Yargıtay ve Danıştay karar incelemesi görseli

KVKK’da Kanunilik İlkesine AYM’den Viennalife Kararı

Giriş ve Olayın Özeti

Anayasa Mahkemesi (AYM) Genel Kurulu, yakın zamanda kişisel verilerin korunması hukukunda önemli bir emsal teşkil eden 2020/32193 başvuru numaralı kararını yayımladı. Viennalife Emeklilik ve Hayat A.Ş. (“Başvurucu Şirket”) hakkında Kişisel Verileri Koruma Kurulu (KVKK) tarafından uygulanan idari para cezasının, suçta ve cezada kanunilik ilkesini ihlal edip etmediği hususu bu kararda detaylıca incelendi.

Olay, bir şikayetçinin Başvurucu Şirket tarafından açık rızası olmaksızın aranmasıyla başladı. Şikayetçi, kişisel verilerinin hukuka aykırı olarak işlendiği iddiasıyla KVKK’ya başvurdu. Başvurucu Şirket ise, şikayetçiye ait ad, soyadı ve telefon bilgilerinin “hizmetburada.com” adlı internet sitesinden temin edildiğini, bu bilgilerin şikayetçi tarafından alenileştirildiğini ve dolayısıyla 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) Madde 5(2)(d) uyarınca açık rıza aranmaksızın işlenebileceğini savundu.

KVKK, yaptığı incelemeler sonucunda, bahsi geçen verilerin internet sitesinde “alenileştirilme amacı dışında” kullanıldığına kanaat getirerek, Başvurucu Şirketin KVKK Madde 12(1)(a)’da öngörülen veri güvenliğine ilişkin yükümlülükleri yerine getirmediği gerekçesiyle 100.000 TL idari para cezası uyguladı. Bu ceza, Sulh Ceza Hakimliği tarafından 17.828 TL’ye düşürülse de, fiilin hukuka aykırılığı yönündeki tespit devam etti ve itirazlar kesin olarak reddedildi.

Hukuki Değerlendirme ve Karar

Anayasa Mahkemesi, başvurucunun “suçta ve cezada kanunilik ilkesinin ihlal edildiği” iddiasını Anayasa’nın 38. maddesi ve Avrupa İnsan Hakları Sözleşmesi’nin 7. maddesi ışığında değerlendirdi. AYM, kabahatler açısından da geçerli kabul ettiği bu ilkenin, cezalandırılan fiilin ve cezanın kanunlarda açık, anlaşılır ve öngörülebilir bir biçimde tanımlanmasını gerektirdiğini vurguladı.

Kararda, KVKK’nın 5. maddesinde kişisel verilerin kişinin kendisi tarafından alenileştirilmiş olması halinde açık rıza aranmaksızın işlenebileceği belirtilmekle birlikte, “alenileşmenin ne şekilde gerçekleşeceğine”, “alenileşme amacına” ve kişisel verilerin “alenileştirme amacına aykırı kullanılmasının bir yaptırıma bağlanıp bağlanmadığına” ilişkin açık bir düzenlemenin kanunda yer almadığı tespit edildi.

AYM, “alenileştirme amacı” kavramına ilişkin açıklamaların Kişisel Verilerin Korunması Kanunu’na İlişkin Uygulama Rehberi’nde yapılmaya çalışılmasının, kanun hükmünün öngörülemez şekilde geniş yorumlanması anlamına geldiğini belirtti. Mevzuatta düzenlenmeyen bir kavrama dayanılarak idari para cezası verilmesinin, öngörülebilirlik ve hukuki güvenlik ilkesine aykırılık teşkil ettiğine hükmetti. Ayrıca, Başvurucu Şirketin neden veri sorumlusu olduğunun ve verilerin ilk paylaşıldığı sitenin sorumluluğunun bulunup bulunmadığının yeterince tartışılmamış olması da kararda değinilen önemli noktalardan biri oldu.

Bu gerekçelerle Anayasa Mahkemesi, Anayasa’nın 38. maddesinde güvence altına alınan suçta ve cezada kanunilik ilkesinin ihlal edildiğine karar verdi. İhlalin sonuçlarının ortadan kaldırılması için dosyanın yeniden yargılama yapılmak üzere İstanbul Anadolu 5. Sulh Ceza Hâkimliğine gönderilmesine hükmedildi.

Yorum

Anayasa Mahkemesi’nin bu kararı, kişisel verilerin korunması mevzuatının yorumlanmasında ve uygulanmasında “suçta ve cezada kanunilik” ilkesinin ne denli önemli olduğunu bir kez daha gözler önüne sermektedir. Karar, veri sorumlularının kişisel veri işleme faaliyetlerini yürütürken karşılaştıkları belirsizlikleri giderme potansiyeline sahiptir. Özellikle, bir kişinin kendi rızasıyla alenileştirdiği verilerin, alenileştirme amacı dışında kullanılıp kullanılmadığına dair değerlendirmelerde, kanuni dayanağın açık ve öngörülebilir olması gerektiği vurgulanmıştır. Bu durum, veri sorumluları için hukuki güvenlik ve öngörülebilirlik açısından kritik bir adımdır.

Karar, idari yaptırımların uygulanmasında yalnızca kanuni düzenlemelere dayanılması gerektiğini, idari rehber veya ikincil düzenlemelerin kanunla sağlanmayan bir cezai sorumluluk alanı yaratamayacağını açıkça ortaya koymuştur. Bu nedenle, kişisel veri işleme süreçlerini gözden geçiren ve özellikle alenileştirilmiş verileri kullanan tüm veri sorumlularının bu kararı dikkatle değerlendirmesi gerekmektedir. AYM’nin bu emsal kararı, KVKK uygulamalarına yeni bir yön verecek ve ilerleyen dönemde yasal düzenlemelerin daha net ve şeffaf hale getirilmesi ihtiyacını pekiştirecektir.

Karar Künyesi

  • Mahkeme: Anayasa Mahkemesi Genel Kurul
  • Başvuru Numarası: 2020/32193
  • Karar Tarihi: 27/1/2026
  • R.G. Tarih ve Sayı: 16/6/2026 – 33282
  • Başvurucu: Viennalife Emeklilik ve Hayat A.Ş.
  • Konu: Suçta ve Cezada Kanunilik İlkesinin İhlali (KVKK kapsamında idari para cezası)

Hukuki süreçleriniz hakkında profesyonel destek almak için bizimle iletişime geçebilirsiniz.

SIKÇA SORULAN SORULAR

  • AYM’nin Viennalife kararının temel konusu nedir?

    Karar, KVKK tarafından verilen idari para cezalarının ‘suçta ve cezada kanunilik’ ilkesine, yani cezanın kanunda açık ve öngörülebilir şekilde tanımlanması gerekliliğine uygun olup olmadığını konu almaktadır.

  • Alenileştirilmiş kişisel veriler rıza olmaksızın kullanılabilir mi?

    KVKK Madde 5(2)(d) uyarınca alenileştirilmiş veriler açık rıza olmadan işlenebilir. AYM, bu verilerin ‘amacına aykırı’ kullanımı nedeniyle ceza verilebilmesi için kanunda net bir düzenleme olması gerektiğini vurgulamıştır.

  • Kişisel verilerle ilgili uygulama rehberleri ceza kesmek için yeterli mi?

    Hayır, AYM kararına göre idari rehberler veya ikincil düzenlemeler, kanunun açıkça öngörmediği bir cezai sorumluluk alanı oluşturamaz; cezalar mutlaka kanuni dayanağa sahip olmalıdır.

İLGİLİ YAZILAR