22. Ceza hukukunda kişisel verilerin korunması

Bir kurumun kayıt sistemindeki verilerin amaç dışında sorgulanması, kaydedilmesi veya üçüncü kişiye aktarılması birden fazla hukuki sorunu beraberinde getirir. Önceki iki bölümde açıklanan idari yaptırım ve giderim yollarının yanında, belirli kişinin ceza sorumluluğu da gündeme gelebilir. Bu sorumluluk, ihlalin genel olarak sakıncalı bulunmasına değil, kanuni suç tanımının ve kişisel isnat koşullarının gerçekleşmesine bağlıdır.

Bu bölüm, kişisel veri suçlarının koruduğu değerden başlayarak kaydetme, verme, yayma, ele geçirme ve yok etmeme hareketlerini ayırır. Ardından nitelikli hâller, kast ve hukuka uygunluk ile haberleşme, özel hayat ve bilişim suçlarının sınırları ele alınır. Soruşturma ve tüzel kişi tedbirleriyle farklı hukuk yollarının birlikte işlemesi, aynı olayın her aşamada hangi soruya ve hangi muhataba göre değerlendirileceğini gösterir.

22.1. Kişisel veri suçlarının koruduğu değer ve KVKK ile ilişkisi

Kişisel verilere ilişkin suçlarda korunan değer, verilerin bulunduğu bilgisayarın veya kayıt ortamının ekonomik değerine indirgenemez. Veriler üzerinde gerçekleştirilen müdahale, bu bilgilerin ilişkili olduğu kişinin özel hayatını ve kişisel verilerinin korunmasını isteme hakkını etkiler. Nitekim Türk Ceza Kanunu’nda bu suçlar, kişilere karşı suçlar kısmının özel hayata ve hayatın gizli alanına karşı suçlar bölümünde düzenlenmiştir. Aygün Eşitli, suçun maddi konusu olan kişisel veri ile hukuki konusu olan hakkı ayırırken, özel hayata saygı kapsamında kişisel verilerin korunmasını isteme hakkını esas alır.¹

Bu koruma, yalnız başkalarından bütünüyle gizlenen bilgilerin saklanmasından ibaret değildir. Anayasa’nın 20. maddesinin üçüncü fıkrası bilgilendirilme, verilere erişme, düzeltme veya silme talebi ve amaç doğrultusunda kullanımın öğrenilmesini birlikte güvence altına alır. Öğretide Gürler, korunan değeri verinin kendisi yerine kişinin özel hayat hakkı üzerinden açıklar; aynı zamanda kişinin verilerinin kullanımı üzerindeki belirleme imkânını kişilik ve kişisel gelişimle ilişkilendirir. Bu çerçeve, bir bilginin belirli bir ilişkide açıklanmış olması ile onun her amaçla kullanılabilmesi arasında neden ayrım yapılması gerektiğini gösterir.²

Korunan değerin nasıl adlandırılacağı konusunda ise görüş birliği yoktur. Sınar, 2010 anayasa değişikliğinden hareketle özellikle 136. maddede korunan hukuki yararın özel hayatın gizliliğinden ayrı, bağımsız bir kişisel verilerin korunması hakkı olduğunu savunur. Bu yaklaşım, korumayı kişinin gizli tuttuğu alanla açıklamanın yetersizliğini vurgular. Özel hayatla bağlantıyı öne çıkaran görüş ile bağımsız hak yaklaşımı arasındaki ayrım, hangi verilerin korunduğunun gerekçelendirilmesinde önem taşır; her iki açıklamada da suçun maddi konusu ile korunan kişi hakkı birbirinden ayrılmalıdır.³

Bununla birlikte bir hakkın geniş kapsamlı korunması, ceza sorumluluğunun da sınırsız kurulmasını sağlamaz. Anayasa’nın 38. maddesi ve TCK’nın 2. maddesi suçta ve cezada kanunilik ilkesini güvence altına alır. Kanunun açıkça suç saymadığı bir davranış, kişisel verilerin korunması bakımından sakıncalı görüldüğü için suç hâline getirilemez; kıyas veya kıyasa yol açan geniş yorumla suçun kapsamı değiştirilemez. İdarenin düzenleyici işlemleriyle suç ve ceza konulamayacağı kuralı da Kurulun veri koruma alanındaki düzenleme yetkisi ile kanun koyucunun ceza normu koyma yetkisini ayırır.⁴

6698 sayılı Kanun’un 17. maddesinin ilk fıkrası, kişisel verilere ilişkin suçlar bakımından TCK’nın 135–140. maddelerine gönderme yapar. Bu düzenleme, her KVKK yükümlülüğünü aynı kapsamda bir ceza normuna dönüştürmez. TCK’da hukuka aykırı kaydetme, verme, yayma veya ele geçirme ile verileri yok etmeme ayrı düzenlemelere bağlanmıştır. Ayrıca 17. maddenin ikinci fıkrası, Kanun’un 7. maddesine aykırı silmeme veya anonim hâle getirmemeyi TCK’nın 138. maddesine bağlayan özel bir hüküm içerir. Bu nedenle önce gerçekleştiği ileri sürülen davranış ve uygulanması düşünülen somut suç tanımı belirlenmelidir.⁵

KVKK’daki “işleme” kavramı, ceza kanununda sayılan hareketlerden daha geniş bir faaliyet alanını kapsar. Verilerin değiştirilmesi, yeniden düzenlenmesi veya sınıflandırılması da işleme olabilir; fakat “hukuka aykırı işleme vardır” cümlesi, hangi suçun unsurlarının gerçekleştiğini tek başına açıklamaz. Aygün Eşitli’nin vurguladığı üzere, her işleme aykırılığını kaydetme veya verme suçunun içine yerleştirmek kanunilik sınırıyla bağdaşmaz. Benzer şekilde bir güvenlik yükümlülüğünün ihlal edilmesi ile belirli bir kişinin verileri hukuka aykırı olarak ele geçirmesi, aynı normatif inceleme değildir. İdari yaptırım veya özel hukuk sorumluluğu ihtimalleri, ceza suçunun bulunup bulunmadığından ayrıca değerlendirilir.⁶

KVKK’nın uygulama alanı ile TCK’daki suçların uygulama alanının tamamen örtüştüğü de varsayılmamalıdır. KVKK’nın 2. maddesi, otomatik işleme veya otomatik olmayan işlemenin veri kayıt sisteminin parçası olması gibi kapsam koşulları içerir. Aygün Eşitli, KVKK kapsamı dışında kalan bir kişisel veri ihlalinin, koşulları varsa TCK kapsamında suç oluşturabileceğine işaret eder. Dolayısıyla bir olayda Kurulun yetkili görülmemesi ile ceza hukukunun hiçbir koruma sağlamaması aynı sonuç değildir. Tersine, KVKK kapsamındaki bir işlemenin varlığı da suç tanımındaki diğer koşulların incelenmesini gereksiz kılmaz.⁷

Ceza sorumluluğunun muhatabı da kişisel olarak belirlenmelidir. TCK’nın 20. maddesine göre kimse başkasının fiilinden dolayı cezalandırılamaz; tüzel kişiler bakımından ise kanunda öngörülen güvenlik tedbirleri saklıdır. Bu nedenle bir şirketin veri sorumlusu sıfatını taşıması, o şirketteki bütün yöneticilerin veya çalışanların aynı suçtan kendiliğinden sorumlu tutulmasını sağlamaz. Hangi gerçek kişinin hangi davranışı gerçekleştirdiği, görevi ve yetkisiyle bağlantısı, kastı ve varsa suça katılma biçimi açıklanmalıdır. TCK’nın 21. ve 22. maddeleri uyarınca kast ile taksir ayrımı da korunur; her güvenlik aksaklığı, kasten veri suçu işlenmiş gibi nitelendirilemez.⁸

Örneğin bir çalışanın görevini yürütmek için kullanabildiği kayıt sisteminden, göreviyle ilgisiz bir amaçla belirli bir kişinin bilgilerini sorguladığı ve bu bilgileri üçüncü kişiye aktardığı varsayılsın. Sisteme giriş yetkisi, bu amaç dışı kullanımın ve aktarımın da hukuka uygun olduğunu göstermez. Buna karşılık yalnız sistemde kullanıcının adının bulunması, bütün suç koşullarının ispatlandığı anlamına gelmez. Sorgulama, bilginin elde edilmesi, yeni bir ortama kaydedilmesi ve başkasına verilmesi somut olayın hareketleri olarak ayrılmalı; hangi davranışın hangi suç tanımına uyduğu ve bunun hukuka aykırılığı açıklanmalıdır.⁹

Ceza hukuku bakımından belirleyici inceleme böylece korunan hakkın öneminden somut suçun unsurlarına ilerler. Bilginin kişisel veri niteliği, gerçekleştirilen hareket, hukuka aykırılık ve fiilin ilgili kişiye isnadı birlikte değerlendirilir. KVKK, bu incelemede işleme koşullarının ve yükümlülüklerin anlaşılmasına katkı sağlar; fakat suç tanımındaki eksik bir unsuru yalnız genel koruma amacıyla tamamlamaz. Bu yaklaşım, kişisel verilere yönelik müdahalelerin ciddiyetini korurken ceza sorumluluğunu da kanuni sınırları içinde kurar.

22.2. Hukuka aykırı kaydetme, verme, yayma ve ele geçirme

Bir kişisel veri ihlalinde kullanılan aracın adı, gerçekleşen hareketin hukuki niteliğini tek başına göstermez. Aynı dosyanın bir cihaza yazılması kaydetme, başka bir kişinin tasarrufuna geçirilmesi ele geçirme, belirli bir alıcıya gönderilmesi verme ve erişime açılması yayma bakımından farklı sorular doğurabilir. TCK’nın 135. maddesi kaydetmeyi; 136. maddesi ise verme, yayma ve ele geçirmeyi düzenler. Bu nedenle incelemede önce verinin başlangıçta nerede ve kimin hâkimiyetinde bulunduğu, ardından failin ne yaptığı açıklanmalıdır.¹⁰

Kaydetme, bilginin sonradan ulaşılabilecek biçimde bir ortamda tutulmasıyla ilişkilidir. Bunun için mutlaka bilgisayar veri tabanı kurulması gerekmez; bir kâğıda yazma, telefon veya taşınabilir bellekte saklama da gündeme gelebilir. Gürler ve Aygün Eşitli, kullanılan araçtan çok verinin sonradan erişilebilir biçimde muhafazasını esas alır. Dolayısıyla bir şirketin müşterilerine ilişkin bilgilerin çalışan tarafından kişisel bir listeye aktarılması varsayımında, listenin kâğıtta veya elektronik ortamda bulunması tek başına belirleyici değildir. Kaydın konusu, kapsamı ve hukuka aykırılığı araştırılır.¹¹

Kaydetme ile bilginin yalnız görülmesi veya zihinde tutulması aynı hareket değildir. Gürler, sırf okuma veya ezberlemeyi kaydetme saymaz. Ancak buradan bilginin başka yollarla öğrenilmesinin veya başkasına açıklanmasının ceza hukukunda hiçbir önem taşımadığı sonucu çıkarılamaz. Sınar, ele geçirmeyi fiilî tasarruf alanına alma üzerinden daha geniş ele alır; salt öğrenme ile kayıtlı verinin edinilmesinin sınırında farklı değerlendirmelerin bulunduğunu da gösterir. Bu bakımdan “kayıt yok” tespiti, önce 135. maddedeki hareket yönünden anlamlandırılmalı; diğer suçların koşulları ayrıca incelenmelidir.¹²

Verme, kişisel verinin başka bir kişiye iletilmesi veya onun erişimine sunulmasıdır. Belirli bir alıcıya gönderilen müşteri listesi, bu hareketin anlaşılmasını sağlayan bir örnektir. Verinin ilk kez hukuka aykırı kaydedilmiş olması şartıyla sınırlı bir inceleme yapılmaz: başlangıçtaki kayıt hukuka uygun olsa bile sonraki aktarımın ayrıca hukuka uygunluğu araştırılır. Örneğin bir hizmetin yürütülmesi için alınan iletişim bilgilerinin, bu hizmetten bağımsız bir üçüncü kişiye açıklanması aynı yetkiyle gerekçelendirilemez. İlk kaydın amacı ile sonraki açıklamanın amacı ve hukuki temeli ayrılmalıdır.¹³

Yayma, bilginin daha geniş bir çevreye ulaşabilmesine imkân tanıyan harekettir. Verinin herkese açık bir internet sayfasına veya sosyal medya hesabına konulması bu açıdan değerlendirilir. Öğretide verme ile yaymanın ayrımında belirli alıcıya iletme ve belirsiz sayıdaki kişiye erişim sağlama ölçütleri kullanılmaktadır. Sınar, içeriğin başkalarınca fiilen öğrenilmiş olmasından çok öğrenilebilme imkânının sağlanmasına dikkat çeker. Dolayısıyla paylaşımın hangi çevreye açık olduğu ve erişimin nasıl sağlandığı belirlenmelidir; yalnız “internette yer aldı” ifadesi olayın bütün koşullarını açıklamaz.¹⁴

Ele geçirme ise kişisel verinin failin fiilî hâkimiyet alanına alınmasıyla ilgilidir; verme ve yaymadan farklı olarak mutlaka başka bir alıcıya aktarım içermez. Bunun teknik bir saldırıyla gerçekleşmesi zorunlu değildir. Sınar, çalışanın normalde ulaşabildiği müşteri bilgilerini hukuka aykırı biçimde kendi kişisel bilgisayarına aktarmasını da bu kapsamda ele alır. Gürler ise erişim yetkisi bulunan ve bulunmayan kişiler üzerinden kaydetme–ele geçirme ayrımını örneklendirir. Bu yaklaşımlar birlikte değerlendirildiğinde, sisteme giriş yetkisini bütün sonraki işlemleri hukuka uygun kılan veya 136. maddeyi mutlaka dışlayan tek ölçüt olarak kullanmak yeterli değildir.¹⁵

Bir veri kümesinin hem kaydedilmesi hem aktarılması, suç sayısının yalnız dosya veya işlem sayılarak belirlenmesini de haklı kılmaz. 136. maddede üç seçimlik hareket vardır; Aygün Eşitli, amaçsal ve zamansal birlik içinde birden fazla hareket gerçekleştirilmesini tek suç çerçevesinde açıklar. Buna karşılık 135. maddedeki kaydetme ile 136. maddedeki hareketlerin ilişkisi ayrıca tartışılır. Gürler, kaydetmenin 136. maddenin zorunlu unsuru olmadığını vurgular ve farklı görüşe de işaret eder. Dolayısıyla aynı olayda hangi fiillerin bağımsız nitelik taşıdığı, ne zaman gerçekleştiği ve birbiriyle ilişkisi açıklanmadan her teknik adıma ayrı suç veya bütün sürece tek suç sonucu bağlanmamalıdır.¹⁶

Görev dışı sorgulama örneğinde de çalışanın bilgiyi yalnız ekranda görmesi, kişisel belleğine aktarması ve belirli bir üçüncü kişiye göndermesi ayrı olgular olarak ortaya konulmalıdır. Bu ayrım, aynı davranışı farklı adlarla tekrar cezalandırmaya da suç tanımındaki bir hareketi gözden kaçırmaya da engel olur. Kişisel veri niteliği, somut hareket ve hukuka aykırılık belirlendikten sonra kast, nitelikli hâller ve komşu suçlarla ilişki incelenir. Ceza kanununun koruduğu hak, somut fiilin bu unsurlar üzerinden gerekçelendirilmesini gereksiz kılmaz.¹⁷

22.3. Verileri yok etmeme ve KVKK m. 17 bağlantısı

Kişisel verilerin korunması, yalnız verinin başkasının eline geçmesini önlemekten ibaret değildir. Başlangıçta hukuka uygun biçimde tutulan bir kaydın, tutulmasını haklı kılan sebepler sona erdiği hâlde saklanması da kişinin verileri üzerindeki korumayı etkiler. Bununla birlikte saklama yükümlülüğüne aykırılık ile verileri yok etmeme suçunun koşulları aynı cümleyle açıklanamaz. TCK’nın 138. maddesi, kanunların belirlediği süreler geçmesine rağmen sistem içindeki verileri yok etmekle yükümlü kişinin görevini yerine getirmemesini düzenler. İncelemede hangi verinin, hangi sürenin sonunda, kim tarafından yok edilmesi gerektiği belirlenmelidir.¹⁸

Suçun faili, kaydı görebilen veya kurumda çalışan herhangi bir kişi değildir; yok etme yükümlülüğünü taşıyan kişidir. Bu yönüyle öğretide özgü suç olarak nitelendirilir. Kurumun veri sorumlusu sıfatını taşıması ile belirli gerçek kişinin ceza sorumluluğu birbirinden ayrılır. Örneğin imha işleminin yürütülmesi farklı birimlere dağıtılmışsa yalnız görev unvanından hareketle sorumluluk kurulamaz; ilgili kayda ilişkin görev, yetki ve yerine getirilmeyen davranış somutlaştırılmalıdır. Sözleşme veya iç görev dağılımı bu incelemede önem taşıyabilir; ancak bunların varlığı, uygulanacak kanuni suç tanımının ayrıca gösterilmesi gereğini ortadan kaldırmaz.¹⁹

TCK’nın 138. maddesinde “kanunların belirlediği süreler” denilmesi ayrıca tartışmalıdır. Uçar, öğretide bu ifadeyi mevzuatı kapsayacak biçimde yorumlayan görüşü aktarmakta, kendisi ise kanunilik nedeniyle şekli anlamda kanunla sınırlı okumayı savunmaktadır. Ayrım, yalnız kullanılan sözcükle ilgili değildir: süresi bir yönetmelikte düzenlenen yükümlülüğün ceza sorumluluğuna nasıl bağlanacağı sonucunu etkiler. Bu nedenle kurum politikasındaki bir tarihin aşılmasını, dayanağını incelemeden doğrudan 138. maddedeki kanuni sürenin aşılması olarak kabul etmek yeterli değildir.²⁰

6698 sayılı Kanun’un 7. maddesi ise işlenmesini gerektiren sebeplerin ortadan kalkması üzerine verinin resen veya talep üzerine silinmesini, yok edilmesini veya anonim hâle getirilmesini öngörür. Diğer kanunlardaki hükümler saklıdır. Böylece veri koruma hukukundaki ilk soru, ilgili kaydın tutulmasını gerektiren bir sebebin hâlen bulunup bulunmadığıdır. İlk amacın sona ermesiyle bütün işleme sebeplerinin sona ermesi birbirine karıştırılmamalıdır. Kanuni saklama hükmü devam eden bir belgeyle, artık hiçbir işleme şartına dayanmayan kayıt aynı durumda değildir. Bu saklama incelemesinin ayrıntıları 14. bölümde açıklanmıştır.²¹

1. maddedeki üç işlem ile ceza normunun ilişkisini kuran özel hüküm, 17. maddenin ikinci fıkrasıdır. Bu hüküm, 7. maddeye aykırı olarak kişisel verileri silmeyen veya anonim hâle getirmeyenlerin TCK’nın 138. maddesine göre cezalandırılacağını belirtir. Öğretide Aygün Eşitli, silmeme ve anonim hâle getirmemeyi 138. maddenin dışında ayrıca düzenlenen fiiller olarak ele alır. Uçar ise terminolojik farklılığa rağmen hükümlerin aynı suç fiiline yönelik olduğu görüşünü benimser. Dolayısıyla gönderme, yalnız cezanın belirlenmesine mi yoksa aynı suçun açıklanmasına mı ilişkindir sorusu, üzerinde görüş birliği bulunan bir konu değildir.²²

Bu tartışma, imha yöntemlerinin birbirinin aynısı sayılmasını da haklı kılmaz. Yönetmelikte silme ilgili kullanıcının erişim ve yeniden kullanım imkânını, yok etme hiç kimsenin veriye ulaşamaması ve onu geri getirememesini, anonimleştirme ise gerçek kişiyle bağlantının ortadan kaldırılmasını esas alır. Hangi sonucun arandığı belirlenmeden yalnız “dosya kaldırıldı” denilerek yükümlülüğün yerine getirildiği gösterilemez. Öte yandan 7. maddedeki seçeneklerin birlikte sayılması, her olayda üçünün de ayrı ayrı uygulanacağı anlamına gelmez. Uygun yöntem seçimiyle belirli kanunun özellikle yok etmeyi emrettiği durum ayrılmalıdır.²³

Yok etmeme suçunda isnat edilen davranış, yapılması gereken işlemin yapılmamasıdır; verinin mutlaka üçüncü kişiye verilmiş olması aranmaz. Aygün Eşitli, suçun ihmal niteliğini ve ayrıca zarar aranmadığını vurgular. Bu nedenle verinin dışarı sızmadığı savunması, imha yükümlülüğü ve suçun diğer koşullarının araştırılmasını gereksiz kılmaz. Buna karşılık imhanın gerçekleşmediği tespiti de kast incelemesinin yerine geçmez. TCK’nın kast ve taksire ilişkin genel hükümleri korunarak kişinin yükümlülüğü ve hareketsizliğiyle kurduğu ilişki ayrıca değerlendirilmelidir.²⁴

Örneğin saklama tablosundaki tarihten sonra bir müşteri kaydının sistemde kaldığı varsayılsın. Önce tablonun hangi kanuni sebebe ve hangi işleme faaliyetine dayandığı, devam eden başka saklama sebebi bulunup bulunmadığı ve hangi imha işleminin gerektiği araştırılır. Ardından süreyi belirleyen hüküm, yükümlü gerçek kişi ve yerine getirilmeyen davranış açıklanır. Bu unsurlar ortaya konulduğunda, veri koruma hukukundaki uyum eksikliğiyle ceza sorumluluğu arasındaki bağlantı gerekçelendirilebilir; yalnız gecikme sayısından veya kaydın hâlen bulunmasından suçun bütün unsurları çıkarılamaz.

22.4. Nitelikli hâller, kast ve hukuka aykırılık

Kişisel verilere ilişkin suçlarda cezanın ağırlaşması, ihlalin genel olarak ciddi bulunmasına bağlı değildir. Kanun, belirli veri türleri, failin görev veya meslek bağlantısı ve verinin elde edildiği muhakeme işlemi bakımından ayrı koşullar öngörür. Bu koşulların hangi suça ait olduğu belirlenmelidir; bir suç için düzenlenen artırım, kişisel veri koruma amacı gerekçe gösterilerek diğerine aktarılamaz.

TCK’nın 135. maddesinin ikinci fıkrasında siyasi, felsefi veya dinî görüş, ırki köken, ahlaki eğilim, cinsel yaşam, sağlık durumu ve sendikal bağlantıya ilişkin veriler yönünden, birinci fıkraya göre verilecek cezanın yarı oranında artırılması öngörülmüştür. Hükümde ahlaki eğilime ilişkin ibarenin hukuka aykırılık kaydı da bulunur. Bu sayım, KVKK’nın özel nitelikli kişisel verilere ilişkin 6. maddesiyle özdeş değildir. Dolayısıyla KVKK bakımından özel nitelikli sayılan her verinin kaydedilmesine, yalnız bu sıfat nedeniyle 135. maddenin ikinci fıkrasındaki artırım uygulanacağı söylenemez. Suçun konusu, ceza normundaki sayımla karşılaştırılmalıdır.²⁵

Verme, yayma veya ele geçirmede ise 136. maddenin ikinci fıkrası, CMK’nın 236. maddesinin beşinci ve altıncı fıkraları uyarınca kayda alınan beyan ve görüntülere özgü bir artırım getirir. Yok etmeme suçunun 138. maddenin ikinci fıkrasındaki nitelikli hâli, CMK hükümlerine göre ortadan kaldırılması veya yok edilmesi gereken veriyi esas alır. İlkinde belirli kayıtların hukuka aykırı dolaşıma sokulması veya edinilmesi, ikincisinde muhakeme hukukunun gerektirdiği kaldırma veya yok etmenin yapılmaması söz konusudur. İki hüküm de cezayı bir kat artırır; fakat uygulama koşulları birbirinin yerine geçmez.²⁶

1. madde de cezayı yarı oranında artırır. Burada kamu görevlisi olmak tek başına yeterli değildir: suçun görevin verdiği yetki kötüye kullanılarak işlenmesi gerekir. Diğer bentte de belirli bir meslek veya sanatın sağladığı kolaylıktan yararlanılması aranır. Bu nedenle kişinin unvanıyla fiilin nasıl gerçekleştirildiği arasındaki bağ açıklanmalıdır. Sınar, mesleğin icrası ile suçun işleniş biçimi arasındaki bağlantıyı vurgular. Madde, kendisinden önce düzenlenen suçlara ilişkindir; 138. maddedeki yok etmeme suçuna bu artırım uygulanmaz. Kamu görevlisi sıfatı, orada ayrıca düzenlenmemiş bir ağırlaştırma sebebine dönüştürülemez.²⁷

Maddi hareketin ve varsa nitelikli hâlin belirlenmesinden sonra manevi unsur incelenir. TCK’nın 21. maddesi kastı suç tanımındaki unsurların bilinerek ve istenerek gerçekleştirilmesine bağlar; 22. maddesi ise taksirli fiillerin ancak kanunda açıkça belirtilen hâllerde cezalandırılmasını öngörür. Kişisel veri suçlarında bir erişim veya gönderim işleminin gerçekleştiğini göstermek, kişinin hangi bilgi ve iradeyle hareket ettiğini tek başına göstermez. Özellikle yanlış dosya gönderme ile bilerek başkasının verisini aktarma aynı biçimde ele alınamaz.²⁸

Olası kast bakımından da tartışma vardır. Aygün Eşitli, kaydetme suçunda “hukuka aykırı olarak” ibaresinden hareketle doğrudan kastı esas alır. Sınar ise 136. madde yönünden doğrudan kastla sınırlayan görüşü aktardıktan sonra, hukuka aykırılık ifadesinin tek bir maddi unsuru değil fiilin bütününü değerlendirdiğini açıklar. Bu ayrım, kanuni tanımda hukuka aykırılığın ayrıca anılmasının kastın kapsamına etkisiyle ilgilidir. Fiilin sonucu öngörülmüş olsa bile bunun kabullenilmesiyle gerçekleşmeyeceğine güvenilmesi arasındaki fark açıklanmadan, güvenlikteki her ağır özensizlik olası kast sayılmamalıdır.²⁹

Hata incelemesi de kasttan bağımsız, genel bir mazeret değerlendirmesine indirgenemez. TCK’nın 30. maddesi maddi unsurlardaki hata, nitelikli hâllere ilişkin hata, ceza sorumluluğunu kaldıran veya azaltan nedenlerin koşullarındaki hata ve fiilin haksızlığına ilişkin hatayı ayrı düzenler. Bir dosyanın kişisel veri içermediğini sanmakla, içerdiğini bilip aktarımın hukuken serbest olduğunu düşünmek farklı sorunlardır. Hangi yanılgının ileri sürüldüğü belirlenmeli; kanunun ilgili fıkrada aradığı koşullar uygulanmalıdır. “Bilmiyordum” açıklaması bu ayrımı tek başına yapmaz.³⁰

Hukuka uygunluk bakımından ise kanun hükmünü yerine getirme, hakkın kullanılması ve ilgilinin rızası gibi nedenler somut fiille ilişkilendirilir. Kanunun belirli verinin yetkili makama verilmesini öngörmesi, aynı verinin ilgisiz kişilere de açıklanmasına izin vermez. Benzer biçimde bir hakkı korumak için gerekli belgenin ilgili mercie sunulmasıyla, belgenin bütün içeriğinin kamuya yayılması aynı işlem değildir. KVKK’nın işleme şartları da kapsam, amaç ve gereklilik sınırlarıyla birlikte değerlendirilir. Bir hukuki sebebin adını söylemek, onun somut işleme gerçekten uygulanabildiğini göstermekten farklıdır.³¹

Rızanın işlevi konusunda Gürler, kişinin veri üzerindeki tasarruf yetkisini yalnız suçun şikâyete bağlı olup olmamasıyla belirleyen karşı görüşü aktarır ve bu ölçütü tek başına yeterli bulmaz. Anayasal güvence ve KVKK’daki düzenlemelerle birlikte açık rızanın hukuka uygunluk sebebi olabileceğini savunur. Bununla birlikte rıza, hangi veriye, amaca ve işleme ilişkinse o kapsamda değerlendirilir; bir hizmet için açıklama, her sonraki aktarıma verilmiş izin değildir. Yok etmeme suçunda kanuni yükümlülüğün rızayla bertaraf edilip edilemeyeceği ise ayrıca tartışmalıdır. Aygün Eşitli bu suçta rızayı yeterli görmez ve karşı görüşe de işaret eder.³²

Son olarak hiyerarşik talimat, hukuka uygunluk incelemesini ortadan kaldırmaz. TCK’nın 24. maddesi konusu suç teşkil eden emrin yerine getirilemeyeceğini belirtir; hukuka uygunluğu denetlemenin kanunen engellendiği hâlleri ayrıca düzenler. Bu istisnai hüküm, her yönetici talimatına genel dokunulmazlık tanımaz. Hangi kanuni görevin veya hakkın kullanıldığı, rızanın kapsamı ve kişinin bilgi ve iradesi belirlenerek maddi fiil ile kişisel ceza sorumluluğu arasındaki bağ kurulmalıdır.³³

22.5. Haberleşme, özel hayat ve bilişim suçlarıyla sınırlar

Bir bilgi hem kişisel veri niteliği taşıyabilir hem de haberleşmenin veya özel hayatın parçası olabilir. Ancak aynı bilginin birden fazla hukuki nitelik taşıması, her müdahalenin bütün suçları oluşturduğu anlamına gelmez. İncelemede bilginin içeriği kadar nasıl elde edildiği, kayda alınıp alınmadığı, kim tarafından ve kime açıklandığı belirlenmelidir. Elektronik araç kullanılması da tek başına uygulanacak suç maddesini göstermez.

TCK’nın 132. maddesi kişiler arasındaki haberleşmenin gizliliğini, haberleşme içeriğinin kaydı ve ifşasını ayrı hükümlerle düzenler. Haberleşmeye dışarıdan müdahale ile kişinin kendisiyle yapılan haberleşmeyi açıklaması aynı fıkraya bağlanmamıştır. Özellikle üçüncü fıkrada diğer tarafın rızası olmaksızın hukuka aykırı ve alenen ifşa koşulları yer alır. Bu nedenle bir mesajın kişisel bilgi içermesi yanında, açıklamayı yapanın haberleşmedeki konumu ve açıklamanın çevresi de araştırılmalıdır. Mesajın bir ekran görüntüsüne dönüştürülmesi, haberleşme içeriği niteliğini kendiliğinden ortadan kaldırmaz.³⁴

1. madde ise aleni olmayan konuşmaların dinlenmesi ve kayda alınmasına ilişkindir. İlk fıkrada taraflardan birinin rızası olmaksızın aletle dinleme veya ses alma cihazıyla kaydetme; ikinci fıkrada kişinin katıldığı aleni olmayan söyleşiyi diğer konuşanların rızası olmadan kaydetmesi düzenlenir. Üçüncü fıkra, aleni olmayan konuşmaların kaydedilmesiyle elde edilen verilerin hukuka aykırı ifşasına yönelir. Dolayısıyla dinleme, konuşmaya katılma, kayıt ve daha sonra açıklama ayrı olgular olarak ele alınmalıdır. Bunlardan biri hakkında verilen değerlendirme, diğerine ilişkin incelemenin yerini tutmaz.³⁵

2. maddede özel hayatın gizliliğinin ihlali ile özel hayata ilişkin görüntü veya seslerin hukuka aykırı ifşası düzenlenmiştir. Görüntü veya ses aynı zamanda bir kişiye ilişkin bilgi içerse de, özel hayat bağlamındaki bu düzenleme gözden kaçırılamaz. Aygün Eşitli, özel hayatın gizli alanına ilişkin görüntü ve sesin kaydıyla, bu alana ilişkin bilginin yazılı bir veriye dönüştürülerek kaydını ayırır; ilk durumda 134. maddenin özel norm olarak uygulanmasını açıklar. Böylece verinin kişisel niteliği kadar kayda konu müdahalenin biçimi de suç vasfını etkiler.³⁶

Bu suçların 135. ve 136. maddelerle ilişkisi öğretide tek bir açıklamayla kurulmamaktadır. Sınar, 132 ve 133’teki ifşa ile 136. maddenin birlikte gündeme geldiği olayları fikrî içtima üzerinden ele alırken, 134–136 ilişkisi bakımından özel norm ve fikrî içtima yaklaşımlarını birlikte gösterir. Aygün Eşitli ise özellikle özel hayata ilişkin görüntü veya sesin kaydında özel normun önceliğini vurgular. Bu farklı açıklamalar karşısında yalnız “kişisel veri vardır” denilerek özel suç tanımının incelenmesinden vazgeçilemez; aynı fiilin hangi unsurları gerçekleştirdiği ve normlar arasındaki ilişki gerekçelendirilmelidir.³⁷

Bilişim suçlarında ise farklı bir müdahale konusu vardır. 243. madde bilişim sistemine hukuka aykırı girmeyi veya orada kalmayı düzenler; 244. madde sistemin işleyişini engelleme veya bozmanın yanında sistemdeki veriler üzerinde bozma, yok etme, değiştirme ve erişilmez kılma gibi hareketleri kapsar. Burada sistemde bulunan her verinin mutlaka kişisel veri olması aranmaz. Buna karşılık kişisel verinin ele geçirilmesi, bilişim sistemine hukuka aykırı giriş olmadan da gerçekleşebilir. Bir çalışanın normal erişim yetkisinin bulunmasıyla elde ettiği veriyi hukuka aykırı olarak kişisel tasarrufuna geçirmesi arasındaki ayrım, bu nedenle önemini korur.³⁸

Sisteme hukuka aykırı giriş ile içindeki kişisel verilerin ele geçirilmesi, aynı olayda birbirini izleyebilir. Sınar, 243. maddedeki suçu 136. maddenin zorunlu geçiş aşaması olarak görmez ve ayrı fiiller bakımından gerçek içtimayı savunur. Ancak somut olayda yalnız sistemin ve dosyanın adını saymak, fiil sayısını veya uygulanacak içtima kuralını belirlemez. TCK’nın 42. maddesindeki bileşik suç ile 44. maddesindeki tek fiille farklı suçların oluşması ayrımı da gözetilmelidir. Gerçekleştirilen müdahaleler ve bunların birbirine bağlanma biçimi açıklanmalıdır.³⁹

Örneğin bir kişinin başkasının hesabına girerek yazışmalarını okuduğu, belirli bir yazışmayı kopyaladığı ve daha sonra internette açıkladığı varsayılsın. Sisteme giriş, haberleşme içeriğine müdahale, kayıt ve sonraki açıklama birbirinden ayrılır; içeriğin özel hayatla ilişkisi ve açıklamayı yapanın konumu ayrıca değerlendirilir. Bu ayrım, aynı fiili farklı adlarla tekrar cezalandırmayı da bağımsız bir müdahaleyi görünmez kılmayı da önler. Hukuki nitelendirme, kullanılan uygulamanın adından değil, kanuni tanımlara göre açıklanmış somut fiillerden hareket etmelidir.⁴⁰

22.6. Soruşturma usulü, şikâyet ve tüzel kişilere özgü güvenlik tedbirleri

Bir veri ihlalinin suç oluşturup oluşturmadığıyla, o suçun hangi usulle soruşturulacağı ayrı sorulardır. TCK’nın 139. maddesi, kişisel verilerin kaydedilmesi, verileri hukuka aykırı olarak verme veya ele geçirme ve verileri yok etmeme suçlarını aynı bölümdeki şikâyete bağlı suçlardan ayırır. Bu suçlar bakımından ilgili kişinin şikâyeti bir soruşturma ve kovuşturma şartı değildir. Uçar da yok etmeme suçu açısından bu ayrımın önemini vurgular. Buna karşılık 132–134. maddelerdeki komşu suçlar yönünden şikâyet rejimi farklıdır; olayın doğru nitelendirilmesi usul bakımından da sonuç doğurur.⁴¹

Şikâyet şartının bulunmaması, mağdurun başvurusunun önemsiz olması anlamına gelmez. CMK’nın 158. maddesi suça ilişkin ihbar veya şikâyetin Cumhuriyet başsavcılığına veya kolluğa yapılabilmesini düzenler. Kişinin olayın ne zaman gerçekleştiğini, hangi verisinin ne şekilde kullanıldığını ve bildiği delilleri açıklaması, suç iddiasının somutlaşmasına katkı sağlar. Ancak başvurunun başlığıyla kanuni takip şartı karıştırılmamalıdır. Başvuruya “şikâyet” denilmiş olması, kanunun resen takip ettiği bir suçu şikâyete bağlı hâle getirmez; vazgeçme açıklamasına bağlanacak sonuç da buna göre değerlendirilir.⁴²

Resen takip, ileri sürülen her soyut iddianın bütün kişiler bakımından doğrudan ceza soruşturmasına dönüşmesi demek değildir. CMK’nın 158. maddesinin altıncı fıkrası, fiilin suç oluşturmadığının araştırma gerektirmeksizin açıkça anlaşılması veya ihbar ve şikâyetin soyut ve genel olması hâlini ayrıca düzenler. Suç işlendiği izlenimini veren bir durum öğrenildiğinde ise 160. madde uyarınca maddi gerçek araştırılır; şüphelinin hem lehine hem aleyhine deliller toplanır. Böylece soruşturmanın amacı yalnız ihlal iddiasını doğrulamak değil, isnadı ve savunmayı birlikte incelemektir.⁴³

Kurula yapılan başvuru ile ceza makamlarına bildirim de aynı yol değildir. KVKK’nın 13. maddesindeki veri sorumlusuna başvuru, ilgili kişinin Kanun’dan doğan taleplerini işletir; CMK’nın 158. maddesi ise suç iddiasının yetkili makama bildirilmesine ilişkindir. 139. maddede sayılan suçlar bakımından ceza incelemesi, sırf ilgili kişi önce veri sorumlusuna gitmediği veya Kuruldan henüz bir karar çıkmadığı için şikâyet şartı yokluğuna indirgenemez. Kurulun tespitleriyle ceza dosyasının ilişkisi ise her makamın kendi görev ve inceleme ölçütleri içinde kurulmalıdır.⁴⁴

Kamu görevlisi bakımından resen takip ile soruşturma izni ayrıca ayrılır. 4483 sayılı Kanun, kapsamındaki memur ve diğer kamu görevlilerinin görevleri sebebiyle işledikleri suçlar için izin usulü öngörür; özel usuller ve suçun niteliğine ilişkin hükümler saklıdır. Bu nedenle “şikâyete bağlı değildir” tespiti, uygulanabilecek izin rejimini kendiliğinden kaldırmaz. Tersine, TCK anlamında kamu görevlisi sıfatının bulunmasından da her durumda aynı izin usulünün uygulanacağı sonucu çıkarılamaz. Kişinin statüsü, görevle bağlantı ve varsa özel düzenleme birlikte araştırılmalıdır.⁴⁵

Tüzel kişi bakımından ise başlangıç noktası TCK’nın 20. maddesindeki ayrımdır: tüzel kişiye ceza yaptırımı uygulanmaz; kanunda öngörülen güvenlik tedbirleri saklıdır. 140. madde, bu bölümdeki suçlar dolayısıyla tüzel kişilere özgü tedbirlere gönderme yapar. Genel koşulları düzenleyen 60. maddeyle birlikte okunduğunda, suçun bir şirket bünyesinde işlenmiş olmasıyla şirket hakkında tedbire hükmedilmesi aynı şey değildir. İlgili tedbirin koşulları ve suçun tüzel kişiyle bağlantısı ayrıca gösterilmelidir.⁴⁶

1. maddenin ilk fıkrasındaki iznin iptali; kamu kurumunun verdiği izne dayalı faaliyet, organ veya temsilcilerin iştiraki, iznin verdiği yetkinin kötüye kullanılması ve tüzel kişi yararına işlenen kasıtlı suçtan mahkûmiyet koşullarına bağlanmıştır. İkinci fıkra ise yararına suç işlenen özel hukuk tüzel kişileri bakımından müsadere hükümlerini düzenler. Üçüncü fıkraya göre tedbirlerin fiile nazaran daha ağır sonuçlar doğurabileceği durumlarda hâkim bunlara hükmetmeyebilir. Böylece tüzel kişinin sorumluluğu, bütün olaylarda aynı biçimde uygulanan genel bir şirket kapatma sonucuyla açıklanamaz.⁴⁷

Örneğin çalışanın kişisel amaçla veriyi üçüncü kişiye aktarmasıyla, organ veya temsilcilerin katıldığı ve tüzel kişi yararına gerçekleştirilen bir işlem farklı olgular içerir. İlkinde çalışanın kişisel ceza sorumluluğu araştırılırken, şirket hakkında tedbir için kanuni koşullar ayrıca incelenir. Şirketin güvenlik veya organizasyon yükümlülüklerine ilişkin idari ve özel hukuk sorumluluğu da bu incelemeden ayrı kalır. Failin belirlenmesi, takip şartı, izin usulü ve tüzel kişi tedbiri birbirinin yerine geçirilmeden gerekçelendirilmelidir.

22.7. Ceza, idari yaptırım ve tazminat süreçlerinin birlikte yürütülmesi

Bir veri ihlalinde ceza soruşturması, Kurul incelemesi ve tazminat talebi aynı olaydan doğabilir. Fakat her yolun muhatabı, konusu ve aradığı koşullar aynı değildir. Ceza hukukunda belirli gerçek kişiye suç isnadı; idari yaptırımda kanuni yükümlülüğün ihlali ve yaptırım muhatabı; tazminatta ise ileri sürülen zarar ve sorumluluk sebebi incelenir. Bu nedenle süreçlerin aynı kayda veya aynı kişisel veri kümesine ilişkin olması, bütün sonuçların kendiliğinden birleşmesini ya da birbirini dışlamasını sağlamaz.⁴⁸

Suç ve kabahatin aynı fiilde birleşmesi, Kabahatler Kanunu’nun 15. maddesinin üçüncü fıkrasında ayrıca düzenlenmiştir. Hüküm, bir fiil hem suç hem kabahat olarak tanımlanmışsa suçtan dolayı yaptırımı esas alır; suçtan dolayı yaptırım uygulanamayan hâllerde kabahat yaptırımını öngörür. Bu düzenleme karşısında “idari para cezasıdır” denilerek aynı fiile ilişkin çakışma sorunu geçiştirilemez. Önce hangi davranışın kime isnat edildiği, suç ve kabahat tanımlarının o davranış bakımından nasıl karşılaştığı belirlenmelidir.⁴⁹

Kart ve Ketizmen, bu çakışmayı önlemek üzere fiilin suç oluşturduğu veya suç şüphesinin bulunduğu anda Kurulun idari süreçten el çekmesini savunur. Bu görüş, kanunda aynı fiile iki yaptırımın birlikte uygulanmasına ilişkin özel hüküm bulunmamasını öne çıkarır. Bununla birlikte aynı olay içindeki fiillerin ve muhatapların ayrılması gerekir. Çalışanın veriyi kişisel amaçla açıklaması ile veri sorumlusunun gerekli erişim tedbirlerini almaması, yalnız aynı veri etkilenmiş olduğu için özdeş davranışlar sayılmaz. Suç şüphesinden bütün kurumsal yükümlülüklerin ve giderim incelemesinin ortadan kalktığı sonucuna geçilmemelidir.⁵⁰

Suçtan yaptırım uygulanamaması da gerekçesi üzerinden ele alınmalıdır. Fiilin gerçekleşmediğinin belirlenmesiyle, belirli suç için gereken kastın bulunmaması aynı değerlendirme değildir. Kabahatler Kanunu’nun 9. maddesindeki genel kural, aksine açık hüküm bulunmadıkça kabahatlerin kasten veya taksirle işlenebilmesidir; buna karşılık TCK’nın 22. maddesi taksirli suç için açık düzenleme arar. Dolayısıyla ceza dosyasının sonucu, kabahat bakımından hangi unsuru etkilediği açıklanarak değerlendirilmelidir. 15. maddenin son cümlesi de her beraatin ardından otomatik idari para cezası verilmesi biçiminde okunamaz.⁵¹

Tazminat talebi ise kişiye verilen zararın giderilmesine yönelir. KVKK’nın 14. maddesinin üçüncü fıkrası genel hükümlere göre tazminat hakkını saklı tutar. Saygı, Kanun’daki veri sorumlusuna başvuru düzeninin genel hükümlerdeki yargısal korumayı erteleyen bir ön koşula dönüştürülmesine karşı çıkar. Bu nedenle Kurul önündeki sürecin varlığıyla kişilik hakkı veya sözleşmeden doğan bütün talepler aynı usule bağlanmamalıdır. Her talebin kendi dava şartları ve sorumluluk koşulları ayrıca incelenir; özel hukuk ve idarenin sorumluluğu yolları 21. bölümde açıklanmıştır.⁵²

Ceza davasının sonucu ile özel hukuk incelemesi arasındaki ilişki de bütün yönleriyle otomatik değildir. Türk Borçlar Kanunu’nun 74. maddesi, kusur ve ayırt etme gücü değerlendirmesinde ceza hukukunun sorumluluk hükümleriyle ve beraat kararıyla bağlı olunmadığını; ceza hâkiminin kusur ve zarar değerlendirmesinin hukuk hâkimini bağlamadığını belirtir. Bu hüküm, ceza dosyasındaki bütün maddi tespitlerin her durumda önemsiz olduğu anlamına genişletilmemelidir. Hangi kararın hangi olguyu veya hukuki koşulu değerlendirdiği, sonraki talebin dayanağıyla karşılaştırılmalıdır. Benzer şekilde Kurul kararı, yalnız varlığı nedeniyle tazminatın bütün unsurlarını ispatlamaz.⁵³

Örneğin çalışanın görev dışı sorgulama yapıp veriyi üçüncü kişiye aktardığı olayda, ceza incelemesi çalışanın somut hareketi, yetkisi ve kastıyla; Kurul incelemesi veri sorumlusuna ait belirli yükümlülüklerle; tazminat talebi ise ileri sürülen zararla ilişkilendirilir. Aynı kişi veya fiil bakımından yaptırımlar çakışıyorsa bu çakışmanın hukuki sonucu ayrıca çözülür. Böylece yolların birlikte işlemesi, sınırsız yaptırım yığılması anlamına gelmediği gibi, bir yoldaki başvuru veya karar da diğer bütün korumaları kendiliğinden ortadan kaldırmaz.

Dipnotlar

İçindekiler · Ayrıntılı kitap planı