Kişisel Verileri Koruma Kurumu Tarafından Covid-19 PCR Test Sonucu ve Aşı Bilgisi Uygulamalarına İlişkin Yayınlanan Duyurunun Değerlendirilmesi 30 Eylül 2021

Kurul’u Bu Kararı Almaya İten Sebepler Nedir?

Bilindiği üzere İçişleri Bakanlığınca 81 İl Valiliğine ve bilgi için ilgili Bakanlıklara gönderilen 20.08.2021 tarihli yazıda; salgının toplum sağlığı ve kamu düzeni açısından oluşturduğu riskin asgari seviyeye düşürülmesi için konser, sinema, tiyatro ve toplu ulaşım araçları gibi insanların toplu olarak bulunduğu faaliyetlere katılım sağlamak isteyen kişilere Covid-19 aşı bilgisi ve/veya negatif sonuçlu PCR test bilgisinin bildirilmesi zorunluluğu getirilmiştir.

Aynı şekilde Çalışma ve Sosyal Güvenlik Bakanlığınca 81 İl Valiliğine ve bilgi için ilgili Bakanlıklara gönderilen 02.09.2021 tarihli yazıda da işyerlerinde karşılaşılabilecek sağlık ve güvenlik risklerine yönelik koruyucu ve önleyici tedbirler kapsamında; Covid-19 aşısı olmayan işçilerden zorunlu olarak haftada bir kez PCR testi yaptırmalarının işyeri/işveren tarafından istenebileceği ve test sonuçlarının gerekli işlemler yapılmak üzere kayıt altında tutulacağı ifade edilmiştir.

Kurul, yukarıda belirtilen kamu kurumları tarafından yayınlanan genelgelere atıf yaparak ve bu genelgeler kapsamında çok sayıda gelen sorular nedeniyle ilgili kararı almıştır.

Bu Süreçte İşlenecek Kişisel Verilerin Niteliği ve İşleme Amacı Nasıl Değerlendirilmelidir?

Kurul tarafından genelge metinlerinde kişilerden talep edilecek Covid-19 aşı bilgisi, PCR test bilgilerinin kişilerin sağlık durumuna ilişkin olduğu için Kanunun 6. maddesine göre özel nitelikli kişisel veri kategorisinde bulunduğunu ve bu sebeple de söz konusu bilgilerin Kanun’un 6. maddesinde yer verilen işleme şartlarına uygun olarak işlenmesi gerektiğini belirtmiştir.

Süreçte işlenen kişisel verilerin nitelendirilmesinden sonra Kurul, Covid-19 salgınının dünya çapındaki gerek sağlık, gerek sosyal hayat gerek ekonomi üzerindeki etkileri dikkate alındığında, bu salgınla mücadele kapsamında aşı durumu ve PCR test sonucu gibi Covid-19’a ilişkin kişisel sağlık verilerinin; işlenmesinin kamu sağlığının, kamu güvenliğinin ve kamu düzeninin korunması amacıyla olduğunu da belirtmiştir.

Sürecin Niteliği Dikkate Alındığında Kanun’un Uygulanmaması Gibi Bir Durum Mümkün Mü?

Bilindiği üzere Kanun’un 28. maddesinin birinci fıkrası Kanun’un uygulanmayacağı ve kapsam dışı kalacağı kişisel veri işleme faaliyetlerini belirlemektedir. İlgili fıkranın (ç) bendinde, “Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini veya ekonomik güvenliği sağlamaya yönelik olarak kanunla görev ve yetki verilmiş kamu kurum ve kuruluşları tarafından yürütülen önleyici, koruyucu ve istihbari faaliyetler kapsamında işlenmesi” halinde Kanun hükümlerinin uygulanmayacağı düzenlenmiştir.

Bu noktadan hareketle Kurul, salgın hastalık gibi kamu güvenliği ve kamu düzenini tehdit eden durumlarda bu tehdidi ortadan kaldırabilmek amacıyla salgın hastalığın bulaşıcılığının önüne geçilebilmesini teminen kanunla yetki verilmiş kamu kurum ve kuruluşlarınca yürütülen faaliyetler kapsamında kişisel verilerin işlenmesinin de Kanun’un 28. maddesinin birinci fıkrasının (ç) bendi kapsamında değerlendirilmesi gerektiğini belirtmiştir.

Özetle Kurul, Covid-19’un sebebiyet verdiği salgın hastalığın kamu güvenliği ve kamu düzenini tehdit etmesi sebebiyle hastalığın yayılımını engellemek amacıyla Covid-19 salgını kapsamında kişilerden Covid-19 aşı bilgisi ve PCR testlerinin talep edilerek ilgili kişilerin kişisel verilerinin işlenmesi sürecinde Kanun’un uygulama alanı bulmayacağı görüşünü aktarmıştır.

Kanun’un Uygulama Alanı Bulmayacağı Durumların Sınırları Nedir?

Kurul, sadece yetkili kamu kurum ve kuruluşları tarafından Covid-19’un sebebiyet verdiği salgın hastalığın kamu güvenliği ve kamu düzenini tehdit etmesi sebebiyle hastalığın yayılımını engellemek amacıyla Covid-19 aşı bilgisi ve/veya negatif sonuçlu PCR test bilgisinin işlenmesinde Kanun’un uygulanmayacağını, bunun haricinde, Covid-19 salgını kapsamında yürütülen kamu güvenliğini ve kamu düzenini koruma amacına yönelik faaliyetler dışında kalan ya da bu amacı aşan nitelikteki kişisel veri işleme faaliyetlerinin Kanun kapsamında yer alacağını belirtmiştir. Yani veri işleme faaliyetinin değişmesi halinde Kanun uygulama alanı bulacak olup, özel nitelikli veri işleme faaliyeti kapsamında veri sorumlusunun aydınlatma yapma ve rıza alma yükümlülükleri yeniden devreye girecektir.