KVKK Kapsamında Alenileştirilen Kişisel Verilerin İşlenmesine İlişkin İdari Para Cezasının Suçta ve Cezada Kanunilik İlkesi Bakımından Değerlendirilmesi Hakkında Anayasa Mahkemesi'nin 2020/32193 Başvuru Numaralı Kararı Hakkında

I. GİRİŞ

Anayasa Mahkemesi, 16 Haziran 2026 tarihli 33282 sayılı Resmi Gazete’de yayımlanan 27.01.2026 tarihli ve 2020/32193 başvuru numaralı Viennalife Emeklilik ve Hayat A.Ş. başvurusunda, kişisel verilerin işlenmesine ilişkin olarak uygulanan idari para cezasının dayanağı olan yorumun suçta ve cezada kanunilik ilkesi bakımından Anayasa’ya uygun olup olmadığını incelemiştir.

Başvuru, başvurucu şirket hakkında Kişisel Verileri Koruma Kurulu (“Kurul”) tarafından verilen idari para cezasının, kanunda açıkça düzenlenmeyen bir yükümlülüğün ihlali kabul edilerek uygulanması nedeniyle Anayasa’nın 38. maddesinde güvence altına alınan suçta ve cezada kanunilik ilkesini ihlal ettiği iddiasına ilişkindir. Yapılan inceleme sonucunda Anayasa Mahkemesi, başvurucunun iddiasını kabul ederek söz konusu anayasal güvencenin ihlal edildiğine karar vermiştir.

II. OLAYIN ÖZETİ

Başvuruya konu olayda, A.Y. isimli kişi, 24.09.2018 tarihinde sigortacılık faaliyetleri konusunda görüşmek ve randevu talep etmek üzere başvurucu şirket tarafından telefonla aranması üzerine kişisel verilerinin açık rızası olmaksızın temin edilip kullanıldığı iddiasıyla Kurul’a şikâyette bulunmuştur. Şikâyetçi, daha önce ilgili şirketle herhangi bir ilişkisinin bulunmadığını ve kişisel verilerinin işlenmesine rıza göstermediğini ileri sürmüştür.

Kurul tarafından yürütülen inceleme kapsamında başvurucu şirketten bilgi ve belge talep edilmiştir. Başvurucu şirket, savunmasında:

• Şikâyetçinin ad, soyad ve telefon numarası bilgilerinin, finansal güvence danışmanlarınca teklif araması yapılmadan önce gerçekleştirilen araştırmalar sonucunda "hizmetburada.com" adlı internet sitesinden elde edildiğini ve ilgili sitede söz konusu bilgilerin halka açık biçimde yer aldığını,
• Bu bilgilerin ilgili kişi tarafından kamuya açık hâle getirildiğini ve bu nedenle 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun ("KVKK") maddesinin ikinci fıkrasının (d) bendi kapsamında açık rıza aranmaksızın işlenebileceğini,
• Şikâyetçinin başvurucu tarafından bir daha aranmayacağının kendisine bildirildiğini ve söz konusu bilgilerin Şirket tarafından işlenmediğini

ileri sürmüştür.

Kurul ise 07.11.2019 tarihli kararıyla yaptığı değerlendirmede öncelikle söz konusu internet sitesini incelemiş ve bu inceleme sırasında önemli bir tespitte bulunmuştur: İlgili sitede yapılan sorgulama sonucunda şikâyetçiye ait herhangi bir bilgiye ulaşılamamış, başvurucu şirket tarafından gönderilen ve şikâyetçinin profil sayfasının ekran görüntüsünü içerdiği belirtilen sayfaya da erişilememiştir. Kurul bu tespitten hareketle başvurucu şirketin alenileştirme iddiasını kabul etmemiştir.

Kurul kararında, "hizmetburada.com" isimli internet sitesinin hizmet sağlayıcıları ile hizmet almak isteyen kişileri buluşturan bir platform olduğu belirtilmiştir. Kurul, kişisel verilerin alenileştirilmiş sayılabilmesi için ilgili kişinin bu yönde bir iradesinin bulunması ve verilerin alenileştirme amacıyla bağlantılı şekilde kullanılması gerektiğini değerlendirmiştir. Bu kapsamda şikâyetçiye ait iletişim bilgilerinin pazarlama ve müşteri kazanımı amacıyla kullanılmasının, verilerin alenileştirilme amacıyla bağdaşmadığı sonucuna varılmıştır.

Bu gerekçelerle Kurul, söz konusu veri işleme faaliyetinin KVKK'nın 5. maddesinin ikinci fıkrasının (d) bendi kapsamında değerlendirilemeyeceğini ve ayrıca başvurucu şirketin KVKK'nın 12. maddesinin (1) numaralı fıkrasının (a) bendinde öngörülen veri güvenliğine ilişkin yükümlülüklerini yerine getirmediğini tespit ederek, KVKK'nın 18. maddesinin (1) numaralı fıkrasının (b) bendi uyarınca 100.000 TL idari para cezası uygulanmasına karar vermiştir.

Başvurucu şirketin bu karara karşı yaptığı itiraz üzerine İstanbul Anadolu 5. Sulh Ceza Hâkimliği, Kurulun ihlal tespitini hukuka uygun bulmakla birlikte, para cezasının üst sınırdan belirlenme gerekçesinin açıklanmadığını değerlendirerek başvuruyu kısmen kabul etmiş ve idari para cezasını 17.828 TL'ye indirmiştir. Bu karara karşı yapılan itiraz ise İstanbul Anadolu 6. Sulh Ceza Hâkimliği tarafından kesin olarak reddedilmiştir. Bunun üzerine başvurucu bireysel başvuruda bulunmuştur.

III. BAŞVURUCUNUN İDDİALARI

Başvurucu şirket, ilgili kişinin kişisel verilerini daha önce herkesin erişimine açık bir internet sitesinde kendisinin alenileştirdiğini, bu nedenle KVKK’nın 5. maddesinin ikinci fıkrasının (d) bendi kapsamında söz konusu verilerin işlenmesinin hukuka uygun olduğunu ileri sürmüştür.

Başvurucuya göre, Kurul tarafından kullanılan “alenileştirme amacı dışında kullanım” ölçütü kanunda düzenlenmemiştir. Başvurucu, Kurul kararında kişisel verilerin "alenileştirme amacı dışında" kullanıldığının kabul edilerek yaptırım uygulandığını; ancak bu kavramın KVKK’da açıkça düzenlenmediğini ileri sürmüştür. Başvurucuya göre, kanunda öngörülmeyen bir yükümlülüğün idari yorum yoluyla oluşturulması ve bu yükümlülüğün ihlali gerekçe gösterilerek idari para cezası uygulanması, hukuki güvenlik ve öngörülebilirlik ilkeleriyle bağdaşmamaktadır. Bu nedenle başvurucu, hakkında tesis edilen idari yaptırımın Anayasa'nın 38. maddesinde güvence altına alınan suçta ve cezada kanunilik ilkesini ihlal ettiğini iddia etmiştir.

IV. ANAYASA MAHKEMESİNİN DEĞERLENDİRMESİ

A. Genel İlkeler

Mahkeme öncelikle suçta ve cezada kanunilik ilkesinin hukuk devletinin temel unsurlarından biri olduğunu vurgulamıştır. Kararda, Anayasa’nın 38. maddesinin birinci fıkrasında yer alan:

“Kimse, işlendiği zaman yürürlükte bulunan kanunun suç saymadığı bir fiilden dolayı cezalandırılamaz; kimseye suçu işlediği zaman kanunda o suç için konulmuş olan cezadan daha ağır bir ceza verilemez”

hükmünü hatırlatarak kişilerin hangi eylemlerinin yaptırıma bağlandığını önceden öngörebilmelerinin hukuk güvenliğinin bir gereği olduğunu ifade etmiştir.

Suçta ve cezada kanunilik ilkesi, yalnızca suç ve yaptırımların kanunla düzenlenmesini değil; aynı zamanda ilgili kuralların erişilebilir, belirli ve öngörülebilir olmasını da zorunlu kılmaktadır. Bu kapsamda bireylerin hangi davranışlarının yaptırıma yol açacağını makul ölçüde öngörebilmeleri gerekir. Dolayısıyla ceza veya yaptırım doğuran kuralların kıyas yoluyla ya da genişletici yorumlarla kişi aleyhine uygulanması kanunilik ilkesinin koruma alanıyla bağdaşmamaktadır.

Anayasa Mahkemesi, kanunilik ilkesinin kapsamını değerlendirirken Avrupa İnsan Hakları Mahkemesi ("AİHM") içtihadına da atıfta bulunmuştur. Bu kapsamda Mahkeme, Avrupa İnsan Hakları Sözleşmesi'nin 7. maddesinin yalnızca suç ve cezaların kanuni dayanağa sahip olmasını değil, aynı zamanda ilgili normların bireyler açısından yeterli açıklıkta ve öngörülebilirlikte olmasını da güvence altına aldığını belirtmiştir. Kararda özellikle Başkaya ve Okçuoğlu/Türkiye ile Coëme ve Diğerleri/Belçika kararlarına yer verilmiş; AİHM'in, ceza normlarının kıyas yoluyla genişletilmesine ve birey aleyhine yorumlanmasına izin vermeyen yerleşik yaklaşımı hatırlatılmıştır.

Bu doğrultuda Anayasa Mahkemesi, kanunilik ilkesinin yalnızca şekli anlamda bir kanun bulunmasını değil, aynı zamanda yaptırım uygulanmasına esas alınan kuralın kapsam ve sonuçlarının kişiler tarafından önceden öngörülebilecek açıklıkta olmasını gerektirdiğini vurgulamıştır. Mahkemeye göre kanunda açıkça düzenlenmeyen yükümlülüklerin idari veya yargısal yorum yoluyla oluşturulması ve bunların ihlali nedeniyle yaptırım uygulanması, suçta ve cezada kanunilik ilkesi bakımından anayasal sorun teşkil edebilecektir. Anayasa Mahkemesi bu bağlamda, suçta ve cezada kanunilik ilkesinin kabahatler yönünden de geçerli olduğunu ve yaptırım uygulanan kişinin eylemi işlediği tarihte öngörebileceği bir kanun hükmü bulunması gerektiğini vurgulamıştır. 

B. Somut Olayın Değerlendirilmesi

Mahkeme, KVKK'nın 5. maddesinin ikinci fıkrasının (d) bendinde, "ilgili kişinin kendisi tarafından alenileştirilmiş olması" hâlinde kişisel verilerin açık rıza aranmaksızın işlenebileceğinin düzenlendiğini belirtmiştir. Buna karşılık kanun metninde "alenileştirme amacıyla sınırlı kullanım", "alenileştirme amacı dışında kullanım" veya benzeri bir kavrama yer verilmediğine dikkat çekmiştir. Alenileştirme amacına ilişkin açıklamalar yalnızca Kurul tarafından yayımlanan KVKK Uygulama Rehberi'nde yer almakta olup bu belge kanun hükmü niteliği taşımamaktadır.

Mahkeme, Kurulun başvurucu şirket hakkında yaptırım uygularken kanunda açıkça düzenlenmeyen bir ölçüt kullandığını tespit etmiştir. Kurul, ilgili kişinin verilerinin alenileştirilmiş olduğunu kabul etmekle birlikte, bu verilerin alenileştirme amacı dışında kullanıldığı gerekçesiyle yaptırım uygulamıştır. Ancak Mahkemeye göre bu değerlendirme, doğrudan kanun metninden çıkarılabilecek açık bir yükümlülüğe dayanmamaktadır.

Mahkeme ayrıca Kurul kararında, ilgili verilerin ilk olarak yayımlandığı internet sitesinin hukuki durumu ve verilerin söz konusu sitede hangi hukuki dayanakla bulunduğu hususlarının da yeterince tartışılmadığını belirtmiştir. Kararda, belirli bir amaçla alenileştirildiği kabul edilen kişisel verilerin hangi yasal gerekçeyle başvurucu bakımından yaptırım sonucunu doğurduğunun açık biçimde ortaya konulamadığı ifade edilmiştir.

Bu çerçevede Mahkeme, kanunda açıkça öngörülmeyen bir yükümlülüğün ihlal edildiği kabul edilerek idari para cezası uygulanmasının bireylerin ve şirketlerin hangi davranışlarının yaptırıma yol açacağını önceden öngörebilmelerini engellediği sonucuna ulaşmıştır. Dolayısıyla başvurucu hakkında uygulanan yaptırımın Anayasa'nın 38. maddesinde güvence altına alınan suçta ve cezada kanunilik ilkesiyle bağdaşmadığı değerlendirilmiştir.

V. SONUÇ VE DEĞERLENDİRME

Anayasa Mahkemesi, somut olayda başvurucu şirket hakkında uygulanan idari para cezasının, KVKK’da açıkça düzenlenmeyen bir yorum esas alınarak tesis edildiğini değerlendirmiştir. Mahkemeye göre, kişisel verilerin alenileştirilmesi hâlinde bunların hangi amaçlarla kullanılabileceğine ilişkin sınırların kanunda açık biçimde düzenlenmemiş olmasına rağmen yaptırım uygulanması, Anayasa’nın 38. maddesinde güvence altına alınan suçta ve cezada kanunilik ilkesine aykırılık oluşturmaktadır.

Bu gerekçeyle Mahkeme;

• Anayasa’nın 38. Maddesinde güvence altına alınan suçta ve cezada kanunilik ilkesinin ihlal edildiğine,
• İhlalin sonuçlarının ortadan kaldırılması amacıyla yeniden yargılama yapılmak üzere kararın ilgili mahkemeye gönderilmesine,
• Başvurucu lehine yargılama giderlerine hükmedilmesine

oybirliğiyle karar vermiştir.

Karar, kişisel verilerin korunması alanında uygulanan idari yaptırımların anayasal denetimi bakımından önemli bir içtihat niteliği taşımaktadır. Anayasa Mahkemesi, veri koruma hukukuna ilişkin idari yaptırımların uygulanmasında dahi kişilerin ve şirketlerin hangi davranışlarının yaptırıma yol açacağını makul şekilde öngörebilmelerini sağlayacak açık bir kanuni temel bulunmasının zorunlu olduğunu vurgulamıştır. KVKK Uygulama Rehberinde yer almasına rağmen kanuni karşılığı olamayan bir fiilden dolayı idari para cezası yaptırımı uygulanamayacaktır. Kişisel verilerin korunması hakkı ile verilerin işlenmesi arasındaki dengenin sağlanabilmesi, ancak hukuki öngörülebilirliğin temin edilmesiyle mümkündür. Bu yönüyle karar, KVKK kapsamında geliştirilen idari uygulama ve yorumların, kanunda öngörülmeyen yeni yükümlülükler yaratacak ölçüde genişletilmesinin anayasal sınırlarını ortaya koymaktadır. Mevcut belirsizliklerin ve idarenin genişletici yorumlarından kaynaklanan hak ihlallerinin önüne geçilebilmesi amacıyla, KVKK reform sürecinde, GDPR örneğinde olduğu gibi, kapsamlı ve kanunilik ilkesine tam uyumlu bir kabahatler reformunun hayata geçirilmesi artık kaçınılmaz bir gereklilik olarak karşımıza çıkmaktadır.

The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.