Anayasa Mahkemesi, 16.06.2026 tarihli Resmi Gazete'de yayımlanan 27.01.2026 tarihli ve 2020/32193 başvuru numaralı kararında, Kişisel Verileri Koruma Kurulu'nun ("Kurul") bir veri sorumlusu hakkında kanunda düzenlenmeyen ‘alenileştirme amacı’ kavramına dayanarak uyguladığı idari para cezasının, kabahatler bakımından da uygulabilir suçta ve cezada kanunilik ilkesini ihlal ettiğine karar vermiştir.
Kişisel Verilerin Alenileştirilmesi İddiası ve İdari Para Cezası
Anayasa Mahkemesi'nin kararına konu olay, bir şikâyetçinin, sigortacılık faaliyetleri hakkında bilgi vermek ve randevu talep etmek amacıyla veri sorumlusu tarafından açık rızası olmaksızın telefonla aranması üzerine Kişisel Verileri Koruma Kurumu'na şikâyette bulunmasıyla başlamıştır.
Veri sorumlusu, savunmasında şikâyetçinin ad, soyad ve telefon bilgilerinin bir internet sitesinden temin edildiğini ve bu bilgilerin ilgili sitede halka açık şekilde yer aldığını, dolayısıyla 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun ("KVKK") 5. maddesinin (2) numaralı fıkrasının (d) bendi uyarınca, kişinin kendisi tarafından alenileştirilmiş verilerin açık rıza aranmaksızın işlenebileceğini ileri sürmüştür.
Kurul, yaptığı incelemede, şikâyetçinin bilgilerinin bir dönem söz konusu sitede yer almış olabileceğini kabul etmekle birlikte, veri sorumlusunun bu verileri şikâyetçinin kişinin ilgili sitede verileri alenileştirme amacı çerçevesinde ‘mesleki yetkinliğinden faydalanmak’ için değil, kendi ticari faaliyetlerine ilişkin randevu talebiyle kullandığını tespit etmiştir.
Kurul, bu durumun verilerin alenileştirilme amacına aykırı kullanılması anlamına geldiğini ve dolayısıyla KVKK'nın hukuka uygun işleme nedenlerini düzenleyen 5. maddesi kapsamında değerlendirilemeyeceğini belirterek, veri güvenliğine ilişkin tedbirlerin alınmaması nedeniyle KVKK’nın 12. maddesinin (1) numaralı fıkrasının (a) bendine aykırılık tespit etmiş, veri sorumlusunun kişisel verilerin hukuka aykırı işlenmesini önlemek amacıyla gerekli tedbirleri almadığı gerekçesiyle 100.000 TL tutarında bir idari para cezasına hükmetmiştir.
İdari Para Cezasına İtiraz
Veri sorumlusu, idari para cezasına karşı sulh ceza hakimliği nezdinde itirazda bulunmuş; şikâyetçiye ait bilgilerin herkese açık bir internet sitesinden temin edildiğini ve eylemin KVKK'nın 5. maddesi kapsamında kaldığını, dolayısıyla hukuka aykırı olmadığını ileri sürmüştür. Hâkimlik, idari para cezası belirlenirken alt sınırdan uzaklaşılmasının gerekçelendirilmediğini tespit ederek itirazı tutar yönünden kısmen kabul etse ve cezayı alt sınırdan belirleyerek 17.828 TL'ye indirse de Kurul'un ‘alenileştirme amacına aykırı kullanım’ değerlendirmesini yerinde bularak idari yaptırım kararının usule ve yasaya uygun olduğuna hükmetmiştir.
Anayasa Mahkemesi'nin Kararı ve Değerlendirme
Veri sorumlusu, Anayasa Mahkemesi nezdinde, mevzuatta tanımlanmayan "alenileştirme amacı" kavramına dayanılarak idari para cezası verilmesinin öngörülebilirlik ve hukuki güvenlik ilkelerine aykırı olduğunu, bu nedenle suçta ve cezada kanunilik ilkesinin ihlal edildiğini ileri sürmüştür.
Anayasa Mahkemesi, kararında özetle:
- suçta ve cezada kanunilik ilkesinin, Anayasa'nın 38. maddesinde özel olarak güvence altına alındığını ve bu ilkenin, suçlar kadar katı olmasa da, kabahatler için de ana hatlarıyla geçerli olduğunu,
- bu ilke gereği, kişilerin eylemi işledikleri tarihte öngörebilecekleri bir kanun hükmüyle o eylemin yaptırıma tabi olup olmadığının açıkça belirlenmiş olması gerektiğini,
- KVKK'nın 5. maddesinde, kişisel verinin ilgili kişi tarafından alenileştirilmesi hâlinde açık rıza aranmayacağının düzenlendiğini, ancak Kanun'da alenileşmenin nasıl gerçekleşeceğine, alenileştirme amacına ve bu amaca aykırı kullanımın bir yaptırıma bağlanıp bağlanmadığına ilişkin açık bir düzenleme bulunmadığını,
- ‘alenileştirme amacı’ kavramının yalnızca Kurum'un yayımladığı bir uygulama rehberinde açıklanmaya çalışıldığını; kanun hükmünde yer almayan bu kavrama dayanılarak ceza uygulanmasının, hükmün öngörülemez şekilde geniş yorumlanması anlamına geldiğini ve
- ayrıca idari para cezası hakkındaki kararda veri sorumlusunun ilgili kişi tarafından alenileştirilmiş verilerle ilgili olarak neden veri sorumlusu sayıldığı ve verinin ilk paylaşıldığı sitenin sorumluluğuna ilişkin herhangi bir tartışma yapılmadığını
tespit ederek, Anayasa'nın 38. maddesinin birinci fıkrasında güvence altına alınan suçta ve cezada kanunilik ilkesinin ihlal edildiğine karar vermiştir. Bu sonuca ulaşılması nedeniyle, veri sorumlusunun adil yargılanma hakkı ve mülkiyet hakkı kapsamındaki diğer şikâyetlerinin ayrıca incelenmesine gerek görülmemiştir.
Anayasa Mahkemesi'nin bu kararı, kişisel verilerin korunması hukuku bağlamında veri sorumluları tarafından ‘alenileştirme’ye her durumda ancak ilgili kişinin alenileştirme iradesiyle uyumlu işleme amaçları bakımından dayanılması gerekmekle birlikte, alenileştirilen verilerin bu iradeye uygun olmayan başka amaçlarla işlendiği gerekçesiyle veri sorumlularına idari para cezası uygulanamayacağı anlamına gelmektedir. Karar, kanunda açıkça yer almayan bir yükümlülüğün veya sınırlamanın yönetmelik gibi ikincil düzenlemeler, Kurul kararları veya rehberler yoluyla oluşturularak buna dayanılarak ceza verilemeyeceğini ortaya koymaktadır. Anayasa Mahkemesi’nin de işaret ettiği üzere, idari para cezalarının dayanağı olan yükümlülük ve kavramların kanunda açık, belirli ve öngörülebilir olması gerekmekte; bu nitelikleri taşımayan düzenleme veya yorumlara dayanılarak uygulanan yaptırımlar suçta ve cezada kanunilik ilkesiyle bağdaşmamaktadır.
‘Alenileştirme iradesine uygun olma' şartı, KVKK’da halen yalnızca özel nitelikli kişisel verilerin işlenmesi bakımından açıkça düzenlenmektedir. Nitekim KVKK’nın 6. maddesi, ilgili kişinin kendisi tarafından alenileştirilen özel nitelikli kişisel verilerin ‘alenileştirme iradesine uygun’ olarak işlenebileceğini açıkça öngörürken, 5. maddede özel nitelikli olmayan kişisel veriler bakımından yalnızca ‘ilgili kişinin kendisi tarafından alenileştirilmiş olması’ şartına yer verilmekte ve kişinin iradesine uygun olma koşuluna yer verilmemiştir.
Her ne kadar Kanun’un 4. Maddesi altındaki genel ilkeler esasen tüm kişisel veri işleme faaliyetlerine temel oluşturmalı ve veri sorumluları tarafından ele alınmalı ise de, Anayasa Mahkemesi’nin iptal kararı ile Kanun’da özel nitelikli olmayan kişisel veriler bakımından da 6. maddeye paralel bir değişiklik yapılmadığı sürece, Anayasa Mahkemesi’nin kararı, özel nitelikli olmayan kişisel verilerin alenileştirme amacı dışında işlendiği gerekçesiyle uygulanacak idari para cezaları bakımından halihazırda önemli bir kanunilik engeli yaratmaktadır. Bu durum, özellikle internet siteleri, sosyal medya, kamuya açık siciller veya diğer açık kaynaklardan elde edilen kişisel verilerin farklı amaçlarla işlendiği süreçlerde, yaptırım uygulanabilirliği bakımından önemli bir boşluk ve gerçek kişiler açısından da bir risk yaratmaktadır.
Şüphesiz Kanun’un genel ilkeleri uyarınca veri sorumluları kişisel verilerin işlenmesi faaliyetlerini amaçla bağlantılı, sınırlı ve ölçülü olma ilkeleri uyarınca yürütmelidir. Ancak Anayasa Mahkemesi’nin kararı ışığında, idari yaptırımlara dayanak teşkil eden yükümlülüklerin yine de kanunda açık ve öngörülebilir şekilde düzenlenmesi gerekmektedir. Esasen söz konusu Anayasa Mahkemesi kararı Kanun’un veri işleme şartları ile Kabahatler başlığı altında idari para cezalarını düzenleyen hükümlerinin revize edilmesi ihtiyacını yeniden ortaya koymaktadır.
Katkılarından dolayı Raziye Günen'e teşekkürler.
-----