Anayasa Mahkemesi'nden kritik karar! KVKK'nın idari para cezasını iptal etti
Anayasa Mahkemesi, Kişisel Verileri Koruma Kurulu'nun (KVKK) idari para cezasını iptal etti.
Olay, bir kişinin sigortacılık faaliyetleri konusunda görüşülmek üzere telefonla arandığını belirterek kişisel verilerinin açık rızası olmadan temin edilip kullanıldığı iddiasıyla Kişisel Verileri Koruma Kurumu'na şikayette bulunmasıyla başladı. Şikayetçi, daha önce şirketle herhangi bir ilişkisi bulunmadığını ve kişisel verilerinin temin edilmesine rıza göstermediğini öne sürdü.
Şirket savunmasında, şikayetçinin ad, soyad ve telefon bilgisinin finansal güvence danışmanlarınca araştırma yapılması sürecinde "hizmetburada.com" adlı internet sitesinden bulunduğunu ve bu bilgilerin söz konusu sitede halka açık şekilde yer aldığını belirtti. Şirkete göre bu durum, 6698 sayılı Kanun'un 5. maddesinin ilgili kişinin kendisi tarafından alenileştirilmiş verilerin açık rıza aranmaksızın işlenebileceğine ilişkin hükmü kapsamında değerlendirilmesi gerekiyordu.
KVKK: Veriler Alenileştirme Amacı Dışında Kullanıldı
Kişisel Verileri Koruma Kurulu yaptığı değerlendirmede, şikayetçinin "hizmetburada.com" sitesindeki bilgilerinin hizmet almak isteyenleri hizmet sağlayıcılarla buluşturma amacı taşıyan bir platformda yer aldığını, ancak şirketin bu bilgileri şikayetçiyi randevu talebiyle aramak amacıyla kullandığını tespit etti. Kurul, şikayetçinin kendi mesleki yetkinliğinden faydalanmak için iletişime geçilmediğini, aksine şirketin kendi ticari faaliyetlerine ilişkin bir randevu talebiyle arandığını belirleyerek bu veri işleme faaliyetinin kanunun 5. maddesinin ilgili istisnası kapsamında değerlendirilemeyeceği sonucuna ulaştı. Bu gerekçeyle şirkete, kişisel verilerin hukuka aykırı işlenmesini önleyecek teknik ve idari tedbirleri almadığı belirtilerek 100.000 TL idari para cezası uygulandı.
Sulh Ceza Hakimliği Cezayı Kısmen Onadı
Şirketin idari yaptırım kararına karşı yaptığı itiraz üzerine İstanbul Anadolu 5. Sulh Ceza Hakimliği, eylemin kanunun ilgili hükmü çerçevesinde değerlendirilemeyeceğini ve uygulanan idari yaptırımın yerinde olduğunu kabul etti; ancak idari para cezası belirlenirken alt sınırdan uzaklaşma nedeninin kararda gösterilmemesi nedeniyle itirazı kısmen kabul ederek cezayı 17.828 TL olarak yeniden belirledi. Şirketin ve Kurumun bu karara yaptığı itirazlar da kesin olarak reddedildi.
Başvurucunun İddiası: Kanunda Olmayan Bir Kavrama Dayanma
Şirket, Anayasa Mahkemesi'ne yaptığı bireysel başvuruda, şikayetçinin kişisel verilerini daha önce halka açık biçimde alenileştirdiğini ve bu durumda 6698 sayılı Kanun'un 5. maddesi gereği rızanın aranmasına gerek olmadığını yineledi. Esas itirazını ise Kurul kararının "alenileştirme amacı dışında kullanım" gerekçesine dayandırılmasına yöneltti. Başvurucuya göre "alenileştirme amacı" kavramı mevzuatta hiç düzenlenmiyor; mevzuatta yer almayan bir kavrama dayanılarak idari para cezası verilmesi, öngörülebilirlik ve hukuki güvenlik ilkesine aykırılık oluşturuyor ve bu durum suçta ve cezada kanunilik ilkesini ihlal ediyor.
Anayasa Mahkemesi'nin Değerlendirmesi
Anayasa Mahkemesi, Anayasa'nın 38. maddesinde güvence altına alınan suçta ve cezada kanunilik ilkesinin kabahatler için de geçerli olduğunu hatırlattı. Mahkemeye göre bu ilke gereği kişilerin eylemi işledikleri tarihte önceden öngörebilecekleri bir kanun hükmüyle o eylemin suç veya kabahat oluşturduğunun ve cezasının açıklıkla belirlenmesi gerekiyor.
Mahkeme, 6698 sayılı Kanun'un 5. maddesinde kişisel verinin ilgili kişi tarafından alenileştirilmiş olması halinde açık rıza aranmayacağının düzenlendiğini, ancak kanunda verilerin alenileşmesinin ne şekilde gerçekleşeceğine, alenileşme amacına ve kişisel verilerin bu amaca aykırı kullanılmasının bir yaptırıma bağlanıp bağlanmadığına ilişkin açık bir hüküm bulunmadığını tespit etti. "Alenileştirme amacı" kavramına ilişkin açıklamaların yalnızca Kişisel Verilerin Korunması Kanunu'na İlişkin Uygulama Rehberi'nde yer aldığı, bu kavramın kanun metninde düzenlenmediği belirlendi.
Mahkeme, herkes tarafından erişilebildiği kabul edilen bir internet sitesinde paylaşılması sonucu aleniyet kazandığı değerlendirilen kişisel verilerin "paylaşılma amacına aykırı şekilde kullanıldığı" gerekçesiyle idari para cezası uygulanmasının, kanun hükmünün öngörülemez şekilde geniş yorumlanmasıyla mümkün olduğu sonucuna ulaştı.
Veri Sorumlusu Sıfatına İlişkin Eksik Değerlendirme
Kararda ayrıca dikkat çekici bir başka tespit yer aldı. Kanunun 3. maddesinde veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu kişi olarak tanımlanıyor. Mahkeme, belirli bir amaçla alenileştirildiği kabul edilen kişisel verilerle ilgili olarak başvurucunun neden veri sorumlusu sayıldığının yasal dayanaklarına ve verilerin ilk paylaşıldığı sitenin sorumluluğu bulunup bulunmadığına ilişkin Kurul kararında ayrıca ve açıkça bir tartışma yapılmadığını da vurguladı.
Sonuç: İhlal Kararı ve Yeniden Yargılama
Anayasa Mahkemesi açıklanan gerekçelerle, şikayet konusu verilerin kanunun 5. maddesi kapsamında yorumlanıp idari para cezası uygulanması nedeniyle Anayasa'nın 38. maddesinde düzenlenen suçta ve cezada kanunilik ilkesinin ihlal edildiğine oybirliğiyle karar verdi. Bu sonuca bağlı olarak başvurucunun adil yargılanma hakkı kapsamındaki diğer şikayetleri ile mülkiyet hakkına yönelik şikayetinin ayrıca incelenmesine gerek görülmedi.
Mahkeme, ihlalin sonuçlarının ortadan kaldırılması için kararın İstanbul Anadolu 5. Sulh Ceza Hakimliği'ne gönderilerek yeniden yargılama yapılmasına, 446,90 TL harç ve 40.000 TL vekalet ücretinden oluşan toplam 40.446,90 TL yargılama giderinin başvurucuya ödenmesine hükmetti.
