BM insan hakları uzmanları net bir mesaj yayımladı: kâğıt üzerindeki gizlilik yasaları yeterli değildir. Cenevre'den yapılan açıklamada uzmanlar, özellikle güçlü teknoloji şirketlerinin söz konusu olduğu durumlarda, veri koruma otoritelerinin bağımsızlığının ve mahkemelere etkili erişimin gizlilik hakkının korunması için temel olduğunu belirtti. Kişisel verileri şirket veritabanlarında bulunan herkes için bu nokta pratiktir. Bağımsız veri koruma otoriteleri ile gizlilik hakları el ele gider ve biri zayıf olduğunda diğeri de zarar görür.

BM uzmanlarının gözetim ve adalete ilişkin söyledikleri

BM İnsan Hakları Yüksek Komiserliği (OHCHR) tarafından yayımlanan açıklama basit bir ilke etrafında şekilleniyor. Uzmanların ifadesiyle, "Gizlilik hakları yalnızca yasalarla korunamaz." Açıklamanın yayımlanan bölümü kısa olduğundan, bu raporu uzmanların doğrudan belirttiği hususlarla sınırlı tutuyoruz: gözetim organları bağımsız olmalı ve kişiler hakları ihlal edildiğinde mahkemelere ulaşabilmelidir.

Bunlar birlikte işleyen iki ayrı güvencedir. Bir veri koruma otoritesi şikâyetleri soruşturur, kuruluşları denetler ve yaptırım uygulayabilir. Mahkemeler ise bireylere hak arama yolları sunar ve şirketlerin hatta düzenleyicilerin kendi kararlarına itiraz etme imkânı tanır. Bu katmanlardan biri eksik ya da zayıf olursa, verileri kötüye kullanılan bir kişinin anlamlı biçimde başvurabileceği bir yer kalmayabilir.

Güçlü teknoloji şirketlerine karşı yasalar neden tek başına yetersiz kalır

Çoğu ülkede artık bir tür veri koruma mevzuatı bulunuyor. Ancak bir yasa, ancak onu uygulayan kurumlar kadar güçlüdür. Büyük teknoloji şirketleri muazzam miktarda kişisel bilgiye ve önemli hukuki ve mali kaynaklara sahiptir. Onlardan biriyle karşı karşıya kalan bireysel kullanıcı ise eşitsiz bir konumdadır.

Bu dengesizlik, uzmanların bağımsızlığı ve adalete erişimi vurgulamasının nedenidir. Siyasi veya ticari baskı altındaki bir düzenleyici, büyük şirketlerin peşine düşmekte isteksiz olabilir. Yeterli yetki veya kaynağa sahip olmayan bir düzenleyici bunu yapamayabilir. Mahkemeler çok pahalı, yavaş veya erişilemezse, bireyler yasa kendi taraflarında olsa bile haklarını kullanmaktan vazgeçebilir.

Pratikte bu, bir gizlilik yasasının metninin size hikâyenin yalnızca bir kısmını anlattığı anlamına gelir. Düzenleyiciyi kimin atadığı, nasıl finanse edildiği, şirketlerin yanı sıra hükümetlere karşı da harekete geçip geçemeyeceği ve kişilerin kararlarına itiraz edip edemeyeceği, gerçekte ne kadar korumanın var olduğunu şekillendirir.

Düzenleyiciler bağımsızlıktan yoksun olduğunda: Hindistan DPDP Yasası örneği

Hindistan'ın Dijital Kişisel Veri Koruma Yasası, bu endişelerin neden önemli olduğuna dair faydalı bir vaka incelemesi sunuyor. Yasa 2023'te kabul edildiğinde, kamuoyu tartışmasının büyük kısmı ihlal bildirimleri, yaptırımlar ve şirketler için rıza gereklilikleri üzerine yoğunlaştı. Yasanın şeffaflık kurallarıyla nasıl etkileşime girdiğine daha az dikkat edildi. Hindistan DPDP Yasası'nın 44(3) maddesinin RTI yasası kapsamındaki erişimi nasıl etkilediğine ilişkin açıklayıcımız, tek bir hükmün kamuoyunun bilgi edinme imkânını nasıl daraltabileceğini ve bunun da verilerin nasıl işlendiğine dair denetimi nasıl sınırlayabileceğini inceliyor.

Bu ders, BM uzmanlarının uyarısıyla örtüşüyor. Bir veri koruma çerçevesi rıza kuralları ve yaptırımlar içerebilir ve yine de muafiyetler hesap verebilirliği zayıflatıyorsa veya gözetim bağımsızlıktan yoksunsa boşluklar bırakabilir. Herhangi bir ülkedeki tartışmayı takip eden okuyucular aynı soruları kullanabilir: Düzenleyici, denetlediği kurumlardan ayrı mı? Vatandaşlar kararlara itiraz edebiliyor mu? Şeffaflığı azaltan istisnalar var mı?

Bu Sizin İçin Ne Anlama Geliyor

Ülkenizin düzenleyicilerini nasıl yapılandırdığını kontrol edemeyebilirsiniz, ancak mevcut korumaların işe yaramasını sağlayacak adımlar atabilirsiniz.

  • Yasal haklarınızı kullanın. Yaşadığınız yere bağlı olarak, bir şirketin sizin hakkınızda tuttuğu verilere erişim talep edebilir, düzeltme veya silme isteyebilir ve belirli kullanımlara itiraz edebilirsiniz. Bu talepler, daha sonra şikâyet etmeniz gerekirse bir kayıt da oluşturur.
  • Düzenleyicinizi tanıyın. Hangi veri koruma otoritesinin sizi kapsadığını ve nasıl şikâyet başvurusu yapacağınızı öğrenin. Şikâyetler, düzenleyicilerin sorunları öğrenmesinin başlıca yollarından biridir.
  • Kayıt tutun. Verilerinizin kötü işlendiğini düşündüğünüzde gizlilik bildirimlerini, yazışmaları ve ekran görüntülerini saklayın. Bir anlaşmazlık düzenleyiciye veya mahkemeye taşınırsa bunlar işe yarar.
  • Muafiyetlere dikkat edin. Yeni bir gizlilik yasası önerildiğinde veya kabul edildiğinde, manşet niteliğindeki korumaların ötesine bakın. Muafiyetler ve zayıf uygulama hükümleri, yasanın ne kadar iyi işlediğini genellikle belirler.
  • Savunmalarınızı katmanlandırın. Yasal haklar veriler toplandıktan sonra işe yarar. Teknik araçlar ise öncesinde. Şifreleme, güçlü benzersiz parolalar, iki faktörlü kimlik doğrulama ve ağ trafiğinizin neleri açığa çıkardığını sınırlamak için bir VPN kullanmak, başlangıçta ne kadar verinin açığa çıktığını azaltabilir. VPN yasal korumaların yerini tutmaz ve yasal korumalar da iyi güvenlik alışkanlıklarının yerini tutmaz.

Çıkarımlar

BM uzmanlarının açıklaması, gizliliğin hem teknik hem de kurumsal bir mesele olduğunu hatırlatıyor. Bağımsız veri koruma otoriteleri ile gizlilik hakları birbirine bağlıdır: güçlü yasalar baskı olmadan harekete geçebilecek düzenleyicilere ihtiyaç duyar ve bireyler de gerçekçi biçimde ulaşabilecekleri mahkemelere ihtiyaç duyar.

Okuyucular için en faydalı yanıt, yaklaşımları birleştirmektir. Erişim, silme ve şikâyet haklarınızı kullanın, veri maruziyetini azaltmak için şifreleme ve gizlilik araçlarından yararlanın ve yasaların nasıl yazıldığına ve uygulandığına karşı tetikte olun. Zayıf gözetimin ve muafiyetlerin gizliliği ve şeffaflığı pratikte nasıl aşındırabildiğini görmek için Hindistan DPDP Yasası ve RTI erişimi üzerindeki etkisi hakkındaki vaka incelememizi okuyun.