Alenileştirilen kişisel verinin amaç dışı kullanımında ceza uygulanabilir mi?

Anayasa Mahkemesi'nin (AYM) güncel Viennalife Emeklilik ve Hayat A.Ş. kararı (B. No: 2020/32193, 27.01.2026), idari yaptırımların sınırlarını çizen emsal niteliğinde bir karardır.

Mahkeme, kişisel verilerin işlenmesine ilişkin Kanun'da yer almayan "alenileştirme amacı" kavramının esas alınarak yaptırım uygulanmasını, suçta ve cezada kanunilik ilkesiyle bağdaşmayan bir yorum olarak değerlendirmiştir.

Viennalife Emeklilik ve Hayat A.Ş.'nin sigortacılık faaliyetleri kapsamında arama yapması üzerine başlayan hukuki süreç, Kişisel Verileri Koruma Kurulu (Kurul) tarafından uygulanan idari para cezası nedeniyle Anayasa'nın 38. maddesinde yer alan "suçta ve cezada kanunilik ilkesinin" ihlal edildiği iddiasına dayanmaktadır.

Şikayetçi, kişisel verilerinin rızası dışında kullanıldığını iddia ederken; başvurucu şirket, bu bilgileri herkesin erişimine açık olan bir internet sitesinden elde ettiğini ve 6698 sayılı Kanun'un 5. maddesi uyarınca kişinin kendisi tarafından alenileştirilen verilerin açık rıza aranmaksızın işlenebileceğini savunmuştur.

Kurul, söz konusu veriler internet sitesinde bulunsa dahi, şirketin şikayetçiyi mesleki yetkinliği için değil kendi ticari randevu talebiyle aramasını "alenileştirme amacına" aykırı bulmuş ve veri güvenliği yükümlülüğüne aykırılıktan 100.000 TL idari para cezası uygulamıştır. Başvurucunun bu karara itirazı üzerine Sulh Ceza Hakimliği, alt sınırdan uzaklaşma gerekçesi gösterilmediği için cezayı 17.828 TL'ye indirerek yaptırımı onaylamış ve karar kesinleşmiştir.

Konuyu inceleyen Anayasa Mahkemesi (AYM), uygulanan yaptırımın şeklen bir kanuna dayandığını tespit etmekle birlikte, 6698 sayılı Kanun'da verilerin alenileşmesinin ne şekilde gerçekleşeceğine veya "alenileşme amacına" dair açık bir hüküm bulunmadığını vurgulamıştır. Ayrıca, kişisel verilerin alenileştirme amacına aykırı kullanılmasının doğrudan bir yaptırıma bağlanıp bağlanmadığına ilişkin kanuni bir düzenleme de mevcut değildir.

Kararda, yaptırımın doğrudan kanun metnine değil, Kurum tarafından yayımlanan "Uygulama Rehberi"ndeki açıklamalara dayandırıldığı ve böylece kanun hükmünün idare tarafından öngörülemez bir biçimde geniş yorumlandığı ifade edilmiştir. Ek olarak, verilerin ilk paylaşıldığı platformun sorumluluğu veya başvurucunun doğrudan "veri sorumlusu" sıfatını taşıyıp taşımadığı hususunda yeterli hukuki değerlendirme yapılmadığı da AYM tarafından eleştirilmiştir.

Tüm bu değerlendirmeler ışığında AYM, mevzuatta düzenlenmeyen bir kavram olan "alenileştirme amacına aykırı kullanım" üzerinden ceza kesilmesinin Anayasa'nın 38. maddesindeki suçta ve cezada kanunilik ilkesini ihlal ettiğine oybirliğiyle karar vermiştir. İhlalin sonuçlarının ortadan kaldırılması ve yeniden yargılama yapılması amacıyla kararın bir örneğinin ilgili Sulh Ceza Hakimliğine gönderilmesine hükmedilmiştir.

Sonuç olarak; Anayasa Mahkemesi bu kararıyla, idari yaptırımların rehber metinlere dayalı genişletici yorumlarla değil, ancak sınırları net çizilmiş öngörülebilir kanuni düzenlemelerle uygulanabileceğini açıkça ortaya koyarak idari cezalarda kanunilik ilkesinin ihlal edilemeyeceğine hükmetmiştir.

Mahkemeye göre idarenin rehberler, ikincil düzenlemeler veya yorum yoluyla kanunda yer almayan yeni yükümlülükler ve yaptırım sebepleri oluşturması mümkün değildir. Hukuk devletinde bireyler ve şirketler, hangi fiillerin yaptırıma bağlandığını önceden bilebilmeli; ceza tehdidinin sınırları idari yorumlara değil, doğrudan kanuna dayanmalıdır.

Bu karar sadece kişisel verilerin korunması hukukuyla sınırlı kalmayıp, idare hukukunun geneline şamil bir kuralı hatırlatmaktadır. Vergi ve diğer mali nitelikli idari yaptırımlarda da, kanunda açıkça düzenlenmeyen yükümlülüklerin tebliğ, rehber, genelge veya idari yorumlarla genişletilerek ceza uygulanmasına dayanak yapılması hallerinde de aynı sonuç karşımıza çıkabilecek, suçta ve cezada kanunilik, kıyasla yorum yasağı ile hukuki güvenlik ilkeleri bakımından ihlal sonucu doğurabilecektir.