Sosyal Medya Paylaşımları ve KVKK: Bireyler ve İşletmeler İçin Sınırlar

1. Konunun Genel Çerçevesi

Sosyal medyada yapılan paylaşımlar, çoğu zaman başka kişilere ait bilgiler içermektedir. Bir fotoğraftaki yüz, bir videodaki ses, etiketlenen bir ad veya paylaşılan bir konum, belirli ya da belirlenebilir bir gerçek kişiyle ilişkili olduğu ölçüde kişisel veri sayılmaktadır.

Bu konu iki açıdan önem taşımaktadır. Birincisi, bireylerin kendi hesaplarında başkalarına ait verileri paylaşmasıdır. İkincisi ise şirket ve işletme hesaplarının müşteri, çalışan ve takipçi verilerini işlemesidir. İki durumda uygulanacak kurallar ve sorumluluk düzeyi farklıdır.

2. Hukuki Dayanak

• KVKK m.3 (kişisel veri, veri sorumlusu, ilgili kişi tanımları)
• KVKK m.4 (genel ilkeler) ve KVKK m.5 (kişisel verilerin işlenme şartları)
• KVKK m.6 (özel nitelikli kişisel veriler; 7499 sayılı Kanun'la değişik)
• KVKK m.9 (yurt dışına aktarım; 7499 sayılı Kanun'la değişik)
• KVKK m.10 (aydınlatma yükümlülüğü) ve KVKK m.12 (veri güvenliği)
• KVKK m.11 (ilgili kişinin hakları), KVKK m.13 (veri sorumlusuna başvuru), KVKK m.14 (Kurul'a şikâyet)
• KVKK m.28/1-a (kişisel ve ev içi faaliyet istisnası)
• TCK m.134, TCK m.135, TCK m.136, TCK m.138 (özel hayat ve kişisel verilere ilişkin suçlar)

3. Kanundaki Düzenleme

Bireysel Paylaşımlar ve Ev İçi Faaliyet İstisnası

KVKK m.28/1-a, kişisel verilerin üçüncü kişilere verilmemek ve veri güvenliğine ilişkin yükümlülüklere uyulmak kaydıyla, gerçek kişiler tarafından tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetler kapsamında işlenmesini Kanun'un dışında tutmaktadır. Bu istisna, kapalı ve kişisel nitelikteki kullanımı hedeflemektedir.

Başkasına ait bir görüntünün herkese açık bir hesapta yayımlanması, verinin sınırsız sayıda üçüncü kişiye açılması anlamına gelmektedir. Bu nedenle bu tür paylaşımlar, istisnanın sınırları dışında kalabilmektedir. Ayrıca KVKK uygulanmasa dahi kişilik hakkı (TMK m.24) ve ceza hükümleri bakımından sorumluluk doğabilmektedir.

İşletme Hesapları ve Veri Sorumluluğu

Şirket ve işletme hesapları, müşteri ve çalışan verilerini kendi amaçları doğrultusunda işlediğinden veri sorumlusu sıfatı taşımaktadır. Veri işlemenin KVKK m.5'te sayılan şartlardan birine dayanması ve ilgili kişinin KVKK m.10 uyarınca aydınlatılması gerekmektedir. Açık rıza, ancak başka bir işleme şartının bulunmadığı hâllerde başvurulması gereken bir şarttır; özgür iradeye dayanmalı ve belirli bir konuya ilişkin olmalıdır.

Özel Nitelikli Veriler ve Yurt Dışı Aktarım

Sağlık, din, etnik köken, biyometrik veri gibi özel nitelikli kişisel veriler KVKK m.6 kapsamında daha sıkı korunmaktadır. 7499 sayılı Kanun'la bu verilerin işlenme şartları yeniden düzenlenmiştir. Örneğin bir klinik veya güzellik merkezi hesabında müşterinin işlem öncesi ve sonrası görüntülerinin paylaşılması, sağlık verisi niteliği taşıyabilmektedir.

Sosyal medya platformlarının sunucuları çoğunlukla yurt dışında bulunmaktadır. Yurt dışına aktarım KVKK m.9 kapsamında; yeterlilik kararı, uygun güvenceler ve arızi aktarım hâllerine göre değerlendirilmektedir. Standart sözleşme kullanılması hâlinde, sözleşmenin kanunda öngörülen süre içinde Kurum'a bildirilmesi gerekmektedir.

Yaş Doğrulamaya İlişkin Düzenleme

7578 sayılı Kanun'la 5651 sayılı Kanun'da yapılan değişiklikler kapsamında, sosyal ağ hizmetlerinde e-Devlet üzerinden yaş doğrulamasına ilişkin bir yapı öngörülmüştür. Bu yapıda platforma kimlik bilgisi değil, kullanıcının belirli bir yaş eşiğini karşılayıp karşılamadığını gösteren bir yaş doğrulama belirteci iletilmektedir. Uygulamanın ayrıntıları için ikincil düzenlemelerin takip edilmesi gerekmektedir.

4. Uygulamada Süreç

İşletme Hesapları İçin

1. Envanter çıkarılması: Sosyal medya üzerinden hangi verilerin, hangi amaçla toplandığı belirlenmektedir (yorumlar, mesajlar, çekiliş katılımları, etiketlenen müşteri görselleri).
2. Aydınlatma metni: Profil sayfasında veya bağlantıda erişilebilir bir aydınlatma metni hazırlanmaktadır.
3. Müşteri görselleri: Müşteri fotoğraf ve videolarının paylaşılması için yazılı ve ispatlanabilir izin alınmaktadır.
4. Çalışan görselleri: Çalışanların görüntüleri, iş sözleşmesinden bağımsız olarak ve çalışanın serbest iradesine dayalı izinle kullanılmaktadır. İşten ayrılan çalışanın talebi ayrıca değerlendirilmektedir.
5. Kampanya ve çekilişler: Katılımcılardan yalnızca amaç için gerekli veriler istenmekte; pazarlama amaçlı kullanım için ayrıca onay alınmaktadır. Ticari elektronik ileti gönderimi ayrıca 6563 sayılı Kanun hükümlerine tabidir.
6. Doğrudan mesajlar (DM): DM yoluyla alınan kimlik, adres veya sağlık bilgileri gibi veriler, saklama süresi belirlenerek güvenli ortama aktarılmakta ve gereksiz hâle geldiğinde silinmektedir.

İlgili Kişi İçin

1. Delil tespiti: Paylaşımın bağlantı adresi, tarihi ve ekran görüntüsü kayıt altına alınmaktadır.
2. Veri sorumlusuna başvuru: KVKK m.11'deki haklar kapsamında silme, düzeltme veya bilgi talebiyle KVKK m.13 uyarınca veri sorumlusuna yazılı olarak başvurulabilmektedir.
3. Kurul'a şikâyet: Başvurunun reddedilmesi, cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde KVKK m.14 uyarınca Kurul'a şikâyette bulunulabilmektedir.
4. Ceza şikâyeti ve hukuk yolu: Fiil suç oluşturmaktaysa Cumhuriyet başsavcılığına şikâyette bulunulabilmekte; tazminat için hukuk yoluna gidilebilmektedir.

5. Görevli ve Yetkili Mahkeme veya Merci

İdari süreçte yetkili merci Kişisel Verileri Koruma Kurulu'dur. Kurul, şikâyet üzerine veya re'sen inceleme yapabilmekte ve idari yaptırım uygulayabilmektedir. 7499 sayılı Kanun'la Kurul'un idari para cezalarına karşı idare mahkemesine başvurulması öngörülmüştür; başvuru tarihinde güncel düzenlemenin kontrol edilmesi gerekmektedir.

TCK m.134-136 ve TCK m.138 kapsamındaki suçlar için şikâyet veya ihbar Cumhuriyet başsavcılığına yapılmakta; kovuşturma aşamasında kural olarak asliye ceza mahkemesi görevli olmaktadır. Tazminat davalarında asliye hukuk mahkemesi görevlidir. Yetkide genel kural davalının yerleşim yeri olup, haksız fiil nedeniyle zararın meydana geldiği yer ve zarar görenin yerleşim yeri mahkemesi de yetkili olabilmektedir.

6. Süreler ve Dikkat Edilecek Hususlar

• Veri sorumlusu, KVKK m.13 uyarınca başvuruyu talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırmakla yükümlüdür.
• Kurul'a şikâyet, veri sorumlusunun cevabının öğrenildiği tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde yapılmaktadır.
• Veri sorumlusuna başvurulmadan doğrudan Kurul'a şikâyet yoluna gidilmesi, kural olarak mümkün değildir.
• İdari para cezası tutarları her yıl yeniden belirlendiğinden, güncel tutarların ayrıca kontrol edilmesi gerekmektedir.
• Paylaşımın daha sonra silinmesi, silinene kadar geçen süredeki ihlali ortadan kaldırmamaktadır.
• Çocuklara ait görüntülerin paylaşılmasında velinin izninin yanı sıra çocuğun üstün yararı da gözetilmelidir.
• VERBİS kaydı yükümlülüğü, çalışan sayısı ve bilanço eşiklerine göre ayrıca değerlendirilmelidir.

7. Sonuç

Sosyal medyada başkasına ait verilerin paylaşılması, bireyler bakımından çoğu zaman kişisel faaliyet istisnasının dışına çıkmakta; işletmeler bakımından ise doğrudan veri sorumluluğu doğurmaktadır. Aydınlatma, hukuki işleme şartı ve veri güvenliği yükümlülükleri, işletme hesaplarının yönetiminde temel kurallardır.

İlgili kişi önce veri sorumlusuna başvurmakta, ardından Kurul'a şikâyet, ceza şikâyeti ve tazminat yollarını değerlendirebilmektedir. Somut olayın özelliklerine göre ayrıca değerlendirme yapılması gerekmektedir.

8. Akademik Kaynaklar

Bu konuya ilişkin akademik çalışmalara aşağıdaki kaynaklar üzerinden ulaşabilirsiniz. Tez ve makalelerin içeriği bu sitede çoğaltılmamaktadır.

Bu yazı genel bilgilendirme amaçlıdır; hukuki görüş niteliği taşımamaktadır.

← Sosyal Medya Hukuku