Kişisel Verilerin Korunmasına Yönelik 5237 Sayılı Türk Ceza Kanunu'nda Düzenlenen Suçlar Nelerdir?

Genel

Kişisel Verilerin Korunması Kanunu'nda tanımlanan haliyle "kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi" olan kişisel veriler, içinde bulunduğumuz dijital çağda üzerinde en çok düşünülen ve tartışılan konulardan biri olmuştur. Günümüzde kişisel veriler bir taraftan internet ve bilgisayara teknolojilerinden yararlanılarak çok kolay işlenebilmekte, diğer taraftan kişilerin özel hayatının gizliliğinin korunması da zorlaşmaktadır. Kişilerin özel hayatının ve kişisel verileri üzerindeki haklarının korunması zorunluluğu, ceza kanunlarında bazı düzenlemeler yapılmasına ve yeni suç tiplerinin ortaya çıkmasına neden olmuştur.

Düzenlenen suç tipleriyle kişisel verilerin korunmasına yönelik bazı haklar güvence altına alınmaya çalışılmaktadır. Türk Ceza Kanunu’nda “Özel Hayata ve Hayatın Gizli Alanına Karşı Suçlar” başlıklı dokuzuncu bölümde 135 ve 140. maddeler arasında kişisel verileri korumaya yönelik suçlar düzenlenmiştir. Bunlar: "kişisel verilerin kaydedilmesi", "verileri hukuka aykırı olarak verme veya ele geçirme" ve "verileri yok etmeme" suçlarıdır. Suç tipleri düzenlenirken kişisel veriler kavramı, 2005 yılında yürürlüğe giren 5237 sayılı TCK'da kullanılmış, fakat tanımlaması yapılmamıştır. Neyin kişisel veri olduğu ceza yargılamasında önceleri içtihatlarla belirlenmiş, sonrasında ise Kişisel Verilerin Korunması Kanunu'nda tanım yapılmıştır. 

Kanunda Düzenlenen Suç Tipleri

A) Kişisel Verilerin Kaydedilmesi Suçu

Madde 135- 

(1) Hukuka aykırı olarak kişisel verileri kaydeden kimseye bir yıldan üç yıla kadar hapis cezası verilir.

(2) Kişisel verinin, kişilerin siyasi, felsefi veya dini görüşlerine, ırki kökenlerine; hukuka aykırı olarak ahlaki eğilimlerine, cinsel yaşamlarına, sağlık durumlarına veya sendikal bağlantılarına ilişkin olması durumunda birinci fıkra uyarınca verilecek ceza yarı oranında artırılır.

TCK md.135’te düzenleme alanı bulan kişisel verilerin kaydedilmesinde; suçun tipiklik unsuru gereği, gerçek bir kişiye ait kişisel verilerin hukuka aykırı olarak kaydedilmesi gerekmektedir. Kaydetmek verileri kâğıt vb. şeylerin üzerine yazmak, çizmek ve işaretlemek suretiyle olabileceği gibi, dijital ortama kaydetmek şeklinde de gerçekleştirilebilir. Bu kapsamda kişisel verilerin ezberlenerek hafızaya alınmasında kişisel verilerin kaydedilmesi suçu oluşmayacaktır. Kayıt işlemi kamera bilgisayar ses kayıt cihazı kalem vb. araçlarla da yapılabilecektir.

Kaydetme eylemi; doğası gereği icrai bir hareket olup, ihmali bir hareketle işlenmesi mümkün değildir. Suçun oluşması için kayıt yeterli olup, verilerin kayıt dışında işlenmesine gerek yoktur. Suç, kastla işlenebilecek bir suçtur. Suç taksirle işlenmeyeceğinden taksirle gerçekleşen kayıttan fail sorumlu olmayacaktır. Suç tehlike suçudur, yani ayriyeten suçun sebep olduğu herhangi bir zarar aranmamaktadır.

Kişisel Verilerin Korunması Kanunu'ndaki ilgili tanım gereği, bu suçun mağdurunun gerçek kişi olması gerektiğini anlamaktayız, fakat suçun faili gerçek veya tüzel herhangi bir kişi olabilecektir.

Suçun bir diğer unsuru, hukuka aykırılıktır. Kaydetme eylemi hukuka aykırı şekilde gerçekleşmiş olmalıdır. Başka bir hukuk kuralı kaydetme eylemine izin verdiği takdirde, suç oluşmayacaktır. Amirin emrini yerine getirme, meşru savunma, zorunluluk hali, hakkın kullanılması ve ilgilinin rızası durumunda TCK’daki hukuka uygunluk sebepleri gerçekleşeceğinden ceza verilmeyecektir.

B) Verileri Hukuka Aykırı Olarak Verme veya Ele Geçirme Suçu

Madde 136- 

(1) Kişisel verileri, hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi, iki yıldan dört yıla kadar hapis cezası ile cezalandırılır.

(2) (Ek:17/10/2019-7188/17 md.) Suçun konusunun, Ceza Muhakemesi Kanununun 236’ncı maddesinin beşinci ve altıncı fıkraları uyarınca kayda alınan beyan ve görüntüler olması durumunda verilecek ceza bir kat artırılır.

Kanun maddesi incelendiğinde; sınırlı sayıda eylemin hukuka aykırı bir şekilde işlenmesinin suç olarak düzenlendiği görülmektedir. Madde hükmünde sayılı eylemlerden vermek eylemi iki kişi arasında, yaymak eylemi ise birden fazla kimse arasında oluşabilecek eylemlerdendir. Bu eylemler kitle iletişim araçlarıyla gerçekleştirilebileceği gibi, doğrudan, herhangi bir araç kullanmadan da yapılabilecektir. Ayrıca bu durumlarda, kişisel verilerin hukuka aykırı ele geçirilmiş olmasına gerek yoktur. Hukuka uygun olarak kişisel veriyi elinde bulunduranlar da, hukuka aykırı şekilde kişisel verileri verir veya yayarlarsa bu suç oluşacaktır.

Kişisel verileri ele geçirmek eylemi; başkasına ait kişisel verileri, elde etmek kendi tasarrufu altına almaktır. Ele geçirme; fiziksel ortamda olabileceği gibi, dijital ortamdan ele geçirme biçimde de gerçekleşebilir.

Verme, yayma ve ele geçirme eylemleri icrai nitelikte eylemlerdir. Bu eylemlerin hukuka aykırı şekilde gerçekleştirilmesi neticesinde suç tamamlanmış olacaktır. Zarar doğmasına gerek yoktur.

Bahse konu suç genel kastla işlenebilecek bir suç olup, taksirle işlenemeyecektir. Kişisel verilerin hukuka aykırı şekilde bilerek ve isteyerek ele geçirilmesi, verilmesi ve yayılması durumunda suç oluşacaktır. Failin saiki önemli değildir.

Maddenin 2. fıkrasında atıf yapılan Ceza Muhakemesi Kanunu hükümleri şu şekildedir:

(5) (Ek:17/10/2019-7188/22 md.) Türk Ceza Kanunu’nun 103’üncü maddesinin ikinci fıkrasında düzenlenen suçlardan mağdur olan çocukların soruşturma evresindeki beyanları, bunlara yönelik hizmet veren merkezlerde Cumhuriyet savcısının nezaretinde uzmanlar aracılığıyla alınır. Mağdur çocuğun beyan ve görüntüleri kayda alınır. Kovuşturma evresinde ise ancak, maddi gerçeğin ortaya çıkarılması açısından mağdur çocuğun beyanının alınması veya başkaca bir işlem yapılmasında zorunluluk bulunması hâlinde bu işlem, mahkeme veya görevlendireceği naip hâkim tarafından bu merkezlerde uzmanlar aracılığıyla yerine getirilir. Mağdur çocuk yargı çevresi ve mülkî sınırlara bakılmaksızın en yakın merkeze götürülmek suretiyle bu fıkrada belirtilen işlemler yerine getirilir. (6) (Ek:17/10/2019-7188/22 md.) Türk Ceza Kanunu’nun 102 nci maddesinin ikinci fıkrasında düzenlenen suçlardan mağdur olanların soruşturma evresindeki beyanları bakımından da beşinci fıkra hükmü uygulanır. Ancak, beyan ve görüntülerin kayda alınmasında mağdurun rızası aranır.

C) İlgili Suçların Nitelikli Halleri

Madde 137- 

(1) Yukarıdaki maddelerde tanımlanan suçların; 

a) Kamu görevlisi tarafından ve görevinin verdiği yetki kötüye kullanılmak suretiyle, 

b) Belli bir meslek ve sanatın sağladığı kolaylıktan yararlanmak suretiyle, 

İşlenmesi halinde, verilecek ceza yarı oranında artırılır.

Maddenin 1. fıkrasının a) bendinde yer alan hükme bakıldığında, önceki maddelerde düzenlenen suçların kamu görevlisi tarafından işlenmesi halinde fakat ayriyeten görevini kötüye kullanması neticesinde ceza artırımı yapılacağı öngörülmüştür. Yani failin yalnızca kamu görevlisi olması hali ceza artırımı sebebi olmayıp kişinin ayrıca görevinin verdiği yetkiyi kötüye kullanması da gerekmektedir. b) Bendinde ise bazı mesleklerin sağladığı kolaylıktan yararlanma hali ile sayılı suçlar işlenirse cezanın yarı oranında artırılacağı düzenlenmiştir. Bu duruma örnek vermek gerekirse, serbest olarak çalışan bir doktorun hastasının kişisel verilerini vermesi, bilgisayar tamircisinin kişisel verileri ele geçirip başkalarıyla paylaşması durumlarında verilecek bu hüküm kapsamında artırılacaktır.

D) Verileri Yok Etmeme Suçu

Madde 138- 

(1) Kanunların belirlediği sürelerin geçmiş olmasına karşın verileri sistem içinde yok etmekle yükümlü olanlara görevlerini yerine getirmediklerinde bir yıldan iki yıla kadar hapis cezası verilir.

(2) (Ek: 21/2/2014-6526/5 md.) Suçun konusunun Ceza Muhakemesi Kanunu hükümlerine göre ortadan kaldırılması veya yok edilmesi gereken veri olması hâlinde verilecek ceza bir kat artırılır.

Kişisel veriler hukuka uygun olarak toplansalar dahi, bu husus onların süresiz depolanabilecekleri veya muhafaza edilecekleri anlamına gelmemektedir. KVKK md.7'de; hükümlere uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması halinde kişisel veriler re’sen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silineceği, yok edileceği veya anonim hale getirileceği, kişisel verilerin silinmesine, yok edilmesine veya anonim hale getirilmesine ilişkin usul ve esasların yönetmelikte düzenleneceği belirtilmiştir.

Suçun oluşması için başlangıçta hukuka uygun olarak işlenmiş veya işlenmekte olan kişisel verilerin, işlenmesini gerektiren hukuki sebep ortadan kalkınca veya ilgili kişinin talebi üzerine; kişisel veriyi yok etmekle, silmekle ve anonim hale getirmekle yükümlü olan gerçek kişinin görevini yerine getirmemesi gerekmektedir.

TCK, kişisel verilerin ne kadar süre işleneceğine ve hangi usul kullanılarak yok edileceğine ilişkin bir düzenleme içermemektedir. Kişisel verilerin ne kadar süre elde bulundurulacağına ilişkin sürelerin ilgili kanunlarda belirleneceğini düzenlemiştir. Kanunlarda bir süre belirlenmediğinde, sürenin yönetmelik veya idari işlemle belirlendiği durumlarda veya böyle bir düzenleme bulunmadığı zamanlarda suçun oluşup oluşmayacağı hususu önem kazanmaktadır.

Suç ihmali hareketle işlenebilecek bir suçtur. İhmali hareketle oluşan suçlarda genel kabul gördüğü üzere teşebbüs mümkün değildir. Mağdur, kişisel verileri silinmeyerek özel hayatının gizliliği ihlal edilen gerçek kişidir. Suçun konusu yukarıda ayrıntıları açıklanan kişisel verilerdir. Kişisel verilerin bilişim sisteminde veya fiziksel bir dosyalama sistemi içerisinde tutulmasının suç açısından bir önemi yoktur. Suç, kasten işlenebilecek suçlardan olup şikâyete bağlı değildir. Suça her türlü iştirak mümkündür.

Şikâyet Şartı

Şikâyet

Madde 139- 

(1) Kişisel verilerin kaydedilmesi, verileri hukuka aykırı olarak verme veya ele geçirme ve verileri yok etmeme hariç, bu bölümde yer alan suçların soruşturulması ve kovuşturulması şikâyete bağlıdır.

TCK md.135, 136 ve 137. maddelerde düzenlenen, kişisel verilerin kaydedilmesi, verileri hukuka aykırı olarak verme veya ele geçirme ve verileri yok etmeme suçlarının işlenmesi halinde şikayet şartı aranmaz, re'sen harekete geçilir.

İlgili Suçları Tüzel Kişilerin İşlemesi

Tüzel kişiler hakkında güvenlik tedbiri uygulanması

Madde 140- 

(1) Yukarıdaki maddelerde tanımlanan suçların işlenmesi dolayısıyla tüzel kişiler hakkında bunlara özgü güvenlik tedbirlerine hükmolunur.

KVKK md. tanımdan anladığımız üzere, kişisel belli veya belirlenebilir kimseler olup gerçek kişilerdir. Yani TCK'da düzenleme alanı bulan 135-137. maddeler arasındaki sayılı suçların mağduru yalnızca gerçek kişi olabilmekteyse de fail tüzel kişi de olabilmektedir. Bu eylemlerin tüzel kişiler tarafından işlenmesi halinde tüzel kişilere özgü güvenlik tedbirlerine hükmedilir. İlgili güvenlik tedbirleri TCK md.60'da düzenlenmiştir.

Madde 60-

(1) Bir kamu kurumunun verdiği izne dayalı olarak faaliyette bulunan özel hukuk tüzel kişisinin organ veya temsilcilerinin iştirakiyle ve bu iznin verdiği yetkinin kötüye kullanılması suretiyle tüzel kişi yararına işlenen kasıtlı suçlardan mahkûmiyet halinde, iznin iptaline karar verilir.

(2) Müsadere hükümleri, yararına işlenen suçlarda özel hukuk tüzel kişileri hakkında da uygulanır.

Görevli Mahkeme

5235 sayılı Adli Yargı İlk Derece Mahkemeleri ile Bölge Adliye Mahkemelerinin Kuruluş, Görev Ve Yetkileri Hakkında Kanun'un 12. maddesinde Ağır Ceza Mahkemesinin görevine giren alanlar belirtilmiş olup kişisel verilere dair suçlar, maddede sayılı suçlar arasında yer almamaktadır. Bu nedenle, ilgili suçlar için görevli mahkeme Asliye Ceza Mahkemeleridir.

Uzlaştırma

CMK md.253'te alternatif uyuşmazlık çözüm yollarından uzlaşmaya tabi suçlar yer almaktadır. Maddede belirtilen koşulları taşımaması ve hususi olarak sayılmış olan suçlardan olmaması sebebiyle ilgili suçlar uzlaşmaya tabi değildir.

Emsal Kararlar

A) Kişisel Verilerin Kaydedilmesi

Yargıtay Kararı - 12. CD., E. 2015/15816 K. 2017/3462 T. 26.4.2017 ve TCK'nın 135. maddelerinde düzenlenen “Kişisel Verilerin Kaydedilmesi” suçunun konusunu oluşturan kişisel veri kavramından, kişinin, yetkisiz üçüncü kişilerin bilgisine sunmadığı, istediğinde başka kişilere açıklayarak ancak sınırlı bir çevre ile paylaştığı, herkes tarafından bilinmeyen ve/veya kolaylıkla ulaşılması ve bilinmesi mümkün olmayan, kişinin kimliğini belirleyen veya belirlenebilir kılan, kişiyi toplumda yer alan diğer bireylerden ayıran ve onun niteliklerini ortaya koymaya elverişli, gerçek kişiye ait her türlü bilginin anlaşılması gerektiği, belirli veya belirlenebilir bir kişiye ait her türlü bilginin, hukuka aykırı olarak kaydedilmesi gerektiğinin anlaşılması karşısında, aksi ispat edilemeyen sanık savunmasına göre, katılanlar tarafından facebookta yayımlanan ve sanık ile katılanların çalıştığı kurumda ortak kullanımda bulunan bilgisayardaki fotoğrafları hatıra amaçlı olarak USB belleğine kaydeden sanık hakkında yerel mahkemenin beraate ilişkin kabulünde bir isabetsizlik görülmemiştir.

... CMK’nın 223/2-a maddesi gereğince sanığın beraatine,” ibaresinin eklenmesi suretiyle, sair yönleri usul ve kanuna uygun bulunan hükmün DÜZELTİLEREK ONANMASINA, 26.04.2017 tarihinde oybirliğiyle karar verildi.

B) Verileri Hukuka Aykırı Olarak Verme veya Ele Geçirme

Yargıtay Kararı - 12. CD., E. 2022/2527 K. 2022/9314 T. 30.11.2022

Yargıtay Ceza Genel Kurulunun 09.05.2019 tarihli, 2015/708 esas, 2019/414 karar sayılı ilamında yer alan; “…TCK'nın 136. maddesinde düzenlenen suç ile korunan hukuki yarar, genel olarak kişilerin özel hayatı ve hayatın gizli alanı, özelde ise kişisel verilerdir. Bu düzenlemeler ile tüm kişisel veriler koruma altına alındığından kişisel verilerin mutlaka gizli olması zorunlu değildir. Gizli olmayan ve herkes tarafından bilinen kişisel veriler de hukuka aykırı eylemlere karşı korunmalıdır. Zira kişisel verilerin korunmasına ilişkin suçlarda korunan hukuki değer ‘sır’ olmayıp, verinin ilgilisi olan kişinin kişilik haklarıdır…” biçimindeki açıklamalarına ve Dairemizin istikrar kazanan uygulamalarına aykırı şekilde kanun yararına bozma talebine dayanılarak düzenlenen ihbarnamede; “…Dosya kapsamına göre, kişisel verileri hukuka aykırı olarak ele geçirmek veya yayma suçunun oluşabilmesi için aleni olmayan kişisel verilerin hukuka aykırı ele geçirilmesi, başkasına verilmesi ve yayılması gerektiği, herkes tarafından bilinen ve/veya kolaylıkla ulaşılması ve bilinmesi mümkün olan kişisel bilgilerin yasal anlamda “kişisel veri” olarak değerlendirilemeyeceği bu suretle herkes tarafından görülebilinen baro levhası fotoğrafının ekran görüntüsünün paylaşılmasının atılı suçu unsurları itibariyle oluşturmayacağı…” biçimindeki ibarelere yer verilmesi nedeniyle kanun yararına bozma isteminin verileri hukuka aykırı olarak verme veya ele geçirme suçunu da kapsayıp kapsamadığı ile ilgili tereddüde neden olunduğundan ve kanun yararına bozma yasa yolu incelemesinde ilgili Yargıtay dairesi taleple bağlı olup tüm hukuka aykırılıkların bir defada giderilmesi zorunlu bulunduğundan, verileri hukuka aykırı olarak verme veya ele geçirme suçu ile ilgili olarak da kanun yararına bozma yoluna başvurulup başvurulmadığının kuşkuya yer bırakmayacak şekilde açıklanması için dosyanın ... Bakanlığı Ceza İşleri Genel Müdürlüğüne gönderilmek üzere Yargıtay Cumhuriyet Başsavcılığına TEVDİİNE, 30.11.2022 tarihinde oybirliğiyle karar verildi.

C) Nitelikli Haller

Yargıtay Kararı - 12. CD., E. 2014/18783 K. 2015/2124 T. 9.2.2015

Kişisel verilerin kaydedilmesi suçundan sanıkların mahkumiyetlerine ilişkin hükümler, sanıklar müdafii tarafından temyiz edilmekle, dosya incelenerek gereği düşünüldü:

Dosya içeriği, sanıkların tevilli ikrarı, arama ve el koyma tutanağı ile bilirkişi raporlarına göre; sanıkların, bir GSM şirketinin alt bayileri oldukları ve kendileri ile işlem yapan müşterilerine ait kişisel veri niteliğindeki kimlik belgesi örneklerini hukuka aykırı olarak kişisel ve bayilerine ait bilgisayarlar ile taşınabilir diske kaydedip arşivledikleri, atılı suçun bu şekilde sübut bulduğu anlaşılmakla, sanıkların mahkumiyetlerine dair kabulde isabetsizlik görülmemiş, sanıkların suçu belli bir mesleğin sağladığı kolaylıktan yararlanmak suretiyle işlemesi nedeniyle, tayin olunan cezalarda TCK'nın 137/1-b maddesi uyarınca arttırım yapılması gerektiğinin gözetilmemesi aleyhe temyiz bulunmadığından bozma nedeni yapılmamıştır.

Yapılan yargılamaya, toplanıp karar yerinde gösterilen delillere, mahkemenin kovuşturma sonuçlarına uygun olarak oluşan kanaat ve takdirine, incelenen dosya kapsamına göre, sanıklar müdafinin, eksik incelemeye, suç kastının bulunmadığına, sübuta ilişkin temyiz itirazlarının reddiyle, eleştirilen husus dışında sair yönleri usul ve kanuna uygun olan hükümlerin isteme uygun olarak ONANMASINA, 09.02.2015 tarihinde oybirliğiyle karar verildi.

D) Kişisel Verilerin Yok Edilmesi

Kişisel Verileri Koruma Kurumu Kararı - KVKK, K. 2022/1072 T. 7.10.2022

Somut olaya konu reklam amaçlı e-postaların, somut olayın yaşandığı tarihte veri sorumlusu bünyesinde çalışan personel tarafından kurumsal e-posta adresi üzerinden ilgili kişinin elektronik posta adresine gönderildiği; veri sorumlusunun ilgili kişinin kişisel verisi niteliğindeki elektronik posta adresinin veri sorumlusunun çalışma alanı çerçevesinde reklam ve pazarlama amaçları doğrultusunda kullanıldığı ve ilgili kişinin açık rızasının alınmadığının anlaşıldığı, bu kapsamda ilgili kişinin e-posta adresine izinsiz reklam içerikli ileti gönderilmesi suretiyle kişisel verilerin işlenmesinde Kanun’un 5’inci maddesinde yer alan herhangi bir işleme şartının bulunmadığı, değerlendirmelerinden hareketle; Veri sorumlusu tarafından reklam ve pazarlama amaçlı, izinsiz ticari elektronik ileti gönderilmesi suretiyle ilgili kişinin kişisel verisi niteliğinde olan e-posta adresinin işlenmesinde Kanun’un “Kişisel verilerin işlenme şartları” başlıklı 5’inci maddesinde öngörülen kişisel veri işleme şartlarının bulunmadığı ve bu kapsamda veri sorumlusunun Kanun’un 12’nci maddesinin (1) numaralı fıkrasının (a) bendi kapsamında kişisel verilerin hukuka aykırı işlenmesini önlemek amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirleri almadığı kanaatine varılması nedeniyle Kanun’un 18’inci maddesinin (1) numaralı fıkrasının (b) bendine istinaden veri sorumlusu hakkında 50.000 TL idari para cezası uygulanmasına,

Somut olayda ilgili kişinin kişisel verisi niteliğinde olan e-posta adresinin, hukuka aykırı olarak işlendiği dikkate alındığında; Kanun’un 7’nci maddesi ve Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik’e uygun olarak ilgili kişinin kişisel verisinin imha edilmesi ve söz konusu imha işlemlerini tevsik edici belgelerin Kurula iletilmesi hususunda veri sorumlusunun talimatlandırılmasına karar verilmiştir.