Kişisel verileri hukuka aykırı kaydetme, verme ve yayma suçları

Kısaca

• Kişisel verileri hukuka aykırı olarak kaydeden kişiye bir yıldan üç yıla kadar hapis cezası verilir.
• Kişisel verileri hukuka aykırı olarak başkasına veren, yayan ya da ele geçiren kişiye iki yıldan dört yıla kadar hapis cezası verilir.
• Bu suçlar şikâyete bağlı değildir, savcılık kendiliğinden soruşturur ve şikâyetten vazgeçmek süreci durdurmaz.
• Veri sorumlusu başvuruya otuz gün içinde cevap vermezse ya da cevap yetersizse Kişisel Verileri Koruma Kuruluna şikâyet edilebilir.

Telefon numaranızın tanımadığınız bir gruba eklenmesi, bir sağlık raporunuzun iş yerinde dolaşması, kimlik fotokopinizin bir sosyal medya hesabında paylaşılması… Bunların her biri, kişisel verilerin hukuka aykırı olarak kaydedilmesi ya da yayılmasıyla ilgilidir. Türk Ceza Kanunu bu fiilleri 135 ile 140. maddeler arasında düzenler. Kişisel Verilerin Korunması Kanunu (KVKK) da kişisel verilere ilişkin suçlarda bu maddelerin uygulanacağını açıkça söyler (KVKK m. 17).

Kişisel veri nedir?

KVKK’ya göre kişisel veri, kimliği belirli ya da belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Ad soyad, T.C. kimlik numarası, telefon, adres, e-posta, fotoğraf, ses kaydı, plaka, banka hesap bilgisi bu kapsamdadır. Bilginin tek başına kişiyi göstermesi gerekmez; başka bilgilerle birleştirildiğinde kişiyi belirlemeye yetiyorsa yine kişisel veridir. Adı hiç geçmeden paylaşılan, ama çalıştığı yer, oturduğu sokak ve aracının plakası birlikte verildiği için kim olduğu anlaşılan bir kişinin bilgileri buna örnektir.

Bazı veriler daha hassastır. Kanun ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik verileri özel nitelikli kişisel veri sayar (KVKK m. 6).

Kişisel veri kural olarak kişinin açık rızası olmadan işlenemez. Açık rıza, belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızadır. Kanunda öngörülmesi, bir sözleşmenin kurulması ya da ifası için gerekli olması, kişinin bilgiyi kendisinin herkese açık hâle getirmiş olması gibi bazı durumlarda rıza aranmaz (KVKK m. 5). Bu şartlardan biri yoksa veriyi işlemek hukuka aykırıdır ve aşağıdaki suçlar gündeme gelir.

Verileri hukuka aykırı olarak kaydetmek

Hukuka aykırı olarak kişisel verileri kaydeden kişiye bir yıldan üç yıla kadar hapis cezası verilir (TCK m. 135/1). Kaydetme, veriyi bir yere geçirip saklamaktır: başkasının bilgilerini bir dosyada toplamak, birinin izni olmadan fotoğraflarını arşivlemek, bir müşteri listesini kendi bilgisayarına kopyalamak gibi.

Kaydedilen veri kişilerin siyasi, felsefi veya dini görüşlerine, ırki kökenlerine, hukuka aykırı olarak ahlaki eğilimlerine, cinsel yaşamlarına, sağlık durumlarına ya da sendikal bağlantılarına ilişkinse ceza yarı oranında artırılır (m. 135/2).

Verileri başkasına vermek, yaymak veya ele geçirmek

Kişisel verileri hukuka aykırı olarak bir başkasına veren, yayan ya da ele geçiren kişi iki yıldan dört yıla kadar hapis cezasıyla cezalandırılır (m. 136/1). Üç ayrı hareket sayılmıştır:

• Vermek: veriyi belirli bir kişiye ya da kuruma iletmek, örneğin müşteri bilgilerini rakip bir firmaya göndermek.
• Yaymak: veriyi belirsiz sayıda kişinin öğrenebileceği hâle getirmek, örneğin bir kişinin adresini ya da numarasını sosyal medyada paylaşmak.
• Ele geçirmek: hukuka aykırı yollarla veriye ulaşıp elde etmek, örneğin başkasının hesabına girip bilgilerini almak.

Suçun konusu, Ceza Muhakemesi Kanunu’nun 236. maddesinin beşinci ve altıncı fıkraları uyarınca kayda alınan, bazı cinsel suçların mağdurlarına ait beyan ve görüntüler ise ceza bir kat artırılır (m. 136/2).

Ağırlaştırıcı hâller ve verileri yok etmeme

Kaydetme ya da verme, yayma, ele geçirme suçu bir kamu görevlisi tarafından görevinin verdiği yetki kötüye kullanılarak ya da belli bir meslek ve sanatın sağladığı kolaylıktan yararlanılarak işlenirse ceza yarı oranında artırılır (m. 137). Hastane kayıtlarına erişip bir hastanın bilgilerini paylaşan sağlık çalışanı ya da müşteri bilgilerini dışarı sızdıran banka çalışanı bu hâle örnek verilebilir.

Kanun bir de yok etmeme suçunu düzenler. Kanunların belirlediği süreler geçmesine rağmen verileri sistem içinde yok etmekle yükümlü olup bu görevi yerine getirmeyenlere bir yıldan iki yıla kadar hapis cezası verilir (m. 138/1). Veri, Ceza Muhakemesi Kanunu gereği ortadan kaldırılması ya da yok edilmesi gereken bir veriyse ceza bir kat artırılır. KVKK’ya göre kişisel verileri silmesi veya anonim hâle getirmesi gerektiği hâlde bunu yapmayanlar da bu hükme göre cezalandırılır.

Bu suçların işlenmesi dolayısıyla şirket gibi tüzel kişiler hakkında da kendilerine özgü güvenlik tedbirlerine hükmolunur (m. 140).

Şikâyet, uzlaştırma ve KVKK yolu

Kişisel verileri kaydetme, verme, yayma, ele geçirme ve yok etmeme suçları şikâyete bağlı değildir (m. 139). Savcılık suçu öğrendiğinde kendiliğinden soruşturma yapar ve mağdurun vazgeçmesi süreci durdurmaz. Bu suçlar uzlaştırma kapsamında da sayılmamıştır. Aynı bölümde yer alan haberleşmenin gizliliğini ve özel hayatın gizliliğini ihlal gibi suçlar ise ayrı hükümlere tabidir ve bu yazının konusu dışındadır.

Ceza yolunun yanında idari bir yol da vardır. Verileri işlenen kişi önce veri sorumlusuna, yani verileri işleyen şirkete ya da kuruma yazılı olarak başvurur. Veri sorumlusu en geç otuz gün içinde cevap vermek zorundadır (KVKK m. 13). Başvuru reddedilir, cevap yetersiz bulunur ya da süresinde cevap verilmezse, cevabın öğrenildiği tarihten itibaren otuz ve her hâlde başvurudan itibaren altmış gün içinde Kişisel Verileri Koruma Kuruluna şikâyette bulunulabilir (KVKK m. 14). Kurul, kanuna aykırılık tespit ederse veri sorumlusuna idari para cezası uygulayabilir (KVKK m. 18). Bu cezaların tutarları dönem dönem yeniden belirlendiği için burada rakam verilmemiştir.

Sık sorulan sorular

Birinin telefon numarasını sosyal medyada paylaşmak suç mu?

Telefon numarası, kimliği belirli ya da belirlenebilir bir kişiye ait bilgi olduğu için kişisel veridir. Bir başkasının numarasını, adresini ya da kimlik bilgilerini hukuka uygun bir sebep olmadan herkesin görebileceği bir yerde paylaşmak, kişisel verileri yayma suçunu oluşturabilir. Bu suçun cezası iki yıldan dört yıla kadar hapistir.

Şikâyetimi geri alırsam dosya kapanır mı?

Hayır. Kişisel verileri kaydetme, verme, yayma, ele geçirme ve yok etmeme suçları şikâyete bağlı değildir; savcılık suçu öğrendiğinde kendiliğinden soruşturur. Bu suçlar uzlaştırma kapsamında da sayılmamıştır. Şikâyetten vazgeçmeniz soruşturmayı ya da davayı sona erdirmez.

Kendi telefonumdaki rehber ya da aile fotoğrafları için de bu kurallar geçerli mi?

Kişisel Verilerin Korunması Kanunu, üçüncü kişilere verilmemek ve veri güvenliğine uyulmak kaydıyla, gerçek kişilerin yalnızca kendileri ya da aynı konutta yaşayan aile fertleriyle ilgili faaliyetler kapsamında yaptığı işlemlere uygulanmaz. Bu bilgiler başkalarıyla paylaşılmaya başlandığında ise durum değişir.

Bir şirket verilerimi sızdırdıysa ne yapabilirim?

Ceza soruşturması için savcılığa başvurabilirsiniz. Bunun yanında şirkete yazılı olarak başvurup verilerinizin kimlere aktarıldığını öğrenmek, silinmesini istemek ve zararınızın giderilmesini talep etmek mümkündür. Şirket otuz gün içinde cevap vermezse ya da cevap yetersizse Kişisel Verileri Koruma Kuruluna şikâyette bulunabilirsiniz. Kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkı da saklıdır.

Bu yazı genel bilgilendirme amaçlıdır; somut durumunuz için bir avukattan hukuki destek almanız önerilir.