Madde 17

6698 sayılı Kişisel Verilerin Korunması Kanununun (KVKK) 17. maddesinin birinci fıkrası, kişisel verilere ilişkin suçlarda Türk Ceza Kanununun 135 ila 140. maddelerinin uygulanacağını belirtir.1 Fıkrada bağımsız bir suç tanımına ve cezaya yer verilmemiştir. Hangi fiilin suç oluşturacağı, gönderme yapılan TCK hükmünün kendi unsurlarına göre belirlenecektir.2

Kişisel verilerin hukuka aykırı olarak kaydedilmesi TCK m.135'te, bir başkasına verilmesi, yayılması veya ele geçirilmesi m.136'da, kanunların belirlediği süreler geçmesine rağmen sistemdeki verileri yok etme görevinin yerine getirilmemesi ise m.138'de ayrı suçlar olarak düzenlenmiştir. Nitelikli haller, takip şartı ve tüzel kişiler hakkında uygulanabilecek güvenlik tedbirleri de sırasıyla TCK m.137, m.139 ve m.140'ta yer alır.3 Somut fiil, hangi hükmün kanuni tanımına uyuyorsa o hükme göre değerlendirilecektir.

Bir veri işleme faaliyetinin KVKK'ye aykırı olması, ceza sorumluluğunun doğması için tek başına yeterli değildir. Fiilin TCK m.135-140'ta tanımlanan suçlardan birinin kanuni tanımına uyup uymadığı ve ilgili hükümde aranan diğer şartların gerçekleşip gerçekleşmediği incelenecektir.45 Veri sorumlusunun aydınlatma, veri güvenliği veya Veri Sorumluları Siciline kayıt yükümlülüğüne aykırı davranması, bu inceleme yapılmadan kişisel verilere ilişkin bir suç olarak nitelendirilemez.

Açık rıza veya kanunda öngörülen başka bir işleme şartının bulunup bulunmadığı, TCK m.135 ve m.136'daki hukuka aykırılığın değerlendirilmesinde önem taşıyabilir.6 Bununla birlikte KVKK'deki geniş işleme tanımı, TCK'de sayılmayan bir hareketi kıyas yoluyla suç haline getiremez.7

Ceza sorumluluğu şahsidir ve gerçek kişinin fiiline dayanır. Tüzel kişinin veri sorumlusu olması, organlarında görev yapan veya bünyesinde çalışan herkesin fail sayılması için yeterli değildir. Sorumluluğun belirlenebilmesi için fiili gerçekleştiren gerçek kişi ile bu kişinin görev ve yetkisi tespit edilmelidir. Kast da aynı kişi bakımından ayrıca incelenecektir.8 TCK m.140 uyarınca, gerekli şartlar varsa tüzel kişi hakkında güvenlik tedbiri uygulanabilir. Bu tedbir, tüzel kişiye ceza sorumluluğu yüklenmesi anlamına gelmez.9

Türk Ceza Kanununun 135 ve 136. maddelerinde kullanılan kişisel veri kavramı ayrıca tanımlanmamıştır. Kavramın belirlenmesinde, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi kişisel veri sayan KVKK m.3/1-d dikkate alınacaktır.1 Bilginin sır niteliğinde olması şart değildir. Ancak veri ile belirli veya belirlenebilir bir gerçek kişi arasındaki bağlantı somut olayda kurulmalıdır.2

Anayasa Mahkemesi, TCK m.136'daki kişisel veri kavramına yönelen belirlilik itirazını reddetmiştir. Mahkeme, kavramın ulusal ve uluslararası düzenlemeler ile yargı kararları çerçevesinde belirlenebilir olduğu sonucuna varmıştır. İnceleme, belirli bir bilginin kişisel veri olup olmadığına veya somut bir fiilin suç oluşturup oluşturmadığına değil, kuralın belirliliğine ilişkindir.3

Kişisel verinin ceza hukuku bakımından korunması ile özel nitelikli kişisel verilere ilişkin ceza artırımı da birbirinden ayrılmalıdır. TCK m.135/2'de sayılan kategoriler ile KVKK m.6'daki güncel liste aynı değildir. Etnik köken, mezhep veya diğer inançlar, kılık ve kıyafet, dernek veya vakıf üyeliği, ceza mahkumiyeti ve güvenlik tedbirleri ile biyometrik ve genetik veriler KVKK m.6'da sayılmış, fakat TCK m.135/2'de aynı biçimde yer almamıştır. KVKK m.6 sendika üyeliğini, TCK m.135/2 ise sendikal bağlantıları sayar. Buna karşılık TCK m.135/2'deki ahlaki eğilim kategorisi KVKK m.6'da bulunmaz.4

Listeler arasındaki fark, TCK m.135/2'nin KVKK m.6'dan hareketle genişletilmesi yoluyla giderilemez. KVKK m.6'da özel nitelikli sayılan bir veri, yalnız bu nedenle TCK m.135/2'deki ceza artırımına konu olamaz. Önce TCK m.135/1'deki temel suçun koşulları incelenecek, ceza artırımında ise yalnız ikinci fıkrada sayılan veri grupları dikkate alınacaktır.5

Suçun mağduru, kişisel verinin ilişkin olduğu gerçek kişidir. Tüzel kişi, kişisel verinin sahibi sıfatıyla mağdur olamaz. Tüzel kişinin somut olayda suçtan zarar gören sıfatına sahip olup olmadığı ise ayrıca değerlendirilecektir.6 Yargıtay, ölen kişiye ait sağlık ve eğitim belgelerinin kullanıldığı bir davada baba ile kardeşin mağdur veya suçtan doğrudan zarar gören kişi sayılmadığına karar vermiştir.7 Bu karar uyuşmazlığın esasını incelememiş, yalnız yakınların katılma ve temyiz yetkisiyle sınırlı kalmıştır.

Kanunilik ilkesi, hem kişisel veri kavramının somutlaştırılmasında hem de suçun hareketinin belirlenmesinde geçerlidir. KVKK'deki toplama, depolama, açıklama, aktarma ve elde etme gibi geniş işleme biçimleri, TCK m.135 ve m.136'da gösterilen hareketlerin yerine geçirilemez. Ceza hükmü, kıyasa yol açacak biçimde geniş yorumlanamaz.8

Türk Ceza Kanununun 135. maddesinin birinci fıkrası, kişisel veriyi hukuka aykırı olarak kaydetmeyi suç sayar.1 Bu nedenle KVKK'de kişisel veri işleme sayılan her faaliyet, ceza hukuku bakımından kaydetme olarak nitelendirilemez. Verinin yalnız görülmesi veya geçici olarak öğrenilmesi ile belirli bir ortamda muhafaza edilebilir hale getirilmesi aynı değildir.2

Kaydetme, kişisel verinin ilk kez oluşturulmasıyla sınırlı değildir. Daha önce var olan bir verinin başka bir kayıt ortamına alınması da somut olayın özelliklerine göre bu hareket kapsamında değerlendirilebilir. Buna karşılık yalnız bir veri sistemine erişilmiş olması, kaydetme hareketinin gerçekleştiği sonucuna varılması için yeterli değildir. Verinin hangi işlemle, hangi ortama ve ne şekilde aktarıldığı belirlenmelidir.3

Kaydetmenin tamamlandığı an, kullanılan yönteme göre belirlenecektir. Bir bilişim sisteminde yazma işlemi bitip veri kaydedildiğinde, kağıt üzerinde ise bilginin yazılması tamamlandığında kaydetme hareketi tamamlanır.9 Verinin ayrıca yayımlanması veya başkasının kullanımına açılması gerekmez.

Hareketin hukuka aykırı olması gerekir. Açık rıza, kanunda öngörülen bir görev veya KVKK'de yer alan başka bir işleme şartı, kaydetmenin hukuka uygunluğunu etkileyebilir. Bir işleme şartının varlığı, kaydetmenin her durumda hukuka uygun olduğu sonucunu doğurmaz. Somut işlemenin dayanılan şartın kapsamında kalıp kalmadığı ayrıca incelenecektir.4

KVKK'deki bir yükümlülüğün ihlalinden hareketle kaydetme suçunun bütün unsurlarının oluştuğu kabul edilemez. Örneğin aydınlatma yükümlülüğünün eksik yerine getirilmesi ile kişisel verinin hukuka aykırı olarak kaydedilmesi aynı fiil değildir. Veri Sorumluları Siciline kayıt yapılmaması veya veri güvenliği tedbirlerinin yetersiz kalması da kaydetme hareketinin gerçekleştiğinin kabulü için tek başına yeterli değildir.5

Kaydetme suçu yalnız kasten işlenebilir. Failin kişisel veriyi kaydettiğini bilmesi ve bu hareketi istemesi gerekir. TCK m.135 özel bir saik aramaz.6 Hukuka aykırılık ibaresinin kastla ilişkisi bakımından bir görüş, bu ibarenin belirli bir unsuru nitelemediğini ve kastın hukuka aykırılığı kapsamasının gerekmediğini savunmaktadır. Bu görüşe göre yanılgının ceza sorumluluğuna etkisi, hukuka uygunluk nedenleri ile haksızlık yanılgısına ilişkin hükümler uyarınca değerlendirilecektir.7

TCK m.135/2 yeni bir hareket tanımlamaz. Fıkrada sayılan veri grupları bakımından, birinci fıkradaki temel suç oluştuğunda ceza yarı oranında artırılır.8 Ceza artırımının uygulanabilmesi için verinin ikinci fıkradaki kategorilerden birine girdiği ayrıca gösterilmelidir.

Türk Ceza Kanununun 136. maddesi, kişisel veriyi hukuka aykırı olarak bir başkasına verme, yayma veya ele geçirme hareketlerini ayrı ayrı sayar.1 Bu nedenle fiilin yalnız kişisel verinin kullanılması biçiminde nitelendirilmesi yeterli değildir. Somut olayda verme, yayma veya ele geçirme hareketlerinden hangisinin gerçekleştiği gösterilmelidir.

Verme, kişisel verinin bir başkasının bilgisine veya hakimiyetine sunulmasını ifade eder. Yaymada ise verinin daha geniş veya belirsiz bir kişi çevresine ulaştırılması söz konusudur.2 Ele geçirme, başkasının hakimiyetindeki kişisel verinin failin hakimiyetine alınmasını gerektirir. Verinin elden, yazılı belgeyle veya elektronik ortamda aktarılması bu ayrımı değiştirmez. Fiilin niteliği, verinin kimden çıktığı, kime ulaştığı ve failin veri üzerinde nasıl hakimiyet kurduğu incelenerek belirlenecektir.

Verinin daha önce hukuka uygun olarak kaydedilmiş olması, sonraki verme veya yaymanın da hukuka uygun olduğunu göstermez. Aynı şekilde verinin ilk kaydındaki hukuka aykırılık, sonraki her kullanımı TCK m.136 kapsamına sokmaz. Sonraki hareketin kendi koşulları ve hukuka uygunluk nedeni ayrıca incelenecektir.3

Bir verinin daha önce açıklanmış veya internette erişilebilir olması da kişisel veri niteliğini kendiliğinden ortadan kaldırmaz.4 Yargıtay Ceza Genel Kurulu, daha önce gazetede yayımlanmış bir fotoğrafın rıza dışında başka bir kişi adına oluşturulan tanışma profiline yerleştirilmesini somut olayda yayma olarak değerlendirmiştir.5 Yargıtay 12. Ceza Dairesi, Facebook hesabında daha önce paylaşılan fotoğrafların sahte bir hesapta kullanılmasına ilişkin 2018 tarihli kararında beraat hükmünü bozmuştur. Daire, 2026 tarihli kararında ise sosyal medyada yayımlanmış fotoğrafın sahte hesapta kullanılmasını, özel hayatın gizliliğini ihlal suçu yerine somut olayın şartları içinde TCK m.136 yönünden değerlendirilmesi gereken bir fiil saymıştır.6

Bu kararlar, kamuya açık kişisel verinin her yeniden kullanımının suç olduğu anlamına gelmez. Açıklamanın amacı ve kapsamı ile sonraki kullanımın bağlamı birlikte değerlendirilecektir.14 Önceki yayımın sınırlarını aşan yeni kullanım bakımından rıza veya başka bir hukuka uygunluk nedeninin bulunup bulunmadığı ayrıca araştırılmalıdır.

Telefon numarasının üçüncü kişiye verilmesine ilişkin bir kararda Yargıtay, somut deliller karşısında TCK m.136 yönünden değerlendirme yapılması gerektiğini belirterek beraat hükümlerini bozmuş, mahkumiyet hükmü kurmamıştır.7 Ad, soyad, telefon numarası ve fotoğrafların birlikte kamunun erişimine sunulduğu başka bir olayda ise birden fazla suçun oluştuğu kabul edilmiş, tek fiil nedeniyle TCK m.44 uyarınca en ağır cezayı gerektiren suçtan hüküm kurulması gerektiği belirtilmiş ve TCK m.136'dan ayrıca ceza verilmemiştir.8

Yargıtayın incelediği bir olayda isim ve sicil numaralarının kapatılmış olması, görünür bırakılan banka hesap numaralarının kişisel veri niteliğini ortadan kaldırmamıştır. Yargıtay 12. Ceza Dairesi, ücret bordrolarının bu biçimde bir haberde yayımlanması nedeniyle verilen mahkumiyet hükmünü dosyadaki deliller ışığında onamıştır.9 Karar, hesap numarası içeren her yayının suç olduğu biçiminde genellenemez. Kararın başka olaylara uygulanabilmesi için yayının kapsamı, hukuki dayanağı ve olayın diğer koşulları ayrıca incelenmelidir.

Yargıtay 12. Ceza Dairesi, eşe ait psikiyatri raporunun hastaneden alınarak rıza dışında üçüncü kişiye verilmesi olayında, belgenin bir ceza davasında kullanılması amacını hukuka uygunluk için yeterli görmemiştir. Daire, TCK m.136 uyarınca kurulan mahkumiyet hükmünü düzelterek onamıştır.10 Karar, yargılamada kullanılan her sağlık belgesinin hukuka aykırı elde edildiğini göstermez. Belgenin nasıl elde edildiği, kime verildiği ve hukuka uygunluk nedeninin bulunup bulunmadığı somut olayda araştırılmalıdır.

Kurumsal bir sistemde kişisel veriyi görmek ile veriyi ele geçirmek her olayda aynı değildir. Yargıtay 12. Ceza Dairesi, kurumun verdiği kullanıcı bilgileriyle görev dışı sorgulama yapıldığı, fakat verinin aktarıldığı veya sistem dışına çıkarıldığı kanıtlanmadığı bir olayda salt görüntülemeyi TCK m.136'daki ele geçirme saymamıştır.11 Kararda eylemin disiplin yönü saklı tutulmuştur. Bu sonuç, görev dışı sorgulamayı hukuka uygun hale getirmez ve verinin kaydedildiği, aktarıldığı veya sistem dışına çıkarıldığı olaylara taşınamaz.

Suçun konusunu CMK m.236/5-6 uyarınca kayda alınan beyan ve görüntülerin oluşturması halinde, TCK m.136/2 uygulanır ve ceza bir kat artırılır.12 Bu ceza artırımı, her sağlık verisine veya ceza dosyasındaki her belgeye değil, fıkrada açıkça gösterilen kayıt türlerine özgüdür.

Türk Ceza Kanununun 136. maddesindeki suç yalnız kasten işlenebilir. Failin kişisel veriyi verdiğini, yaydığını veya ele geçirdiğini bilmesi ve istemesi gerekir. TCK m.136 özel bir saik aramaz. Failin amacı, somut olayda bir hukuka uygunluk nedeninin bulunup bulunmadığı değerlendirilirken önem taşıyabilir.13

Türk Ceza Kanununun 137. maddesi, kişisel verilerin kaydedilmesi ile verileri hukuka aykırı olarak verme, yayma veya ele geçirme suçlarının iki nitelikli halini gösterir. İlk nitelikli hal, suçun kamu görevlisi tarafından görevin verdiği yetki kötüye kullanılarak işlenmesidir. İkinci nitelikli hal, belirli bir meslek veya sanatın sağladığı kolaylıktan yararlanılmasıdır. Bu hallerde ceza yarı oranında artırılır.1

Failin kamu görevlisi veya belirli bir mesleğin mensubu olması, nitelikli halin uygulanması için yeterli değildir. Kamu görevinin verdiği yetkinin kötüye kullanılması veya mesleğin sağladığı kolaylık ile suç arasındaki bağ kurulmalıdır.2 Sağlık çalışanının sağlık kaydına erişebilmesi, banka çalışanının müşteri sistemine ulaşabilmesi veya kamu görevlisinin kurumsal sorgu yetkisine sahip olması bu incelemede önem taşıyabilir. Bununla birlikte yalnız sıfat veya erişim imkanından hareketle nitelikli hal uygulanamaz.

TCK m.137'deki “yukarıdaki maddeler” ifadesi m.135 ve m.136'ya yönelir. TCK m.138'deki verileri yok etmeme suçu m.137'den sonra düzenlendiği için bu nitelikli hallerin kapsamına girmez. Ceza hükmü kıyasla genişletilerek m.138'e uygulanamaz.3

TCK m.139 uyarınca, m.135, m.136 ve m.138'deki suçların soruşturulması ve kovuşturulması şikayete bağlı değildir.4 Suçun yetkili makamlarca başka bir yolla öğrenilmesi halinde de soruşturma yürütülebilir. İlgili kişinin savcılığa yaptığı başvuru ihbar veya şikayet niteliği taşıyabilir, fakat bu başvuru suçun takip edilebilmesi için kurucu bir şart değildir.5

Anayasa Mahkemesi, TCK m.136'nın resen soruşturulmasına ilişkin kuralı kişisel verilerin korunması ve kamu düzeni amaçları yönünden Anayasa'ya uygun bulmuştur.6 Karar yalnız TCK m.136 bakımından yapılan itirazı incelemiştir. TCK m.135 ve m.138 bakımından şikayet aranmadığı sonucu ise doğrudan TCK m.139'un metnine dayanır.

Şikayetten vazgeçme de resen yürütülen kamu davasını kendiliğinden sona erdirmez. Yargıtay 12. Ceza Dairesi, psikiyatri raporunun üçüncü kişiye verilmesine ilişkin bir davada şikayetten vazgeçmenin kamu davasını düşürmediğini, ancak karar tarihindeki katılma ve temyiz yetkisini etkilediğini belirtmiştir.7 Bu usul sonucu, her davadaki katılma ve kanun yolu koşulları incelenmeden genellenemez.

Türk Ceza Kanununun 140. maddesi, bu suçların işlenmesi dolayısıyla tüzel kişiler hakkında kendilerine özgü güvenlik tedbirlerinin uygulanabileceğini öngörür. Tüzel kişi hakkında ceza verilemez.8 Gerekli şartlar varsa faaliyet izninin iptali veya müsadere gibi TCK m.60'ta düzenlenen tedbirler gündeme gelebilir. Bu tedbirlerin uygulanması, gerçek kişi failin fiili ile tüzel kişinin faaliyeti arasındaki kanuni bağın kurulmasını gerektirir.

Tüzel kişi veri sorumlusunun idari sorumluluğu ile gerçek kişinin ceza sorumluluğu aynı değildir.9 Veri sorumlusunun erişim yetkilerini sınırlama, işlem kayıtlarını izleme ve gerekli güvenlik tedbirlerini alma yükümlülüğü, çalışanın ceza sorumluluğundan bağımsızdır. İdari yaptırımın muhatabı ile suçun faili bu nedenle farklı kişiler olabilir.

Kanunun 7. maddesi, hukuka uygun olarak işlenen kişisel verilerin işlenmesini gerektiren sebepler ortadan kalktığında verilerin resen veya ilgili kişinin talebi üzerine silinmesini, yok edilmesini veya anonim hale getirilmesini öngörür.1 Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmeliğe (İmha Yönetmeliği) göre yükümlülük, KVKK m.5 ve m.6'daki işleme şartlarının tamamının ortadan kalkmasıyla doğar. Verinin bir amaç bakımından artık gerekli olmaması, diğer işleme şartları incelenmeden bütün kopyaların imha edilmesi için tek başına yeterli değildir.2

Silme, yok etme ve anonim hale getirme aynı işlem değildir. Silme, kişisel verinin ilgili kullanıcılar için erişilemez ve yeniden kullanılamaz hale getirilmesidir.3 Yok etme, verinin hiç kimse tarafından erişilemez, geri getirilemez ve yeniden kullanılamaz hale gelmesini gerektirir.4 Anonim hale getirmede ise veri, başka verilerle eşleştirilse bile kimliği belirli veya belirlenebilir gerçek kişiyle ilişkilendirilememelidir.5

Kişisel Verileri Koruma Kurulu (Kurul) aksine karar vermedikçe veri sorumlusu resen silme, yok etme veya anonim hale getirme yöntemlerinden uygun olanını seçer. İlgili kişinin talebi üzerine seçim yapıldığında yöntemin gerekçesi açıklanmalıdır.6 Seçilen yöntem, verinin yedeklerde veya çoğaltılmış kayıtlarda bulunan kopyalarını da kapsamalıdır.7 Talebe konu kişisel veriler üçüncü kişilere aktarılmışsa ve bütün işleme şartları ortadan kalkmışsa, veri sorumlusu durumu üçüncü kişiye bildirmeli ve gerekli işlemlerin orada da yapılmasını sağlamalıdır.8

Yükümlülüğün yerine getirileceği süre veri sorumlusunun durumuna göre değişir. Kişisel veri saklama ve imha politikası hazırlamış olan veri sorumlusu, işlemi yükümlülüğün doğduğu tarihi izleyen ilk periyodik imhada gerçekleştirir. Periyodik imha aralığı altı ayı geçemez.9 Böyle bir politika hazırlamakla yükümlü olmayan veri sorumlusu ise silme, yok etme veya anonim hale getirme işlemini yükümlülüğün doğmasından itibaren üç ay içinde yapmalıdır.10

İlgili kişinin talebi farklı bir süre düzenine tabidir. İşleme şartlarının tamamı ortadan kalkmışsa talep en geç otuz gün içinde sonuçlandırılır. Şartlardan biri devam ediyorsa talep, ret gerekçesi açıklanarak reddedilebilir.11 Otuz günlük cevap süresi, periyodik imha veya üç aylık resen imha süreleriyle karıştırılmamalıdır.

Bütün silme, yok etme ve anonim hale getirme işlemleri kayıt altına alınmalı ve bu kayıtlar başka bir hukuki yükümlülük daha uzun süre gerektirmedikçe en az üç yıl saklanmalıdır.12 Bu kayıtlar, imha yükümlülüğünün hangi tarihte ve hangi yöntemle yerine getirildiğinin gösterilmesine yarar. Kayıt bulunmaması, TCK m.138'deki suçun bütün unsurlarının oluştuğu sonucuna varılması için tek başına yeterli değildir.13

Danıştay 10. Dairesi, periyodik ve resen imha düzeninin kişisel verilerin süresiz saklanmasını önlemeye yönelik olduğunu kabul etmiş ve İmha Yönetmeliğinin ilgili hükümlerine karşı açılan davayı reddetmiştir. Karşıoyda ise resen imha yönteminin hangi ölçütlere göre seçileceğinin ve bu seçimin nasıl denetleneceğinin düzenlenmediği gerekçesiyle Yönetmeliğin 7. maddesinin beşinci fıkrasının iptali gerektiği savunulmuştur.14 Kararda TCK m.138'e ilişkin açıklama davacının iddiası olarak yer almıştır. Daire, ceza sorumluluğunun maddi veya manevi unsurları hakkında hüküm kurmamıştır.

İmha Yönetmeliği, Kanunun 7. maddesindeki yükümlülüğün nasıl yerine getirileceğini ayrıntılandırır. Ceza sorumluluğu ise TCK m.138 ve kanunilik ilkesi çerçevesinde ayrıca incelenecektir.15

Kanunun 17. maddesinin ikinci fıkrası, 7. maddeye aykırı olarak kişisel verileri silmeyen veya anonim hale getirmeyenlerin TCK m.138'e göre cezalandırılacağını belirtir.1 Hüküm, birinci fıkradaki genel göndermeden farklı olarak KVKK m.7 ile belirli bir TCK hükmü arasında doğrudan bağlantı kurar. Bununla birlikte bağlantılı hükümlerin kullandığı kavramlar bütünüyle örtüşmez.

Kanunun 7. maddesi silme, yok etme ve anonim hale getirme olmak üzere üç ayrı yöntem sayar. İkinci fıkrada silmeme ve anonim hale getirmeme belirtilmiş, yok etmeme ifadesine yer verilmemiştir.2 TCK m.138 ise kanunların belirlediği süreler geçmiş olmasına rağmen sistem içinde bulunan verileri yok etmekle yükümlü kişinin görevini yerine getirmemesini suç sayar.3 Bu metin farkı nedeniyle KVKK m.17/2'deki silmeme ve anonim hale getirmeme fiillerinin TCK m.138'deki yok etmeme suçuyla örtüşüp örtüşmediği ayrıca değerlendirilmelidir.

Türk Ceza Kanununun 138. maddesi bakımından önce verinin hangi kanuni süre dolduktan sonra yok edilmesi gerektiği ve bu görevin hangi gerçek kişiye ait olduğu belirlenmelidir. Ardından verinin bu sürenin sonunda sistemde bulunmaya devam edip etmediği incelenecektir. Yükümlünün yok etme görevini kasten yerine getirmemiş olması da ayrıca aranacaktır.4 Tüzel kişinin veri sorumlusu olması, yönetim organının bütün üyelerinin veya bütün çalışanların fail sayılması için yeterli değildir. Kurum içindeki görev ve yetki dağılımı somut olarak gösterilmelidir.

İmha Yönetmeliği, silme, yok etme ve anonim hale getirmeyi ayrı yöntemler olarak tanımlar ve KVKK m.7 kapsamındaki süreleri somutlaştırır.5 Ancak Yönetmelik suç tanımını genişletemez. Yönetmelikteki bir sürenin aşılması, TCK m.138'deki suçun oluştuğu sonucuna varılması için tek başına yeterli değildir. Uygulanacak sürenin kanuni dayanağı ayrıca gösterilmelidir.6

Doktrindeki bir görüş, Kanunun 17. maddesinin ikinci fıkrasının TCK m.138'den ayrı bir suç oluşturduğunu kabul etmektedir. Bu görüşe göre TCK m.138'e yalnız ceza bakımından gönderme yapılmıştır. Cezalandırılan davranışlar KVKK m.7'deki silme, yok etme ve anonim hale getirme yükümlülüklerine göre belirlenmektedir. Veri sorumlusu gerçek kişiyse kendisinin, tüzel kişiyse bu görevi üstlenen organ veya temsilcilerin fail olabileceği savunulmaktadır.7

KVKK m.17/2'de TCK m.138'e yalnız ceza miktarı bakımından gönderme yapıldığı açıkça belirtilmemiştir. İkinci fıkrada silmeme ve anonim hale getirmeme, TCK m.138'de ise yok etme görevinin yerine getirilmemesi esas alınmıştır. Bu lafız farkı, kişisel verileri yok etmeyen kişi hakkında TCK m.138'in uygulanıp uygulanmayacağı sorununu ortaya çıkarmaktadır.13

Ayrı suç görüşü benimsenirse cezalandırılan davranış ile suçun tamamlanma anı KVKK m.7'deki imha yükümlülüğüne göre belirlenecektir.14 Kanunun ikinci fıkrası TCK m.138'e gönderme olarak uygulandığında ise bu maddede aranan kanuni sürenin dolması ve yok etme görevinin kasten yerine getirilmemesi şartları incelenecektir.158 Ceza sorumluluğu her iki halde de kıyas yoluyla genişletilemez.9

Verileri yok etmeme suçu, yok etme yükümlülüğünün süresinde yerine getirilmemesiyle tamamlanır ve ayrıca bir zararın doğmasını gerektirmez. Verinin daha sonra yok edilmesi, daha önce tamamlanmış suçun varlığını ortadan kaldırmaz. İlgili kişinin verinin saklanmasına sonradan rıza göstermesi de kanundan doğan yok etme görevini sona erdirmez.10 Bu değerlendirmelerin yapılabilmesi için önce yok etme yükümlülüğünün bulunduğu ve kanuni sürenin dolduğu belirlenmelidir.

Ceza Muhakemesi Kanununa göre ortadan kaldırılması veya yok edilmesi gereken veriler bakımından TCK m.138/2 ayrıca ceza artırımını öngörür.11 KVKK m.28/1-d, soruşturma, kovuşturma, yargılama veya infaz işlemleri kapsamında yargı makamları veya infaz mercileri tarafından işlenen verileri KVKK'nin uygulama alanı dışında bırakır. Bu istisna yalnız KVKK'nin uygulama alanına ilişkindir. TCK m.138/2'nin uygulanıp uygulanmayacağı kendi şartlarına göre ayrıca değerlendirilecektir. Kanunun 28. maddesinin ikinci fıkrasındaki sınırlı istisnalar ise yalnız m.10, m.11 ve m.16'ya yöneliktir. Kanunun 17. maddesi bu listede yer almaz.12

Kişisel verilerle ilgili aynı olay, Kurulun idari incelemesine ve ceza soruşturmasına konu olabilir.1 Kurul, veri sorumlusunun KVKK'den doğan yükümlülüklerini ve idari yaptırım koşullarını inceler. Ceza soruşturmasında ise belirli bir gerçek kişinin fiilinin TCK'deki bir suçun unsurlarını oluşturup oluşturmadığı ve kişinin kusuru araştırılır.2

Kurulun 2020/124 sayılı kararında, bir hava yolu çalışanının yolcu kayıtlarında yaptığı sorgular nedeniyle veri sorumlusunun erişim sınırları, eğitimleri, izleme sistemi ve log denetimi ele alınmıştır. Kurul, veri sorumlusunun güvenlik tedbirlerini yetersiz bulmuş, fakat çalışan hakkında TCK m.135-140 kapsamında devam eden soruşturma bulunduğu için ayrıca suç bildirimine gerek görmemiştir.3

Kurulun 2021/32 sayılı kararı da banka çalışanının müşteri verilerini boşanma davasında kullanması olayında bankanın veri güvenliği yükümlülüğünü incelemiştir. Gerçek kişinin eyleminin ceza hukuku bakımından ayrıca değerlendirilmesi gerektiği belirtilmiştir.4

İdari yaptırım ile ceza yaptırımı birlikte gündeme geldiğinde, aynı kişiye aynı fiil için mi yoksa farklı kişilerin ayrı yükümlülük ihlalleri için mi yaptırım uygulandığı belirlenmelidir. Aynı fiilin aynı kişi bakımından hem suç hem kabahat oluşturması durumunda Kabahatler Kanunu m.15/3 uygulanır.5 Buna karşılık çalışan tarafından işlendiği ileri sürülen suç ile tüzel kişi veri sorumlusunun ayrı güvenlik yükümlülüğüne aykırılığı, farklı kişilere ve farklı fiillere dayanabilir.6 Bu ikinci durumda sorun, aynı kişinin aynı fiil nedeniyle iki kez cezalandırılmasından ibaret değildir.

Kurul, gerçek kişinin fiiline ilişkin suç iddiası ile veri sorumlusunun idari yükümlülüğünü başka kararlarında da ayırmıştır. Valilik çalışanına ilişkin 2020/226 sayılı kararda suç iddiasının ceza muhakemesi makamlarınca değerlendirilmesi gerektiği belirtilmiş, veri sorumlusunun disiplin soruşturması sırasında gerçekleştirdiği işleme faaliyeti ayrıca incelenmiştir.7 MEDULA kayıtlarının üçüncü kişi tarafından kullanıldığı 2020/355 sayılı kararda ise eczanenin güvenlik tedbirleri idari yönden değerlendirilmiş ve gerçek kişi hakkında savcılığa bildirim yapılmasına karar verilmiştir.8

Kurul, bu dört kararda veri sorumlusunun idari yükümlülüklerini incelemiş, gerçek kişi hakkında suçun oluşup oluşmadığına karar vermemiştir.17

Cumhuriyet savcısı, suç işlendiği izlenimini veren bir hali öğrendiğinde gerçeği araştırmalı, şüphelinin lehine ve aleyhine delilleri toplamalıdır.9 İlgili kişi, kişisel verilerine hukuka aykırı biçimde müdahale edildiğine ilişkin iddiasını somut olgularla temellendirdiğinde, bu iddianın etkili biçimde araştırılması kişisel verilerin korunmasını isteme hakkının usul güvencelerinden biridir. Soruşturma, olayın aydınlatılması için gerekli delilleri toplamalı ve ulaşılan sonucu ilgili ve yeterli bir gerekçeyle açıklamalıdır. Bununla birlikte her ihbarın kamu davası veya mahkumiyetle sonuçlanması gerekmez.10

Anayasa Mahkemesi, sağlık kayıtlarının eş tarafından nasıl elde edildiği, hangi sistem ve şifrenin kullanıldığı, bir hastane çalışanının rolü ve rızanın bulunup bulunmadığı araştırılmadan verilen kovuşturmama kararını yetersiz bulmuştur. Mahkeme, eşlerin birbirinin sağlık bilgilerine erişebileceği yönündeki kabulün kanuni dayanağının gösterilmediğini belirtmiştir. Bu gerekçeyle kovuşturmama kararındaki yaklaşımı kişisel verilerin korunmasını isteme hakkına uygun bulmamıştır.11

Yıllar önce düzenlenmiş bir psikiyatri raporunun ergin hastanın annesine verilmesine ilişkin başka bir kararda, belge aktarımının gerekli olup olmadığı, acil bir durumun bulunup bulunmadığı ve daha hafif bir yolun neden tercih edilmediği tartışılmamıştır. Anayasa Mahkemesi bu eksiklikler nedeniyle kişisel verilerin korunmasını isteme hakkının ihlal edildiğine karar vermiştir.12

Banka hesap hareketlerinin işveren tarafından elde edildiği iddiasında şüphelinin ifadesi, tanık anlatımı, banka kayıtları ve bağlantılı dosyadaki deliller toplanmadan kovuşturmama kararı verilmesi de etkili soruşturma yükümlülüğünü karşılamamıştır.13 Özel nitelikli kişisel veriler içeren belgelerin bir hukuk davasında kullanılmasına ilişkin kararda ise belgelerin nasıl elde edildiği, ne kadar süre tutulduğu ve daha ölçülü bir yolun bulunup bulunmadığı araştırılmadan yalnız savunma hakkına dayanılması yeterli görülmemiştir.14

Bu bireysel başvuru kararlarının konusu, kişisel veriye yapılan müdahalenin etkili biçimde araştırılıp araştırılmadığı ve müdahalenin gerekli ve ölçülü olup olmadığıdır. Anayasa Mahkemesi, gerçek kişilerin ceza sorumluluğu hakkında hüküm kurmamıştır.18

Delil elde etme amacı, kişisel veriye yapılan müdahaleyi her durumda hukuka uygun hale getirmez. Müdahalenin gerekli olup olmadığı, ağırlığı ve daha hafif bir yolla aynı sonuca ulaşılıp ulaşılamayacağı somut olayda incelenecektir. Aynı değerlendirme savunma hakkı için de geçerlidir. Savunma hakkı hukuka uygunluk değerlendirmesinde dikkate alınacak, fakat somut müdahalenin gerekli ve ölçülü olduğunu tek başına göstermeyecektir.15

Kurumsal erişim yetkisinin hizmet amacı dışında kullanılması, disiplin hukuku ve ceza hukuku bakımından farklı sonuçlar doğurabilir. Anayasa Mahkemesi bir disiplin kuralını incelerken sisteme erişim imkanının hiç bulunmaması ile mevcut yetkinin hizmet amacı dışında kullanılmasını birbirinden ayırmıştır. Disiplin hukukundaki bu ayrımdan hareketle TCK m.136'daki ele geçirme unsurunun gerçekleştiği sonucuna varılamaz.16

2008 tarihli 1/576 sayılı Kanun Tasarısı, kişisel verilere ilişkin ceza hükümlerini bugünkü maddeden farklı bir yapıda düzenlemişti. Tasarının 34. maddesi, kişisel verilerin hukuka aykırı işlenmesini ve açıklanmasını fiil gruplarına ayırarak TCK m.135-138'e göndermişti. Tasarının 35. maddesi ise verilerin muhafazasında veya kanuni süre geçtikten sonra sistemden yok edilmesinde ihmali bulunan kişilerin TCK m.138'e göre cezalandırılmasını ayrıca öngörüyordu.1

Bu tasarının gerekçesi, 34. maddenin TCK m.135 ve devamındaki hükümlere paralel kurulduğunu belirtmiştir. Tasarının 35. maddesinin gerekçesinde ise silinmesi veya yok edilmesi gereken verilerin ihmalen silinmemesinden veya yok edilmemesinden söz edilmiştir.2 Tasarının 35. maddesi kanunlaşmamıştır. Gerekçedeki ihmal açıklaması, yürürlükteki Kanunun 17. maddesinin manevi unsurunu belirlemek için kullanılamaz.

2014 tarihli 1/1009 sayılı Kanun Tasarısının 16. maddesi dört fıkradan oluşuyordu. İlk fıkra kişisel veriyi ele geçirme, kaydetme, bir başkasına verme, yayma veya yok etmeme fiillerini TCK'nin ilgili hükümlerine bağlıyordu. İkinci fıkrada depolama, muhafaza, değiştirme, yeniden düzenleme, açıklama, elde edilebilir hale getirme, sınıflandırma, kullanmayı engelleme ve üçüncü kişiye aktarma gibi geniş bir işlem listesi TCK m.135'e yöneltilmişti. Üçüncü fıkra m.7'ye aykırı silmeme veya anonim hale getirmemeyi TCK m.138'e bağlıyor, dördüncü fıkra ise suçun tüzel kişinin faaliyeti çerçevesinde işlenmesi halinde tüzel kişiye özgü güvenlik tedbirlerini öngörüyordu.3

2014 Tasarısındaki geniş işlem listesi yürürlükteki metne alınmamıştır. Tasarının 16. maddesinin gerekçesi, kişisel verilerin hukuka aykırı işlenmesi fiillerinin TCK hükümleri gözetilerek yaptırıma bağlandığını söylemekle yetinmiş, ayrı fıkraların suç unsurlarını açıklamamıştır. Bu nedenle Tasarıda sayılan işleme türleri, yürürlükteki TCK m.135'in hareket unsuruna dahil edilemez.4

2016 tarihli 1/541 sayılı Kanun Tasarısı, bugünkü iki fıkralı yapıyı benimsemiştir. İlk fıkrada TCK m.135-140'a genel gönderme yapılmış, ikinci fıkrada Tasarının 7. maddesine aykırı silmeme veya anonim hale getirmeme TCK m.138'e bağlanmıştır.5 Alt Komisyon bu yapıyı korumuştur. Adalet Komisyonu, ikinci fıkradaki “Türk Ceza Kanununun” sözünü “5237 sayılı Kanunun” olarak değiştirmiş, gönderme yapılan maddeyi değiştirmemiştir.6

1/541 sayılı Kanun Tasarısının gerekçesi, kişisel verilere ilişkin suçların ve cezai yaptırımların TCK'nin ilgili hükümlerine atıfla düzenlendiğini belirtmiştir. İkinci fıkra bakımından da verileri silmeyen veya anonim hale getirmeyenlerin TCK m.138'e göre cezalandırılmasının öngörüldüğünü söylemiştir.7 Gerekçe, silme, anonim hale getirme ve yok etme kavramları arasındaki farkı veya TCK m.138'deki süre ve yükümlü sorununu açıklamamıştır.

Kanunlaşan 17. madde, 1/541 sayılı Tasarıdaki iki fıkralı yapıyı korumuştur.8 Hüküm, Kanunun yayımından altı ay sonra 7 Ekim 2016'da yürürlüğe girmiştir.9 TCK m.135/2'de 6698 sayılı Kanunla yapılan değişiklik ise yayım tarihinde, 7 Nisan 2016'da yürürlüğe girmiştir.10 Bu nedenle 17. maddenin yürürlüğe girdiği tarihte TCK m.135/2'nin değiştirilmiş hali yürürlükteydi.

2008 ve 2014 tasarılarındaki geniş veri işleme listesi, 1/541 sayılı Tasarıda terk edilerek TCK'nin mevcut suç tanımlarına genel gönderme yapılmıştır.11 Kanunlaşmayan tasarı hükümleri, yürürlükteki suçun hareketini veya manevi unsurunu belirleyemez.12