Kişisel veri ihlali halinde cezalar
KİŞİSEL VERİ İHLALİ HALİNDE CEZALAR
Giriş
Günümüzde kişisel verilerin korunması, bireyin özel hayatının gizliliği hakkının ayrılmaz bir parçası haline gelmiştir. Teknolojik gelişmeler, kişisel verilerin daha hızlı, yaygın ve kontrolsüz bir şekilde işlenmesine zemin hazırlamış; bu durum veri ihlallerinin daha sık ve ciddi sonuçlar doğurmasına neden olmuştur. Bu sebeple, kişisel verilerin korunması hem ulusal hem de uluslararası düzeyde hukuki düzenlemelerle güvence altına alınmıştır.
Ülkemizde kişisel verilerin korunmasına ilişkin ilk kapsamlı düzenleme, 7 Nisan 2016 tarihinde yürürlüğe giren 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) ile gerçekleştirilmiştir. Bu Kanun ile kişisel verilerin işlenmesinde bireylerin temel hak ve özgürlüklerinin korunması ve bu verileri işleyen gerçek ve tüzel kişilerin yükümlülüklerinin belirlenmesi hedeflenmiştir.
Kişisel Veri Nedir?
Kanun’un 3. maddesinde kişisel veri, “kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi” olarak tanımlanmıştır. Buna göre bir kişinin adı, soyadı, doğum tarihi, telefon numarası, IP adresi, plakası, ses kaydı, parmak izi ve benzeri veriler kişisel veri kapsamında değerlendirilmektedir. Kişisel veriler ikiye ayrılmaktadır:
- Genel nitelikli kişisel veriler, örneğin bir kişinin adı, soyadı, T.C. kimlik numarası, adresi, e-posta bilgileri gibi bilgileridir.
- Özel nitelikli kişisel veriler ise kişilerin ırkı, etnik kökeni, siyasi düşüncesi, dini inancı, kılık kıyafeti, sağlık bilgileri, biyometrik verileri, ceza mahkûmiyetleri ve sendika üyelikleri gibi daha hassas bilgileri kapsamaktadır. Bu tür veriler, kişilerin temel hak ve özgürlükleri açısından daha yüksek risk barındırdığı için daha sıkı koruma altındadır.
Kişisel Veri İhlali Nedir?
Kanun’da açıkça tanımlanmış bir “veri ihlali” tanımı yer almamakla birlikte, Kişisel Verileri Koruma Kurulu (‘‘Kurul’’) kararları ve uygulamaları doğrultusunda veri ihlali; kişisel verilerin yetkisiz kişilerce ele geçirilmesi, değiştirilmesi, silinmemesi, ifşa edilmesi veya yetkisiz şekilde erişime açılması olarak tanımlanabilir. Veri ihlalleri genellikle şu şekillerde gerçekleşmektedir:
- Sistemlerin siber saldırıya uğraması,
- Verilerin yetkisiz kişilerle paylaşılması,
- İmha edilmesi gereken verilerin silinmemesi,
- Verilerin açık rıza olmaksızın veya hukuka aykırı şekilde işlenmesi.
Bu gibi durumlarda hem Kurul’un müdahalesi hem de adli mercilerin cezai yaptırımları gündeme gelebilmektedir.
Veri Sorumlularının Yükümlülükleri
Kanun, kişisel verileri işleyen gerçek ve tüzel kişilere bazı yükümlülükler getirmiştir. Bu yükümlülükler arasında:
- Aydınlatma yükümlülüğü (m.10): Veri sorumluları, veri sahiplerine verilerin hangi amaçla işlendiğini, kimlerle paylaşıldığını, hangi hukuki sebebe dayandığını ve kişilerin haklarını bildirmek zorundadır.
- Veri güvenliğini sağlama yükümlülüğü (m.12): Kişisel verilerin hukuka aykırı erişimini, işlenmesini ve kaybını önlemek amacıyla teknik ve idari tedbirler alınmalıdır.
- Sicile kayıt yükümlülüğü (m.16): Belirli kriterleri sağlayan veri sorumluları, VERBİS’e (Veri Sorumluları Sicil Bilgi Sistemi) kaydolmak zorundadır.
- İhlal bildirimi yükümlülüğü (m.12/5): Veri ihlali yaşanması durumunda en geç 72 saat içinde Kurula bildirim yapılması gerekir.
Veri sorumlularının bu yükümlülükleri ihlal etmeleri hâlinde, idari para cezaları gündeme gelebileceği gibi, bazı ihlaller için ceza hukuku kapsamında sorumluluk da doğabilir.
Kişisel Veri İhlali Halinde Uygulanacak İdari Para Cezaları (Kanun madde 18)
Kişisel verilerin hukuka aykırı şekilde işlenmesi hâlinde, Kanun’un 18. maddesi uyarınca veri sorumlularına idari para cezaları uygulanmaktadır. Kanun, bu cezaları çeşitli ihlal türlerine göre ayırarak sınıflandırmıştır:
| İhlal Türü | KVKK Maddesi | 2025 Para Cezası (Alt – Üst Sınır) |
| Aydınlatma yükümlülüğüne aykırılık | m.10 | 68.083 TL – 1.362.021 TL |
| Veri güvenliğini sağlamama | m.12 | 204.285 TL – 13.620.402 TL |
| Kurul kararlarına uymama | m.15 | 340.476 TL – 13.620.402 TL |
| VERBİS’e kaydolmama | m.16 | 272.380 TL – 13.620.402 TL |
Bu cezalar, Kurul’un takdirine bağlı olarak, ihlalin niteliği, ağırlığı ve tekrar edip etmediği gibi unsurlar göz önüne alınarak belirlenmektedir.
Türk Ceza Kanunu Kapsamında Suçlar (TCK madde 135-140)
Kişisel verilerin hukuka aykırı şekilde işlenmesi sadece idari bir yaptırımla sınırlı olmayıp, Türk Ceza Kanunu’nda suç olarak da düzenlenmiştir. Bu kapsamda, kişisel verilerin izinsiz olarak ele geçirilmesi, kaydedilmesi, açıklanması veya silinmemesi gibi fiiller suç teşkil edebilmektedir.
TCK m.135 – Kişisel verilerin kaydedilmesi
Kişilerin siyasi, felsefi veya dini görüşlerine, ırkî kökenlerine, sağlık durumlarına, cinsel hayatlarına, sendika üyeliklerine ilişkin verilerinin hukuka aykırı şekilde kaydedilmesi suçtur. Bu suçu işleyen kişi hakkında 1 yıldan 3 yıla kadar hapis cezası öngörülmüştür.
TCK m.136 – Verileri hukuka aykırı olarak verme veya ele geçirme
Kişisel verilerin, hukuka aykırı olarak bir başkasına verilmesi, yayılması veya ele geçirilmesi hâlinde 2 yıldan 4 yıla kadar hapis cezası uygulanabilir. Bu suçun kamu görevlisi tarafından veya belli bir meslek nedeniyle sağlanan kolaylıktan faydalanmak suretiyle işlenmesi hâlinde ceza artırılır.
TCK m.138 – Verileri yok etmeme
Yasa veya ilgili mevzuat hükümleri gereğince belirli sürelerin sonunda yok edilmesi gereken verileri silmeyen kişiler hakkında 1 yıldan 2 yıla kadar hapis cezası öngörülmektedir.
TCK m.139 – Nitelikli hâller
Yukarıda belirtilen suçların bir örgütün faaliyeti çerçevesinde işlenmesi hâlinde verilecek cezalar yarı oranında artırılır.
TCK m.140 – Tüzel kişiler hakkında güvenlik tedbirleri
Suçun bir tüzel kişi bünyesinde işlenmesi hâlinde, tüzel kişilere özgü faaliyet izninin iptali veya ilgili iş yerinin kapatılması gibi güvenlik tedbirleri uygulanabilir.
Kişisel Veri İhlali Halinde Başvuru Yolları
Verisi ihlal edilen kişiler şu yollarla hak arayabilir:
- Veri sorumlusuna başvuru (Kanun madde 13): 30 gün içinde cevap verilmelidir.
- Kişisel Verileri Koruma Kurulu’na şikayet (m.14): Veri sorumlusundan cevap alınamaması hâlinde 60 gün içinde şikâyet hakkı doğar.
- Tazminat davası (Türk Borçlar Kanunu m.49): Manevî veya maddî zarar doğması durumunda genel hükümlere göre tazminat davası açılabilir.
- Ceza soruşturması: Savcılıklara suç duyurusunda bulunulabilir.
Sonuç ve Değerlendirme
Kişisel verilerin korunması, günümüzde sadece bireylerin özel yaşamının gizliliğini değil; aynı zamanda kamu düzenini, ekonomik düzeni ve toplumsal güveni de yakından ilgilendiren bir alandır. Gerek idari yaptırımlar gerekse cezai müeyyideler ile bu alanın ciddiyeti her geçen gün artmaktadır. Bu nedenle hem bireylerin kişisel verilerinin korunması konusunda bilinçlenmesi hem de veri sorumlularının hukuka uygun hareket etmesi, şeffaflık ve güven açısından zorunluluk hâline gelmiştir. Aksi takdirde, yüksek miktarlarda idari cezalarla ve hapis yaptırımlarıyla karşı karşıya kalınması kaçınılmazdır.
Saygılarımızla,
Atabay Hukuk Bürosu