Search

Sanayi devrimi olarak adlandırdığımız endüstri 4.0'la şekillenen, gelişen ve değişen dünyamızda, verinin, bilginin, belgenin, insanın, mekânın korunmasını ve güvenilirliğini sağlamak oldukça önem arz etmektedir. Bu canlı ve cansız varlıkların her türlü tehdit, tehlike, hasar ve saldırılara karşı korunması bilgi güvenliğinin sağlanması ve oluşturulmasıyla mümkün olabilmektedir. Bununla birlikte, bilgi güvenliğinin temelinde insan olgusunun yer alması, insana dayalı olarak ortaya çıkan bilgi güvenliği sorunlarıyla birlikte insana yönelik kişisel verilerin korunması konusunun da ciddiyetini katlanarak arttırmıştır. Bu çalışmada Ankara'daki üniversite kütüphanelerinin bilgi güvenliği uygulamalarına ve kişisel verilerin korunmasına ilişkin mevcut durumlarını tespit etmek amaçlanmıştır. Bu kapsamda, Ankara'da bulunan üniversite kütüphaneleri yöneticilerinin ve kütüphanecilerinin bilgi güvenliği ve kişisel verilerin yönetimi konusunda bilgi ve farkındalıkları görüşme ve anket tekniğiyle incelenmiştir. Bununla birlikte, Ankara'daki üniversite kütüphanelerinde bilgi güvenliği uygulamalarına yönelik (bina, koleksiyon, personel, vb.) gerçekleştirilen düzenlemeler araştırma çerçevesinde değerlendirilmeye çalışılmıştır. Araştırmanın sonucunda; Ankara'da yer alan üniversite kütüphanelerinde kişisel verilerin elde edilmesi, toplanması, kaldırılması, saklanması olmak üzere kişisel verilerin yönetimine yönelik düzenleme ve politikaların eksik olduğu, kişisel verilerin yönetiminden sorumlu bir personelin bulunmadığı, kullanıcılardan kişisel verilerin işlenmesine yönelik onay alınmadığı ve aydınlatma metinlerinin içeriğinde kişisel verilerin saklanması, silinmesi ve aktarılmasına yönelik bilgilere yer verilmediği, kütüphane yöneticilerinde ve kütüphanecilerinde kişisel verilerin yönetimi ve korunmasına yönelik yaklaşım ve farkındalık eksikliği tespit edilmiştir. Ayrıca, araştırma bulgularında üniversite kütüphanelerinde bina, koleksiyon, yazılım ve donanım olmak üzere bilgi güvenliği uygulamalarına yönelik yetersizlikler olduğu belirlenmiştir. Bu bağlamda `Üniversite kütüphanelerinde bilgi güvenliği ve kişisel verilerin yönetimine dönük karar verme ve uygulama düzeyindeki eksiklikler (politika, konuyla ilgili bilinç ve farkındalık, risk değerlendirmesi gibi konularda) bulunmaktadır.` şeklinde olan hipotezimiz doğrulanmıştır. Son olarak araştırmada, üniversite kütüphanelerinin bilgi güvenliği ve kişisel verilerin korunmasını içeren yapılandırılmış bir politika oluşturmaları ve konuya yönelik bilinç ve farkındalık çalışmalarının yapılmasıyla ilgili önerilere yer verilmiştir.Anahtar sözcükler: Bilgi güvenliği, kişisel veri, kişisel verilerin korunması, kişisel verilerin yönetimi, üniversite kütüphaneleri In our world which has been shaped, developed and changed by Industry 4.0, it is quite important to ensure the protection and reliability of data, information, document, human and place. Protecting all living and non-living beings against all kinds of threats, dangers, damages or attacks and ensuring information security make it possible to reach this aim. Nevertheless, the fact that human phenomenon underlies the information security has incrementally increased the significance of data protection issue along with the information security problems arise from human factor. The aim of this study is determining the current situations related with personal data protection and information security implementations of university libraries in Ankara. Within this scope, the executives' and librarians' knowledges and awareness on the information security and personal data management issue in universities' libraries in Ankara are examined with interview and survey technique. In addition to this, regulations oriented at the information security implementations (building, collection, personnel, etc.) at the universities' libraries were taken to evaluation in the scope of the research. Results of the research have determined that regulations and policies on the personal data management which consists of obtaining, gathering, disposing and retaining the personal data were inadequate; there were no personnel in charge to manage the personal data, no permission for processing the personal data received from users, no information on the retention, disposal and transmission of the personal data were included in the content of clarification texts, and no sufficient level of approach and awareness on the management and protection of personal data observed among the libraries' executives and librarians. Moreover, it has been specified in the research findings that there were some inadequacies with information security implementations in terms of building, collection, software and hardware in universities' libraries. In this context, our hypothesis which follows as that `There are inadequacies (in issues such as policy, consciousness and awareness on the topic, risk assessment) with the enacting and implementing level regarding the information security and personal data management in universities' libraries,` has been confirmed. Lastly, suggestions were made in the research, in order for the universities' libraries to develop a structured policy which includes information security and the personal data protection, and make studies of consciousness and awareness regarding the issue.Key Words: Information security, personal data, protection of personal data, management of personal data, university libraries 191

Bireyin kimlik bilgileri, etnik kökeni, sosyal statüsü ve sosyal kimliği, gelir durumu, akli durumu, sağlık bilgileri gibi, bireyin diğerlerinden ayırt edilmesine yardımcı olacak spesifik veya belirlenebilir bilgilerin tümü kişisel veri olarak nitelendirilebilir. Bu bilgilerin korunması için ulusal ve uluslararası çevrelerce çeşitli kurallar ve standartlar uzun yıllardan beri oluşturulmaktadır. Türkiye'de kişisel verilerin korunması amacıyla çeşitli düzenlemeler yapılmış olsa da, bir çatı altında toplanması ancak 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 24 Mart 2016 tarihinde yasalaşması ile olmuştur. İşveren ve işçi ilişkisinde yönetim hakkı, kanun ve mevzuatlar ile sözleşmelerde tanımlanamayan ve tanımlanması mümkün olmayan işin yürütülmesinde elzem bir araçtır. İş ilişkisinde ancak bu araç sayesinde iş yerindeki işlerin yürütülmesi mümkün olmaktadır.Bununla beraber yönetim hakkının uygulanması esnasında işçinin kişilik haklarına müdahele etmesi ihtimalinden dolayı, sınırları çizilirken oldukça dikkatli olunmalıdır. Çalışmamızda hem KVKK hem de yönetim hakkı detaylıca araştırılıp işverenin sınırlarının nerede başlayıp nerede bittiği tanımlanmaya çalışılmıştır. Specific or identifiable information to help differentiate the individual from others, such as identity information, ethnicity, social status and social identity, income status, mental status, health information, can be characterized as personal data. For the protection of this information, various rules and standards have been established for many years by national and international circles.Various arrangements for the protection of personal data has been carried out in Turkey, though, the collection under one roof was enacted, as Personal Data Protection Law No. 6698, by March 24, 2016.The right to management in the employer and employee relationship is an essential tool in the conduct of the work which cannot be defined in the laws and regulations and contracts. Thanks to this tool, it is possible to carry out work in the workplace.However, due to the possibility that the employee may interfere with his / her personal rights during the implementation of the right to administration, it should be carried out very careful when drawing the boundaries.In this study, we aimed to investigate both the KVKK and the management right in detail and define where the employer's borders begin and end. 112

Küreselleşen dünyada, bilgi teknolojilerindeki hızlı gelişmelere paralel olarak bireylerin kişisel verileri, hukuka uygun ya da aykırı şekilde dijital ortama aktarılarak erişime açılmış olup, bu durum veri güvenliği tartışmalarını beraberinde getirmiştir. Özellikle, II. Dünya Savaşı öncesi yükselen totaliter rejimlerin kişisel veri güvenliğinin aleyhindeki girişimlerinin varabileceği noktayı milyonlarca hayatla tecrübe etmiş Avrupa'da ilgili hak, birçok düzenleme ile koruma altına alınmıştır. Kişisel verilerin korunması hakkının Türk Hukuku'nda anayasal güvence altına alınması için 2010 yılında yapılan Anayasa değişikliği beklenmişse de, bu alanda 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) kabulüyle birlikte, ilgili hak ilk kez kanuni bir düzenlemeye sahip olmuştur. Bu bağlamda birçok eksik yönlerine vurgu yapılabilmekle birlikte KVKK ile, Türk Hukuku'nda kişisel verilerin korunması hakkına ilişkin önemli bir düzenleme çerçevesi getirildiği tespit edilmiştir. In the globalized world, throughout the rapid developments in information technologies, the personal data of individuals has been opened to digital media in accordance with the law or in contradiction and this situation has brought the discussions about data security. Especially, in Europe where have been experienced with millions of lives because of the totalitarian regimes' attemps to the personal data security before World War II, the right has been protected by many regulations. Although, the constitutional amendment was expected until 2010 to ensure the protection of personal data for the constitutional guarantee in Turkish Law, the right for the first time was granted with the adoption of Law No. 6698 on the Protection of Personal Data in this field. In this context, it can be emphasized that many deficiencies can be emphasized and it has been determined that a significant regulatory framework regarding the right to protection of personal data has been introduced in Turkish Law with Law No. 6698. 160

Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi olarak tanımlanabilir. Örneğin, bir kişinin nüfus bilgileri, iletişim, sağlık ve mali bilgileri, özel hayatı, siyasi görüşü ile dini inancına ilişkin bilgiler, kişiyi toplumda yer alan diğer bireylerden ayıran ve onun niteliklerini ortaya koymaya elverişli olan kişisel verilerdir. Bilgisayar ve iletişim teknolojilerinde meydana gelen gelişmeler, bir yandan kişisel verilerin toplanmasını ve paylaşılmasını kolaylaştırmış, diğer yandan da bireylerin kişisel verilerinin korunması haklarının hukuka aykırı şekilde ihlal edilmesine yol açmıştır. Bu bakış açısından yola çıkarak, verilerin korunması hususunda karşılaşılan zorluklar uluslararası hukukta uzun zamandan beri tartışılmakta ve dikkatli bir şekilde ele alınmaktadır. Kişisel verilerin korunması hakkı Türk hukukunda ağırlıklı olarak son yıllarda tartışılan bir konudur. Türkiye'de kişisel verilerin korunması hakkı 2010 yılında Anayasa'nın 20'nci maddesine eklenmiştir. Bununla birlikte Türk hukuku bakımından, 6698 sayılı Kişisel Verilerin Korunması Kanunu bu alandaki ilk özel ve kapsamlı kanunu oluşturur. Bu tezin temel amacı, öncelikle Kişisel Verilerin Korunması Kanunu'nda yer alan genel kavramları ve kuralları, 95/46/AT sayılı Direktif ve 2016/679 sayılı Tüzük ile karşılaştırma yaparak açıklamak ve bu değerlendirme sonucunda elde edilen bilgileri idare hukuku ilkeleri çerçevesinde yorumlamaktır. Personal data is defined as any information relating to an identified or identifiable natural person. Any personal information about his identity, communication, health and financial status, private life, political or religious view are personal data, distinguishing person from each other and these features are applicable to demonstrate their qualifications. Recent advances in computer and communication technologies facilitate the collection and sharing of personal data on the one hand and caused the unlawful violation of individuals' the right to the protection of personal data on the other hand. From this point of view, the challenges encountered with regard to data protection have been discussed and handled heedfully in international law for a long time. The right to the protection of personal data is a subject discussed within the Turkish Law in the recent years. The right to protection of personal data in Turkey has been added to Article 20 of the Constitution in 2010. However, in respect of Turkish legislation, the Law on the Protection of Personal Data No. 6698 is the first specific and comprehensive law in this field. The main purpose of this thesis is to explain the general concepts and rules in the Turkish Data Protection Law by comparing with Directive 95/46 /EC and Regulation 2016/679 and to interpret the information obtained as a result of this evaluation within the framework of the principles of administrative law. 331

Veri koruma hukukunun temel amacı, verilerin hukuka aykırı olarak kaydedilmesini önlemek ve bu veriler üzerinde gerçekleştirilen bütün işlemlerin hukuka uygunluğunu sağlamaktır. Avrupa'da 1950'lerde kişisel verilerin önemi ve korunmasına dair farkındalık gelişmeye başlamış ve bu farkındalık düzeyi `Avrupa Birliği Genel Veri Koruma Tüzüğü` (`General Data Protection Regulation` / `GDPR`)'nün 2016 yılında kabul edilmesi ile zirve yapmıştır. Bu düzenleme, günümüz dünyasında büyük yankı uyandırmış ve özellikle dev teknoloji firmaları veri koruma otoriteleri tarafından açılan soruşturmalarla yüzleşmek zorunda kalmıştır. Dünyada veri koruması alanındaki gelişmeleri takiben, Türkiye'de ise 6698 sayılı Kişisel Verilerin Korunması Kanunu (`KVKK`) ancak 7 Nisan 2016 tarihinde yürürlüğe girmiştir. 7 Nisan 2018 tarihinden itibaren ise Türk veri koruma otoritesinin uygulamalarının da yaygınlaşması ile veri sorumluları, KVKK kapsamında getirilen yükümlülüklere uyum sağlayabilmek için çalışmalar yapmakta ve geç de olsa uyum süreçlerini başlatmış bulunmaktadır. Bu sayede, veri sorumluları ve işleyenler, üstlendikleri hukuki ve cezai sorumluluğun da etkisiyle, KVKK altındaki yükümlülüklerini yerine getirmektedir. Tezimiz ise, bu açıklamalar ışığında iki bölümden oluşmaktadır. İlk bölümde, `kişisel veri kavramı, kişisel verilerin korunması hakkı, kişisel verilerin korunmasının fonksiyonu` ve `kişisel verilerin korunması hakkının normatif temelleri` irdelenmekte; ikinci bölümde ise tezimizin başlığını oluşturan `Türk hukukunda veri sorumlusu kavramı` tüm yönleriyle değerlendirilmektedir. The main purpose of data protection law is to prevent unlawful recording of data and to ensure that all transactions performed on these data comply with the law. In 1950s, an awareness began to develop in Europe regarding the importance of personal data and its protection and this awareness reached its peak with the entry into force of the `General Data Protection Regulation` (`GDPR`) in 2016. This Regulation had major repercussions in today's world and giant technology companies have faced investigations initiated by data protection authorities. Following the global developments in the field of data protection, the Law on the Protection of Personal Data numbered 6698 entered into force in Turkey in April 7, 2016. As of April 7, 2018, with the increasing practices of the Turkish data protection authority, data controllers have begun to carry out projects to provide compliance with their liabilities under the Law on the Protection of Personal Data and the compliance process has been initiated, albeit late. In this respect, data controllers and processors have taken action to fulfill their obligations with the compulsivity of the legal and criminal liabilities issued under the the Law on the Protection of Personal Data numbered 6698.In the light of this, this thesis is composed of two parts. In the first part, `the concept of personal data, the right to protection of personal data, the function of protection of personal data` and `normative basis of the right to protection of personal data` are examined. In the second part, `the data controller concept under Turkish law`, which is also the title of this thesis, is evaluated in all aspects. 144

İşçi ve işveren arasındaki uyuşmazlıklarda iş hukuku mevzuatı öncelikli uygulanmaktadır. Bu düzenlemelerdeki temel amaç, işverene göre daha zayıf durumda olan işçiyi korumaktır. Kişisel veriler, öncelikle bireylerin özel hayatına ilişkin olduğundan, hem ulusal hem de uluslararası kurallarla korunmaktadır. Ülkemizde kişisel veriler, başta Anayasa olmak üzere, Kişisel Verilerin Korunması Kanunu, Türk Medeni Kanunu, Türk Borçlar Kanunu, İş Kanunu, Türk Ceza Kanunu, Ceza Muhakemeleri Kanunu, Polis Vazife ve Salahiyet Kanunu, Elektronik Haberleşme Kanunu, Elektronik Ticaret Kanunu ve Bankacılık Kanunu'nu gibi çeşitli kanunlarla koruma altına alınmıştır. 07.04.2016 tarihinde yürürlüğe giren 6698 sayılı Kişisel Verileri Korunması Kanunu ile işçinin kişisel verilerini işvene karşı koruyan bir takım düzenlemeler getirilmiştir. Bu kanuna göre kural olarak işveren, işçinin rızasını almadan kişisel verilerini işleyemeyecek, aksi durumda bir takım yaptırımlarla karşılaşacaktır. Ancak Kanunda açıkça yazılı kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sır sakama yükümlülüğü altında bulunmak gibi bazı istisnai durumlarda işçinin açık rızası aranmaksızın kişisel verilerinin işlemesi mümkündür. Anahtar Kelimeler: İşçi, İşveren, İş sözleşmesi, Kişisel Veri, Hassas Kişisel Veri, Veri İşleyen, Rıza, Elektronik Gözetleme, Hukuka Uygunluk Sebepleri, Yaptırım. Labour Law implements priority conflicts between labour and employer. In these regulations, the main aim is protect to weak labour against to strong employer. First of all, personal datas are about person's private life. Therefore, personal datas protect both national or international law. Personal datas are regulated and protect in our country diverse laws which are firstly Constutition, Protection of Personal Datas Law, Turkish Civil Law, Turkish Obligations Law, Labour Law, Turkish Criminal Law, Turkish Criminal Judgements Law, Police's Task and Authority Law, Elektronical Communication Law, Elektronical Trade Law and Banking Law Etc. 6698 Numbered Protection of Personal Datas Law became valid in 07.04.2016 in our country. In this way, labour's personal datas are completely protected against to employer. According to this regulation, employers can't operate labours personal datas without labour's consent on principle. If employers don't, they will meet some sanctions But there are some exceptions about labour's consent which are clearly regulated in Protection of Personal Datas Law. These exceptions are protection of public health, protective medicine, medical diagnosis, execution of treatment and care services, having liability secrecy etc. In these cases, employers can operate labours personal datas without their consents.Keywords: Labour, Employer, Labour Contract, Personal Data, Sensitive Personal Data, Data Operative, Consent, Elektronical Observation, Judicial Reasons, Sanction. 111

Kişisel Verilerin Korunması, gelişen teknolojiyle birlikte veri işleme süreçlerinin her geçen gün artmasına paralel olarak veri ihlallerinin de artmaya başlaması ile 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun yürürlüğe girmesinin de etkisiyle ülkemizde önem kazanmaya başlamıştır.Bu çalışmada, 6698 sayılı Kişisel Verilerin Korunması Kanunu, Avrupa Birliği mevzuatı ve diğer uluslararası metinler kapsamında kişisel verilerin işlenmesi ve açık rıza kavramları incelenmiştir.Çalışma üç ana bölümden oluşmaktadır. İlk bölümde kişisel veri kavramının ortaya çıkışı ve gelişimi, kişisel veri kavramı ve niteliği ile kişisel verilerin korunması alanındaki ulusal ve uluslararası düzenlemelere yer verilmiştir. İkinci bölüm ise kişisel verilerin işlenmesi kavramı, kişisel verilerin işlenmesine hakim olan ilkeler ve işlenme şartlarından oluşmaktadır. Üçüncü ve son bölümde ise rıza ve açık rıza kavramına, açık rızanın şartlarına, açık rızanın alınma yöntemlerine (şekline), açık rızanın alınmasında ispat yüküne ve açık rızada bulunma ehliyetine yer verilmiştir. Data Protection has commenced to gain more importance in Turkey with the enactment of the Law on Protection of Personal Data No. 6698 and due to the increases in data breaches in parallel with that in data processing as part of the development of technology.In this study, processing of personal data and explicit consent has been examined within the context of the Law on Protection of Personal Data No. 6698, European Union legislation and other international legislations.This study consist of three main chapters, first of which embraces the emergence and evolution of the personal data, the concept and legal characteristic of the latter and national and international legislation in the field of data protection. Second chapter contains the concept of processing, principles with regards to processing and terms of the processing. The third and the last chapter covers the concepts of consent and explicit consent, terms of the explicit consent, the methods of getting the explicit consent, burden of proof ot the latter and the capacity to give explicit consent. 192