Kanun’da öngörülen yaptırımlar Suçlar ve Kabahatler olmak üzere iki ayrı başlık altında düzenlenmiştir.

1.KABAHATLER

Kişisel Verileri Koruma Kurulu (“Kurul”) Resmi Gazete ve Kişisel Verileri Koruma Kurumunun (“Kurum”)  internet sitesinde yayımlanmış olan 21.12.2017 tarihli 2017/61 ve 2017/62 sayılı kararları kapsamında Kişisel Verileri Koruma Kanununun (“Kanun”) 15. maddesinin 6. fıkrası uyarınca aldığı ilke kararlarına uymayanlar hakkında cezai işlem uygulanacağı yönünde karar almıştır.

Rehberlik Hizmeti Veren Internet Sitelerinde/Uygulamalarda Kişisel Verilerin Korunması Hakkında İlke Kararının son kısmında bu kararlara uymayanlar hakkında 6698 Sayılı Kişisel Verilerin Korunması Kanunu’nun 18 inci maddesi kapsamında işlem yapılacağına oy birliği ile karar verilmiştir.

Kurul,

• 2017/61 sayılı kararı ile çeşitli uygulamalar, internet siteleri veya sosyal medya hesapları üzerinden kişisel verileri toplayarak bu verilerin paylaşımını sağlayan, isim sorgulandığında telefon numarası bilgisine, telefon numarası sorgulandığında da isim bilgisine erişme ve başkalarının telefon rehberinde nasıl kayıtlı olunduğunu öğrenme gibi konularda hizmet veren uygulama ve internet sitelerinin, Kanun’da ve ilgili mevzuatta dayanağı bulunmaksızın gerçekleştirdiği bu tip veri işleme faaliyetlerinin derhal durdurulmasına,
• 2017/62 sayılı kararında ise; banko, gişe ve masa gibi alanları kullanan kurum ve kuruluşların, aynı anda birbirine yakın konumda hizmet alanların birbirlerine ait kişisel verileri duymasını, görmesini, öğrenmesini veya ele geçirmesini engelleyecek ek güvenlik önlemleri almasına

oybirliği ile karar vermiştir.

6698 Sayılı Kişisel Verilerin Korunması Kanunu’nun 18 inci maddesinde 5.000 Türk Lirasından 1.000.000 Türk lirasına kadar idari para cezası verilebileceği belirtiliyor.

Kabahatler MADDE 18- (1) Bu Kanunun;

a) 10 uncu maddesinde öngörülen aydınlatma yükümlülüğünü yerine getirmeyenler hakkında 5.000 Türk lirasından 100.000 Türk lirasına kadar,

b) 12 nci maddesinde öngörülen veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler hakkında 15.000 Türk lirasından 1.000.000 Türk lirasına kadar,

c) 15 inci maddesi uyarınca Kurul tarafından verilen kararları yerine getirmeyenler hakkında 25.000 Türk lirasından 1.000.000 Türk lirasına kadar,

 ç) 16 ncı maddesinde öngörülen Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırı hareket edenler hakkında 20.000 Türk lirasından 1.000.000 Türk lirasına kadar, İdari para cezası verilir.

(2) Bu maddede öngörülen idari para cezaları veri sorumlusu olan gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanır.

(3) Birinci fıkrada sayılan eylemlerin kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenmesi hâlinde, Kurulun yapacağı bildirim üzerine, ilgili kamu kurum ve kuruluşunda görev yapan memurlar ve diğer kamu görevlileri ile kamu kurumu niteliğindeki meslek kuruluşlarında görev yapanlar hakkında disiplin hükümlerine göre işlem yapılır ve sonucu Kurula bildirilir.

Kanun gerekçesinde yaptırıma karşı idari yargı yoluna gidilebileceği belirtilmiş ise de Kabahatler Kanunu kapsamında Kurul’un vermiş olduğu idarî para cezalarına kararına karşı Sulh Ceza Hâkimliğine, yani adlî yargı yoluna başvurulması gerekecektir. Kanun gerekçesinde, Kurul’un idari para cezalarının miktarına ilişkin karar verirken 5326 sayılı Kabahatler Kanunu düzenlemesine göre hareket edeceği yine Kanun’da kabahatlerle ilgili hüküm bulunmaması halinde de genel kanun niteliğindeki 5326 sayılı Kabahatler Kanununun uygulama yeri bulacağı belirtilmiştir.Kanun’un 15. maddesinde Kurul’un şikayet üzerine veya ihlal iddiasını öğrenmesi durumunda resen,  inceleme yapacağı düzenlenmiştir.

Şikayet süreci, ilgisinin öncelikle Veri Sorumlusuna başvurması ile başlar. Veri Sorumlusu kendisine iletilen talebi 30 gün içinde sonuçlandırmak durumundadır. Başvuru talebine ilişkin kabul veya ret kararı Veri Sorumlusu tarafından ilgilisine yazılı veya elektronik ortamda bildirilir. Başvurunun kabulü halinde talep gereği Veri Sorumlusu tarafından yerine getirilir.

Veri sahibi, başvurusu Veri Sorumlusu tarafından reddedilirse, verilen cevabı yetersiz bulursa Kurul’a kendisine cevap verildiği tarihi takiben 30 gün içinde şikayette bulunmak zorundadır. Veri sahibi kendisine cevap verilmediği takdirde ise  Veri Sorumlusu’na başvuru tarihini takiben 60 gün içinde Kurul’a şikayette bulunmak durumundadır. Bu durumda Kurul, şikayet uyarınca incelemesini yapacaktır. Veri Sorumlusu, Kurul’un inceleme konusu ile ilgili istemiş olduğu belgeleri 15 gün içinde Kurul’a göndermek, talep halinde ise yerinde inceleme yapılmasını sağlamak zorundadır. Yapılan inceleme sonucunda aykırılık tespit edilmesi durumunda bunların giderilmesi için Veri Sorumlusu’na Kurul tarafından süre verilir. Karar gereğinin Veri Sorumlusu tarafından 30 gün içinde yerine getirilmesi zorunludur.

Telafisi güç veya imkansız zararların doğması ve açıkça hukuka aykırılık olması halinde, Kurul, veri işlenmesinin veya verinin yurt dışına aktarılmasını durdurabilecektir.

Yine aynı maddede şikayet üzerine veya resen yapılan inceleme sonucunda, bir ihlalin yaygın olduğunun tespiti halinde yukarıda yer vermiş olduğumuz kararlar gibi ilke kararları alınabileceği düzenlenmiştir.

Yine aynı maddede şikayet üzerine veya resen yapılan inceleme sonucunda, bir ihlalin yaygın olduğunun tespiti halinde yukarıda yer vermiş olduğumuz kararlar gibi ilke kararları alınabileceği düzenlenmiştir.

Kurul tarafından karar verilirken 5326 sayılı Kabahatler Kanunu’nun 17. maddesinin ikinci fıkrasında belirtildiği üzere kabahatin haksızlık içeriği ile failin kusuru ve ekonomik durumunu dikkate alınacağı düzenlenmiştir. İlgili madde gerekçesinde, çok farklı ekonomik güce sahip gerçek veya tüzel kişiler hakkında uygulanacak yaptırımlar bakımından hakkaniyeti sağlamak amacıyla bu şekilde bir düzenleme yapıldığı açıklanmıştır. 

 Kanun düzenlemesi ve gerekçesinde idari para cezasına ilişkin Kabahatler Kanunu’na atıf yapılmaktadır. İdari para cezasına karşı yasal başvuru yolu Kabahatler Kanunu’nun 27. maddesinde düzenlenmiş olup idari para cezası kararına karşı, kararın tebliği veya tefhimi tarihinden itibaren en geç 15 gün içinde yetkili Sulh Ceza Hâkimliğine başvuruda bulunulmalıdır. Başvuru bu süre içinde yapılmaz ise idari yaptırım kararının kesinleşeceği açık olarak düzenlenmiştir. Veri Sorumlusu’nun bizzat kendisi veya vekili aracılığı ile idarî yaptırım kararına ilişkin bilgileri ve bu karara karşı ileri sürülen delilleri içerir dilekçe ile Sulh Ceza Hâkimliğine başvurması gerekmektedir.

Başvurunun İncelenmesi:

Sulh Ceza hâkimliğine yapılan başvurunun usulden kabulü halinde hâkimlik dilekçenin bir örneğini Kurul’a gönderecektir. Kurul başvuru dilekçesinin tebliği tarihinden itibaren en geç 15 gün içinde hâkimliğe cevabını verir. Sulh Ceza Hâkimliği Veri Sorumlusu’na Kurul’un cevap dilekçesinin bir örneğini tebliğ edecektir. Hâkimlik talepte bulunulması üzerine veya resen tarafları çağırarak belirleyeceği gün ve saatte tarafları dinleyebilir. Hâkimlik, ilgilileri dinledikten ve bütün delilleri ortaya koyduktan sonra aleyhinde idari yaptırım kararı verilen ve hazır bulunan taraflara son sözünü sorar ve son kararını hazır bulunan tarafların huzurunda açıklar.

Başvuru Sonucu:

Hâkimlik yargılama sonucunda başvuruyu tamamen red veya kabul edebileceği gibi idari para cezasının miktarında değişiklik yaparak da başvurunun kabulüne karar verebilir. Hâkimliğin kararına karşı Ceza Muhakemesi Kanunu hükümlerine göre itiraz imkânı mevcut olup itirazın kararın tebliğinden itibaren 7 gün içinde yapılması gerekmektedir.

2. Türk Ceza Kanunu Kapsamında Düzenlenmiş Suçlar:

Kanun’un Suçlar başlığı altında 17. maddesinde doğrudan Türk Ceza Kanuna (“TCK”) 135 ila 140. maddelerine atıf yapılmış olup aşağıda yer alan suçları işledikleri sabit olanların, hapis cezasına çarptırılma riskleri vardır:

• Kişisel Verilerin Hukuka Aykırı Olarak Kaydedilmesi: TCK 135. madde kapsamında, hukuka aykırı olarak kişisel verileri kaydeden kimseye 1 yıldan 3 yıla kadar hapis cezası verileceği düzenlenmiştir. Bu kişisel verilerin kişilerin siyasi, felsefi veya dini görüşlerine, ırki kökenlerine; hukuka aykırı olarak ahlaki eğilimlerine, cinsel yaşamlarına, sağlık durumlarına veya sendikal bağlantılarına ilişkin olması durumunda verilecek cezanın yarı oranında artırılacağı ayrıca düzenlenmiştir.
• Kişisel Verilen Hukuka Aykırı Olarak Başkasına Verilmesi, Yayılması Ele Geçirilmesi: TCK 136. madde kapsamında, kişisel verileri, hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişinin, 2 yıldan 4 yıla kadar hapis cezası ile cezalandırılacağı düzenlenmiştir.

Yukarıda yer verilen fiillerin kamu görevlileri tarafından görevin verdiği yetki kötüye kullanılmak suretiyle veya belli bir meslek ve sanatın sağladığı kolaylıktan yararlanılmak suretiyle işlenmesi halinde cezanın yarı oranında artırılacağı düzenlenmiştir.

• Kanuni Sürelerin Geçmiş Olmasına Rağmen Verilerin Yok Edilmemesi: TCK 138. madde kapsamında, kanunların belirlediği sürelerin geçmiş olmasına karşın verileri sistem içinde yok etmekle yükümlü olanlara görevlerini yerine getirmediklerinde 1 yıldan 2 yıla kadar hapis cezası verileceği düzenlenmiştir. Suçun konusunun Ceza Muhakemesi Kanunu (“CMK”) hükümlerine göre ortadan kaldırılması veya yok edilmesi gereken veri olması hâlinde verilecek ceza bir kat artırılacağı ayrıca düzenlenmiştir (Bu hususa örnek olarak Ceza Muhakemesinde Beden Muayenesi, Genetik İncelemeler ve Fizik Kimliğin Tespiti Hakkında Yönetmeliğin 14. maddesinde düzenlenmiş olan bilirkişi tarafından yapılan analizler sonucu elde edilen bulgularla ilgili makama gönderileceği, bulgular üzerinden moleküler genetik analizler için izole edilen DNA örnekleri bilirkişi tarafından rapor hazırlandıktan sonra imha edilmesi gösterilebilir.)

Kanun’un 7. maddesinde kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin yükümlülüklere yer verilmiş ve bu madde kapsamında ayrıca Kişisel Verilerin Silinmesi Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik de yayımlanmıştır. Kanun’un 17. maddesinin 2. fıkrasında doğrudan yukarıdaki düzenlemelere atıf yapılarak kişisel verileri 7. maddeye aykırı olarak silmeyen veya anonim hale getirmeyenlerin TCK 138. madde uyarınca cezalandırılacağı açık olarak düzenlenmiştir.

Yukarıda yer alan suçların soruşturulması ve kovuşturulması şikayete bağlı değildir. Bu nedenle savcılıklarca herhangi bir şikayete tabi olmaksızın resen soruşturma başlatılması her zaman ihtimal dahilindedir.

• Güvenlik Tedbirleri: TCK 140. maddesinde yukarıdaki maddelerde tanımlanan suçların işlenmesi dolayısıyla tüzel kişiler hakkında bunlara özgü güvenlik tedbirlerine hükmolunacağı ayrıca düzenlenmiştir. Güvenlik tedbirleri TCK’nın 60. maddesinde açıklanmış olup; bir kamu kurumunun verdiği izne dayalı olarak faaliyette bulunan tüzel kişi yararına işlenen kasıtlı suçlarda, bu iznin iptaline karar verileceği, yine müsadere hükümlerinin (eşya ve kazanç müsaderesi), özel hukuk tüzel kişileri hakkında da uygulanacağı düzenlenmiştir.

5235 sayılı kanun uyarınca yukarıdaki suçlara ilişkin yargılamalar görevli Asliye Ceza Mahkemelerinde yapılacaktır. Bu suçlar bakımından, TCK ve CMK hükümleri uyarınca cezanın ertelenmesi ve hükmün açıklanmasının geri bırakılmasının uygulanmama ihtimali bulunduğundan,  bu durumda hüküm kesinleştiğinde hapis cezası kaçınılmaz olabilecektir.

Kurul yayınladığı Kanun Uygulamasına ilişkin soru ve cevaplarda; Kurul tarafından yapılan bir inceleme neticesinde suç unsuruna rastlanılması halinde nasıl bir yol izleneceğine cevap vermiştir. Kurul,  bu konuda özel bir düzenleme bulunmadığını, ancak TCK gereğince yetkili makamlara bildirimde bulunulacağını ifade etmiştir. Nitekim yukarıda bahsi geçen 2017/61 numaralı ilke kararında da kişisel verilerin hukuka aykırı olarak elde edilmiş olabileceği de dikkate alınarak, TCK 136. madde uyarınca ilgili internet siteleri/uygulamalar hakkında gerekli hukuki işlemlerin tesisi için konunun Cumhuriyet Savcılığına bildirileceği belirtilmiştir.

Yine Kurul tarafından yayımlanan soru ve cevaplar ’da bir fiil hem kabahat hem de suç oluşturuyorsa sadece suçtan dolayı yaptırım uygulanacağı ifade edilmiştir. Kabahatler Kanunun 15. maddesinde de bir fiil hem kabahat hem de suç olarak tanımlanmışsa sadece suçtan dolayı yaptırım uygulanabileceği düzenlenmiş olduğundan, bu açıdan uygulamanın da kanundan farklı olamayacağı düşünülmektedir.