KİŞİSEL VERİLERİN KORUNMASINA İLİŞKİN SUÇLAR

KİŞİSEL VERİLERİN KORUNMASINA İLİŞKİN SUÇLAR HAKKINDA NOTLAR

6698 sayılı Kişisel Verilerin Korunması Kanuna göre “kişisel veri” kavramı; kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade eder. Bu durumda kişisel veriyi, kişisel olmayan verilerden ayırabilmek için temelde iki ölçütten yararlanıldığı söylenebilir. Buna göre, kişisel veriden söz edebilmek için, verinin bir kişiye ilişkin olması ve bu kişinin de belirli ya da belirlenebilir nitelikte olması gerekmektedir.

Bir kişinin belirli veya belirlenebilir olması, mevcut verilerin herhangi bir şekilde bir gerçek kişiyle ilişkilendirilmesi suretiyle, o kişinin tanımlanabilir hale getirilmesini ifade etmektedir.

Kanun muhteviyatı itibariyle kişisel verilerin işlenmesi, muhafazası, aktarımı bakımından temel prensipleri ortaya koymuş; bu ilkelere uygun davranılmaması hallerinin meydana getirdiği veri ihlallerinde veri sorumlusunun ne tür yaptırımlarla karşı karşıya kalacağını düzenlemiştir.

6698 sayılı Kişisel Verilerin Korunması Kanun’una göre veri sorumlusu nezdindeki kişisel verilerin ihlali söz konusu olduğunda; sorumluluk ve kusur durumlarına bağlı olarak idari, hukuki ve cezai yaptırımlar öngörülmüştür.

Kişisel verilerin korunmasına ilişkin cezai yaptırımlar Kanun’un “Suçlar ve Kabahatler” bölümünde 17. Ve 18. Maddede düzenlenmiştir. Kabahatler bakımından doğrudan 6698 sayılı Kanun kapsamında düzenleme yapılmış olmasına rağmen suçlar bakımından halihazırda yürürlükte olan Türk Ceza Kanunu’nun 135 ila 140. Maddeleri kapsamında düzenlenmiş olan suçlar işaret edilmiştir.

Kişisel Verilerin Kaydedilmesi Suçu

Madde 135- (1) Hukuka aykırı olarak kişisel verileri kaydeden kimseye bir yıldan üç yıla kadar hapis cezası verilir.

(2) Kişisel verinin, kişilerin siyasi, felsefi veya dini görüşlerine, ırki kökenlerine; hukuka aykırı olarak ahlaki eğilimlerine, cinsel yaşamlarına, sağlık durumlarına veya sendikal bağlantılarına ilişkin olması durumunda birinci fıkra uyarınca verilecek ceza yarı oranında artırılır.

Suçun maddi unsuru verilerin kaydedilmesi olarak belirtilmiştir. Kaydetme fiilinin tam olarak neyi ifade ettiği KVKK’nın veri işleme faaliyetinin ne olduğuna ilişkin tanımın yapıldığı 2. Maddesinden anlaşılacaktır. Buna göre her türlü veri işleme bu kanun maddesine konu olabilecektir. Veri işleme faaliyeti KVKK’ya göre Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem olarak tanımlanmıştır. Tamamen veya kısmen otomatik yollarla veri işleme halinde bu suç oluşacaktır. Kişisel verinin otomatik olmayan yollarla kaydedilmesi halinde suçun oluşabilmesi için, kaydedilen verinin yeni herhangi bir veri kayıt sisteminin parçası olması gerekmektedir. Eğer bir kaydetme fiili, herhangi bir veri sisteminin bir parçası olmayan bir yere yapıldıysa suç oluşmayacaktır.

Kaydetme fiilinin gerçekleşmesi ile bir neticenin oluşması aranmadığından bu madde kapsamında düzenlenmiş olan suç neticesiz suçtur.

Yine kanun maddesi hukuka aykırı olarak veri kaydetme hususundan söz etmiş olduğundan; kişisel verinin hukuka uygun olarak işlenip işlenmediği hususunda KVKK’nın ilgili maddelerine göre değerlendirme yapmak gerekecektir.

Maddenin 2. Fıkrasında ise özel nitelikli kişisel verilerin hukuka aykırı olarak işlenmesi halinde cezanın artırılacağı belirtilmiştir. Bu ayrım bakımından ise KVKK’nın özel nitelikli kişisel verilerin işlenmesi şartı olarak belli istisnalar haricinde açık rıza alınması gerektiğine ilişkin husus; suçun oluşup oluşmadığı bakımından hukuka aykırılığın tespiti bakımından önem teşkil edecek bir husustur.

Verileri Hukuka Aykırı Olarak Verme Veya Ele Geçirme Suçu

Madde 136- (1) Kişisel verileri, hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi, iki yıldan dört yıla kadar hapis cezası ile cezalandırılır.

(2) Suçun konusunun, Ceza Muhakemesi Kanununun 236 ncı maddesinin beşinci ve altıncı fıkraları uyarınca kayda alınan beyan ve görüntüler olması durumunda verilecek ceza bir kat artırılır.

Maddenin 2. Fıkrasında bu suçun meydana geldiğinden söz edebilmek için; kişisel verinin hukuka aykırı olarak bir başkasına vermesi, yayması veya ele geçirmesi olarak sayılan seçimlik hareketlerden birinin gerçekleşmiş olması gerekmektedir.

Söz konusu madde ile kişisel verinin hukuka aykırı olarak elde edilmesi, aktarımının yapılması engellenmek istenmiştir.

Maddenin 2. Fıkrasında ise; herhangi bir soruşturma dosyası kapsamında mağdur çocuk veya mağdurun kayıt altına alınmış ifadelerinin bu suça konu olması halinde cezanın artırılacağı ifade edilmiştir.

Nitelikli haller

Madde 137- (1) Yukarıdaki maddelerde tanımlanan suçların;

a) Kamu görevlisi tarafından ve görevinin verdiği yetki kötüye kullanılmak suretiyle,

b) Belli bir meslek ve sanatın sağladığı kolaylıktan yararlanmak suretiyle,

İşlenmesi halinde, verilecek ceza yarı oranında artırılır.

Kanun’un 137. Maddesinde kişisel verilerin kaydedilmesi suçu ve verileri hukuka aykırı olarak verme veya ele geçirme suçu bakımından nitelikli halleri düzenlenmiştir.

A bendine göre suçun kamu görevlisi tarafından işlenmesi halinde; B bendinde ise failin mesleğinin sağladığı kolaylıktan yararlanması halinde suçun artırılacağı ifade edilmiştir.

Yargıtay 12. Ceza Dairesi’nin 09.02.2015 tarihli, E. 2014/ 18783, K. 2015/ 2124 sayılı kararında; Bir GSM şirketinin alt bayisi olan sanıkların kendileri ile işlem yapan müşterilerine ait kişisel veri niteliğindeki kimlik belgesi örneklerini hukuka aykırı olarak kişisel ve bayilerine ait bilgisayarlar ile taşınabilir diske kaydedip arşivledikleri olayda, Yargıtay, sanıkların suçu “belli bir mesleğin sağladığı kolaylıktan yararlanmak suretiyle” işlediklerini belirterek cezada artırım yapılması gerektiğine karar vermiştir.

Verileri Yok Etmeme Suçu

Madde 138- (1) Kanunların belirlediği sürelerin geçmiş olmasına karşın verileri sistem içinde yok etmekle yükümlü olanlara görevlerini yerine getirmediklerinde bir yıldan iki yıla kadar hapis cezası verilir.

(2) Suçun konusunun Ceza Muhakemesi Kanunu hükümlerine göre ortadan kaldırılması veya yok edilmesi gereken veri olması hâlinde verilecek ceza bir kat artırılır.

6698 sayılı KVK Kanununa göre kişisel veriler; ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmelidirler. (madde 4/d)

Yine Kanunun devamında; Bu Kanun ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel veriler resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinir, yok edilir veya anonim hâle getirilir, denilmektedir. (madde 17/1)

Anılan düzenlemelere göre veri sorumlusunun ilgili mevzuatta öngörülen süre sonunda yahut, işlenme amacı için gerekli olan süre sonunda yahut işlemeyi gerektiren sebeplerin ortadan kalkması durumunda ilgilinin talebi üzerine kişisel veriyi yok etmesi gerekmektedir. Bu yükümlülüğünü yerine getirmemesi halinde TCK madde 138 kapsamında verileri yok etmeme suçu meydana gelecektir.

İkinci fıkrada ise; CMK kapsamında düzenlenmiş olan verilerin silinmesine ilişkin yükümlülükler bakımından artırıcı neden düzenlenmiştir.

5271 sayılı Ceza Muhakemesi Kanunu’nun (“CMK”) 137/ 3. maddesinde düzenlenen, şüpheli hakkında kovuşturma yapılmasına yer olmadığı kararı verilmesi veyahut iletişimin tespiti, dinlenmesi ve kayda alınması konusunda hâkim onayının alınamaması halinde, elde edilmiş olan iletişim içeriklerinin Cumhuriyet savcısının denetiminde olmak üzere en geç on gün içerisinde yok edilmesi gerekliliği örnek gösterilebilir. Kanun ile öngörülmüş olan bu on günlük süre içerisinde iletişimin tespitine ilişkin verilerin yok edilmemesi halinde TCK’nin 138. maddesinin ihlali söz konusu olacaktır (Karagülmez, 2014). Hatta aynı maddenin 2. fıkrasında düzenlendiği üzere bu durumda suçun konusunu CMK hükümlerine göre ortadan kaldırılması veya yok edilmesi gereken bir veri oluşturacağından verilecek ceza bir kat artırılacaktır.[1]

Kanun 139. Maddesine göre ise yukarıda anılan suçlar şikayete bağlı suçlardan değildir. Tüzel kişilerin fail olması durumunda güvenlik tedbirlerinin uygulanacağı ifade edilmiştir.( Madde 140)

Yargıtay’ın Kişisel Veri Kavramına Yaklaşımı

Yargıtay kişisel veri kavramına kendine özgü bir yaklaşım getirmiş ve içtihat haline gelmiş birçok kararında bu yaklaşımını vurgulamıştır. Bu kararlardan emsal nitelikte olan Yargıtay 12. Ceza Dairesi’nin E. 2019/12886 K. 2020/513 T. 15.1.2020 tarihli kararında;

“TCK’nın 135 ve 136. maddelerindeki kişisel verilerin korunmasına ilişkin düzenlemelerde sadece sır niteliğinde kişisel verilerin korunacağına ilişkin bir hükmün bulunmaması ve aksine 135. maddenin gerekçesinde gerçek kişiyle ilgili her türlü bilginin kişisel veri olarak kabul edilmesi gerektiğinin belirtilmesi karşısında, her türlü kişisel verinin hukuka aykırı olarak başkasına verilmesi, yayılması ve ele geçirilmesi fiilleri TCK’nın 136. maddesindeki verileri hukuka aykırı olarak verme veya ele geçirme suçunu oluşturur. Bu nedenle herkes tarafından bilinen ve/veya kolaylıkla ulaşılması ve bilinmesi mümkün olan kişisel bilgiler de, yasal anlamda “kişisel veri” olarak kabul edilmektedir. Ancak, verileri hukuka aykırı olarak verme veya ele geçirme suçunun uygulama alanının amaçlanandan fazla genişletilerek, uygulamada belirsizlik ve hemen her eylemin suç oluşturması gibi olumsuz sonuçların doğmaması için, somut olayın özellikleri dikkate alınarak titizlikle değerlendirme yapılması, olayda herhangi bir hukuk dalı tarafından kabul edilebilecek bir hukuka uygunluk nedeni veya bu kapsamda nazara alınabilecek bir hususun bulunup bulunmadığının saptanması ve sanığın eylemiyle hukuka aykırı hareket ettiğini bildiği ya da bilebilecek durumda olduğunun da tespit edilmesi gerekir.

Ayrıca, bir özel hayat görüntüsünün ya da sesinin, “kişisel veri” olduğunda kuşku bulunmamakta ise de, kişinin özel hayatına ilişkin görüntüsünün ya da sesinin, bilgisi dışında, resim çekme veya kaydetme özelliğine sahip aletle belli bir elektronik, dijital, manyetik yere sabitlenmesi TCK’nın 134/1. madde ve fıkrasının 2. cümlesinde; rızası dışında ifşa edilmesi, yani; yayılması, açığa vurulması, afişe edilmesi, ilan edilmesi, kamuoyuna duyurulması, aleniyet kazandırılması, özetle; içeriğini öğrenme yetkisi bulunmayan kişi veya kişilerin bilgisine sunulması TCK’nın 134/2. madde ve fıkrasında özel hayatın gizliliğini ihlal suçu kapsamında düzenlendiğinden, kişinin özel hayatına ilişkin görüntüsü ya da sesi, yasal anlamda, TCK’nın 136/1. madde ve fıkrası kapsamında kişisel veri olarak değerlendirilemez.” denilmektedir.

Yargıtay 12. Ceza Dairesi’nin E:2018/7939 K: 2019/640 sayılı 16.01.2019 tarihli kararında; “Sanığın, mağdura ait facebook hesabından ele geçirdiği mağdurun günlük kıyafetleriyle poz vermiş şekilde çektirdiği resimlerini, aynı sitede mağdur adına açtığı sahte hesap üzerinden, mağdurun rızasına aykırı şekilde yayımladığı olayda; Mağdura ait facebook hesabında mağdur tarafından yayımlanan ve mağdurun günlük kıyafetleriyle poz vermiş şekilde çektirdiği resimleri, mağdurun başkalarının görmesini ve bilmesini istemeyeceği özel yaşam alanına ilişkin görüntü olarak kabul edilemeyeceğinden, mağdurun kişisel veri niteliğindeki resimlerini, hukuka uygunluk nedenlerinin bulunmaması nedeniyle hukuka aykırı olduğunda tereddüt bulunmayan bir yöntemle facebook adlı sosyal paylaşım sitesi üzerinden yayımlayan sanığın eyleminin, TCK’nın 136/1. madde ve fıkrasında tanımlanan verileri hukuka aykırı olarak verme veya ele geçirme suçunu oluşturduğuna dair yerel mahkemenin kabulünde dosya kapsamına göre bir isabetsizlik görülmemiştir.” Denilerek, “özel yaşam alanına ilişkin görüntü” ile “kişisel veri” arasında ayrıma giderek; özel yaşam alanına ilişkin bir hususun somut olay bakımından mevcut olmaması nedeniyle somut olaya TCK 134. Maddenin değil 136. Maddenin uygulanacağı ifade edilmiştir.

Özetle Yargıtay; TCK 134. Maddede özel hayatın gizliliğini ihlal suçu kapsamında kişilerin özel hayatına ilişkin görüntü veya sesleri hukuka aykırı olarak ifşa edilmesi eyleminin zaten bir suç olarak düzenlenmiş olması nedeniyle; kişinin özel hayatına ilişkin görüntüsü ya da sesinin TCK 136 kapsamında kişisel veri olarak değerlendirilemeyeceğini ifade etmiştir. Ancak bahsi geçen eylemin bir başka kanun maddesinde daha bir başka suçu da meydana getiriyor olmasının; suça konu olan kişinin özel hayatına ilişki görüntü ya da sesinin kişisel veri niteliğini ortadan kaldırmayacağı açıktır. Öte yandan 6698 sayılı Kanun kişisel veri kavramının detaylı olarak tanımlarını yapmış olup, TCK kapsamında anılan suçların bu kavramlardan bağımsız düşünülmemesi gerekmektedir. Bu haliyle, kişinin özel hayatına ilişkin görüntüsünün ya da sesinin 6698 sayılı Kanunun 2. Maddesi kapsamında kişisel veri olduğu tartışmasızdır. Yargıtay’ın 134 ve 135-136 maddeleri bakımından yapacağı değerlendirmede; suç konusunun kişisel veri olmadığına yönelik Kanunu mesnedi bulunmayan değerlendirmesinin yerine doktrinde bu hususa ilişkin bir takım tartışmalar yürütülmüştür. Buna göre:

TCK md. 134’de düzenlenen özel hayatın gizliliğini ihlal suçu ise özel hayata ve hayatın gizli alanına karşı suçlar içerisinde torba hüküm olarak nitelendirilen bir suç tipidir (Zafer, 2014). Bu itibarla, özel hayatı ve hayatın gizli alanını koruyan suç tipleri ile TCK md. 134 arasında bir özel norm-genel norm ilişkisi bulunmaktadır. Diğer bir ifadeyle, somut vakıada, özel norm niteliğini taşıyan suç tipinde TCK md. 134’ün unsurlarına ilave olarak yer alan diğer koşullar gerçekleşmiş ise, bu özel norma ilişkin hükümler uygulanacaktır. Buna göre, hukuka aykırı olarak verilen, yayılan veya ele geçirilen bilgi veya belgelerin kişisel veri niteliğinde olması durumunda artık genel norm olan TCK md. 134 değil ancak bu konuda özel norm olan TCK md. 136 uygulanacaktır (Akyürek, 2014). Ancak kişisel veri niteliği taşımayan bilgi veya belgeler ya da TCK md. 134/2’deki ses veya görüntü kayıtları yönünden ise TCK md. 134’deki genel norm uygulanacaktır. Bu konudaki diğer bir görüş ise kişinin özel hayatına ilişkin bir ses veya görüntünün TCK md. 134 kapsamında cezalandırılması gerektiği yönündedir (Yaşar, Gökcan ve Artuç, 2014). Yargıtay içtihatlarında da benimsenen bu görüşe göre, TCK md. 136 hükmünün uygulanabilmesi için ancak “özel hayata ilişkin olma” kriterinin dışında kalan, diğer bir ifadeyle TCK md. 134’ün uygulanma kabiliyeti bulunmayan, kişisel veriler hakkında söz konusu olabilir.[2]

[1] KART VE KETİZMEN; Kabahatler Kanunu’nun İçtima Hükümleri Açısından Kişisel Verilerin Korunmasına İlişkin Suç ve Kabahatler İle Kurul’un İdari Ceza Kararlarına İlişkin Bir Değerlendirme, KVKK Dergisi, Cilt 1, Sayı:2

[2] SINAR; Kişisel Verileri Hukuka Aykırı Olarak Verme, Yayma Veya Ele Geçirme Suçu (TCK md. 136), KVKK Dergisi