KVKK Cezasında Anayasa Mahkemesi’nden Önemli İptal Kararı

Mevzuatın Adı: Anayasa Mahkemesinin 27/1/2026 Tarihli ve 2020/32193 Başvuru Numaralı Kararı

16 Haziran 2026 Tarihli Resmi Gazete

Sayı: 33282

Anayasa Mahkemesi Başkanlığından:

GENEL KURUL

KARAR

VİENNALİFE EMEKLİLİK VE HAYAT A.Ş. BAŞVURUSU

Başvuru Numarası: 2020/32193

Karar Tarihi: 27/1/2026

I. BAŞVURUNUN KONUSU

1. Başvuru, hakkında uygulanan idari para cezası nedeniyle suçta ve cezada kanunilik ilkesinin ihlal edildiği iddiasına ilişkindir. Başvuruda başkaca temel hak ve özgürlüklerin ihlal edildiği iddiaları da bulunmaktadır.

II. BAŞVURU SÜRECİ

2. Başvuru 8/10/2020 tarihinde yapılmıştır.
3. Komisyon, başvurunun kabul edilebilirlik ve esas incelemesinin birlikte yapılmasının gerekmesi nedeniyle kabul edilebilirlik hususu karara bağlanmadan şikâyetlerin kabul edilebilirlik incelemesinin Bölüm tarafından yapılmasına karar vermiştir.
4. Başvuru belgelerinin bir örneği bilgi için Adalet Bakanlığına (Bakanlık) gönderilmiştir. Bakanlık, görüşünü bildirmiştir. Başvurucu, Bakanlığın görüşüne karşı beyanda bulunmuştur.
5. Birinci Bölüm tarafından başvurunun Genel Kurula sevkine karar verilmiştir.

III. OLAY VE OLGULAR

6. Başvuru formu ve eklerinde ifade edildiği şekliyle olaylar özetle şöyledir:
7. Şikâyetçi A.Y. 24/9/2018 tarihinde sigortacılık faaliyetleri konusunda konuşmak ve randevu talep edilmek üzere başvurucu Şirket tarafından telefonla arandığını belirterek kişisel verilerinin açık rızası olmadan temin edilerek kullanılması nedeniyle Kişisel Verileri Koruma Kurumuna (Kurum) 12/11/2018 tarihinde şikâyet dilekçesi vermiştir. Şikâyetçinin arayan Şirketle daha önce bir faaliyetinin bulunmamasına ve kişisel verilerinin temin edilmesine rızası olmamasına karşın telefon numarasından aranmasına ilişkin inceleme başlatılmıştır.
8. Kurum, yapılan şikâyet üzerine 24/1/2019 tarihli Kişisel Verileri Koruma Kurulu (Kurul) kararıyla konuyla ilgili inceleme başlatıp başvurucudan bilgi vermesini istemiştir. Başvurucu Şirket verdiği cevapta;

i. Şikâyetçinin adı, soyadı ve telefon bilgisinin finansal güvence danışmanlarınca teklif araması yapılmadan önce gerçekleştirilen araştırmalar sonucunda “hizmetburada.com” adresinden bulunduğunu ve yazı tarihi itibarıyla ilgili sitede belirtilen bilgilerin halka açık bir şekilde yer aldığını,

ii. Bu hâliyle 24/3/2016 tarihli ve 6698 sayılı Kişisel Verilerin Korunması Kanunu‘nun 5. maddesinin (2) numaralı fıkrasının (d) bendi uyarınca kişinin kendisi tarafından alenileştirilen kişisel verilerinin alenileştirme amacına uygun bir şekilde açık rızası aranmaksızın işlenebileceğini, alenileştirilmiş bilgilerin kullanılmasının hukuka aykırı olarak değerlendirilemeyeceğini ve Şirket tarafından mevzuata aykırı bir işlem yapılmadığını,

iii. Belirtilen sitede de mevcut olan ad, soyadı ve telefon bilgileri dışında başvurucu Şirket uhdesinde bilgi bulunmadığını, şikâyetçinin başvuru üzerine bir daha aranmayacağının kendisine bildirildiğini ve bu bilgilerin de Şirket tarafından işlenmediğini ifade etmiştir.

9. Kurum değerlendirmesinde; başvurucunun şikâyetçiye ait adı, soyadı ve telefon bilgilerini “hizmetburada.com” isimli internet adresinden edindiğini belirtmesi karşısında yaptığı inceleme sonucunda söz konusu internet sitesinin çeşitli sektörlerde hizmet veren ve bu hizmetlerden faydalanmak isteyen kişileri buluşturma amacı taşıyan bir site olduğu ve hizmet sağlayan kimselerin ad, soyadı, telefon numarası ve adres gibi bilgileriyle siteye üye olduklarının anlaşıldığı belirtilmiştir. Ayrıca anılan internet sitesinde yapılan sorgulamada şikâyetçiye ait herhangi bir bilgiye ulaşılamadığı gibi başvurucu Şirket tarafından gönderilen ve ilgili sitede şikâyetçinin profilinin olduğuna dair ekran görüntüsüne ait sayfaya da erişilemediği belirtilmiştir.
10. Kurum tarafından yayımlanan “Kişisel Verilerin Korunması Kanununa İlişkin Uygulama Rehberi“nde kişisel verilerin ilgili kişi tarafından alenileştirilmiş olması terimi şöyle detaylandırılmıştır:

“İlgili kişinin kendisi tarafından alenileştirilen, bir başka ifadeyle herhangi bir şekilde kamuoyuna açıklanmış olan kişisel verileri işlenebilecektir. Bu duruma örnek olarak ise bir kişinin belirli hallerde kendisiyle iletişime geçilmesi amacıyla iletişim bilgilerini kamuya açık şekilde ilan etmesi verilebilir. Kurumsal internet sitelerinde, çalışanların işyeri telefon numaraları ve kurumsal elektronik posta adreslerinin üçüncü kişilerin erişimine açık şekilde paylaşılması halinde de alenileştirmeden söz edilebilir. Ancak kişisel verinin aleni kabul edilebilmesi için ait olduğu kişinin aleni olmasını istemesi gerekir. Başka bir ifade ile, alenileştirmenin gerçekleştirilmesi için alenileştirme iradesinin varlığı gerekir. Yoksa bir kişinin kişisel verisinin herkesin görebileceği bir yerde olması aleni olmasını sağlamaz. Ayrıca, alenileştirme durumunda kişisel verinin amacı dışında da kullanılmaması gerekmektedir. Örneğin, ikinci el araç satışı yapılan internet sitelerinde aracını satmak isteyen ilgili kişinin iletişim bilgilerinin pazarlama amaçlarıyla kullanılması mümkün değildir.”

11. Başvurucu Şirketin kişisel verilerin bir müşterinin referans vermesiyle temin edildiği, kişisel verilerin referans yöntemiyle temin edilebileceğinin aydınlatma metniyle web sitesinden duyurulduğu ve sistemlerinden şikâyetçinin kişisel verilerinin silindiğinin beyan edildiği hususunda, konuya ilişkin şikâyetçi tarafından sunulan e-posta yazışmalarında Şirketin bu şekilde cevap verdiğine ilişkin bir bilgi bulunmadığının görülmesi, dolayısıyla şikâyetçi tarafından iddiasını tevsik edici herhangi bir bilgi, belge veya kayıt sunulmaması nedeniyle Kurulca yapılacak bir işlem bulunmadığının değerlendirildiği belirtilmiştir. Ayrıca şikâyetçinin dilekçesinde başvurucu Şirketin “Kişisel Verilerin Korunması Politikası” ve “Kişisel Verilerin İmha ve Saklama Politikası” dokümanlarını oluşturma ile silme ve saklama yöntemlerinin web sayfasında beyan etmediği iddialarıyla ilgili olarak gerek kanunda gerekse de yönetmelikte veri sorumlularının hazırlamakla yükümlü oldukları kişisel veri saklama ve imha politikasını web sayfasında yayımlama yükümlülüğü olmadığından başvurucu Şirket hakkında bu hususta yapılacak bir işlem bulunmadığının düşünüldüğü bildirilmiştir.
12. Başvurucunun verdiği bilgilerin de değerlendirilmesi neticesinde 7/11/2019 tarihinde Kurulca şikâyetçinin kişisel verileri “hizmetburada.com” uzantılı internet sitesinde hâlihazırda görüntülenemiyor olmakla birlikte bahse konu verilerin söz konusu internet sitesinde bir dönem bulunuyor olması ihtimalinde dahi Şirketin şikâyetçinin bu bilgilerini internet sitesinde bulunma ve alenileştirilme amacıyla kullanmadığı, diğer bir deyişle şikâyetçinin mesleki yetkinliğinden faydalanmak için kendisine ulaşmaya çalışmadığı, aksine Şirket faaliyetlerine ilişkin randevu talebi ile şikâyetçiyi aradığı anlaşıldığından Şirket tarafından gerçekleştirilen veri işleme faaliyetinin 6698 sayılı Kanun’un 5. maddesinin (2) numaralı fıkrasının (d) bendi çerçevesinde değerlendirilemeyeceği kanaati belirtilerek kişisel verilerin hukuka aykırı olarak işlenmesini önlemek amacıyla uygun güvenlik düzeyini temin etmeye yönelik teknik ve idari tedbirleri almayarak aynı Kanun’un 12. maddesinin (1) numaralı fıkrasının (a) bendine aykırı davranmış olması nedeniyle 18. maddesinin (1) numaralı fıkrasının (b) bendi uyarınca 100.000 TL idari para cezası uygulanmasına karar vermiştir. Bu karar 14/1/2020 tarihinde başvurucuya tebliğ edilmiştir.
13. Başvurucu, tebliği üzerine idari yaptırım kararının ortadan kaldırılması için Sulh Ceza Hâkimliğine başvurmuştur. Anılan başvuruda, şikâyetçiye ait bilgilerin herkese açık olan “hizmetburada.com” adlı internet sitesinden temin edildiği, şikâyetçinin söz konusu bilgileri kendi rızası ile alenileştirdiği ve eylemin 6698 sayılı Kanun’un 5. maddesi kapsamında kalması nedeniyle hukuka aykırı olmadığı belirtilmiştir.
14. İstanbul Anadolu 5. Sulh Ceza Hâkimliği (Hâkimlik) 21/5/2020 tarihli kararı ile eylemin 6698 sayılı Kanun’un 5. maddesinin (2) numaralı fıkrasının (d) bendi çerçevesinde değerlendirilemeyeceğini ve uygulanan idari yaptırım kararının yerinde olduğunu belirterek idari para cezası uygulanırken alt sınırdan uzaklaşma nedeninin yaptırım kararında belirtilmemesi nedeniyle itirazı kısmen kabul ederek idari para cezasının 17.828 TL olarak uygulanmasına karar vermiştir. Kararın gerekçesinin ilgili kısmı şöyledir:

“… Şikayetçi [A.Y.nin] kişisel verilerinin ‘hizmetburada.com’ uzantılı internet sitesinde hali hazırda görüntülenemiyor olmakla birlikte bahse konu verilerin söz konusu internet sitesinde bir dönem bulunuyor olması ihtimalinde dahi muteriz şirketin, şikayetçinin mesleki yetkinliğinden faydalanmak için kendisine ulaşmaya çalışmadığı, aksine şirketin ticari faaliyetlerine ilişkin randevu talebi ile şikayetçiyi aradığı anlaşıldığından, şirket tarafından gerçekleştirilen veri işleme faaliyetinin kanunun 5. Maddesinin (2.) numaralı fıkrasının d bendi çerçevesinde değerlendirilemeyeceği ve muteriz hakkında düzenlenen idari yaptırımın usule ve yasaya uygun olduğu ancak 5326 Sayılı Kabahatler Kanunun 17/2 maddesi gereğince idari para cezası düzenlenirken alt sınırdan neden uzaklaşıldığı idari yaptırım kararında açıkça belirtilmediğinden, itirazın kısmen kabulü ile 5326 Sayılı Kanunun 28/9 maddesi uyarınca idari para cezasının alt sınırdan belirlenerek 82.172 TL‘lik kısmının kaldırılması ile 17.828 TL olarak tahsiline  dair aşağıdaki şekilde karar vermek gerekmiştir.”

15. Başvurucu, Hâkimliğin kararına itirazda bulunmuştur. İtiraz, İstanbul Anadolu 6. Sulh Ceza Hâkimliğinin 17/6/2020 tarihli kararıyla kesin olarak reddedilmiştir. Hâkimliğin kararına Kurum da itiraz etmiştir. Anılan itiraz da İstanbul Anadolu 6. Sulh Ceza Hâkimliğinin 7/7/2020 tarihli kararıyla kesin olarak reddedilmiştir. Her iki kararda da Hâkimliğin kararında usul ve kanuna aykırılık bulunmadığı belirtilmiştir.
16. Başvurucu, nihai kararı 9/9/2020 tarihinde öğrenmiştir.

IV. İLGİLİ HUKUK

A. Ulusal Hukuk

1. 6698 sayılı Kanun’un “Amaç” başlıklı 1. maddesi şöyledir:

“(1) Bu Kanunun amacı, kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemektir.”

18. 6698 sayılı Kanun’un “Tanımlar” başlıklı 3. maddesinin ilgili kısmı şöyledir:

“(1) Bu Kanunun uygulanmasında;

…

d) Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi,

e) Kişisel verilerin işlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi,

…

ı) Veri sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi,

ifade eder.”

19. 6698 sayılı Kanun’un “Kişisel verilerin işlenme şartları” başlıklı 5. maddesinin ilgili kısmı şöyledir:

“(1) Kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez.

(2) Aşağıdaki şartlardan birinin varlığı hâlinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesi mümkündür:

…

d) İlgili kişinin kendisi tarafından alenileştirilmiş olması.

…”

20. 6698 sayılı Kanun’un “Veri güvenliğine ilişkin yükümlülükler” başlıklı 12. maddesinin ilgili kısmı şöyledir:

   “(1) Veri sorumlusu;

a) Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek,

   …”

21. 6698 sayılı Kanun’un “Şikâyet üzerine veya resen incelemenin usul ve esasları” başlıklı 15. maddesinin ilgili kısmı şöyledir:

   “(1) Kurul, şikâyet üzerine veya ihlal iddiasını öğrenmesi durumunda resen, görev alanına giren konularda gerekli incelemeyi yapar.

   …”

22. 6698 sayılı Kanun’un “Kabahatler” başlıklı 18. maddesinin ilgili kısmı şöyledir:

“(1) Bu Kanunun;

         …

b) 12 nci maddesinde öngörülen veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler hakkında 15.000 Türk lirasından 1.000.000 Türk lirasına kadar,

         …

idari para cezası verilir.

         …”

B. Uluslararası Hukuk

23. Avrupa İnsan Hakları Sözleşmesi’nin (Sözleşme) 7. maddesinin (1) numaralı fıkrası şöyledir:

“Hiç kimse, işlendiği zaman ulusal veya uluslararası hukuka göre suç oluşturmayan bir eylem veya ihmalden dolayı suçlu bulunamaz. Aynı biçimde, suçun işlendiği sırada uygulanabilir olan cezadan daha ağır bir ceza verilemez.”

24. Avrupa İnsan Hakları Mahkemesi (AİHM) Başkaya ve Okçuoğlu/Türkiye ([BD], B. No: 23536/94 ve 24408/94, § 36) kararında Sözleşme’de düzenlenen 7. maddenin bir suçun ancak kanun tarafından tanımlanıp cezanın öngörülebileceği ilkesini ve ceza kanununun bir analoji ile kapsamlı şekilde sanığın aleyhine yorumlanmaması ilkesini içerdiğini hatırlatmaktadır. AİHM, bu ilkelerden suç ve ilgili yaptırımın kanunlarda açık şekilde tanımlanması gerektiği sonucuna varmaktadır. AİHM’e göre bireyin ilgili hükmün metninin kendisinin suçtan sorumlu olmasına neden olabilecek hareket ve ihmallerinin bilinir hâle getirilmesi ile bu şart karşılanmaktadır. AİHM, ayrıca kıyas yaparak genişletici bir yorum yapmak suretiyle cezalandırma yoluna gitmenin suçta ve cezada kanunilik ilkesi ile bağdaşmayacağını vurgulamıştır. Zira AİHM, somut olayda yayın sahibine verilen cezanın sorumlu müdür için öngörülen cezanın kıyas yoluyla yorumlanmasına dayanması sebebiyle Sözleşme’nin 7. maddesinin ihlal edildiğine karar vermiştir (Başkaya ve Okçuoğlu/Türkiye, §§ 42, 43).
25. AİHM, bir kişinin hakkında dava açılmasına ve hüküm giymesine neden olan fiilin gerçekleştirildiği zamanda bu fiilin suç olduğunu gösteren bir kanuni hükmün bulunduğunu ve uygulanan cezanın bu hükümle belirlenen sınırları aşmadığının doğrulanması gerektiğini vurgulamıştır (Coeme ve diğerleri/Belçika, B. No: 32492/96, 32547/96,32548/96, 33209/96 ve 33210/96, 22/6/2000, §§ 146, 149-151).
26. AİHM; Sözleşme’nin 7. maddesinin işlevi konusunda ceza hukukunun davalının aleyhine olacak biçimde geriye dönük olarak uygulanmasını önlemekle kalmayıp aynı zamanda daha genel olarak bir suçun sadece kanunla tanımlanıp cezasının belirlenebileceği prensibini de benimsediğini belirtmektedir. AİHM’e göre anılan maddenin koruması, ceza hukukunun -örneğin kıyas gibi yollarla- suçlanan tarafın aleyhine yorumlanmamasını da kapsar. AİHM, bir suçun kanunda açık bir biçimde tanımlanması şartının kişinin ilgili hükmün ifadesinden ve/veya gerekiyorsa mahkemelerin bu hükmü yorumlamaktaki içtihatları yardımıyla hangi eylem ve kusurların kendisine atfedilebileceğini ve suçlu duruma düşebileceğini bilebilmesi sayesinde yerine getirileceğini belirtmektedir. Dolayısıyla Mahkeme, Sözleşme’nin 7. maddesinde geçen “kanun” teriminin yazılı olan ve yazılı olmayan kurallar ile erişilebilirlik ve öngörülebilirlik de dâhil olmak üzere niteliksel şartları zımnen ifade ettiğini vurgulamaktadır (Tolstoy Miloslavsky/Birleşik Krallık, B. No:18139/91, 19/7/1995, Seri A No: 316-B, § 37; Kasymakhunov ve Saybatalov/Rusya, B. No. 26261/05 ve 26377/06, 14/3/2013, § 77).

V. İNCELEME VE GEREKÇE

27. Anayasa Mahkemesinin 27/1/2026 tarihinde yapmış olduğu toplantıda başvuru incelenip gereği düşünüldü:

A. Başvurucunun İddiaları ve Bakanlık Görüşü

28. Başvurucu; şikâyetçinin işlenen kişisel verilerini daha önce “hizmetburada.com” internet sitesinde herkesin görebileceği şekilde alenileştirdiğini ve bu durumda 6698 sayılı Kanun’un 5. maddesine göre kişisel verilerin işlenmesi için artık rızasının olmasının gerekmediğini ancak Kurul kararında başvurucunun söz konusu kişisel verileri alenileştirme amacı dışında kullandığının kabulü ile yaptırım uygulandığını ifade etmiştir. Başvurucu, alenileştirme amacı kavramına mevzuatta yer verilmediğini, mevzuatta düzenlenmeyen bir kavrama dayanılarak idari para cezası kararı verilmesinin öngörülebilirlik ve hukuki güvenlik ilkesine aykırı olduğunu belirterek suçta ve cezada kanunilik ilkesinin ihlal edildiğini ileri sürmüştür.
29. Bakanlık görüşünde; başvuruda öncelikle 30/3/2011 tarihli ve 6216 sayılı Anayasa Mahkemesinin Kuruluşu ve Yargılama Usulleri Hakkında Kanun ve İçtüzük’te belirtilen kabul edilebilirlik şartlarının karşılanıp karşılanmadığının incelenmesi gerektiğini, suçta ve cezada kanunilik ilkesinin ihlal edilip edilmediği konusunda ise Anayasa ve ilgili mevzuat hükümleri, Anayasa Mahkemesi içtihadı ve mevzuat hükümlerinin dikkate alınması gerektiği belirtilmiştir.
30. Başvurucu, Bakanlık görüşüne ilişkin beyanında aleyhe belirtilen hususların hukuki dayanaktan yoksun olduğunu ve ayrıca yeterli açıklamalar içermediğini belirterek genel olarak bireysel başvuru formundaki iddialarını yinelemiştir.

B.   Değerlendirme

31. Anayasa’nın “Suç ve cezalara ilişkin esaslar” başlıklı 38. maddesinin birinci fıkrası şöyledir:

”Kimse, işlendiği zaman yürürlükte bulunan kanunun suç saymadığı bir fiilden dolayı cezalandırılamaz; kimseye suçu işlediği zaman kanunda o suç için konulmuş olan cezadan daha ağır bir ceza verilemez.”

32. Anayasa Mahkemesi, olayların başvurucu tarafından yapılan hukuki nitelendirmesi ile bağlı olmayıp olay ve olguların hukuki tavsifini kendisi takdir eder.   Başvurucunun yukarıda yer verilen şikâyetlerinin özü, kanun maddesinde bulunmayan alenileştirme amacı kavramına dayanılarak idari para cezası uygulanmasıdır. Bu nedenle bu kısımdaki ihlal iddiaları suçta ve cezada kanunilik ilkesi kapsamında incelenmiştir.

1.   Kabul Edilebilirlik Yönünden

33. Anayasa Mahkemesi, Anayasa’nın 38. maddesinde düzenlenen suçta ve cezada kanunilik ilkesinin kabahatler yönünden de geçerli olup olmadığını incelediği Onmed Tıbbi Ürünler Paz. ve Dış Tic. Ltd. Şti. ([2. B.], B. No: 2016/8342, 17/6/2020, §§ 31-37), Mustafa Karakuş ([GK], B. No: 2020/34781, 17/1/2023, §§ 53-60) kararlarında suçta ve cezada kanunilik ilkesinin kabahatler yönünden de geçerli olduğu ve başvuruların kabul edilebilir olduğu sonucuna ulaşmıştır (B.Y.Ç. [2. B.], B. No: 2013/4554, 15/12/2015; D.M.Ç. [1. B.], B. No: 2014/16941, 24/1/2018; SelçukÖzbölük [1. B.], B. No: 2015/7206, 14/11/2018). Anılan kararlarda belirtilen ilkeler doğrultusunda açıkça dayanaktan yoksun olmadığı ve kabul edilemezliğine karar verilmesini gerektirecek başka bir neden de bulunmadığı anlaşılan suçta ve cezada kanunilik ilkesinin ihlal edildiğine ilişkin iddianın kabul edilebilir olduğuna karar verilmesi gerekir.

2. Esas Yönünden

a.   Genel İlkeler

34. Anayasa’nın temel hak ve özgürlüklerle ilgili bölümlerindeki pek çok maddede kanunla düzenleme ilkesine yer verilmiştir. Bu düzenlemeler dışında Anayasa’nın 13. maddesinde ifade edilen temel hak ve özgürlüklerin sınırlanmasına ilişkin genel ilkelerde de sınırlamaların ancak kanunla yapılabileceği kurala bağlanmıştır. Anayasa’nın suç ve cezaları düzenleyen 38. maddesinde de suçta ve cezada kanunilik ilkesi özel olarak güvence altına alınmıştır (Karlis A.Ş. [1. B.], B. No: 2013/849, 15/4/2014, § 31).
35. Suçta ve cezada kanunilik ilkesi, hukuk devletinin kurucu unsurlarındandır. Kanunilik ilkesi, genel olarak bütün hak ve özgürlüklerin düzenlenmesinde temel bir güvence oluşturmanın yanı sıra suç ve cezaların belirlenmesi bakımından özel bir anlam ve öneme sahiptir. Bu ilke kapsamında kişilerin kanunen yasaklanmamış veya yaptırıma bağlanmamış fiillerden dolayı keyfî bir şekilde suçlanmaları ve cezalandırılmaları önlenmekte, buna ek olarak suçlanan kişinin lehine olan düzenlemelerin geriye etkili olarak uygulanması sağlanmaktadır (Karlis A.Ş., § 32).
36. Anayasa’nın 38. maddesinin birinci fıkrasında “Kimse, … kanunun suç saymadığı bir fiilden dolayı cezalandırılamaz.” denilerek suçta kanunilik, üçüncü fıkrasında da “Ceza ve ceza yerine geçen güvenlik tedbirleri ancak kanunla konulur.” denilerek cezada kanunilik ilkeleri güvence altına alınmıştır. Anayasa’da öngörülen suçta ve cezada kanunilik ilkesi insan hak ve özgürlüklerini esas alan bir anlayışın öne çıktığı günümüzde ceza hukukunun temel ilkelerinden birini oluşturmaktadır. Anayasa’nın 38. maddesine benzer şekilde 26/9/2004 tarihli ve 5237 sayılı Türk Ceza Kanunu’nun 2. maddesinde düzenlenen suçta ve cezada kanunilik ilkesi; yasaklanan eylemlerin ve bu yasak eylemlere verilecek cezaların hiçbir kuşkuya yer bırakmayacak biçimde kanunda gösterilmesini, kuralın açık, anlaşılır ve sınırlarının belli olmasını gerektirmektedir. Kişilerin yasak eylemleri önceden bilmeleri düşüncesine dayanan bu ilkeyle temel hak ve özgürlüklerin güvence altına alınması amaçlanmaktadır (AYM, E.2010/69, K.2011/116, 7/7/2011).
37. Anayasa Mahkemesi, Anayasa’da temel hak ve özgürlüklerin sınırlandırılması gibi münhasıran kanunla düzenlenmesi öngörülen konularda kanunun temel esasları, ilkeleri ve çerçeveyi belirlemiş olması gerektiğini ve anayasa koyucunun açıkça kanunla düzenlemesini öngördüğü konularda yasama organının temel kurallarını saptadıktan sonra uzmanlık ve idare tekniğine ilişkin hususları yürütmeye bırakmasının yasama yetkisinin devri olarak yorumlanamayacağını kabul etmiştir (AYM, E.2014/133, K.2014/165, 30/10/2014; MustafaKarakuş, § 63).
38. Bu bağlamda temel hak ve özgürlüklerin sınırlandırılmasına yönelik kanuni düzenlemelerde kanun koyucu tarafından temel esaslar, ilkeler ve çerçeve belirlendikten sonra diğer ayrıntıların düzenleyici işlemlerle belirlenebileceği kabul edilmiştir (Mehmet Koray Eryaşa [2. B.], B. No: 2013/6693, 16/4/2015, § 63; Bülent Polat [GK], B. No: 2013/7666, 10/12/2015, § 78).
39. Suçlar kadar katı değerlendirilmemekle birlikte bu ilke ana hatlarıyla kabahatler için de geçerli kabul edilmektedir. Yargı organları, kabahate ilişkin olguları değerlendirirken ve özellikle fiillerin bir kabahate karşılık gelip gelmediğini belirlerken suçta ve cezada kanunilik ilkesini anlamsız kılacak şekilde öngörülemez bir yaklaşımda bulunmamalıdır (benzer değerlendirmeler için bkz. Mehmet Emin Karamehmet ve diğerleri [2. B.], B. No: 2017/4902, 28/1/2020, § 47; Adnan Şen [GK], B. No: 2018/8903, 15/4/2021, § 107).

b.   İlkelerin Olaya Uygulanması

40. Suçta ve cezada kanunilik ilkesi yönünden öncelikle incelenecek mesele başvurucunun şeklî manada bir kanuna dayalı olarak cezalandırılıp cezalandırılmadığıdır. Bu yönüyle başvurucunun 6698 sayılı Kanun’un 12. maddesinin (1) numaralı fıkrasının (a) bendine aykırı davranmış olması nedeniyle aynı Kanun’un 18. maddesinin (1) numaralı fıkrasının (b) bendi uyarınca cezalandırıldığı görülmektedir. Anılan fıkrada veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenlerin cezalandırılacağı hükme bağlanmıştır. Dolayısıyla başvurucunun şeklî manada bir kanuna dayalı olarak cezalandırıldığı anlaşılmıştır.
41. 6698 sayılı Kanun’un 3. maddesinde kişisel verinin “kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi” ifade ettiği belirtilmiştir. Buna göre kişinin adı, soyadı ve telefon numarası gibi iletişim bilgilerinin kişisel veri olduğunda kuşku bulunmamaktadır. Aynı maddede kişisel verilerin elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem kişisel verilerin işlenmesi olarak tanımlanmıştır. Anılan Kanun’un 5. maddesinde ise kişisel verilerin işlenme şartları düzenlenmiştir. Buna göre kişisel verilerin ilgili kişinin açık rızası olmaksızın işlenemeyeceği belirtilmiş olup bazı hâllerde ilgili kişinin açık rızası aranmaksızın kişisel verilerin işlenmesinin mümkün olduğu ifade edilmiştir. Kişisel verilerin ilgili kişinin kendisi tarafından alenileştirilmiş olması hâli de açık rızanın aranmayacağı hâller arasında sayılmıştır.
42. Başvurucu Şirket, anılan verilerin danışmanlarınca teklif araması yapılmadan önce gerçekleştirilen araştırmalar sonucunda “hizmetburada.com” adresinden bulunduğunu ve bir süre ilgili sitede bu bilgilerin halka açık bir şekilde yer aldığını, şikâyetçinin söz konusu bilgileri kendi rızası ile alenileştirdiğini ve eylemin 6698 sayılı Kanun’un 5. maddesi kapsamında kalması nedeniyle hukuka aykırı olmadığını belirtmiştir. Başvurucu ayrıca Kurul kararında söz konusu kişisel verilerin alenileştirme amacı dışında kullanıldığının kabulü ile yaptırım uygulandığını belirterek alenileştirme amacı kavramına mevzuatta yer verilmediğini ve bu durumun öngörülebilirlik ve hukuki güvenlik ilkesine aykırı olduğunu ifade etmiştir.
43. Anayasa’nın 38. maddesinde güvence altına alınan suçta ve cezada kanunilik ilkesinin gereği olarak kişilerin eylemi işledikleri tarihte öngörebilecekleri bir kanun hükmüyle o eylemin suç olup olmadığının ve cezanın açıklıkla belirlenmesi gerekir. Başvuru konusu olayda, kişisel verilerin hukuka aykırı olarak işlenmesini önlemek amacıyla uygun güvenlik düzeyini temin etmeye yönelik her türlü teknik ve idari tedbirleri almadığı belirtilerek başvurucuya 6698 sayılı Kanun’a göre idari para cezası uygulanmıştır. 6698 sayılı Kanun’un 5. maddesinde kişisel verilerin işlenme şartları belirtilirken verilerin kişinin kendisi tarafından alenileştirilmiş olması hâlinde ilgili kişinin açık rızasının aranmayacağı belirtilmiş ancak anılan Kanun’da verilerin alenileşmesinin ne şekilde gerçekleşeceğine, alenileşme amacına ve kişisel verilerin alenileştirme amacına aykırı kullanılmasının bir yaptırıma (alomaliye.com) bağlanıp bağlanmadığına ilişkin açık bir düzenlemeye yer verilmemiştir. Alenileştirme amacına ilişkin açıklamalar ise Kişisel Verilerin Korunması Kanunu’na İlişkin Uygulama Rehberi’nde açıklanmaya çalışılmıştır. Buna göre şikâyetçinin herkes tarafından erişilebildiği kabul edilen bir internet sitesinde paylaşması sonucu aleniyet kazandığı değerlendirilen kişisel verilerinin paylaşılma amacına aykırı şekilde kullanıldığı belirtilerek kişisel verilerin hukuka aykırı olarak işlenmesini önleme yükümlülüğüne aykırı davrandığı gerekçesiyle başvurucu hakkında idari para cezası uygulanması kanun hükmünün öngörülemez şekilde geniş yorumlanması ile mümkün olmuştur.
44. Öte yandan veri sorumlusu aynı Kanun’un 3. maddesinin (1) numaralı fıkrasının (i) bendinde “Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi” olarak tanımlanmıştır. Bu bağlamda kararda, belirli amaçla alenileştirildiği kabul edilen kişisel verilerle ilgili olarak başvurucunun neden veri sorumlusu olduğunun yasal dayanaklarına ve verilerin ilk paylaşıldığı sitenin sorumluluğu bulunup bulunmadığına ilişkin olarak ayrıca ve açıkça bir tartışma ve değerlendirmenin yapılmadığı da görülmektedir.
45. Bu itibarla şikâyet konusu olan verilerin 6698 sayılı Kanun’un 5. maddesi kapsamında yorumlanıp değerlendirilerek idari para cezası uygulanması nedeniyle Anayasa’nın 38. maddesinin birinci fıkrasında düzenlenen suçta ve cezada kanunilik ilkesinin ihlal edildiğine karar verilmesi gerekir.
46. Suçta ve cezada kanunilik ilkesine ilişkin olarak yukarıda ulaşılan ihlal sonucu dikkate alındığında kararda varılan sonuca ve uygun görülen giderime göre başvurucunun adil yargılanma hakkı kapsamındaki diğer şikâyetleri ile mülkiyet hakkına yönelik şikâyetinin ayrıca incelenmesine gerek bulunmadığına karar verilmesi gerekir.

VI. GİDERİM

47. Başvurucu, ihlalin tespiti ve yeniden yargılama yapılması taleplerinde bulunmuştur.
48. Başvuruda tespit edilen hak ihlalinin sonuçlarının ortadan kaldırılması için yeniden yargılama yapılmasında hukuki yarar ve zorunluluk bulunmaktadır. Anayasa’nın 148. ve 153. maddeleri ile 30/3/2011 tarihli ve 6216 sayılı Anayasa Mahkemesinin Kuruluşu ve Yargılama Usulleri Hakkında Kanun’un 50. ve 66. maddeleri uyarınca ihlal kararının gönderildiği yargı mercilerinin yapması gereken iş, yeniden yargılama işlemlerini başlatıp Anayasa Mahkemesinin ihlal kararında belirtilen ilkelere ve gerekçelere uygun biçimde yürütülecek yargılama sonunda hak ihlalinin nedenlerini gidererek yeni bir karar vermektir (yeniden yargılama konusunda bkz. Mehmet Doğan [GK], B. No: 2014/8875, 7/6/2018, §§ 54-60; Aligül Alkaya ve diğerleri (2) [1. B.], B. No: 2016/12506, 7/11/2019, §§ 53-60, 66; Kadri Enis Berberoğlu (3) [GK], B. No: 2020/32949, 21/1/2021, §§ 93-100).
49. Öte yandan hak ihlali kararından Anayasa Mahkemesinin davanın neticesiyle ilgili bir tutum sergilediği sonucu çıkarılmamalıdır. Anayasa Mahkemesince verilen hak ihlali kararı uyuşmazlığın sonuçlarından bağımsız olup davanın kabulüne, reddine ya da beraate veya mahkûmiyete karar verilmesi gerektiği anlamına gelmemektedir. Kural olarak yargılamanın her aşamasında olduğu gibi ihlalin sonuçlarını gidermek üzere yeniden yapılacak yargılama sonunda da delillerin dava ile ilişkisini kurma ve bunları değerlendirip sonuç çıkarma yetkisi ilgili mahkemelere aittir.

VII. HÜKÜM

Açıklanan gerekçelerle;

A. Suçta ve cezada kanunilik ilkesinin ihlal edildiğine ilişkin iddianın KABUL EDİLEBİLİR OLDUĞUNA,

B. Anayasa’nın 38. maddesinde güvence altına alınan suçta ve cezada kanunilik ilkesinin İHLAL EDİLDİĞİNE,

C. Diğer ihlal iddialarının İNCELENMESİNE GEREK BULUNMADIĞINA,

D. Kararın bir örneğinin suçta ve cezada kanunilik ilkesinin ihlalinin sonuçlarının ortadan kaldırılması için yeniden yargılama yapılmak üzere İstanbul Anadolu 5. Sulh Ceza Hâkimliğine (2020/784 D. İş sayılı kararı) GÖNDERİLMESİNE,

E. 446,90 TL harç ve 40.000 TL vekâlet ücretinden oluşan toplam 40.446,90 TL yargılama giderinin başvurucuya ÖDENMESİNE,

F. Ödemelerin kararın tebliğini takiben başvurucunun Hazine ve Maliye Bakanlığına başvuru tarihinden itibaren dört ay içinde yapılmasına, ödemede gecikme olması hâlinde bu sürenin sona erdiği tarihten ödeme tarihine kadar geçen süre için yasal FAİZ UYGULANMASINA,

G. Kararın bir örneğinin Adalet Bakanlığına GÖNDERİLMESİNE 27/1/2026 tarihinde OYBİRLİĞİYLE karar verildi.