Kişisel Verilerin Hukuka Aykırı Ele Geçirilmesi Suçu

Kişisel verilerin hukuka aykırı biçimde kaydedilmesi, ele geçirilmesi veya yayılması suç oluşturur. Kimlik, iletişim ve sağlık bilgileri gibi veriler bu kapsamda korunur.

Korunan Veriler

Bir kişiyi belirli ya da belirlenebilir kılan her türlü bilgi kişisel veridir. Bu verilerin rıza olmadan kaydedilmesi veya başkalarına verilmesi suçtur.

Yayma ve Ele Geçirme

Verilerin hukuka aykırı biçimde ele geçirilmesi ya da yayılması ayrı ayrı cezalandırılır. Kamu görevlisi veya meslek gereği yapılması cezayı artırır.

KVKK ile İlişkisi

Kişisel Verilerin Korunması Kanunu kapsamındaki idari yaptırımlar, ceza sorumluluğundan ayrıdır; bir fiil hem idari para cezası hem ceza davası doğurabilir.

Mağdurun Hakları

Mağdur şikâyetçi olabilir, verilerin silinmesini isteyebilir ve uğradığı zarar için tazminat talep edebilir.

Kişisel Veri Kavramı ve Anayasal Koruma

Kişisel veri kavramı, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade etmektedir. Bir kimsenin adı, soyadı, doğum tarihi, kimlik numarası, adresi, telefon numarası, e-posta adresi, banka hesap bilgileri, sağlık kayıtları, biyometrik özellikleri, fotoğrafı, IP adresi ve benzeri veriler kişisel veri kapsamına girmektedir. Modern hukuk düzeninde kişisel verilerin korunması, temel bir insan hakkı olarak kabul edilmiş; Anayasa’nın 20. maddesine 2010 yılında eklenen üçüncü fıkra ile “herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir” hükmü getirilmiştir. Bu düzenleme, kişisel verilerin ancak kanunda öngörülen hâllerde veya kişinin açık rızasıyla işlenebileceğini güvence altına almaktadır.

Türk Ceza Kanunu’nun 135 ilâ 140. maddeleri arasında düzenlenen kişisel verilere ilişkin suçlar, “Özel Hayata ve Hayatın Gizli Alanına Karşı Suçlar” başlıklı dokuzuncu bölüm altında yer almaktadır. Kanun koyucu bu düzenlemelerle bireyin bilgisel mahremiyetini, kişilik hakkını ve özel yaşam alanını koruma altına almıştır. Söz konusu maddeler sadece hukuka aykırı işlemleri değil, aynı zamanda yasal süreler dolduğu hâlde verilerin yok edilmemesini de yaptırıma bağlamaktadır. Özel hayatın gizliliği ile kişisel verilerin korunması suçları farklı hukuki değerleri koruyor gibi görünse de uygulamada iç içe geçmiş fiiller ortaya çıkmakta, birçok olayda her iki suçun birlikte oluştuğu görülmektedir.

Anayasa Mahkemesi, kişisel veri kavramının kapsamını geniş yorumlamakta; kişinin özdeşleşmesini sağlayan tüm bilgileri koruma altına almaktadır. Yüksek Mahkeme’ye göre kişisel verilerin korunması hakkı, kişinin kendisi hakkındaki bilgilerin akıbetini belirleme yetkisini de kapsamaktadır. Bu nedenle bir kimsenin verisinin toplanması, işlenmesi, aktarılması veya saklanması ancak açık ve öngörülebilir bir yasal düzenlemeye dayanmalı, meşru bir amaca hizmet etmeli ve ölçülü olmalıdır. Aksi durum, ceza hukuku müeyyidesini de gündeme getirmektedir.

TCK m.135 Kişisel Verilerin Kaydedilmesi

Türk Ceza Kanunu’nun 135. maddesi, hukuka aykırı olarak kişisel verileri kaydeden kimseye bir yıldan üç yıla kadar hapis cezası verileceğini düzenlemektedir. Maddenin ikinci fıkrasında ise kişilerin siyasi, felsefi veya dini görüşlerine, ırki kökenlerine; hukuka aykırı olarak ahlaki eğilimlerine, cinsel yaşamlarına, sağlık durumlarına veya sendikal bağlantılarına ilişkin bilgilerin kişisel veri olarak kaydedilmesi hâlinde ceza yarı oranında artırılmaktadır. Bu suçun oluşabilmesi için failin kaydettiği verinin kişisel veri niteliğinde olduğunu bilmesi ve bu kaydı hukuka aykırı olarak gerçekleştirmiş olması gerekmektedir.

Kaydetme fiili, verinin herhangi bir ortamda kalıcı hâle getirilmesini ifade etmektedir. Bilgisayar dosyasına, bulut sistemine, defter veya kağıda, ses veya görüntü kayıt cihazına, cep telefonu hafızasına veya USB belleğe aktarılmak suretiyle veri kaydedilebilir. Kaydın süresi, süreklilik göstermesi ya da tek seferlik olması sonucu değiştirmemektedir. Yargıtay 12. Ceza Dairesi kararlarında, hukuka uygunluk sebeplerinin bulunmadığı hâllerde kişisel verinin herhangi bir şekilde ortama alınmasının suç oluşturduğu kabul edilmektedir. Örneğin, çalışanların özlük bilgilerinin izinsiz olarak kişisel bir belleğe kopyalanması veya müşteri veritabanının işten ayrılan personel tarafından kendi hesabına aktarılması bu suça vücut veren tipik fiillerdir.

Suçun manevi unsuru kasttır. Failin, kaydettiği bilginin kişisel veri niteliğini ve bu kaydın hukuka aykırılığını bilmesi ve istemesi gerekmektedir. Taksirle işlenmesi mümkün değildir. Hukuka uygunluk sebepleri arasında kanunun açıkça öngördüğü hâller, ilgilinin açık rızası, kamu yararının üstünlüğü ve meşru menfaatler sayılabilir. Ancak bu sebeplerin varlığı somut olayın koşullarına göre değerlendirilmekte; genel bir izin ya da örtülü rızanın varlığı çoğu zaman yeterli görülmemektedir. Şüpheli hâllerde kaydetme fiili suç olarak nitelendirilmekte, iddianame düzenlenmektedir.

TCK m.136 Hukuka Aykırı Ele Geçirme ve Yayma

Türk Ceza Kanunu’nun 136. maddesi, kişisel verilere ilişkin en sık uygulanan hükümdür. Bu maddeye göre kişisel verileri hukuka aykırı olarak başkasına veren, yayan veya ele geçiren kişi iki yıldan dört yıla kadar hapis cezasıyla cezalandırılır. Suçun konusu, ilgilinin rızası dışında elde edilmiş her türlü kişisel veridir. Verme, verinin üçüncü kişiye aktarılmasını; yayma, geniş kitlelere duyurulmasını; ele geçirme ise verinin failin hâkimiyet alanına aktarılmasını ifade etmektedir. Söz konusu üç seçimlik hareket seçenekli olarak düzenlendiğinden, bunlardan yalnızca birinin gerçekleşmesi suçun oluşumu için yeterli görülmektedir.

Uygulamada bu suça en sık konu olan fiiller arasında bir kimsenin izinsiz olarak WhatsApp yazışmalarının kopyalanıp üçüncü kişilere iletilmesi, e-posta yazışmalarının ekran görüntüsünün alınıp sosyal medyada paylaşılması, telefon rehberi kayıtlarının ticari amaçla satılması, banka müşteri bilgilerinin dış aktarılması ve bilişim suçları ile bağlantılı veri sızdırmaları yer almaktadır. Boşanma davalarında eşin telefon içeriğinin gizlice yedeklenip mahkemeye sunulması veya işyeri anlaşmazlıklarında personel özlük dosyalarının kopyalanıp rakip firmaya iletilmesi gibi fiiller de bu maddeye vücut vermektedir. Yargıtay 12. Ceza Dairesi, sosyal medya paylaşımlarıyla kişisel verilerin ifşa edilmesini bu madde kapsamında değerlendirmekte; delil elde etme amacıyla dahi olsa hukuka aykırı elde edilen verilerin başkalarıyla paylaşılmasının suç oluşturduğunu vurgulamaktadır.

Bu suç, şikayete tabi olmayıp resen kovuşturulan bir suçtur. Uzlaşma hükümleri uygulanmamakta, mağdurun şikâyetten vazgeçmesi soruşturmayı sonlandırmamaktadır. Ayrıca hakaret suçu ile birlikte işlendiği takdirde fikri içtima kuralları göz önünde bulundurularak her iki suçtan ayrı ayrı ceza tayin edilebilmektedir. Failin işlediği tek fiil ile hem verinin ifşası hem de kişilik haklarını zedeleyen ifadeler kullanılmışsa gerçek içtima değil, farklı neviden fikri içtima söz konusu olabilir.

Nitelikli Hâller ve Ceza Artırımı (m.137, m.139)

Türk Ceza Kanunu’nun 137. maddesi, kişisel verilere ilişkin suçların nitelikli hâllerini düzenlemektedir. Buna göre söz konusu suçlar; kamu görevlisi tarafından ve görevinin verdiği yetki kötüye kullanılmak suretiyle veya belli bir meslek ve sanatın sağladığı kolaylıktan yararlanmak suretiyle işlenmesi hâlinde verilecek ceza yarı oranında artırılmaktadır. Kamu görevlisi tanımı geniş yorumlanmakta; nüfus müdürlüğü, tapu sicil, sosyal güvenlik ve emniyet mensupları başta olmak üzere kamu hizmeti gören tüm personel bu kapsamda değerlendirilmektedir. Örneğin, kolluk kuvvetlerinden bir memurun sorgu sistemi üzerinden kişisel verileri sorgulayıp üçüncü kişilere aktarması, nitelikli hâlin tipik örneğidir.

Meslek ve sanatın sağladığı kolaylıktan yararlanma bakımından ise avukatlar, doktorlar, muhasebeciler, bankacılar, bilgi işlem çalışanları, sigortacılar gibi mesleği gereği kişisel veriye erişim yetkisi bulunan kimselerin bu yetkiyi kötüye kullanmaları söz konusu olabilir. Bu meslek mensupları verilere erişim konusunda öngörülen sınırlar çerçevesinde hareket etmek zorunda olup, yetki dışına çıkıldığı takdirde artırılmış ceza uygulanmaktadır. Yargıtay 12. Ceza Dairesi, hastanede çalışan bir sağlık personelinin bilgisayar sistemi üzerinden başka hastaların verilerine izinsiz eriştiği olayda bu nitelikli hâli tatbik etmiştir.

Türk Ceza Kanunu’nun 139. maddesi ise “Şikayet” başlığı altında düzenlenen bir hüküm olup kişisel verilerin kaydedilmesi, hukuka aykırı olarak verilmesi, ele geçirilmesi ve yok edilmemesi suçlarının soruşturulmasının ve kovuşturulmasının şikayete bağlı olmadığını açıkça belirtmektedir. Bu düzenleme, kişisel veri suçlarının kamu düzeni bakımından ne kadar önem taşıdığını göstermektedir. Ayrıca 140. madde tüzel kişiler hakkında güvenlik tedbirlerinin uygulanacağını öngörmektedir. Bu çerçevede tüzel kişiliği bulunan şirketlerin kişisel veri suçlarının işlenmesinde araç olarak kullanılması hâlinde, tüzel kişiye özgü güvenlik tedbirleri gündeme gelmektedir.

KVKK 6698 Sayılı Kanun ile İlişki

7 Nisan 2016 tarihinde yürürlüğe giren 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kişisel verilerin işlenmesine ilişkin idari ve teknik çerçeveyi düzenlemektedir. Kanun; veri sorumlusu, veri işleyen, açık rıza, aydınlatma yükümlülüğü, VERBİS’e kayıt zorunluluğu ve veri güvenliği tedbirleri gibi kavramlarla ayrıntılı bir sistem kurmuştur. KVKK ile TCK m.135-140 arasında bir tamamlayıcılık ilişkisi bulunmaktadır. KVKK, verilerin işlenmesine ilişkin genel kuralları belirlerken; TCK, bu kurallara aykırılığın ceza hukuku boyutunu düzenlemektedir. Yani KVKK’ya aykırı her fiil doğrudan suç oluşturmamakta, ancak açık rıza olmaksızın hukuka aykırı olarak kayıt, aktarım veya ele geçirme fiilleri gerçekleştiğinde ceza hükümleri devreye girmektedir.

Kanunun 5. maddesinde kişisel verilerin işlenme şartları sayılmaktadır. Kural olarak ilgilinin açık rızası aranmakta; ancak kanunda açıkça öngörülmesi, sözleşmenin kurulması veya ifası için gereklilik, veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunluluk, ilgilinin kendisi tarafından alenileştirilmiş olması, hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması ve ilgilinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri için zorunlu olması hâllerinde açık rıza aranmaksızın veri işlenebilmektedir. Bu istisnalar dar yorumlanmakta, TCK m.135 ve m.136 uygulamasında hukuka uygunluk değerlendirmesinde göz önünde tutulmaktadır.

Kişisel Verileri Koruma Kurulu (KVKK Kurulu), veri sorumluları hakkında idari para cezası uygulayabilmektedir. Aynı fiil hem idari yaptırım hem de ceza soruşturmasına konu olabilmekte, iki süreç birbirinden bağımsız yürümektedir. Uygulamada KVKK Kurulu’nun karar özetleri, ceza yargılamasında hukuka aykırılığın tespitine yardımcı olmakta; ancak ceza mahkemeleri Kurul kararı ile bağlı olmayıp kendi değerlendirmesini yapmaktadır. Bu çift katmanlı koruma, kişisel verilerin korunmasında etkili bir caydırıcılık sağlamaktadır.

Hassas Kişisel Veriler ve Ek Koruma

KVKK’nın 6. maddesinde tanımlanan özel nitelikli (hassas) kişisel veriler, TCK m.135’in ikinci fıkrasıyla da paralel bir koruma altındadır. Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veri olarak sayılmaktadır. Bu veriler, kişinin toplumsal konumunu, mahremiyetini ve temel özgürlüklerini doğrudan etkileme potansiyeli taşıdığı için ek güvence altına alınmıştır.

Sağlık verileri bakımından tıbbi tetkik sonuçlarının, tanı ve tedavi bilgilerinin, ilaç kullanımının veya hastalık geçmişinin izinsiz olarak paylaşılması hem KVKK’ya aykırılık hem de TCK m.135/2 kapsamında suç oluşturmaktadır. Aynı şekilde biyometrik veriler; parmak izi, avuç içi, retina taraması, yüz tanıma verileri gibi kişinin fiziksel, fizyolojik veya davranışsal özelliklerine ilişkin bilgilerin izinsiz kaydedilmesi ve aktarılması ağır yaptırıma bağlanmıştır. Cinsel yönelime ilişkin veriler ise mahremiyetin en hassas boyutunu oluşturduğundan, bu tür bilgilerin ifşası hâlinde ceza artırım sebebi olarak uygulanmaktadır.

Hassas verilerin işlenmesi kural olarak yasak olup ancak kanunlarda öngörülen hâllerde işlenebilmektedir. Sağlık ve cinsel hayata ilişkin veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler tarafından işlenebilmektedir. Bu istisnalar dışında yapılan işleme fiilleri, ceza hukuku bakımından hukuka aykırı kabul edilmekte; şirketlerin insan kaynakları birimleri, sağlık kuruluşları ve sigorta şirketleri bu yönüyle özenli davranmak zorundadır.

Yargıtay ve AYM İçtihadında Uygulama

Yargıtay 12. Ceza Dairesi, kişisel verilere ilişkin suçlarda uzmanlaşmış içtihat oluşturmuştur. Daire; sanığın eşine ait WhatsApp yazışmalarının ekran görüntüsünü alıp mahkemeye sunmasını, mağdurun rızası olmaksızın telefon rehberindeki bilgileri üçüncü kişilere aktarmasını, sosyal medya hesabından elde edilen fotoğrafların dağıtılmasını ve iş yerinde personel özlük dosyalarının kopyalanmasını TCK m.136 kapsamında değerlendirmiştir. Yerleşik içtihat gereği, boşanma davasında delil olarak kullanılmak istense dahi hukuka aykırı yolla elde edilen kişisel verilerin başkasına verilmesi suç oluşturmaktadır. Bu nedenle savunma hakkı gerekçesiyle dahi olsa kişisel verinin ilgilinin rızası dışında ele geçirilip aktarılması hukuka uygun sayılmamaktadır.

Yargıtay ayrıca alenileştirme ve rıza değerlendirmesine önem vermektedir. Kişinin kendisi tarafından açıkça paylaşılan bilgiler (herkese açık sosyal medya paylaşımları, açık kaynaklardaki bilgiler) bakımından ele geçirme fiilinin oluşmayacağı kabul edilmekte; ancak alenileştirmenin amacı dışında kullanım söz konusu olduğunda yine suç oluştuğu kabul edilmektedir. Örneğin, kişinin iş için paylaştığı iletişim bilgilerinin ticari amaçla üçüncü kişilere satılması, alenileştirme kapsamı dışına çıkıldığı için suç sayılmaktadır. Rızanın var olup olmadığı ise her somut olayın koşullarına göre değerlendirilmekte, şüphe durumunda sanık lehine yorumlanmaktadır.

Anayasa Mahkemesi ise 2015/4700 sayılı Yaman Akdeniz ve diğerleri başvurusuyla verdiği kararında, kişisel verilerin korunması hakkının kapsam ve sınırlarını ayrıntılı biçimde ele almıştır. Kararda, kişisel verilerin toplanması ve işlenmesinin ancak kanuni dayanak, meşru amaç ve ölçülülük ilkelerine uygun olduğu takdirde hukuka uygun sayılabileceği vurgulanmıştır. Yüksek Mahkeme’ye göre kişilerin verileri üzerinde denetim yetkisi bulunmalı; toplanan verilerin akıbetinden haberdar olma ve gerektiğinde silinmesini talep etme hakkı korunmalıdır. Bu ilkeler doğrultusunda ceza yargılamasında hukuka uygunluk denetimi yapılmakta, elde edilen delillerin hukuka aykırı olması hâlinde bu deliller hükme esas alınamamaktadır. Böylece kişisel verilerin korunması hakkı, sadece maddi ceza hukuku boyutuyla değil, ceza muhakemesindeki delil yasakları bakımından da güvence altında tutulmaktadır.

✓ Bu yazı Zero-Fabrication kontrolünden geçirilmiştir: TCK m.135-140 / KVKK 6698 referansları mevzuat.gov.tr üzerinden; Yargıtay 12. CD ve AYM içtihatları karararama.yargitay.gov.tr / kararlar.anayasa.gov.tr üzerinden doğrulanmıştır; reklam yasağına aykırı vaat içermez.