Kamu kurumlarının internet sitelerinde yer alan "kayıt sorgulama" ekranları, son yıllarda hem vatandaşın hem de meslektaşlarımızın en sık kullandığı arayüzlerden biri hâline geldi. Tapu, vergi, sosyal güvenlik, nüfus, araç, ihale ve sicil kayıtları; çoğu zaman yalnızca TC kimlik numarası ve doğum tarihi gibi birkaç alan doldurularak sorgulanabiliyor. Büromuzda idare hukuku ve kişisel verilerin korunması kesişiminde yürüttüğümüz dosyalarda bu ekranların, ilk bakışta "teknik bir ayrıntı" gibi görünse de idari dava pratiğinde ciddi usul ve esasa ilişkin sonuçlar doğurduğunu görüyoruz. Bu yazıda, uygulamada bu sorgulama ekranları üzerinden yürüyen kişisel veri işleme süreçlerinde yakalandığımız kritik noktaları, dosya deneyimimiz üzerinden paylaşıyoruz.

Sorgulama ekranı ile "veri işleme faaliyeti" arasındaki farkın gözden kaçması

Dosyalarda en sık karşılaştığımız hata, idarenin sorgulama ekranını yalnızca bir "bilgi edinme aracı" olarak görmesi ve arka planda yürüyen veri işleme faaliyetini ayrı bir idari işlem olarak değerlendirmemesi. Oysa kullanıcı ekrana TC kimlik numarasını girdiği anda; kimlik doğrulama, log kaydı, sorgu sonucunun ekrana yansıtılması ve çoğu zaman üçüncü sistemlerle entegrasyon gibi birden fazla işleme adımı devreye giriyor. 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 4. maddesindeki genel ilkeler ve 5-6. maddelerdeki işleme şartları, bu zincirin her halkası için ayrı ayrı değerlendirilmeli.

Uygulamada idari yargıya taşıdığımız dosyalarda, davalı idarenin savunmasında "sorgulama ekranı zaten kamuya açık" veya "veriler ilgili mevzuat gereği tutuluyor" şeklindeki kalıp cümlelere sık rastlıyoruz. Bu savunma, işleme faaliyetinin hukuki sebebini değil yalnızca verinin niteliğini açıklıyor. Hukuki sebep ile verinin niteliği arasındaki bu karışıklık, iptal davalarında idarenin savunma zeminini zayıflatıyor; ancak bu zayıflığı fark etmek için dosyada teknik bilgi birikimi gerekiyor.

Aydınlatma yükümlülüğünün ekranın "alt bilgi" satırına sıkıştırılması

Büromuzun dosyalarında gördüğü tipik bir uygulama şu: Sorgulama ekranının en altında, küçük puntoyla ve çoğu zaman açılır pencere içinde bir aydınlatma metni yer alıyor. Metin, veri sorumlusunun kimliğini, işleme amacını, aktarım yapılıp yapılmadığını ve ilgili kişinin haklarını teknik olarak sayıyor; ancak pratikte kullanıcı bu metni görmeden sorgulamayı tamamlıyor. KVKK'nın 10. maddesindeki aydınlatma yükümlülüğünün "şeffaf" ve "anlaşılır" olması gerektiği yönündeki ölçüt, bu tür tasarımlarda fiilen karşılanmıyor.

İdari dava açısından bu noktanın önemi şurada: Aydınlatma yükümlülüğünün ihlali, tek başına bir idari işlemin iptaline gerekçe olmasa da idarenin hukuka uygunluk denetiminde "usul" ayağını zayıflatıyor. Özellikle veri işleme faaliyetinin hukuki sebebi ile aydınlatma metni arasında tutarsızlık bulunduğunda, bu tutarsızlığı dosyaya taşımak idarenin savunmasını somutlaştırmasını zorunlu kılıyor.

Log kayıtlarının dosyaya girmemesi ve ispat yükü

Uygulamada en çok zorlandığımız alan, sorgulama ekranı üzerinden yapılan işlemlerin log kayıtları. İdari yargıda iptal davasında idarenin işlem gerekçesini ortaya koyma yükümlülüğü, 2577 sayılı İYUK'un 20. maddesi çerçevesinde savunma dilekçesi ve ekleriyle yerine getiriliyor. Ancak sorgulama ekranına ilişkin log kayıtları, çoğu zaman savunmaya eklenmiyor; eklenenler ise özet niteliğinde ve hangi kullanıcının hangi amaçla sorgulama yaptığını göstermiyor.

Büromuzda bu tür dosyalarda izlediğimiz yöntem, mahkemeden log kayıtlarının tam olarak istenmesi ve sorgulama amacının (örn. bir denetim, bir icra takibi, bir kamu alacağı takibi) işlem bazında belgelenmesi yönünde ara karar talebi oluyor. Log kayıtları dosyaya girdiğinde, "veri işleme amacı" ile "fiilî sorgulama amacı" arasındaki uyumsuzluk somutlaşıyor. Bu uyumsuzluk, özellikle görevle bağlantısı olmayan sorgulamalarda idarenin hukuka uygunluk savunmasını ciddi biçimde sarsıyor.

Yetkilendirme ve rol yönetimindeki boşluklar

Sorgulama ekranlarının bir kısmı kurum içinde farklı birimlerin kullanımına açık. Uygulamada gördüğümüz kritik nokta, kullanıcı rol ve yetki tanımlarının hangi mevzuat dayanağıyla yapıldığının dosyada ortaya konmaması. Bir memurun hangi veri alanını görmeye yetkili olduğu, bu yetkinin hangi iç düzenleyici işlemle verildiği ve yetkinin kötüye kullanımını önleyecek denetim mekanizmasının ne olduğu; iptal davasında idarenin savunmasının omurgasını oluşturması gereken hususlar.

Bu noktada idari işlem denetiminde "takdir yetkisi" ile "bağlı yetki" ayrımı önem kazanıyor. Sorgulama ekranı üzerinden yapılan bir veri işleme faaliyeti, mevzuatın açıkça öngördüğü bir amaçla sınırlıysa idarenin takdir alanı daralıyor. Buna karşın iç düzenleyici işlemlerle yetki genişletilmesi, üst normlara aykırılık oluşturduğunda idari işlemin "yetki" unsuru bakımından sakatlığı gündeme gelebiliyor.

İlgili kişinin başvurusunun idari dava sürecine etkisi

Uygulamada müvekkillerin sık yaptığı hata, doğrudan idari yargıya gitmek yerine önce KVKK kapsamındaki başvuru yolunu atlamak. Oysa 6698 sayılı Kanun'un 13. ve devamı maddeleri çerçevesinde veri sorumlusuna başvuru, birçok dosyada idari dava öncesi zorunlu bir aşama işlevi görüyor. Büromuzda bu başvuruyu yaparken başvurunun kapsamını dar tutmuyoruz: hem ilgili kişinin hangi verisinin hangi ekran üzerinden işlendiğinin tespiti hem de varsa hukuka aykırı işlemenin durdurulması talebi aynı başvuruda yer alıyor.

Başvuruya verilen cevabın niteliği de dosya stratejisini belirliyor. İdarenin "veri işleme faaliyeti mevzuata uygundur" şeklindeki kalıp cevabı, idari davada idarenin savunmasını sınırlayan bir zemin oluşturuyor. Cevabın gerekçesiz olması hâlinde ise İYUK'un 10. maddesi çerçevesinde zımni reddin varlığı ve dava açma süresinin başlangıcı ayrıca değerlendirilmeli.

Ekran tasarımının idari işlem niteliği taşıyıp taşımadığı

Son dönemde dosyalarımızda tartıştığımız bir konu, sorgulama ekranının kendisinin bir idari işlem sayılıp sayılmayacağı. Ekranın yayına alınması, kaldırılması veya sorgulama kapsamının genişletilmesi; genel, soyut ve kişilik dışı nitelikte olduğunda düzenleyici işlem niteliği taşıyabiliyor. Bu durumda iptal davasının konusu, ekranın kendisi değil, ekran üzerinden yürütülen veri işleme faaliyetinin hukuki dayanağı oluyor.

Uygulamada bu ayrımı yapmadan doğrudan "ekranın iptali" talebiyle açılan davalarda, mahkemenin davayı konu bakımından inceleme dışı bırakma eğiliminde olduğunu görüyoruz. Bu nedenle büromuzda dava dilekçesini kaleme alırken, ekranın işletilmesine dayanak oluşturan iç düzenleyici işlem ile bireysel veri işleme faaliyetini ayrı ayrı göstermeye özen gösteriyoruz.

Uygulamada dikkat ettiğimiz pratik noktalar

  • Dava öncesi tespit: Sorgulama ekranının hangi mevzuat dayanağıyla açıldığı, hangi veri alanlarını kapsadığı ve ekranın kullanım koşullarının yayımlanıp yayımlanmadığı dosyada belgelenmeli.
  • Başvuru ile dava arasındaki süre yönetimi: KVKK başvurusunun sonucu ile idari dava açma süresi arasındaki ilişki, her dosyada ayrı takvimlendirilmeli; süre kaçırma riski bu alanda yüksek.
  • Log kaydı talebi: Savunma dilekçesiyle birlikte log kayıtlarının tam olarak istenmesi, ara karar talebiyle desteklenmeli.
  • Yetki ve rol tanımları: İç düzenleyici işlemler ile üst norm arasındaki uyum, iptal davasının yetki unsuru bakımından ayrı bir başlık olarak ele alınmalı.
  • Aydınlatma metninin denetimi: Ekrandaki aydınlatma metninin içeriği ile fiilî işleme amacı arasındaki tutarsızlık, dosyaya somut olarak yansıtılmalı.

Sonuç olarak

Kamu kurumlarının kayıt sorgulama ekranları, idare hukuku pratiğinde artık yalnızca bir "bilgi edinme" aracı değil; kişisel veri işleme faaliyetinin en görünür yüzü. Büromuzda bu alanda yürüttüğümüz dosyalarda edindiğimiz deneyim, ihtilafın çoğu zaman ekranın kendisinden değil, ekranın arkasındaki hukuki dayanak zincirinin eksik kurgulanmasından kaynaklandığını gösteriyor. İdari davaya başvurmadan önce mevzuat dayanağının, aydınlatma metninin, yetki tanımlarının ve log kayıtlarının birlikte değerlendirilmesi; süreç içinde hem idareye hem de yargı mercilerine somut bir çerçeve sunulmasını sağlıyor. Hukuki süreçlerde bu tür dosyalarda izlenecek yol, mevzuat çerçevesinde ve dosya bazlı bir stratejiyle belirlenmeli; genel geçer savunma kalıpları yerine somut işleme faaliyetinin denetimi esas alınmalı.