20. İdari yaptırımlar ve yargısal denetim

Bir şirketin müşteri verilerini hukuka aykırı açıkladığı ve Kurulun hem para cezası verdiği hem de aykırılığın giderilmesini istediği varsayılsın. Şirketin yaptırımın kaldırılmasına yönelik itirazı ile müşterinin korunma talebi aynı hukuki soruya dayanmaz. İhlalin giderilmesi, cezalandırma ve yargısal denetim kendi koşulları içinde ele alınmalıdır.⁸

Bu bölüm önce kabahatin kanuni dayanağını, sorumluluğun kime ve hangi fiile bağlanacağını ve cezanın nasıl belirleneceğini açıklamaktadır. Kamu kurumlarındaki disiplin yolu ayrıldıktan sonra görevli yargı yeri, dava koşulları ve Kurul işleminin denetimi incelenmektedir. AYM ve AİHM başvuruları ise olağan dava yollarından farklı kabul koşulları ve temel hak incelemesi içinde ele alınmaktadır. Aynı karar belgesindeki her sonucun ayrı teşhis edilmesi, korunma yolunun doğru kurulmasının başlangıcıdır.

20.1. Yükümlülükler ve kabahatler arasındaki ilişki; kanunilik

Kişisel verilerin korunması hukukunda bir yükümlülüğün ihlal edilmesi ile bu ihlal nedeniyle idari para cezası uygulanabilmesi ayrı sorulardır. Birincisinde davranışın veri koruma kurallarına uygunluğu, ikincisinde ise yaptırımın kanuni dayanağı araştırılır. Kabahatler Kanunu, kabahati kanunun karşılığında idari yaptırım uygulanmasını öngördüğü haksızlık olarak tanımlar. Bu nedenle, kişisel veri işleme faaliyetindeki her hukuka aykırılık, yalnızca hukuka aykırı olduğu için aynı kabahat tipine yerleştirilemez. Yaptırım uygulanırken hangi yükümlülüğün hangi fiille ihlal edildiğinin ve bu fiilin hangi kanuni yaptırım hükmü kapsamında kaldığının gösterilmesi gerekir.¹

6698 sayılı Kanun’un 18. maddesi, idari para cezasına bağlanan yükümlülükleri ayrı bentlerde düzenlemiştir. Maddenin birinci fıkrasının (a) bendi 10. maddedeki aydınlatma yükümlülüğüne; (b) bendi 12. maddedeki veri güvenliği yükümlülüklerine; (c) bendi 15. madde uyarınca verilen Kurul kararlarının yerine getirilmesine; (ç) bendi 16. maddedeki Sicile kayıt ve bildirim yükümlülüğüne ilişkindir. 2024 değişikliğiyle eklenen (d) bendi ise 9. maddenin beşinci fıkrasındaki standart sözleşmenin Kuruma bildirilmesi yükümlülüğünü yaptırıma bağlar. Son bent, yurt dışına aktarımın bütün hukuka uygunluk şartlarını tek bir bildirim kabahatine dönüştürmez; standart sözleşmenin imzalanmasından itibaren beş iş günü içinde bildirilmesiyle ilgili özel yükümlülüğe yönelir.²

Bu bentlerin uygulanması, atıf yapılan maddelerin de okunmasını gerektirir. Örneğin 12. madde, yalnızca teknik bir saldırı sonrasında ortaya çıkan veri kaybını düzenlemez. Hukuka aykırı işlemeyi ve erişimi önlemeye, verileri muhafaza etmeye yönelik gerekli teknik ve idari tedbirler yanında denetim, açıklamama ve ihlal bildirimiyle ilgili yükümlülükler de bu maddede yer alır. Buna karşılık, 18. maddenin (b) bendine dayanılabilmesi için somut olayın 12. maddedeki hangi yükümlülükle ilişkilendirildiği açıklanmalıdır. Temel ilkelere veya işleme şartlarına aykırılığın belirtilmesi, bu bağlantının gerekçelendirilmesinin yerini tutmaz. Aynı şekilde bir olayda verilerin üçüncü kişinin eline geçmiş olması, sorumluluğun bütün diğer koşullarının araştırılmasını gereksiz kılmaz.³

Aydınlatma bakımından da yükümlülük ile kabahat tipinin bağlantısı önemlidir. İlgili kişiye bilgi verilmesi, işlemenin hukuki sebebini açıklamayı da kapsar; fakat bilgi verilmesi, var olmayan bir işleme şartını yaratmaz. Tersinden, bir işleme şartının bulunması da aydınlatma yükümlülüğünün gereği gibi yerine getirildiğini tek başına göstermez. Örneğin bir şirketin verileri sözleşmenin ifası için işlemesi ile müşterisine hangi amaçlarla, hangi hukuki sebeple ve kimlere aktarım yapılacağı konusunda gerekli bilgileri vermesi farklı değerlendirmelerdir. Olayın her iki yönü incelenebilir; bunlardan birindeki eksiklik, diğer yükümlülüğün ihlal edildiğinin gerekçesi olarak kendiliğinden kullanılamaz.⁴

Kanunilik, idarenin veri koruma alanındaki uzmanlığını hukuki sınırlar içinde kullanmasını sağlar. Anayasa’nın 38. maddesinde suç ve cezalar yönünden kurulan güvenceye karşılık, Kabahatler Kanunu’nun 4. maddesi kabahat oluşturan fiilin belirlenmesi ile yaptırımın belirlenmesini ayrı düzenler. Kanunun kapsam ve koşullarını belirlediği çerçevenin içeriği genel ve düzenleyici işlemlerle doldurulabilir. Kabahat karşılığı yaptırımın türü, süresi ve miktarı ise ancak kanunla belirlenebilir. Dolayısıyla teknik ayrıntıların düzenlenebilmesi, idareye kanuni çerçeveden bağımsız bir cezalandırma yetkisi vermez.⁵

Öğretideki tartışma da bu sınırın ağırlığı üzerindedir. İdari faaliyetin teknik niteliği ve değişen ihtiyaçlara hızlı cevap verme gereği, ayrıntıların idarece belirlenmesini savunan yaklaşımın gerekçelerindendir. Buna karşılık Evren, özellikle ağır idari yaptırımların kişiler üzerindeki etkisini vurgulayarak kanunilik güvencesinin zayıflatılmasını eleştirir. Bu itiraz, düzenleme ihtiyacının yok sayılmasını değil, yaptırıma bağlanan davranışın öngörülebilirliğinin korunmasını gerektirir. Yürürlükteki 4. madde yorumlanırken de kanunun belirlediği kapsam ve koşulların gösterilmesi, teknik düzenleme ile cezalandırmanın dayanağı arasındaki bağın görünür kılınması gerekir.⁶

Bir rehberde önerilen uygulamanın izlenmemesi ile kanuni yükümlülüğün ihlal edilmesi de aynı şey değildir. Rehber, alınabilecek önlemlerin değerlendirilmesinde açıklayıcı olabilir; ancak önerinin hangi kanuni yükümlülüğü somutlaştırdığı ve olayda neden gerekli olduğu ayrıca açıklanmalıdır. Kurulun 15. madde uyarınca verdiği bir kararın yerine getirilmemesi bakımından ise 18. maddenin birinci fıkrasının (c) bendinde özel dayanak vardır. Burada kararın muhatabı, yerine getirilmesi istenen işlem, kanuni yetki ve verilen süre birlikte ele alınır. Genel bir tavsiye ile belirli bir ihlalin giderilmesine yönelik kararın aynı yaptırım mantığıyla değerlendirilmesi, bu ayrımı ortadan kaldırır.⁷

Yaptırımın niteliği bakımından da farklı sonuçlar birbirinden ayrılmalıdır. Kurulun ihlalin giderilmesini istemesi, veri işlemeyi durdurması ve idari para cezası uygulaması farklı hükümlere dayanır. Bir para cezasının belirli bir fiile uygulanamaması, o fiilin hukuka uygun olduğu veya başka bir koruma yolunun bulunmadığı anlamına gelmez. Buna karşılık ihlalin giderilmesi için önlem alınabilmesi de para cezasının kanuni şartlarını kendiliğinden tamamlamaz. Ceza hukuku yaptırımları, tazminat ve kamu görevlileri yönünden disiplin süreci de kendi dayanak ve koşulları içinde değerlendirilir.⁸

Uygulamada kanunilik incelemesi, olayın önce bir hukuki etikete bağlanmasıyla değil, davranışın somutlaştırılmasıyla başlar. Hangi verinin, hangi işlem sırasında, hangi yükümlülüğe aykırı işlendiği ortaya konulduktan sonra yaptırım hükmüyle bağlantı kurulur. Ardından fiilin kime isnat edileceği, kusur, birden fazla ihlalin ilişkisi ve uygulanacak tutar araştırılır. Böylece veri korumasının etkili olması amacı ile yaptırım muhatabının hukuki güvenceleri, aynı gerekçeli karar içinde birlikte değerlendirilebilir.

20.2. Fail, kusur, içtima, zamanaşımı ve gerekçelendirme

Bir veri koruma ihlalinde sorumluluğun belirlenmesi, yalnızca ihlalin gerçekleştiği kurumun adını tespit etmekten ibaret değildir. Yükümlülüğün kime ait olduğu, davranışın kimin faaliyeti kapsamında gerçekleştiği ve hangi kişiye isnat edilebildiği ayrı ayrı incelenir. 6698 sayılı Kanun’un 18. maddesinin ikinci fıkrası, aydınlatma, veri güvenliği, Kurul kararlarına uyma ve Sicil yükümlülüklerine ilişkin para cezalarının veri sorumlusu gerçek kişiler ile özel hukuk tüzel kişilerine uygulanacağını belirtir. Standart sözleşmenin bildirilmemesine ilişkin bentte ise veri sorumlusu yanında veri işleyen de yaptırımın muhatabı olabilir. Bu farklılık, veri işleyenin bütün kabahatler bakımından veri sorumlusuyla aynı konumda bulunduğu sonucuna engeldir.⁹

Örneğin bir şirketin verileri dışarıdan hizmet aldığı bir sağlayıcıya işletmesi, şirketin veri sorumlusu sıfatını kendiliğinden ortadan kaldırmaz. Kanun’un 12. maddesindeki teknik ve idari tedbirlerin alınmasına ilişkin müşterek sorumluluk, 18. maddenin yaptırım muhatabına ilişkin özel hükmüyle birlikte okunmalıdır. Bir sözleşmede bütün sorumluluğun hizmet sağlayıcısına bırakıldığının yazılması da kanuni muhatabı değiştirmez. Kabahatler Kanunu’nun 8. maddesi, organ, temsilci veya faaliyet kapsamında görev üstlenen kişinin davranışının tüzel kişiye bağlanmasını düzenler; bu bağlantı kurulurken davranışın görev ve faaliyetle ilişkisi gösterilmelidir. Görev unvanı veya hizmet ilişkisi, somut davranışın açıklanmasının yerine geçmez.¹⁰

Kusur incelemesi de bu isnadın bir parçasıdır. Kabahatler Kanunu’nun 9. maddesine göre, kanunda açıkça başka türlü düzenlenmedikçe kabahatler hem kasten hem taksirle işlenebilir. Bu kural, yaptırım için mutlaka ihlalin bilerek istenmesinin gerekmediğini gösterir; fakat kusurun araştırılmasını gereksiz kılmaz. Bir yükümlülüğün yerine getirilmemesine dayanan kabahatte, öncelikle kişinin o davranışı gerçekleştirme yükümlülüğü bulunmalıdır. Hukuka uygunluk ve kusurluluğu ortadan kaldıran nedenler de Kanun’un 12. maddesi uyarınca değerlendirilir. Dolayısıyla yalnızca bir veri sızıntısının gerçekleşmesinden hareketle, hangi tedbirin alınmadığını ve ihmalin nasıl oluştuğunu açıklamadan sorumluluk sonucuna ulaşılmamalıdır.¹¹

Kabahatin birden fazla kişinin davranışıyla işlendiği durumlarda, herkesin katkısının aynı olduğu varsayılamaz. Kabahatler Kanunu’nun iştirak düzenlemesi ile özel yaptırım hükmündeki muhatap koşulları birlikte ele alınmalı; kişilerin görevleri, davranışları ve olayla bağlantıları somutlaştırılmalıdır. Akbulut’un da vurguladığı üzere, yaptırıma katlanacak kişilerin bireysel kusurunun değerlendirilmesi, herkese gerekçesiz biçimde aynı cezanın uygulanmasına karşı bir güvencedir. Tüzel kişinin sorumluluğunun dayanağı, yöneticinin kişisel sorumluluğu ve çalışan davranışının kuruma isnadı bu nedenle tek bir açıklamada eritilemez.¹²

Aynı olayda birden fazla yükümlülüğün ihlal edilmesi ise içtima sorununu doğurur. İçtima, birden çok ihlalin yaptırım bakımından nasıl bir araya geleceğini ifade eder. Kabahatler Kanunu’nun 15. maddesinin birinci fıkrasında, tek fiille birden fazla kabahat işlendiğinde ve ilgili tanımlarda yalnız idari para cezası öngörüldüğünde en ağır para cezasının uygulanması kabul edilmiştir. Buna karşılık aynı kabahatin ayrı fiillerle birden fazla işlenmesi, ikinci fıkra uyarınca ayrı cezaları gündeme getirir. Kesintisiz fiille işlenebilen kabahatlerde, bu nedenle idari yaptırım kararı verilinceye kadar fiil tek sayılır. Bir veri işleme sürecinde birden fazla hukuki hükme değinilmesi, fiil sayısının da aynı olduğu anlamına gelmez; her bir davranışın ne olduğu ve hangi zaman aralığında gerçekleştiği açıklanmalıdır.¹³

Suç ile kabahatin birleşmesi ayrıca değerlendirilir. Kanun’un 15. maddesinin üçüncü fıkrası, aynı fiilin hem suç hem kabahat olarak tanımlandığı durumda suçtan dolayı yaptırımı esas alır; suçtan dolayı yaptırım uygulanamayan hâllerde kabahat yaptırımına imkân tanır. Bu düzenleme karşısında Kart ve Ketizmen, kişisel veri ihlalinin suç oluşturduğu veya suç şüphesinin bulunduğu durumlarda Kurulun idari süreçten çekilmesini savunur. Görüşün amacı, aynı fiile iki yaptırım uygulanmasını önlemektir. Bununla birlikte, bir çalışanın veriyi hukuka aykırı açıklamasıyla veri sorumlusunun gerekli güvenlik tedbirlerini almamasının aynı davranış ve aynı muhatap olup olmadığı ayrıca araştırılmalıdır. Aynı veri kümesi veya aynı zarar, tek başına fiil ve fail aynılığını kanıtlamaz. Suç şüphesinden bütün veri koruma incelemesinin kendiliğinden sona erdiği sonucuna geçilmesi bu ayrımı görünmez kılar.¹⁴

Zamanaşımı, sorumluluğun zaman bakımından sınırını oluşturur. Kabahatler Kanunu’nun 20. maddesindeki soruşturma zamanaşımı dolduğunda idari para cezasına karar verilemez. Bu süre, kabahatin tanımındaki fiilin işlenmesi veya neticenin gerçekleşmesiyle işlemeye başlar; fiilin aynı zamanda suç oluşturması hâlinde suça ilişkin dava zamanaşımı hükümleri uygulanır. Buna karşılık 21. maddedeki yerine getirme zamanaşımı, verilmiş yaptırım kararının artık uygulanamamasıyla ilgilidir ve kararın kesinleşmesinin rastladığı takvim yılını izleyen yılın başından itibaren işler. Kanun gereğince yerine getirmeye başlanamayan veya yerine getirilemeyen hâllerde bu süre işlemez. Karar verilmesine ilişkin süreyle tahsil aşamasındaki süreyi aynı başlangıç tarihine bağlamak, iki farklı güvenceyi birbirine karıştırır.¹⁵

Bu nedenle bir dosyada yalnızca ihlalin öğrenildiği tarihi kaydetmek yeterli değildir. Yükümlülüğün doğduğu, davranışın gerçekleştiği, varsa kesintisiz ihlalin sürdüğü, yaptırım kararının verildiği ve kararın kesinleştiği tarihler ayırt edilmelidir. Zamanaşımının süresi de yaptırımın türü ve kanunda belirlenen tutar grubu gözetilerek seçilir; bütün kişisel veri kabahatleri için tek bir süre varsayılamaz. Kabahatin zaman bakımından hangi hukuk rejimine tabi olduğu sorusunda 5. maddenin davranış zamanını esas alan hükmü ile 20. maddenin zamanaşımı başlangıcına ilişkin özel hükmü ayrı işlevler taşır.¹⁶

Gerekçelendirme, bu değerlendirmelerin yaptırım kararında görünür olmasını sağlar. Kabahatler Kanunu’nun 25. maddesi, yaptırım muhatabının kimliği yanında fiilin, delillerin, karar tarihinin ve fiilin işlendiği yer ile zamanın açıklanmasını ister. Alt ve üst sınır arasında ceza belirlenirken haksızlık içeriği, kusur ve ekonomik durum birlikte değerlendirilir. Bu unsurların yalnız adlarının sayılması, somut olayda nasıl tartıldıklarının açıklanmasının yerini tutmaz. Kararın muhatabı, kendisine hangi davranışın neden isnat edildiğini; birden fazla fiilin neden ayrı değerlendirildiğini ve belirlenen tutara hangi gerekçeyle ulaşıldığını anlayabilmelidir. Gerekçenin işlevi, idarenin değerlendirmesini hem muhatap hem yargı bakımından denetlenebilir kılmaktır.¹⁷

20.3. Ceza tutarının belirlenmesi ve yıllık yeniden değerleme

Bir fiilin idari para cezasını gerektirdiğinin belirlenmesi, ceza tutarını da kendiliğinden belirlemez. 6698 sayılı Kanun’un 18. maddesindeki cezalar alt ve üst sınırlar arasında düzenlenmiştir. Kurul, uygulanacak bent belirlendikten sonra bu sınırlar içinde somut olayın özelliklerine göre tutarı belirler. Kabahatler Kanunu’nun 17. maddesinin ikinci fıkrası, kabahatin haksızlık içeriği, failin kusuru ve ekonomik durumunun birlikte dikkate alınmasını ister. Dolayısıyla kanunun geniş bir aralık tanıması, bu aralıktaki herhangi bir rakamın gerekçesiz seçilebileceği anlamına gelmez.¹⁸

Haksızlık içeriği, ihlalin niteliği ve ağırlığıyla; kusur, davranışın kişiye hangi koşullarda yüklenebileceğiyle; ekonomik durum ise para cezasının muhatabı üzerindeki etkisiyle ilgilidir. Örneğin aynı tür güvenlik eksikliğinin çok sayıda kişinin hassas bilgilerini tehlikeye düşürmesi ile sınırlı bir veri grubunu etkilemesi, olayın ağırlığı bakımından farklı değerlendirmeler gerektirebilir. Bununla birlikte, yalnızca etkilenen kişi sayısının bilinmesi, kusur ve ekonomik durum araştırmasının yerine geçmez. Bu unsurlar sabit bir puan cetveli gibi değil, olayın özellikleriyle bağlantıları açıklanarak birlikte tartılmalıdır.¹⁹

Ekonomik durumun dikkate alınması da şirketin büyüklüğünün tek başına cezaya çevrilmesi demek değildir. Akbulut, ekonomik gücü farklı muhataplara aynı tutarın uygulanmasının yaptırımın etkisi bakımından farklı sonuçlar doğurabileceğini vurgular. Bu yaklaşım, ekonomik durumun neden kanuni ölçütlerden biri olduğunu açıklar. Ancak ölçütlerin birlikte uygulanması gerektiğinden, ekonomik güç tek başına üst sınırdan ceza verilmesinin gerekçesi olamaz. Benzer biçimde ihlal sonrasında önlem alınmış olması değerlendirilirken, bu davranışın ihlalin ağırlığına veya kusurun değerlendirilmesine nasıl yansıdığı açıklanmalı; kanunda bulunmayan otomatik bir indirim hakkı varmış gibi hareket edilmemelidir.²⁰

Ceza aralığının hangi yıl için hesaplandığı bundan ayrı bir sorudur. Kabahatler Kanunu’nun 17. maddesinin yedinci fıkrası, idari para cezalarının her takvim yılı başından geçerli olmak üzere Vergi Usul Kanunu’nun mükerrer 298. maddesi uyarınca tespit ve ilan edilen yeniden değerleme oranında artırılmasını düzenler. Hesaplamada bir Türk lirasının küsuru dikkate alınmaz; nispi nitelikteki idari para cezaları bu fıkra kapsamı dışındadır. Alt ve üst sınır arasında düzenlenen cezaların sınırları da yıllık artırıma tabidir. Böylece kanun metninde görülen temel tutar ile belirli yılda uygulanacak tutar birbirinden ayrılır.²¹

Yeniden değerleme, somut olayın cezasının bireyselleştirilmesini ortadan kaldırmaz. Önce uygulanacak dönemin alt ve üst sınırları doğru belirlenir; ardından haksızlık içeriği, kusur ve ekonomik durum gözetilerek bu aralıkta tutar seçilir. Bir önceki yıl verilmiş bir kararın tutarını doğrudan örnek almak, hem dönem farkını hem de olaylar arasındaki farkı gözden kaçırabilir. Buna karşılık yeni yılın başlaması da daha önce gerçekleşmiş her fiile, yalnız kararın yeni yılda verilmesi nedeniyle yeni tutar uygulanabileceği sonucunu doğurmaz. Fiilin zamanı ve zaman bakımından uygulama kuralları, yıllık hesaplamadan önce değerlendirilmelidir.²²

Bu nedenle yaptırım kararının gerekçesinde tutarın hukuki ve sayısal dayanakları birlikte izlenebilmelidir. Hangi kabahat tipinin uygulandığı, hangi yılın sınırlarının esas alındığı, kullanılan yıllık artışın kaynağı ve alt sınırdan uzaklaşmayı gerektiren somut nedenler açıklanmalıdır. Kanuni aralığın doğru hesaplanması fakat bu aralıktaki seçimin gerekçelendirilmemesi ile olayın ağırlığının açıklanması fakat yanlış yılın sınırlarının kullanılması farklı hatalardır. Sağlıklı bir denetim, her iki aşamanın da ayrı ayrı kontrol edilmesini gerektirir.²³

20.4. Kamu kurumları bakımından disiplin rejimi

Kamu kurumunun kişisel verileri koruma yükümlülüğü ile bu kurumda görev yapan kişinin disiplin sorumluluğu birbirinden ayrılmalıdır. 6698 sayılı Kanun’un 18. maddesinin dördüncü fıkrası, birinci fıkrada sayılan eylemlerin kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenmesi hâlinde özel bir yol öngörür. Kurulun bildirimi üzerine ilgili görevliler hakkında disiplin hükümlerine göre işlem yapılır ve sonucu Kurula bildirilir. Burada özel hukuk kişilerine yönelik idari para cezasının doğrudan kamu kurumuna veya onun yerine personele uygulanması söz konusu değildir; farklı muhatap ve usule sahip bir disiplin süreci işletilir.²⁴

Bu farklı yaptırım yolu, kamu kurumunun veri koruma kurallarından genel olarak istisna tutulduğu anlamına gelmez. Kurumun veri sorumlusu sıfatıyla yerine getirmesi gereken yükümlülükler ile ihlal sonrasında uygulanacak yaptırımın türü ayrı meselelerdir. Kanun’un uygulama alanına ilişkin özel istisnalar saklı olmak üzere, bir kamu kurumundaki hukuka aykırı işleme de Kurul incelemesine ve ihlalin giderilmesine ilişkin karara konu olabilir. Personel hakkında disiplin işlemi yapılması, hukuka aykırı işleme sürecinin düzeltilmesinin yerine geçmez. Tersinden, kurumun sistemini düzeltmesi de ihlalde kişisel sorumluluğu bulunan görevlilerin durumunun araştırılmasını gereksiz kılmaz.²⁵

Kurulun 2023/928 sayılı karar özeti bu ayrımı somutlaştırır. Bir üniversitede kişisel ve özel nitelikli bilgilerin bulunduğu dosyanın e-posta ekinde üçüncü kişilerle paylaşılması ve ihlalin Kurula bildirilmemesi değerlendirilmiş; sorumlular hakkında disiplin hükümlerine göre işlem yapılarak sonucun bildirilmesi istenmiştir. Paylaşılan verilerin sonradan silinmesinin, gerçekleşmiş ihlali ortadan kaldırmadığı da belirtilmiştir. Bu sonuç, Kurulun kendisinin belirli bir personele disiplin cezası verdiği şeklinde okunamaz. Kararda o tarihte 18. maddenin üçüncü fıkrası olan hükme yapılan gönderme, 2024 değişikliğinden sonra dördüncü fıkrada yer alan disiplin düzenlemesine ilişkindir.²⁶

Sorumluların belirlenmesinde yalnızca son işlemi yapan personele bakılması yeterli değildir. Kurumun 2026 tarihli kamu uyum rehberi, veriyi paylaşan kişinin yanında veri güvenliğine ilişkin teknik ve idari tedbirleri almakla görevli kişilerin de dikkate alınması gerektiğini vurgular. Örneğin yetkisiz erişime açık bir sistemde, veriyi dışarıya aktaran kişinin davranışı ile erişim yetkilerini düzenleme ve denetleme görevini yerine getirmeyen kişinin davranışı farklıdır. Görev ve yetki matrisleri bu ilişkileri ortaya koymaya yardımcı olabilir; ancak bir matriste adın bulunması tek başına kusurun kanıtı değildir. Görevin kapsamı, fiil veya ihmal ve ihlalle bağlantısı somutlaştırılmalıdır.²⁷

Uygulanacak disiplin rejimi de kişinin statüsüne göre belirlenir. 657 sayılı Devlet Memurları Kanunu’na tabi bir memur bakımından kamu hizmetinin gereği gibi yürütülmesine ilişkin ödevler, fiilin disiplin hukuku içindeki nitelendirilmesi ve cezayı vermeye yetkili makam bu Kanun çerçevesinde araştırılır. Buna karşılık her kamu çalışanının veya kamu kurumu niteliğindeki meslek kuruluşunda görev yapan herkesin aynı disiplin rejimine tabi olduğu varsayılamaz. Özel kanunların yetki ve statü hükümleri ayrıca dikkate alınmalıdır. Bir meslek kuruluşunun bünyesinde görev yapmak ile yalnızca o kuruluşun üyesi olmak da kendiliğinden aynı hukuki konumu ifade etmez.²⁸

Kurul bildirimi, disiplin soruşturmasında savunma ve usul güvencelerini ortadan kaldırmaz. 657 sayılı Kanun’un 130. maddesi, savunması alınmadan memura disiplin cezası verilemeyeceğini düzenler. Hangi davranışın isnat edildiği, delilleri ve hukuki nitelendirmesi belirlenerek yetkili makam önünde savunma imkânı sağlanmalıdır. Danıştay İdari Dava Daireleri Kurulu, 2024/57 sayılı kararında, 657 sayılı Kanun ve Devlet Memurları Disiplin Yönetmeliği kapsamındaki görevliler bakımından savunmanın soruşturmanın son aşamasında yetkili disiplin amiri veya kurulunca istenip alınması gerektiğine karar vermiştir. Karşıoyda ise Kanun’daki “soruşturmayı yapanın” ibaresinden hareketle muhakkikin de savunma alabileceği savunulmuştur. Ayrılık, salt ifade alınmış olmasının usulüne uygun savunma hakkının kullandırılmasıyla neden aynı soru olmadığını gösterir.²⁹

Disiplin işleminin sonucu da Kurula bildirilmelidir. Bu yükümlülüğün gereği, yalnızca bir soruşturma dosyası açıldığının söylenmesiyle tamamlanmaz; yürütülen işlemin sonucunun ortaya konulması gerekir. Bununla birlikte, Kurulun ihlal tespiti ile belirli bir kişiye hangi disiplin cezasının uygulanacağı farklı değerlendirmelerdir. İlgili disiplin normunun şartları, kişinin davranışı ve savunması birlikte ele alınmadan, “veri ihlali vardır, öyleyse şu ceza verilmelidir” biçiminde otomatik bir sonuca ulaşılamaz. Sonucun bildirilmesi, bu bireysel değerlendirmeyi ve kurumun ihlali giderme görevini birbirine bağlayan bir izleme aracıdır.³⁰

Öğretide bu rejimin yeterliliği ayrıca tartışılmaktadır. Alçın, disiplin yaptırımının kamu görevlisinin şahsına ve kurum içi düzene yönelmesine karşılık veri koruma ihlalinin kurumun örgütlenişinden de kaynaklanabileceğini vurgular. Özellikle kusurun tek bir görevliye yüklenemediği durumlarda yalnız bireysel disiplin sorumluluğuna dayanılmasının etkili koruma sağlayıp sağlayamayacağını sorgular ve idareye yönelik yaptırım araçlarının güçlendirilmesini savunur. Bu, yürürlükteki hükmün uygulanmasıyla ilgili bir emir değil, kanun koyucunun tercihini eleştiren bir görüştür. Kurumsal eksikliğin araştırılması ile bireysel güvencelerin korunması birlikte yürütülmelidir; etkili veri koruma amacı, somut sorumluluk gösterilmeden bir personelin cezalandırılmasını haklı kılmaz.³¹

Uygulamada sağlıklı bir inceleme, ihlalin gerçekleştiği işleme sürecini ve bu süreçteki görev dağılımını birlikte ortaya koyar. Önce kurumun hangi yükümlülüğünün ihlal edildiği ve bu ihlalin nasıl giderileceği belirlenir; ardından ilgili personelin statüsü, davranışı, yetkisi ve sorumluluğu incelenir. Böylece kurumun yapısal eksikliklerinin yalnızca son işlemi yapan çalışana yüklenmesi önlenebileceği gibi, kurumsal sorun gerekçesiyle kişisel sorumluluğun araştırılmasından vazgeçilmesi de engellenebilir. Disiplin süreci, veri koruma denetiminin bütününün yerine geçen tek araç olarak değil, kendi koşulları bulunan bir sorumluluk yolu olarak değerlendirilmelidir.³²

20.5. 2024 sonrası görevli yargı yeri ve geçiş hükümleri

Kurulun verdiği idari para cezasına karşı yargısal denetim yolunun belirlenmesinde 2024 değişikliği esaslı bir dönüm noktasıdır. 7499 sayılı Kanun’la 6698 sayılı Kanun’un 18. maddesine eklenen üçüncü fıkra, Kurulca verilen idari para cezalarına karşı idare mahkemelerinde dava açılabileceğini düzenler. Bu hüküm 1 Haziran 2024’te yürürlüğe girmiştir. Dolayısıyla eski kaynaklarda görülen sulh ceza hâkimliğine başvuru anlatımı, güncel bütün para cezalarına uygulanabilecek genel açıklama olarak kullanılamaz.³³

Görevli yargı yerindeki değişiklik, Kabahatler Kanunu’nun genel düzenlemesiyle de birlikte okunmalıdır. Bu Kanun’un 3. maddesi, idari yaptırım kararlarına karşı kanun yoluna ilişkin hükümlerinin diğer kanunlarda aksine hüküm bulunmaması hâlinde uygulanacağını belirtir. 6698 sayılı Kanun’un 18. maddesinin üçüncü fıkrası, Kurulun idari para cezaları bakımından bu özel düzenlemeyi oluşturur. İdare mahkemesinin görevli olması, uyuşmazlıkta kabahatler hukukunun maddi ilkelerinin önemini ortadan kaldırmaz. Akgün ve Akıncı’nın da dikkat çektiği üzere, idari yargıda denetlenen para cezalarının içtima gibi meseleleri ceza ve kabahatler hukuku açısından değerlendirme gerektirir.³⁴

Geçiş hükmü, yeni görev kuralından ayrı okunmalıdır. 6698 sayılı Kanun’un geçici 3. maddesinin ikinci fıkrası, 1 Haziran 2024 tarihi itibarıyla sulh ceza hâkimliklerinde görülmekte olan başvuruların bu hâkimliklerce görülmesine devam edileceğini belirtir. Böylece kanun koyucu, belirtilen tarihte görülmekte olan başvuruları yeni görev kuralının dışında tutmuştur. Buradaki ölçüt yalnızca Kurul kararının tarihi değildir; başvurunun o tarihte sulh ceza hâkimliğinde görülmekte olmasıdır. Kararın verilmesi, tebliğ edilmesi ve yargısal başvurunun yapılması birbirinin yerine geçen olaylar olarak değerlendirilmemelidir.³⁵

Örneğin 31 Mayıs 2024’te sulh ceza hâkimliğine yapılmış ve 1 Haziran’da görülmekte olan bir başvuru, geçiş hükmü uyarınca orada incelenmeye devam eder. Buna karşılık 2 Haziran 2024’te verilen yeni bir Kurul para cezası bakımından yürürlükteki özel görev kuralı idare mahkemesini gösterir. İlk örnekteki başvurunun varlığı, bütün eski tarihli Kurul kararlarının aynı yargı yerinde inceleneceği anlamına gelmez. Özellikle kararın eski, başvurunun ise değişiklik sonrasına ait olduğu dosyalarda görev sorunu, geçiş hükmünün somut koşulları incelenmeden çözülemez.³⁶

Son olarak, para cezasının yargısal denetimi ile Kurul kararında yer alabilecek diğer hukuki sonuçlar aynı başlık altında toplanmamalıdır. 18. maddenin üçüncü fıkrası doğrudan idari para cezalarını düzenler. İhlalin giderilmesi veya veri işlemenin durdurulması gibi sonuçların niteliği ayrıca değerlendirilir. Dava açma süresi, dava ehliyeti, husumet ve yürütmenin durdurulması da yalnızca görevli mahkemenin adının belirlenmesiyle çözülmüş olmaz. Yargısal korunmanın doğru kurulması, önce dava konusu işlemi ve uygulanacak geçiş rejimini belirlemeyi, ardından ilgili usul koşullarını ayrı ayrı incelemeyi gerektirir.³⁷

20.6. Dava açma süresi, ehliyet, husumet ve yürütmenin durdurulması

Bir Kurul kararına karşı dava açılırken önce hangi hukuki sonucun kaldırılmasının istendiği belirlenmelidir. Para cezasının iptalini isteyen veri sorumlusu ile şikâyetinin reddine karşı çıkan ilgili kişi aynı konumda değildir. İlkinin davası kendisine uygulanan yaptırıma, ikincisinin davası ise kişisel verilerinin korunması talebi hakkında verilen karara yönelir. Aynı karar belgesindeki para cezası, giderim talimatı ve şikâyet hakkında sonuç da ayrı ayrı teşhis edilmelidir. Bu ayrım, kimin dava açabileceğini ve yürütmenin durdurulması talebinin hangi işleme ilişkin kurulacağını doğrudan etkiler.³⁸

İdare mahkemesinde görülecek Kurul para cezası davaları bakımından 6698 sayılı Kanun’un 18. maddesi ayrıca bir dava açma süresi belirlemez. Bu nedenle İdari Yargılama Usulü Kanunu’nun (İYUK) 7. maddesindeki altmış günlük genel süre esas alınır. Bireysel işlemlerde süre, yazılı bildirimin yapıldığı tarihi izleyen gün işlemeye başlar. Kararın Kurulca kabul edildiği tarih ile muhataba tebliğ edildiği tarih aynı değildir. Tebligatın hangi tarihte hukuken gerçekleştiğini gösteren belgenin saklanması bu yüzden önemlidir; karar metnindeki tarihten başlayarak hesap yapmak, dava süresini yanlış belirlemeye yol açabilir. Geçiş hükmü gereğince sulh ceza hâkimliğinde devam eden başvuruların usulü ise bu açıklamadan ayrı tutulmalıdır.³⁹

Süre hesabında yalnızca gün sayısını bilmek yeterli olmaz. İYUK’un 8. maddesi uyarınca tatil günleri süreye dahildir; son günün tatil olması hâlinde süre izleyen çalışma gününün bitimine kadar uzar. Kanunda yazılı sürenin bitişinin çalışmaya ara verme zamanına rastlaması da aynı maddenin üçüncü fıkrasındaki uzamayı gündeme getirir. Buna karşılık bu kurallar, işlemin hangi tarihte tebliğ edildiği sorusunu kendiliğinden çözmez. Usulsüz bildirim veya bildirimsiz öğrenme iddiası bulunan bir dosyada, süre başlangıcı somut tebligat ve öğrenme olgularıyla ayrıca incelenmelidir; bütün durumlara uygulanabilecek tek bir “kararı gördüğüm gün” hesabı kurulamaz.⁴⁰

İdareye yeniden başvurma ile dava açma arasındaki ilişki de dikkat gerektirir. İYUK’un 11. maddesi kapsamındaki kaldırma, geri alma, değiştirme veya yeni işlem yapılması istemi, dava açma süresi içinde yetkili makama yöneltildiğinde işlemeye başlamış dava süresini durdurur. Otuz gün içinde cevap verilmezse istem reddedilmiş sayılır; açık veya zımni ret üzerine süre, başvurudan önce geçen kısım hesaba katılarak yeniden işlemeye başlar. Dolayısıyla bu başvuru, her ret cevabından sonra yeni bir altmış günlük süre kazanılması anlamına gelmez. Süresi geçmiş bir davayı canlandırdığı da varsayılamaz. Her dilekçenin 11. madde kapsamında olduğu kabul edilmeden, içeriği, yöneltildiği makam ve başvuru tarihi birlikte değerlendirilmelidir.⁴¹

Buradaki otuz günlük zımni ret süresi ile ilgili kişinin Kurula yaptığı şikâyetin cevapsız kalması birbirine karıştırılmamalıdır. Şikâyet bakımından 6698 sayılı Kanun’un 15. maddesinin dördüncü fıkrası, altmış gün içinde cevap verilmezse talebin reddedilmiş sayılacağını ayrıca düzenler. Bu, verilmiş bir para cezasının kaldırılması isteminin cevap süresiyle aynı değildir. Saygı da şikâyetin açıkça veya zımnen reddinin ilgili kişi hakkında hukuki sonuç doğurduğunu ve idari yargı denetimine konu olabileceğini vurgular. Dava süresi hesaplanırken önce başvurunun türü seçilmeli; veri sorumlusuna başvuru, Kurula şikâyet ve Kurul kararının yeniden değerlendirilmesi aynı takvim altında birleştirilmemelidir.⁴²

Dava açabilecek kişinin belirlenmesinde iptal davasının menfaat koşulu esas alınır. İYUK’un 2. maddesi, hukuka aykırı olduğu ileri sürülen işlem nedeniyle menfaati ihlal edilenlere iptal davası açma imkânı tanır. Para cezasının muhatabı şirket ile şirketin yöneticisi veya ortağı bu bakımdan birbirinin yerine geçmez; işlemle kurulan menfaat ilişkisi ve temsil yetkisi ayrı değerlendirilir. İlgili kişinin şikâyetçi sıfatı da Kurul kararındaki bütün sonuçlara karşı sınırsız dava hakkı verdiği anlamına gelmez. Kendi koruma talebinin reddi ile başka bir kişiye verilen cezanın tutarını artırma isteğinin menfaat bağlantısı aynı değildir. Mahkeme, ehliyeti dava konusu edilen somut işlem ve talep bakımından inceler.⁴³

Husumet, davanın kime karşı yöneltileceği sorusudur. Kurul işleminin iptali istendiğinde davalı taraf, işlemi karar organı aracılığıyla tesis eden kamu tüzel kişisi olan Kişisel Verileri Koruma Kurumudur; şikâyete konu veri sorumlusu veya Kurul üyeleri bu nedenle kendiliğinden davalı olmaz. Veri sorumlusuna yöneltilen özel hukuk talepleri başka bir hukuki ilişkiye dayanır. Yanlış davalı gösterilmesi ile davacının dava ehliyetinin bulunmaması da aynı sonucu doğurmaz. İYUK’un 14. maddesi bunları ayrı ilk inceleme konuları olarak sayar; 15. maddesi, hasım gösterilmemesi veya yanlış gösterilmesi hâlinde dilekçenin mahkemenin belirleyeceği gerçek hasma tebliğini öngörür.⁴⁴

Davanın açılması, dava edilen işlemin yürütülmesini kural olarak durdurmaz. Mahkemeden ayrıca yürütmenin durdurulması istenmesi ve bu istemin koşullarının gösterilmesi gerekir. İYUK’un 27. maddesindeki temel koşullar, işlemin uygulanması hâlinde telafisi güç veya imkânsız zarar doğması ile işlemin açıkça hukuka aykırı olmasıdır; ikisi birlikte aranır. Örneğin yalnız cezanın yüksek olduğunu belirtmek, somut zarar ihtimalinin ve hukuka aykırılığın açıklanmasının yerini tutmaz. Aynı şekilde yalnız hukuka aykırılık iddiası ileri sürülmesi, geçici korumayı otomatik hâle getirmez. Para cezasına karşı dava açılmasından vergi uyuşmazlıklarına özgü tahsilin kendiliğinden durması sonucu da çıkarılamaz; dava edilen yaptırım ve tahsil işlemleri kendi hukuki dayanakları içinde ayrılmalıdır.⁴⁵

Yürütmenin durdurulması incelemesinde kural, davalı idarenin savunmasının alınması veya savunma süresinin geçmesidir. Uygulanmakla etkisi tükenecek işlemlerde, savunma alındıktan sonra yeniden karar verilmek üzere savunma beklenmeden de durdurma kararı verilebilir. Teminat ve istisnaları ile bu kararlara karşı itiraz da 27. maddede ayrıca düzenlenmiştir; idare mahkemesinin yürütmenin durdurulması istemi hakkında verdiği karara karşı, tebliği izleyen günden itibaren yedi gün içinde bölge idare mahkemesine bir defaya mahsus itiraz mümkündür. Bu yargısal tedbir, Kurulun veri işlemeyi durdurma yetkisinden farklıdır. Birinde mahkeme Kurul işleminin yürütülmesini, diğerinde Kurul veri işleme faaliyetini değerlendirir. Dilekçede geçici korumanın konusu ve gerekçesi bu makam ve işlem ayrımına göre kurulmalıdır.⁴⁶

20.7. Kurul işlemlerinin sebep, konu, amaç, yetki ve şekil yönlerinden denetimi

Kurul kararına karşı açılan iptal davasında inceleme, yalnızca bir veri ihlalinin meydana gelip gelmediği sorusundan ibaret değildir. İYUK’un 2. maddesi, idari işlemlerin yetki, şekil, sebep, konu ve maksat yönlerinden hukuka uygunluğunun denetlenmesini öngörür. Bu unsurlar, aynı kararın farklı sorularla sınanmasını sağlar: Kararı vermeye kim yetkilidir, hangi usul izlenmiştir, hangi olay ve hukuk kuralı esas alınmıştır, neye karar verilmiştir ve yetki hangi amaçla kullanılmıştır? Bir unsurun hukuka uygun olması diğerlerindeki eksikliği kendiliğinden gidermez. Fiilin gerçekleşmiş olması, örneğin yetkisiz bir makamın yaptırım uygulamasını haklı kılmaz.⁴⁷

Yetki denetiminde Kurulun kanunla belirlenmiş görev alanı ve karar verme yetkisi esas alınır. 6698 sayılı Kanun’un 22. maddesi şikâyetleri karara bağlama, inceleme, geçici önlem ve idari yaptırım yetkilerini düzenler. Bu yetkilerin varlığı, birbirinin yerine kullanılabilecekleri anlamına gelmez. Para cezası kararı, ihlalin giderilmesi talimatı ve işlemenin durdurulması kendi kanuni koşulları içinde incelenir. Aynı biçimde Kurum adına hazırlık yapılması veya kararın muhataba bildirilmesi ile yaptırıma yetkili karar organının iradesi farklı aşamalardır. İnceleme, karardaki imzanın görünümüyle sınırlanmadan, yetkili organın hangi kapsamda karar aldığını ortaya koymalıdır.⁴⁸

Şekil ve usul denetimi, kararın oluşum sürecine yönelir. Kurulun toplantı ve karar düzeni, ilgisi bulunan üyelerin toplantı ve oylamaya katılamaması, görüşülen işlerin tutanağa bağlanması ve karşıoy gerekçelerinin yazılması Kanun’un 23. maddesinde düzenlenmiştir. İdari yaptırım kararında fiilin, onu ispata yarayan delillerin, yer ve zamanın açıklanması da Kabahatler Kanunu’nun 25. maddesi bakımından önem taşır. Bunlar yalnızca belge düzenine ilişkin ayrıntılar değildir; kimin hangi olaya dayanılarak sorumlu tutulduğunun anlaşılmasını ve kararın denetlenmesini sağlar. Bununla birlikte herhangi bir yazım hatasından otomatik iptal sonucu çıkarılamaz; ileri sürülen eksikliğin ilgili usul kuralı ve kararın hukuka uygunluğu üzerindeki etkisi somutlaştırılmalıdır.⁴⁹

Sebep unsuru bakımından olayın gerçekliği ile hukuki nitelendirmesi birlikte incelenir. Bir veriye üçüncü kişinin eriştiğinin gösterilmesi, hangi yükümlülüğün hangi davranışla ihlal edildiği ve sorumluluğun kime ait olduğu sorularını kendiliğinden cevaplamaz. Kurul kararında isnat edilen fiil, kullanılan delil ve uygulanan hüküm arasında kurulmuş bağ denetlenebilmelidir. Örneğin varsayımsal bir olayda karar, erişim yetkilerinin hiç sınırlandırılmadığı kabulüne dayanıyorsa, kayıtların gerçekte hangi yetki düzenini gösterdiği önem taşır. Yalnızca olay sonucunu tekrarlamak, bu maddi kabulün doğruluğunu kanıtlamaz. Mahkemenin İYUK’un 20. maddesi uyarınca gerekli bilgi ve belgeleri isteyebilmesi, denetimin karar özetindeki açıklamalarla sınırlı olmadığını gösterir.⁵⁰

Konu unsuru, kararın doğurduğu hukuki sonuca ilişkindir. Belirli bir kabahat için öngörülen sınırlar içinde para cezası verilmesi ile ihlalin giderilmesi amacıyla belirli bir işleme sürecinin düzeltilmesinin istenmesi farklı sonuçlardır. Cezada uygulanacak hüküm, dönem, muhatap ve tutar; giderim talimatında ise tespit edilen aykırılıkla istenen düzeltme arasındaki bağ açıklanmalıdır. Kararın “veri güvenliğinin sağlanması” gibi genel bir amaç belirtmesi, somut yükümlülüğün ve hukuki sonucun belirlenmesinin yerini tutmaz. Aynı olayda birden fazla sonuç öngörülmüşse her biri dayandığı yetki ve koşullar yönünden ayrı değerlendirilir.⁵¹

Amaç denetimi, yetkinin kanunun öngördüğü koruma işlevine uygun kullanılıp kullanılmadığına yönelir. Kişisel verilerin temel hak ve özgürlüklere uygun işlenmesini sağlama görevi, kanuni yaptırım koşullarından bağımsız bir cezalandırma yetkisi değildir. Öte yandan Kurula ceza aralığında takdir tanınmış olması da yargısal denetimi ortadan kaldırmaz. Akbulut’un belirttiği gibi, hangi ölçütlerin kullanıldığının ve alt sınırdan neden uzaklaşıldığının gerekçelendirilmesi, takdirin denetlenebilirliğini sağlar. Bu nedenle “takdir yetkisi kullanılmıştır” açıklaması tek başına yeterli olmaz; ölçütlerin somut olayla ilişkisinin gösterilmesi gerekir. Amaç ve takdir incelemesi, hem yetkinin kanuni işleve bağlılığını hem de keyfî kullanılmamasını güvence altına alır.⁵²

Bu denetimin sınırı yerindelik yasağıdır. İYUK’un 2. maddesi, mahkemenin idarenin yerine geçerek idari işlem niteliğinde karar vermesini ve takdir yetkisini kaldırmasını yasaklar. Ancak bu sınır, delilin yeterliliğini, kanuni ceza ölçütlerinin uygulanmasını veya gerekçenin hukuki sonucu destekleyip desteklemediğini incelemeye engel değildir. Mahkemenin, üst sınırdan ceza verilmesini haklı kılan nedenlerin gösterilip gösterilmediğini denetlemesi ile kendisini Kurulun yerine koyarak daha uygun bulduğu ceza tutarını seçmesi farklıdır. İptal davasındaki iddia da bu ayrım gözetilerek kurulmalı; yalnızca “daha hafif bir karar verilebilirdi” denilmesi yerine, hangi kanuni sınırın veya işlem unsurunun neden ihlal edildiği açıklanmalıdır.⁵³

20.8. AYM ve AİHM önünde korunma imkânları ve kabul edilebilirlik

Kurul kararının idare mahkemesince hukuka uygun bulunması, kişisel verilerle bağlantılı bütün hak arama yollarının sona erdiği anlamına gelmez. Bununla birlikte Anayasa Mahkemesine (AYM) ve Avrupa İnsan Hakları Mahkemesine (AİHM) bireysel başvuru, Kurul kararının bir kez daha olağan kanun yolu denetiminden geçirilmesini sağlayan yollar değildir. AYM önünde sorun, kamu gücünün başvurucunun Anayasa ile Avrupa İnsan Hakları Sözleşmesi’nin ortak koruma alanındaki bir hakkını ihlal edip etmediğidir. İnceleme, kanun yolunda gözetilmesi gereken hususların yeniden karara bağlanmasına dönüştürülemez. Bu nedenle yaptırıma ilişkin bir itirazın ayrıca hangi temel hak güvencesi bakımından sorun doğurduğu açıklanmalıdır.⁵⁴

Başvurucunun hukuki konumu bu değerlendirmeyi etkiler. Kendi verilerinin korunmasını isteyen kişi ile para cezasına muhatap şirket aynı hakka ve aynı kişisel etkiye dayanmak zorunda değildir. Gerçek kişi bakımından özel hayata saygı ve kişisel verilerin korunması; şirket bakımından ise kendi malvarlığına veya yargılama güvencelerine ilişkin iddialar farklı incelemeler gerektirebilir. 6216 sayılı Kanun’un 46. maddesi, güncel ve kişisel bir hakkı doğrudan etkilenenlerin başvurusunu kabul eder; özel hukuk tüzel kişileri yalnız tüzel kişiliğe ait haklar için başvurabilir, kamu tüzel kişileri ise bireysel başvuru yapamaz. Bir şirketin veri sorumlusu olması, başka gerçek kişilerin kişisel veri hakkını kendi hakkıymış gibi ileri sürebilmesini sağlamaz.⁵⁵

Bireysel başvurudan önce ilgili idari ve yargısal yolların usulüne uygun kullanılması gerekir. Kurulun para cezasına karşı idare mahkemesinde dava açma ve somut dosyada açık olan olağan kanun yollarını izleme imkânı, doğrudan AYM’ye başvurularak atlanamaz. Ekinci’nin açıkladığı ikincillik ilkesi, temel hakları koruma görevinin önce olağan idare ve yargı mercilerine ait olduğunu gösterir. Bununla birlikte her teorik başvuru imkânının tüketilmesi gerekmez; yolun erişilebilirliği ve ihlali giderme elverişliliği değerlendirilir. Yalnızca başarılı olunamayacağı düşüncesi, mevcut bir yolu kullanmamak için yeterli değildir.⁵⁶

Tüketme koşulu, bir mahkemeye herhangi bir dilekçe verilmesiyle gerçekleşmiş sayılmaz. Hak ihlali iddiasının özü, onu inceleyebilecek ulusal merciler önünde uygun aşamada ve usulde ileri sürülmelidir. Örneğin para cezasına ilişkin yargılamada belirleyici bir savunmanın karşılanmadığı ileri sürülecekse, savunmanın içeriği ve yargılama dosyasındaki yeri gösterilmelidir. Başvurucunun yalnızca davayı kaybettiğini belirtmesi, bireysel başvurunun maddi temelini kurmaz. Birden fazla ihlal iddiasının bulunması hâlinde başvuru yollarının tüketilmesi ve diğer kabul koşulları her iddia bakımından ayrı ele alınabilir.⁵⁷

AYM’ye başvuruda süre de ayrıca gözetilmelidir. 6216 sayılı Kanun’un 47. maddesinin beşinci fıkrası, başvuru yollarının tüketildiği tarihten; başvuru yolu öngörülmemişse ihlalin öğrenildiği tarihten itibaren otuz günlük süre öngörür. Nihai karar, bu karara ilişkin bildirim ve öğrenme olguları ile bunları gösteren belgeler birlikte değerlendirilmelidir. Süreyi her dosyada yalnız karar başlığındaki tarihten hesaplamak veya yeni bir başvurunun süreyi mutlaka yeniden başlatacağını varsaymak doğru değildir. Başvuru dilekçesinde ihlal edilen hak, gerekçeler ve tüketme aşamalarının gösterilmesi; dayanılan delillerle kararların eklenmesi de süreye uyulmasından ayrı yükümlülüklerdir.⁵⁸

Süresinde başvurulması, esasa geçilmesini tek başına sağlamaz. Kanun’un 48. maddesi, açıkça dayanaktan yoksun başvuruların kabul edilemez bulunmasına imkân verir. Anayasa’nın uygulanması ve yorumlanması yahut temel hakların kapsam ve sınırlarının belirlenmesi açısından önem taşımayan ve başvurucunun önemli bir zarara uğramadığı başvurular bakımından da ayrı bir kabul edilemezlik ölçütü vardır. Bu son değerlendirmede anayasal önem ile kişisel zarar birlikte ele alınır; yalnız para cezasının tutarına bakılarak bütün başvurular için otomatik sonuç üretilemez. Başvurunun, bir hak ihlalini hangi somut nedenlerle ortaya koyduğunu açıklaması gerekir.⁵⁹

AİHM önünde ise Avrupa İnsan Hakları Sözleşmesi ve ilgili protokollerde güvence altına alınan bir hakkın ihlali ileri sürülür. Sözleşme’nin 34. maddesi, ihlalin mağduru olduğunu iddia eden kişi, hükümet dışı kuruluş veya kişi gruplarının başvurusunu düzenler. Başvuru, özel şirketin davranışına karşı doğrudan bir özel hukuk davası değildir; ilgili devletin Sözleşme kapsamındaki sorumluluğuna yönelir. Veri koruma uyuşmazlığında özel hayata saygı, yargılamanın niteliğine göre adil yargılanma veya para yaptırımına ilişkin olarak mülkiyet güvenceleri gündeme gelebilir. Her bir hakkın somut olaya uygulanabilirliği ayrıca gösterilmelidir; bütün veri uyuşmazlıklarının aynı maddeden inceleneceği varsayılamaz.⁶⁰

Sözleşme’nin 35. maddesi, iç hukuk yollarının tüketilmesini ve nihai karardan itibaren dört ay içinde başvurulmasını arar. AYM’deki otuz günlük süreyle AİHM’deki dört aylık süre birbirinin yerine geçmez. Türkiye bakımından somut ihlal iddiasını inceleyip gidermeye elverişli AYM başvurusunun da tüketme değerlendirmesine dahil edilmesi gerekir; AYM’ye gitmeden doğrudan AİHM’e başvurulabileceği varsayımıyla hareket edilmemelidir. AİHM’in 2026/1 başvuru açıklamaları, ulusal mercilere aynı şikâyeti giderme fırsatı verilmesini ve süre içinde gerekli bilgileri taşıyan eksiksiz başvuru gönderilmesini özellikle vurgular. Bu nedenle yalnız başvuru niyetini bildiren bir yazının dört aylık süreyi koruduğu kabul edilemez.⁶¹

AİHM’de de süre ve tüketme koşulları bütün kabul edilebilirlik incelemesini tüketmez. Anonim, daha önce incelenmiş bir meseleyle esasen aynı olan veya başka bir uluslararası incelemeye sunulmuş ve yeni bilgi içermeyen başvurular; Sözleşme ile bağdaşmama, açıkça dayanaksızlık, başvuru hakkının kötüye kullanılması ve önemli dezavantaj ölçütleri ayrıca değerlendirilir. İhlal iddiasının kabul edilebilir bulunması da ihlalin gerçekleştiği anlamına gelmez. Böylece Kurul işleminin hukuka aykırılığı iddiası, ulusal yargılama sürecindeki temel hak sorunu ve Sözleşme kapsamındaki devlet sorumluluğu aynı olayın bağlantılı, fakat ayrı koşullara sahip hukuki düzeyleri olarak ele alınmalıdır.⁶²

Dipnotlar