinde kaleme alındığı ve bu sayede, T.C. kimlik numarası bulunan ve özel kanunlarında resmi kimlik hükmünde olduğu açıkça belirtilen kimlik belgeleri de bankacılık alanında, gerçek kişilerde kimlik tespitinde kullanılabilecek belgeler arasına dâhil edildiği anlaşılmaktadır.
(47) Bu durumda, meselenin yani basın kartının bankacılık işlemleri sırasında resmi kimlik belgesi olarak kabul edilip edilemeyeceği sorusuna verilecek cevabın şeklinin, basın kartının özel bir kanun ile düzenlenip düzenlenmediği ve düzenlendi ise bu kanunda kartın resmi bir kimlik hükmünde olduğunun belirtilip belirtilmediği hususlarının tespitinde yattığı görülmektedir.
(48) Basın kartı müessesesi, 14.12.2018 tarihli ve 30625 sayılı Resmi Gazetede yayımlanarak yürürlüğe giren Basın Kartı Yönetmeliği ile düzenlenmiştir. Anılan Yönetmeliğin “Tanımlar” başlıklı 4 üncü maddesinde, “basın kartı”, bu Yönetmelikte belirtilen kişilere, Başkanlıkça verilen kimlik kartı şeklinde tanımlanmıştır. Aynı Yönetmeliğin “Basın kartının niteliği” başlıklı 5 inci maddesi birinci fıkrasında ise “Basın kartı, bu Yönetmelikte belirtilen kişilere verilen resmi nitelikte bir kimlik belgesidir.” hükmü düzenlenmiştir. Meseleye daha ayrıntılı bakıldığında, “basın kartının”; yerli ve Türkiye’de faaliyet gösteren yabancı basın-yayın kuruluşlarının Türk uyruklu gazeteci çalışanlarına; süreli yayınların sahiplerine veya tüzel kişi temsilcilerine, radyo ve televizyon kuruluşlarının yönetim kurulu başkanlarına; gazetecilik dışında başka bir işinin bulunmaması şartıyla, yerli veya yabancı bir veya birkaç basın-yayın kuruluşu adına hareket edenlere, Türkiye’de mukim veya mukim olmamakla beraber görev alanı Türkiye’yi de kapsayan yabancı uyruklu gazetecilere; yurt dışında yayın yapan ve bu durumu ilgili ülkede bulunan Türk büyükelçilikleri tarafından teyit edilen basın-yayın organlarının Türk uyruklu sahiplerine ve Türk uyruklu çalışanlarına; yurt dışında herhangi bir basın-yayın kuruluşuna bağlı olmadan serbest gazetecilik yapan Türk uyruklu gazetecilere; medya alanında hizmet veren kamu kurum ve kuruluşlarında ve devlet enformasyon hizmetlerinde çalışanlara; kamu yararına faaliyette bulunan dernek ve vakıflarda medya mensubu olarak çalışanlara verilen resmi nitelikli bir kimlik belgesidir.
(49) Ancak basın kartının hukuki durumu ve özellikle resmi nitelikli bir kimlik belgesi olduğu, bir kanun metni ile değil, yönetmelik hükümlerine göre belirlendiği dikkate alındığında, “basın kartının”, Tedbirler Yönetmeliğinin 6 ncı maddesi ikinci fıkrası (a) bendi kapsamında bankacılık sektöründe kimlik tespitinde geçerli belge olarak kabul edilebilmesi mümkün değildir.
(50) Bu noktada, somut olay ile yakın bağlantısı ve mukayesesi açısından, avukat meslek mensupları adına düzenlenen kimlik belgesinin hukuki statüsünün örneklendirilmesi önem arz etmektedir. 1136 sayılı Avukatlık Kanununun “Avukatlık ruhsatnamesi ve yemin” başlıklı 9 uncu maddesi dördüncü fıkrasında kayıtlı “… avukat kimlikleri Türkiye Barolar Birliği tarafından tek tip olarak bastırılır ve düzenlenir… Avukat kimlikleri, tüm resmî ve özel kuruluşlar tarafından kabul edilecek resmî kimlik hükmündedir.” hükmü uyarınca ve bu hükmün yönetmelik gibi idari bir düzenleyici işlem ile değil de yasal bir metinle düzenlenmesi sebebi ile söz konusu avukat kimliklerinin bankacılık aktörleri dâhil diğer resmi ve özel kurum ve kuruluşlar tarafından resmi bir kimlik belgesi olarak kabulü mümkün olmaktadır.
Bankacılık İşlemlerinde Kişisel Veri Niteliğindeki Cep Telefonu Bilgisinin Talep
Edilmesinin Hukuka Uygunluğunun Değerlendirilmesi (51) 5411 sayılı Bankacılık Kanununun 76 ncı maddesinde, “…Bankaların, kimliklerini ve vergi numaralarını belgelemeyen müşterileri adına mevduat, katılım fonu, kredi ve her ne ad altında olursa olsun hesap açmaları, sözleşme düzenlemeleri, havale ve kambiyo hizmetleri ile diğer bankacılık ve mali hizmetleri vermeleri yasaktır. Bu fıkranın uygulanmasına ilişkin usûl ve esaslar Kurumun görüşü alınarak Malîye Bakanlığınca düzenlenir…” hükmü yer almaktadır.
(52) Mezkûr 5411 sayılı Kanunun anılan maddesi uyarınca çıkartılan ve 01.1 1.2006 tarihli ve
26333 sayılı Resmi Gazetede yayımlanarak yürürlüğe giren Mevduat ve Katılım Fonunun
Kabulüne, Çekilmesine ve Zamanaşımına Uğrayan Mevduat, Katılım Fonu, Emanet ve
Alacaklara İlişkin Usul ve Esaslar Hakkında Yönetmeliğin 4 üncü maddesi ikinci fıkrasında, “Kredi kuruluşlarının, müşterileri adına mevduat veya katılım fonu kabul edebilmeleri için, müşterilerini tanımak amacıyla müşterilerin kimliklerini, T.C. kimlik ve vergi numaralarını belgelemesi ve 5411 sayılı Bankacılık Kanununun 76. maddesinin üçüncü fıkrası hükmüne istinaden Maliye Bakanlığınca yapılan düzenlemelerde yer alan yükümlülükleri yerine getirmesi zorunludur.” hükmüne yer verilmiştir.
(53) Hem 5411 sayılı Kanunun yukarıda yer alan maddesi hem de 5549 sayılı Suç Gelirlerinin
Aklanmasının Önlenmesi Hakkında Kanunun verdiği yetkiye istinaden yayımlanarak yürürlüğe konulan Tedbirler Yönetmeliğinin “Gerçek kişilerde kimlik tespiti” başlıklı 6 ncı maddesi birinci fıkrasında, “Gerçek kişilerin kimlik tespitinde; ilgilinin adı, soyadı, doğum yeri ve tarihi, uyruğu, kimlik belgesinin türü ve numarası, adresi ve imza örneği, varsa telefon numarası, faks numarası, elektronik posta adresi, iş ve mesleğine ilişkin bilgiler ile Türk vatandaşları için bu bilgilere ilave olarak anne, baba adı ve T.C. kimlik numarası alınır.” hükmü düzenlenmiştir.
(54) Öte yandan, bankaların gerçek kişilere ait cep telefonu bilgisini toplama, işleme, saklama, aktarma gibi fiillerinin 6698 sayılı Kişisel Verilerin Korunması Kanun hükümleri kapsamında değerlendirilmesinde; 2 nci maddesinde anılan Kanunun kapsamının “… kişisel verileri işlenen gerçek kişiler ile bu verileri tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişiler hakkında uygulanır.” şeklinde belirlendiği, Kanunun 3 üncü maddesinin birinci fıkrasının (d) bendi uyarınca kişisel verinin, “kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi”, (e) bendi uyarınca kişisel verilerin işlenmesi, kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi, ifade ettiği görülmektedir.
(55) 6698 sayılı Kanunun yukarıda yer verilen hükümleri çerçevesinde cep telefonu bilgisinin kişisel veri, cep telefonu bilgisinin elde edilerek kullanılmasının kişisel verilerin işlenmesi faaliyeti, bankaların veri sorumlusu, kendilerine ait cep telefonu bilgisi işlenen kişilerin ise ilgili kişi olduğu, bu itibarla bankalar tarafından ilgili kişinin cep telefonu bilgilerinin işlenmesi faaliyetlerinin, mezkûr 6698 sayılı Kanunun “Genel ilkeler” başlıklı 4 üncü maddesinde kayıtlı usul ve esaslara göre yürütülmesi gerektiği açıktır. İlgili maddede sayıldığı şekilde, kişisel veriler ancak şu ilkeler çerçevesinde işlenebilecektir: “a) Hukuka ve dürüstlük kurallarına uygun olma, b) Doğru ve gerektiğinde güncel olma, c) Belirli, açık ve meşru amaçlar için işlenme, ç) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma, d) İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.” (56) Bu ilkelerden kişisel verilerin “belirli, açık ve meşru amaçlar için işlenme” ilkesi, kişisel veri işleme faaliyetlerinin ilgili kişi tarafından açık bir şekilde anlaşılır olmasını, kişisel veri işleme faaliyetinin hangi hukuki işleme şartına dayalı olarak gerçekleştirildiğinin tespit edilmesini, kişisel veri işleme faaliyetinin ve bu gerçekleştirilme amacının belirliliğini sağlayacak detayda ortaya konulmasını ifade etmektedir. Amacın meşru olması, veri sorumlusunun işlediği verilerin, yapmış olduğu iş veya sunmuş olduğu hizmetle bağlantılı ve bunlar için gerekli olması anlamına gelmektedir.
(57) Bir diğer önemli ilke olan “işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması” ilkesine göre, işlenen verilerin belirlenen amaçların gerçekleştirilmesine elverişli olması, amacın gerçekleştirilmesiyle ilgili olmayan veya sonradan ortaya çıkması muhtemel ihtiyaçların karşılanmasına yönelik veri işleme yoluna gidilmemesi, burada önemli olanın, amacı gerçekleştirmeye yönelik yeterli verinin temin edilmesi, bunun dışındaki gerekli olmayan veriyi işlemeden kaçınılması olduğu; ölçülülük ilkesinin ise veri işleme ile gerçekleştirilmesi istenen amaç arasında makul bir dengenin kurulması yani veri işlemenin, amacı gerçekleştirecek ölçüde olması anlamına gelmektedir.
(58) Bir diğer ilke olan “amaçla sınırlılık ilkesinin” bir gereği olarak kişisel verilerin işlendikleri amaç için gerekli olan süreye uygun olarak muhafaza edilmesi gerektiği, bununla ilgili olarak veri sorumlusunun, kişisel veri saklama politikası ve esaslarını oluşturmak, saklama süreleri ve muhafazada uygulamaya alınacak teknik ve idari tedbirleri belirlemek ve kişisel verilerin bu esaslara uygun olarak muhafazasını sağlamakla yükümlü olduğu, kişisel verilerin saklanması için amaçla sınırlılık ilkesi uyarınca veri sorumlusu tarafından belirlenen saklama sürelerinin yanı sıra, veri sorumlusunun tabi olduğu ilgili mevzuat kapsamında da belirlenmiş, saklama sürelerinin mevcut olduğu, buna göre veri sorumlularının, ilgili kişisel veriler için mevzuatta öngörülmüş bir süre varsa bu süreye riayet edeceği, eğer böyle bir süre öngörülmemişse verileri ancak işlendikleri amaç için gerekli olan süre kadar saklayabilecekleri, bir verinin daha fazla saklanması için geçerli bir sebep bulunmaması halinde, o verinin silinecek, yok edilecek ya da anonim hale getirileceği anlamına gelmektedir.
(59) Kişisel verilerin işlenme şartlarının düzenlendiği mezkûr Kanunun 5 inci maddesinin birinci fıkrasında da kişisel verilerin ilgili kişinin açık rızası olmaksızın işlenemeyeceği, ikinci fıkrasında belirtilen şartlardan (Kanunlarda açıkça öngörülmesi, fiili imkânsızlık vs.) birinin varlığı halinde ise ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesinin mümkün olduğu hükme bağlanmıştır.
(60) Son olarak somut olaya özgü olarak, kişisel verilerin aktarılması konusunda Kanunun 8 inci maddesi hükmü; kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişinin ilgili kişileri kişisel verilerin işlenme faaliyeti hakkında anılan maddede yer verilen unsurları içerecek şekilde bilgilendirmesi gerektiğine dair Kanunun 10 uncu maddesinde yer alan aydınlatma yükümlülüğü ve Kanunun 12 nci maddesinde düzenlenen uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak ve anılan maddede belirtilen diğer yükümlülüklere uymak zorunda olduğu hususları ayrıca not edilmesi gerektiği değerlendirilmektedir.
(61) Yukarıda yer alan mevzuat hükümleri ışığında; bankacılık sektörünün, gerçek kişilerin kimliklerini tespite yönelik topladığı ilgili kişinin “adı, soyadı, doğum yeri ve tarihi, uyruğu, kimlik belgesinin türü ve numarası, adresi ve imza örneği, varsa telefon numarası, faks numarası, elektronik posta adresi, iş ve mesleğine ilişkin bilgiler ile Türk vatandaşları için bu bilgilere ilave olarak anne, baba adı ve T.C. kimlik numarası” bilgisi, sıradan basit bilgi değildir. Bunlar, ancak 6698 sayılı Kişisel Verilerin Korunması Kanun hükümleri uyarınca toplanıp, işlenip, saklanıp, aktarılacak vs. türden fiillerdir. Dolayısı ile bankacılık sektöründe yer alan tüm aktörlerin, 6698 sayılı Kanunun öngördüğü usul ve esaslara uygun davranması kanuni zorunluluklarıdır.
(62) Meselenin öneminden hareketle, 5411 sayılı Bankacılık Kanununun “Sırların saklanması” başlıklı 73 üncü maddesi üçüncü fıkrasına, 20/2/2020 tarih ve 7222 sayılı Kanun ile
“…Bankacılık faaliyetlerine özgü olarak bankalarla müşteri ilişkisi kurulduktan sonra oluşan gerçek ve tüzel kişilere ait veriler, müşteri sırrı hâline gelir. Diğer kanunların emredici hükümleri saklı kalmak kaydıyla, müşteri sırrı niteliğindeki bilgiler, bu maddede belirtilen sır saklama yükümlülüğünden istisna tutulan hâller haricinde, 24/3/2016 tarihli ve 6698 sayılı
Kişisel Verilerin Korunması Kanunu uyarınca müşterinin açık rızası alınsa dahi, müşteriden gelen bir talep ya da talimat olmaksızın yurt içindeki ve yurt dışındaki üçüncü kişilerle paylaşılamaz ve bunlara aktarılamaz. Kurul ekonomik güvenliğe ilişkin yapacağı değerlendirme neticesinde, müşteri sırrı ya da banka sırrı niteliğinde olan her türlü verinin, yurt dışındaki üçüncü kişilerle paylaşılmasını ya da bunlara aktarılmasını yasaklamaya, ayrıca bankaların faaliyetlerini yürütmede kullandıkları bilgi sistemleri ve bunların yedeklerinin yurt içinde bulundurulması hususunda karar almaya yetkilidir. Bu maddede belirtilen sır saklama yükümlülüğünden istisna tutulan hâllerde yapılacak paylaşımlar da dâhil olmak üzere, müşteri sırrı ve banka sırrı niteliğindeki bilgiler, sadece belirtilen amaçlarla sınırlı olmak ve ölçülülük ilkesine uygun olarak bu amaçların gerektirdiği kadar veriyi içermek kaydıyla paylaşılabilir…” hükümleri eklenmiştir. Dolayısı ile bankacılık sektöründe görev yapan kurum ve kuruluşların, 6698 sayılı Kanunun öngördüğü usul ve esaslara uygun davranması hususundaki kanuni zorunlulukları bir kez daha hüküm altına alınmış olup; başta BDDK ve bankacılık sektörünün diğer tüm aktörlerinin, söz konusu sorumluluğa uygun hareket etmeleri gerekmektedir.
(63) Diğer yandan, 6698 sayılı Kanunun öngördüğü ve kişisel verilerin “belirli, açık ve meşru amaçlar için işlenme” ilkesi uyarınca, kişisel veri işleme faaliyetlerinin ilgili kişi (müşteri)
tarafından açık bir şekilde anlaşılır olması, kişisel veri işleme faaliyetinin hangi hukuki işleme şartına dayalı olarak gerçekleştirildiğinin tespit edilmesi, kişisel veri işleme faaliyetinin ve bu gerçekleştirilme amacının belirliliğini sağlayacak detayda ortaya konulması gerekmektedir.
Belirtildiği gibi amacın meşru olması, veri sorumlusunun işlediği verilerin, yapmış olduğu iş veya sunmuş olduğu hizmetle bağlantılı ve bunlar için gerekli olması anlamına gelmektedir. Farklı bir anlatım ile “toplanan ve işlenen verilerin” belirlenen amaçların gerçekleştirilmesine elverişli olması, amacın gerçekleştirilmesiyle ilgili olmayan veya sonradan ortaya çıkması muhtemel ihtiyaçların karşılanmasına yönelik veri işleme yoluna gidilmemesi, burada önemli olanın, amacı gerçekleştirmeye yönelik yeterli verinin temin edilmesi, bunun dışındaki gerekli olmayan veriyi işlemeden kaçınılması gerekmektedir.
Yani toplanıp işlenen veri ile gerçekleştirilmesi istenen amaç arasında makul bir dengenin kurulması yani veri işlemenin, amacı gerçekleştirecek ölçüde olması gerekmektedir. Bunun doğal sonucu olarak, hem kamu hem de özel hukuk tüzel kişileri açısından, 6698 sayılı
Kanundan kaynaklanan sorumluluklar yerine getirmiş olsa dahi “amacı gerçekleştirmeye yönelik olmayan ve yasal dayanağı bulunmayan kişisel verilerin” toplanması hukuka aykırılık oluşturacaktır.
(64) Tedbirler Yönetmeliğinin yukarıda maruz “Gerçek kişilerde kimlik tespiti” başlıklı 6 ncı maddesi birinci fıkrasında kayıtlı, “Gerçek kişilerin kimlik tespitinde; ilgilinin adı, soyadı, doğum yeri ve tarihi, uyruğu, kimlik belgesinin türü ve numarası, adresi ve imza örneği, varsa telefon numarası, faks numarası, elektronik posta adresi, iş ve mesleğine ilişkin bilgiler ile
Türk vatandaşları için bu bilgilere ilave olarak anne, baba adı ve T.C. kimlik numarası alınır.” hükmü göz önünde bulundurulduğunda, başvurucu müşterinin kimlik tespitinde, cep telefonu numarasının, alınması zorunlu bilgiler arasında bulunmadığı; bu bilgiyi elde etmeye yönelik uygulamanın, 6698 sayılı sayılı Kişisel Verilerin Korunması Kanunun
“Genel ilkeler” başlıklı 4 üncü maddesi ikinci fıkrasında kayıtlı “Kişisel verilerin işlenmesinde aşağıdaki ilkelere uyulması zorunludur: a) Hukuka ve dürüstlük kurallarına uygun olma… c) Belirli, açık ve meşru amaçlar için işlenme. ç) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma. …” hükmünün ihlali anlamına geldiği değerlendirilmiştir.
B. İyi Yönetim İlkeleri Yönünden Değerlendirme (65) 28.3.2013 tarih ve 28601 mükerrer sayılı Resmi Gazetede yayımlanarak yürürlüğe giren
Kamu Denetçiliği Kurumu Kanununun Uygulanmasına İlişkin Usul ve Esaslar Hakkında
Yönetmeliğin “İyi yönetim ilkeleri” başlıklı 6 ncı maddesinde bir dizi iyi yönetişim ilkelerine yer verilmiştir.
(66) Başvuru dosyası sadedinde, Mali Suçları Araştırma Kurulu Başkanlığı, Bankacılık
Düzenleme ve Denetleme Kurumu ve Kişisel Verileri Koruma Kurumunun, Kurumumuz bilgi ve belge talep yazılarına gerekçeli olarak süresi içinde cevap verdiği değerlendirildiğinden, idarenin iyi yönetim ilkelerinden “dürüstlük”, “nezaket”, “şeffaflık” ve “hesap verilebilirlik” ilkelerine uygun davrandığı görülmüştür. İletişim Başkanlığının ise konu hakkında herhangi bir cevap vermediği görülmüş olup; yukarıda sayılan ilkelere aykırı hareket ettiği değerlendirilmiştir.
VI. HAK ARAMA ÖZGÜRLÜĞÜNE İLİŞKİN AÇIKLAMA
(67) 6328 sayılı Kamu Denetçiliği Kurumu Kanununun “Dava açma süresinin yeniden işlemeye başlaması” başlıklı 21 inci maddesinin birinci fıkrası uyarınca başvurunun
Kurumumuz tarafından reddedilmesi hâlinde, durmuş olan dava açma süresi gerekçeli ret kararının ilgiliye tebliğinden itibaren kaldığı yerden işlemeye başlayacaktır. 21 inci maddenin ikinci fıkrası uyarınca ise tavsiye kararı üzerine otuz gün içinde herhangi bir işlem tesis edilmez veya eylemde bulunulmaz ise durmuş olan dava açma süresi kaldığı yerden işlemeye başlayacaktır. Buna göre; ilgili idarenin eylem ve işlemlerine karşı dava açma süresinden (varsa) arta kalan sürede Ankara İdare Mahkemelerinde yargı yolu açıktır.
VII. KARAR
Açıklanan gerekçelerle; Basın kartının bankacılık işlemleri sırasında resmi kimlik belgesi olarak kabul edilmesi talebi hakkında BAŞVURUNUN REDDİNE, Bankacılık işlemlerinde kişisel veri niteliğindeki cep telefonu bilgisinin talep edilmesinin hukuka aykırılığı iddiası hakkında ise BAŞVURUNUN KABULÜNE, Söz konusu, bankacılık işlemlerinde cep telefonu bilgisi talep edilmesi uygulamasının, bankacılık sektöründe yer alan tüm aktörler nezdinde sonlandırılmasına yönelik gereğinin yapılması, hususunda BANKACILIK DÜZENLEME VE DENETLEME KURUMUNA
TAVSİYEDE BULUNULMASINA,
6328 sayılı Kamu Denetçiliği Kurumu Kanununun 20 nci maddesinin üçüncü fıkrası uyarınca;
Bankacılık Düzenleme ve Denetleme Kurumu tarafından bu karar üzerine tesis edilecek işlemin otuz gün içinde Kurumumuza bildirilmesinin zorunlu olduğuna, İş bu kararın başvuran ile Bankacılık Düzenleme ve Denetleme Kurumu Başkanlığına ve bilgi için İletişim Başkanlığı, Mali Suçları Araştırma Kurulu Başkanlığı ve Kişisel Verileri
Koruma Kurumuna da tebliğine, Türkiye Cumhuriyeti Kamu Başdenetçisi’nce karar verildi.
e-imzalıdır
Şeref MALKOÇ
Kamu Başdenetçisi