Giriş
Kişisel verilerin hukuka aykırı şekilde paylaşılması, hem özel hayatın gizliliğini ihlal eden bir fiil hem de suç sayılabilen bir davranıştır. Bu metin, kişisel veri paylaşma fiillerinin hangi hukuki düzenlemeler kapsamında değerlendirilebileceğine, hangi cezaların söz konusu olabileceğine ve genel olarak alınabilecek önlemlere dair bilgilendirici bir özet sunar. Hukuki tavsiye niteliği taşımaz.
Kişisel veri paylaşmanın tanımı
Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade eder. Kişisel veri paylaşma; bu verilerin izinsiz olarak başkalarına verilmesi, yayılması ya da erişim sağlanmasıdır. Paylaşma eylemi; yazılı, sözlü, dijital ya da basılı medya aracılığıyla gerçekleşebilir.
Hukuki çerçeve ve cezalar
Kişisel veri paylaşma eylemleri farklı hukuki düzenlemeler kapsamında değerlendirilebilir. Aşağıda Türk Ceza Kanunu (TCK) açısından sık uygulanan hükümler ve idari yaptırımların genel çerçevesi yer almaktadır.
TCK 134 - Özel hayatın gizliliğinin ihlali
Özel hayatın gizliliğini ihlal eden fiiller, TCK kapsamında suç oluşturabilir. Bu kapsama giren ifşa ve yayma durumlarında; mahkeme kararıyla kişilerin özel hayatına ilişkin verilerin hukuka aykırı ifşa edilmesi suç sayılır. Bu tür fiillerde ceza; hapis ve adlî para cezası gibi yaptırımları içerebilir. Ayrıca basın ve yayın yoluyla yayımlanması halinde de benzer yaptırımlar uygulanır.
TCK 136 - Kişisel verileri hukuka aykırı verme veya ele geçirme
TCK hükmüne göre, kişisel verileri hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi cezalandırılır. Bu suçtan dolayı verilebilecek temel ceza aralığı örneğin iki yıldan dört yıla kadar hapis cezasıdır. Kanunda suçun konusu, Ceza Muhakemesi Kanunu hükümlerine göre ortadan kaldırılması veya yok edilmesi gerektiği belirtilen veri olduğunda cezanın artırılması öngörülmüştür.
Artırım ve şikayet şartı
Bazı hallerde; suç konusu verinin niteliği, yayılma biçimi veya ilgili mevzuat gereği cezalar artırılabilir. Ayrıca bazı suçlar şikayete bağlı olabilir; yani mağdurun şikayetinin bulunması ceza takibini başlatmak için şart olabilir. Bu konuda uygulanacak prosedür ve şikayet şartları fiilin niteliğine göre değişebilir.
Kişisel Verilerin Korunması Kanunu (KVKK) ve idari yaptırımlar
Kişisel verilerin hukuka aykırı işlenmesi veya paylaşılması yalnızca ceza hukukunu ilgilendirmez; aynı zamanda KVKK kapsamında idari para cezaları ve uyum yükümlülükleri doğabilir. Veri sorumluları için öngörülen yükümlülüklere uyulmaması halinde Kişisel Verileri Koruma Kurumu tarafından idari para cezası ve diğer idari yaptırımlar uygulanabilir. Bu yaptırımlar, ihlalin niteliğine, etkilenen veri sayısına ve veri sorumlusunun ihmal derecesine göre değişir.
Olası yaptırımlar
- Ceza hukuku kapsamında hapis cezaları (örneğin TCK maddelerine göre yıllarla ifade edilen cezalar).
- Adlî para cezaları (bazı fiillerde ek yaptırım olarak uygulanabilir).
- KVKK uyarınca idari para cezaları ve yaptırımlar (kayıt/ilgililere bildirim yükümlülüğüne uymama, uygun güvenlik önlemleri almama vb.).
- Civil talepler ve tazminat: Mağdurlar özel zararların giderilmesi için tazminat talep edebilir.
- İtibar ve mesleki yaptırımlar: Kurum içi disiplin, mesleki sicil etkileri ve kamu güvenilirliğinin zedelenmesi.
Hangi durumlar daha ağır değerlendirilir?
- Verinin niteliği: Özel nitelikli kişisel veriler (sağlık, cinsel hayat, biyometrik veriler vb.) daha hassas kabul edilir ve cezalar ağırlaşabilir.
- Toplu veya sistematik ifşa: Çok sayıda kişinin verilerinin sistematik şekilde paylaşılması daha ağır yaptırımlar doğurur.
- Yayılma yolu: Verilerin basın-yayın yoluyla ya da geniş kitlelere erişimi olan platformlarda yayımlanması cezanın artırılmasına yol açabilir.
- Verinin yok edilmesi gereken durumda olması: Ceza muhakemesi gereği yok edilmesi gereken veriler söz konusuysa cezalar artırılabilir.
Genel korunma ve önleme önerileri (bilgilendirme amaçlı)
Aşağıdaki maddeler genel bilgi amaçlıdır; somut olaya uygulanması için hukuki değerlendirme gerekebilir.
- Veri minimizasyonu: Gereğinden fazla kişisel veri toplamamak ve paylaşmamak.
- Açık rıza ve hukuki dayanak: Veri paylaşımı gerekiyorsa ilgili kişiden açık rıza alınması veya başka bir hukuki dayanağın/sözleşmenin varlığının sağlanması.
- Güvenlik önlemleri: Teknik ve idari tedbirlerle verilerin yetkisiz erişime karşı korunması.
- İç politika ve eğitim: Kurum içi veri koruma politikalarının oluşturulması ve çalışanların eğitilmesi.
- İhlal durumunda bildirim: KVKK ve ilgili mevzuata göre ihlal bildirimi ve etkilenen kişilere bildirim süreçlerinin işletilmesi.
Soruşturma süreci ve mağdur hakları (genel bilgi)
Şüpheli bir paylaşım tespit edildiğinde mağdur, durumu yetkili makamlara bildirebilir. Soruşturma sırasında delil toplama, erişim kayıtlarının incelenmesi ve ilgili tarafların beyanlarının alınması gibi adımlar işletilir. Mağdurlar ayrıca idari şikâyet yollarını (KVKK başvurusu vb.) kullanabilir ve özel zararlar için tazminat talebinde bulunabilir.
Sonuç
Kişisel verilerin izinsiz paylaşılması hem cezai hem de idari yaptırımlarla sonuçlanabilir. Ceza miktarı ve yaptırım türü, verinin niteliğine, paylaşım biçimine ve hukuka aykırılık derecesine göre değişir. Bu yazı genel bilgi amaçlıdır; özel durumlardaki hukuki değerlendirmeler için yetkili mercilere başvurulması gerekir.