Covid 19 ile Mücadele Kapsamında Cep Telefonu Uygulaması Vb. Veri Kayıt Araçlarının Kullanılması Kişisel Verilerin Korunması Kanunu'na Aykırı Mıdır?

COVİD -19 virüsü ile mücadele kapsamında virüs bulaşmış kişilerin bir telefon aplikasyonunu telefonlarına indirmelerinin zorunlu olacağı hususu bazı internet haber sitelerinde yer almıştır. Söz konusu telefon aplikasyonu ile bir veri kayıt sistemi oluşturulmak ve bu sistem vasıtasıyla kişisel verilerin işlenmesini amaçlanmaktadır. Veri kayıt sistemi, kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemini ifade ederken; kişisel verilerin işlenmesi ise kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi anlamına gelmektedir. Bakanlığın amaçlamış olduğu uygulama, aplikasyon vasıtasıyla otomatik yollarla veri işleme anlamı taşımaktadır. Ayrıca bu aplikasyon bir veri kayıt sisteminin de parçası olacaktır.

İnternet haber sitelerinde yayınlanan haberlerin doğru olması halinde Sağlık Bakanlığı tarafından verilerin işlenmesi hususunda bazı soruların gündeme gelmesi kaçınılmazdır. Sağlık Bakanlığı bir cep telefonu uygulaması veya benzer teknolojik cihazlar vasıtasıyla Covid 19 hastalığı veya şüphesi bulunan kişilerin sağlık ve konum verilerini işleyebilecek midir? Bu veri işleme faaliyeti için ilgili kişinin açık rızası gerekecek midir? Sağlık Bakanlığı bu veri işleme faaliyeti sırasında 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamındaki yükümlülükleri yerine getirmek zorunda mıdır?

            6698 sayılı kanunun ‘’İstisnalar’’ başlığı altında düzenlenen 28/1-ç maddesine göre, kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini veya ekonomik güvenliği sağlamaya yönelik olarak kanunla görev ve yetki verilmiş kamu kurum ve kuruluşları tarafından yürütülen önleyici, koruyucu ve istihbari faaliyetler kapsamında işlenmesi durumunda bu Kanun hükümleri uygulanmaz. Buna durumda Sağlık Bakanlığının, tüm dünya ve ülkemiz geneli açısından tehlike oluşturan  COVİD-19 virüs salgını  karşısın kullanmayı planladığı telefon aplikasyonu ile kişisel verileri işlemesi kamu sağlığını korumak,  kamu güvenliğini ve kamu düzenini sağlamak amacını taşımaktadır. Dolayısıyla Sağlık Bakanlığı 6698 sayılı kanunda belirtilen kişisel veri işleme şartlarına ve diğer kısıtlamalara tabi olmaksızın, kamunun üstün yararını sağlamak amacıyla bu aplikasyonla kişisel veri işleme faaliyetlerinde bulunabilecektir.

Nitekim Kişisel Verileri Koruma Kurumu internet sitesi üzerinden yayınladığı 09.04.2020 tarihli duyuruda “Salgın hastalık vb. durumlarda toplum sağlığının korunması ve böylece kamu düzeni ile kamu güvenliğinin sağlanmasını teminen yetkili kurum ve kuruluşlarca bu tür yöntemlere başvurulması yasal olarak mümkündür.” ifadelerine yer vererek Sağlık Bakanlığı tarafından cep telefonu uygulaması vb. araçlarla yapılması planlanan veri işleme faaliyetinin 6698 sayılı Kişisel Verilerin Korunması Kanunun’ dan istisna olacağı ve bu kanun hükümlerinin bu veri işleme faaliyetine uygulanmayacağı  hususunu belirtmiştir.

Sağlık Bakanlığı tarafından yapılacak olan veri işleme faaliyeti 6698 sayılı Kişisel Verilerin Korunması Kanununda istisna olmakla birlikte kanundan istisna olunması bu verilerin hiçbir kayıt ve şarta bağlı olmadan işlenebileceği anlamına gelmeyecektir. İşlenecek olan verilerin güvenliğinin sağlanması amacıyla tüm idari ve teknik tedbirlerin alınması ilk yapılması gereken faaliyet olmalıdır. Yine işlenen veriler işlenme amacıyla sınırlı olarak ve bu amacın gerçekleşme süresince kullanılmalıdır. Daha açık ifadeyle işlenecek olan veriler ilgili kişinin Covid 19 hastalığı ile doğrudan ilgili olmak zorundadır. Kişinin Covid 19 hastalığı ile ilgisi bulunmayan bir verisinin işlenmesi durumunda bu durumun 6698 sayılı Kişisel Verilerin Korunması Kanunu’ndan istisna olmasına imkan bulunmamaktadır. Zira Sağlık Bakanlığı tarafından yapılması planlanan veri işleme faaliyetinin amacı kamu sağlığı, kamu düzeni ve güvenliğini sağlamak olduğundan Covid 19 hastalığı ile bağlantısı bulunmayan bir verinin işlenmesi durumunda bu veri işleme faaliyeti yukarıda sayılan istisna durumları kapsamında olmayacağından 6698 sayılı Kişisel Verilerin Korunması Kanunu’na tabi olarak yapılmak zorundadır.

Bir diğer önemli husus da ilgili kişinin verilerinin ne zamana kadar işlenebileceği ve işlenen verilerin saklama sürelerinin ne olacağıdır. Kanaatimizce ilgili kişinin Covid 19 hastalığının sona ermesi ile birlikte veri işleme faaliyeti durdurulmak zorundadır. Zira kişinin sağlığına kavuşması ile kamu düzeni ve kamu güvenliği açısından tehdit oluşturabilecek olan bir yönü kalmamıştır. Hasta olan kişilerin hastalığı döneminde işlenen verilerin hastalık süreci bittikten sonra saklanması hususunda Sağlık Mevzuatında öngörülen saklama süreleri uygulanmalı ve bu sürelerin dolması durumunda ilgili kişi verileri silinmelidir. Hastalık şüphesi bulunan (Covid 19 hastası kişiye teması vb. sebeplerle) kişilerin kişisel verilerinin işlenmesi durumunda ise kişinin hasta olmadığının anlaşılması durumunda verilerinin derhal silinmesi gerekmektedir. Kanaatimizce bu kişiler hasta olmadığından, verileri kamu düzeninin ve güvenliğinin tesisi amacıyla işlendiğinden bu kişilerin verilerinin hasta olan kişilerin verileri gibi saklanmasına imkan bulunmamaktadır. Bilimsel araştırmaların yapılmasının planlandığı durumlarda işlenen verilerin anonim hale getirilerek kullanılması mümkün olabilecektir.