KVKK’nın CEZA HUKUKU BAKIMINDAN İNCELENMESİ

Avrupa Konseyi bünyesinde hazırlanan, 108 sayılı Kişisel Veriler sözleşmesine kişisel verilerin korunması kapsamının hem kamusal hem özel sektör verileri bakımından ele almaktadır. Bu sözleşme; her ülkede gerçek kişilerin temel hak ve özellikleri ve kendilerini ilgilendiren özel nitelikli verileri güvence altına alan sözleşmedir ve Türkiye tarafından 28 Ocak 1981’de imzalanmıştır. 108 sayılı Kişisel Veriler Sözleşmesinden sonra Uluslararası 2. Metin olarak sayılan ve Türk hukukunda referans kaynağı olan, Kişisel Verilerin Korunması Yönergesi ve Kişisel Verilerin Korunması Tüzüğüdür. 1982 Anayasası özel hayatın gizliliği başlıklı 20. Madde’ye 2010’da 3. Fıkra eklenmiş ve kişisel verilerin korunma hakkı anayasal bir hak olarak herkese tanınmıştır. AY 20/3: Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir.Anayasa’ya göre; kişisel verilerin işlenmesi için ya kişinin açık rızası gereklidir ile ya da kanunda öngörülen durumlarda kişisel veriler işlenebilmektedir. Görüldüğü üzere; kişisel verilerin korunması devletin pozitif yükümlülüğü olarak ortaya çıkmaktadır. 6698 Sayılı Kişisel Verilerin Korunması Kanunu madde 4 ile kişisel verilerin ancak bu kanunda veya diğer kanunlarda öngörülen usul ve esaslara uygun olarak işlenebileceği öngörülerek kanunilik ilkesinden bahsedilmiştir. Kişisel verilerin işlenmesinde uyulması gereken ilkeler; 1)Hukuka ve dürüstlük kurallarına uygun olmalı, 2)İşlenen veriler doğru ve güncel bilgiler olmalı, 3)Belirli açık ve meşru amaçlar için işlenmeli, 4)İşlendikleri amaç ile bağlantılı sınırlı ve ölçülü olması gerekir ve 5)İlgili mevzuatta öngörülen ve gerekli olan süre kadar muhafaza edilmesi gerekir. TCK’da Kişisel Verilerin Korunması: Türkiye’de Kişisel Verilerin Korunmasına yönelik ilk düzenleme, 1 Haziran 2005 tarihli 5237 sayılı TCK ile yapılmıştır. Ceza Kanunu’nun 135-136 ve 138. Maddelerinde kişisel verilerin korunmasına yönelik suç tipleri ihdas edilmiştir.Suçların Ortak Özellikleri: TCK’da kişisel veriler hakkında düzenlenen suçların hepsi sırf hareket suçudur ve belli bir zarar ve neticenin meydana gelmesi aranmaz. Bu suçlar soyut tehlike suçlarıdır, fail ve mağdur ancak gerçek kişiler oluşabilir ve konusunu da gerçek kişilere ilişkin verilerin oluşturması gerekir. Yine bu suçlar kasten işlenebilirken, taksirli hali düzenlenmiş değildir. Ceza Kanunu’nun 135-136 ve 138. Maddelerindeki bu suçların işlenmesi ile tüzel kişilere yarar sağlanmışsa bunlara özgü güvenlik tedbirlerine hükmolunabilecektir ve suçların soruşturulması ve kovuşturulması şikayete tabi olmadığından resen soruşturulup kovuşturulacaktır.Kişisel Verilerin Kaydedilmesi SuçuTCK Madde 135(1) Hukuka aykırı olarak kişisel verileri kaydeden kimseye bir yıldan üç yıla kadar hapis cezası verilir.(2) Kişisel verinin, kişilerin siyasi, felsefi veya dini görüşlerine, ırki kökenlerine; hukuka aykırı olarak ahlaki eğilimlerine, cinsel yaşamlarına, sağlık durumlarına veya sendikal bağlantılarına ilişkin olması durumunda birinci fıkra uyarınca verilecek ceza yarı oranında artırılır.Bu suçun mağduru ancak gerçek kişi olabilir ve tüzel kişilere ait veriler bu suçun konusunu oluşturmaz. Tüzel kişiler bu suçun mağduru olamaz, sınai uygulamaya ilişkin bilgilerin ele geçirmesi halinde TCK 239. Madde oluşabilir. Suçun konusunu oluşturan bilgilerin kişilerin kendi rızası ile verdiği bilgiler dahil tüm kişisel verilerdir. Bu suçun oluşabilmesi için bu verilerin kaydedilmesi gerekir. Nereye kaydedildiğinin bir önemi olmamakla beraber; elektronik, manyetik, video, defter, kütük ortamlarına kayıt şeklinde de olabilir. Ancak otomatik olmayan yollarla kayıt halinde 6698 sayılı kanun hükümlerine göre; kaydetmek kişisel verilerin işlenmesi kavramı olarak tanımlanmamaktadır. Bu yüzden herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan veya otomatik olan yollarla kayıt aranmaktadır.Görüldüğü üzere kayıt yerinin 6698 sayılı kanununa göre herhangi bir veri kayıt sisteminin bir parçası olması gerekmektedir. Bu nitelik gerçekleşmez ise suçun oluşmayacağı ifade edilebilir. Anayasa 20/3’te kişisel verirlerin ancak kanunda öngörülen hallerde veya kişinin açık rızası ile işlenebileceği belirtilmektedir. İşlenme kavramı kaydetmeyi de kapsadığından, kaydetme bakımından da iki hukuka uygunluk sebebi kabul edilecektir: Ya kanunun izin verdiği haller ya da ilgili kişinin açık rızasının bulunması gerekir. Açık Rızanın Aranmadığı Haller; İlgili kişinin açık rızası; TCK için ve 6698 sayılı kanuna göre de ilgilinin rızası hukuka uygunluk sebebidir. Açık rızanın 6698 sayılı kanunda belirli bir konuya ilişkin bilgilendirmeye dayananve özgür iradeye dayanan rıza olarak tanımlanmıştır. 6698 sayılı kanun madde 5: Aşağıdaki şartlardan birinin varlığı hâlinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesi mümkündür:a) Kanunlarda açıkça öngörülmesib) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,c) Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması,ç) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,d) İlgili kişinin kendisi tarafından alenileştirilmiş olması,e) Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olmasıf) İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.. Verileri Hukuka Aykırı Olarak Verme veya Ele Geçirme SuçuTCK Madde 136(1) Kişisel verileri, hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi, iki yıldan dört yıla kadar hapis cezası ile cezalandırılır.(2) (Ek:17/10/2019-7188/17 md.) Suçun konusunun, Ceza Muhakemesi Kanununun 236 ncı maddesinin beşinci vealtıncı fıkraları uyarınca kayda alınan beyan ve görüntüler olması durumunda verilecek ceza bir kat artırılır.Bu suç tipi seçimlik hareketli bir suçtur. Yapılan hareketlerin bir konu üzerinde işlenmesi halinde tek bir suçun işlendiği kabul edilir ve bu durumda fiilin haksızlık içeriğini dikkate alarak alt sınırdan uzaklaşarak ceza belirlenmektedir. Rıza üzerine verilerin kaydedilmesi ve başkalarına yayılması halinde de bu suç tipi oluşmaktadır. Verilerin kaydedilmesini hukuka uygun hale getiren sebepler yayılmasını hukuka uygun hale getirmemektedir. Veri hukuka aykırı olarak kaydedilmiş ise yayılması hali ile beraber 135 ve 136. Maddenin ikisi de aynı anda işlenmiş olacaktır. Nitelikli HallerTCK Madde 137(1) Yukarıdaki maddelerde tanımlanan suçların;a) Kamu görevlisi tarafından ve görevinin verdiği yetki kötüye kullanılmak suretiyle,b) Belli bir meslek ve sanatın sağladığı kolaylıktan yararlanmak suretiyle, İşlenmesi halinde, verilecek ceza yarı oranında artırılır.“Verileri yok etmemeTCK MADDE 138(1) Kanunların belirlediği sürelerin geçmiş olmasına karşın verileri sistem içinde yok etmekle yükümlü olanlara görevlerini yerine getirmediklerinde bir yıldan iki yıla kadar hapis cezası verilir.(2) Suçun konusunun Ceza Muhakemesi Kanunu hükümlerine göre ortadan kaldırılması veya yok edilmesi gereken veri olması hâlinde verilecek ceza bir kat artırılır.Kişisel Verilerin meşru amaç kalktıktan sonra silinmesi gerekir ve süresiz bir şekilde sistemde kalması kabul edilmemektedir. AYM; tutulan kayıtların makul bir amacının gösterilmesini, saklama konusunda güvence verilmesini, silinmesine yönelik programın olmasını aramaktadır. Kişisel verilerin imha edilmesi yükümlülüğüne aykırılık halinde TCK Madde 138 açısından kişiler cezalandırılacaktır