ANAYASA MAHKEMESİ KARARI 

Esas Sayısı : 2014/74

Karar Sayısı : 2014/201

Karar Tarihi : 25.12.2014

R.G. Tarih-Sayı : 23.5.2015-29364

İTİRAZ YOLUNA BAŞVURAN : Danıştay Onbeşinci Dairesi

İTİRAZIN KONUSU : 31.5.2006 tarihli ve 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu'nun 78. maddesinin;  

1- Birinci fıkrasının,

2- İkinci fıkrasının;

a-  İkinci cümlesinin,

b- 17.4.2008 tarihli ve 5754 sayılı Kanun'un 66. maddesinin birinci fıkrasının (f) bendiyle eklenen son cümlesinin,

Anayasanın 2., 7., 13. ve 20. maddelerine aykırılığı ileri sürülerek iptallerine karar verilmesi istemidir.

I- OLAY

Davacılar tarafından 11.7.2012 tarihli ve 28350 sayılı Resmî Gazete'de yayımlanan Genel Sağlık Sigortası Verilerinin Güvenliği ve Paylaşımına İlişkin Yönetmelik'in bazı maddelerinin iptali ve yürütmenin durdurulması istemiyle açılan davada, itiraz konusu kuralların Anayasa'ya aykırı olduğu kanısına varan Mahkeme, iptalleri için başvurmuştur.

III- YASA METİNLERİ

A- İtiraz Konusu Yasa Kuralı

Kanunu'nun itiraz konusu kuralları da içeren 78. maddesi şöyledir: 

"Sağlık hizmeti sunucularının kayıt ve bildirim zorunluluğu ve kontrol yetkisi 

MADDE 78- Kurum ile sözleşmesi olan, tüm sağlık hizmeti sunucuları, sağlık hizmeti sunduğu tüm kişilere ait sözleşme hükümlerinde yer verilen bilgileri, belirlenen yöntemlere ve süreye uygun biçimde elektronik ortamda veya yazılı olarak Kuruma göndermek zorundadır. Bu bilgiler gönderilmeksizin talep edilen sağlık hizmeti bedelleri, bilgiler gönderilinceye kadar ödenmez. 

Genel sağlık sigortalısı ve bakmakla yükümlü olduğu kişinin sağlık bilgilerinin gizliliği esastır. Sağlık bilgilerinin ne şekilde korunacağı, ulusal güvenlik nedeniyle sağlık bilgisi paylaşıma açılmayacak kişilerin tespiti ilgili bakanlıkların önerisi üzerine Bakanlıkça tespit edilir. (Ek cümle: 17/4/2008-5754/66 md.) Bu kişi ve grupların sağlık bilgilerinin nasıl tutulacağı ilgili kuruluşların görüşleri alınarak hazırlanacak yönetmelik ile düzenlenir. 

Kurum, genel sağlık sigortası hükümlerinin uygulanmasıyla ilgili olarak işverenler, sağlık hizmeti sunucuları ve diğer gerçek ve tüzel kişiler nezdindeki defter, belge ve bilgileri inceleyebilir, ibrazını isteyebilir. 

Kurum, bu Kanunda belirtilen görevleriyle ilgili olarak sağlık hizmeti sunucularının yürüttüğü hizmet ve işlemleri kontrol yetkisine sahiptir. Kurum, bu yetkisini görevlendirdiği personeli vasıtasıyla veya kamu kurumları ve özel kurumlardan hizmet satın almak suretiyle kullanabilir."

B- Dayanılan Anayasa Kuralları

Başvuru kararında, Anayasa'nın 2., 7., 13. ve 20. maddelerine dayanılmıştır.

IV- İLK İNCELEME

Anayasa Mahkemesi İçtüzüğü hükümleri uyarınca Serruh KALELİ, Alparslan ALTAN, Serdar ÖZGÜLDÜR, Osman Alifeyyaz PAKSÜT, Zehra Ayla PERKTAŞ, Recep KÖMÜRCÜ, Burhan ÜSTÜN, Engin YILDIRIM, Nuri NECİPOĞLU, Hicabi DURSUN, Celal Mümtaz AKINCI, Erdal TERCAN, Muammer TOPAL, Zühtü ARSLAN ve M. Emin KUZ'un katılımlarıyla 22.4.2014 tarihinde yapılan ilk inceleme toplantısında, dosyada eksiklik bulunmadığından işin esasının incelenmesine OYBİRLİĞİYLE karar verilmiştir.

V- ESASIN İNCELENMESİ

Başvuru kararı ve ekleri, Raportör Hakan ATASOY tarafından hazırlanan işin esasına ilişkin rapor, itiraz konusu yasa kuralları, dayanılan Anayasa kuralları ve bunların gerekçeleri ile diğer yasama belgeleri okunup incelendikten sonra gereği görüşülüp düşünüldü:

A- Kanun'un 78. Maddesinin Birinci Fıkrasının İncelenmesi

Başvuru kararında, itiraz konusu kurallar ile kişisel veri kapsamında olan sağlık verilerinin işlenmesi, gizliliğinin korunması ve paylaşılmasına yönelik usul ve esasları belirleme ve bu konuda düzenleme yapma yetkisinin bütünüyle yürütme organına bırakıldığı, yasama organı tarafından, temel ilkeleri koyulmadan, çerçevesi çizilmeden, sınırsız, belirsiz, geniş bir alanı düzenleme yetkisinin yürütme organına bırakılmasının, Anayasa'nın 7., 13. ve 20. maddelerine ve sonuçta Anayasa'nın 2. maddesindeki hukuk devleti ilkesine aykırı olduğu ileri sürülmüştür.

Kanun'un 78. maddesinin itiraz konusu olan birinci fıkrasında, Sosyal Güvenlik Kurumu (Kurum) ile sözleşmesi olan tüm sağlık hizmeti sunucularının, sağlık hizmeti sunduğu tüm kişilere ait sözleşme hükümlerinde yer verilen bilgileri, belirlenen yöntemlere ve süreye uygun biçimde elektronik ortamda veya yazılı olarak Kuruma göndermek zorunda oldukları, bu bilgiler gönderilmeksizin talep edilen sağlık hizmeti bedellerinin, bilgiler gönderilinceye kadar ödenmeyeceği hüküm altına alınmıştır.

Anayasa'nın 13. maddesinde, temel hak ve özgürlüklerin, özlerine dokunulmaksızın yalnızca Anayasa'nın ilgili maddelerinde belirtilen sebeplere bağlı olarak ve ancak kanunla sınırlanabileceği, bu sınırlamaların da Anayasa'nın sözüne ve ruhuna, demokratik toplum düzeninin ve lâik Cumhuriyetin gereklerine ve ölçülülük ilkesine aykırı olamayacağı ifade edilmiştir.

Anayasa'nın 13. maddesinde yer alan ölçülülük ilkesi, kişilerin temel hak ve özgürlüklerinden mahrum bırakılmaları halinde, elde edilmek istenen kamu yararı ile temel hakkından mahrum bırakılan bireyin hakları arasında adil bir denge kurulması gereğini ifade eder.

Anayasa'nın 20. maddesinde, özel hayatın gizliliği ve korunması güvence altına alınmıştır. Maddenin birinci fıkrasında, herkesin, özel hayatına ve aile hayatına saygı gösterilmesini isteme hakkına sahip olduğu ve özel hayatın ve aile hayatının gizliliğine dokunulamayacağı ifade edilmiş; ikinci fıkrasında ise özel hayatın gizliliğine ilişkin hakkın sınırlanma koşulları düzenlenmiştir. Dolayısıyla söz konusu hak mutlak ve sınırsız olmayıp, Anayasa'nın 13. ve 20. maddeleri gereğince belirli koşullarda, demokratik toplum düzeninin gereklerine ve ölçülülük ilkesine aykırı olmamak üzere kanunla sınırlanabilir.

5502 sayılı Sosyal Güvenlik Kurumu Kanunu'nun;

1. maddesinde; "Bu Kanunun amacı, Sosyal Güvenlik Kurumunun kuruluş, teşkilât, görev ve yetkilerine ilişkin usûl ve esasları düzenlemektir.

Bu Kanun ile Kuruma görev ve yetki veren diğer kanunların hükümlerini uygulamak üzere; kamu tüzel kişiliğini haiz, idarî ve malî açıdan özerk, bu Kanunda hüküm bulunmayan durumlarda özel hukuk hükümlerine tâbi Sosyal Güvenlik Kurumu kurulmuştur. Kurum, Çalışma ve Sosyal Güvenlik Bakanlığının ilgili kuruluşudur. Kurumun merkezi Ankara'dadır.

Kurum, Sayıştay'ın denetimine tâbidir."

denilerek Kurumun kuruluş amacı ve statüsü;

3. maddesinde ise "Kurumun temel amacı; sosyal sigortacılık ilkelerine dayalı, etkin, adil, kolay erişilebilir, aktüeryal ve malî açıdan sürdürülebilir, çağdaş standartlarda sosyal güvenlik sistemini yürütmektir.

Kurumun görevleri şunlardır:

a) Ulusal kalkınma strateji ve politikaları ile yıllık uygulama programlarını dikkate alarak sosyal güvenlik politikalarını uygulamak, bu politikaların geliştirilmesine yönelik çalışmalar yapmak.

b) Hizmet sunduğu gerçek ve tüzel kişileri hak ve yükümlülükleri konusunda bilgilendirmek, haklarının kullanılmasını ve yükümlülüklerinin yerine getirilmesini kolaylaştırmak.

c) Sosyal güvenliğe ilişkin konularda; uluslararası gelişmeleri izlemek, Avrupa Birliği ve uluslararası kuruluşlar ile işbirliği yapmak, yabancı ülkelerle yapılacak sosyal güvenlik sözleşmelerine ilişkin gerekli çalışmaları yürütmek, usûlüne göre yürürlüğe konulmuş uluslararası antlaşmaları uygulamak.

ç) Sosyal güvenlik alanında, eğitim, araştırma ve danışmanlık faaliyetleri yapmak ve yaptırmak, kamu idareleri arasında koordinasyon ve işbirliğini sağlamak.

d) Bu Kanun ve diğer kanunlar ile Kuruma verilen görevleri yapmak."

denilerek Kurumun amacı ve görevleri belirtilmiştir.

İtiraz konusu kural gereğince, kişilerin özel hayatlarını ilgilendiren sağlık verilerinin Kurum tarafından alınması, özel hayatın gizliliği hakkının sınırlanması sonucunu doğurmaktadır. Bu sınırlamanın Anayasa'ya uygun olabilmesi için Anayasa'nın 13. maddesinde öngörülen temel hakların sınırlandırılmasına ilişkin ilkelere aykırı olmaması ve bu bağlamda kamu yararı ile özel hayatın gizliliği hakkı arasında adil bir denge kurması gerekir.

İtiraz konusu kuralla Kurum ile sözleşmesi olan sağlık hizmeti sunucularının, Kuruma göndermek zorunda oldukları bilgilerin, Kurum ile sağlık hizmeti sunucuları arasında yapılan sağlık hizmeti alımına ilişkin sözleşme hükümlerinde yer alan bilgiler olduğu ifade edilmiştir. Buna göre bu bilgiler, Kanun kapsamında sağlık hizmetinden faydalanan kimselerin kimlik ve ikamet bilgileri ile tanı veya ön tanı, muayene, tetkik, tahlil, tedavi gibi sağlıklarıyla ilgili hususlara ilişkin bilgilerden oluşmaktadır.

Kurumun faaliyet alanındaki görevlerini yerine getirebilmesi için, sosyal sigortaların ve genel sağlık sigortasının işleyişi ile ilgili verilere ihtiyacı bulunduğunda şüphe yoktur. Kurumun söz konusu verilere sahip olmadan, sağlık hizmetinden faydalanacak kişilerin tespiti; sağlık hizmeti sunucularına verdikleri hizmet karşılığında ödeme yapılması; denetim ve kontrol görevinin yerine getirilmesi ve sosyal güvenlik politikalarının geliştirilmesine yönelik çalışmalar yapması mümkün değildir. Bu nedenle, özel hayatın gizliliği hakkını kamu yararı amacıyla sınırlandırdığı anlaşılan kuralın, demokratik toplum düzeninde gerekli bir müdahale niteliği taşıdığında kuşku bulunmamaktadır.

Öte yandan, itiraz konusu kural ile Kuruma verilen sağlık bilgisi toplama yetkisinin çerçevesi, Kurumun kuruluş amacı ve faaliyet alanı ile belirlenmiş ve bu şekilde kamu yararı ile özel hayatın gizliliği hakkı arasında adil bir denge kurulmuştur. Bu nedenle, Kuruma verilen kişilerin sağlık verilerini alma yetkisinin ölçülülük ilkesine aykırı bir yönü de bulunmamaktadır.

Açıklanan nedenlerle, itiraz konusu kural Anayasa'nın 13. ve 20. maddelerine aykırı değildir. İptal isteminin reddi gerekir. 

Kuralın Anayasa'nın 2. ve 7. maddeleriyle ilgisi görülmemiştir.

Osman Alifeyyaz PAKSÜT ile Engin YILDIRIM bu görüşe katılmamıştır.

B- Kanun'un 78. Maddesinin İkinci Fıkrasının, İkinci Cümlesi ile 5754 Sayılı Kanun'un 66. Maddesinin Birinci Fıkrasının (f) Bendiyle Eklenen Son Cümlesinin İncelenmesi

Başvuru kararında, kuralların, Kanun'un 78. maddesinin birinci fıkrasında belirtilen gerekçelerle Anayasa'nın 2., 7., 13. ve 20. maddelerine aykırı olduğu ileri sürülmüştür.

Kanun'un 78. maddesinin ikinci fıkrasının birinci cümlesinde, genel sağlık sigortalısı ve bakmakla yükümlü olduğu kişinin sağlık bilgilerinin gizliliğinin esas olduğu ifade edildikten sonra, itiraz konusu ikinci cümlesinde, sağlık bilgilerinin ne şekilde korunacağının ve ulusal güvenlik nedeniyle sağlık bilgisi paylaşıma açılmayacak kişilerin tespitinin ilgili bakanlıkların önerisi üzerine Çalışma ve Sosyal Güvenlik Bakanlığınca tespit edileceği; 5754 sayılı Kanun'un 66. maddesinin birinci fıkrasının (f) bendiyle eklenen itiraz konusu son cümlesinde ise bu kişi ve grupların sağlık bilgilerinin nasıl tutulacağının ilgili kuruluşların görüşleri alınarak hazırlanacak yönetmelik ile düzenleneceği hüküm altına alınmıştır.

Kişisel veri kavramı, belirli veya kimliği belirlenebilir olmak şartıyla, bir kişiye ilişkin bütün bilgileri ifade etmektedir. Bu bağlamda adı, soyadı, doğum tarihi ve doğum yeri gibi bireyin sadece kimliğini ortaya koyan bilgiler değil; telefon numarası, motorlu taşıt plakası, sosyal güvenlik numarası, pasaport numarası, özgeçmiş, resim, görüntü ve ses kayıtları, parmak izleri, IP adresi, e-posta adresi, hobiler, tercihler, etkileşimde bulunulan kişiler, grup üyelikleri, aile bilgileri, sağlık bilgileri gibi kişiyi doğrudan veya dolaylı olarak belirlenebilir kılan tüm veriler kişisel veri kapsamındadır. Kişinin bedensel ya da zihinsel sağlığına ilişkin kayıt edilmiş bilgilerinin tamamından oluşan sağlık bilgileri, aralarında bireyin ırk, siyasî düşünce, felsefî inanç, din, mezhep veya diğer inançları, dernek, vakıf ve sendika üyeliği, özel yaşamları ve her türlü mahkûmiyetleri ile ilgili verilerin de bulunduğu "hassas" veya "özel niteliği olan" kişisel veriler kategorisinde yer almakta olup, bu yönüyle özel bir öneme sahiptir.

Kişisel verilerin korunması hakkı, kişinin insan onurunun korunmasının ve kişiliğini serbestçe geliştirebilmesi hakkının özel bir biçimi olarak, bireyin hak ve özgürlüklerini kişisel verilerin işlenmesi sırasında korumayı amaçlamaktadır. Bilişim teknolojilerindeki gelişmeler sonucunda, geleneksel yöntemlerle mümkün olmayan çok sayıda verinin toplanabilmesi; daha önce birbirinden ilişkisiz şekilde tutulan pek çok verinin merkezi olarak bir araya getirilebilmesi; verilerin, veri eşleştirme ve veri madenciliği gibi ileri teknolojik imkânlarla analize tabi tutulmak suretiyle, veriden yeni veriler üretme kapasitesinin artması; verilere erişim ve veri transferinin kolaylaşması; kişisel verilerin ticari işletmeler için kıymetli bir varlık niteliği kazanması neticesinde, özel sektör unsurlarınca yaratılan risklerin daha yaygın ve önemli boyutlara ulaşması ve terör ve suç örgütlerinin kişisel verileri ele geçirme yönündeki faaliyetlerinin artması gibi etkenler, günümüzde kişisel verilerin en üst seviyede korunmasını zorunlu kılmaktadır. Bu bağlamda Anayasa'nın 20. maddesinin üçüncü fıkrasının son cümlesinde, "Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir." hükmüne yer verilerek kişisel verilerin korunması hakkı anayasal güvenceye bağlanmış ve bu şekilde kamu makamlarının keyfi müdahalelerine karşı koruma altına alınmıştır.

Yasama yetkisinin devredilemezliği ilkesi gereğince, Anayasa'nın açıkça kanunla düzenlenmesini öngördüğü konularda yürütme organına doğrudan ve ilk elden düzenleyici işlem yapma yetkisi verilemez. Kurumun faaliyet alanı kapsamında elde ettiği sağlık bilgilerinin korunması, paylaşılması ve tutulmasına yönelik usul ve esasları belirleme yetkisini Çalışma ve Sosyal Güvenlik Bakanlığına veren itiraz konusu kurallar, Anayasa'nın 20. maddesinde öngörülen kişisel verilerin korunmasına ilişkin usul ve esasların ancak kanunla düzenlenebileceğine ilişkin güvenceye aykırıdır.

Açıklanan nedenlerle, itiraz konusu kurallar Anayasa'nın 20. maddesine aykırıdır. İptalleri gerekir.

Kurallar, Anayasa'nın 20. maddesine aykırı bulunarak iptal edildiğinden dolayı Anayasa'nın 2., 7. ve 13. maddeleri yönünden ayrıca incelenmesine gerek görülmemiştir.

VI- SONUÇ

31.5.2006 tarihli ve 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu'nun 78. maddesinin;

A- Birinci fıkrasının Anayasa'ya aykırı olmadığına ve itirazın REDDİNE, Osman Alifeyyaz PAKSÜT ile Engin YILDIRIM'ın karşıoyları ve OYÇOKLUĞUYLA,

 B- İkinci fıkrasının;

 1- İkinci cümlesinin,

 2- 17.4.2008 tarihli ve 5754 sayılı Kanun'un 66. maddesinin birinci fıkrasının (f) bendiyle eklenen son cümlesinin,

 Anayasa'ya aykırı olduklarına ve İPTALLERİNE, OYBİRLİĞİYLE,

25.12.2014 tarihinde karar verildi.

KARŞIOY GEREKÇESİ

5510 sayılı sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu'nun 78. maddesinin birinci fıkrasında, Kurum ile sözleşmesi olan tüm sağlık hizmeti sunucularının, sağlık hizmeti sunduğu tüm kişilere ait sözleşme hükümlerinde yer verilen bilgileri, belirlenen yöntemlere ve süreye uygun biçimde elektronik ortamda veya yazılı olarak Kuruma göndermek zorunda olduğu, bu bilgiler gönderilmeksizin talep edilen sağlık hizmeti bedellerinin, bilgiler gönderilinceye kadar ödenmeyeceği belirtilmektedir.

Bahse konu bilgiler, Kanun kapsamında sağlık hizmetlerinden faydalanan kimselerin kimlik ve ikamet bilgileri ile tanı veya ön tanı, muayene, tetkik, tahlil, tedavi gibi, sağlıklarıyla ilgili bilgilerdir. Buna göre, Kuruma iletilecek bilgilerin "kişisel veri" olduğunda tereddüt bulunmamaktadır.

Anayasa'nın 20. maddesinde özel hayatın gizliliği güvence altına alınmış, herkesin kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahip olduğu, kişisel verilerin korunmasına ilişkin esas ve usullerin kanunla düzenleneceği belirtilmiştir.

İptali istenen kuralla, sağlık hizmeti sunucularının Kurumla yapacakları sözleşme kapsamındaki kişisel bilgilerin tamamını Kuruma iletmeleri öngörülmekle birlikte bu verilerin korunmasına ilişkin bir düzenlemeye yer verilmemiştir. Sözleşmede yer alan bilgileri belirleme ve bunları kullanmada İdare'ye ucu açık, çerçevesi çizilmemiş, sınırsız bir yetki verildiği anlaşılmaktadır. Kurumun kuruluş alanı ve faaliyetlerinin yasa ile belirlenmiş olması, Anayasa'nın 20. maddesinin öngördüğü anlamda kişisel verilerin korunması için yeterli bir yasal düzenleme olarak kabul edilemez. Bu durumda iptali istenen kuralın, Anayasa'ya aykırı olduğu açıktır.

Açıklanan nedenle kuralın iptali gerektiği düşüncesiyle çoğunluk görüşüne katılmamaktayım.

KARŞIOY GEREKÇESİ

5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu'nun 78. maddesinin birinci fıkrası "Kurum ile sözleşmesi olup olmadığına bakılmaksızın tüm sağlık hizmeti sunucuları, sağlık hizmeti sunduğu tüm kişilere ait sözleşme hükümlerinde yer verilen bilgileri, belirlenen yöntemlere ve süreye uygun biçimde elektronik ortamda veya yazılı olarak Kuruma göndermek zorundadır. Bu bilgiler gönderilmeksizin talep edilen sağlık hizmeti bedelleri, bilgiler gönderilinceye kadar ödenmez" düzenlemesini içermektedir. 

İtiraz konusu kuralla, Sosyal Güvenlik Kurumu sağlık hizmeti sunucularından Kanun kapsamındaki sağlık hizmetinden yararlanan kimselerin kimlik ve ikamet bilgileri ile tanı veya ön tanı, muayene, tetkik, tahlil, tedavi gibi sağlıklarıyla ilgili hususlara ilişkin bilgileri alabilmektedir. Hassas veri kategorisinde olan ve bireyin sağlığına ilişkin bilgileri içeren kişisel sağlık verilerinin herhangi bir sınırlama yapılmadan, kapsam ve şartları belirlenmeden toplanması ve işlenmesi Anayasa'nın 20. maddesine aykırıdır. Özel hayata saygı hakkını düzenleyen bu maddede, herkesin kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahip olduğu ve bu hakkın, kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsadığı belirtilmektedir.

Sosyal Güvenlik Kurumu'nun görevlerini yerine getirebilmesi için genel sağlık sigortası ile ilgili verilere ihtiyacı olduğu açıktır. Her ne kadar Çoğunluk, kuralla Sosyal Güvenlik Kurumu'na kişilerin özel hayatlarının gizliliğini ihlal eden bilgileri alma konusunda yetki verildiğinin söylenemeyeceğini iddia etse de, kural kapsamındaki verilerin çoğunun özel korumaya ihtiyaç duyan hassas kişisel veriler olduğundan kuşku duyulmamalıdır.

Anayasa'nın 20. maddesinin son fıkrası çok açık bir şekilde kişisel verilerin korunmasına ilişkin esas ve usullerin kanunla düzenleneceğini hüküm altına almakla birlikte ülkemizde kişisel verilerin korunmasını düzenleyen çerçeve bir kanun henüz yasalaşmamıştır. İtiraz konusu kuralla, Sosyal Güvenlik Kurumu'na tanınan kişisel veri toplama ve işleme yetkisinin nasıl kullanılacağıyla ilgili Genel Sağlık Sigortası ve Paylaşımına İlişkin Yönetmelikte bazı güvencelere yer verilmiştir. Ancak, 20. maddenin son fıkrası gereği, bu güvencelerin kanun düzeyinde sağlanması gerekmektedir. Kişisel verilerin işlenmesinin genel ilke ve esaslarının, kişilerin haklarını korumalarına yardımcı olacak mekanizmaların ve ilgili kuruluşların kişisel verilerin işlenmesi sırasında hakka aykırı davranışlarda bulunmamalarını önleyerek şikâyetleri değerlendirecek kanunla oluşturulmuş süreçlerin yokluğu, kamu kurumlarının veri toplama iştahlarını neredeyse sınırsız bir şekilde kabartmaktadır.

Anayasa'nın 13. maddesinde, temel hak ve özgürlüklerin özlerine dokunulmaksızın ölçülülük ilkesine uygun şekilde, yasayla sınırlandırılabileceği belirtilmektedir. Ölçülülük ilkesi sınırlamada başvurulan aracın sınırlama amacını gerçekleştirmeye elverişli olmasını; bu aracın sınırlama amacı açısından gerekli olmasını ve araçla amacın ölçüsüz bir oran içinde bulunmamasını ifade eder. Burada kısıtlama için kullanılan araçla amaç arasında hak ve özgürlüğü en az sınırlayacak dengeli bir orantı aranmaktadır. Elverişlilik ölçütüne göre bir yasal düzenlemenin sınırlama amacı bakımından elverişli sayılması için bu düzenlemenin arzulanan amaca katkı yapması gerekmektedir. Konumuz açısından bakıldığında, veri toplanmasının Kurum'un amaçlarını gerçekleştirmesine katkı yaptığını söyleyebiliriz. Gereklilik ise bir temel hakkı en az sınırlayan aracın seçilmesini gerektirmekle birlikte itiraz konusu kuralın, hakkı en az sınırlayan yumuşak bir araç olduğunu söylemek mümkün değildir. Çünkü söz konusu kural, çok geniş ve sınırsız bir çerçeveyi kapsayarak bireyin neredeyse her türlü kişisel sağlık verisinin toplanması ve işlenmesini kapsamı dâhilinde görmektedir. Orantılılıkta aranan ise araç ve amacın birbirine karşı ölçüsüz bir oran içerisinde olmamasıdır. Herhangi bir bağımsız denetime tabi olmadan, veri toplanması ve işlenmesi bir orantısızlık yaratmaktadır. Bireyin özel alanının tehlikeye girmesi, onun hakkında veri toplanması kadar, kime, hangi amaçlarla bunların aktarılacağı konusunda denetim imkânını da kaybetmesinde yatmaktadır.

Demokratik toplumda gereklilikten anlaşılması gereken başvurulan tedbirin demokratik toplumu açıklayan ilkelerle uyumlu olup, olmamasıdır. Bu ilkelerin değerini azaltan her uygulama demokratik toplum için gerekli değildir. Demokratik toplum, ayrıca hak ve özgürlüklere karşı gerçekleştirilen her müdahaleye karşı kişilere bir takım güvencelerin de sağlanmasını gerektirir. Oysa itirazı talep edilen kural, kötüye kullanım olasılığı karşısında engelleyici etkili ve yeterli tedbirlere yer vermemektedir. 

Özel hayatın gizliliği ve bu kapsamda kişisel verilerin korunması konusu her şeyden önce insan onuruna saygı ve kişilik haklarına dayanmaktadır. Bu hak, kişinin saygınlığını ve kişiliğini serbestçe geliştirmesini mümkün kılan şeref ve haysiyet, özel yaşam ve sağlık gibi kişisel değerler üzerindeki çıkarlarını belirterek, bireye kişiliğini dilediği şekilde, serbestçe geliştirebileceği, kendisi ve sevdikleriyle bir arada olabileceği özerk bir yaşam alanına sahip olma şansı vermektedir. Bu alanda birey, maddi ve manevi kişiliğini geliştirmek ve başkaları tarafından bilinmesini istemediği hususların güvence altına alınmasını istemek hakkına sahiptir. Kişisel verilerin korunması kişinin maddi ve manevi varlığını geliştirmesine imkân tanıyarak, bireyin hayatını kendi özgür iradesiyle düzenlemesine katkı sağlamaktadır. Bireyin kişisel verileri üzerindeki hakkı yeteri kadar korunmazsa, kişiliğini serbestçe geliştirmesi zora gireceğinden, özgür iradeleriyle yaşamlarını biçimlendiren bireylerden oluşan demokratik bir toplum düzeninin ortaya çıkması ve korunması da güçleşecektir. Kişisel verilerin korunmasıyla, kişisel veri toplanması, saklanması ve işlenmesi sırasında bireyin hak ve özgürlüklerinin korunarak demokratik toplum düzeninin oluşmasına katkı yapmak hedeflenmektedir.

Kişisel verilerin toplanması ve işlenmesi sırasında bireyin bu veriler üzerindeki hakkı, onun devlet veya üçüncü kişiler tarafından sıradan bir veri nesnesine indirgenmesini önlemek amacını taşımaktadır. Sağlıkla ilgili kişisel verilerin hiçbir sınırlamaya tabi tutulmadan toplanması, işlenmesi ve aktarılması, kişinin basit bir veri nesnesi yapılarak kişi olma vasfının dikkate alınmaması insan haysiyetini zedeleyici bir faaliyettir. Bireyin, ahlaki ve toplumsal kişiliğinin gelişiminde ve diğer insanlarla olan ilişkilerini düzenlemede önemli bir kavram olan mahremiyetin ihlali insan onurunun ve kişiliğinin ihlali anlamına gelmektedir.

Kişisel verilerin korunması, bir özgürlük sorunudur ve özel hayatın gizliliği, yalnız kalma hakkından kişinin kendisi hakkındaki veri ve bilgileri kontrol hakkını içerir bir şekle dönüşmektedir. Kişinin maddi ve manevi varlığını geliştirmesi, ancak ve ancak, faaliyetlerini özgürce gerçekleştirmesi ile mümkündür. Bireylere hayatlarını diledikleri gibi düzenleme fırsatı sunan bir alan yaratma imkânı tanıyan özel yaşamın gizliliği hakkı, kişinin özerk bir birey olması açısından son derece önemlidir. Bu hak, başkaları ve devlet tarafından ihlal edilmemesi, saygı gösterilmesi gereken bir çeşit onursal duvar yaratmaktadır.

Anayasa Mahkemesi, Türkiye İstatistik Kanunuyla ilgili bir kararında (E: 2006/167, K:2008/86), istenecek bilgilerin kapsam ya da sınırlarının belirsizliğinin, bireyi İdare'ye karşı korumasız bıraktığını, bunun da Anayasa'nın özel hayatın gizliliğini koruyan hükümlerine aykırı olduğunu tespit etmiştir. AİHM de, hangi koşullar altında, hangi amaçla, ne kadar süreyle kamu otoritelerinin özel hayatla ilgili bilgileri saklayacağı ve kullanacağının belirsizliğini, istismarlara karşı hiçbir önlem alınmamasını, kötüye kullanımı engellemeye yönelik etkili denetim mekanizmalarının öngörülmemesini ve verilerin değerlendirilmesine ilişkin hukuki sınırlar çizilmemesini, AİHS'in 8. maddesinin (ve 13. maddesinin) ihlali olarak görmüştür (Rotaru/Romanya, Başvuru no: 28341/95, ECHR 2000-V, IHRL 2923 (ECHR 2000), 4 Mayıs 2000, para.57 ve 59).

Yukarıda açıklanan gerekçelerden dolayı itiraz konusu kuralın iptal edilmesi gerektiği düşüncesiyle çoğunluk görüşüne katılmadım.