Bilişim altyapılarının gündelik hayatın her katmanına yerleşmesi, bireylerin kendilerine ait bilgiler üzerindeki hassasiyetini belirgin biçimde yükseltmiştir. Sosyal ağ uygulamaları, kullanıcıların kimliklerine ilişkin ayrıntıları çevrimiçi ortamda geniş bir kitlenin görüş alanına taşımakta; bu görünürlük, söz konusu bilgilerin hem kolayca elde edilmesine hem de kötü niyetli kişilerce hukuk dışı amaçlarla kullanılmasına zemin hazırlamaktadır.
Hukukumuzda kişisel veri, kimliği belli olan ya da belirlenmesi mümkün bulunan bir gerçek kişiyle bağlantılı her türlü bilgi anlamına gelir. Bu bilgilerin internet ve bilişim sistemleri aracılığıyla izinsiz biçimde depolanması, bir başkasının erişimine sunulması, yaygınlaştırılması ya da hukuka aykırı yollarla elde edilmesi ceza normlarının kapsamındadır. Anılan fiillerden birine muhatap kalan kişinin, olayı Cumhuriyet Başsavcılığı'na veya kolluk birimlerine bildirme imkânı bulunur.
Bireye ait bilgilerin izinsiz işlenmesi, ele geçirilmesi veya üçüncü kişilerle paylaşılması, aynı zamanda anayasal güvence altındaki özel hayatın gizliliğini zedeleyen bir müdahaledir. İnsan onuruna yaraşır bir yaşamın sürdürülebilmesi, temel hak ve hürriyetlerin etkili biçimde korunmasıyla doğrudan bağlantılıdır. Bu gerekçeyle mevzuatta çeşitli düzenlemelere gidilmiş, kişiye ait bilgilerin gizliliğinin muhafazası hedeflenmiştir. Aşağıda, kişisel veri kavramının kapsamı ile bu verilerin hukuka aykırı biçimde kaydedilmesi, elde edilmesi ve yayılması suçlarını ele alıyoruz.
Kişisel Veri Kavramının Kapsamı
6698 sayılı Kişisel Verilerin Korunması Kanunu, kişisel veriyi "Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade eder" biçiminde tarif etmiştir. Tanım oldukça geniştir: bir kişinin ad ve soyadı, doğduğu yer ile tarih, telefon hattı, aracının plakası, sosyal güvenlik ve pasaport numaraları bu kapsamda sayılabilecek başlıca örneklerdir. Aynı şekilde özgeçmiş belgeleri, fotoğraf, ses ve görüntü kayıtları, parmak izi, genetik bilgiler, IP ve elektronik posta adresleri, kullanılan cihazların kimlik bilgileri, kişinin tercihleri ve iletişim kurduğu kişiler de kişisel veri niteliği taşır. Kapsam bununla da sınırlı değildir; herkese açık alanlarda çalışan kameraların kaydettiği görüntüler, dine ve aile yaşamına dair bilgiler, kolluk birimlerinin tuttuğu kayıtlar ve hatta yargılamada delil olarak dosyaya sunulan belgeler dahi bu kategoriye girer.
Türk Ceza Kanunu'ndaki Düzenleme
Kişisel verilerin korunması anayasa düzeyinde tanınmış bir haktır. Korumanın kâğıt üzerinde kalmaması için ceza hukukunun devreye girmesi kaçınılmaz görülmüş; verilerin kaydedilmesi, izinsiz aktarılması ve ele geçirilmesi fiilleri Türk Ceza Kanunu'nun Özel Hayata ve Hayatın Gizli Alanına Karşı Suçlar başlığını taşıyan bölümünde suç olarak tanımlanmıştır. Konunun daha geniş çerçevesi için Özel Hayatın Gizliliğini İhlal başlıklı çalışmamıza bakılabilir.
5237 sayılı Türk Ceza Kanunu m. 135 — Kişisel verilerin kaydedilmesi
"(1) Hukuka aykırı olarak kişisel verileri kaydeden kimseye bir yıldan üç yıla kadar hapis cezası verilir.
(2) Kişisel verinin, kişilerin siyasi, felsefi veya dini görüşlerine, ırki kökenlerine; hukuka aykırı olarak ahlaki eğilimlerine, cinsel yaşamlarına, sağlık durumlarına veya sendikal bağlantılarına ilişkin olması durumunda birinci fıkra uyarınca verilecek ceza yarı oranında artırılır."
5237 sayılı Türk Ceza Kanunu m. 136 — Verileri hukuka aykırı olarak verme veya ele geçirme
"(1) Kişisel verileri, hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi, iki yıldan dört yıla kadar hapis cezası ile cezalandırılır.
(2) (Ek:17/10/2019-7188/17 md.) Suçun konusunun, Ceza Muhakemesi Kanununun 236 ncı maddesinin beşinci ve altıncı fıkraları uyarınca kayda alınan beyan ve görüntüler olması durumunda verilecek ceza bir kat artırılır."
5237 sayılı Türk Ceza Kanunu m. 137 — Nitelikli haller
"(1) Yukarıdaki maddelerde tanımlanan suçların;
a) Kamu görevlisi tarafından ve görevinin verdiği yetki kötüye kullanılmak suretiyle,
b) Belli bir meslek ve sanatın sağladığı kolaylıktan yararlanmak suretiyle,
İşlenmesi halinde, verilecek ceza yarı oranında artırılır."
Verilerin İzinsiz Depolanması Suçu
TCK m. 135'in madde gerekçesinde, bir gerçek kişiye ait olan her bilginin kişisel veri sayıldığı belirtilmiştir. Bu bilgilerin hukuka aykırı biçimde saklanması ise kaydetme fiilini oluşturur. Verinin sahibinden izin alınmaksızın depolanmış olması tek başına yeterlidir; kaydın sonradan kullanılıp kullanılmadığı sonucu değiştirmez. Başka bir anlatımla saklama işleminden herhangi bir zarar doğmasa dahi, yalnızca bu eylemin gerçekleştirilmesi maddenin uygulanmasına yeter. Kanun koyucu bu fiili işleyen kişi için bir yıldan üç yıla kadar hapis cezası öngörmüştür.
Burada özellikle altını çizmek gerekir ki suçun oluşabilmesi için kayıt işleminin hukuka aykırı biçimde yapılmış olması şarttır. TCK m. 135 bakımından cezalandırılabilir bir eylemden söz edilmesi, verinin saklanmasını meşru kılan bir hukuka uygunluk nedeninin bulunmamasına bağlıdır. Bu nedenler ise "kanunda öngörülen hallerde veya kişinin açık rızası" bulunduğunda gündeme gelir. Söz gelimi bir hakkın kurulması, kullanılması yahut savunulması için veri işlenmesinin zorunlu olduğu hallerde hukuka uygunluk sebebinin varlığından bahsedilebilir.
Verilerin Üçüncü Kişilere Aktarılması, Yayılması ve Ele Geçirilmesi
Kişisel verilerin en yoğun dolaşımda olduğu mecraların başında sosyal medya platformları gelmektedir. Nitekim bu platformlara üye olurken karşılaşılan zorunlu alanlar bölümü, kullanıcıdan çok sayıda kişisel bilginin girilmesini talep eder. Üyelik sırasında verilen bilgiler kadar, hesap açıldıktan sonra kullanıcının kendi iradesiyle yaptığı paylaşımlar da suçun konusu haline gelebilir. Örnek vermek gerekirse, kişinin kendi isteğiyle bildirdiği elektronik posta adresinin ya da kendi paylaştığı bir fotoğrafın rızası dışında saklanması 135. madde kapsamında cezalandırılır.
Verileri bir başkasına veren, yayan ya da ele geçiren fail bakımından öngörülen yaptırım ise iki yıldan dört yıla kadar hapis cezasıdır.
Cezayı Ağırlaştıran Haller
2016 yılında yürürlüğe konulan KVKK, Ceza Kanunu'nda da bazı değişikliklere yol açmış ve 135. maddenin ikinci fıkrasında fiilin işleniş biçimine göre nitelikli hal öngörülmüştür. Buna göre depolanan verinin, ilgilinin ahlaki eğilimlerine, cinsel yaşamına, sağlık durumuna veya sendikal bağlantılarına dair olması halinde ceza yarı oranında artırılır. Aynı ağırlaştırıcı sonuç, verinin kişilerin siyasi, felsefi ya da dini görüşlerine yahut ırki kökenlerine ilişkin bulunduğu durumlarda da doğar.
Kanun'un 137. maddesi ise nitelikli hali failin sıfatı ve eylemi kolaylaştıran koşullar üzerinden düzenler:
- Suçun, sahip olunan bir meslek veya sanatın sağladığı kolaylıktan yararlanılarak işlenmesi durumunda faile verilecek ceza yarı oranında yükseltilir. Bir hemşirenin, tedavi ettiği hastadan öğrendiği bilgileri hastanın izni olmaksızın başkalarına aktarması bu duruma örnek gösterilebilir.
- Fiilin bir kamu görevlisi eliyle ve görevin tanıdığı yetkinin kötüye kullanılması suretiyle gerçekleştirilmesi halinde de ceza yarı oranında artırılır. İfadesini aldığı kişinin verilerini hukuka aykırı biçimde kaydeden ve bunları sosyal mecralarda paylaşan bir polis memuru, bu hükmün tipik muhatabıdır.
Mağdurun Başvurabileceği Yollar
Bu fiiller özel hayata ve hayatın gizli alanına karşı suçlar arasında yer almakla birlikte, takibi şikâyete bağlı suçlardan değildir. Dolayısıyla Cumhuriyet savcısının olaydan haberdar olması, kendiliğinden soruşturma başlatılması için yeterlidir.
Bununla birlikte, anılan suçlardan birinin mağduru konumundaki kişi durumu Cumhuriyet Başsavcılığına yahut kolluğa ihbar veya şikâyet edebilir. Başvurunun yazılı olarak yapılması mümkün olduğu gibi, tutanağa geçirilmek kaydıyla sözlü biçimde iletilmesi de geçerlidir. Konunun usule ilişkin ayrıntıları için Bilişim Suçlarında Şikâyet Nasıl Yapılır? başlıklı çalışmamıza bakılabilir.
Zamanaşımı Süreleri
Verilerin hukuka aykırı olarak kaydedilmesi, ele geçirilmesi veya paylaşılması fiillerinde dava zamanaşımı sekiz yıl, ceza zamanaşımı ise on yıldır. Buna göre suçun işlendiği günden itibaren en geç sekiz yıl içerisinde savcılığa bildirim yapılması veya yargılamanın re'sen başlatılması gerekir; kesinleşmiş cezanın infazına da on yıl içinde girişilmelidir.
Kural bu olmakla birlikte, nitelikli haller süreleri değiştirir. Örneğin verilerin hukuka aykırı biçimde yayılması eylemi bir kamu görevlisi tarafından görevin verdiği yetki kötüye kullanılarak gerçekleştirilmişse dava zamanaşımı on beş yıla çıkar. Aynı ihtimalde kamu görevlisi fail yönünden ceza zamanaşımı süresi ise yirmi yıl olarak belirlenmiştir.
Independent Legal Değerlendirmesi
Kişisel verilere ilişkin ceza soruşturmalarında belirleyici olan husus, çoğu zaman fiilin varlığı değil hukuka aykırılık unsurudur. Uygulamada dosyaların önemli bölümü, verinin açık rıza kapsamında mı yoksa rızanın sınırları aşılarak mı işlendiği tartışmasında düğümlenmektedir. Ayrıca dijital ortamda gerçekleşen ihlallerde delillerin hızla erişilemez hale gelmesi, sürecin başında atılacak adımları kritik kılar.
Somut bir olayda yol haritası belirlenirken şu başlıkların öncelikle ele alınması yerinde olur:
- Söz konusu bilginin gerçekten kişisel veri niteliği taşıyıp taşımadığının tespiti
- Verinin işlenmesini meşru kılabilecek bir kanuni dayanağın veya açık rızanın bulunup bulunmadığının incelenmesi
- Fiilin kaydetme, verme, yayma yahut ele geçirme biçimlerinden hangisine karşılık geldiğinin doğru nitelendirilmesi
- Failin sıfatı ile mesleki konumunun, nitelikli hal ve zamanaşımı süresi bakımından değerlendirilmesi
- İçerik, IP kaydı ve ekran görüntüsü gibi dijital delillerin gecikmeksizin muhafaza altına alınması
- KVKK kapsamındaki idari başvuru yolu ile ceza soruşturmasının birlikte yürütülmesinin planlanması
Independent Legal, bilişim ortamında gerçekleşen kişisel veri ihlallerinde şikâyet başvurusunun hazırlanmasından yargılamanın takibine kadar sürecin bütününde danışmanlık ve dava takibi hizmeti sunmaktadır.