Kişisel Verilerin Kaydedilmesi Suçu (TCK m.135)

Kişisel Verilerin Kaydedilmesi Suçu

Giriş

Dijital teknolojilerin gelişmesiyle birlikte kişisel verilerin işlenmesi, saklanması ve paylaşılması günlük yaşamın ayrılmaz bir parçası hâline gelmiştir.

Kamu kurumları, özel sektör kuruluşları ve hatta bireyler tarafından gerçekleştirilen pek çok işlem, kişilere ait bilgilerin elektronik veya fiziki ortamlarda kaydedilmesini gerektirmektedir.

Ancak teknolojik imkânların artması, kişisel verilerin hukuka aykırı şekilde toplanması, depolanması ve kullanılmasına ilişkin riskleri de beraberinde getirmiştir.

Kişisel verilerin hukuka aykırı olarak kaydedilmesi, bireylerin yalnızca özel hayatını değil; kişilik haklarını, ekonomik güvenliğini, sosyal yaşamını ve temel hak ve özgürlüklerini de doğrudan etkileyebilmektedir.

Bir kişinin sağlık bilgileri, iletişim bilgileri, biyometrik verileri veya siyasi görüşü gibi kişisel bilgilerinin rızası dışında kayıt altına alınması, ilerleyen süreçte ayrımcılık, dolandırıcılık, kimlik hırsızlığı veya başka birçok hukuka aykırı fiile zemin hazırlayabilir.

Bu nedenle kanun koyucu, kişisel verilerin korunmasını yalnızca idari yaptırımlarla sınırlı bırakmamış; belirli fiilleri ceza hukuku kapsamında suç olarak düzenleyerek kişisel veriler üzerindeki hukuki korumayı güçlendirmiştir.

Türk Ceza Kanunu’nun “Özel Hayata ve Hayatın Gizli Alanına Karşı Suçlar” başlıklı dokuzuncu bölümünde yer alan 135. madde, kişisel verilerin hukuka aykırı şekilde kaydedilmesini bağımsız bir suç olarak düzenlemektedir.

Öte yandan kişisel verilerin korunmasına ilişkin temel anayasal güvence, Anayasa’nın 20. maddesinin üçüncü fıkrasında yer almaktadır.

Anılan hüküm uyarınca herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu hak; kişisel veriler hakkında bilgilendirilme, verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve verilerin amacına uygun kullanılıp kullanılmadığını öğrenme yetkilerini de kapsamaktadır.

Ceza hukuku bakımından ise kişisel verilerin korunmasına ilişkin yaptırımların temelini Türk Ceza Kanunu’nun 135 ilâ 140. maddeleri oluşturmaktadır. Bunun yanında, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) da kişisel verilerin işlenmesine ilişkin usul ve esasları düzenleyerek ceza hukuku hükümlerini tamamlayıcı nitelikte önemli bir koruma mekanizması oluşturmuştur.

Bu makalede, Türk Ceza Kanunu’nun 135. maddesinde düzenlenen kişisel verilerin kaydedilmesi suçu, suçun unsurları, kişisel veri kavramı, özel nitelikli kişisel veriler, hukuka uygunluk nedenleri, nitelikli hâller, soruşturma usulü ve uygulamada en sık karşılaşılan örnekler çerçevesinde ayrıntılı olarak incelenecektir.

Kişisel Verilerin Kaydedilmesi Suçu Nedir?

Kişisel verilerin kaydedilmesi suçu, bir kişiye ilişkin kişisel verilerin hukuka aykırı şekilde kayıt altına alınmasını cezalandıran bir suç tipidir.

Bu suç ile bireyin kişisel verileri üzerindeki hâkimiyetinin korunması ve kişilik haklarının güvence altına alınması amaçlanmaktadır.

Türk Ceza Kanunu’nun 135. maddesi uyarınca suçun oluşabilmesi için öncelikle ortada kişisel veri niteliğinde bir bilginin bulunması ve bu verinin hukuka aykırı olarak kaydedilmesi gerekmektedir. Kanun koyucu, verinin hangi ortama kaydedildiği konusunda herhangi bir ayrım yapmamıştır.

Dolayısıyla kişisel verilerin bilgisayar ortamına, cep telefonuna, harici belleğe, bulut sistemlerine veya fiziki dosyalara kaydedilmesi arasında suçun oluşumu bakımından bir fark bulunmamaktadır.

Burada dikkat edilmesi gereken en önemli husus, kişisel verinin yalnızca öğrenilmesinin değil, kayıt altına alınmasının cezalandırılmasıdır.

Bir başka ifadeyle, kişinin zihninde tuttuğu bilgiler bu suçun konusunu oluşturmazken; bu bilgilerin herhangi bir araçla kalıcı hâle getirilmesi, belirli bir sistem içerisinde saklanması veya depolanması hâlinde suçun maddi unsuru gerçekleşebilir.

Kişisel verilerin kaydedilmesi suçu, aynı zamanda tehlike suçu niteliği taşımaktadır.

Suçun oluşması için mağdurun ayrıca bir zarara uğraması veya kaydedilen verilerin üçüncü kişilerle paylaşılması şart değildir. Hukuka aykırı şekilde kayıt işleminin gerçekleştirilmesi, suçun tamamlanması için yeterlidir.

Bununla birlikte, hukuka uygun sebeplerin varlığı hâlinde yapılan kayıt işlemleri suç oluşturmaz.

Örneğin kanundan doğan yükümlülüklerin yerine getirilmesi, açık rızaya dayanılması veya yetkili mercilerin talebi üzerine gerçekleştirilen kayıt işlemleri, somut olayın özelliklerine göre hukuka uygun kabul edilebilir.

Türk Ceza Kanunu’nun 135. Maddesi

Türk Ceza Kanunu’nun “Kişisel Verilerin Kaydedilmesi” başlıklı 135. maddesi şu şekildedir:

Madde 135

(1) Hukuka aykırı olarak kişisel verileri kaydeden kimseye bir yıldan üç yıla kadar hapis cezası verilir.

(2) Kişisel verinin, kişilerin siyasi, felsefi veya dinî görüşlerine, ırkî kökenlerine; hukuka aykırı olarak ahlaki eğilimlerine, cinsel yaşamlarına, sağlık durumlarına veya sendikal bağlantılarına ilişkin olması durumunda, birinci fıkra uyarınca verilecek ceza yarı oranında artırılır.

Madde metninden de anlaşılacağı üzere kanun koyucu, yalnızca kişisel verilerin hukuka aykırı şekilde kaydedilmesini suç olarak düzenlemekle yetinmemiş; bireyin mahremiyetini daha yakından ilgilendiren ve ayrımcılığa yol açabilecek nitelikteki hassas verilerin kaydedilmesini daha ağır yaptırıma bağlamıştır.

Bu yönüyle TCK’nın 135. maddesi, kişisel veriler arasında önem derecesine göre bir ayrım yapmakta; bireyin temel hak ve özgürlüklerini daha yoğun şekilde etkileyebilecek veriler bakımından daha ağır cezai koruma sağlamaktadır.

Suçla Korunan Hukuki Yarar

Kişisel verilerin kaydedilmesi suçu ile korunan temel hukuki değer, kişinin kişisel verileri üzerindeki hukuki hâkimiyeti ve bilgi mahremiyetidir.

Her birey, kendisine ait kişisel bilgilerin hangi amaçla, kim tarafından ve hangi hukuki sebebe dayanılarak kaydedileceğini belirleme hakkına sahiptir.

Bu suçla yalnızca özel hayatın gizliliği korunmamaktadır.

Aynı zamanda kişinin kişilik hakları, özel yaşam alanı, bireysel özgürlüğü, bilgi güvenliği ve kişisel verileri üzerinde kendi kaderini belirleme hakkı da ceza hukuku koruması altına alınmaktadır.

Anayasa’nın 20. maddesinde güvence altına alınan kişisel verilerin korunmasını isteme hakkı, bireyin temel haklarından biridir.

Bu nedenle kişisel verilerin hukuka aykırı şekilde kayıt altına alınması, yalnızca bireysel bir menfaati değil, aynı zamanda hukuk devletinin ve kişilik haklarının korunmasına ilişkin anayasal düzeni de ihlal etmektedir.

Diğer yandan kişisel verilerin hukuka aykırı şekilde kaydedilmesi, ilerleyen süreçte verilerin paylaşılması, satılması, ticari amaçlarla kullanılması, kimlik hırsızlığı yapılması veya kişilerin ayrımcılığa maruz bırakılması gibi daha ağır hak ihlallerinin ilk aşamasını oluşturabilir.

Kanun koyucu, bu nedenle henüz veri üçüncü kişilere aktarılmadan önce, kayıt işlemini tek başına cezalandırarak bireyin kişisel verileri üzerindeki korumayı en erken aşamada sağlamayı amaçlamıştır.

Bu yaklaşım, hem Anayasa’nın 20. maddesinde düzenlenen kişisel verilerin korunması hakkı hem de 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun temel ilkeleri ile uyumlu olup, kişisel verilerin hukuka aykırı işlenmesine karşı etkili bir ceza hukuku güvencesi oluşturmaktadır.

Kişisel Veri Kavramı

Kişisel verilerin kaydedilmesi suçunun anlaşılabilmesi için öncelikle “kişisel veri” kavramının doğru şekilde ortaya konulması gerekir.

Zira Türk Ceza Kanunu’nun 135. maddesinde suçun konusunu doğrudan kişisel veriler oluşturmaktadır.

Bir bilginin kişisel veri niteliği taşımaması hâlinde ise bu suçtan söz edilmesi mümkün değildir.

Türk Ceza Kanunu’nda kişisel verinin tanımına yer verilmemiştir. Bununla birlikte, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 3. maddesinde kişisel veri;

“Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi”

şeklinde tanımlanmıştır.

Bu tanım son derece geniş kapsamlıdır. Kanun koyucu yalnızca kişiyi doğrudan tanımlayan bilgileri değil, dolaylı olarak belirlenebilir hâle getiren tüm bilgileri de kişisel veri kapsamında değerlendirmiştir.

Dolayısıyla bir bilginin kişisel veri sayılabilmesi için mutlaka tek başına kişiyi göstermesi gerekmez.

Başka bilgilerle bir araya getirildiğinde belirli bir kişiyi işaret edebilen her türlü bilgi de kişisel veri niteliği taşımaktadır.

Kişisel veri kavramının bu kadar geniş düzenlenmesinin temel amacı, bireylerin kişisel bilgilerinin teknolojik gelişmeler karşısında etkin şekilde korunmasını sağlamaktır. Günümüzde birbirinden bağımsız görünen birçok veri, farklı veri tabanlarının eşleştirilmesiyle belirli bir kişiye ulaşılmasına imkân verebilmektedir.

Bu nedenle kişisel verinin kapsamı dar değil, oldukça geniş yorumlanmalıdır.

Kimliği Belirli veya Belirlenebilir Kişi Ne Demektir?

Kişisel veriden söz edebilmek için verinin gerçek bir kişiye ilişkin olması gerekir. Tüzel kişilere ait bilgiler, kural olarak TCK’nın 135. maddesi kapsamında kişisel veri olarak değerlendirilmez.

Ancak bir şirket bilgisinin aynı zamanda belirli bir gerçek kişiyi ortaya çıkarması hâlinde, bu bilgiler kişisel veri niteliği kazanabilir.

Kanunda geçen “kimliği belirli kişi”, doğrudan tanınabilen kişiyi ifade eder. Örneğin ad ve soyadı, Türkiye Cumhuriyeti kimlik numarası veya pasaport numarası gibi bilgiler tek başına kişiyi belirlemeye yeterlidir.

Buna karşılık “kimliği belirlenebilir kişi”, tek başına kişiyi göstermeyen; ancak başka bilgilerle birleştirildiğinde belirli bir kişiye ulaşılmasını sağlayan veriler bakımından söz konusu olur.

Örneğin;

araç plakası,
IP adresi,
e-posta adresi,
telefon numarası,
okul numarası,
personel sicil numarası,
müşteri numarası,
konum bilgisi,

tek başlarına her zaman kişiyi göstermese de uygun veri eşleştirmesi yapıldığında belirli bir gerçek kişiye ulaşılmasını sağlayabilir. Bu nedenle bu bilgiler de kişisel veri olarak kabul edilmektedir.

Kişinin kimliğinin belirlenebilmesi için herkes tarafından tanınması şart değildir. Belirli bir kişi grubunun veya veri sorumlusunun elindeki bilgiler kullanılarak kişinin tespit edilebilmesi de kişisel veri kabulü için yeterlidir.

Hangi Bilgiler Kişisel Veri Sayılır?

Kişisel veri kavramı oldukça geniş olup yalnızca kimlik bilgilerinden ibaret değildir. Bir gerçek kişiyi doğrudan veya dolaylı olarak tanımlayan her türlü bilgi kişisel veri niteliği taşıyabilir.

Uygulamada kişisel veri olarak kabul edilen bilgilere örnek olarak şunlar gösterilebilir:

Ad ve soyadı
Türkiye Cumhuriyeti kimlik numarası
Pasaport numarası
Doğum tarihi ve doğum yeri
Anne ve baba adı
İmza örneği
Fotoğraf
Video görüntüsü
Ses kaydı
Parmak izi
Avuç içi izi
Retina taraması
Yüz tanıma verileri
DNA bilgileri
Telefon numarası
Elektronik posta adresi
İkamet adresi
IP adresi
MAC adresi
Araç plakası
Banka hesap bilgileri
IBAN numarası
Kredi kartı bilgileri
Öğrenci numarası
Personel sicil numarası
SGK sicil bilgileri
Çalışma geçmişi
Eğitim bilgileri
Meslek bilgisi
Maaş bilgisi
Kamera görüntüleri
GPS ve konum verileri
İnternet kullanım kayıtları
Çerez (cookie) verileri
Mobil uygulama kullanım bilgileri

Bu örnekler sınırlayıcı değildir. Somut olayın özelliklerine göre bir gerçek kişiyle ilişkilendirilebilen her türlü bilgi kişisel veri olarak değerlendirilebilir.

Hangi Bilgiler Kişisel Veri Sayılmaz?

Her bilgi kişisel veri niteliği taşımaz. Bir bilginin TCK’nın 135. maddesi kapsamında korunabilmesi için belirli veya belirlenebilir bir gerçek kişiyle bağlantılı olması gerekir.

Örneğin;

anonim hâle getirilmiş istatistiksel veriler,
herhangi bir kişiyle ilişkilendirilemeyen sayısal bilgiler,
tamamen anonim araştırma sonuçları,
belirli bir gerçek kişiyi göstermeyen genel ekonomik veriler,
herhangi bir kişiyle bağlantısı kurulamayan teknik bilgiler,

kural olarak kişisel veri olarak kabul edilmez.

Bununla birlikte, ilk bakışta anonim görünen bir veri başka bilgilerle eşleştirildiğinde belirli bir kişiye ulaşılmasını sağlıyorsa artık anonimlik ortadan kalkar ve söz konusu bilgi kişisel veri niteliği kazanır.

Bu nedenle bir bilginin kişisel veri sayılıp sayılmayacağı değerlendirilirken yalnızca verinin kendisi değil, o verinin başka bilgilerle birlikte kullanılması hâlinde kişiyi belirlenebilir kılıp kılmadığı da dikkate alınmalıdır.

Kişisel Veri ile Özel Hayata İlişkin Bilgi Aynı Şey Midir?

Uygulamada en sık karşılaşılan yanlış anlamalardan biri, kişisel veri ile özel hayata ilişkin bilginin aynı kavramlar olduğunun düşünülmesidir.

Oysa bu iki kavram birbiriyle yakından ilişkili olmakla birlikte aynı hukuki anlamı taşımaz.

Her özel hayata ilişkin bilgi aynı zamanda kişisel veri niteliğinde olabilir. Ancak her kişisel veri, özel hayatın gizli alanına ilişkin bilgi değildir.

Örneğin bir kişinin adı, soyadı veya iş yeri adresi kişisel veri niteliği taşımaktadır.

Buna karşılık bu bilgiler her zaman özel hayatın gizli alanına ilişkin kabul edilmez.

Buna karşılık kişinin sağlık bilgileri, biyometrik verileri, cinsel yaşamına ilişkin bilgiler veya aile hayatına ilişkin kayıtlar hem kişisel veri hem de özel hayatın gizli alanına ilişkin bilgiler arasında yer alır.

Bu ayrım, özellikle TCK’nın 134. maddesinde düzenlenen özel hayatın gizliliğini ihlal suçu ile TCK’nın 135. maddesinde düzenlenen kişisel verilerin kaydedilmesi suçu arasındaki farkın anlaşılabilmesi bakımından büyük önem taşımaktadır.

Bu nedenle bir bilginin kişisel veri niteliğinde olması, tek başına özel hayatın gizli alanına ilişkin olduğu anlamına gelmez. Her somut olayın özellikleri dikkate alınarak ayrıca değerlendirme yapılmalıdır.

Özel Nitelikli (Hassas) Kişisel Veri Kavramı

Türk Ceza Kanunu’nun 135. maddesinin ikinci fıkrasında, bazı kişisel verilerin diğer kişisel verilere göre daha güçlü şekilde korunması gerektiği kabul edilmiş ve bu verilere ilişkin kayıt işlemleri bakımından daha ağır cezai yaptırım öngörülmüştür.

Gerçekten de bazı kişisel veriler, kişinin yalnızca kimliğini belirlemekle kalmayıp özel yaşamını, düşünce dünyasını, sağlık durumunu, sosyal ilişkilerini ve temel hak ve özgürlüklerini doğrudan etkileyebilecek niteliktedir.

Bu tür bilgilerin hukuka aykırı şekilde kaydedilmesi, bireyin toplum içerisindeki konumunu, çalışma hayatını ve hatta güvenliğini dahi tehlikeye sokabilecek sonuçlar doğurabilir.

Bu nedenle kanun koyucu, belirli kişisel veri kategorilerini diğerlerinden ayırmış ve bunların hukuka aykırı olarak kaydedilmesini daha ağır yaptırıma bağlamıştır.

Türk Ceza Kanunu’nun 135. maddesinin ikinci fıkrasında;

siyasi görüş,
felsefi görüş,
dinî inanç,
ırkî köken,
hukuka aykırı olarak ahlaki eğilimler,
cinsel yaşama ilişkin bilgiler,
sağlık durumuna ilişkin bilgiler,
sendikal bağlantılar

özel olarak sayılmış ve bu verilere ilişkin kayıt işlemleri bakımından cezanın yarı oranında artırılacağı hüküm altına alınmıştır.

Benzer şekilde 6698 sayılı Kişisel Verilerin Korunması Kanunu da bazı kişisel verileri “özel nitelikli kişisel veri” olarak kabul etmiş ve bu verilerin işlenmesini daha sıkı şartlara bağlamıştır.

Her ne kadar TCK ile KVKK farklı amaçlara hizmet eden düzenlemeler olsa da, her iki kanunda da ortak amaç; bireyin ayrımcılığa uğramasına, damgalanmasına veya temel haklarının ihlal edilmesine yol açabilecek bilgilerin daha güçlü şekilde korunmasını sağlamaktır.

TCK m.135/2 Kapsamında Korunan Özel Nitelikli Kişisel Veriler

Türk Ceza Kanunu’nun 135. maddesinin ikinci fıkrasında sayılan kişisel veriler sınırlı sayıda düzenlenmiştir. Buna göre aşağıdaki verilere ilişkin hukuka aykırı kayıt işlemleri, suçun nitelikli hâlini oluşturur.

Siyasi Görüşe İlişkin Veriler

Bir kişinin hangi siyasi partiye üye olduğu, hangi siyasi düşünceyi benimsediği veya hangi ideolojik görüşe sahip olduğu kişisel veri niteliğindedir.

Bu bilgilerin hukuka aykırı şekilde kayıt altına alınması, kişinin demokratik haklarını kullanmasını engelleyebilecek, ayrımcılığa uğramasına neden olabilecek veya kamuoyu nezdinde baskı oluşturabilecek sonuçlar doğurabilir.

Bu nedenle kanun koyucu siyasi görüşe ilişkin verileri özel koruma altına almıştır.

Felsefi Görüşe İlişkin Veriler

Bir kişinin hayat anlayışını, dünya görüşünü veya benimsediği felsefi düşünceyi ortaya koyan bilgiler de özel nitelikli kişisel veri kapsamında değerlendirilmektedir.

Bu bilgilerin hukuka aykırı şekilde kayıt altına alınması, bireyin düşünce özgürlüğünü zedeleyebileceği gibi sosyal yaşamında da olumsuz sonuçlara yol açabilir.

Dinî İnançlara İlişkin Veriler

Din veya inanç özgürlüğü, Anayasa ile güvence altına alınan temel haklardan biridir.

Bir kişinin hangi dine mensup olduğu, herhangi bir dine inanıp inanmadığı veya ibadet alışkanlıklarına ilişkin bilgilerin hukuka aykırı şekilde kaydedilmesi, bireyin din ve vicdan özgürlüğüne doğrudan müdahale niteliği taşıyabilir.

Bu nedenle dinî inançlara ilişkin bilgiler, kanun koyucu tarafından özel koruma altına alınmıştır.

Irkî Kökene İlişkin Veriler

Irkî köken bilgileri de kişinin ayrımcılığa maruz kalmasına neden olabilecek en hassas veri gruplarından biridir.

Bu bilgilerin hukuka aykırı şekilde kaydedilmesi, yalnızca bireyin özel hayatını değil; eşitlik ilkesini ve insan onurunu da zedeleyebilecek sonuçlar doğurabilir.

Kanun koyucu bu nedenle ırkî kökene ilişkin bilgileri de daha ağır koruma altına almıştır.

Hukuka Aykırı Olarak Ahlaki Eğilimlere İlişkin Veriler

Kanunda yer alan “ahlaki eğilim” kavramı uygulamada en çok tartışılan kavramlardan biridir.

Burada korunmak istenen husus, kişilerin toplum içerisindeki yaşam tarzlarına veya ahlaki tercihleri olarak değerlendirilebilecek davranışlarına ilişkin bilgilerin hukuka aykırı şekilde kayıt altına alınmasının önlenmesidir.

Ancak bu hüküm yorumlanırken temel hak ve özgürlükler ile özel hayatın korunmasına ilişkin anayasal güvencelerin birlikte değerlendirilmesi gerekir.

Cinsel Yaşama İlişkin Veriler

Kişinin cinsel yaşamına ilişkin bilgiler, özel hayatın en mahrem alanlarından birini oluşturur.

Bir kişinin cinsel yönelimi, özel ilişkileri veya cinsel hayatına ilişkin bilgilerin hukuka aykırı şekilde kayıt altına alınması, bireyin hem özel yaşamını hem de kişilik haklarını ağır şekilde ihlal edebilir.

Bu nedenle kanun koyucu bu verileri en güçlü şekilde korunan veri kategorileri arasında saymıştır.

Sağlık Durumuna İlişkin Veriler

Sağlık verileri, kişinin fiziksel veya ruhsal durumuna ilişkin tüm bilgileri kapsamaktadır.

Örneğin;

hastalık bilgileri,
laboratuvar sonuçları,
reçeteler,
ameliyat kayıtları,
engellilik durumu,
genetik hastalık bilgileri,
psikiyatrik tedavi kayıtları,

kişinin sağlık durumuna ilişkin kişisel veri niteliğindedir.

Bu bilgilerin hukuka aykırı şekilde kaydedilmesi, bireyin çalışma hayatından sosyal ilişkilerine kadar birçok alanda ciddi mağduriyetlere yol açabileceğinden kanun koyucu daha ağır cezai koruma öngörmüştür.

Sendikal Bağlantılara İlişkin Veriler

Bir kişinin herhangi bir sendikaya üye olması, üyelikten ayrılması veya sendikal faaliyetleri de özel nitelikli kişisel veri kapsamında korunmaktadır.

Bu bilgilerin hukuka aykırı şekilde kayıt altına alınması, bireyin çalışma hayatında baskıya uğramasına veya ayrımcılıkla karşılaşmasına neden olabileceğinden, kanun koyucu bu veri grubunu da nitelikli koruma kapsamına almıştır.

TCK m.135/2 Kapsamındaki Cezanın Artırılmasının Amacı

Türk Ceza Kanunu’nun 135. maddesinin ikinci fıkrasında öngörülen ceza artırımı, yalnızca belirli veri türlerini korumayı amaçlamamaktadır. Aynı zamanda bireyin insan onurunu, özel hayatını, eşitlik ilkesini, düşünce ve inanç özgürlüğünü ve kişisel verileri üzerinde tasarruf hakkını daha etkin biçimde güvence altına almayı hedeflemektedir.

Özel nitelikli kişisel verilerin hukuka aykırı şekilde kaydedilmesi, çoğu zaman telafisi güç sonuçlar doğurabilir. Bu verilerin üçüncü kişilerin eline geçmesi hâlinde birey; ayrımcılığa uğrayabilir, sosyal çevresinde dışlanabilir, işini kaybedebilir, ekonomik zarara uğrayabilir veya kişilik hakları ağır şekilde ihlal edilebilir.

Kanun koyucu, bu nedenle söz konusu verilerin hukuka aykırı şekilde kaydedilmesini yalnızca bir kişisel veri ihlali olarak değil, bireyin temel hak ve özgürlüklerine yönelen daha ağır bir saldırı olarak değerlendirmiş ve faile verilecek cezanın yarı oranında artırılmasını öngörmüştür.

Özel Nitelikli Kişisel Veriler ile KVKK Arasındaki İlişki

6698 sayılı Kişisel Verilerin Korunması Kanunu da özel nitelikli kişisel verilerin işlenmesini genel kişisel verilere göre daha sıkı şartlara bağlamıştır. Bunun temel nedeni, bu verilerin hukuka aykırı şekilde kullanılması hâlinde ortaya çıkabilecek zararların çok daha ağır olmasıdır.

Ancak burada önemli bir ayrım bulunmaktadır. KVKK, kişisel verilerin işlenmesine ilişkin idari ve hukuki kuralları düzenlerken; TCK’nın 135. maddesi ise belirli şartlar altında kişisel verilerin hukuka aykırı olarak kaydedilmesini suç olarak düzenlemektedir.

Dolayısıyla aynı fiil, somut olayın özelliklerine göre hem KVKK hükümleri bakımından idari veya hukuki sonuçlar doğurabilir hem de Türk Ceza Kanunu kapsamında cezai sorumluluğa yol açabilir.

Kişisel Verinin Kaydedilmesi Ne Demektir?

Türk Ceza Kanunu’nun 135. maddesinde suç olarak düzenlenen fiil, kişisel verilerin hukuka aykırı olarak kaydedilmesidir.

Ancak kanun koyucu “kaydetme” kavramını ayrıca tanımlamamıştır. Bu nedenle kavramın anlamı; kanunun amacı, öğretideki görüşler ve yargısal uygulamalar birlikte değerlendirilerek belirlenmektedir.

En genel anlamıyla kaydetme, kişisel verinin daha sonra yeniden kullanılabilecek, erişilebilecek, okunabilecek, dinlenebilecek veya görüntülenebilecek şekilde herhangi bir ortama aktarılması ve muhafaza altına alınmasıdır.

Dolayısıyla kaydetme fiili yalnızca bilgisayar ortamında gerçekleştirilen işlemlerle sınırlı değildir.

Bir kişisel verinin dijital veya fiziki herhangi bir ortamda kalıcı hâle getirilmesi, TCK’nın 135. maddesi bakımından kayıt işlemi olarak değerlendirilebilir.

Burada önemli olan husus, kişisel verinin belirli bir sistem içerisinde saklanabilir ve tekrar erişilebilir hâle getirilmesidir. Verinin hangi teknoloji kullanılarak kaydedildiği ise suçun oluşumu bakımından tek başına önem taşımaz.

Kaydetme İşlemi Hangi Ortamlarda Gerçekleşebilir?

Teknolojinin gelişmesiyle birlikte kişisel verilerin kayıt altına alınabileceği ortamlar da önemli ölçüde çeşitlenmiştir.

Bu kapsamda kişisel verilerin;

bilgisayara kaydedilmesi,
cep telefonuna kaydedilmesi,
tablet veya akıllı cihazlara kaydedilmesi,
harici disk veya USB belleğe aktarılması,
bulut depolama sistemlerine yüklenmesi,
veri tabanı oluşturulması,
elektronik tablo programlarına işlenmesi,
fiziki dosya veya klasör oluşturulması,
ajanda, defter veya not kâğıdına yazılması,

gibi işlemler, somut olayın özelliklerine göre kayıt fiilini oluşturabilir.

Kanun koyucu kayıt işleminin yalnızca elektronik ortamda yapılmasını aramamıştır. Bu nedenle tamamen fiziki ortamlarda gerçekleştirilen kayıt işlemleri de suçun konusunu oluşturabilir.

Telefon Rehberine Kayıt Yapılması Suç Oluşturur mu?

Bir kişiye ait telefon numarasının rehbere kaydedilmesi tek başına her zaman suç oluşturmaz.

Burada belirleyici olan husus, kayıt işleminin hukuka uygun bir sebebe dayanıp dayanmadığıdır.

Örneğin kişinin kendi rızasıyla paylaştığı telefon numarasının iletişim amacıyla rehbere kaydedilmesi, kural olarak suç oluşturmaz.

Buna karşılık hukuka aykırı yollarla elde edilen kişisel bilgilerin sistematik şekilde kayıt altına alınması veya kişinin iradesine aykırı olarak veri havuzu oluşturulması hâlinde, somut olayın özelliklerine göre TCK’nın 135. maddesi kapsamında değerlendirme yapılabilir.

Dolayısıyla telefon rehberine kayıt yapılması tek başına suç oluşturmaz; kayıt işleminin hukuka uygunluk nedenleri ve verinin elde ediliş şekli birlikte değerlendirilmelidir.

Excel Dosyasına veya Veri Tabanına Bilgi Girilmesi Suç Oluşturur mu?

Kişisel verilerin Excel dosyasına, elektronik tabloya veya herhangi bir veri tabanına sistemli şekilde işlenmesi, TCK’nın 135. maddesi bakımından kayıt işlemi niteliği taşıyabilir.

Özellikle;

müşteri listeleri,
çalışan bilgileri,
öğrenci kayıtları,
hasta kayıtları,
üye listeleri,
abonelik bilgileri,
iletişim listeleri,

gibi veri setlerinin oluşturulması, kişisel verilerin kaydedilmesi anlamına gelebilir.

Ancak burada da tek başına kayıt işlemi değil, kaydın hukuka aykırı şekilde gerçekleştirilmiş olması suçun oluşumu bakımından belirleyicidir.

Örneğin bir işverenin kanundan kaynaklanan yükümlülükleri kapsamında çalışanlarına ilişkin belirli bilgileri kayıt altına alması ile hukuka aykırı şekilde üçüncü kişilere ait kişisel bilgilerden oluşan veri tabanı oluşturması aynı hukuki değerlendirmeye tabi tutulamaz.

Fotoğraf veya Ses Kaydı Alınması Her Zaman TCK m.135 Kapsamında mıdır?

Fotoğraf veya ses kaydı alınması her somut olayda kişisel verilerin kaydedilmesi suçunu oluşturmaz.

Çünkü bazı durumlarda aynı fiil, TCK’nın 134. maddesinde düzenlenen özel hayatın gizliliğini ihlal suçunu veya 133. maddesinde düzenlenen kişiler arasındaki konuşmaların dinlenmesi ve kayda alınması suçunu oluşturabilir.

Örneğin bir kişinin özel yaşamına ilişkin görüntülerinin gizlice kaydedilmesi öncelikle TCK’nın 134. maddesi kapsamında değerlendirilirken; aleni olmayan konuşmaların ses kaydına alınması ise TCK’nın 133. maddesi kapsamında ele alınacaktır.

Buna karşılık kişiye ait fotoğrafın, biyometrik verinin veya kimlik belirlemeye elverişli görüntülerin sistematik biçimde veri olarak kayıt altına alınması hâlinde TCK’nın 135. maddesi de gündeme gelebilir.

Bu nedenle hangi suç tipinin oluştuğu, olayın özelliklerine ve kayıt altına alınan bilginin niteliğine göre ayrıca değerlendirilmelidir.

Kamera Görüntülerinin Saklanması Kişisel Verilerin Kaydedilmesi Sayılır mı?

Günümüzde güvenlik kameraları birçok iş yeri, site, apartman, alışveriş merkezi ve kamu kurumunda kullanılmaktadır.

Kamera kayıtlarında yer alan görüntüler, belirli veya belirlenebilir gerçek kişilere ilişkin bilgi içermesi hâlinde kişisel veri niteliği taşımaktadır.

Ancak güvenlik amacıyla, kanundan doğan yükümlülükler çerçevesinde veya meşru menfaat kapsamında gerçekleştirilen kamera kayıtları her zaman suç oluşturmaz.

Buna karşılık hukuki dayanağı bulunmaksızın kişilere ait görüntülerin sistematik şekilde depolanması, arşivlenmesi veya farklı amaçlarla kayıt altına alınması hâlinde, somut olayın özelliklerine göre TCK’nın 135. maddesi kapsamında cezai sorumluluk gündeme gelebilir.

Kişisel Verinin Geçici Olarak Kaydedilmesi de Suç Oluşturabilir mi?

Uygulamada zaman zaman kayıt işleminin kısa süreli olması nedeniyle suçun oluşmayacağı düşünülmektedir. Ancak kanunda kayıt işleminin belirli bir süre devam etmesi gerektiğine ilişkin herhangi bir düzenleme bulunmamaktadır.

Bu nedenle kişisel verinin hukuka aykırı şekilde kayıt altına alınmasıyla birlikte suç tamamlanabilir. Verinin daha sonra silinmiş olması veya kısa süre sistemde tutulması, her somut olayın özelliklerine göre değerlendirilmekle birlikte, tek başına suçun hiç oluşmadığı sonucunu doğurmaz.

Elbette ceza sorumluluğunun belirlenmesinde kaydın amacı, kapsamı, süresi, hukuka uygunluk nedenlerinin bulunup bulunmadığı ve diğer tüm somut olay özellikleri birlikte dikkate alınacaktır.

Kaydetme ile İşleme Kavramları Aynı Şey midir?

Uygulamada en sık karıştırılan hususlardan biri de “kaydetme” ile “işleme” kavramlarının aynı anlamda kullanılmasıdır.

Oysa bu iki kavram birbirinden farklıdır.

Kaydetme, kişisel verinin herhangi bir ortama aktarılarak muhafaza edilmesini ifade ederken; işleme kavramı çok daha geniş bir anlam taşımaktadır.

Kişisel verilerin;

elde edilmesi,
kaydedilmesi,
depolanması,
muhafaza edilmesi,
değiştirilmesi,
açıklanması,
aktarılması,
sınıflandırılması,
kullanılması,
silinmesi,
yok edilmesi

gibi birçok işlem, kişisel verilerin işlenmesi kapsamında değerlendirilmektedir.

Dolayısıyla kaydetme, kişisel veri işleme faaliyetlerinden yalnızca biridir. TCK’nın 135. maddesi ise bu faaliyetlerden yalnızca hukuka aykırı kayıt işlemini suç olarak düzenlemektedir.

Kişisel Verilerin Kaydedilmesi Suçunun Unsurları

Bir fiilin Türk Ceza Kanunu’nun 135. maddesi kapsamında kişisel verilerin kaydedilmesi suçunu oluşturabilmesi için suçun kanunda öngörülen tüm unsurlarının birlikte gerçekleşmesi gerekir. Bu kapsamda suçun maddi unsurunun, manevi unsurunun ve hukuka aykırılık unsurunun somut olay bakımından ayrı ayrı değerlendirilmesi gerekmektedir.

Kişisel verilerin kaydedilmesi suçu, yalnızca kişisel verilerin kayıt altına alınmasını değil; bu kayıt işleminin hukuka aykırı şekilde gerçekleştirilmesini cezalandırmaktadır. Bu nedenle her kayıt işlemi suç oluşturmayacağı gibi, kişisel verilerin kaydedildiği her durumda da fail hakkında cezai sorumluluk doğmayacaktır.

Maddi Unsur

Suçun maddi unsurunu, hukuka aykırı olarak kişisel verilerin kaydedilmesi fiili oluşturmaktadır.

Kanun koyucu, suçun oluşması bakımından kişisel verilerin hangi yöntemle veya hangi teknolojik araç kullanılarak kaydedildiği konusunda herhangi bir ayrım yapmamıştır. Bu nedenle dijital ortamda gerçekleştirilen kayıt işlemleri ile fiziki ortamlarda gerçekleştirilen kayıt işlemleri arasında suçun oluşumu bakımından bir farklılık bulunmamaktadır.

Maddi unsurun gerçekleşebilmesi için üç temel şartın birlikte bulunması gerekir.

Bunlar;

ortada kişisel veri niteliğinde bir bilginin bulunması,
bu bilginin kaydedilmesi,
kayıt işleminin hukuka aykırı olmasıdır.

Bu unsurlardan herhangi birinin bulunmaması hâlinde TCK’nın 135. maddesinde düzenlenen suç oluşmayacaktır.

Örneğin, kişisel veri niteliği taşımayan bilgilerin kayıt altına alınması bu suç kapsamında değerlendirilemeyeceği gibi, kişisel verilerin kanundan doğan yükümlülük gereğince kayıt altına alınması da suç oluşturmayacaktır.

Hareket Unsuru

Bu suç bakımından seçimlik hareket değil, tek hareketli bir suç söz konusudur.

Kanunda cezalandırılan hareket, kişisel verilerin kaydedilmesidir.

Burada kaydetme fiili; kişisel verinin ileride tekrar erişilebilecek şekilde herhangi bir ortama aktarılması ve muhafaza edilmesini ifade etmektedir.

Kaydın elektronik ortamda, bulut sisteminde, bilgisayarda, cep telefonunda, harici bellekte veya fiziki dosyalarda gerçekleştirilmesi arasında suçun oluşumu bakımından herhangi bir fark bulunmamaktadır.

Suç, kayıt işleminin tamamlanmasıyla birlikte gerçekleşir.

Netice Unsuru

Kişisel verilerin kaydedilmesi suçu bakımından kanun koyucu ayrıca bir zarar veya tehlike neticesi aramamıştır.

Bu nedenle mağdurun ekonomik zarara uğraması, kişisel verilerin üçüncü kişilerle paylaşılması veya mağdur hakkında başka bir suçun işlenmesi gerekmez.

Hukuka aykırı kayıt işleminin gerçekleştirilmesiyle birlikte suç tamamlanır.

Bu yönüyle TCK’nın 135. maddesinde düzenlenen suç, soyut tehlike suçu niteliği taşımaktadır.

Kanun koyucu, kişisel verilerin hukuka aykırı olarak kayıt altına alınmasını ileride doğabilecek daha ağır hak ihlallerinin ilk aşaması olarak değerlendirmiş ve henüz başka bir zarar doğmadan cezalandırmayı tercih etmiştir.

Manevi Unsur

Kişisel verilerin kaydedilmesi suçu kasten işlenebilen bir suçtur.

Failin, kaydettiği bilginin kişisel veri niteliğinde olduğunu bilmesi ve bu veriyi hukuka aykırı şekilde kayıt altına alma iradesiyle hareket etmesi gerekir.

Kanunda bu suç bakımından taksirli işlenme hâline ilişkin herhangi bir düzenlemeye yer verilmemiştir.

Dolayısıyla dikkatsizlik, tedbirsizlik veya ihmal sonucu gerçekleştirilen kayıt işlemleri, TCK’nın 135. maddesi kapsamında cezalandırılamaz.

Ancak failin kastının kapsamı belirlenirken somut olayın özellikleri, verinin elde ediliş şekli, kayıt amacı ve kayıt işleminin gerçekleştirildiği koşullar birlikte değerlendirilmelidir.

Hukuka Aykırılık Unsuru

Türk Ceza Kanunu’nun 135. maddesinde suçun oluşabilmesi için kayıt işleminin hukuka aykırı olması şartı açıkça aranmıştır.

Dolayısıyla kişisel verilerin kaydedilmiş olması tek başına suçun oluştuğu anlamına gelmez.

Örneğin;

kanundan kaynaklanan bir yükümlülüğün yerine getirilmesi,
açık rızaya dayanılması,
mahkeme kararı doğrultusunda kayıt yapılması,
kanunen yetkili kamu kurumlarının görevleri kapsamında veri kaydetmesi,

gibi durumlarda kayıt işlemi hukuka uygun kabul edilebilir.

Buna karşılık herhangi bir hukuki sebep bulunmaksızın kişisel verilerin sistematik şekilde kayıt altına alınması hâlinde suçun hukuka aykırılık unsuru gerçekleşecektir.

Hukuka aykırılık değerlendirmesi yapılırken yalnızca Türk Ceza Kanunu hükümleri değil, Anayasa, 6698 sayılı Kişisel Verilerin Korunması Kanunu ve ilgili diğer mevzuat hükümleri de birlikte dikkate alınmalıdır.

Kişisel Verilerin Kaydedilmesi Suçunun Faili

Türk Ceza Kanunu’nun 135. maddesinde düzenlenen kişisel verilerin kaydedilmesi suçu bakımından fail yönünden herhangi bir özellik aranmamıştır.

Bu nedenle suç, herkes tarafından işlenebilen genel suçlardan biridir.

Başka bir ifadeyle, kişisel verileri hukuka aykırı şekilde kaydeden herhangi bir gerçek kişi bu suçun faili olabilir.

Failin kamu görevlisi, özel sektör çalışanı, işveren, sağlık personeli, avukat, öğretmen veya herhangi bir meslek mensubu olması suçun temel şeklinin oluşumu bakımından önem taşımaz.

Ancak suçun, kamu görevlisi tarafından görevin sağladığı yetkinin kötüye kullanılması suretiyle veya belli bir meslek ya da sanatın sağladığı kolaylıktan yararlanılarak işlenmesi hâlinde, Türk Ceza Kanunu’nun 137. maddesinde düzenlenen ortak nitelikli hâller gündeme gelir ve faile verilecek ceza yarı oranında artırılır.

Bu nedenle failin sahip olduğu sıfat, temel suçun oluşumunu etkilemese de cezanın belirlenmesi bakımından önem arz edebilir.

Kişisel Verilerin Kaydedilmesi Suçunun Mağduru

Bu suçun mağduru, kişisel verileri hukuka aykırı şekilde kayıt altına alınan gerçek kişidir.

Türk Ceza Kanunu’nun 135. maddesi yalnızca gerçek kişilere ait kişisel verileri koruma altına almaktadır.

Bu nedenle tüzel kişiler, kural olarak bu suçun mağduru olamazlar.

Ancak bir tüzel kişiye ait veriler aynı zamanda belirli veya belirlenebilir gerçek kişilere ilişkin bilgiler içeriyorsa, bu durumda gerçek kişiler bakımından mağduriyet söz konusu olabilir.

Örneğin bir şirket çalışanlarının kimlik bilgileri, sağlık raporları veya iletişim bilgilerinin hukuka aykırı şekilde kayıt altına alınması hâlinde mağdur şirket değil; kişisel verileri kaydedilen çalışanlardır.

Mağdur sayısının birden fazla olması da mümkündür. Aynı kayıt sistemi içerisinde çok sayıda kişiye ait verilerin hukuka aykırı şekilde kaydedilmesi hâlinde her bir gerçek kişi bakımından ayrı bir hukuki değerlendirme yapılması gerekebilir.

Suçun Tamamlanma Anı

Kişisel verilerin kaydedilmesi suçu, kişisel verinin hukuka aykırı şekilde kayıt altına alınmasıyla birlikte tamamlanır.

Kaydedilen verinin daha sonra kullanılması, üçüncü kişilere aktarılması, yayımlanması veya ekonomik menfaat elde edilmesi suçun tamamlanması için gerekli değildir.

Bu fiiller, somut olayın özelliklerine göre Türk Ceza Kanunu’nun 136. maddesinde düzenlenen verileri hukuka aykırı olarak verme veya ele geçirme suçu başta olmak üzere farklı suç tiplerinin oluşmasına neden olabilir.

Bu nedenle TCK’nın 135. maddesi bakımından cezalandırılan temel fiil, kişisel verinin hukuka aykırı şekilde kayıt altına alınmasıdır. Kayıt işlemi tamamlandığı anda suç da tamamlanmış olur.

Kişisel Verilerin Kaydedilmesi Suçunda Hukuka Uygunluk Nedenleri

Türk Ceza Kanunu’nun 135. maddesinde kişisel verilerin hukuka aykırı olarak kaydedilmesi suç olarak düzenlenmiştir. Kanun metninde açıkça “hukuka aykırı olarak” ibaresine yer verilmiş olması, her kayıt işleminin suç oluşturmadığını göstermektedir.

Dolayısıyla kişisel verilerin kaydedilmesi fiilinin cezalandırılabilmesi için yalnızca kişisel verinin kayıt altına alınmış olması yeterli değildir. Aynı zamanda bu kayıt işleminin hukuka aykırı şekilde gerçekleştirilmiş olması gerekir.

Bazı hâllerde ise kişisel verilerin kaydedilmesi hem Türk Ceza Kanunu hem de 6698 sayılı Kişisel Verilerin Korunması Kanunu bakımından hukuka uygun kabul edilmektedir. Bu gibi durumlarda TCK’nın 135. maddesi kapsamında cezai sorumluluk doğmayacaktır.

İlgili Kişinin Açık Rızası

Kişisel verilerin kaydedilmesini hukuka uygun hâle getiren en önemli nedenlerden biri, ilgili kişinin açık rızasının bulunmasıdır.

Açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızayı ifade etmektedir.

Bunun için kişinin;

hangi verisinin kaydedileceğini,
verinin hangi amaçla kullanılacağını,
kim tarafından işleneceğini,
ne kadar süre saklanacağını,
hangi haklara sahip olduğunu

bilerek ve özgür iradesiyle kayıt işlemine onay vermesi gerekir.

Baskı altında alınan, yanıltıcı bilgilerle oluşturulan veya belirsiz ifadeler içeren rızalar hukuken geçerli kabul edilmeyebilir.

Ayrıca açık rıza her somut olay bakımından değerlendirilmeli; kapsamı aşan kayıt işlemlerinin hukuka uygunluk sebebinden yararlanamayacağı unutulmamalıdır.

Kanunun Açıkça İzin Verdiği Hâller

Bazı durumlarda kişisel verilerin kaydedilmesi, ilgili kişinin rızasına ihtiyaç duyulmaksızın doğrudan kanundan kaynaklanan bir yükümlülüğün yerine getirilmesi amacıyla gerçekleştirilebilir.

Örneğin;

nüfus kayıtlarının tutulması,
tapu sicillerinin oluşturulması,
sosyal güvenlik kayıtları,
vergi kayıtları,
adli sicil kayıtları,
noter işlemleri,
ticaret sicili kayıtları,

gibi birçok kayıt sistemi doğrudan kanuni düzenlemelere dayanmaktadır.

Bu gibi durumlarda kişisel verilerin kaydedilmesi hukuka uygun kabul edilir ve TCK’nın 135. maddesi kapsamında suç oluşmaz.

Hukuki Yükümlülüğün Yerine Getirilmesi

Gerçek veya tüzel kişilerin kanundan doğan yükümlülüklerini yerine getirebilmeleri için belirli kişisel verileri kayıt altına almaları gerekebilir.

Örneğin işverenlerin;

çalışan özlük dosyalarını oluşturması,
ücret bordrolarını düzenlemesi,
SGK bildirimlerini yapması,
iş sağlığı ve güvenliği kayıtlarını tutması,

kanuni yükümlülüklerin yerine getirilmesi kapsamında değerlendirilmektedir.

Benzer şekilde sağlık kuruluşlarının hasta dosyalarını oluşturması veya eğitim kurumlarının öğrenci kayıtlarını tutması da ilgili mevzuattan kaynaklanan yükümlülükler çerçevesinde hukuka uygun kabul edilmektedir.

Ancak hukuki yükümlülüğün sınırlarını aşan kayıt işlemleri bakımından aynı sonuca varılamaz. Kanunun öngörmediği kişisel verilerin gereksiz şekilde kaydedilmesi hâlinde hukuka uygunluk ortadan kalkabilir.

Bir Sözleşmenin Kurulması veya İfası İçin Zorunlu Olması

Bazı kişisel verilerin kaydedilmesi, taraflar arasında kurulacak veya kurulmuş bulunan bir sözleşmenin yerine getirilebilmesi için zorunlu olabilir.

Örneğin;

banka hesabı açılması,
sigorta sözleşmesi yapılması,
kargo gönderiminin gerçekleştirilmesi,
abonelik sözleşmesinin kurulması,
internet hizmeti sunulması,

gibi işlemlerde belirli kişisel verilerin kayıt altına alınması kaçınılmazdır.

Bu gibi durumlarda yalnızca sözleşmenin kurulması veya ifası için gerekli olan kişisel veriler bakımından hukuka uygunluk söz konusu olacaktır.

Bunun dışındaki gereksiz veri kayıtları ise ayrıca değerlendirilmelidir.

Bir Hakkın Tesisi, Kullanılması veya Korunması

Bazı durumlarda kişisel verilerin kayıt altına alınması, hukuki bir hakkın kurulması, kullanılması veya korunabilmesi için zorunlu olabilir.

Örneğin;

dava açılması,
icra takibi yapılması,
alacağın ispat edilmesi,
savunma hakkının kullanılması,
delil oluşturulması,

amacıyla gerekli kişisel verilerin kayıt altına alınması hukuka uygun kabul edilebilir.

Ancak burada da kayıt işlemi, ulaşılmak istenen hukuki amaç ile sınırlı olmalıdır.

Meşru Menfaat Kapsamında Veri Kaydı

Bazı durumlarda veri sorumlusunun meşru menfaati kapsamında kişisel verilerin kaydedilmesi mümkün olabilir.

Örneğin;

iş yerinde güvenlik amacıyla kamera sistemi kurulması,
bina giriş çıkışlarının kayıt altına alınması,
bilgi güvenliğinin sağlanması,
bilişim sistemlerinin korunması,

gibi uygulamalar meşru menfaat kapsamında değerlendirilebilir.

Ancak meşru menfaat, sınırsız bir yetki sağlamaz.

Veri sorumlusunun menfaati ile ilgili kişinin temel hak ve özgürlükleri arasında makul bir denge kurulmalı; kişilik haklarını gereksiz şekilde ihlal eden kayıt işlemlerinden kaçınılmalıdır.

Kamu Sağlığının Korunması ve Kamu Yararı

Bazı kişisel verilerin kaydedilmesi, kamu sağlığının korunması veya kamu düzeninin sağlanması amacıyla da hukuka uygun olabilir.

Örneğin;

bulaşıcı hastalık kayıtları,
salgın hastalık bildirimleri,
organ nakli kayıtları,
aşılama kayıtları,
sağlık istatistikleri,

ilgili mevzuat kapsamında tutulabilmektedir.

Bu kayıtların hukuka uygun kabul edilebilmesi için kanuni dayanağının bulunması ve kayıt işleminin amacını aşmaması gerekir.

Yargısal ve İdari Faaliyetler Kapsamında Veri Kaydı

Mahkemeler, Cumhuriyet savcılıkları, kolluk birimleri ve diğer yetkili kamu kurumları, kanundan doğan görevleri kapsamında kişisel verileri kayıt altına alabilmektedir.

Soruşturma ve kovuşturma işlemleri sırasında düzenlenen tutanaklar, dosyalar, bilirkişi raporları ve adli kayıtlar bu kapsamda değerlendirilebilir.

Ancak kamu gücü kullanılarak gerçekleştirilen kayıt işlemlerinin de kanuni sınırlar içerisinde kalması gerekir. Yetkinin amacı dışında kullanılması veya kişisel verilerin hukuka aykırı şekilde kaydedilmesi hâlinde cezai sorumluluk doğabilecektir.

Hukuka Uygunluk Nedenlerinin Somut Olay Bakımından Değerlendirilmesi

Hukuka uygunluk nedenleri, her somut olay bakımından ayrı ayrı değerlendirilmelidir.

Bir kayıt işleminin hukuka uygun sayılabilmesi için yalnızca hukuki bir sebebin varlığı yeterli değildir. Aynı zamanda kayıt işleminin;

belirli bir amaçla yapılması,
gerekli olması,
ölçülü olması,
amacını aşmaması,
ilgili mevzuata uygun şekilde gerçekleştirilmesi

de gerekmektedir.

Örneğin bir işverenin çalışanlarına ait kimlik bilgilerini özlük dosyasında muhafaza etmesi hukuka uygun kabul edilirken, aynı çalışanların sağlık verilerini veya özel yaşamlarına ilişkin bilgileri herhangi bir hukuki gerekçe bulunmaksızın ayrıca kayıt altına alması farklı bir hukuki değerlendirmeye tabi tutulacaktır.

Bu nedenle kişisel verilerin kaydedilmesi suçunda hukuka uygunluk değerlendirmesi yapılırken yalnızca kayıt işleminin varlığına değil; kaydın amacı, kapsamı, hukuki dayanağı ve ölçülülük ilkesi birlikte dikkate alınmalıdır.

Kişisel Verilerin Kaydedilmesi Suçunda Deliller

Kişisel verilerin kaydedilmesi suçu bakımından ispat, çoğu zaman dijital deliller üzerinden gerçekleştirilmektedir. Günümüzde kişisel verilerin büyük bölümü elektronik ortamlarda muhafaza edildiğinden, soruşturma ve kovuşturma sürecinde elde edilen dijital kayıtlar önemli delil niteliği taşımaktadır.

Ancak kişisel verilerin bulunduğu dijital materyallerin incelenmesi sırasında hem Ceza Muhakemesi Kanunu hükümlerine hem de kişisel verilerin korunmasına ilişkin mevzuata uygun hareket edilmesi gerekir. Hukuka aykırı yöntemlerle elde edilen deliller, Anayasa’nın 38. maddesi ile Ceza Muhakemesi Kanunu’nun ilgili hükümleri uyarınca mahkeme tarafından hükme esas alınamaz.

Her somut olayın özelliklerine göre değerlendirilmekle birlikte, kişisel verilerin kaydedilmesi suçunda aşağıdaki delillerden yararlanılması mümkündür.

Dijital Cihaz İncelemeleri

Suçun işlendiği iddia edilen bilgisayarlar, cep telefonları, tabletler, harici diskler ve diğer dijital depolama araçları, soruşturma sürecinin en önemli delilleri arasında yer almaktadır.

Bu cihazlarda gerçekleştirilecek bilişim incelemeleri sayesinde;

oluşturulan veri tabanları,
kayıt tarihleri,
dosya oluşturma ve değiştirme zamanları,
kullanıcı hesapları,
depolanan kişisel veriler,
silinmiş dosyalar,
yedekleme kayıtları

tespit edilebilir.

Özellikle adli bilişim uzmanları tarafından hazırlanan teknik inceleme raporları, suçun aydınlatılmasında önemli rol oynayabilir.

Sunucu ve Veri Tabanı Kayıtları

Kişisel verilerin kurumsal sistemlerde muhafaza edildiği durumlarda, sunucu kayıtları ve veri tabanları önemli delil kaynaklarıdır.

Örneğin;

müşteri veri tabanları,
personel bilgi sistemleri,
hastane bilgi yönetim sistemleri,
okul otomasyon sistemleri,
e-ticaret veri tabanları,
üyelik sistemleri,

üzerinde gerçekleştirilecek teknik incelemeler sayesinde kişisel verilerin ne zaman, kim tarafından ve hangi amaçla sisteme kaydedildiği belirlenebilir.

Log Kayıtları

Log kayıtları, dijital sistemlerde gerçekleştirilen işlemlerin tarih, saat ve kullanıcı bilgileriyle birlikte kayıt altına alındığı teknik kayıtlardır.

Bu kayıtlar sayesinde;

sisteme giriş yapan kullanıcı,
kayıt işleminin gerçekleştirildiği tarih,
IP adresi,
kullanılan cihaz,
yapılan veri ekleme veya değiştirme işlemleri,

tespit edilebilir.

Özellikle kurumsal bilgi sistemlerinde log kayıtları, kişisel verilerin hangi kullanıcı tarafından sisteme işlendiğinin belirlenmesinde önemli bir ispat aracıdır.

Bulut Depolama Sistemleri

Teknolojinin gelişmesiyle birlikte kişisel verilerin önemli bir bölümü artık bulut tabanlı sistemlerde saklanmaktadır.

Google Drive, Microsoft OneDrive, iCloud, Dropbox ve benzeri bulut depolama hizmetlerinde bulunan kayıtlar, somut olayın özelliklerine göre delil niteliği taşıyabilir.

Ancak bu sistemlerde yer alan verilere erişim sırasında hem ulusal mevzuata hem de uluslararası adli iş birliği kurallarına uygun hareket edilmesi gerekir.

Elektronik Yazışmalar

Elektronik posta yazışmaları, kurumsal mesajlaşma uygulamaları ve diğer dijital iletişim kayıtları da kişisel verilerin hukuka aykırı şekilde kaydedildiğini ortaya koyabilecek deliller arasında yer alabilir.

Örneğin;

elektronik posta içerikleri,
kurum içi yazışmalar,
veri aktarım talimatları,
sistem kayıtlarına ilişkin bildirimler,

kişisel verilerin hangi amaçla kayıt altına alındığının tespitinde önem taşıyabilir.

Kamera Kayıtları

Bazı durumlarda güvenlik kamerası görüntüleri de suçun ispatı bakımından önem arz edebilir.

Örneğin kişisel verilerin yer aldığı fiziki dosyaların hukuka aykırı şekilde arşive kaldırılması, belge odalarına izinsiz giriş yapılması veya veri depolama cihazlarının alınması gibi fiiller, kamera kayıtlarıyla ortaya konulabilir.

Ancak kamera kayıtlarının da hukuka uygun şekilde elde edilmiş olması gerekir.

Fiziki Belgeler

Her ne kadar kişisel verilerin büyük bölümü dijital ortamlarda bulunsa da, fiziki belgeler de önemli deliller arasında yer almaktadır.

Örneğin;

personel dosyaları,
hasta dosyaları,
müşteri bilgi formları,
üyelik sözleşmeleri,
kimlik fotokopileri,
başvuru formları,
sınav evrakları,

kişisel verilerin hukuka aykırı şekilde kayıt altına alındığını gösterebilir.

Bilirkişi İncelemesi

Kişisel verilerin kaydedilmesi suçunda teknik bilgi gerektiren hususların aydınlatılması amacıyla bilirkişi incelemesine başvurulabilir.

Özellikle;

veri tabanı yapısının incelenmesi,
kayıt işlemlerinin tespiti,
silinen verilerin geri getirilmesi,
dijital materyallerin analizi,
log kayıtlarının değerlendirilmesi,

gibi teknik konular bilirkişiler tarafından raporlandırılabilir.

Hazırlanan bilirkişi raporu, diğer delillerle birlikte mahkeme tarafından serbestçe değerlendirilir.

Tanık Beyanları

Her ne kadar bu suç çoğunlukla dijital delillerle ispat edilse de, bazı durumlarda tanık beyanları da önem taşıyabilir.

Örneğin;

kayıt işlemini gören kişiler,
veri girişinde görev alan çalışanlar,
sistem yöneticileri,
kurum personeli,

tarafından verilen ifadeler, diğer delillerle birlikte değerlendirilebilir.

Ancak kişisel verilerin kaydedilmesi suçunda teknik delillerin çoğu zaman tanık anlatımlarından daha belirleyici olduğu unutulmamalıdır.

Hukuka Aykırı Elde Edilen Deliller

Kişisel verilerin kaydedilmesi suçunun soruşturulması sırasında elde edilen delillerin de hukuka uygun yöntemlerle toplanması gerekir.

Anayasa’nın 38. maddesi uyarınca hukuka aykırı olarak elde edilmiş bulgular delil olarak kabul edilemez.

Bu nedenle;

hukuka aykırı arama,
izinsiz dijital inceleme,
yetkisiz veri kopyalama,
usule aykırı elkoyma,
kişisel verilerin hukuka aykırı şekilde ele geçirilmesi,

sonucunda elde edilen deliller, ceza yargılamasında hükme esas alınamayabilir.

Bu durum, hem adil yargılanma hakkının hem de özel hayatın gizliliğinin korunmasının doğal bir sonucudur.

Delillerin Birlikte Değerlendirilmesi

Kişisel verilerin kaydedilmesi suçunda tek bir delil çoğu zaman kesin sonuca ulaşmak için yeterli olmayabilir.

Bu nedenle mahkeme; dijital inceleme raporlarını, log kayıtlarını, bilirkişi raporlarını, elektronik yazışmaları, fiziki belgeleri ve tanık beyanlarını birlikte değerlendirerek kişisel verilerin gerçekten hukuka aykırı şekilde kaydedilip kaydedilmediğini tespit eder.

Özellikle dijital delillerin güvenilirliği, bütünlüğü ve elde ediliş yöntemi, yapılacak hukuki değerlendirmenin en önemli unsurlarından birini oluşturmaktadır.

Kişisel Verilerin Kaydedilmesi Suçunun Nitelikli Hâlleri

Kanun koyucu, kişisel verilerin kaydedilmesi suçunun bazı durumlarda daha ağır sonuçlar doğurabileceğini kabul etmiş ve bu nedenle temel suç tipine ek olarak cezanın artırılmasını gerektiren bazı nitelikli hâllere yer vermiştir.

Bu nitelikli hâllerin bir kısmı doğrudan TCK’nın 135. maddesinin ikinci fıkrasında, diğer bir kısmı ise TCK’nın 137. maddesinde düzenlenmiştir.

Dolayısıyla kişisel verilerin kaydedilmesi suçunda cezanın artırılmasını gerektiren hâller değerlendirilirken her iki madde birlikte dikkate alınmalıdır.

TCK m.135/2 Kapsamındaki Nitelikli Hâl

Türk Ceza Kanunu’nun 135. maddesinin ikinci fıkrasında, bazı kişisel verilerin hukuka aykırı olarak kaydedilmesi daha ağır yaptırıma bağlanmıştır.

Kanun hükmüne göre;

siyasi görüş,
felsefi inanç,
dinî inanç,
mezhep,
diğer inançlar,
ırkî köken,
hukuka aykırı olarak ahlaki eğilimler,
cinsel yaşama ilişkin bilgiler,
sağlık durumuna ilişkin bilgiler,
sendikal bağlantılar,

gibi özel nitelikli kişisel verilerin hukuka aykırı şekilde kaydedilmesi hâlinde verilecek ceza yarı oranında artırılır.

Bu düzenlemenin amacı, bireyin ayrımcılığa uğramasına, dışlanmasına veya temel hak ve özgürlüklerinin ihlal edilmesine neden olabilecek hassas verileri daha güçlü şekilde korumaktır.

Özellikle sağlık bilgileri, biyometrik veriler, genetik bilgiler veya kişinin inanç ve düşünce dünyasını ortaya koyabilecek veriler, kişilik hakları bakımından daha yoğun koruma gerektirdiğinden kanun koyucu bu veri grupları için daha ağır yaptırım öngörmüştür.

TCK m.137 Kapsamındaki Ortak Nitelikli Hâller

Kişisel verilerin kaydedilmesi suçunda yalnızca verinin niteliği değil, suçun işleniş şekli de cezanın belirlenmesinde önem taşımaktadır.

Türk Ceza Kanunu’nun 137. maddesinde, kişisel verilere ilişkin suçların ortak nitelikli hâlleri düzenlenmiştir.

Bu kapsamda suçun;

kamu görevlisi tarafından görevinin verdiği yetki kötüye kullanılmak suretiyle,
belli bir meslek veya sanatın sağladığı kolaylıktan yararlanılarak,

işlenmesi hâlinde verilecek ceza yarı oranında artırılır.

Kamu Görevlisinin Görevinin Sağladığı Yetkiyi Kötüye Kullanması

Kamu görevlileri, görevleri gereği birçok kişisel veriye erişim imkânına sahiptir.

Nüfus kayıtları, sağlık kayıtları, eğitim bilgileri, adli kayıtlar, sosyal güvenlik verileri ve benzeri birçok kişisel veri, kamu kurumlarının görev alanında bulunmaktadır.

Bu yetkinin kötüye kullanılarak kişisel verilerin hukuka aykırı şekilde kayıt altına alınması, bireylerin devlete duyduğu güveni zedeleyebileceği gibi temel hak ve özgürlükler üzerinde de ağır sonuçlar doğurabilir.

Bu nedenle kanun koyucu, kamu görevlisinin sahip olduğu yetkiyi kötüye kullanmasını cezanın artırılmasını gerektiren bir neden olarak düzenlemiştir.

Burada önemli olan husus, failin yalnızca kamu görevlisi olması değil; suçun görevin sağladığı yetki sayesinde işlenmiş olmasıdır.

Meslek veya Sanatın Sağladığı Kolaylıktan Yararlanılması

Bazı meslek grupları, yürüttükleri faaliyet gereği çok sayıda kişisel veriye erişebilmektedir.

Örneğin;

sağlık çalışanları,
avukatlar,
noterler,
muhasebeciler,
banka çalışanları,
insan kaynakları personeli,
bilgi işlem uzmanları,
öğretmenler,
sigorta çalışanları,

görevleri kapsamında kişisel verilere ulaşabilmektedir.

Bu kişilerin mesleklerinden kaynaklanan güven ilişkisini veya erişim yetkisini kötüye kullanarak kişisel verileri hukuka aykırı şekilde kaydetmeleri hâlinde, ceza yarı oranında artırılır.

Burada da belirleyici olan husus, suçun mesleğin sağladığı imkân sayesinde işlenmiş olmasıdır.

Meslek ile suç arasında uygun bir bağlantı bulunmuyorsa yalnızca belirli bir meslek mensubu olmak, tek başına bu nitelikli hâlin uygulanması için yeterli değildir.

Birden Fazla Nitelikli Hâlin Aynı Anda Bulunması

Bazı olaylarda hem TCK’nın 135. maddesinin ikinci fıkrasında düzenlenen özel nitelikli kişisel veriler söz konusu olabilir hem de suç TCK’nın 137. maddesinde belirtilen kişiler tarafından işlenmiş olabilir.

Örneğin bir kamu hastanesinde görev yapan sağlık personelinin, görevinin sağladığı yetkiyi kullanarak hastalara ait sağlık verilerini hukuka aykırı şekilde kayıt altına alması hâlinde;

sağlık verisi nedeniyle TCK m.135/2,
kamu görevlisinin görevinin sağladığı yetkiyi kötüye kullanması nedeniyle TCK m.137,

hükümleri birlikte değerlendirilir.

Benzer şekilde özel bir hastanede çalışan sağlık personelinin mesleğinin sağladığı kolaylıktan yararlanarak hastalara ait sağlık bilgilerini hukuka aykırı şekilde kaydetmesi hâlinde de hem özel nitelikli kişisel veriler hem de mesleğin sağladığı kolaylık nedeniyle cezanın artırılması gündeme gelebilir.

Bu gibi durumlarda hangi nitelikli hâllerin uygulanacağı, somut olayın özellikleri ve ilgili kanun hükümleri çerçevesinde mahkeme tarafından değerlendirilir.

Nitelikli Hâllerin Amacı

Kişisel verilerin kaydedilmesi suçunda öngörülen nitelikli hâllerin temel amacı, toplum bakımından daha ağır sonuçlar doğurma ihtimali bulunan fiilleri daha etkin şekilde cezalandırmaktır.

Özellikle kamu görevlilerinin, meslek mensuplarının veya hassas kişisel verilere erişim imkânı bulunan kişilerin hukuka aykırı davranışları, mağdur üzerinde çok daha ağır etkiler oluşturabilmektedir.

Aynı şekilde sağlık bilgileri, biyometrik veriler, genetik veriler veya kişinin düşünce ve inanç dünyasını ortaya koyan bilgiler, diğer kişisel verilere göre çok daha yoğun bir koruma ihtiyacı taşımaktadır.

Bu nedenle kanun koyucu, hem verinin niteliğini hem de suçun işleniş biçimini dikkate alarak daha ağır cezai yaptırımlar öngörmüştür.

Kişisel Verilerin Kaydedilmesi Suçunda Görevli ve Yetkili Mahkeme

Kişisel verilerin kaydedilmesi suçu nedeniyle yürütülecek ceza yargılamasında görevli mahkemenin belirlenmesi, 5235 sayılı Kanun ile 5271 sayılı Ceza Muhakemesi Kanunu hükümleri çerçevesinde yapılmaktadır.

Türk Ceza Kanunu’nun 135. maddesinde düzenlenen kişisel verilerin kaydedilmesi suçuna ilişkin davalarda görevli mahkeme, Asliye Ceza Mahkemesidir.

Suçun temel hâli veya nitelikli hâllerinin söz konusu olması, kanunda aksine özel bir düzenleme bulunmadığı sürece görevli mahkemeyi değiştirmez.

Yetkili mahkeme ise kural olarak suçun işlendiği yer mahkemesidir.

Ancak suçun bilişim sistemleri aracılığıyla işlendiği veya kayıt işleminin birden fazla yerde gerçekleştiği durumlarda, Ceza Muhakemesi Kanunu’nun yetkiye ilişkin hükümleri çerçevesinde somut olayın özelliklerine göre değerlendirme yapılması gerekir.

Kişisel Verilerin Kaydedilmesi Suçunda Zamanaşımı

Dava zamanaşımı, suçun işlenmesinden itibaren belirli bir süre geçmesi nedeniyle devletin cezalandırma yetkisinin sona ermesini ifade etmektedir.

Türk Ceza Kanunu’nun 135. maddesinde düzenlenen kişisel verilerin kaydedilmesi suçu bakımından dava zamanaşımı süresi, Türk Ceza Kanunu’nun 66. maddesi hükümlerine göre belirlenmektedir.

Bu kapsamda kişisel verilerin kaydedilmesi suçunda dava zamanaşımı süresi sekiz yıldır.

Zamanaşımı süresi, kural olarak suçun tamamlandığı tarihten itibaren işlemeye başlar.

Ancak zamanaşımının durması veya kesilmesine neden olan hâllerin bulunması durumunda, süre Türk Ceza Kanunu’nun ilgili hükümleri doğrultusunda yeniden hesaplanacaktır.

Her somut olayın özellikleri dikkate alınarak zamanaşımına ilişkin değerlendirme ayrıca yapılmalıdır.

Kişisel Verilerin Kaydedilmesi Suçunda Şikâyet

Kişisel verilerin kaydedilmesi suçu, şikâyete bağlı suçlardan değildir.

Türk Ceza Kanunu’nun 139. maddesinde hangi suçların soruşturulmasının ve kovuşturulmasının şikâyete bağlı olduğu açıkça düzenlenmiştir.

Her ne kadar TCK’nın 132, 133 ve 134. maddelerinde düzenlenen bazı suçlar belirli şartlar altında şikâyete tabi olsa da, TCK’nın 135. maddesi bu kapsamda yer almamaktadır.

Bu nedenle kişisel verilerin kaydedilmesi suçunun işlendiğine ilişkin yeterli şüphenin bulunması hâlinde Cumhuriyet savcılığı resen soruşturma başlatabilir.

Başka bir ifadeyle mağdurun şikâyetçi olmaması veya sonradan şikâyetinden vazgeçmesi, tek başına soruşturmanın veya kovuşturmanın sona ermesine neden olmaz.

Bununla birlikte mağdurun suçtan haberdar olması üzerine Cumhuriyet Başsavcılığına suç duyurusunda bulunması veya kolluk birimlerine başvurması, soruşturmanın başlaması bakımından uygulamada önemli bir rol oynamaktadır.

Kişisel Verilerin Kaydedilmesi Suçunda Uzlaştırma

5271 sayılı Ceza Muhakemesi Kanunu’nun uzlaştırmaya ilişkin hükümleri uyarınca yalnızca kanunda açıkça belirtilen suçlar uzlaştırma kapsamındadır.

Türk Ceza Kanunu’nun 135. maddesinde düzenlenen kişisel verilerin kaydedilmesi suçu, uzlaştırma kapsamında bulunan suçlar arasında yer almamaktadır.

Bu nedenle soruşturma veya kovuşturma aşamasında tarafların uzlaştırma bürosuna yönlendirilmesi söz konusu değildir.

Dolayısıyla bu suç bakımından uzlaştırma hükümleri uygulanamaz.

Kişisel Verilerin Kaydedilmesi Suçu ile Benzer Suçlar Arasındaki Farklar

Kişisel verilerin kaydedilmesi suçu, uygulamada özellikle kişisel verilere ilişkin diğer suçlarla karıştırılabilmektedir. Her ne kadar bu suçlar aynı bölüm içerisinde düzenlenmiş olsa da korudukları hukuki değerler ve cezalandırılan fiiller bakımından önemli farklılıklar bulunmaktadır.

TCK m.135 ile TCK m.136 Arasındaki Fark

TCK’nın 135. maddesinde cezalandırılan fiil, kişisel verilerin hukuka aykırı şekilde kaydedilmesidir.

Buna karşılık TCK’nın 136. maddesinde cezalandırılan fiil ise kişisel verilerin;

hukuka aykırı olarak verilmesi,
yayılması,
ele geçirilmesi,

şeklindeki hareketlerdir.

Başka bir ifadeyle TCK m.135, verinin oluşturulması ve kayıt altına alınması aşamasını; TCK m.136 ise verinin dolaşıma sokulması veya başkalarının erişimine sunulması aşamasını cezalandırmaktadır.

Her iki suçun aynı olay kapsamında birlikte gerçekleşmesi de mümkündür.

TCK m.135 ile TCK m.134 Arasındaki Fark

Özel hayatın gizliliğini ihlal suçunda korunan hukuki değer, kişinin özel yaşam alanıdır.

Kişisel verilerin kaydedilmesi suçunda ise korunan hukuki değer, bireyin kişisel verileri üzerindeki tasarruf hakkı ve bilgi mahremiyetidir.

Dolayısıyla her özel hayat ihlali kişisel verilerin kaydedilmesi suçunu oluşturmayacağı gibi, her kişisel veri kaydı da özel hayatın gizliliğini ihlal suçu kapsamında değerlendirilemez.

Hangi suç tipinin oluştuğu, somut olayın özelliklerine göre belirlenmelidir.

TCK m.135 ile KVKK Arasındaki Fark

Uygulamada en sık karıştırılan konulardan biri de Türk Ceza Kanunu ile 6698 sayılı Kişisel Verilerin Korunması Kanunu arasındaki ilişkidir.

KVKK, kişisel verilerin işlenmesine ilişkin idari ve hukuki esasları düzenleyen özel bir kanundur.

Türk Ceza Kanunu’nun 135. maddesi ise belirli şartların varlığı hâlinde kişisel verilerin hukuka aykırı şekilde kaydedilmesini suç olarak düzenlemektedir.

Dolayısıyla KVKK hükümlerine aykırılık her zaman TCK’nın 135. maddesi kapsamında suç oluşturmayacağı gibi, somut olayın özelliklerine göre aynı fiil hem idari yaptırımlara hem de cezai sorumluluğa yol açabilir.

Uygulamadan Örnek Olaylar

Konunun daha iyi anlaşılabilmesi amacıyla aşağıdaki örnekler yol gösterici niteliktedir.

Örnek 1: Bir işverenin, çalışanlarına ait özlük dosyalarını İş Kanunu ve ilgili mevzuat gereğince oluşturması hukuka uygun kabul edilir. Bu nedenle yalnızca kanundan kaynaklanan yükümlülüğün yerine getirilmesi amacıyla yapılan kayıt işlemleri TCK’nın 135. maddesi kapsamında suç oluşturmaz.

Örnek 2: Bir kişinin sosyal medya üzerinden elde ettiği telefon numaralarını ve adres bilgilerini, herhangi bir hukuki dayanak bulunmaksızın sistematik şekilde liste hâline getirerek kayıt altına alması, somut olayın özelliklerine göre kişisel verilerin kaydedilmesi suçunu oluşturabilir.

Örnek 3: Bir hastane çalışanının, göreviyle ilgisi bulunmayan kişilere ait sağlık kayıtlarını kendi bilgisayarına aktarması ve muhafaza etmesi hâlinde hem özel nitelikli kişisel verilere ilişkin hükümler hem de suçun kamu görevi veya mesleğin sağladığı kolaylıktan yararlanılarak işlenmesine ilişkin düzenlemeler gündeme gelebilir.

Örnek 4: Bir şirket çalışanının, müşterilere ait kimlik ve iletişim bilgilerini kişisel amaçlarla ayrı bir veri tabanında toplaması, hukuki dayanağın bulunmaması hâlinde TCK’nın 135. maddesi kapsamında değerlendirmeye konu olabilir.

Sıkça Sorulan Sorular

Telefon numarasını kaydetmek kişisel verilerin kaydedilmesi suçunu oluşturur mu?

Hayır. Bir telefon numarasının rehbere kaydedilmesi tek başına suç oluşturmaz. Değerlendirme yapılırken verinin elde edilme şekli, kayıt amacının hukuka uygun olup olmadığı ve somut olayın tüm özellikleri birlikte dikkate alınmalıdır.

Kişisel verilerin kaydedilmesi suçu taksirle işlenebilir mi?

Hayır. TCK’nın 135. maddesinde taksirli işlenme hâline yer verilmemiştir. Bu nedenle suç yalnızca kasten işlenebilir.

Bu suç şikâyete bağlı mıdır?

Hayır. Kişisel verilerin kaydedilmesi suçu resen soruşturulur ve kovuşturulur.

Bu suç uzlaştırma kapsamında mıdır?

Hayır. TCK’nın 135. maddesinde düzenlenen suç, uzlaştırma kapsamında yer almamaktadır.

Şirketlere ait veriler de kişisel veri sayılır mı?

Kural olarak tüzel kişilere ait veriler kişisel veri değildir. Ancak şirket verileri aynı zamanda belirli veya belirlenebilir gerçek kişilere ilişkin bilgiler içeriyorsa, bu gerçek kişiler bakımından kişisel veri koruması gündeme gelebilir.

Sonuç

Kişisel verilerin korunması, dijitalleşmenin hız kazandığı günümüzde bireyin temel hak ve özgürlüklerinin korunmasının en önemli unsurlarından biri hâline gelmiştir.

Türk Ceza Kanunu’nun 135. maddesi de kişisel verilerin hukuka aykırı şekilde kayıt altına alınmasını suç olarak düzenleyerek, bireyin bilgi mahremiyetini ceza hukuku güvencesi altına almaktadır.

Ancak her kişisel veri kaydı suç oluşturmaz.

Suçun oluşabilmesi için kaydın hukuka aykırı şekilde gerçekleştirilmesi, kanunda öngörülen unsurların somut olayda birlikte gerçekleşmesi ve herhangi bir hukuka uygunluk nedeninin bulunmaması gerekir.

Bu nedenle kişisel verilerin kaydedilmesi suçuna ilişkin değerlendirme yapılırken yalnızca kayıt işleminin varlığı değil; verinin niteliği, kayıt amacı, hukuki dayanak, failin konumu ve olayın tüm özellikleri birlikte dikkate alınmalıdır.