Kişisel Verilerin Hukuka Aykırı Kaydedilmesi ve Ele Geçirilmesi Suçları

Kişisel Verilerin Hukuka Aykırı Kaydedilmesi ve Ele Geçirilmesi Suçları başlığında doğru hukuki nitelendirme, ceza hukuku ile özel hukuk sınırının doğru çizilmesini ve dijital/finansal delillerin dikkatle değerlendirilmesini gerektirir. Bu yazı genel hukuki bilgilendirme amacıyla hazırlanmıştır; somut olay ve suç tarihi ayrıca incelenmelidir.

Kişisel veri ceza hukukunda ne anlama gelir?

Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade eder. Ad, telefon, adres ve T.C. kimlik numarası açık örneklerdir; IP adresi, araç plakası, konum, fotoğraf, ses, müşteri işlem geçmişi veya kişinin mesleki bilgileri de koşullarına göre kişisel veri niteliği taşıyabilir. TCK m.135 ve devamı kişisel verilere yönelik bazı hukuka aykırı davranışları suç olarak düzenler.

KVKK’daki idari veri işleme rejimi ile TCK’daki suçlar birbiriyle bağlantılı fakat aynı değildir. Bir şirketin KVKK yükümlülüğüne aykırı hareket etmesi her durumda otomatik olarak TCK suçu oluşturmaz; buna karşılık ceza hukuku unsurları gerçekleşmişse veri koruma idari yaptırımlarından bağımsız ceza sorumluluğu doğabilir. Her iki alanın ayrı şartları incelenmelidir.

Hukuka aykırı veri kaydetme

TCK m.135 kişisel verilerin hukuka aykırı olarak kaydedilmesini suç olarak düzenler. ‘Kaydetme’ verinin kalıcı veya yeniden erişilebilir biçimde bir ortama alınmasını ifade edebilir. Telefon rehberi, excel dosyası, CRM sistemi, gizli liste, fotoğraf arşivi veya bulut hesabı gibi teknik araçların türünden çok veri işlemenin hukuki dayanağı önemlidir.

Her veri kaydı hukuka aykırı değildir. Kanuni yükümlülük, sözleşmenin kurulması veya ifası, açık rıza veya KVKK’daki diğer işleme şartları somut olayda hukuka uygunluk sağlayabilir. Ancak belirli amaç için alınan verinin o amaçla ilgisiz gizli bir dosyada toplanması veya yetkisiz kişi tarafından kişisel çıkar için kaydedilmesi farklı değerlendirilir.

Özel nitelikli kişisel veriler

Sağlık, biyometrik ve diğer özel nitelikli kişisel veriler bireyin temel hakları bakımından daha yoğun koruma gerektirir. KVKK’nın özel nitelikli verilerin işlenmesine ilişkin rejimi 2024’te değiştirildiği için eski kaynaklardaki ‘her durumda açık rıza’ gibi genellemeler güncel değildir. İşleme şartı somut veri kategorisine ve güncel kanuna göre kontrol edilmelidir.

Ceza hukuku bakımından verinin mahrem niteliği eylemin ağırlığını ve özel hayatla ilişkisini artırabilir. Hastanın tanısı, laboratuvar sonucu veya çalışan sağlık raporunun yetkisiz kişilerce ele geçirilmesi yalnız KVKK değil TCK m.136 ve özel hayat hükümleri bakımından da inceleme gerektirebilir.

Verileri hukuka aykırı verme veya yayma

TCK m.136 kişisel verileri hukuka aykırı olarak bir başkasına verme, yayma veya ele geçirme fiillerini düzenler. Bir şirket çalışanının müşteri listesini rakibe göndermesi, hastane personelinin hasta bilgisini üçüncü kişiye aktarması veya özel veri tabanının internet forumunda paylaşılması bu madde kapsamında değerlendirilebilir.

‘Verme’ yalnız internette herkese açık paylaşım değildir; tek bir yetkisiz kişiye aktarma da yeterli olabilir. ‘Yayma’ daha geniş çevreye ulaştırmayı ifade eder. Verinin daha önce başka yerde bulunuyor olması her yeni aktarımı otomatik hukuka uygun hale getirmez. Kaynağın hukuka uygunluğu, paylaşım amacı ve alıcının yetkisi değerlendirilir.

Veriyi ele geçirme

Hukuka aykırı ele geçirme, verinin yetkisiz biçimde kişinin hakimiyet alanına alınmasıdır. Şifre çalmak, çalışan hesabını izinsiz kullanmak, yanlışlıkla gelen veri dosyasını bilerek kopyalamak veya yetkisiz şekilde şirket sisteminden müşteri listesini indirmek somut olayda bu fiili oluşturabilir. Bilgisayar sistemine izinsiz giriş varsa bilişim suçları ayrıca gündeme gelebilir.

Failin veriyi sonradan hiç kullanmamış olması ele geçirme fiilini otomatik ortadan kaldırmaz. Ancak gerçekten yanlışlıkla gelen e-postayı açmadan silmek ile veriyi indirip başka ortama kopyalamak aynı değildir. Kast ve hukuka aykırılık delillerle belirlenir.

Verileri silmeme veya anonimleştirmeme

TCK m.138, kanunların belirlediği süreler geçmiş olmasına rağmen kişisel verileri sistem içinde yok etmekle yükümlü olanların görevlerini yerine getirmemesine ilişkin özel suç düzenlemesi içerir. KVKK’daki silme, yok etme ve anonim hale getirme yükümlülükleriyle bağlantı kurulabilir. Ancak her eski dosyanın bulunması otomatik ceza sorumluluğu anlamına gelmez; saklama yükümlülüğü ve failin hukuki görevi belirlenmelidir.

Vergi, iş, sağlık veya finans mevzuatı belirli belgelerin yıllarca saklanmasını zorunlu tutabilir. Saklama amacı sona erdi diye veri hemen yok edilemeyebilir. Hangi kanuni sürenin uygulandığı, veri sorumlusu politikasının ve periyodik imha süreçlerinin işletilip işletilmediği incelenmelidir.

Çalışanın şirket verisini götürmesi

İşten ayrılan çalışanın müşteri listesi, fiyatlandırma, personel bilgileri veya CRM çıktısını kendi hesabına göndermesi birden fazla hukuk alanını ilgilendirir. İçerikte gerçek kişilere ait veriler varsa TCK m.136 ve KVKK; ticari sır veya haksız rekabet varsa TTK ve diğer hükümler gündeme gelebilir. Yalnız şirket adı ve kamuya açık kurumsal telefonlardan oluşan listenin kişisel veri niteliği farklı olabilir.

Şirket, erişim loglarını, e-posta gönderim kayıtlarını ve yetki matrisini korumalıdır. Çalışanın iş gereği erişim yetkisinin bulunması, veriyi ayrılırken kişisel amaçla kopyalama yetkisi vermez. Yetkinin amacı ve aktarımın zamanı önemlidir.

WhatsApp grupları ve toplu paylaşım

Telefon numaralarının birbirine görünür olduğu bir WhatsApp grubuna kişileri habersiz eklemek KVKK bakımından veri işleme ve paylaşım sorunu doğurabilir. Ceza sorumluluğu için TCK m.136’nın tüm unsurları ayrıca değerlendirilir. İşyerinde grup oluşturma ihtiyacı, çalışanların bilgilendirilmesi ve alternatif iletişim yöntemi olup olmadığı önem taşır.

Toplu e-postada alıcı adreslerini açık CC alanında paylaşmak da üçüncü kişilere veri aktarımı yaratabilir. Her ihlal doğrudan ceza suçu sayılmasa da veri güvenliği açısından BCC, kurumsal platform veya yetkilendirilmiş sistem kullanımı daha güvenli yöntemdir.

Delil olarak kişisel veri kullanmak

Dava veya ceza soruşturmasında delil sunma amacı kişisel veriye sınırsız erişim ve yayma yetkisi vermez. Uyuşmazlıkla ilgili ve gerekli verinin yetkili mahkemeye sunulması ile kişinin bütün telefon arşivinin sosyal medyada paylaşılması aynı değildir. Amaçla sınırlılık ve ölçülülük önemlidir.

Avukatlar da dosyada öğrendikleri kişisel verileri mesleki sır ve veri güvenliği kurallarına uygun korumalıdır. Dilekçelerde uyuşmazlıkla ilgisiz sağlık, adres veya aile bilgilerinin gereksiz yazılması önlenmelidir. Mahkeme dosyasındaki erişim rejimi verinin kamusal hale geldiği anlamına gelmez.

Şikayet ve ispat

Kişisel veri suçlarının soruşturma usulü her zaman mağdurun şikayetine bağlı değildir; ilgili TCK maddesi güncel haliyle kontrol edilmelidir. Mağdur yine de verinin ne zaman, kim tarafından ve nasıl ele geçirildiğini mümkün olduğunca somutlaştırarak savcılığa başvurabilir. Log kayıtları zamanla silinebileceği için erken koruma talebi önemlidir.

E-posta başlıkları, erişim logları, IP kayıtları, USB takma kayıtları, bulut paylaşım geçmişi ve kullanıcı yetkileri dijital delil olabilir. Yalnız ekran görüntüsü yerine sistem kayıtlarının adli bilişim yöntemiyle korunması, veri zincirinin güvenilirliğini artırır.

Sonuç

Kişisel veri suçları yalnız ‘gizli bilgi’ kavramına indirgenemez. Kimliği belirlenebilir kişiye ilişkin sıradan görünen bilgiler de kişisel veri olabilir. Hukuka aykırı kaydetme, verme, yayma, ele geçirme ve silmeme farklı TCK hükümlerine tabidir.

KVKK ile ceza hukuku bağlantılı fakat ayrı sorumluluk sistemleridir. Şirketlerde yetki matrisi, log kaydı, amaçla sınırlı veri işleme ve güvenli imha süreçleri hem ihlali önler hem olay çıkarsa delil sağlar. Sağlık ve diğer hassas verilerde güncel 2024 sonrası KVKK rejimi ayrıca kontrol edilmelidir.

Telefon numarası kişisel veri midir?

Belirli veya belirlenebilir gerçek kişiyle ilişkilendirilebilen telefon numarası kişisel veridir. Kurumsal santral numarası ise gerçek kişi bağlantısına göre farklı değerlendirilebilir.

Herkese açık veri tekrar paylaşılabilir mi?

Herkese açık bulunması sınırsız işleme ve yayma yetkisi vermez. Verinin hangi amaçla alenileştirildiği, yeni kullanımın amacı ve hukuki dayanağı değerlendirilmelidir.

Müşteri listesini işten ayrılırken almak suç mu?

Listede gerçek kişilere ait veriler bulunuyor ve çalışan bunu yetkisiz amaçla kopyalayıp kullanıyorsa kişisel veri suçu ve başka ticari sorumluluklar gündeme gelebilir.

Sağlık verisi için her zaman açık rıza gerekir mi?

2024 değişiklikleri sonrası KVKK m.6’da özel nitelikli veri işleme şartları değişti. Açık rıza tek hukuki dayanak değildir; güncel kanundaki diğer işleme şartları somut duruma göre incelenmelidir.

Yanlışlıkla gelen e-postayı açmak suç mu?

Yanlışlıkla ulaşma ile bilerek ele geçirme aynı değildir. Kişinin veriyi fark ettikten sonra kopyalaması, kullanması veya yayması kast ve hukuka aykırılık değerlendirmesini değiştirebilir.

Mahkemeye kişisel veri sunmak suç olur mu?

Uyuşmazlığın çözümü için gerekli ve hukuka uygun şekilde yetkili makama veri sunmak ile ilgisiz veriyi ifşa etmek farklıdır. Amaçla sınırlılık önemlidir.

KVKK para cezası varsa ceza davası da olur mu?

Aynı olay hem KVKK idari yaptırımı hem TCK suçu oluşturabilir; ancak biri diğerini otomatik doğurmaz. Her sorumluluğun unsurları ayrı incelenir.

Çalışanların WhatsApp grubunda numaralarının görünmesi sorun mu?

Kişisel veri paylaşımı söz konusudur. İşleme şartı, bilgilendirme ve daha az müdahaleci alternatif olup olmadığı KVKK bakımından değerlendirilmelidir.

Veri ihlalinde ilk yapılması gereken nedir?

Erişimi durdurmak, logları değiştirmeden korumak, kapsamı belirlemek ve KVKK’daki bildirim yükümlülüklerini değerlendirmek gerekir. Olası suç varsa delil bütünlüğü korunmalıdır.

Kişisel veri suçunda tazminat istenebilir mi?

İhlal maddi veya manevi zarar doğurmuşsa koşullarına göre KVKK ve genel özel hukuk hükümleri kapsamında tazminat talebi gündeme gelebilir.