KVKK Kapsamında Alenileştirilen Kişisel Verilerin İşlenmesine İlişkin İdari Para Cezasının Suçta ve Cezada Kanunilik İlkesi Bakımından Değerlendirilmesi Hakkında Anayasa Mahkemesi’nin 2020/32193 Başvuru Numaralı Kararı Hakkında

I. Giriş

Anayasa Mahkemesi, 16 Haziran 2026 tarihli ve 33282 sayılı Resmî Gazete’de yayımlanan 27.01.2026 tarihli, 2020/32193 başvuru numaralı Viennalife Emeklilik ve Hayat A.Ş. kararında, kişisel verilerin işlenmesi nedeniyle uygulanan idari para cezasının dayandığı yorumun, Anayasa’nın 38. maddesinde güvence altına alınan suçta ve cezada kanunilik ilkesine uygunluğunu incelemiştir. Mahkeme, yaptırımın kanunda açıkça düzenlenmeyen bir ölçüte dayandırılmasının anılan ilkeyi ihlal ettiği sonucuna oybirliğiyle ulaşmıştır.

II. Olayın Özeti

Şikâyetçi A.Y., 24.09.2018 tarihinde sigortacılık faaliyetleri kapsamında randevu talebiyle başvurucu şirket tarafından telefonla arandığını, daha önce şirketle herhangi bir ilişkisi bulunmadığını ve kişisel verilerinin açık rızası olmaksızın temin edilip kullanıldığını ileri sürerek Kişisel Verileri Koruma Kurulu’na (Kurul) şikâyette bulunmuştur.

Başvurucu şirket savunmasında, şikâyetçiye ait ad, soyad ve telefon bilgilerinin teklif araması öncesinde yürütülen araştırmalar sonucunda “hizmetburada.com” adlı internet sitesinden, ilgili bilgilerin halka açık biçimde yer aldığı sırada elde edildiğini; söz konusu verilerin bizzat ilgili kişi tarafından alenileştirildiğini ve bu nedenle işlemenin 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (KVKK) 5. maddesinin ikinci fıkrasının (d) bendi uyarınca açık rıza aranmaksızın hukuka uygun olduğunu belirtmiştir.

Kurul, 07.11.2019 tarihli kararında öncelikle ilgili internet sitesini incelemiş ve bu inceleme sonucunda, sitede yapılan sorgulamada şikâyetçiye ait herhangi bir bilgiye ulaşılamadığını; başvurucu tarafından şikâyetçinin profil sayfasına ilişkin olduğu belirtilerek sunulan ekran görüntüsü sayfasına da erişilemediğini tespit etmiştir. Bu tespit ışığında Kurul, verilerin alenileştirildiği iddiasının ortaya konulamadığı kanaatine varmıştır. Kurul ayrıca, hizmet sağlayıcılar ile hizmet almak isteyen kişileri buluşturan nitelikteki bu platformda yer alan bilgiler bakımından, bir verinin alenileştirilmiş sayılabilmesi için ilgili kişinin bu yönde bir iradesinin bulunması ve verinin alenileştirme amacıyla bağlantılı şekilde kullanılması gerektiğini değerlendirmiş; şikâyetçinin iletişim bilgilerinin pazarlama ve müşteri kazanımı amacıyla kullanılmasının bu amaçla bağdaşmadığı sonucuna ulaşmıştır.

Bu gerekçelerle Kurul, işlemenin KVKK’nın 5. maddesinin ikinci fıkrasının (d) bendi kapsamında değerlendirilemeyeceğini ve başvurucunun aynı Kanun’un 12. maddesinin birinci fıkrasının (a) bendinde öngörülen veri güvenliğine ilişkin yükümlülüğünü yerine getirmediğini tespit ederek, 18. maddenin birinci fıkrasının (b) bendi uyarınca 100.000 TL idari para cezası uygulanmasına karar vermiştir.

Başvurucunun itirazı üzerine İstanbul Anadolu 5. Sulh Ceza Hâkimliği, Kurulun ihlal tespitini hukuka uygun bulmakla birlikte cezanın alt sınırdan uzaklaşılma gerekçesinin gösterilmediğini değerlendirerek itirazı kısmen kabul etmiş ve idari para cezasını 17.828 TL’ye indirmiştir. Bu karara karşı yapılan itiraz İstanbul Anadolu 6. Sulh Ceza Hâkimliği tarafından kesin olarak reddedilmiş; bunun üzerine başvurucu bireysel başvuru yoluna gitmiştir.

III. Başvurucunun İddiaları

Başvurucu, ilgili kişinin kişisel verilerini daha önce herkesin erişimine açık bir internet sitesinde kendisinin alenileştirdiğini ve bu nedenle verilerin KVKK’nın 5. maddesinin ikinci fıkrasının (d) bendi kapsamında işlenmesinin hukuka uygun olduğunu ileri sürmüştür. Başvurucuya göre Kurulun esas aldığı “alenileştirme amacı dışında kullanım” ölçütü Kanun’da düzenlenmemiştir. Kanunda öngörülmeyen bir yükümlülüğün idari yorum yoluyla oluşturulması ve bu yükümlülüğün ihlali gerekçe gösterilerek idari para cezası uygulanması, hukuki güvenlik ve öngörülebilirlik ilkeleriyle bağdaşmamakta olup Anayasa’nın 38. maddesinde güvence altına alınan suçta ve cezada kanunilik ilkesini ihlal etmektedir.

IV. Anayasa Mahkemesinin Değerlendirmesi

Mahkeme öncelikle, suçta ve cezada kanunilik ilkesinin hukuk devletinin kurucu unsurlarından olduğunu ve yerleşik içtihadı uyarınca yalnızca suçlar bakımından değil, kabahatler ve idari yaptırımlar bakımından da geçerli olduğunu vurgulamıştır. Mahkemeye göre bu ilke, şekli anlamda bir kanunun varlığını yeterli görmemekte; yaptırıma esas alınan kuralın erişilebilir, belirli ve öngörülebilir olmasını, bireylerin hangi davranışlarının yaptırıma yol açacağını önceden makul ölçüde öngörebilmelerini zorunlu kılmaktadır. Bu nedenle ceza veya yaptırım doğuran kuralların kıyas yoluyla ya da genişletici yorumla kişi aleyhine uygulanması ilkenin koruma alanıyla bağdaşmaz.

Mahkeme bu çerçevede Avrupa İnsan Hakları Mahkemesi içtihadına atıfta bulunarak, Sözleşme’nin 7. maddesinin de normların yeterli açıklık ve öngörülebilirlikte olmasını güvence altına aldığını belirtmiş; bu kapsamda Başkaya ve Okçuoğlu/Türkiye ile Coëme ve Diğerleri/Belçika kararlarına yer vererek ceza normlarının kıyas yoluyla genişletilmesine ve birey aleyhine yorumlanmasına izin vermeyen yaklaşımı hatırlatmıştır.

Somut olaya gelindiğinde Mahkeme, KVKK’nın 5. maddesinin ikinci fıkrasının (d) bendinde yalnızca “ilgili kişinin kendisi tarafından alenileştirilmiş olması” hâlinin düzenlendiğini; buna karşılık kanun metninde “alenileştirme amacıyla sınırlı kullanım” veya “alenileştirme amacı dışında kullanım” gibi bir kavrama yer verilmediğini tespit etmiştir. Anılan kavrama ilişkin açıklamalar yalnızca Kurul tarafından yayımlanan Uygulama Rehberi’nde bulunmakta olup, bu belge kanun hükmü niteliği taşımamaktadır. Mahkemeye göre Kurul, verilerin alenileştirildiğini kabul etmesine rağmen, alenileştirme amacı dışında kullanıldığı gerekçesiyle yaptırım uygulamış; ancak bu değerlendirme doğrudan kanun metninden çıkarılabilecek açık bir yükümlülüğe dayanmamıştır.

Kararın en dikkat çekici yönlerinden biri, Mahkemenin Kurul kararındaki bir gerekçe eksikliğine açıkça işaret etmesidir. Mahkeme, KVKK m.3/1-(i)’deki veri sorumlusu tanımını hatırlatarak, belirli bir amaçla alenileştirildiği kabul edilen veriler bakımından başvurucunun neden veri sorumlusu sayıldığının yasal dayanağının ve verilerin ilk paylaşıldığı internet sitesinin sorumluluğunun bulunup bulunmadığının ayrıca ve açıkça tartışılmadığını tespit etmiştir

Bu gerekçelerle Mahkeme, kanunda açıkça öngörülmeyen bir yükümlülüğün ihlal edildiği kabul edilerek idari para cezası uygulanmasının, bireylerin ve şirketlerin hangi davranışlarının yaptırıma yol açacağını önceden öngörebilmelerini engellediğini ve bu suretle Anayasa’nın 38. maddesinde güvence altına alınan suçta ve cezada kanunilik ilkesini ihlal ettiğini değerlendirmiştir.

V. Sonuç ve Değerlendirme

Anayasa Mahkemesi, Anayasa’nın 38. maddesinde güvence altına alınan suçta ve cezada kanunilik ilkesinin ihlal edildiğine, ihlalin sonuçlarının ortadan kaldırılması amacıyla yeniden yargılama yapılmak üzere kararın İstanbul Anadolu 5. Sulh Ceza Hâkimliği’ne gönderilmesine ve başvurucu lehine 40.446,90 TL yargılama giderine hükmedilmesine oybirliğiyle karar vermiştir.

Karar, kişisel verilerin korunması alanında uygulanan idari yaptırımların anayasal denetimi bakımından önem taşımaktadır. KVKK’nın 5. maddesinin ikinci fıkrasının (d) bendi, alenileştirmenin ne şekilde gerçekleşeceğini, alenileştirme iradesinin nasıl tespit edileceğini ve amaç dışı kullanımın bir yaptırıma bağlanıp bağlanmadığını kanun düzeyinde düzenlememektedir. Kurulun bu boşluğu Uygulama Rehberi’ndeki yorum yoluyla doldurması ve bu yorumu doğrudan yaptırımın dayanağı hâline getirmesi, Mahkemece kanunilik ilkesinin sınırlarının aşılması olarak değerlendirilmiştir. Bu itibarla kararın esas itibarıyla ortaya koyduğu husus, Kurul yorumunun isabetli olup olmaması değil, uygulanan yaptırımın kanuni temelinin yeterliliğidir.