KVKK ve Dedektiflik — Kişisel Veri Koruma Rehberi

KVKK ve Dedektiflik — Kişisel Veri Koruma Rehberi

Bir araştırma dosyasında toplanan hemen her bilgi — ad, adres, konum, görüntü, çalışma düzeni — kişisel veridir. Dolayısıyla dedektiflik faaliyeti, doğası gereği bir kişisel veri işleme faaliyetidir ve 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun kapsamındadır. Bu rehber, sürecin KVKK açısından nasıl kurgulanması gerektiğini açıklar.

Hangi Hukuki Sebebe Dayanılır?

Araştırma dosyalarında ilgili kişinin (yani hakkında araştırma yapılanın) açık rızasını almak doğası gereği mümkün değildir. Bu nedenle işleme, KVKK madde 5/2'de sayılan istisnalara dayandırılır. Uygulamada en sık başvurulan iki sebep şunlardır:

• Madde 5/2-e — Bir hakkın tesisi, kullanılması veya korunması: Boşanma dosyasında delil derleme, alacak takibinde adres tespiti gibi durumlar bu kapsamdadır.
• Madde 5/2-f — Meşru menfaat: Veri sorumlusunun meşru menfaati için zorunlu olması; ancak ilgili kişinin temel hak ve özgürlüklerine zarar vermemek koşuluyla.

Ayrıca madde 5/2-d uyarınca, ilgili kişinin kendisi tarafından alenileştirilmiş veriler işlenebilir. Herkese açık bir sosyal medya paylaşımı bu kapsamdadır — ancak "alenileştirme amacıyla bağdaşır olma" koşulu aranır.

Meşru Menfaat Testi

Meşru menfaate dayanmak otomatik bir yetki değildir; üç aşamalı bir denge testi gerektirir:

1. Amaç testi: Menfaat gerçek, güncel ve meşru mu? Genel bir merak yeterli değildir; somut bir hukuki veya ticari gerekçe gerekir.
2. Gereklilik testi: Aynı sonuç daha az müdahaleci bir yolla elde edilebilir mi? Elde edilebiliyorsa işleme ölçüsüz kalır.
3. Denge testi: İşlemenin ilgili kişi üzerindeki etkisi, elde edilecek menfaatten ağır basıyor mu?

Bu testin yazılı olarak yapılması ve dosyada saklanması, olası bir denetimde en güçlü savunmadır.

Toplanamayacak Veriler

• Özel nitelikli veriler: Sağlık, cinsel hayat, din, etnik köken, siyasi görüş, sendika üyeliği ve biyometrik veriler. Bunlar için çok daha katı koşullar geçerlidir ve araştırma dosyalarında toplanmaz.
• Haberleşme içeriği: KVKK'dan bağımsız olarak TCK 132 kapsamında suçtur.
• Resmî kayıtlardan yetkisiz erişimle alınan veriler: Nüfus, adres, tapu, banka kayıtlarına yetkisiz erişim TCK 136 kapsamındadır.
• Rıza dışı konum verisi: Teknik cihazla elde edilen sürekli konum bilgisi.

Veri Minimizasyonu ve Amaçla Sınırlılık

KVKK madde 4, verinin "işlendikleri amaçla bağlantılı, sınırlı ve ölçülü" olmasını zorunlu kılar. Pratikte bu şu anlama gelir: bir sadakat dosyasında hedefin ticari geçmişi araştırılmaz; bir personel araştırmasında pozisyonla ilgisi olmayan özel hayat bilgisi toplanmaz. Kapsam genişledikçe hukuki risk büyür.

Saklama Süresi ve İmha

Veri, işlendiği amaç ortadan kalktığında silinmeli, yok edilmeli veya anonim hâle getirilmelidir. Dedektiflik dosyalarında bu, raporun teslim edilmesi ve varsa yargı sürecinin sonuçlanmasıyla gerçekleşir. Saklama süresi gizlilik sözleşmesinde yazılı olmalı, süre sonunda dijital ve fiziksel kopyalar imha edilmeli ve imha kayıt altına alınmalıdır.

Müvekkilin Sorumluluğu

Kurumsal bir müşteri açısından önemli bir ayrıntı: rapor teslim edildikten sonra veri, müşterinin sorumluluğuna geçer. Şirket, kendi bünyesinde tuttuğu bu veriler bakımından veri sorumlusu sıfatını taşır; envanterine eklemesi, erişimi sınırlaması ve saklama süresi belirlemesi gerekir. Raporu kurum içinde geniş bir kitleyle paylaşmak, başlı başına bir ihlal doğurabilir.

İhlalin Sonuçları

• İdari para cezası: KVKK madde 18 uyarınca aydınlatma yükümlülüğü, veri güvenliği ve Kurul kararlarına uymama ayrı ayrı yaptırıma bağlıdır.
• Cezai sorumluluk: TCK 135-136 kapsamında kişisel verileri hukuka aykırı kaydetme ve ele geçirme suçları.
• Delil geçersizliği: Hukuka aykırı elde edilen veri HMK 189/2 uyarınca dosyadan dışlanır.
• Tazminat: İlgili kişi maddi ve manevi tazminat talep edebilir.

Matriks Dedektiflik'te Uygulama

Her dosyada işlemenin hukuki sebebi ön görüşmede belirlenir ve kapsam bu sebeple sınırlanır. Bilgiye erişim görev kapsamıyla kısıtlanır; ekip üyelerine dosyanın tamamı değil yalnızca görev tanımı aktarılır. Rapor yalnızca müşteriye teslim edilir ve sözleşmede belirtilen süre sonunda tüm kopyalar imha edilir.