AYM'den KVKK'ya Sınır: Rehber Değil, Kanun Esas

Giriş

Anayasa Mahkemesi (”AYM”), bir sigorta şirketi hakkında Kişisel Verileri Koruma Kurulu (”Kurul”) tarafından uygulanan idari para cezasının Anayasa’nın 38. maddesinde güvence altına alınan suçta ve cezada kanunilik ilkesini ihlal ettiğine oybirliğiyle karar vermiştir. İlgili karar, kapsamı ve işlevi itibarıyla Kurul uygulamaları açısından belirleyici nitelik taşımaktadır.

Karara Konu Olayların Seyri

Karara konu olayda bir şikâyetçi, sigorta şirketinin hizmet sunmak amacıyla kendisini önceden rızası olmaksızın aradığını Kişisel Verileri Koruma Kurumuna bildirmiştir. Şirket, şikâyetçiye ait ad, soyad ve telefon numarasını herkese açık olan “hizmetburada.com” internet sitesinden temin ettiğini, bu nedenle 6698 sayılı Kişisel Verilerin Korunması Kanunu (”KVKK”) madde 5/2(d) uyarınca “ilgili kişinin kendisi tarafından alenileştirilmiş” verisi kapsamında işlem yapabileceğini savunmuştur. Kurul yaptığı incelemede bu savunmayı kabul etmemiş; verilerin “alenileştirme amacı dışında kullanıldığı” gerekçesiyle şirkete 100.000 TL idari para cezası uygulanmasına hükmetmiştir. Yargılama sürecinde bu ceza 17.828 TL’ye düşürülerek kesinleşmiştir ve AYM’ye yapılan bireysel başvuru üzerine AYM Genel Kurulu konuyu esas yönünden incelemiştir.

AYM’nin Hukuki Tespiti 

AYM’nin söz konusu başvuruya ilişkin incelemesinde aşağıdaki belirleyici tespit yapılmıştır:

“Alenileştirme amacı dışında kullanım” kavramı 6698 sayılı KVKK’nın herhangi bir maddesinde tanımlanmamış ya da yapıtırıma bağlanmamıştır. Bu kavrama dayanarak idari para cezası uygulanması, kanun metninde yer almayan bir yümümlülüğün öngörülemez biçimde genişletilmesi anlamına gelir ve Anayasa md. 38’i ihlal eder.”[1]

Bu tespit doğrultusunda AYM’ye göre Anayasa’nın 38. maddesi kapsamında güvence altına alınan kanunilik ilkesi idari kabahatler bakımından da geçerlidir. Kişilerin, eylemlerini gerçekleştirdikleri anda hangi davranışların yaptırım doğuracağını kanun metninden açıkça öngörebilmesi gerekir. İdari rehberlerde veya Kurul kararlarında yer alan yorum ve açıklamalar, bu öngörülebilirlik eşiğini tek başına karşılayamaz.

Veri Sorumlusu Şirketler Açısından Kararın Pratik Etkileri

Söz konusu AYM kararı ile;

• Kurul’un “alenileştirme amacı” doktrinini tek başına ve kanun metnine dayanmaksızın yaptırım gerekçesi olarak kullanamayacağı tescil edilmiştir.
• Sözlük siteleri, sosyal medya, rehber uygulamaları ve benzeri herkese açık kaynaklardan elde edilen verilerin işlenmesi bakımından, ”verinin alenileştirildiği amaç dışında kullanılması” başlığıyla dolaylı biçimde yapıtırım uygulanması AYM denetimine açık hale gelmiştir.
• Kişisel verilerin korunmasına ilişkin mevcut idari para cezası dosyalarında, benzer gerekçeyle uygulanmış yaptırımlar bakımından bu karar güçlü bir savunma dayanağı oluşturmuştur.

Mevzuat Beklentisi

AYM’nin söz konusu kararı doğrultusunda, yasa koyucunun alenileştirme amacı ile bu amacın kapsam ve sınırlarına ilişkin düzenlemeleri kanun düzeyinde açık biçimde kodifiye etmesi beklenmekte olup olası mevzuat değişikliklerinin yakından takip edilmesi önem arz etmektedir. Ayrıca, Kurul’un da bu karar çerçevesinde ilke kararlarını, rehberlerini ve ilgili yönerge metinlerini gözden geçirmesi olasıdır.

Değerlendirmemiz  

Bu karar, şirketler bakımından yürürlükteki KVKK yaptırım rejimini doğrudan değiştirmemekle birlikte, Kurul’un kanuni dayanağı bulunmayan genişletici yorumlar yoluyla yaptırım kapsamını belirleme yetkisine önemli bir sınır çizmektedir. Bu çerçevede aşağıdaki aksiyonların değerlendirilmesini öneriyoruz:

• Kamuya açık kaynaklardan veri elde eden pazarlama, CRM ve operasyon süreçlerinin KVKK’nin 5. maddesi kapsamında yeniden gözden geçirilmesi,
• Devam eden veya kesinleşmemiş Kurul inceleme ve itiraz dosyalarının söz konusu emsal karar ışığında yeniden değerlendirilmesi,
• Kişisel veri işleme envanterinde “alenileştirme” istisnasına dayandırılan hukuki sebeplerin güncellenmesi.

Karar metninin tamamına buradan ulaşabilirsiniz.

Kaynakça

Anayasa Mahkemesi, Başvuru No: 2020/32193, 27/1/2026, § 43-45. (2026, 01 27).