KİŞİSEL VERİLERİN KORUNMASINA YÖNELİK İDARİ PARA CEZALARININ NİTELİĞİ VE ETKİSİ

Kişisel verilerin korunmasına yönelik etkin bir hukuki mekanizmadan bahsedilebilmesi için geniş çaplı ve çok boyutlu bir yaptırım mekanizmasına ihtiyaç olduğuna kuşku yoktur. Bu yönlü yaptırım sistemi temel hukuki dayanağını Anayasadan almaktadır. Zira Anayasa özel hayatın ve haliyle kişisel verilerin korunması maksadına dair düzenlemeleri benimserken, etkin bir koruma mekanizması benimsenmesini de zorunlu kılmaktadır. Bundan dolayıdır ki kişisel verilere yönelik gerek veri sorumlusunun yetki aşımında bulunması veya yetkisini kötüye kullanması ve gerek üçüncü kişilerin kişisel verilerin gizliliğini ihlale yönelik eylemlere karşı hukuki ve de cezai yaptırımların benimsenmesi son derece doğaldır.

Bu aşamada tartışılması gereken hususların başında yaptırım türlerinin geldiğine kuşku yoktur. Gerek Türk Ceza Kanunu anlamında suç esaslı koruma sisteminin varlığı, gerek tazminat esaslı hukuki anlamda talepte bulunma imkanının varlığından konunun önemine binaen bahsedilmesi gerekli olsa da kişisel verilere yönelik müdahale teşkil eden koruyucu hukuksal yapının yalnızca bu hususlarla sınırlı olmadığını belirtmekte fayda vardır. Gerek konumuz itibariyle etkinliği ve gerek kişisel verilerin süjesine yönelik bir çerçeve çizmesi bakımından idari para cezalarının kapsam ve niteliklerinin belirlenmesi büyük önem taşımaktadır. Zira, idari yaptırım esaslı olarak bakıldığında özel hayat bağlamında kişisel verilerin korunmasına dönük kamusal yaptırım sürecinin tanımlanması ve buna bağlı olarak söz konusu yaptırım şemasının etkinliğinin belirlenmesi son derece önemlidir.

Bundan dolayıdır ki gerek gerçek kişilerin ve gerek tüzel kişi boyutundaki her tür kurum ve kuruluşun kendileri ile ilgili her tür bilgisinin kişisel veri olarak kabul edilmesi ve bunun doğal sonucu olarak söz konusu veriler üzerinde kontrolün sağlanarak, veri sağlayıcının yahut üçüncü kişilerin olası saldırılarına karşı güvence mekanizması kurgulanması zorunludur. Nitekim, bu hususa hizmet etmek üzere; diğer bir deyişle kişi ve kurumların kişisel verilerinden oluşan kişiliklerini koruyabilmelerinin önemli bir yolu kendisini idari para cezalarının varlığı şeklinde göstermektedir.

Nitekim biz de bu aşamada kişisel korunmasına yönelik hukuki çerçeveye ilişkin tespitlerimizi ve tartışmaları, dahası söz konusu verilerin korunması idari para cezalarını inceleme konusu yapmış bulunmaktayız.

I-KİŞİSEL VERİLERİN KORUNMASI ESASININ HUKUKİ DAYANAĞI

A)KİŞİSEL VERİLERİN KORUNMASININ AMAÇ VE ÖNEMİ

Öncelikle belirtmek isteriz ki kişisel verilerin korunmasındaki başlıca amaç, başta özel hayatın gizliliği, kişilerin mahremiyeti olmak üzere kişilerin temel hak ve özgürlükleri korumak şeklinde kendisini gösterir. Bu kapsamda doğaldır ki, söz konusu husus ile ilgili düzenlemeler mutlak surette kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları kapsamak zorundadır.

Kişisel verilerin işlenmesi disiplin altına alınmalıdır. Dolayısıyla, kişisel verilerin sınırsız biçimde ve gelişigüzel toplanmasının, yetkisiz kişilerin erişimine açılmasının, ifşası veya amaç dışı ya da kötüye kullanımı sonucu kişilik haklarının ihlal edilmesinin önüne geçilmesinin önemi her geçen gün artmaktadır. Her ne kadar kişisel veriler ilk insanlardan bu yana var ola gelmişse de, bilişim teknolojilerinin gelişmesi ve internetin yaygınlaşmasıyla kişisel verilerin varlığı ve önemi ortaya çıkan sorunlar nedeniyle daha iyi anlaşılmıştır.[1]

Bu durumun başta gelen sebebi önceden çok az sayıdaki kişi ya da kurumun elinde yazılı halde dosyalanmış olan kişisel veri ve bilgilerin, bilgi teknolojilerinin gelişmesi ile sayısal ortama aktarılması, internetin yaygınlaşması sonucunda da hukuka uygun ya da aykırı olarak ilgili ilgisiz herkesin erişimine açılmış olmasıdır.[2] Kuşkusuz bu duruma yol açan etkenlerden biri de bilgi depolanması hususundaki teknolojik gelişmelerin başında, fiziken çok daha küçük alanlarda çok daha fazla verinin depolanmasına imkan sağlaması da gelmektedir.

Bu esaslar kapsamında kişisel verilerin korunmasındaki amaç ve önemli kişi ve kurumları “kendine özel olan ve gizli kalmasını isteyeceği hayat olaylarını” koruyan bir hakka ulaştırmak ve bu kapsamda üçüncü kişilerin gözetimi ile denetimden uzak bir biçimde, onur ve saygınlık esaslarına uygun bir yaşam sistemi tanımlamak olarak özetlemek mümkündür.[3]

B)KORUNMASI ZORUNLU KİŞİSEL VERİLERİN KAPSAMI VE TESPİTİ

Günümüzdeki güncel gelişmeler karşısında içinde bulunduğumuz dönemi bilgi ve iletişim çağı olarak adlandırmak yerinde olacaktır. Bu kapsamda başta enformasyon teknolojileri ve mikroelektronik alanında yaşanan teknolojik atılımlar, gerek bireysel anlamda gerek kurumsal anlamda insanlığın gündelik yaşam tarzını temelinden değiştirmiştir. Söz konusu değişikliklerde yaşanmakta olan ivme özellikle iletişim olanakları, internet ve cep telefonları sayesinde, eskiyle kıyaslanamayacak ölçüde gelişme göstermiştir. Ancak bu durumun kendi içerisinde sağladığı kolaylıklar dışında ciddi bir takım sakıncalara da neden olduğu inkar edilemez. Bundan dolayıdır ki söz konusu sıçramalar, gerek bilgi dahilinde yahut bilgi dahilinde olmaksızın, sürekli olarak çok yönlü veriler toplanmasına ve bu verilerin işlenip, saklanmasına sebebiyet vermektedir.

Üstelik bu durumun tek sorumlusu, harcama dahil olmak üzere her tür alışkanlık ve tercihler hakkında veri toplayarak profil oluşturan özel kurum ve kuruluşlar değildir. Bunların yanı sıra devlet tarafından da kamu hizmetlerinin gerek daha hızlı ve kaliteli sunulması; gerek yönetim, planlama, suç işlenmesinin önlenmesi ve suçla mücadele gibi amaçlarla, kişisel veriler toplanmakta, depolanıp işlenmekte ve kullanılmaktadır. Dolayısıyla, bir yandan özel kişi ve kuruluşlar, diğer yandan devlet tarafından, sürekli olarak kişisel veri toplama, depolama ve işleme faaliyeti yürütülmekte; ancak bireyler kendileri hakkında kimler tarafından, nasıl bir veri toplama faaliyeti yürütüldüğünü, kendilerine ait kişisel verilerin kimler tarafından kayıt altına alındığını bilmemektedirler.[4]

Bu kapsamda korunmaya değer kişisel veri kavramının kapsamının çok ge iş olduğu gözden uzak tutulmamalıdır. Nitekim, konuya ilişkin ulusal ve uluslararası hukuki metinlerde, genellikle, ifşa edilmesi veya kamuya açıklanması halinde ayrımcılığa, diğer bir deyişle “öteki”leştirilmesine neden olabilecek bilgiler, “hassas veri” olarak nitelendirilmekte, özel ve daha sıkı bir korumaya tabi tutulmaktadır.[5] Bundan dolayıdır ki kişisel verilerin otomatik ya da otomatik olmayan yollarla elde edilmesi, toplanması, kaydedilmesi, depolanması, değiştirilmesi, silinmesi veya yok edilmesi, yeniden düzenlenmesi, açıklanması veya başka bir şekilde elde edilebilir hale getirilmesi, üçüncü kişilere aktarılması, kullanılmasının sınırlanması amacıyla işaretlenmesi, sınıflandırılması veya kullanılmasının engellenmesi yönlü her tür işlem açık ve kesin hukuki kurallara bağlanmalı ve buna uygun disiplinli bir yargısal süreç geliştirilmelidir.[6] Bu gelişmeler, beraberinde onur, mahremiyet, özel hayatın gizliliği gibi temel insan haklarının korunması ihtiyacını zorunlu kılan ve buna uygun olarak, kişisel verilerin işlenmesi ve kullanımının denetlenmesi ve sınırlandırılması gereğini gündeme getiren her hal ve özelliği korunmaya değer kişisel veriler olarak kabulünü beraberinde getirmiştir.

C) KİŞİSEL VERİLERİN KORUNMASINDA CAYDIRICI HUKUKİ ETKİ

Kişisel verilerin korunması anlamında yalnızca sorumluluk kapsamını belirleyen ve kavramsal tanımlamalarla yetinen hukukin anlayışa dayanılarak çözüm bulunamayacağı aşikardır. Nitekim, yasa koyucu da buna uygun hareket etmiş ve aynı bağlamda bir süreç kurgulamak üzere çok boyutlu bir yaptırım süreci öngörerek caydırıcı bir etki tanımlaması getirmek istemiştir. Yine de bu noktada belirtmek gerekir ki caydırıcı bir etki tanımlaması, kişisel verilere yönelik saldırılarla elde edilen her tür kazancın ötesine geçecek bir hukuksal müdahale ile kendisini gösterebilir.

Buna uygun olarak veri sorumlularının yükümlülüklerini ihlâl etmeleri veya yetkilerinin sınırlarını aşmaları durumunda yahut kişisel verilerin üçüncü kişilerce saldırıya maruz bırakılması halinde söz konusu fiiller suç teşkil edeceğinden, gerek doğrudan gerek bilişim teknolojileri yolu ile kişisel verilere yönelik saldırı niteliğinde davranışlar ortaya çıkmış kabul edilir. Bu türlü durumlarda cezai anlamda Türk Ceza Kanunu’nun 135-140. maddeleri uygulanacağına kuşku yoktur. Ancak bu kapsamda öngörülen yükümlülüklere yönelik hukuk düzeninin verdiği tepkinin yalnızca TCK m.135-140 ile sınırlı olmadığını da belirtmek gerekir. Yukarıda belirttiğimiz kanaate uygun olarak zarar görene yönelik müdahale ile elde edilen kazançla orantılı ve hatta bu kazancın ötesine geçmiş bir yaptırım sisteminin tanımlanması zorunludur. Bundan dolayıdır ki kişisel verisinin işlenmesi ile ilgili bir yükümlülüğün ihlâlinden gerek maddi ve gerek manevi düzeyde olsun, zarar gören kişinin, bu zarara sebep olanların hukuki sorumluluğuna başvurabilmesi etkili sonuçlar doğuracak bir hukuki çözüm yolu olarak kabul edilmelidir.

Ancak her iki düzey yaptırım mekanizmasının da caydırıcılığı sağlamak yönünde çok da etkili olduğunu söylemek mümkün değildir. Bundan dolayıdır ki kişisel verilerin ister gerçek kişiler; ister tüzel kişileri tarafından ihlâli halinde, ciddi miktarlar içeren idari para cezaları da öngörülmüştür. Yine de kanaatimizce, özellikle belirtmek gerekir ki söz konusu idari para cezalarının etkinliği ancak hukuki bir yaptırım mekanizması kurgulanması ile bütünlük arz eder.

II- İDARİ PARA CEZALARININ KAVRAMSAL YAPISI VE ETKİNLİĞİ

A)İDARİ PARA CEZALARININ KAVRAMSAL YAPISI

Genel nitelikli bir tanımlama getirmek gerekirse suç karşılığı olarak hükümlüden bir paranın alınmasını ve kanunun gösterdiği yere tevdi edilmesini, ödenmemesi hâlinde kanunun gösterdiği yaptırımlara çevrilmesini belirleyen cezaya, para cezası denilir.[7] Daha geniş bir anlatımla ise para cezası, kanunun suç olarak gösterdiği bir fiili işleyen kişiye uygulanan ve kanunda yazılı sınırlar arasında tayin olunacak ve mahkûm tarafından ödenmemesi hâlinde kanunun gösterdiği diğer müeyyidelere çevrilebilen ve kamu gücüne bir para miktarının ödenmesini emreden bir müeyyide olarak kabul edilmektedir.[8]

Ancak bizim de katılmakta olduğumuz ve gerek kamusal nitelikli ve gerek kamusal vasfı olmayan para cezalarını da içeriğine alması itibariyle en uygun tanım para cezasının, suç teşkil etsin ya da etmesin bir hukuk normunu ihlâl eden kişinin devlete veya kanunda belirtilen başka bir yere, bir zararın tazmini amacını taşımaksızın ödemek zorunda olduğu belirli bir miktar para olarak kabul edilmesi ifadesinde kendisini göstermektedir.[9]

Modern ceza hukuku suç teşkil eden her tür eylem ve söz karşısında iki tür yaptırım esası üzerinde sonuca varmaktadır. Buna göre yaptırımların bir bölümü kişilerin hürriyetinin kısıtlanması şeklinde kendisini gösterirken geri kalan bölümü ise malvarlığı anlamında müdahaleci bir yaklaşım olarak ortaya çıkmaktadır. Para cezalarının, hürriyeti bağlayıcı cezaların etkisini sınırlayıcı bir özellik arz etmekte olduğunu söylemek yanlış olmayacaktır.[10] Diğer bir deyişle para cezaları giderek artan bir şekilde hürriyeti bağlayıcı cezaların yerini almaktadır denebilir. Bununla birlikte para cezalarının yapısının ve etkinliğinin tam anlamı ile anlaşılabilmesi için hukuki niteliğinin de bilinmesi gerektiğine kuşku yoktur. Bu itibarla belirtmek gerekir ki para cezasının tümüyle bir devlet yaptırımı olduğuna kuşku yoktur, kaldı ki hakim tarafından tayin edilen bir miktarı ifade eder ve bu anlamı ile müdahale alanı borçlunun mal varlığı olarak kendisini göstermektedir.[11]

Dolayısıyla para cezalarının hükme bağlanması için mutlaka kamusal bir zarar oluşması beklenmez. Bu noktada önemli olan husus kurala aykırılık karşısında borçlunun mal varlığına yönelik negatif bir müdahale ile bu mal varlığının azaltılması yönlü bir sonucun doğmasının sağlanmasıdır. Para cezası hükümlüyü devlet lehine yükümlülük altına sokan ve teknik anlamıyla ceza niteliğinde olduğu kesin olarak kabul edildiğinden; bu kapsamı ile tüm cezalar için değişmeyen özellik ve şartlar aynı şekil ve ölçüde para cezaları için de geçerli olacaktır.

B) İDARİ PARA CEZALARININ HUKUKİ ETKİNLİĞİ

Kanaatimizce idari para cezalarının hukuki etkinliği, hürriyeti bağlayıcı cezalar ile kıyaslandığında çok daha güçlü bir yapıyı ortaya koymaktadır. İlk olarak belirtmek gerekir ki para cezalarının fiilin ağırlığına ve failin sorumluluk derecesine uygunluk gösterme özelliği vardır. Bu özelliğin doğal sonucu olarak da fiil ne derece ağırlaşırsa ve aynı ölçüde failin fiilin ortaya çıkması anlamında sorumluluğu ne kadar yüksekse para cezaları da buna uygun olarak artmaktadır Yalnızca bu husus bile para cezalarının hukuki anlamda güçlü bir etkiye sahip olduğunu ortaya koymaktadır. Diğer bir deyişle korkutucu etkileri, hürriyeti bağlayıcı cezada ortaya çıkan alışkanlık halinin mevcut olmaması itibariyle çok daha yüksektir. Kaldı ki idari para cezalarının mali zarar niteliğinde etki doğurması da bu anlamda gözden uzak tutulmamalıdır. Bütün bunların yanı sıra toplumsal anlamda ekonomik akışın ve bu akışın içerisinde paranın öneminin giderek artması, gerek gerçek kişilerin ve gerek tüzel kişilerin bu düzeyde bir zarar görmek istememeleri, aksi bir durumun çok boyutlu bir zarara sebebiyet verme ihtimali olduğu da düşünüldüğünde para cezalarının ne denli etkili olduğu daha iyi anlaşılabilecektir.

III- KİŞİSEL VERİLERİN KORUNMASI KAPSAMINDA İDARİ PARA CEZALARI

A-KİŞİSEL VERİLERİN KORUNMASINDA İDARİ PARA CEZALARININ TERCİH EDİLMESİNİN HUKUKSAL NEDENLERİ

Kişisel verilerin korunmasının temel bir hak olduğuna ve bu itibarla herkesin hakkında veri toplanmasından yahut toplanan verilerin yayılmasından kaynaklı olası zararlardan korunması gerektiğine kuşku yoktur. Bu durum yalnızca kişisel verilerin korunmasının koruma hukukunun gereği olmasından değil; söz konusu verilerin korunmasının kişiye sıkı surette bağlı bir hak olmasından da kaynaklanmaktadır. Bundan dolayıdır ki kişisel veriler yalnızca Türk Medeni Kanunu hükümlerince değil aynı zamanda özel kanun niteliğinde olan Kişisel Verilerin Korunması Kanunu gereğince de korunmaktadır.

Kişisel verilerin korunmasına yönelik hakkın kaynağını uluslararası hukukun yanı sıra Anayasadan da aldığı dikkate alındığında kesin bir biçimde görülecektir ki söz konusu hak niteliği itibariyle özel hayatın gizliliğinin korunmasının ayrılmaz bir parçası niteliğindedir. Kişisel verilerin korunması özel hayatın gizliliği ve korunmasıyla doğrudan ilişkili ve bu hakkın parçasıdır.[12] Bu itibarla yukarıda da ifade ettiğimiz üzere kişisel verilere yönelik gerçekleşmiş yahut gerçekleşmesi muhtemel saldırılar karşısında TMK m. 24 ve 25 hükümlerine dayanarak dava yoluyla korunma talep etmenin mümkün olduğuna kuşku yoktur. Ancak dava açmak yönlü koruma tekniğinin etkinliği, hukuk tekniği ve yargılama pratiğinden kaynaklı sorunlar dikkate alındığında çok da üst boyutta görülemez. Bundan dolayıdır ki kişisel verilerin korunması yoluyla kişinin hak ve özgürlükleri korunması anlamında caydırıcı bir etki sağlanması ve dahası söz konusu verilerin aktarımının önüne geçilmesi yönünde güçlü bir engel oluşturulması maksadına hizmet etmek üzere idari para cezaları yönlü yaptırım ön plana çıkmış bulunmaktadır. Kaldı ki haksız ve hukuka aykırı bir biçimde elde edilen kişisel verilerin kara borsada ticaretinin yapılmakta olduğu bilinen bir gerçeklik olduğundan bu yönlü elde edilen kazançların düzeyi de dikkate alınarak daha güçlü bir caydırıcılık arayışına girilmiş ve bunun doğal sonucu olarak da idari para cezaları ön plana çıkmış bulunmaktadır.

Söz konusu idari para cezalarının ihdasındaki temel amaçları şu şekilde sıralamak mümkündür:

Kişisel verilerin rıza dışı ve dahası kötü niyetli bir biçimde el değiştirmesinin önlenmesi
Kişisel verilere yönelik müdahale araçlarını denetlemek ve olası saldırılara karşı caydırıcı bir etki oluşturmak
Güvenlik açıklıklarına karşı korunma sağlanması ve düzenli kontrol sağlanması yönlü işlemlere ilişkin zorlayıcı etki sağlamak
Kişisel verilerin herhangi bir sebeple zarar görmesi durumunda verilerin zarar görmesinden kaynaklı oluşan zarara ilişkin olarak yaptırım teşkil etmek.

B-KİŞİSEL VERİLERİN KORUNMASINA YÖNELİK İDARİ PARA CEZALARININ KAPSAMI VE UYGULANMASI

Genel bir ifade getirmek gerekirse para cezalarının infazının devletin iradesine bağlı olduğunu ve devletin bu cezaları infaz edip etmemekte tek söz sahibi olarak hareket ettiğini söylemek yanıltıcı olmayacaktır. Devlet tarafından para cezaları konulurken, bundan elde edilecek gelir beklentisinin etkisine ve böylece suçlulardan, gelir sağlamak gibi uygunsuz bir durum içine düşülmesi mümkündür. Ancak, söz konusu para cezaları konulurken, devletin bundan elde edilecek gelir beklentisi ile hareket ettiği ve kişisel verilerin gizliliğini ihlal edilmesinden gelir sağlamayı hedeflediği düşünülmemelidir.

Bu itibarla özel kanun niteliğinde olan Kişisel Verilerin Korunması Kanunu uyarınca, söz konusu yasal düzenlemede öngörülen hükümlere aykırılık halinde gerçek veya özel hukuk yahut kamu hukuku tüzel kişisi olması fark etmeksizin veri sorumluları hakkında para cezası uygulanması benimsenmiş bulunmaktadır. Öngörülen para cezalarının hangi ihlaller karşısında düzenlenmiş oldukları hususundaki geniş kapsamlı hukuki anlayış ve kaldı ki cezaların miktarlarının yüksekliği düşünüldüğünde yasa koyucunun caydırıcı bir etki sağlamayı hedeflediği daha açık bir biçimde görülecektir.

Kanunda öngörülen ve karşılığı idari para cezası şeklinde tanımlanmış ihlalleri şu şekilde sıralamak mümkündür:

Kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişinin, ilgili kişilere; veri sorumlusunun ve varsa temsilcisinin kimliği, kişisel verilerin hangi amaçla işleneceği, işlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği, kişisel veri toplamanın yöntemi ve hukuki sebebi konusunda bilgi vermemesi hali,
Kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişinin, ilgili kişilere, kendisiyle ilgili kişisel veri işlenip işlenmediğini öğrenme, kişisel verileri işlenmişse buna ilişkin bilgi talep etme, kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme, kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme haklarına sahip olduğu hususunda bilgi vermemesi hali,
Veri sorumlusunun, kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, kişisel verilere hukuka aykırı olarak erişilmesini önlemek, kişisel verilerin muhafazasını sağlamak amaçlarına uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almaması hali,
Kişisel Verileri Koruma Kurumu dahilinde Kurul tarafından verilen kararların yerine getirilmemesi halinde,
Kişisel verileri işleyen gerçek ve tüzel kişilerin, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmamaları hali,
Veri Sorumluları Siciline kayıt başvurusunun, veri sorumlusu ve varsa temsilcisinin kimlik ve adres bilgileri. kişisel verilerin hangi amaçla işleneceği, veri konusu kişi grubu ve grupları ile bu kişilere ait veri kategorileri hakkındaki açıklamaları, kişisel verilerin aktarılabileceği alıcı veya alıcı grupları, yabancı ülkelere aktarımı öngörülen kişisel verileri, kişisel veri güvenliğine ilişkin alınan tedbirleri, kişisel verilerin işlendikleri amaç için gerekli olan azami süre hususlarını Kişisel Verileri Koruma Kurumu Başkanlığına derhal bildirilmemesi hali.

Görüldüğü üzere kişisel verilerin korunması kapsamındaki olası her tür ihlal haline ilişkin olarak idari para cezaları öngörülmüş bulunmaktadır. Bu açıdan şu hususu özellikle belirtmek gerekmektedir ki Kurul söz konusu cezaların uygulanmasından ve tahsilinden imtina etmemektedir. Bu haliyle gerçek kişi-tüzel kişi ayrımı yapmaksızın ve hatta kamu tüzel kişisi olup olmadığına dahi bakmaksızın yukarıda saymış olduğumuz hükümlere aykırı davranan veri sorumluları, aleyhlerine olmak üzere hem de ciddi anlamda mali külfet içerecek şekilde para cezalarına çarptırılmaktadırlar.

Nitekim Kişisel Verileri Koruma Kurumu kararı ile Facebook aleyhine alınan 11/04/2019 tarih ve 2019/104 sayılı kararı ile veri ihlalinin oluşmaması için Kanunda öngörülen gerekli idari ve teknik tedbirlerin alınmadığı ve böylelikle veri güvenliğine ilişkin yükümlülüklerin yerine getirilmediği gerekçesiyle 1 milyon 150 bin lira; işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir.” hükmü doğrultusunda, veri ihlali nedeniyle gerekli bildirimde bulunulmaması nedeniyle 450 bin lira idari para cezası verilmesi kararlaştırılmıştır.

Bir başka olayda ise çevrimiçi insan kaynakları hizmeti sunan bir şirketin iş başvuru sürecinde işe başvuran kişiye ait başvuru bilgisi ile ad, soyadı ve e-posta adresi bilgileri şirketçe diğer işe başvuranlarla paylaşması üzerine, Kurul tarafından bu paylaşımın herhangi bir hukuki dayanağının bulunmadığı tespit edilmiş, bu durumun veri sorumlusunun kişisel verilerin hukuka aykırı olarak işlenmesini önleme ve kişisel verilere hukuka aykırı olarak erişilmesini önleme yükümlülüklerine aykırı olduğuna karar verilerek veri sorumlusu hakkında 100,000 TL idari para cezasına hükmedilmiştir.

Yukarıda anılan gibi pek çok Kurul kararı bulunmaktadır. Görüldüğü üzere Kişisel Verilerin Korunması Kurumu tarafından karar altına alınan idari para cezalar gerek miktar açısından ve gerek veri sorumlusunun iş organizasyonundaki konumu açısından ciddi etkiler doğuracak niteliktedir. Bundan dolayıdır ki söz konusu ihlal hallerinin veri sorumlularınca hafife alınmaması ve Yasada öngörülmüş hükümlere titizlikle uyulması büyük bir önem taşımaktadır. Aksi bir durumda veri sorumlusu aleyhine mali anlamda yıkıcı etki doğurabilecek para cezaları ile karşı karşıya kalınması muhtemel olmanın ötesine geçmiş ve kesin bir durum olarak kabul edilmiştir. Nitekim, Kurul belirtilen hususlarda son derece disiplinli bir hukuki anlayış benimsemiş bulunmaktadır. Şirket tarafından internet sitesinde profil oluşturma işleminden önce ilgili kişilere onaylatılan açık rıza metninde genel nitelikte, belirsiz ve içerikleri sonradan doldurulabilecek ifadelere yer verilmesinin veri işleme faaliyetinin hukuka ve dürüstlük kuralına uygun olma ilkesine aykırı olduğundan hareketle veri sorumlusu hakkında 50,000 TL idari para cezasına hükmedilmesi yönlü karardan da anlaşılacağı üzere veri sorumlusu ister gerçek kişi, ister tüzel kişi olsun azami özen göstermekle yükümlü olup, bu gibi hususlarda ağır ve yıkıcı etki doğurması kesin olan para cezalarıyla karşılaşmama açısından profesyonel danışmanlık desteği almak gibi yöntemlerle koruyucu bir mekanizma geliştirme gayreti göstermelidir.

SONUÇ

Kişisel verilerin korunması yönlü yaklaşımların gerek bireylerin yaşamındaki etkisi ve gerek teknolojik gelişmelerdeki artış ve bu durumun getirdiği sosyal sonuçlar dikkate alındığında giderek önem kazandığını söylemek yanıltıcı olmayacaktır. Bu anlamı ile kişisel verilerin kapsamının belirlenmesinin ise tek başına yeterli bir çözüm yolu olduğunu kabul etmek mümkün değildir. Nitekim yasa koyucu da bu durumun etkisi ile genel hükümler niteliğinde de olsa tazminat türü koruma mekanizmalarını içerir, Türk Medeni Kanunu esaslı koruma sistemi geliştirmiş bulunmaktadır.

Ancak dava yönlü hukuksal koruma esasının tek başına caydırıcı bir etki doğuracağını belirtmek çok da yerinde olmayacaktır. Bu türlü bir düşüncenin kabulü hukuk pratiğine de uygun düşmez. Nitekim söz konusu hassasiyet yasa koyucunun da dikkatini çekmiş olsa gerektir ki özel kanun düzenlemesine gidilmiş ve bu kapsamda Kişisel Verileri Koruma Kanunu ihdas edilmiştir. Üstelik söz konusu kanunla yalnızca hukuki bir koruma mekanizmasına yer verilmekle yetinilmemiş, Türk Ceza Kanunu düzeyinde atıflar da yapılmıştır. Ancak kanaatimizce bu kapsama erişmiş bir koruma mekanizması belirli bir etkinliği ortaya koysa da yine de yeterli olmayacaktır. Bundan dolayıdır ki aynı özel Kanun, idari para cezası esaslı malvarlıksal bir yaptırım sistemi daha geliştirmiş ve buna uygun olarak sınırlı sayı ilkesine uygun olarak ve ceza kavramının teorik yapısı ile de uyumlu şekilde ihlallerin belirlenmesi ve bunlara karşılık idari para cezalarının tanımlanması yoluna gitmiştir.

Bu açıdan veri sorumlusu düzeyindeki gerçek ve tüzel kişilere büyük bir görev düşmektedir. Zira, ister gerçek kişi; ister tüzel kişi olsun farketmeksizin kanun koyucu çok net bir biçimde aykırılıkları belirlemiş ve bu aykırılıklara karşı oldukça ağır, veri ihlalinden kaynaklı kazancı aşacak düzeyde yüksek idari para cezaları tespit etmiştir. Nitekim yukarıda arz edilen Facebook aleyhine verilen karar kapsamındaki 1.6 milyon TL tutarındaki ceza bile veri sorumlusunun ne denli titiz ve özenli davranması gerektiğini ortaya koymaktadır. Bundan dolayı kanaatimizce bu türlü ağır hukuksal sorunlar ve yüksek idari para cezaları karşısında, veri sorumlularının bir ön kontrol protokolü geliştirmesi ve bu protokol kapsamında gerek hukuki ve gerek teknik çerçeveleri içeren profesyonel danışmanlık hizmeti alması ileride karşılaşılması olası yaptırımların önüne geçilmesi anlamında fayda sağlayacağı gibi telafisiz imkansız boyuta ulaşmış zararların ortaya çıkmasını engellemiş olacaktır.

KAYNAKÇA

Artuk, Mehmet Emin/Gökcen Ahmet/Yenidünya Ahmet Caner, Ceza Hukuku Genel Hükümler II, Yaptırım Hukuku, Ankara 2003.

Çolak Halûk, Güncel Ceza Hukuku ve Yeni Türk Ceza Kanunu, Ankara 2005.

Dağ Güray, Kişisel Verilerin Ceza Muhakemesinde Delil Olarak Kullanılması, İstanbul 2011.

Donay Süheyl, “Genel Olarak Para Cezası (Toplum ve Ceza)”, Değişen Toplum ve Ceza Hukuku Karşısında Türk Ceza Kanunu’nun 50 Yılı ve Geleceği Sempozyumu (22–26 Mart 1976), İstanbul 1977.

Dönmezer Sulhi/ Erman Sahir, Nazarî ve Tatbiki Ceza Hukuku, Genel Kısım, Cilt II, İstanbul 1997.

Dülger Murat Volkan, Kişisel Verilerin Korunması Kanunu ve Türk Ceza Kanunu Bağlamında Kişisel Verilerin Ceza Normlarıyla Korunması, İstanbul Medipol Üniversitesi Hukuk Fakültesi Dergisi 3 (2), Güz 2016.

Dülger Murat Volkan, Bilişim Suçları ve İnternet İletişim Hukuku, 6. Bası, Seçkin Yayıncılık, Ankara, 2015.

Güçlü Akyürek, “Kişisel Veriler ve Özel Hayatın Gizliliği Hakkı”, Suç ve Ceza – Ceza Hukuku Dergisi, Türk Ceza Hukuku Derneği yayını, S.3, Temmuz – Ağustos – Eylül 2011.

Küzeci Elif, Kişisel Verilerin Korunması, Turhan Kitabevi, Ankara 2010.

Önder Ayhan, Ceza Hukuku Genel Hükümler, C. II-III, 2. Baskı, İstanbul 1992, s. 557.

Zeybek Ünsal, Çağrı (2013). Google’ın Yeni Gizlilik Politikası Google Inc. Tarafından 1 Marta 2012 Tarihinde Yayınlanan Politikasının Kişisel Verilerin Korunması ile Uyumluluğu ve Avrupa Birliğinin 95/46/EC Sayılı Veri Koruma Direktifi Açısından Değerlendirilmesi, Hacettepe Üniversitesi Hukuk Fakültesi Dergisi, 3(1), s.102.

[1] Dülger Murat Volkan, Kişisel Verilerin Korunması Kanunu ve Türk Ceza Kanunu Bağlamında Kişisel Verilerin Ceza Normlarıyla Korunması, İstanbul Medipol Üniversitesi Hukuk Fakültesi Dergisi 3 (2), Güz 2016, 102.

[2] Dülger Murat Volkan, Bilişim Suçları ve İnternet İletişim Hukuku, 6. Bası, Seçkin Yayıncılık, Ankara, 2015, s. 632.

[3] Güçlü Akyürek, “Kişisel Veriler ve Özel Hayatın Gizliliği Hakkı”, Suç ve Ceza – Ceza Hukuku Dergisi, Türk Ceza Hukuku Derneği yayını, S.3, Temmuz – Ağustos – Eylül 2011, s. 44.

[4] Dağ Güray, Kişisel Verilerin Ceza Muhakemesinde Delil Olarak Kullanılması, İstanbul 2011, s.4.

[5] Dağ, s.11.

[6] Küzeci Elif, Kişisel Verilerin Korunması, Turhan Kitabevi, Ankara 2010, s.15.

[7] Çolak Halûk, Güncel Ceza Hukuku ve Yeni Türk Ceza Kanunu, Ankara 2005, s. 138..

[8] Dönmezer Sulhi/ Erman Sahir, Nazarî ve Tatbiki Ceza Hukuku, Genel Kısım, Cilt II, İstanbul 1997, s. 674.

[9] Donay Süheyl, “Genel Olarak Para Cezası (Toplum ve Ceza)”, Değişen Toplum ve Ceza Hukuku Karşısında Türk Ceza Kanunu’nun 50 Yılı ve Geleceği Sempozyumu (22–26 Mart 1976), İstanbul 1977, s. 269.

[10] Önder Ayhan, Ceza Hukuku Genel Hükümler, C. II-III, 2. Baskı, İstanbul 1992, s. 557.

[11] Artuk, Mehmet Emin/Gökcen Ahmet/Yenidünya Ahmet Caner, Ceza Hukuku Genel Hükümler II, Yaptırım Hukuku, Ankara 2003, s. 118.

[12] Zeybek Ünsal, Çağrı (2013). Google’ın Yeni Gizlilik Politikası Google Inc. Tarafından 1 Marta 2012 Tarihinde Yayınlanan Politikasının Kişisel Verilerin Korunması ile Uyumluluğu ve Avrupa Birliğinin 95/46/EC Sayılı Veri Koruma Direktifi Açısından Değerlendirilmesi, Hacettepe Üniversitesi Hukuk Fakültesi Dergisi, 3(1), s.102.