Özet:

         Bilişim teknolojilerinin son dönemdeki baş döndürücü gelişimi ile birlikte kişilere ait çok eski veriler dahi dijital ortamda muhafaza edilerek bilgisayar ya da akıllı cihazlar üzerinde klavyeye istenilen kişinin ismi girildiğinde sadece saniyeler içerisinde tüm dünyada erişilebilir kılınmaktadır. İngilizcede yaygın kullanıldığı haliyle “right to de-referencing-referans bilgilerinden çıkarılmayı talep etme” ya da “right to be forgotten” olarak da bilinen unutulma hakkı, özgürce yaşamını sürdürmek isteyen bireye, artık bilinmesini istemediği geçmişine ait kişisel verilerinin dijital dünyada silinmesini isteme hakkını vermektedir. Bir bakıma bireye kendine ilişkin verilerin geleceğini tayin etme yani self determinasyon hakkı tanınmaktadır. Google Spain SL, Google Inc. v Agencia Española de Protección de Datos-İspanya Kişisel Verilerin Korunması Ajansı ve Mario Coseja González davasında Avrupa Birliği Adalet Divanı’nın 13 Mayıs 2014 tarihinde verdiği karar dijital çağda insan haklarının korunması hususunda adeta sınır taşı niteliğinde bir önem taşımaktadır. Unutulma hakkı AB nezdinde uzun süredir tanınan kişisel verilerin korunması hakkından bağımsız yeni bir hak olarak ilk defa bu kaarr ile tanınmaya başlanmıştır.

Anahtar Kelimeler: Kişisel veri, kişisel verilerin korunması hakkı, unutulma hakkı, Avrupa Birliği Adalet Divanı, Google.

           Bu çalışmada, bireyin, kişisel verilerini serbestçe kullanma isteğinin bir yansıması şeklinde nitelendirilebilecek olan ve son yıllarda giderek kişisel verilerin korunması hakkından bağımsız olarak tartışılmaya başlanan bir hak olan unutulma hakkı Avrupa Birliği Adalet Divanı’nın (ABAD) Google kararı olarak bilinen kararı ve diğer ilgili içtihadı ışığında ele alınacaktır.

          Davanın gelişimine bakıldığında 5 Mart 2010 tarihinde İspanyol vatandaşı olan Mario Coseja Gonzalez İspanya Kişisel Verilerin Korunması Ajansı nezdinde İspanyol gazetesi, Google’ın İspanya temsilciliği ve Merkezi aleyhine yaptığı başvuruya dayanmaktadır. Başvuruda herhangi bir internet kullanıcısının Google arama motoruna ismini yazdığında evinde haciz işlemi yapılmasına dair bir mahkeme kararını haber yapan bazı La Vanguardia gazetesinin yayınları ile karşılaşmaktaydı ve bahse konu gazetenin yayınlardan ismini silmesi ve Google’ın sonuç listesinden kişisel verilerini çıkarması talep edilmekteydi. Kendisi evinde haciz işlemi yapılması kararının sonlandırıldığı ve bu işleme yapılacak atıfların hiçbir güncel değerinin olmadığını savunmaktaydı. İspanyol Veri Koruma Otoritesi gazeteye ilişkin olan talebi reddetmiş ancak Google ile ilgili başvuruyu uygun bulmuştur. Kuruma göre gazete basım zamanı itibariyle hukuka uygun olarak haberi neşretmiş olduğu için haberi kaldırma gibi bir yükümlülük altında değildi. Buna karşın, arama motorlarını 95/46/EC sayılı AB Direktifi bağlamında kişisel veri işlemcisi olarak kabul etmiş ve Bay Gonzales’in talebi doğrultusunda Google İspanya ve ana şirket olan Google Inc.’ın başvurucunun kişisel verilerini silmesi gerektiğine hükmetmiştir.

           Verilen karara karşı Google İspanya ve Google Inc temyiz başvurusunda bulunmuşlardır. İspanya Yüksek Mahkemesi ise ana karar usulü ile AB Adalet Divanına bahse konu Direktif hükümlerinin somut olayda yorumlanması için soru yöneltmek maksadıyla derdest davayı bekletmeye karar vermiştir. Yönlendirilen sorular şu şekilde özetlenebilir: Google kişisel veri işlemcisi sıfatına sahip midir? Ve ayrıca AB sınırları içerisinde faaliyet gösteren bir şirket olarak Direktif hükümlerine tabi olmak durumunda mıdır? Aksi bir yanıt verilmesi halinde Mahkeme veri işlemcisi olarak Google’ın sorumluluklarının ne olduğunu ve bir AB vatandaşının unutulma hakkı olarak tabir edilen Google’dan kişisel verilerini silmesini isteyip isteyemeyeceği hususunun değerlendirilmesini talep etmiştir.

AB Adalet Divanı(ABAD) Kararı

           ABAD, Google’ın indeksleme programları çerçevesinde veriyi toplayarak sonrasında veri tabanından çekmesi, kaydetmesi ve organize ediyor olması, sunucularında depolayarak somut olayda olduğu gibi “arama sonuçları” listesinde göstermek suretiyle ifşa ettiği ve erişilebilir kıldığı ve bu nedenle de veri işlemenin amaç ve araçlarını tayin ettiği için Direktif hükümlerine göre bir kişisel veri işlemcisi olarak kabul edilmesi gerektiğine karar vermiştir. ABAD’a göre ayrıca Google İspanya Google Inc.’ın bağlı şirketi olması nedeniyle ana şirket olan Google Inc.’ın da AB Veri Koruma Direktifi hükümlerine tabi olduğu sonucuna varmıştır. Bu noktada arama motoru operatörünün aynı işlemleri diğer türden bilgiler için de yapıyor olması ve kişisel veriler ile diğer veriler arasında bir ayrıma gitmemesinin bir önemi yoktur.[1] Arama motorunca derlenen kişisel verilerin daha önce internet ortamında yayınlanmış olması ve arama motorunun bu verilerde her hangi bir değişikliğe gitmemiş olması da sonucu değiştirmeyecektir.[2] Divan’a göre web sayfalarının arama motorlarının otomatik indeksleme sonuçlarından yayınladıkları bazı spesifik bilgilerin tamamen ya da kısmen çıkarılmalarını sağlayan “noarchive” ya da “no index” kodları ile “robot.txt” gibi dışlama protokollerini kullanarak arama motoru operatörünü bazı içeriklerinin yayınlanmamasını isteyebilme seçeneklerinin olması web sayfası yayıncılarının bu yönde bir talepte bulunmamaları halinde arama motoru operatörünün kişisel verilerin işlenmesi noktasındaki   sorumluluğunu ortadan kaldırmayacaktır.[3]

          Kararın ana hatlarından biri Google benzeri arama motorlarının Direktif bağlamındaki hukuki sorumluluklarını ilgilendirmektedir. Divan, veri işleyicisi ve kendilerine hizmet sunulan üçüncü kişilerin meşru çıkarları için gerekli olduğu müddetçe arama motorlarının kişisel verileri işleme haklarının olduğunu kabul etmiştir. Fakat bu hak mutlak bir hak değildir. Veri süjesinin çıkarları ya da temel hakları özellikle de özel yaşamın gizliliği hakkı ile çatıştığı durumlarda kamuya bilgi sunma hakkı olarak nitelenebilecek bu hakları sınırlandırılabilir.[4] 95/46/EC sayılı Direktif’in 7(f) maddesi veri süjelerinin AB Temel Haklar Şartının 7. Ve 8. Maddelerinde koruma altına alınan haklarının taşıdığı önem göz önüne alınmak suretiyle farklı haklar ve çıkarlar arasında bir dengeleme yapılmasını gerektirmektedir.[5] Söz konusu madde ile veri kontrolörleri ile kişisel verilerin ifşa edildiği üçüncü tarafların güttüğü meşru amaçlar için gerekli olduğu durumlarda kişisel verilerin işlenmesine izin verilmektedir. Ancak, Direktif ‘in 1(1). Maddesinde koruma altına alınan veri süjelerinin temel hak ve özgürlükleri özellikle de özel yaşamlarının gizliliğine saygı gösterilmesini isteme hakları karşısında bahse konu çıkarlar ikinci plana itilmelidir. Genel kural olarak veri süjelerinin korunmak istenen hakları internet kullanıcılarının çıkarlarına nazaran önceliklidir. Ancak hak ve çıkarlar arasında yapılacak dengelemede spesifik davalarda ele alınan kişisel verilerin tabiatı ve kişisel verileri işlenecek kişinin özel yaşamı açısından hassaslık düzeyleri ve kamunun bahse konu verilere erişme çıkarına bağlı olarak değişebilecektir. Kamunun bilgi alma noktasındaki çıkarı ise özellikle veri süjesinin toplum yaşamında oynadığı role göre belirlenmelidir. 

           ABAD, açık bir şekilde arama motorlarının ekonomik çıkarlarının bireylerin özel yaşamlarının gizliliği hakkına sınırlama getirmeyi meşru kılacak bir değer ifade etmediğini belirtmiştir. Divan’a göre prensip olarak özel hayatlarının gizliliği hakkı kamunun kamuya mal olmamış kişilerin kişisel verilerine erişim sağlama hakkına göre daha öncelikli kabul edilmelidir.

          ABAD, açığa vurulan veriler kendilerine zarar verecek nitelikte olmasa dahi veri süjelerinin kuşkusuz olarak kişisel verilerinin ifşa edilmesini engelleme noktasında meşru bir haklarının olduğunu belirtmektedir. Bu hakkın temelinde özel hayatın gizliliği hakkı yer almaktadır. Bundan dolayı veri süjesi sıfatını taşıyan Bay Gonzales, ifşa edilen verilerin yetersiz, ilgisiz ya da artık alakasız olması yahut arama motoru operatörü tarafından yerine getirilen işleme amaçları bakımından aşırı ölçüde olması halinde kişisel verilerinin silinmesini isteyebilecektir. Bu noktada veri süjelerinin hakları söz konusu olduğu gibi veri sorumlularının da ilgili kişisel verileri silmek yükümlülükleri söz konusudur. Yukarıda kısaca özetlenen kararında ABAD, Bay Gonzales’in Google’dan arama motorlarından kişisel verilerini silinmesini isteme hakkı olduğu ve ilgili şirketin ise bu verileri silme mükellefiyeti altında olduğunu belirtmiştir. Böylelikle, veri süjeleri açısından unutulma hakkı kabul edilerek buna bağlı olarak da veri sorumlularının talep edilen verileri silme yükümlülüğü benimsenmiştir.

           ABAD’a göre bazı koşullar altında bir web sayfasında kişisel verilerin yayınlanması salt gazetecilik amaçları için gerçekleştirilmiş olarak kabul edilerek 95/46/EC satılı Direktifin 9. Maddesi kapsamında değerlendirilerek istisnai olarak izin verilebilir. Ne var ki, aynı durum arama motorunun operatörünce gerçekleştirilen veri işlemeleri için söz konusu olamaz.[6]

KARARA GÖSTERİLEN TEPKİLER

          Kuşkusuz ABAD’ın unutulma hakkını kabul ettiği bu karar büyük bir önem arz etmektedir. Zira ileride alınacak kararlara meşruiyet sağlayacak bir emsal karar alınmış bulunmaktadır. Buna ek olarak, ulusal mahkemeler verecekleri kararlarda ABAD’ın içtihadına dayanabilirler. Gelinen noktada AB’nin 95/46/EC sayılı Direktifi ikame eden Genel Kişisel Veri Koruma Yönetmeliği (General Data Protection Regulation-GDPR) ele alınan kararın tabii bir uzantısı olarak unutulma hakkını yasal güvenceye alarak kurumsallaştırmış bulunmaktadır.[7] Bu nedenle kararın tüm hatlarıyla incelenerek yorumlanması büyük önem arz etmektedir.

           İlk olarak kararın bir web sitesinden kişisel verilerin silinmesi ile arama motoru sonuç listesinden silinmesi arasında bir ayrıma gittiği görülmektedir.[8] Tek bir web sitesinde kişisel verilerin yayımlanmış olmasının aynı verilerin arama motorunda ifşa edilmesine nazaran doğuracağı sonuçlar daha kısıtlı olacaktır. Bir arama motorunun kişisel verileri toplama, birleştirme, bir bütün olarak yayınlama ve bu sayede kullanıcı için kişisel verileri işlenen kişinin geniş bir profilini çıkarabilme kapasitesi tek bir web sitesinde yayımlanan kişisel veriler için söz onuşu dahi olamayacaktır. Ayrıca bir arama motorunda yayımlanan veriler daha geniş bir kitle tarafından görüntülenebilir ve ilgili kişinin bütüncül bir dijital kimliği bu sayede oluşturulabilir. ABAD, kararında bu hususa özellikle vurgu yapmak gereğini duymuştur.[9]

           Aynı mantık dâhilinde arama motorundan kişisel verilerin silinmesinin bir web sitesi ortamından silinmesine nazaran çok daha önemli sonuçlar doğuracağının kabulü gerekir. Zira ilk durumda bilgi edinme hakkı çok daha geniş bir şekilde etkilenecektir. Bir kişi eğer başka birisi hakkında bilgi araştırmak istiyorsa ilgili kişinin ismini arama motorunda aratması aranan kişinin isminin geçeceğini düşündüğü müstakil bir web sitesine bakmasına nazaran daha olasıdır. Bu nedenle eğer bir kişinin kişisel verileri arama motorundan silinir ise o kişinin özel hayatının gizliliği ve kişisel verileri her hangi bir web sayfasından silinmesi durumuna nazaran daha güçlü ve yeterli bir biçimde korunmuş olacaktır. Bununla birlikte demokratik bir toplumda bir başka önemli bir temel hak olan ve AB Temel haklar Şartının 11. Maddesinde teminat altına alınan kamunun bilgi alma hakkı da bu durumdan etkilenecektir. Her ne kadar ABAD, kararında arama motorları ile web sayfalarının kişisel veri işlemeleri arasındaki farklara değinmiş olsa da bilgi alma hakkı ile aynı düzeyde bir değerlendirmede bulunmamıştır. Hâlbuki bilgi alma hakkı da her iki durumda farklı düzeylerde etkilenmiş olacaktır. 95/46/EC sayılı Direktifin “Kişisel Verilerin İşlenmesi ve Basın Özgürlüğü” başlıklı 9. Maddesi incelendiğinde AB yasama organının da iradesinin bu yönde olduğu görülecektir.

           Buna göre Üye Devletler, kişisel verilerin salt basın özgürlüğü ya da sanatsal ve edebi amaçlarla işlenmesi durumlarında özel hayatın gizliliği hakkının ifade özgürlüğünü düzenleyen kurallarla uzlaştırılması için gerekli olduğu takdirde Direktifin ilgili kısımlarına istisna ya da derogasyon getireceklerdir.

          Buna ek olarak bu çalışmada incelenen karar kapsamında Divan’ın yalnızca kamu çıkarlarının bireylerin özel yaşamlarının gizliliği ve kişisel verilerinin korunmasına sınırlama getirebilecek etken olarak ele aldığı görülmektedir. Bilgi alma hakkı da bahse konu hakların kısıtlanması açısından bir sebep olarak ele alınmalıdır. Zira her ne kadar kişisel verilerin korunması büyük öneme sahip olan bir hak olsa da yaşam hakkı ve işkence, kötü muameleye tabi tutulma yasağı gibi mutlak haklar arasında sayılamaz. Bu nedenle de adil bir denge sağlanması için diğer temel haklarla birlikte ele alınması gerektiğini düşünmekteyiz. Dolayısıyla Divan’ın unutulma hakkı ile teraziye konularak karşılıklı tartılacak başka bir hak olan ve AB Temel Haklar Şartının 11. Maddesinde korunan bilgi alma hakkı ile birlikte değerlendirilmesi gerekmektedir.

           Divan’ın kararında değinilmeyen başka bir önemli husus ise unutulma hakkının coğrafik olarak uygulanacağı bölge yani hakkın yalnızca AB sınırlarında mı geçerli olacağı sorunudur. Her iki seçenek için güçlü argümanların olduğu söylenebilir. Bu husus hâlihazırda Divan önünde bekleyen Google İle Fransız Veri Koruma Otoritesi CNIL arasındaki davada karara bağlanacaktır.[10]

           Yukarıda değinilen hususların yanı sıra ABAD’ın kişisel veri kontrolörü nosyonuna getirdiği tanımlamaya ilişkin olarak da bazı eleştirilerin getirildiği söylenebilir. Buna göre, yalnızca arama motorları değil bunların kullanıcılarının da veri kontrolörü olarak kabul edilmesi gerektiği savunulmuştur. Ancak Genel Kişisel Veri Koruma Yönetmeliğinin bu noktada geniş bir tanımlama yaptığı göz önüne alınmalıdır. Divan’ın önümüzdeki dönemde bahse konu Yönetmelikle ilgili olarak geliştireceği içtihadın yakından takip edilmesi gerekecektir.

           ABAD’ın Google ile ilgili olarak verdiği kararın kişisel verilerin korunması noktasında yalnızca Avrupa’da değil uluslararası düzeyde de bir referans noktası olarak kullanıldığı görülmektedir. Nitekim en önde gelen kişisel veri kontrolörü olan Google unutulma hakkını kullanmak isteyen kişilerin haklarını kullanmaları için hızlı ve kolay bir erişim prosedürü geliştirmiştir. Buna ek olarak unutulma hakkı Genel Kişisel Veri Koruma Yönetmeliği ile de yasal koruma altına alınmıştır. Tüm kişisel veri işleyicilerinin bu hakka saygı göstermesi gerekmekte ve her veri süjesi bazı kısıtlamalar olsa da bu haktan istifade edebilmektedir.

[1] Case C‑131/12, Google Spain SL, Google Inc. v Agencia Española de Protección de Datos (AEPD), Mario Costeja González. Paragraf 29. 

[2] Ibid., paragraf 30. ABAD, daha önce de 95/46/EC sayılı Direktifin 2(b) maddesinde bahsedilen işlemlerin değiştirilmemiş haliyle medyada yayımlanmış materyalleri kapsıyor olsa da veri işlemesi olarak değerlendirilmesi gerektiğini ifade etmiştir. Divan’a göre bu sebeple genel bir derogasyona izin verildiği takdirde Direktif ’in doğuracağı etkiler geniş bir şekilde akamete uğrayabilecektir. Bkz: Case C‑73/07 Satakunnan Markkinapörssi and Satamedia EU:C:2008:727, paragraf 48 ve 49).

[3] Case C‑131/12, paragraf 39. 

[4] Ibid, paragraf 74. 

[5] Aynı yönde bir başka ABAD kararı için lütfen bkz: ASNEF and FECEMD, EU:C:2011:777, paragraf 38 ve 40).

[6] Case C‑131/12, paragraf 

[7] REGULATION (EU) 2016/679 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) madde 17.

[8] Supra, Case C‑131/12, paragraf 85. 

[9] Divan’a göre internet ve arama sonuçlarında listelenen bilgilerin her yerde aynı zamanda erişilebilir kılınmasını sağlayan arama motorlarının modern toplumlarda oynadığı rol göz önüne alındığında veri süjesinin haklarına yapılacak müdahalenin etkileri de artmaktadır. Bu paralelde bir başka karar için bkz:Birleştirilmiş kararlar C‑509/09 ve C‑161/10 eDate Advertising and Others EU:C:2011:685, paragraf 45

[10]