Kişisel Verilerin Hukuka Aykırı Olarak Verilmesi, Elde Edilmesi veya Yok Edilmemesinin Cezai Sorumluluğu
Yargıtay 12. Ceza Dairesi 2014/5104 Esas, 2014/18858 Karar sayılı ve 29/09/2014 tarihli kararında kişisel veriyi şu şekilde tanımlamıştır:
“’kişisel veri’ kavramından, kişinin, yetkisiz üçüncü kişilerin bilgisine sunmadığı, istediğinde başka kişilere açıklayarak ancak sınırlı bir çevre ile paylaştığı nüfus bilgileri (T.C. kimlik numarası, adı, soyadı, doğum yeri ve tarihi, anne ve baba adı gibi), adli sicil kaydı, yerleşim yeri, eğitim durumu, mesleği, banka hesap bilgileri, telefon numarası, elektronik posta adresi, kan grubu, medeni hali, parmak izi, DNA’sı, saç, tükürük, tırnak gibi biyolojik örnekleri, cinsel ve ahlaki eğilimi, sağlık bilgileri, etnik kökeni, siyasi, felsefi ve dini görüşü, sendikal bağlantıları gibi kişinin kimliğini belirleyen veya belirlenebilir kılan, kişiyi toplumda yer alan diğer bireylerden ayıran ve onun niteliklerini ortaya koymaya elverişli, gerçek kişiye ait her türlü bilginin anlaşılması gerekir.”
Yukarıda yer alan tanımda belirtilen “yetkisiz üçüncü kişilerin bilgisine sunmadığı,”ifadesi bize, Yargıtay 12. Ceza Dairesi’nin kişisel verilerin elde edilmesindeki en önemli unsur olan açık rızayı aradığını belirtmektedir.
Tanımın devamında yer alan “istediğinde başka kişilere açıklayarak ancak sınırlı bir çevre ile paylaştığı” ifadesinde ise, kişinin kişisel verilerini belli bir çevre ile paylaşması, örneğin TC Kimlik Numarasını banka şubesindeki yetkili personel ile paylaşması bu verinin başka çevrelerde kullanılmasına izin verdiği anlamına gelmediğini ifade etmektedir. Bu ifade de bize, kişisel verileri elde eden kurum, kuruluş, şirket veya şahısların bu verileri talep ederken 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 10. Maddesinde tanımlananVeri Sorumlusunun Aydınlatma Yükümlülüğüçerçevesinde elde edeceği kişisel veriyi hangi amaçla kullanacaklarını kişiye açıkça bildirmeleri gerektiği ve amacı dışında kullanmanın kişisel verilerin hukuka aykırı kullanımı anlamına geleceğini ifade etmektedir.
Kişisel veriler genel olarak ikiye ayrılmaktadır. Belirli bir kişiye ait kişisel verivebelirlenebilir bir kişiye ait kişisel veri. Belirli veya belirlenebilir bir kişiye ait her türlü kişisel verinin hukuka aykırı olarak başka kişilere verilmesi, yayılması veya ele geçirilmesi 5237 sayılı Türk Ceza Kanunu’nun “Verileri hukuka aykırı olarak verme veya ele geçirme“ başlıklı136. Maddesinin 1. Fıkrasında suç olarak tanımlanmıştır.
“Madde 136-(1) Kişisel verileri, hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi, iki yıldan dört yıla kadar hapis cezası ile cezalandırılır.”
5237 sayılı TCK’nın “Nitelikli Haller”başlıklı 137. Maddesinde isekamu görevlisi tarafında ve görevinin verdiği yetkiyi kötüye kullanarakveyabelirli bir meslek ve sanatın sağladığı kolaylıktan yararlanmak suretiylebu suçu işleyenlere verilecek cezanın yarı oranında arttırılacağı hüküm altına alınmıştır.
Bildiğiniz üzere, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun “Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi” başlıklı 7. Maddesinde;
“(1) Bu Kanun ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen,işlenmesini gerektiren sebeplerin ortadan kalkması hâlindekişisel veriler resen veya ilgili kişinin talebi üzerineveri sorumlusu tarafından silinir, yok edilirveya anonim hâle getirilir.
(2) Kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesine ilişkindiğer kanunlarda yer alan hükümler saklıdır.”
Hükmüne yer verilmiştir. Bu hüküm çerçevesinde kişisel verilerin yok edilmesi veri işleyen ve veri sorumlusu bakımından ceza hukuku yönünden de önemli sorumluluklar yüklemektedir. Söz konusu maddenin 2. Fıkrasında yer alan “…diğer kanunlarda yer alan hükümler saklıdır.” İfadesi 5237 sayılı TCK’nın 136. Maddesine ve “Verileri Yok Etmeme” başlıklı 138. Maddesine açıkça atıf yapmaktadır. 5237 sayılı TCK’nın 138. Maddesi;
“(1) Kanunların belirlediği sürelerin geçmiş olmasına karşın verileri sistem içinde yok etmekle yükümlü olanlara görevlerini yerine getirmediklerinde bir yıldan iki yıla kadar hapis cezası verilir.
(2)(Ek: 21/2/2014-6526/5 md.)Suçun konusunun Ceza Muhakemesi Kanunu hükümlerine göre ortadan kaldırılması veya yok edilmesi gereken veri olması hâlinde verilecek ceza bir kat artırılır.”
Hükmünü içermektedir.
Kişisel verilerin yok edilmemesi suçunun vuku bulabilmesi için söz konusu kişisel verilerin hukuka uygun elde edilmesi gerekmektedir. Eğer hukuka uygun elde edilmeyen kişisel verilerin yok edilmemesi söz konusu ise bu durumda kişisel veriler hukuka aykırı elde edildiğinden dolayı 5237 sayılı TCK’nın Verileri hukuka aykırı olarak verme veya ele geçirme“ başlıklı 136. Maddesinde hüküm altına alınan suç vuku bulmuş olacaktır.
Kişisel Verileri Hukuka Aykırı Olarak Verme veya Ele Geçirme suçu ile Kişisel Verileri Yok Etmeme suçu takibi şikayete bağlı suçlar kategorisinde bulunmadığından, savcılık suçun işlendiğini öğrendiği andan itibaren re’sen soruşturma başlatır. Kişisel Verileri Hukuka Aykırı Olarak Verme veya Ele Geçirme suçu ile Kişisel Verileri Yok Etmeme sucularının dava zamanaşımı süreleri 8 yıldır.
Kişisel verilerinizin korunması hususunda şüpheleriniz varsa, kişisel verilerin işlenmesi, anonim hale getirilmesi, silinmesi veya yok edilmesi yönünde işletmesel faaliyetleriniz bulunuyorsa, bu konularda uzman bir avukattan hukuki yönden yardım almanızda fayda bulunmaktadır.
