Kişisel Verilere İlişkin Suçlar: Hukuka Aykırı Kaydetme, Verme ve Ele Geçirme

Telefon numaraları, kimlik bilgileri, sağlık kayıtları ve banka bilgileri; günümüzde dolandırıcılık, taciz ve haksız rekabet gibi pek çok hukuka aykırı eylemin hammaddesi hâline gelmiştir. Anayasa m. 20/3 herkesin kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahip olduğunu belirtir. Türk Ceza Kanunu (TCK) m. 135-140 ise kişisel verilere yönelik ağır ihlalleri suç olarak düzenler. Bu yazıda bu suçların unsurlarını, cezalarını ve Kişisel Verilerin Korunması Kanunu (KVKK) ile ilişkisini açıklıyoruz.

Kişisel Veri ve Özel Nitelikli Kişisel Veri

Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Tüzel kişilere ait bilgiler bu koruma kapsamında değildir.

Özel nitelikli kişisel veriler ise daha sıkı korunur. TCK m. 135/2 bu kapsamda şunları sayar:

• Siyasi, felsefi veya dini görüşler,
• Irki köken,
• Ahlaki eğilimler,
• Cinsel yaşam,
• Sağlık durumu,
• Sendikal bağlantılar.

Suç Tipleri ve Cezaları

Nitelikli hâller

Bu suçların kamu görevlisi tarafından görevinin verdiği yetki kötüye kullanılarak veya belli bir meslek ve sanatın sağladığı kolaylıktan yararlanılarak işlenmesi hâlinde ceza yarı oranında artırılır (TCK m. 137). Örneğin bir hastane çalışanının hasta kayıtlarını, bir banka çalışanının müşteri bilgilerini veya bir kamu görevlisinin sistemdeki adres bilgilerini üçüncü kişilere vermesi bu kapsamda değerlendirilebilir.

Hukuka Aykırılık Unsuru

Bu suçların oluşması için verilerin hukuka aykırı biçimde kaydedilmesi, verilmesi veya ele geçirilmesi gerekir. KVKK’da öngörülen işleme şartları (açık rıza, kanunda açıkça öngörülme, sözleşmenin ifası, hukuki yükümlülük, meşru menfaat gibi) mevcutsa fiil hukuka uygundur. Örneğin:

• Bir işverenin iş sözleşmesinin gerektirdiği ölçüde çalışan bilgilerini kaydetmesi hukuka uygundur.
• Aynı işverenin çalışanın sağlık raporlarını gerekçesiz olarak diğer çalışanlarla paylaşması hukuka aykırı olabilir.

Uygulamada Sık Görülen Örnekler

• Veri tabanlarının satılması: Müşteri listelerinin, abonelik bilgilerinin veya kimlik bilgilerinin ücret karşılığında başkalarına verilmesi.
• Sistem sorgularının kötüye kullanılması: Kamu veya özel sektör çalışanlarının yetkileri dışında kişi sorgulaması yapıp bilgileri paylaşması.
• Sosyal medyada ifşa: Bir kişinin adresi, telefonu veya kimlik bilgilerinin rızası dışında paylaşılması.
• Gizli kayıt ve takip: Başkasının konum bilgilerinin veya fotoğraflarının sistematik olarak kaydedilmesi.
• Dolandırıcılıkta kullanılan veri setleri: Ele geçirilen verilerin dolandırıcılık aramalarında kullanılması. Bu konuda internet dolandırıcılığı: ne yapmalı yazımıza bakabilirsiniz.

Şikâyet ve Soruşturma

TCK m. 139’a göre özel hayata ve hayatın gizli alanına karşı suçlar bölümündeki suçlardan kişisel verilerin kaydedilmesi, verileri hukuka aykırı olarak verme veya ele geçirme ve verileri yok etmeme suçları şikâyete bağlı değildir. Bu suçlar savcılıkça re’sen soruşturulur ve şikâyetten vazgeçme davayı düşürmez. Buna karşılık özel hayatın gizliliğini ihlal gibi aynı bölümdeki diğer suçlar şikâyete bağlıdır. Ayrıntılar için özel hayatın gizliliğini ihlal yazımıza bakabilirsiniz.

Tüzel kişilerin faaliyeti çerçevesinde bu suçların işlenmesi hâlinde tüzel kişiler hakkında da güvenlik tedbirleri uygulanabilir (TCK m. 140).

KVKK ile İlişki

• KVKK m. 17’ye göre kişisel verilere ilişkin suçlar bakımından TCK m. 135-140 uygulanır; KVKK’ya aykırı olarak kişisel verileri silmeyen veya anonim hâle getirmeyenler TCK m. 138’e göre cezalandırılır.
• KVKK m. 18 ise aydınlatma yükümlülüğü, veri güvenliği, Kurul kararlarına uyma ve sicil yükümlülüklerine aykırılık gibi durumlarda Kişisel Verileri Koruma Kurulu tarafından verilecek idari para cezalarını düzenler. Bu cezaların tutarları her yıl yeniden değerleme oranına göre güncellenir; Kurul kararlarına karşı idare mahkemesinde dava açılabilir.

Bu nedenle bir veri ihlali hem ceza soruşturmasına hem de idari yaptırım sürecine konu olabilir.

Bilişim Suçlarıyla Birleşme

Verilerin ele geçirilmesi çoğu zaman bir bilişim sistemine izinsiz girilerek gerçekleştirilir. Bu durumda TCK m. 243 (bilişim sistemine girme) ve m. 244 (sistemi engelleme, bozma, verileri yok etme veya değiştirme) suçları da gündeme gelebilir. Ayrıntılar için bilişim sistemine girme suçu yazımıza bakabilirsiniz.

Mağdur Ne Yapabilir?

1. Verilerinin hukuka aykırı olarak işlendiğini gösteren delilleri (mesajlar, aramalar, paylaşımlar) toplayın.
2. Savcılığa suç duyurusunda bulunun; suç re’sen soruşturulsa da şikâyetiniz sürecin başlamasını sağlar.
3. Veri sorumlusu bir kurum ise KVKK kapsamında önce veri sorumlusuna başvurun, cevap alamazsanız veya cevabı yetersiz bulursanız Kişisel Verileri Koruma Kuruluna şikâyette bulunun.
4. Zararınız varsa hukuk mahkemesinde maddi ve manevi tazminat davasını değerlendirin.

Örnek Olay

Aşağıdaki örnek, kuralların işleyişini göstermek amacıyla hazırlanmıştır ve gerçek bir dosyaya dayanmaz:

Bir özel sağlık kuruluşunda çalışan kişi, tanıdığının talebi üzerine bir hastanın psikiyatri servisindeki kayıtlarının fotoğrafını çekerek gönderir; bilgiler daha sonra hastanın çevresinde yayılır. Çalışanın fiili, sağlık verisinin hukuka aykırı olarak başkasına verilmesi niteliğindedir ve TCK m. 136 kapsamında değerlendirilir. Fiilin meslek ve sanatın sağladığı kolaylıktan yararlanılarak işlenmesi nedeniyle ceza yarı oranında artırılabilir. Suç şikâyete bağlı olmadığından, hasta sonradan şikâyetinden vazgeçse bile yargılama devam eder. Sağlık kuruluşu hakkında ise veri güvenliği yükümlülükleri bakımından KVKK kapsamında ayrıca inceleme yapılabilir.

Sonuç

Kişisel verilere ilişkin suçlar, re’sen soruşturulan ve özel nitelikli verilerde ağırlaşan ciddi suçlardır. Aynı ihlal ceza soruşturması, idari yaptırım ve tazminat davası olmak üzere üç farklı sonuca yol açabilir. Ceza hukuku alanında kişisel veri ihlallerine ilişkin şikâyet, savunma ve mağdur vekilliği için bizimle iletişime geçebilirsiniz.