Kişisel Verilerin Korunması Kanunu Madde 17

1. Maddenin Sistematiği ve Genel Açıklama

Bu madde, kişisel veri koruma hukukunun idari ve hukuksal sınırlarını aşarak doğrudan devletin en sert cezalandırma yetkisini (kamu gücünü) devreye sokan "Cezai Yaptırımlar ve Suçlar Köprüsü" normudur. Yasa koyucu, kişisel verilerin izinsiz işlenmesini, sızdırılmasını veya süresi bittiği halde yok edilmemesini sadece para cezasıyla geçiştirilebilecek basit birer idari kabahat olarak görmemiştir. Madde 17 aracılığıyla, kişisel verilere yönelik ağır ihlaller doğrudan 5237 sayılı Türk Ceza Kanunu (TCK) anlamında hapis cezası gerektiren "Suç" kategorisine sokulmuştur. En kritik anayasal ve usuli kural; veri sorumlusu şirketlere kesilen idari para cezaları (m. 18) ile bu fiilleri işleyen gerçek kişilere (şirket müdürleri, personel vb.) verilen hapis cezalarının birlikte uygulanabilmesidir. Şirket tüzel kişiliği para cezası öderken, eylemi gerçekleştiren çalışan ise ceza mahkemesinde hapis cezasıyla yargılanır.

2. Maddedeki Kavramların Analizi

• TCK m. 135-140 Kapsamındaki Hapis Cezaları (m. 17/1): Kişisel verilere ilişkin TCK'da düzenlenen temel suçlar şunlardır:
  1. Kişisel Verilerin Kaydedilmesi (TCK m. 135): Hukuka aykırı olarak bir gerçek kişinin verilerini kaydeden kişi 1 yıldan 3 yıla kadar hapis cezası ile cezalandırılır. Veri özel nitelikli (sağlık, din vb.) ise ceza yarı oranında artırılır.
  2. Verileri Hukuka Aykırı Olarak Verme veya Ele Geçirme (TCK m. 136): Kişisel verileri hukuka aykırı olarak başkasına yayan, veren veya ele geçiren (çalma, sızdırma) kişi 2 yıldan 4 yıla kadar hapis cezası ile cezalandırılır.
  3. Nitelikli Haller (TCK m. 137): Suçun bir kamu görevlisi tarafından görevinin verdiği yetkiyle veya belli bir mesleğin (hekim, avukat, bankacı, bilgi işlem uzmanı) sağladığı kolaylıktan yararlanılarak işlenmesi durumunda ceza yarı oranında artırılır (örn: TCK 136'dan 6 yıla kadar hapis).
• Verileri Yok Etmeme Suçu (TCK m. 138) (m. 17/2): Kanunun 7. maddesi uyarınca saklama amacı ve yasal süresi biten verileri sisteminden silmeyen veya anonim hale getirmeyen veri sorumluları/yetkilileri 1 yıldan 2 yıla kadar hapis cezası ile cezalandırılır.
• Resen (Kamu Adına) Soruşturma Usulü: TCK'nın 139. maddesi uyarınca; kişisel verilere ilişkin suçlar (TCK m. 135, 136, 138) şikayete tabi değildir. Yani, veri sahibi şikayetinden vazgeçse dahi Cumhuriyet Savcılığı kamu davasını resen yürütür, mahkeme sanığı cezalandırmaya devam eder. Bu durum caydırıcılığı en üst seviyeye taşır.

3. Sistematik İlişkiler

Madde 17; 5237 sayılı Türk Ceza Kanunu'nun "Özel Hayata ve Hayatın Gizli Alanına Karşı Suçlar" başlıklı dokuzuncu bölümüyle (m. 135-140) doğrudan bir bütündür. Kanun içinde m. 7 (silme), m. 12 (veri güvenliği) ve m. 18 (idari cezalar) hükümleriyle doğrudan ilişkilidir.

4. Uygulama: Yargıtay / Bölge Adliye Mahkemesi (BAM) İçtihadı

• Sosyal Medyada İzinsiz Paylaşım Cezaları: Yargıtay 12. Ceza Dairesi'nin yerleşik ve tavizsiz içtihatlarına göre; bir kişinin rızası olmaksızın cep telefonu numarasını, ev adresini veya vesikalık fotoğrafını WhatsApp gruplarında, Facebook veya Instagram platformlarında paylaşmak doğrudan TCK m. 136 kapsamında suçtur ve sanıklara ertelemesiz 2 yıl veya daha fazla hapis cezası verilmektedir.
• Müşteri Verilerini Çalan Personel Davaları: Banka veya e-ticaret çalışanlarının, sistemdeki müşteri portföyünü Excel ile dışarı çıkarıp rakip şirketlere veya dolandırıcılara satması eylemleri, TCK m. 136 ve m. 137/b (mesleğin sağladığı kolaylık) uyarınca 3 yıldan 6 yıla kadar hapis istemiyle yargılanmaktadır.

5. Pratik Örnek Olaylar

Örnek 1 (İşten Ayrılan Personel): Şirket Ş bünyesinde çalışan bilgi işlem uzmanı B, işten kovulmasının intikamını almak amacıyla, şirketin aktif 5.000 müşterisinin ad, soyad ve telefon verilerini kopyalayarak rakip bir firmaya satmıştır. B'nin eylemi TCK m. 136 ve 137/b kapsamında mesleki kolaylıktan yararlanılarak kişisel verileri yayma suçunu oluşturur. B hakkında savcılıkça açılacak kamu davasında 3 yıldan 6 yıla kadar hapis cezası verilir. Şikayetten vazgeçilmesi davayı düşürmez.

Örnek 2 (Silmeme Suçu): Bir GSM operatörü, aboneliğini 2018 yılında kapatan ve tüm borçlarını ödeyen abonesinin banka hesap ve kimlik verilerini 2026 yılında halen aktif olarak veritabanında saklamaktadır. Abonenin başvurusu ve savcılık incelemesinde yasal saklama sürelerinin çoktan aşıldığı tespit edilmiştir. Operatörün bilgi işlem müdürü ve şirket yetkilileri hakkında TCK m. 138 uyarınca 1 yıldan 2 yıla kadar hapis cezası istemiyle kamu davası açılır.

6. Pratik Uygulama Notları

• Personelinize Cezai Sorumluluğu Anlatın: Şirketler, çalışanlarına verdikleri KVKK eğitimlerinde sadece idari para cezalarını değil; verilerin dışarı çıkarılması, izinsiz kopyalanması veya paylaşılması durumunda doğrudan çalışanın şahsının ceza mahkemesinde hapis cezasıyla yargılanacağını ve sabıka kaydı alacağını açıkça ve korkutucu örneklerle anlatmalıdır. Bu durum iç tehditleri (insider threats) önlemede en etkili idari tedbirdir.

7. Eleştirel Değerlendirme

• Sosyal Hayattaki Basit Eylemlerin Kapsam Genişliği Cezası: TCK m. 136'nın "hukuka aykırı olarak kişisel veriyi verme" tanımı o kadar geniştir ki; bir babanın, oğlunun telefon numarasını rızası olmadan bir akrabasına SMS ile yollaması dahi teknik olarak TCK 136 suçunu ve 2 yıl hapis tehdidini doğurur. Yargıtay'ın bu konularda "sosyal yaşamın olağan akışı" ve "hukuka aykırılık bilinci" gibi kavramları esneterek, kötü niyet barındırmayan sıradan insani paylaşımları ceza tehdidinden arındıracak objektif cezai sınırlamalar getirmesi, ceza adaletinin toplum vicdanında zedelenmemesi adına zorunludur.

Metodolojik Not

Bu akademik yorum ve analiz, kişisel veri hukukunun ceza hukuku boyutunu, TCK m. 135-140 arasındaki suçların unsurlarını ve nitelikli hallerini, resen soruşturma rejimini ve verileri silmeme suçunun cezai anatomisini 6698 sayılı Kanun'un 17. maddesi ve ceza hukuku dogmatiği çerçevesinde Av. Fethi Güzel'in tavizsiz ceza hukukçusu kimliğiyle analiz etmektedir.