KİŞİSEL VERİLERİN HUKUKA AYKIRI OLARAK ELE GEÇİRİLMESİ SUÇU (TCK m.136) KAPSAMINDA CEZA HUKUKU AÇISINDAN DEĞERLENDİRME
- Av.Havva AYTURAN
- 2 gün önce
- 18 dakikada okunur
Özet
Teknolojik gelişmelerin hız kazanmasıyla birlikte kişisel verilerin işlenmesi, saklanması ve paylaşılması günlük yaşamın ayrılmaz bir parçası hâline gelmiştir. Kamu kurumları, özel şirketler ve bireyler tarafından gerçekleştirilen veri işleme faaliyetleri, kişisel verilerin korunmasını temel bir insan hakkı olarak ön plana çıkarmıştır. Buna paralel olarak kişisel verilerin hukuka aykırı şekilde ele geçirilmesi, çoğaltılması ve üçüncü kişilere aktarılması hem bireyin özel hayatının gizliliğini hem de kişilik haklarını doğrudan ihlal eden önemli suç tiplerinden biri hâline gelmiştir.
5237 sayılı Türk Ceza Kanunu'nun 136. maddesinde düzenlenen "Verileri hukuka aykırı olarak verme veya ele geçirme" suçu, kişisel verilerin korunmasına yönelik ceza hukuku güvencelerinin temelini oluşturmaktadır. Söz konusu suç tipi yalnızca bireyin mahremiyetini değil, aynı zamanda toplumun dijital güvenliğini ve kamu düzenini de korumaktadır.
Bu çalışmada kişisel veri kavramı, Anayasal koruma, 6698 sayılı Kişisel Verilerin Korunması Kanunu, Avrupa İnsan Hakları Sözleşmesi ve Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) ışığında incelenmiş; TCK m.136 kapsamındaki suçun maddi ve manevi unsurları, hukuka uygunluk nedenleri, Yargıtay uygulaması ve öğretideki görüşler ayrıntılı olarak değerlendirilmiştir.
Anahtar Kelimeler: Kişisel veri, KVKK, TCK 136, hukuka aykırı ele geçirme, veri güvenliği, özel hayatın gizliliği, ceza hukuku.
GİRİŞ
Dijital dönüşümün hız kazanmasıyla birlikte bireylere ait kişisel veriler ekonomik, ticari ve idari faaliyetlerin temel unsurlarından biri hâline gelmiştir. Bankacılık işlemleri, sağlık kayıtları, elektronik ticaret, sosyal medya kullanımı ve kamu hizmetleri kişisel verilerin yoğun şekilde işlendiği alanların başında gelmektedir.
Kişisel verilerin yaygın şekilde işlenmesi, bireylerin temel hak ve özgürlüklerini tehdit eden yeni hukuki sorunların ortaya çıkmasına neden olmuştur. Özellikle internet ortamında kişisel verilerin izinsiz paylaşılması, veri tabanlarının çalınması, çalışanların müşteri bilgilerini üçüncü kişilere aktarması veya bilişim sistemlerine hukuka aykırı erişim sağlanması günümüzde sıkça karşılaşılan hukuka aykırı fiillerdendir.
Bu gelişmeler doğrultusunda Türk hukukunda kişisel verilerin korunması yalnızca idari yaptırımlarla sınırlandırılmamış, aynı zamanda ceza hukuku yaptırımlarıyla da güvence altına alınmıştır. Türk Ceza Kanunu'nun 135 ila 140. maddeleri arasında kişisel verilere ilişkin suçlar düzenlenmiş; özellikle 136. maddede kişisel verilerin hukuka aykırı olarak verilmesi, yayılması veya ele geçirilmesi bağımsız bir suç tipi olarak kabul edilmiştir.
TCK m.136'nın amacı yalnızca kişisel verilerin fiziksel veya dijital ortamda korunmasını sağlamak değildir. Kanun koyucu aynı zamanda bireylerin özel hayatına duyduğu güveni, kişisel veriler üzerindeki tasarruf hakkını ve toplumsal güven ilişkisini de koruma altına almayı hedeflemiştir.
Bu suçun uygulama alanı son yıllarda önemli ölçüde genişlemiştir. Özellikle;
Hastane çalışanlarının hasta kayıtlarını paylaşması,
Banka personelinin müşteri bilgilerini satması,
GSM operatörlerinden elde edilen abonelik bilgilerinin üçüncü kişilere aktarılması,
Avukatlık, muhasebe ve noterlik bürolarında bulunan kişisel bilgilerin izinsiz kullanılması,
Sosyal medya hesaplarının ele geçirilerek kişisel verilerin kopyalanması,
E-devlet kayıtlarının hukuka aykırı şekilde temin edilmesi,
gibi olaylar TCK m.136 kapsamında değerlendirilebilmektedir.
Yargıtay kararları incelendiğinde de bu suçun özellikle bilişim suçlarıyla iç içe geçtiği görülmektedir. Çoğu olayda bilişim sistemine girme, haberleşmenin gizliliğini ihlal etme veya özel hayatın gizliliğini ihlal suçlarıyla birlikte değerlendirme yapılmaktadır. Bu nedenle TCK m.136'nın uygulama alanı yalnızca klasik veri hırsızlığı ile sınırlı olmayıp dijital ortamda gerçekleştirilen birçok fiili kapsamaktadır.
Öte yandan 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun yürürlüğe girmesiyle birlikte kişisel verilerin korunmasına ilişkin idari yükümlülükler önemli ölçüde artırılmıştır. Ancak KVKK'da öngörülen idari yaptırımlar ile TCK'da düzenlenen ceza yaptırımları birbirinden bağımsız olup aynı fiil hem idari para cezasına hem de ceza sorumluluğuna neden olabilmektedir.
Bu çalışmanın amacı, kişisel verilerin hukuka aykırı olarak ele geçirilmesi suçunu yalnızca kanun metni üzerinden değil; Anayasa, KVKK, uluslararası sözleşmeler, öğretideki görüşler ve Yargıtay içtihatları ışığında ayrıntılı şekilde değerlendirmektir.
I. KİŞİSEL VERİ KAVRAMI
Kişisel verilerin korunması hakkının etkin şekilde sağlanabilmesi için öncelikle kişisel veri kavramının doğru şekilde belirlenmesi gerekir. Çünkü TCK m.136'da düzenlenen suçun konusunu yalnızca kişisel veri niteliği taşıyan bilgiler oluşturmaktadır.
6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 3. maddesinde kişisel veri;
"Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi"
olarak tanımlanmıştır.
Bu tanım oldukça geniş tutulmuştur. Kanun koyucu yalnızca kişinin adı, soyadı veya T.C. kimlik numarası gibi doğrudan tanımlayıcı bilgileri değil, kişinin kimliğinin dolaylı şekilde belirlenmesine imkân veren tüm bilgileri kişisel veri olarak kabul etmektedir.
Bu kapsamda aşağıdaki bilgiler kişisel veri niteliği taşımaktadır:
Ad ve soyad
Türkiye Cumhuriyeti kimlik numarası
Doğum tarihi
Telefon numarası
Adres bilgisi
Elektronik posta adresi
IP adresi
Araç plakası
Pasaport numarası
Banka hesap bilgileri
Tapu kayıtları
Vergi numarası
SGK bilgileri
Sağlık kayıtları
Parmak izi
Retina taraması
Ses kaydı
Fotoğraf
Kamera görüntüsü
Konum bilgisi
İnternet kullanım kayıtları
Görüldüğü üzere kişisel veri kavramı yalnızca resmi kayıtlarla sınırlı olmayıp bireyin belirlenmesini sağlayabilecek her türlü bilgi bu kapsamda değerlendirilmektedir.
Özellikle gelişen teknoloji ile birlikte çerez kayıtları, cihaz kimlik numaraları, GPS verileri, sosyal medya hesap bilgileri ve dijital hareket kayıtları da kişisel veri niteliği taşımaktadır.
II. ÖZEL NİTELİKLİ KİŞİSEL VERİLER
Bazı kişisel veriler bireyin ayrımcılığa uğramasına veya temel haklarının daha ağır şekilde ihlal edilmesine neden olabileceğinden kanun koyucu bunlar için daha güçlü koruma mekanizmaları öngörmüştür.
KVKK'nın 6. maddesine göre özel nitelikli kişisel veriler şunlardır:
Irk
Etnik köken
Siyasi düşünce
Felsefi inanç
Din
Mezhep
Kılık kıyafet
Dernek üyeliği
Vakıf üyeliği
Sendika üyeliği
Sağlık bilgileri
Cinsel hayata ilişkin veriler
Ceza mahkûmiyeti bilgileri
Güvenlik tedbirleri
Biyometrik veriler
Genetik veriler
Bu verilerin hukuka aykırı şekilde ele geçirilmesi bireyin özel hayatına daha ağır müdahale niteliğinde olduğundan hem KVKK bakımından daha sıkı şartlara bağlanmış hem de ceza hukuku bakımından değerlendirilirken daha ağır sonuçlar doğurabilmektedir.
III. ANAYASAL KORUMA
Kişisel verilerin korunması hakkı Türkiye'de anayasal güvence altına alınmıştır.
2010 yılında yapılan Anayasa değişikliği ile Anayasa'nın 20. maddesine şu hüküm eklenmiştir:
"Herkes kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir."
Bu düzenleme ile kişisel verilerin korunması bağımsız bir temel hak hâline getirilmiştir.
Anayasal koruma kapsamında birey;
Verilerinin hangi amaçla işlendiğini öğrenebilir.
Verilerine erişebilir.
Yanlış bilgilerin düzeltilmesini isteyebilir.
Kanuni şartlar oluştuğunda silinmesini talep edebilir.
Hukuka aykırı veri işlenmesine karşı yargı yoluna başvurabilir.
Anayasa Mahkemesi de bireysel başvuru kararlarında kişisel verilerin korunmasının özel hayatın gizliliği hakkının ayrılmaz bir parçası olduğunu birçok kararında vurgulamıştır.
KİŞİSEL VERİLERİN HUKUKA AYKIRI OLARAK ELE GEÇİRİLMESİ SUÇU (TCK m.136) KAPSAMINDA CEZA HUKUKU AÇISINDAN DEĞERLENDİRME
II. BÖLÜM
IV. KİŞİSEL VERİLERİN KORUNMASININ ULUSLARARASI HUKUKTAKİ YERİ
Kişisel verilerin korunması hakkı günümüzde yalnızca ulusal hukuk düzenlerinin değil, aynı zamanda uluslararası insan hakları hukukunun da temel konularından biri hâline gelmiştir. Teknolojinin gelişmesi, internet kullanımının yaygınlaşması ve verilerin sınır ötesi dolaşımının artması, kişisel verilerin korunmasına ilişkin ortak standartların oluşturulmasını zorunlu kılmıştır. Bu nedenle birçok uluslararası sözleşme ve düzenleme kişisel verilerin korunmasını temel hak kapsamında değerlendirmektedir.
Türkiye de taraf olduğu uluslararası sözleşmeler ve Avrupa Birliği ile uyum süreci kapsamında kişisel verilerin korunmasına ilişkin önemli yükümlülükler üstlenmiştir. Özellikle Avrupa İnsan Hakları Sözleşmesi, Avrupa Konseyi'nin 108 sayılı Sözleşmesi ve Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR), Türk hukukunun gelişiminde önemli rol oynamıştır.
Bu düzenlemeler yalnızca veri işleme faaliyetlerini değil, aynı zamanda kişisel verilerin hukuka aykırı şekilde ele geçirilmesini de insan hakları ihlali olarak değerlendirmektedir.
V. AVRUPA İNSAN HAKLARI SÖZLEŞMESİ KAPSAMINDA KİŞİSEL VERİLERİN KORUNMASI
Avrupa İnsan Hakları Sözleşmesi'nde (AİHS) kişisel verilerden açıkça söz edilmemekle birlikte, kişisel verilerin korunması hakkı 8. maddede düzenlenen özel hayatın ve aile hayatının korunması hakkı kapsamında değerlendirilmektedir.
AİHS m.8'e göre;
"Herkes özel ve aile hayatına, konutuna ve haberleşmesine saygı gösterilmesini isteme hakkına sahiptir."
Avrupa İnsan Hakları Mahkemesi (AİHM), zaman içerisinde verdiği kararlarla kişisel verilerin de özel hayat kavramı içinde yer aldığını kabul etmiştir.
Mahkemeye göre;
Parmak izi kayıtları,
DNA örnekleri,
Kamera kayıtları,
Sağlık bilgileri,
Telefon kayıtları,
Konum bilgileri,
Biyometrik veriler,
Elektronik posta içerikleri,
özel hayat kapsamında korunmaktadır.
Dolayısıyla devlet yalnızca kişisel verilere müdahale etmemekle yükümlü değildir. Aynı zamanda üçüncü kişiler tarafından gerçekleştirilen hukuka aykırı veri ihlallerini önlemek için etkili ceza hukuku düzenlemeleri yapmakla da yükümlüdür.
Bu yaklaşım Türk Ceza Kanunu'nun 135 ila 140. maddelerinin hazırlanmasında önemli ölçüde etkili olmuştur.
VI. AVRUPA KONSEYİ'NİN 108 SAYILI SÖZLEŞMESİ
Kişisel verilerin korunmasına ilişkin ilk uluslararası bağlayıcı belge, 1981 tarihli Avrupa Konseyi'nin 108 Sayılı "Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Bireylerin Korunması Sözleşmesi"dir.
Türkiye bu sözleşmeye taraf olmuş ve daha sonra iç hukukunda gerekli düzenlemeleri gerçekleştirmiştir.
Sözleşmenin temel amacı;
Kişisel verilerin hukuka uygun işlenmesini sağlamak,
Veri güvenliğini oluşturmak,
Devletlerin ortak standartlar geliştirmesini sağlamak,
Bireylerin mahremiyetini korumaktır.
108 sayılı Sözleşme;
Veri minimizasyonu,
Amaçla sınırlılık,
Hukuka uygun işleme,
Güvenlik tedbirleri,
Şeffaflık,
Veri sahibinin hakları
ilkelerini benimsemektedir.
KVKK hazırlanırken bu ilkeler büyük ölçüde esas alınmıştır.
VII. AVRUPA BİRLİĞİ GENEL VERİ KORUMA TÜZÜĞÜ (GDPR)
2018 yılında yürürlüğe giren General Data Protection Regulation (GDPR), günümüzde dünyanın en kapsamlı veri koruma düzenlemelerinden biri olarak kabul edilmektedir.
GDPR yalnızca Avrupa Birliği ülkelerinde faaliyet gösteren şirketleri değil, Avrupa Birliği vatandaşlarının verilerini işleyen tüm gerçek ve tüzel kişileri kapsamaktadır.
GDPR'ın temel ilkeleri şunlardır:
Hukuka uygunluk
Şeffaflık
Belirli amaç ilkesi
Veri minimizasyonu
Doğruluk
Saklama süresinin sınırlandırılması
Gizlilik
Hesap verebilirlik
GDPR ayrıca veri sorumlularına ciddi yükümlülükler getirmiştir.
Bunlardan bazıları şunlardır:
Veri ihlalinin 72 saat içinde bildirilmesi,
Veri koruma görevlisi atanması,
Açık rıza şartı,
Etki analizi yapılması,
Çocuk verilerinin özel korunması,
Unutulma hakkı,
Veri taşınabilirliği hakkı.
Türk hukukundaki KVKK ile GDPR arasında büyük benzerlik bulunmasına rağmen GDPR'ın uygulama alanı ve yaptırımları çok daha geniştir.
Örneğin GDPR kapsamında şirketlere yıllık dünya cirolarının %4'üne kadar idari para cezası uygulanabilmektedir.
VIII. 6698 SAYILI KİŞİSEL VERİLERİN KORUNMASI KANUNU
Türkiye'de kişisel verilerin korunmasına ilişkin temel düzenleme 6698 sayılı Kişisel Verilerin Korunması Kanunu'dur.
Kanun 7 Nisan 2016 tarihinde yürürlüğe girmiştir.
Kanunun amacı;
Kişisel verilerin işlenmesinde temel hak ve özgürlükleri korumak,
Veri güvenliğini sağlamak,
Veri sorumlularının yükümlülüklerini belirlemek,
Kişisel Verileri Koruma Kurumu'nun görevlerini düzenlemektir.
KVKK'nın uygulanmasıyla birlikte;
Kamu kurumları,
Bankalar,
Hastaneler,
Üniversiteler,
Belediyeler,
Sigorta şirketleri,
E-ticaret firmaları,
kişisel verilerin korunmasına ilişkin ciddi yükümlülükler altına girmiştir.
Ancak KVKK'nın temel amacı idari düzenleme getirmektir.
Ceza yaptırımları ise doğrudan Türk Ceza Kanunu'nda düzenlenmiştir.
Dolayısıyla bir fiil hem KVKK kapsamında idari para cezasına hem de TCK kapsamında hapis cezasına neden olabilmektedir.
IX. TÜRK CEZA KANUNU'NDA KİŞİSEL VERİLERE İLİŞKİN SUÇLAR
5237 sayılı Türk Ceza Kanunu'nun 135 ila 140. maddeleri kişisel verilere ilişkin suçları düzenlemektedir.
Bu suçlar şunlardır:
TCK m.135
Kişisel verilerin hukuka aykırı olarak kaydedilmesi
TCK m.136
Verileri hukuka aykırı olarak verme veya ele geçirme
TCK m.137
Nitelikli hâller
TCK m.138
Verileri yok etmeme
TCK m.139
Şikâyet
TCK m.140
Tüzel kişiler hakkında güvenlik tedbirleri
Bu sistematik incelendiğinde kanun koyucunun yalnızca verinin elde edilmesini değil;
kaydedilmesini,
paylaşılmasını,
aktarılmasını,
saklanmasını,
imha edilmemesini
de suç olarak düzenlediği görülmektedir.
X. TCK m.136'NIN TARİHSEL GELİŞİMİ
765 sayılı eski Türk Ceza Kanunu döneminde kişisel verilere ilişkin bağımsız bir suç tipi bulunmamaktaydı.
Teknolojik gelişmeler ve Avrupa Birliği uyum süreci sonucunda hazırlanan 5237 sayılı Türk Ceza Kanunu ile kişisel verilere ilişkin suçlar ilk kez müstakil bölüm hâlinde düzenlenmiştir.
Kanun koyucu böylece;
özel hayatın gizliliğini,
bilişim güvenliğini,
bireyin kişilik haklarını
ceza hukuku koruması altına almıştır.
TCK m.136 zaman içerisinde çeşitli kanunlarla değiştirilmiş ve cezalar artırılmıştır.
Bugünkü hâliyle madde şu şekildedir:
"Kişisel verileri, hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi iki yıldan altı yıla kadar hapis cezası ile cezalandırılır."
Bu düzenleme seçimlik hareketli bir suç tipidir.
Yani suç;
verme,
yayma,
ele geçirme
hareketlerinden herhangi biriyle oluşabilir.
XI. TCK m.136 İLE KORUNAN HUKUKİ DEĞER
Ceza hukukunda her suç belirli bir hukuki değeri korumaktadır.
TCK m.136'nın koruduğu hukuki değer yalnızca kişisel veriler değildir.
Madde ile birlikte;
bireyin özel hayatı,
kişilik hakları,
bilgi güvenliği,
haberleşme güvenliği,
kişisel veriler üzerindeki tasarruf hakkı,
toplumun dijital güven ortamı
korunmaktadır.
Öğretide baskın görüşe göre suçun temel amacı, bireyin kendisi hakkındaki bilgileri kontrol edebilme hakkını güvence altına almaktır.
Başka bir ifadeyle kişi;
hangi bilgisinin,
kim tarafından,
hangi amaçla,
ne kadar süreyle kullanılacağını
belirleme hakkına sahiptir.
Bu hak ihlal edildiğinde yalnızca veri değil, kişinin anayasal hakları da zarar görmektedir.
XII. SUÇUN KONUSU
TCK m.136 bakımından suçun konusu kişisel verilerdir.
Ancak her bilgi kişisel veri değildir.
Bir bilginin kişisel veri sayılabilmesi için;
gerçek kişiye ait olması,
belirli veya belirlenebilir kişiyi göstermesi,
kişiyle ilişkilendirilebilir olması gerekir.
Örneğin;
isim,
telefon numarası,
adres,
banka hesabı,
sağlık raporu,
SGK kaydı,
fotoğraf,
araç plakası (kişiyle bağlantılı olduğu ölçüde),
IP adresi,
kamera görüntüsü
kişisel veri olarak kabul edilmektedir.
Buna karşılık anonim hâle getirilmiş ve belirli bir kişiyle ilişkilendirilemeyen bilgiler TCK m.136 kapsamında değerlendirilmez.
XIII. TCK m.136'NIN MADDE GEREKÇESİNİN DEĞERLENDİRİLMESİ
Madde gerekçesinde kanun koyucu, kişisel verilerin bireyin özel yaşamının ayrılmaz bir parçası olduğunu açıkça belirtmiştir.
Gerekçeye göre;
kişisel verilerin hukuka aykırı olarak başkasına verilmesi,
internet ortamında paylaşılması,
çoğaltılması,
ele geçirilmesi
kişinin temel haklarını ihlal etmektedir.
Bu nedenle suçun oluşabilmesi için verilerin mutlaka ekonomik kazanç amacıyla elde edilmesi gerekmez.
Merak amacıyla bile olsa kişisel verilerin hukuka aykırı şekilde ele geçirilmesi suçun oluşması için yeterlidir.
Ayrıca suçun tamamlanması için verinin kullanılması veya zarar doğması da aranmaz. Verinin hukuka aykırı şekilde ele geçirilmesiyle suç tamamlanmış olur.
XIV. SUÇUN UNSURLARI
5237 sayılı Türk Ceza Kanunu'nun 136. maddesinde düzenlenen kişisel verileri hukuka aykırı olarak verme, yayma veya ele geçirme suçu, seçimlik hareketli, kasten işlenebilen ve sırf hareket suçu niteliğindedir. Suçun oluşabilmesi için kanunda belirtilen seçimlik hareketlerden herhangi birinin gerçekleştirilmesi yeterlidir; ayrıca mağdurun somut bir zarara uğraması aranmaz. Öğretide ve Yargıtay uygulamasında da bu suçun bir tehlike suçu olduğu kabul edilmektedir.
Suçun oluşabilmesi için genel ceza hukuku ilkeleri doğrultusunda tipikliğin maddi ve manevi unsurlarının birlikte gerçekleşmesi gerekir.
XV. MADDİ UNSUR
Maddi unsur;
fail,
mağdur,
suçun konusu,
hareket,
netice (aranmadığı ölçüde),
illiyet bağı
unsurlarından oluşmaktadır.
TCK m.136 bakımından suç, sırf hareket suçu olduğundan kanunda ayrıca bir netice öngörülmemiştir. Kanunda belirtilen hareketlerden birinin gerçekleştirilmesiyle suç tamamlanır.
XVI. FAIL
Bu suçun faili bakımından kanunda herhangi bir özellik aranmamıştır.
Dolayısıyla suçun faili;
kamu görevlisi,
özel sektör çalışanı,
doktor,
avukat,
banka personeli,
muhasebeci,
noter çalışanı,
öğrenci,
bilişim uzmanı,
veya herhangi bir gerçek kişi olabilir.
Bu nedenle suç özgü suç niteliğinde değildir.
Ancak failin kamu görevlisi olması veya görevin sağladığı yetkiyi kullanarak suçu işlemesi hâlinde TCK m.137 uyarınca ceza artırılır.
Örneğin;
nüfus müdürlüğü çalışanının MERNİS kayıtlarını satması,
hastane personelinin hasta bilgilerini paylaşması,
polis memurunun UYAP kayıtlarını üçüncü kişilere vermesi,
gibi durumlarda yalnızca TCK m.136 değil aynı zamanda nitelikli hâl hükümleri de uygulanacaktır.
XVII. MAĞDUR
Suçun mağduru kişisel verisi hukuka aykırı şekilde verilen, yayılan veya ele geçirilen gerçek kişidir.
Tüzel kişiler bakımından kişisel veri kavramı uygulanmaz.
Bunun nedeni KVKK'nın da yalnızca gerçek kişilere ait verileri koruma altına almasıdır.
Ancak tüzel kişilere ait ticari sırların hukuka aykırı şekilde elde edilmesi farklı suç tiplerini oluşturabilir.
XVIII. SUÇUN KONUSU
Suçun konusu yalnızca kişisel veri niteliğindeki bilgilerdir.
Yargıtay'a göre kişisel veri;
"Belirli veya belirlenebilir gerçek kişiye ait, kişiyi diğer bireylerden ayırmaya elverişli her türlü bilgidir."
Bu kapsamda;
kimlik bilgileri,
telefon numarası,
e-posta adresi,
banka hesap bilgileri,
SGK kayıtları,
tapu kayıtları,
sağlık verileri,
biyometrik veriler,
IP adresleri,
kamera kayıtları,
araç plakası (kişiyle bağlantılı olduğu ölçüde),
kişisel veri sayılmaktadır.
Önemle belirtmek gerekir ki, bir bilginin kamuya açık olması tek başına onun kişisel veri niteliğini ortadan kaldırmaz. Yargıtay, somut olayın özellikleri ve hukuka uygunluk nedenleri birlikte değerlendirilerek sonuca gidilmesi gerektiğini vurgulamaktadır.
XIX. HAREKET UNSURU
TCK m.136 seçimlik hareketli suçtur.
Madde üç farklı hareket düzenlemiştir.
A. Verme
Verme, kişisel verilerin belirli bir kişiye veya sınırlı sayıdaki kişilere aktarılmasıdır.
Örneğin;
banka çalışanının müşteri listesini başka bankaya göndermesi,
hastane personelinin hasta dosyasını üçüncü kişiye vermesi,
avukatın müvekkiline ait bilgileri izinsiz paylaşması,
verme fiilini oluşturabilir.
Verilen bilginin mutlaka para karşılığında aktarılması gerekmez.
Ücretsiz paylaşım da suç oluşturabilir.
B. Yayma
Yayma, kişisel verilerin belirsiz sayıda kişinin erişimine sunulmasıdır.
Örneğin;
sosyal medyada telefon numarası paylaşılması,
internet sitesinde kimlik bilgilerinin yayımlanması,
WhatsApp gruplarında kişisel verilerin dolaşıma sokulması,
yayma hareketini oluşturabilir.
Yargıtay, rızaya aykırı şekilde kişisel veri niteliğindeki fotoğrafların sosyal medya üzerinden paylaşılmaya devam edilmesini TCK m.136 kapsamında değerlendirmiştir.
C. Ele Geçirme
Ele geçirme, kişisel veriler üzerinde hukuka aykırı şekilde fiilî hâkimiyet kurulmasıdır.
Bu fiil;
bilgisayar sistemine girerek,
şifre kırarak,
USB belleğe kopyalayarak,
fotoğraf çekerek,
belgeyi çalarak,
veri tabanını indirerek,
gerçekleşebilir.
Failin veriyi kullanması şart değildir.
Verinin hukuka aykırı şekilde elde edilmesi suçun oluşması için yeterlidir.
XX. HUKUKA AYKIRILIK UNSURU
Madde metninde açıkça "hukuka aykırı olarak" ibaresi yer almaktadır.
Bu nedenle kişisel verinin ele geçirilmesi her durumda suç oluşturmaz.
Bazı durumlarda veri işleme veya paylaşma hukuka uygundur.
Örneğin;
kanunun açıkça izin vermesi,
mahkeme kararı,
soruşturma işlemleri,
açık rıza,
meşru savunma kapsamında zorunlu kullanım,
hukuka uygunluk nedeni oluşturabilir.
Öğretide baskın görüşe göre, maddede yer alan "hukuka aykırı olarak" ibaresi tipikliğin bağımsız bir maddi unsuru değil, fiilin bütününe ilişkin hukuka aykırılık değerlendirmesini ifade etmektedir.
XXI. MANEVİ UNSUR
Bu suç yalnızca kasten işlenebilir.
Fail;
verinin kişisel veri olduğunu,
kendisine ait olmadığını,
hukuka aykırı hareket ettiğini
bilerek ve isteyerek davranmalıdır.
Taksirle işlenmesi mümkün değildir.
Suçun oluşması için;
ekonomik kazanç elde etmek,
intikam almak,
siyasi amaç taşımak,
kişisel husumet,
zorunlu değildir.
Merak amacıyla gerçekleştirilen hukuka aykırı veri elde etme fiilleri de suç oluşturabilir.
XXII. SUÇUN TAMAMLANMA ANI
Bu suç sırf hareket suçu olduğundan;
veri verildiği anda,
veri yayımlandığı anda,
veri ele geçirildiği anda,
tamamlanır.
Mağdurun zarar görmesi,
verinin kullanılması,
başkasına satılması,
veya ekonomik kazanç elde edilmesi aranmaz.
Dolayısıyla fail daha sonra verileri silmiş olsa bile suç tamamlanmış kabul edilir.
XXIII. TEŞEBBÜS
Genel kural olarak sırf hareket suçlarında teşebbüsün uygulanma alanı dardır.
Ancak hareket bölünebiliyorsa teşebbüs mümkündür.
Örneğin;
veri tabanını indirmeye başlanmış ancak sistem tarafından erişim engellenmişse,
USB belleğe aktarım devam ederken yakalanılmışsa,
e-posta gönderilmeden önce sistem tarafından durdurulmuşsa,
teşebbüs hükümleri gündeme gelebilir.
Her olay kendi özellikleri içerisinde değerlendirilmelidir. Öğretide, hareketin bölünebildiği durumlarda TCK m.35 hükümlerinin uygulanabileceği kabul edilmektedir.
XXIV. İŞTİRAK
Bu suç iştirak bakımından genel hükümlere tabidir.
Dolayısıyla;
azmettirme,
yardım etme,
müşterek faillik,
mümkündür.
Örneğin;
Bir şirket çalışanının müşteri listesini çalması, diğer çalışanın ise bu verileri satması hâlinde her iki kişi iştirak hükümleri çerçevesinde sorumlu tutulabilir.
XXV. İÇTİMA
Uygulamada TCK m.136 çoğu zaman başka suçlarla birlikte işlenmektedir.
Örneğin;
bilişim sistemine girme (TCK m.243),
sistemi bozma veya verileri yok etme (TCK m.244),
özel hayatın gizliliğini ihlal (TCK m.134),
haberleşmenin gizliliğini ihlal (TCK m.132),
kişisel verilerin hukuka aykırı kaydedilmesi (TCK m.135),
suçlarıyla birlikte gerçekleşebilir.
Öğretide ve uygulamada, kişisel verilerin önce hukuka aykırı olarak kaydedilip daha sonra üçüncü kişilere verilmesi hâlinde TCK m.135 ve TCK m.136 hükümlerinin ayrı ayrı uygulanabileceği kabul edilmektedir.
XXVI. TCK m.137 KAPSAMINDA NİTELİKLİ HÂLLER
Kanun koyucu bazı durumlarda suçu daha ağır yaptırıma bağlamıştır.
Bunlardan en önemlileri şunlardır:
Suçun kamu görevlisi tarafından ve görevin verdiği yetki kötüye kullanılmak suretiyle işlenmesi,
Suçun belli bir meslek veya sanatın sağladığı kolaylıktan yararlanılarak işlenmesi.
Örneğin;
doktorun hasta kayıtlarını paylaşması,
avukatın müvekkiline ait bilgileri üçüncü kişilere vermesi,
banka personelinin müşteri verilerini satması,
noter çalışanının kimlik bilgilerini aktarması,
gibi fiillerde ceza artırılır.
Kanun koyucunun amacı, mesleki güven ilişkisini kötüye kullanan kişilere daha ağır yaptırım uygulanmasını sağlamaktır.
Sonraki Bölüm (IV. Bölüm)
Dördüncü bölümde şu konular ayrıntılı olarak ele alınacaktır:
Soruşturma ve kovuşturma usulü
Görevli ve yetkili mahkeme
Şikâyet ve zamanaşımı
Deliller ve ispat
Yargıtay'ın emsal kararlarının ayrıntılı analizi
Uygulamada en sık karşılaşılan uyuşmazlıklar
Doktrindeki görüş ayrılıkları
Ceza muhakemesi bakımından değerlendirme.
XXVII. SORUŞTURMA VE KOVUŞTURMA USULÜ
Kişisel verileri hukuka aykırı olarak verme veya ele geçirme suçu, toplumun dijital güvenliğini ve bireyin özel hayatını korumayı amaçlayan bir suç tipi olduğundan, soruşturma ve kovuşturma usulü bakımından da özel önem taşımaktadır. Bu suçun soruşturulması ve yargılanması, 5271 sayılı Ceza Muhakemesi Kanunu (CMK) hükümlerine tabidir.
Soruşturma evresinde Cumhuriyet savcısı, suç şüphesini öğrendiği andan itibaren maddi gerçeğin ortaya çıkarılması amacıyla hem şüpheli lehine hem de aleyhine olan delilleri toplamakla yükümlüdür (CMK m.160). Kişisel verilerin dijital ortamlarda bulunması nedeniyle soruşturmalarda çoğu zaman bilişim incelemeleri, dijital materyal analizleri ve bilirkişi raporları önemli rol oynamaktadır.
XXVIII. ŞİKÂYET KOŞULU
TCK'nın 139. maddesi, kişisel verilere ilişkin bazı suçlarda şikâyet şartını düzenlemektedir. Ancak TCK m.136'da düzenlenen verileri hukuka aykırı olarak verme veya ele geçirme suçu, kural olarak şikâyete bağlı değildir. Bu nedenle Cumhuriyet savcılığı, suçun işlendiğini herhangi bir şekilde öğrendiğinde resen soruşturma başlatabilir.
Bu durum, suçun yalnızca bireysel menfaatleri değil, aynı zamanda kamu düzenini ve kişisel verilerin korunmasına ilişkin anayasal güvenceyi de ilgilendirdiğini göstermektedir.
Şikâyetten vazgeçilmesi, kamu davasını kendiliğinden düşürmez. Savcılık ve mahkeme, yargılamaya devam eder.
XXIX. GÖREVLİ VE YETKİLİ MAHKEME
TCK m.136 kapsamında açılan davalarda görevli mahkeme, Asliye Ceza Mahkemesidir. Yetkili mahkeme ise genel kural gereği suçun işlendiği yer mahkemesidir (CMK m.12).
Ancak suçun internet ortamında veya farklı illerde etkisini göstermesi hâlinde yetki tespiti uygulamada tartışmalara neden olabilmektedir. Özellikle verilerin bir şehirde ele geçirilip başka bir şehirde paylaşılması durumunda, suçun işlendiği yerin belirlenmesinde somut olayın özellikleri dikkate alınır.
Yargıtay, bilişim sistemleri aracılığıyla işlenen suçlarda, suçun icra hareketlerinin gerçekleştiği ve sonucun ortaya çıktığı yerlerin birlikte değerlendirilmesi gerektiğini kabul etmektedir.
XXX. DELİLLER VE İSPAT
Kişisel verilerin hukuka aykırı olarak ele geçirilmesi suçunda deliller çoğunlukla dijital niteliktedir. Bu nedenle dijital delillerin hukuka uygun yöntemlerle elde edilmesi büyük önem taşır.
Sık karşılaşılan deliller şunlardır:
Bilgisayar ve telefon inceleme raporları,
Hard disk ve USB bellek içerikleri,
E-posta kayıtları,
Sunucu log kayıtları,
IP adresi tespitleri,
HTS kayıtları,
Kamera görüntüleri,
Bilirkişi raporları,
Tanık beyanları,
Kurum içi yazışmalar,
Veri tabanı erişim kayıtları,
Sosyal medya paylaşımları.
Özellikle log kayıtları, failin hangi tarihte hangi veriye eriştiğinin belirlenmesinde önemli delillerdendir.
CMK m.134 kapsamında bilişim sistemlerinde arama, kopyalama ve elkoyma işlemleri yapılabilmektedir. Ancak bu işlemlerin hâkim kararı veya gecikmesinde sakınca bulunan hâllerde Cumhuriyet savcısının kararıyla ve kanuni usule uygun şekilde gerçekleştirilmesi gerekir. Hukuka aykırı elde edilen dijital deliller hükme esas alınamaz.
XXXI. BİLİRKİŞİ İNCELEMESİNİN ÖNEMİ
Teknik bilgi gerektiren birçok olayda bilirkişi raporu belirleyici niteliktedir. Özellikle şu hususların tespiti için bilirkişiye başvurulmaktadır:
Verilerin gerçekten kişisel veri niteliğinde olup olmadığı,
Verilerin hangi cihazdan alındığı,
Silinen verilerin geri getirilebilmesi,
Dosyanın hangi tarihte kopyalandığı,
IP adresinin kullanıcıyla eşleştirilmesi,
Sunucu hareketlerinin incelenmesi,
Veri aktarım yönteminin belirlenmesi.
Mahkeme bilirkişi raporuyla bağlı olmamakla birlikte, teknik konularda raporlar çoğu zaman kararın dayanaklarından birini oluşturur.
XXXII. YARGITAY UYGULAMASI
Yargıtay, TCK m.136'nın uygulanmasına ilişkin birçok önemli içtihat geliştirmiştir. Bu kararlar, suçun unsurlarının belirlenmesi ve uygulama birliğinin sağlanması açısından yol göstericidir.
1. Müşteri Bilgilerinin Üçüncü Kişilere Aktarılması
Yargıtay 12. Ceza Dairesi, banka çalışanının müşteri bilgilerini yetkisiz kişilere aktarmasını TCK m.136 kapsamında değerlendirmiş ve kişisel verilerin hukuka aykırı olarak verilmesi suçunun oluştuğunu kabul etmiştir.
Kararda, bankacılık bilgilerinin kişisel veri niteliğinde olduğu ve müşterinin açık rızası bulunmaksızın üçüncü kişilere aktarılmasının suç teşkil ettiği vurgulanmıştır.
2. Hastane Kayıtlarının Paylaşılması
Yargıtay, sağlık bilgilerinin özel nitelikli kişisel veri olduğunu ve sağlık personelinin görev nedeniyle eriştiği kayıtları hukuka aykırı biçimde paylaşmasının TCK m.136 ile birlikte TCK m.137 kapsamında nitelikli hâli oluşturabileceğini kabul etmektedir.
Sağlık verileri, kişinin en mahrem bilgileri arasında yer aldığından bu tür ihlaller daha ağır değerlendirilmektedir.
3. Sosyal Medyada Kimlik Bilgilerinin Yayınlanması
Yargıtay uygulamasında, mağdurun kimlik bilgileri, telefon numarası veya adres bilgilerinin rızası dışında sosyal medya platformlarında paylaşılması hâlinde "yayma" hareketinin gerçekleştiği kabul edilmektedir.
Bu durumda verilerin kısa süre içinde kaldırılmış olması, suçun oluşumunu ortadan kaldırmaz; yalnızca cezanın bireyselleştirilmesi bakımından değerlendirme konusu olabilir.
4. Eski Eşin Telefonundan Veri Kopyalanması
Yargıtay, boşanma sürecindeki eşlerden birinin diğer eşin telefonundan mesajları, fotoğrafları veya rehber bilgilerini izinsiz kopyalaması hâlinde, somut olayın özelliklerine göre TCK m.136'nın yanı sıra haberleşmenin gizliliğini ihlal veya özel hayatın gizliliğini ihlal suçlarının da oluşabileceğini belirtmektedir.
Bu tür olaylarda her suç bakımından ayrı ayrı değerlendirme yapılması gerekir.
5. Çalışanın Şirket Veri Tabanını Kopyalaması
Bir çalışanın işten ayrılmadan önce müşteri listelerini, iletişim bilgilerini veya ticari veri tabanını kişisel cihazına aktarması uygulamada sık karşılaşılan uyuşmazlıklardandır.
Eğer aktarılan bilgiler belirli veya belirlenebilir gerçek kişilere ait kişisel verileri içeriyorsa ve hukuka uygun bir yetkilendirme bulunmuyorsa, TCK m.136 kapsamında ceza sorumluluğu doğabilir. Bunun yanında ticari sırların korunmasına ilişkin hükümler de gündeme gelebilir.
XXXIII. UYGULAMADA EN SIK KARŞILAŞILAN SORUNLAR
TCK m.136'nın uygulanmasında bazı hukuki tartışmalar devam etmektedir.
1. Kişisel Veri Kavramının Genişliği
Kişisel veri tanımının oldukça geniş olması, bazı bilgilerin bu kapsamda değerlendirilip değerlendirilmeyeceği konusunda farklı yorumlara neden olmaktadır.
Örneğin IP adresi, araç plakası veya güvenlik kamerası görüntülerinin her somut olayda kişisel veri sayılıp sayılmayacağı, belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilebilir olup olmadığına göre değerlendirilmektedir.
2. Açık Rızanın Varlığı
Fail, mağdurun rızasının bulunduğunu ileri sürebilir. Ancak açık rızanın özgür iradeyle verilmiş, belirli bir konuya ilişkin ve bilgilendirmeye dayalı olması gerekir. Rızanın kapsamı dışında kalan işlemler hukuka aykırılığı ortadan kaldırmaz.
3. Delillerin Hukuka Uygunluğu
Dijital delillerin hukuka aykırı yöntemlerle elde edilmesi hâlinde, bu deliller CMK m.206 ve m.217 çerçevesinde hükme esas alınamaz. Bu durum, özellikle özel kişiler tarafından yapılan gizli kayıtlar ve yetkisiz veri kopyalamalarında önem taşımaktadır.
4. Birden Fazla Suçun Oluşması
Aynı fiil bazen hem bilişim sistemine girme (TCK m.243), hem sistemi engelleme veya bozma (TCK m.244), hem de kişisel verileri hukuka aykırı ele geçirme (TCK m.136) suçlarını oluşturabilir. Bu durumda fikri içtima veya gerçek içtima hükümleri somut olayın özelliklerine göre uygulanır.
XXXIV. DOKTRİNDEKİ GÖRÜŞLER
Öğretide TCK m.136'nın hukuki niteliği konusunda genel bir görüş birliği bulunmakla birlikte bazı tartışmalar devam etmektedir.
Bir görüşe göre bu suç, özel hayatın gizliliğini koruyan klasik bir mahremiyet suçudur. Diğer görüş ise suçun esasen kişinin kendi verileri üzerindeki kontrol ve tasarruf hakkını koruduğunu savunmaktadır.
Ayrıca, "ele geçirme" kavramının yalnızca fiziksel veya dijital kopyalama ile mi sınırlı olduğu, yoksa veriye geçici erişimin de bu kapsamda değerlendirilip değerlendirilemeyeceği konusunda farklı yaklaşımlar bulunmaktadır. Uygulamada Yargıtay, somut olayın özelliklerine göre failin veri üzerinde hukuka aykırı fiilî hâkimiyet kurup kurmadığını dikkate almaktadır.
V. BÖLÜM
XXXV. GÜNCEL YARGITAY UYGULAMASININ DEĞERLENDİRİLMESİ
5237 sayılı Türk Ceza Kanunu'nun 136. maddesinin uygulanmasına ilişkin Yargıtay kararları incelendiğinde, özellikle dijital teknolojilerin gelişmesiyle birlikte kişisel verilerin korunmasına yönelik yaklaşımın giderek daha koruyucu bir hâl aldığı görülmektedir. Yargıtay, kişisel verilerin korunmasını yalnızca bireyin özel hayatının gizliliği kapsamında değil, aynı zamanda Anayasa'nın 20. maddesi ile güvence altına alınan temel bir hak olarak değerlendirmektedir.
Kararlarda dikkat çeken ortak hususlar şunlardır:
Kişisel veri kavramı geniş yorumlanmaktadır.
Suçun oluşması için mağdurun zarara uğraması aranmamaktadır.
Verilerin kısa süreliğine ele geçirilmesi dahi suçun oluşmasına engel değildir.
Ekonomik kazanç sağlanması suçun unsuru değildir.
Kamu görevlilerinin görev nedeniyle eriştikleri verileri paylaşmaları daha ağır yaptırıma tabi tutulmaktadır.
Dijital deliller ve bilirkişi raporları büyük önem taşımaktadır.
Yargıtay'ın benimsediği bu yaklaşım, kişisel verilerin korunmasına ilişkin uluslararası standartlarla da uyumludur.
XXXVI. ANAYASA MAHKEMESİ KARARLARININ ETKİSİ
Anayasa Mahkemesi bireysel başvuru kararlarında kişisel verilerin korunmasını, özel hayatın korunması hakkının ayrılmaz bir unsuru olarak değerlendirmektedir.
Mahkemeye göre;
Devlet yalnızca kişisel verilere müdahale etmemekle yükümlü değildir.
Aynı zamanda kişisel verileri koruyacak etkili hukuki mekanizmaları oluşturmak zorundadır.
Ceza hukuku yaptırımları da bu koruma sisteminin önemli bir parçasını oluşturmaktadır.
Anayasa Mahkemesi kararlarında özellikle şu ilkeler ön plana çıkmaktadır:
Ölçülülük ilkesi,
Kanunilik ilkesi,
Belirlilik ilkesi,
Hukuki güvenlik ilkesi,
Veri güvenliği yükümlülüğü.
Bu ilkeler, TCK m.136'nın yorumunda da dikkate alınmaktadır.
XXXVII. AVRUPA İNSAN HAKLARI MAHKEMESİ'NİN YAKLAŞIMI
Avrupa İnsan Hakları Mahkemesi (AİHM), Avrupa İnsan Hakları Sözleşmesi'nin 8. maddesi kapsamında kişisel verilerin korunmasını özel hayatın temel unsurlarından biri olarak kabul etmektedir.
Mahkeme kararlarında;
Parmak izi,
DNA kayıtları,
Kamera görüntüleri,
Telefon kayıtları,
Sağlık bilgileri,
Biyometrik veriler,
Konum bilgileri,
kişisel veri olarak değerlendirilmektedir.
AİHM'e göre devletlerin yalnızca veri toplamaları değil, topladıkları verileri koruyamamaları da insan hakları ihlaline yol açabilir.
Bu yaklaşım Türk hukukundaki TCK m.136 uygulamasını da doğrudan etkilemektedir.
XXXVIII. KARŞILAŞTIRMALI HUKUK
A. Almanya
Almanya'da kişisel verilerin korunması hem Federal Veri Koruma Kanunu (Bundesdatenschutzgesetz) hem de Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) çerçevesinde düzenlenmektedir.
Kişisel verilerin hukuka aykırı şekilde elde edilmesi veya açıklanması hâlinde;
idari para cezaları,
hapis cezaları,
tazminat sorumluluğu,
aynı anda uygulanabilmektedir.
Alman hukukunda veri güvenliği yükümlülükleri oldukça ayrıntılı düzenlenmiş olup, veri sorumlularının teknik ve idari tedbirleri alma yükümlülüğü açıkça belirtilmiştir.
B. Fransa
Fransa'da kişisel verilerin korunması uzun yıllardır bağımsız bir kurum olan CNIL (Commission Nationale de l'Informatique et des Libertés) tarafından denetlenmektedir.
Fransız Ceza Kanunu da kişisel verilerin hukuka aykırı şekilde toplanmasını ve paylaşılmasını suç olarak düzenlemektedir.
CNIL'in etkin denetimleri ve yüksek idari yaptırımları, veri ihlallerinin önlenmesinde önemli rol oynamaktadır.
C. Amerika Birleşik Devletleri
ABD'de Avrupa'daki gibi tek bir kapsamlı kişisel veri koruma kanunu bulunmamaktadır.
Bunun yerine;
sağlık verileri,
finansal veriler,
çocuklara ilişkin veriler,
elektronik haberleşme,
gibi alanlara özgü farklı federal ve eyalet düzenlemeleri uygulanmaktadır.
Son yıllarda özellikle Kaliforniya Tüketici Gizliliği Yasası (CCPA) ile kişisel verilerin korunmasına ilişkin daha kapsamlı düzenlemeler yapılmıştır.
XXXIX. TCK m.136'NIN UYGULAMASINA İLİŞKİN DEĞERLENDİRMELER
Teknolojinin gelişmesiyle birlikte kişisel verilerin hukuka aykırı olarak ele geçirilmesi suçu, klasik ceza hukuku suçlarından farklı özellikler göstermektedir.
Günümüzde;
yapay zekâ sistemleri,
büyük veri (Big Data),
bulut bilişim,
sosyal medya platformları,
mobil uygulamalar,
biyometrik doğrulama sistemleri,
kişisel verilerin çok daha hızlı işlenmesine neden olmaktadır.
Bu durum ceza hukukunun da sürekli güncellenmesini zorunlu hâle getirmektedir.
Özellikle;
veri sızıntıları,
fidye yazılımları,
oltalama (phishing) saldırıları,
yasa dışı veri ticareti,
sahte e-ticaret siteleri,
kişisel verilerin ele geçirilmesinde en sık kullanılan yöntemler arasında yer almaktadır.
XL. ÇÖZÜM ÖNERİLERİ
TCK m.136'nın daha etkin uygulanabilmesi için aşağıdaki öneriler geliştirilebilir:
1. Dijital Delil Kapasitesinin Artırılması
Cumhuriyet savcılıkları ve kolluk birimlerinin dijital delil inceleme kapasitesi güçlendirilmelidir.
2. Bilirkişilik Sisteminin Geliştirilmesi
Bilişim suçları konusunda uzman bilirkişilerin sayısı artırılmalıdır.
3. Kamu Personelinin Eğitimi
Özellikle;
sağlık personeli,
banka çalışanları,
belediye personeli,
noter çalışanları,
avukatlık büroları,
sigorta şirketleri,
kişisel veri güvenliği konusunda düzenli eğitim almalıdır.
4. Kurumsal Denetimlerin Artırılması
Veri sorumluları yalnızca KVKK kapsamında değil, ceza hukuku bakımından da düzenli şekilde denetlenmelidir.
5. Toplumsal Farkındalık
Vatandaşların;
açık rızanın anlamı,
sosyal medya kullanımı,
kişisel veri paylaşımı,
dolandırıcılık yöntemleri,
konularında bilinçlendirilmesi gerekmektedir.
XLI. SONUÇ
Kişisel verilerin korunması, dijital çağın en önemli temel haklarından biri hâline gelmiştir. Günümüzde bireylerin kimlik bilgileri, sağlık kayıtları, finansal verileri, iletişim bilgileri ve biyometrik verileri çok sayıda kamu kurumu ve özel kuruluş tarafından işlenmektedir. Bu durum, kişisel verilerin hukuka aykırı şekilde ele geçirilmesi riskini artırmış ve etkili ceza hukuku düzenlemelerini zorunlu kılmıştır.
5237 sayılı Türk Ceza Kanunu'nun 136. maddesi, kişisel verilerin hukuka aykırı olarak verilmesi, yayılması veya ele geçirilmesini bağımsız bir suç olarak düzenleyerek bireyin bilgi üzerindeki hâkimiyetini koruma altına almıştır. Suçun seçimlik hareketli yapısı, farklı ihlal biçimlerinin tek bir maddede düzenlenmesini sağlamaktadır. Ayrıca nitelikli hâllerin öngörülmesi, özellikle kamu görevlileri ile meslek mensuplarının güven ilişkisini kötüye kullanmalarını daha ağır yaptırıma bağlamaktadır.
6698 sayılı Kişisel Verilerin Korunması Kanunu ile Türk Ceza Kanunu birlikte değerlendirildiğinde, kişisel verilerin korunmasına yönelik idari ve cezai yaptırımların birbirini tamamlayan bir sistem oluşturduğu görülmektedir. Bunun yanında Anayasa'nın 20. maddesi, Avrupa İnsan Hakları Sözleşmesi'nin 8. maddesi ve Avrupa İnsan Hakları Mahkemesi içtihatları, kişisel verilerin korunmasını temel bir insan hakkı olarak kabul ederek bu korumayı uluslararası boyuta taşımaktadır.
Ancak teknolojinin hızlı gelişimi, yapay zekâ uygulamaları, büyük veri analizleri ve sınır ötesi veri aktarımı gibi yeni gelişmeler, mevcut düzenlemelerin sürekli güncellenmesini gerekli kılmaktadır. Bu nedenle yalnızca cezai yaptırımların artırılması yeterli olmayıp, kurumların veri güvenliği kültürünü geliştirmesi, teknik altyapının güçlendirilmesi ve toplumun bilinçlendirilmesi de büyük önem taşımaktadır.
Sonuç olarak, TCK m.136 yalnızca bireyin mahremiyetini koruyan bir ceza normu değil; aynı zamanda hukuk devleti ilkesinin, insan onurunun ve dijital güvenliğin korunmasına hizmet eden temel bir düzenlemedir. Gelecekte gelişen teknolojilere uyum sağlayacak yeni hukuki çözümler geliştirilmesi, kişisel verilerin etkin korunması açısından kaçınılmaz görünmektedir.
KAYNAKÇA
Mevzuat
Türkiye Cumhuriyeti Anayasası.
5237 sayılı Türk Ceza Kanunu.
5271 sayılı Ceza Muhakemesi Kanunu.
6698 sayılı Kişisel Verilerin Korunması Kanunu.
Avrupa İnsan Hakları Sözleşmesi.
Avrupa Konseyi'nin 108 Sayılı Sözleşmesi.
Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR).
Yorumlar