KİŞİSEL VERİLERİN KORUNMASI KANUNUNDA DÜZENLENEN KABAHATLERE UYGULANACAK İDARİ YAPTIRIM/ İDARİ PARA CEZALARININ GENEL ESASLARI
1.Genel Olarak
Kişisel Verileri Koruma Kanunu’nun 17. maddesinde kişisel verilerin hukuku kapsamında suç oluşturan eylemlere ilişkin genel bir düzenleme mevcuttur. KVKK ‘nun 17. Maddesinde kişisel verilere ilişkin suçlar bakımından 5237 sayılı Türk Ceza Kanununun 135 ila 140’ıncı madde hükümlerinin uygulanacağı düzenlenmiştir. KVKK 17. maddesi ikinci paragrafında, daha önce KVKK hükümlerine uygun olarak işlenmiş kişisel verilerin işlenmesini gerektiren sebepler ortadan kalktıktan sonra verilerin silinmemesi, yok edilmemesi ve anonim hale getirilmemesi durumunda verilerin yok edilmemesi suçunun oluşacağı düzenlenmiştir. Kişisel verilerin silinmesine, yok edilmesine veya anonim hale getirilmesine ilişkin usul ve esaslar “Kişisel Verilerin Silinmesi, Yok Edilmesi Veya Anonim Hale Getirilmesi Hakkında Yönetmelik” ile belirlenmiştir. Ayrıca KVKK’nun 7’inci maddesi hükmüne aykırı olarak; kişisel verileri silmeyen veya anonim hale getirmeyenlerin 5237 sayılı Kanunun 138’inci maddesine göre cezalandırılacağı hüküm altına alınmıştır
2.İdari Para Cezaları Kişisel Verileri Koruma Kurulu Tarafından Verilecektir.
KVKK’nun kabahatler başlıklı 18. maddesinde ise idari para cezası ile cezalandırılacak kabahat niteliğindeki fiiller belirlenmiş, KVKK’da belirlenen idari para cezalarına Kişisel Verileri Koruma Kurulu tarafından karar verileceği düzenlenmiştir. Kanunda düzenlenen kabahatler, aydınlatma yükümlülüğünü yerine getirmemek, veri güvenliğine ilişkin yükümlülükleri yerine getirmemek, kurul tarafından verilen kararları yerine getirmemek, Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırı hareket etmek olarak belirlenmiştir. Bahse konu idari para cezaları veri sorumlusu olan gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanacaktır. Bahse konu kabahatlerin kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenmesi halinde, kurulun yapacağı bildirim üzerine, ilgili kamu kurum ve kuruluşunda görev yapan memurlar ve diğer kamu görevlileri ile kamu kurumu niteliğindeki meslek kuruluşlarında görev yapanlar hakkında disiplin yaptırımları uygulanacak ve sonuç kurula bildirilecektir.
3.Kurula Başvuru Öncesi Veri Sorumlusuna Başvurmak Zorunludur.
Veri taşıyıcısı ilgili kişinin kişisel verilerinin korunmasına yönelik hakları KVKK’nın 11’inci maddesinde belirlenmiştir. Kanunda belirlenen haklarına ulaşmak isteyen ilgili kişi KVKK’nın 13/1’inci fıkrası gereği taleplerini yazılı olarak veya Kurulun belirleyeceği diğer yöntemlerle veri sorumlusuna başvuruda bulunacaktır. KVK Kurumu 10 Mart 2018 tarihli Veri Sorumlusuna Başvuru Usul Ve Esasları Hakkında Tebliği yayımlamıştır . Tebliğin “Başvuru Usulü” başlıklı 5. maddesinde başvurunun yazılı olarak veya kayıtlı elektronik posta (KEP) adresi, güvenli elektronik imza, mobil imza yada ilgili kişi tarafından veri sorumlusuna daha önce bildirilen ve veri sorumlusunun sisteminde kayıtlı bulunan elektronik posta adresi kullanılarak yada geliştirilmiş bir yazılım ya da uygulama vasıtasıyla veri sorumlusuna yapılabileceği düzenlenmiştir. Başvuruda, başvuruda bulunan ilgili kişinin adı ve soyadı, Türkiye Cumhuriyeti vatandaşlarının T.C. kimlik numarası, yabancılar için uyruğu, pasaport numarası veya varsa kimlik numarası, tebligata esas yerleşim yeri veya iş yeri adresi, talep konusu ile yazılı yapılacak başvurularda imzanın bulunmasının zorunlu olduğu , eğer varsa bildirime esas elektronik posta adresi, telefon ve faks numarasının yazılması gerektiği belirtilmiştir. Başvuruda konuya ilişkin bilgi ve belgeler başvuruya eklenecektir. Yazılı başvurularda, veri sorumlusuna veya temsilcisine evrakın tebliğ edildiği tarih, diğer yöntemlerle yapılan başvurularda; başvurunun veri sorumlusuna ulaştığı tarih, başvuru tarihi olarak kabul edilecektir. Veri sorumlusu başvuruda yer alan talepleri, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırmakla yükümlüdür. Ancak, işlemin ayrıca bir maliyeti gerektirmesi halinde, Kurulca belirlenen tarifedeki ücret alınabilecektir.
4.Veri Sorumlusu Tarafından Başvurunun Reddedilmesi Üzerine KVK Kuruluna Başvurulacaktır
İlgili kişinin veri sorumlusuna başvurusu, KVK Kuruluna daha sonra yapılacak şikayet için zorunlu bir başvurudur. KVK Kanunu14/2’inci paragraf gereği başvuru yolu tüketilmeden şikayet yoluna başvurulamayacaktır. Zorunlu başvurunun yapılması sonrası KVK Kanununun 14/1’inci fıkrası gereği başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde başvuruya cevap verilmemesi hallerinde; ilgili kişi, veri sorumlusunun cevabını öğrendiği tarihten itibaren otuz ve her halde başvuru tarihinden itibaren altmış gün içinde Kurula şikayette bulunabilecektir. Kurula yapılacak şikayette ve 3071 sayılı Dilekçe Hakkının Kullanılmasına Dair Kanunun 4’üncü maddesinde belirtilen dilekçe sahibinin adı-soyadı ve imzası ile iş veya ikametgah adresinin bulunması zorunlu olup, belli bir konuyu ihtiva etmeyen şikayet dilekçeleri ile yargı mercilerinin görevine giren konularla ilgili olan şikayetlerin dikkate alınmayacağı hususu Kanunun 6. maddesinde düzenlenmiştir. Şikayet üzerine kurul veri sorumlusundan inceleme konusuyla ilgili bilgi ve belgeler isteyebilecek, veri sorumlusu devlet sırrı niteliğindeki bilgi ve belgeler hariç; konuyla ilgili talep edilen bilgi ve belgeleri on beş gün içinde göndermek ve gerektiğinde yerinde inceleme yapılmasına imkan sağlamak zorundadır. Şikayet üzerine gerekli incelemeyi yapan kurul ilgili kişiye şikayet tarihinden itibaren altmış gün içinde cevap verecektir, altmış gün içerisinde cevap verilmezse talep reddedilmiş sayılacaktır. Kurul yaptığı inceleme sonrasında ihlalin varlığını tespit ederse, hukuka aykırılıkların veri sorumlusu tarafından giderilmesine karar vererek ilgililere tebliğ eder. Bu karar, tebliğden itibaren gecikmeksizin ve en geç otuz gün içinde yerine getirilecektir. İhlalin yaygın olduğunun tespit edilmesi halinde Kurul, bu konuda ilke kararı alarak ve bu kararı yayımlamaktadır. Kurul, ilke kararı almadan önce ihtiyaç duyması halinde, ilgili kurum ve kuruluşların görüşlerini de alabilir. Kurul ihlal iddiasını öğrendiği takdirde görev alanına giren konularda resen inceleme yetkisine de sahiptir.
5.KVK Kurulu Tedbir Kararı Verebilecektir.
Kurul şikayet üzerine veya resen yaptığı incelemede telafisi güç veya imkansız zararların doğması ve açıkça hukuka aykırılık olması halinde, veri işlenmesinin veya verinin yurt dışına aktarılmasının durdurulmasına karar verebilecektir. Veri işlenmesinin veya verinin yurtdışına aktarılmasının durdurulması kararı, Anayasanın 125. maddesinde düzenlenen ve idari yargıya verilen yürütmenin durdurulması yetkisinden farklıdır. Anayasa 125. Maddesinde idari işlemin uygulanması halinde telafisi güç veya imkansız zararların doğması ve idari işlemin açıkça hukuka aykırı olması şartlarının birlikte gerçekleşmesi durumunda gerekçe gösterilerek yürütmenin durdurulmasına karar verilebilecektir. Aynı şekilde İYUK 27. maddesinde Danıştay veya idari mahkemelerce idari işlemin uygulanması halinde telafisi güç veya imkansız zararların doğması ve idari işlemin açıkça hukuka aykırı olması şartlarının birlikte gerçekleşmesi durumunda, davalı idarenin savunması alındıktan veya savunma süresi geçtikten sonra gerekçe göstererek yürütmenin durdurulmasına karar verebilecekleri düzenlenmiştir. Oysa burada bahse konu karar idari bir işlemdir. Bahse konu idari işlem idarenin her türlü eylem ve işlemlerine karşı yargı yolu açık olduğundan yargı denetimine tabidir.
6.Kurul Kararları Yargı Denetimine Tabidir.
Veri sorumluları KVK Kanununun 3/ı fıkrasına göre kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişilerdir. Bahse konu tüzel kişiler arasında kamu tüzel kişileri de mevcuttur. Kamu kurumlarında kişisel verileri işlemekle görevli gerçek kişiler veri sorumlusu değildirler. Veri sorumlusu kamu tüzel kişileri anayasanın 127’inci maddesine göre mahalli idareler, 130’uncu maddesine göre üniversiteler, 123. maddesine göre kanunla veya Cumhurbaşkanlığı kararnamesiyle kurulan diğer kamu tüzel kişileri veri sorumlularıdır. Bahse konu kamu tüzel kişilerine yapılan kişisel verilerin korunmasına yönelik başvurular, KVKK 13/1 kapsamında gerçekleşmiş olsa dahi aynı zamanında idari başvuru olup, bahse konu idari başvurular sonrası idarece tesis edilen işlemler yargı denetimine tabidir. Aynı şekilde KVK Kuruluna yapılan şikayet sonrası, KVK kurulu tarafından verilen kararlar ve tesis edilen idari işlemler nedeniyle İYUK 2. Maddesi gereği menfaatleri ihlal edilen şikayetçiler iptal davası açabilecekleri gibi, KVK Kurulu işlemlerden dolayı kişisel hakları doğrudan muhtel olan şikayetçiler tarafından tam yargı davası da açabileceklerdir.
7.İdari Para Cezalarına Karşı Kabahatler Kanunu Kapsamında Adli Yargıya Başvurulacaktır.
Aşağıda da ayrıntılı açıklandığı üzere hakkında gerçekleşen şikayet sonrası hakkında idari para cezası verilen veri sorumluları ise adli yargıya başvurabileceklerdir. Kişisel verilerinin korunması hakkı ihlal edilerek kişilik hakları zarar görenler genel hükümlere göre veri sorumlusu gerçek kişi ve özel hukuk tüzel kişilerine karşı adli yargı da tazminat davası açabilecekleri gibi kamu tüzel kişilerine karşı tam yargı davası da açabileceklerdir. Hak arama çarelerinden birisi olarak kabul edebileceğimiz KVK Kuruluna şikayet müessesesi kişisel verilerin korunması hakkının ihlalinin önlenmesi için yargı mekanizmalarına kıyasla daha kısa zamanda etkin sonuç alınabilecek bir alternatif uyuşmazlık çözüm yöntemi olarak kabul edilebilir. KVK Kurulunca şikayetler sonrasında ve resen yaptığı incelemeler sonrasında yaygın ihlallerin mevcut olduğunun tespiti sonrasında verilmiş ve resmi gazetede yayımlanmış olan ilke kararları mevcuttur. Bahse konu ilke kararlarına örnek olarak “veri sorumluları tarafından kişilerin telefon numarası, e-posta adresi gibi iletişim kanallarına kanuna aykırı şekilde gönderilen üçüncü kişilere ait kişisel veriler hakkında Kişisel Verileri Koruma Kurulunun 22/12/2020 Tarihli ve 2020/966 sayılı İlke Kararı”[1], “Hukuka Aykırı Olarak Elde Edilen Veriler Üzerinden Vatandaşların Kimlik ve İletişim Bilgileri Gibi Kişisel Verilerinin Sorgulanmasına İmkân Tanıyan Yazılım/Program/Uygulamalara Yönelik Kişisel Verileri Koruma Kurulunun 18/10/2019 Tarihli ve 2019/308 Sayılı İlke Kararı”[2] , “Veri sorumluları ve veri işleyenler tarafından ilgili kişilerin e-posta adreslerine veya SMS ya da çağrı ile cep telefonlarına reklam bildirimleri/aramaları yönlendirilmesinin önüne geçilmesi ” ile ilgili Kişisel Verileri Koruma Kurulunun 16/10/2018 Tarihli ve 2018/119 Sayılı İlke Kararı”[3] verilebilir.Kişisel Verilerin Korunması Kanununda düzenlenen kabahatlere Kabahatler Kanununun 3.1/b bendinde Kabahatler Kanununun genel hükümlerinin idari para cezası veya mülkiyetin kamuya geçirilmesi yaptırımını gerektiren bütün fiiller hakkında da uygulanacağı ifade edilmiştir. Bu kapsamda, kanunda açıkça hüküm bulunmayan hallerde, hem kasten hem de taksirle işlenebileceği, kabahatlerde teşebbüsün cezalandırılmayacağı, ancak teşebbüsün de cezalandırılabileceğine dair ilgili kanunda hüküm bulunan hallerde Türk Ceza Kanununun suça teşebbüse ve gönüllü vazgeçmeye ilişkin hükümlerinin, kabahatler bakımından da uygulanacağı, kabahatin işlenişine birden fazla kişinin iştirak etmesi halinde bu kişilerin her biri hakkında, fail olarak idari para cezası verileceği de burada ayrıca ifade edilmelidir. Bir fiil ile birden fazla kabahatin işlenmesi halinde bu kabahatlere ilişkin tanımlarda sadece idari para cezası öngörülmüşse, en ağır idari para cezası verilecektir. Aynı kabahatin birden fazla işlenmesi halinde her bir kabahatle ilgili olarak ayrı ayrı idari para cezası verilir. Kesintisiz fiille işlenebilen kabahatlerde, bu nedenle idari yaptırım kararı verilinceye kadar fiil tek sayılacaktır. Bir fiil hem kabahat hem de suç olarak tanımlanmış ise, sadece suçtan dolayı yaptırım uygulanabilecek, ancak, suçtan dolayı yaptırım uygulanamayan hallerde kabahat dolayısıyla yaptırım uygulanacaktır. Türk Ceza Kanununun hukuka uygunluk nedenleri ile kusurluluğu ortadan kaldıran nedenlere ilişkin hükümleri, kabahatler bakımından da uygulanacaktır.
8.Zamanaşımı Süresi
KVK’da öngörülen idari para cezaları nispi idari para cezası olduğundan, soruşturma zamanaşımının Kabahatler kanunun 20. maddesi gereği süresi sekiz yıldır. Zamanaşımı fiilin işlenmesiyle veya neticenin gerçekleşmesiyle işlemeye başlayacaktır. Kabahati oluşturan fiilin aynı zamanda suç oluşturması halinde suça ilişkin dava zamanaşımı soruşturma zamanaşımı için de uygulanacaktır. İdari para cezasının yerine getirilmesi için gerekli süre ise Kabahatler Kanununun 21. maddesinde idari para cezalarının miktarları dikkate alınarak ayrı ayrı düzenlenmiştir. Bir suç dolayısıyla başlatılan soruşturma kapsamında bir kabahatin işlendiğini Cumhuriyet savcısı öğrendiğinde durumu ilgili kamu kurum ve kuruluşuna bildirebileceği gibi, kendisi de idari yaptırım kararı verebilecektir. Ancak, bunun için ilgili kamu kurum ve kuruluşu tarafından idari yaptırım kararı verilmemiş olması gerekecektir.
9.İdari Para Cezası Gerçek ve Tüzel Kişi İdari Yaptırıma Tabi Tutulacaktır.
KVK Kanununda unsurları belirlenen kabahatleri gerçekleştiren kişiler fail olarak idari para cezası ile cezalandırılacaktır. Kabahatler Kanununun 8. maddesine göre tüzel kişiler için, organ veya temsilcilik görevi yapan ya da organ veya temsilci olmamakla birlikte, tüzel kişinin faaliyeti çerçevesinde görev üstlenen kişinin bu görevi kapsamında işlemiş bulunduğu kabahatten dolayı tüzel kişi hakkında da idari yaptırım uygulanacaktır. Temsilci sıfatıyla hareket eden kişinin bu sıfatla bağlantılı olarak işlemiş bulunduğu kabahatten dolayı temsil edilen gerçek kişi hakkında da idari yaptırım uygulanabilecektir. KVKK 18. Maddesinde kanunda öngörülen idari para cezaları veri sorumlusu olan gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanacağı açıkça düzenlenmiştir. KVK Kurulunun 30/01/2020 tarihli ve 2020/71 sayılı kararında veri sorumlusunun tespitinde kişisel verilerin toplanması ve toplama yöntemi, toplanacak kişisel veri türleri, hangi bireylerin kişisel verilerinin toplanacağı, kişisel verinin işlenmesine ve kimin işleyeceğine karar verme, işleme faaliyetinin temel unsurlarına karar verme (hangi kişisel verilerin toplanacağı, toplanan verilerin hangi amaçlarla kullanılacağı ve ne şekilde işleneceği, verilerin ne kadar süreyle saklanacağı, veri saklama politikasının ne şekilde olacağı, verilere kimlerin erişme yetkisi olacağı, alıcıların kim olacağı gibi hususlar işlemenin temel unsurlarına örnek olarak gösterilebilir), toplanan verilerin paylaşılıp paylaşılmayacağı, paylaşılacaksa kiminle paylaşılacağı, kişisel verilerin işlenmesinde üst düzeyde, herhangi bir emir ve talimat almadan karar verebilme, ilgili kişilerle doğrudan muhatap olma, kendi adına veri işleme faaliyetini yürütecek bir veri işleyen atama, İşleme faaliyetinden menfaat sağlama. faaliyetlerine kimin karar verdiğine bakılarak, bu kapsamda söz konusu kriterler dikkate alınacaktır.
Av.Yalçın TORUN
[1] https://kvkk.gov.tr/Icerik/6858/2020-966