Kişisel verilere ilişkin suçlarda 26/9/2004 tarihli ve 5237 sayılı Türk Ceza Kanununun 135 ila 140. maddeleri uygulanır. 6698 sayılı Kanunun 17. maddesinin ikinci fıkrası, 7. maddeye aykırı biçimde verileri silmeyen veya anonim hâle getirmeyen kişilerin 5237 sayılı Kanunun 138. maddesine göre cezalandırılacağını düzenler. Aydınlatma, veri güvenliği, Kurul kararı, sicil yükümlülüğü ve 9. maddenin beşinci fıkrasındaki bildirim ise 18. maddede idari para cezasına bağlanmıştır.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 17Kaynağı aç
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 18Kaynağı aç
Hukuka aykırı kaydetme
5237 sayılı Kanunun 135. maddesinin birinci fıkrası, kişisel verileri hukuka aykırı biçimde kaydeden kişi için hapis cezasını bir yıl ile üç yıl arasında belirler. Hükmün uygulanması kaydetme fiiline ve bu fiilin hukuka aykırı olmasına bağlıdır.
5237 sayılı TÜRK CEZA KANUNU m. 135Kaynağı aç
İkinci fıkra, verinin siyasi, felsefi veya dini görüşe ya da ırki kökene ilişkin olmasını artırım nedeni olarak düzenler. Ahlaki eğilim, cinsel yaşam, sağlık durumu ve sendikal bağlantı bakımından metindeki artırım, hukuka aykırı olma kaydının ardından gelir. Sayılan hâllerde birinci fıkraya göre verilecek ceza yarı oranında artırılır.
Verme, yayma ve ele geçirme
5237 sayılı Kanunun 136. maddesinin birinci fıkrası üç fiili aynı çerçevede toplar: kişisel veriyi hukuka aykırı olarak başkasına vermek, yaymak veya ele geçirmek. Bu fiilleri işleyen kişi iki yıldan dört yıla kadar hapis cezası ile cezalandırılır.
5237 sayılı TÜRK CEZA KANUNU m. 136Kaynağı aç
17/10/2019 tarihli ve 7188 sayılı Kanunun 17. maddesi bu maddeye ikinci bir fıkra eklemiştir. Suçun konusu, Ceza Muhakemesi Kanununun 236. maddesinin beşinci ve altıncı fıkraları uyarınca kayda alınan beyan ve görüntüler ise verilecek ceza bir kat artırılır.
Yok etmeme suçu
5237 sayılı Kanunun 138. maddesinin birinci fıkrası, verileri sistem içinde yok etmekle yükümlü olan kişilere ilişkindir. Kanunların belirlediği süreler geçmesine rağmen bu kişiler görevi yerine getirmezse bir yıldan iki yıla kadar hapis cezası verilir. Ceza, her kişisel veri işlemesini değil, yükümlülüğün ve yerine getirilmemesinin bir arada bulunmasını gerektirir.
5237 sayılı TÜRK CEZA KANUNU m. 138Kaynağı aç
21/2/2014 tarihli ve 6526 sayılı Kanunun 5. maddesiyle eklenen ikinci fıkra ayrı bir artırım öngörür. Suç konusu, Ceza Muhakemesi Kanunu hükümlerine göre ortadan kaldırılması veya yok edilmesi gereken veri ise ceza bir kat artırılır.
Silme, yok etme ve anonim hâle getirme
6698 sayılı Kanunun 7. maddesinin birinci fıkrası, Kanun ve ilgili diğer kanun hükümlerine uygun işlenmiş verilere ilişkindir. İşlenmeyi gerektiren sebepler ortadan kalkınca veri sorumlusu verileri resen veya ilgili kişinin talebi üzerine siler, yok eder ya da anonim hâle getirir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 7Kaynağı aç
Aynı maddenin ikinci fıkrası, silme, yok etme veya anonim hâle getirme konusunda diğer kanunlardaki hükümleri saklı tutar. Üçüncü fıkra ise bu işlemlerin usul ve esaslarının yönetmelikle düzenleneceğini belirtir.
6698 sayılı Kanunun 17. maddesinin ikinci fıkrasına göre, 7. maddeye aykırı olarak kişisel verileri silmeyen veya anonim hâle getirmeyenler 5237 sayılı Kanunun 138. maddesine göre cezalandırılır. 138. maddenin birinci fıkrası ayrıca yok etme yükümlülüğünü ve kanunların belirlediği sürelerin geçmiş olmasını arar.
Veri sorumlusunun güvenlik yükümlülüğü
6698 sayılı Kanunun 12. maddesinin birinci fıkrası veri sorumlusuna üç amaç için tedbir alma görevi verir. Amaçlar, hukuka aykırı işlemeyi önlemek, hukuka aykırı erişimi önlemek ve verilerin muhafazasını sağlamaktır. Veri sorumlusu, uygun güvenlik düzeyini temin edecek gerekli teknik ve idari tedbirlerin tamamını almak zorundadır.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 12Kaynağı aç
Veriler veri sorumlusu adına başka bir gerçek veya tüzel kişi tarafından işlenirse, birinci fıkradaki tedbirler bakımından veri sorumlusu bu kişiyle birlikte müştereken sorumludur. Veri sorumlusu, kendi kurum veya kuruluşunda Kanun hükümlerinin uygulanması için gerekli denetimleri yapmak veya yaptırmak zorundadır.
Veri sorumluları ve veri işleyen kişiler, öğrendikleri kişisel verileri Kanun hükümlerine aykırı şekilde başkasına açıklayamaz. Bu verileri işleme amacı dışında da kullanamazlar. Yükümlülük, görevden ayrıldıktan sonra da sürer.
İşlenen kişisel veriler kanuni olmayan yollarla başkalarınca elde edilirse veri sorumlusu durumu en kısa sürede hem ilgilisine hem Kurula bildirir. Kurul, gerekmesi hâlinde durumu kendi internet sitesinde veya uygun gördüğü başka bir yöntemle ilan edebilir. Hüküm bildirim için belirli bir gün sayısı koymaz ve ilanı her olayda zorunlu saymaz.
İdari para cezasına bağlanan ihlaller
6698 sayılı Kanunun 18. maddesinin birinci fıkrasının (a) bendi, 10. maddedeki aydınlatma yükümlülüğünü yerine getirmeyenler hakkındadır. Bu bentte idari para cezasının alt sınırı 5.000, üst sınırı 100.000 Türk lirasıdır.
(b) bendi, 12. maddedeki veri güvenliği yükümlülüklerini yerine getirmeyenleri kapsar. Öngörülen idari para cezası 15.000 Türk lirasından 1.000.000 Türk lirasına kadardır.
(c) bendine göre, 15. madde uyarınca Kurulun verdiği kararları yerine getirmeyenler hakkında alt sınır 25.000, üst sınır 1.000.000 Türk lirasıdır. (ç) bendi ise 16. maddedeki Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırı hareket edenler için 20.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası öngörür.
2/3/2024 tarihli ve 7499 sayılı Kanunun 35. maddesiyle eklenen (d) bendi, 9. maddenin beşinci fıkrasındaki bildirim yükümlülüğünü yerine getirmeyenler hakkındadır. Bu bentteki idari para cezası 50.000 Türk lirasından 1.000.000 Türk lirasına kadardır.
Aynı Kanunun 35. maddesiyle değiştirilen 18. maddenin ikinci fıkrası cezaların muhatabını ayırır. (a), (b), (c) ve (ç) bentlerindeki idari para cezaları veri sorumlusuna uygulanır. (d) bendindeki ceza ise veri sorumlusu veya veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanır.
2/3/2024 tarihli ve 7499 sayılı Kanunun 35. maddesiyle eklenen üçüncü fıkra, Kurulun verdiği idari para cezalarına karşı dava yolunu idare mahkemesi olarak gösterir. Fıkrada dava süresi ve dava usulü yer almaz.
Kamu kurumları ve meslek kuruluşları
18. maddenin dördüncü fıkrası, birinci fıkrada sayılan eylemlerin kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarında işlenmesi hâline ilişkindir. Kurulun bildirmesinden sonra ilgili memurlar, diğer kamu görevlileri ve bu meslek kuruluşlarında görev yapanlar hakkında disiplin hükümlerine göre işlem yapılır. İşlemin sonucu Kurula bildirilir. Fıkra, bu hâlde idari para cezasının ayrıca uygulanıp uygulanmayacağını düzenlemez.
Sık sorulan sorular
Hukuka aykırı kişisel veri kaydının cezası nedir?
Kişisel verileri hukuka aykırı olarak kaydeden kişiye bir yıldan üç yıla kadar hapis cezası verilir. Veri siyasi, felsefi veya dini görüşe ya da ırki kökene ilişkinse bu ceza yarı oranında artırılır. Ahlaki eğilim, cinsel yaşam, sağlık durumu ve sendikal bağlantıda artırım, verinin hukuka aykırı olması kaydına bağlıdır.
Kişisel veriyi hukuka aykırı veren kişi nasıl cezalandırılır?
Kişisel veriyi hukuka aykırı olarak başkasına veren, yayan veya ele geçiren kişi iki yıldan dört yıla kadar hapis cezası ile cezalandırılır. Konu, Ceza Muhakemesi Kanununun 236. maddesinin beşinci ve altıncı fıkraları uyarınca kayda alınan beyan ve görüntüler ise ceza bir kat artırılır.
Veriler hangi hâlde silinir veya anonim hâle getirilir?
Kanuna uygun işlenmiş kişisel veriler, işlenmelerini gerektiren sebepler ortadan kalkınca veri sorumlusu tarafından silinir, yok edilir veya anonim hâle getirilir. İşlem resen yapılabileceği gibi ilgili kişinin talebi üzerine de yapılır.
Verileri silmeyen kişi hangi maddeye göre cezalandırılır?
6698 sayılı Kanunun 7. maddesine aykırı olarak verileri silmeyen veya anonim hâle getirmeyenler, 5237 sayılı Kanunun 138. maddesine göre cezalandırılır. 138. maddenin birinci fıkrası, belirlenen süreler geçtikten sonra sistem içindeki verileri yok etme görevini yerine getirmemeyi cezalandırır.
Veri güvenliği tedbirlerini kim almak zorundadır?
Veri sorumlusu, hukuka aykırı işlemeyi ve erişimi önlemek ile verilerin muhafazasını sağlamak için gerekli teknik ve idari tedbirleri almak zorundadır. Veriler kendi adına başka bir kişi tarafından işleniyorsa bu tedbirler bakımından o kişiyle müştereken sorumludur.
Kanuni olmayan yolla elde edilen veriler kime bildirilir?
Veri sorumlusu, işlenen kişisel verilerin kanuni olmayan yollarla başkalarınca elde edilmesi hâlinde durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul gerekli görürse bunu internet sitesinde veya uygun gördüğü başka bir yöntemle ilan edebilir.
Kurulun idari para cezasına karşı nerede dava açılır?
Kurulca verilen idari para cezalarına karşı idare mahkemelerinde dava açılabilir. İlgili fıkrada dava açma süresi gösterilmemiştir.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy