Yeni Gelişme
Anayasa Mahkemesi’nin “alenileştirme iradesi” kavramının mevzuattaki yeri ile suçta ve cezada kanunilik ilkesinin uygulanması bakımından bir veri sorumlusunun veri işleme faaliyetlerine ilişkin olarak Kişisel Verileri Koruma Kurumu (“Kurum”) tarafından öngörülen idari para cezası uygulamasını değerlendirdiği 27 Ocak 2026 tarihli ve 2020/32193 başvuru numaralı kararı (“Başvuru”) 16 Haziran 2026 tarihli ve 33282 sayılı Resmi Gazete’de yayımlandı.
Başvuru’ya buradan ulaşabilirsiniz.
İhlal Konusu Başvuru
Başvuru, veri sorumlusu bir sigorta şirketi hakkında uygulanan idari para cezası nedeniyle suçta ve cezada kanunilik ilkesinin ihlal edildiği iddiasına ilişkindir. Sigortacılık sektöründe faaliyet gösteren veri sorumlusu şirket (“Başvurucu“), ilgili kişinin ad, soyadı ve telefon numarasını kamuya açık bir internet sitesinden elde ederek, ilgili kişiyi hizmetlerini sunmak için telefonla aramıştır. İlgili kişi, kişisel verilerinin açık rızası olmadan elde edilip kullanıldığı gerekçesiyle Kurum’a başvurmuştur. Kişisel Verileri Koruma Kurulu (“Kurul“), kişisel verilerin söz konusu internet sitesinde yer alması nedeniyle ilgili kişi tarafından kamuya açık şekilde paylaşıldığını, ancak Başvurucu’nun bu verileri, ilgili kişinin açık rızası olmadan ve internet sitesinde yer alma amacı dışında ticari faaliyeti kapsamında kullandığını değerlendirmiştir. Bir başka ifade ile Kurul, veri sorumlusu şirketin söz konusu kişisel verileri, ilgili kişinin “alenileştirme amacı dışında” işlediğini değerlendirmiştir. Kurul, ilgili değerlendirmesi uyarınca, kişisel verilerin hukuka aykırı olarak işlenmesini önlemeye yönelik gerekli teknik ve idari tedbirlerin alınmadığı gerekçesiyle veri sorumlusu hakkında idari para cezası uygulanmasına karar vermiştir (“Karar“).
Karar’a karşı Başvurucu, idari yaptırım kararının ortadan kaldırılması için Sulh Ceza Hakimliğine başvurmuş ve kişisel verilerin ilgili kişi tarafından kamuya açık şekilde paylaşıldığını ve bu nedenle veri işleme faaliyetinin hukuka uygun olduğunu ileri sürmüştür. Bununla beraber, ilgili Sulh Ceza Hakimliği Başvurucu’nun talebini söz konusu idari yaptırımın yerinde olduğunu belirterek reddetmiş, Başvurucu’nun Sulh Ceza Hakimliği kararına itiraz süreci de sonuçsuz kalmıştır. Nihai olarak Başvurucu, Anayasa Mahkemesi’ne, Kurul kararında yer verilen “alenileştirme amacı” ve benzeri kavramların 6698 sayılı Kişisel Verilerin Korunması Kanunu’nda (“Kanun“) açıkça tanımlanmadığı, mevzuatta tanımlanmamış kavramlara dayanılarak idari para cezası uygulanmasının öngörülebilirlik ve hukuki güvenlik ilkelerine aykırı olduğu ve suçta ve cezada kanunilik ilkesinin ihlal edildiği iddiası ile Anayasa Mahkemesi’ne başvurmuştur.
Anayasa Mahkemesinin Değerlendirmesi
Anayasa Mahkemesi incelemesinde öncelikle Anayasa’nın 38. maddesinde güvence altına alınan suçta ve cezada kanunilik ilkesi uyarınca kişilerin bir fiilin suç teşkil edip etmediğini ve buna bağlanan yaptırımları, fiilin işlendiği tarihte yürürlükte bulunan kanun hükümlerine dayanarak açık ve öngörülebilir şekilde belirleyebilmeleri gerektiğini vurgulamıştır. Bu çerçevede Anayasa Mahkemesi, Kanun’un 5. maddesinde yer alan “kişisel verilerin ilgili kişi tarafından alenileştirilmiş olması” hukuka uygunluk sebebini incelemiş; ancak Kanun’da alenileştirmenin kapsamı, sınırları, alenileştirme iradesinin nasıl yorumlanacağı ve özellikle bu iradeye aykırı veri işleme faaliyetlerinin yaptırıma bağlanıp bağlanmadığı hususlarında açık bir düzenleme bulunmadığını tespit etmiştir. Bu doğrultuda, Kurul tarafından geliştirilen “alenileştirme amacına uygunluk” kriterinin kanun düzeyinde açık bir karşılığının bulunmadığı, söz konusu yaklaşımın daha ziyade Kurum rehberlerinde yer alan açıklamalara dayandığı değerlendirilmiştir.
Bu çerçevede Anayasa Mahkemesi, Kurul’un, ilgili kişinin veriyi kamuya açık hale getirme amacını aşan bir kullanım bulunduğu gerekçesiyle veri sorumlusu hakkında idari para cezası uygulamasının, kanuni düzenlemelerin öngörülebilir sınırlarını genişleten bir yoruma dayandığı sonucuna ulaşmıştır. Söz konusu değerlendirme uyarınca, Anayasa Mahkemesi suçta ve cezada kanunilik ilkesinin gerektirdiği açıklık ve öngörülebilirliğin sağlanamadığı, yaptırımın yeterli kanuni dayanak olmaksızın uygulandığını belirterek Başvurucu hakkında tesis edilen idari para cezasının suçta ve cezada kanunilik ilkesini ihlal ettiğine karar vermiştir.
Sonuç
Başvuru, kişisel verilerin işlenmesine ilişkin idari yaptırımların kanunilik ilkesi çerçevesinde sınırlarının netleştirmesi açısından önem arz etmektedir. Nitekim Anayasa Mahkemesi, söz konusu kararı ile birlikte, veri sorumlularının faaliyetlerinin yaptırıma tabi tutulabilmesi için ilgili yükümlülüklerin ve ihlalin kapsamının kanun düzeyinde açık, belirli ve öngörülebilir şekilde düzenlenmesi gerektiğini vurgulamıştır.
Özellikle, “alenileştirme” hukuki sebebine dayanan veri işleme faaliyetlerinde, her ne kadar özel nitelikli kişisel veriler açısından halihazırda 6. madde ile kayıt altına alınmış olsa da, özel nitelikli olmayan kişisel verilerin işlenmesine dayanılacak hukuki sebeplerin sayıldığı 5. maddede ilgili kişinin alenileştirme iradesine uygun veri işleme kriteri ile söz konusu amacın aşılmasının sonuçlarının açıkça Kanun’da düzenlenmemiş olması, Kurum’un uygulayabileceği idari yaptırımların kanunilik ilkesine uygunluğunu ihlal eden bir unsur olarak değerlendirilmiştir. Bu durum Kurum’un özellikle ileriki süreçlerde rehberleri ile getirdiği düzenlemelere dayanması bakımından hareket alanını daraltmıştır.
