Anayasa Mahkemesi (“AYM“), 2020/32193 başvuru numaralı ve 27 Ocak 2026 tarihli kararında (“Karar”), 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK“) kapsamında uygulanan bir idari para cezasını Anayasa’nın 38. maddesinde güvence altına alınan suçta ve cezada kanunilik ilkesi çerçevesinde incelemiş ve söz konusu ilkenin ihlal edildiğine karar vermiştir. Karar, 16 Haziran 2026 tarihli Resmî Gazete’de yayımlanmıştır.
Karar, yalnızca somut uyuşmazlık bakımından değil, KVKK kapsamında uygulanan idari yaptırımların hukuki dayanağı, Kişisel Verileri Koruma Kurulu (“Kurul”) kararlarında benimsenen yorum yöntemlerinin sınırları ve Kişisel Verileri Koruma Kurumu (“Kurum“) tarafından yayımlanan rehber dokümanların yaptırım süreçlerindeki rolü bakımından da önem taşımaktadır. AYM özellikle, kanunda açıkça düzenlenmeyen veya kapsamı kanunla belirlenmeyen bir kavrama dayanılarak idari yaptırım uygulanmasının suçta ve cezada kanunilik ilkesi kapsamında değerlendirilmesi gerektiğini ortaya koymuştur.
1. Başvuruya Konu Süreç
Karara konu uyuşmazlık kapsamında yaşanan gelişmeler kronolojik olarak aşağıda özetlenmektedir:
- Şikâyetçi, sigortacılık faaliyetlerine ilişkin bir randevu talebi kapsamında telefonla aranması üzerine, kişisel verilerinin hukuka aykırı şekilde elde edildiği ve kullanıldığı iddiasıyla Kurum’a şikâyette bulunmuştur.
- İnceleme sürecinde başvurucu şirket, şikâyetçiye ait iletişim bilgilerinin ilgili kişi tarafından kamuya açık hâle getirildiğini, bu kapsamda söz konusu verilerin alenileştirilmiş veri niteliğinde olduğunu (KVKK madde 5/2(d)) ve açık rıza aranmaksızın işlenebileceğini ileri sürmüştür.
- Kurul 7 Kasım 2019 tarihli kararıyla yürüttüğü inceleme neticesinde söz konusu platformda şikâyetçiye ait bilgilere ulaşılamamış olmasının yanı sıra bu bilgilerin platformda bir dönem bulunduğu ihtimali kabul edilse bile başvurucunun verileri alenileştirme amacıyla bağdaşmayan bir amaçla, yani şikâyetçinin mesleki yetkinliğinden yararlanmak için değil, kendi ticari faaliyetine yönelik randevu almak amacıyla kullandığı sonucuna varmıştır.
- Kurul, bu değerlendirmesinde Kurum tarafından yayımlanan “Kişisel Verilerin Korunması Kanunu’na İlişkin Uygulama Rehberi’nde” (“Rehber”) yer alan açıklamalara dayanmış ve başvurucunun KVKK madde 12/1(a)’da düzenlenen veri güvenliğine ilişkin yükümlülüklerini ihlal ettiği sonucuna ulaşarak KVKK madde 18/1(b) kapsamında idari para cezası uygulanmasına karar vermiştir.
- İstanbul Anadolu 5. Sulh Ceza Hâkimliği, yaptırımın hukuka uygun olduğu sonucuna varmakla birlikte alt sınırdan uzaklaşılmasına ilişkin gerekçenin yeterince ortaya konulmaması nedeniyle ceza miktarında indirime gitmiştir. Taraflarca yapılan itirazlar reddedilerek karar kesinleşmiştir.
- Başvurucu bunun üzerine, KVKK’da yer almayan “alenileştirme amacı” kavramına dayanılarak idari yaptırım uygulanmasının hukuki güvenlik ve öngörülebilirlik ilkeleriyle bağdaşmadığını ileri sürerek bireysel başvuruda bulunmuştur.
2. AYM’nin Değerlendirmesi
AYM, öncelikle suçta ve cezada kanunilik ilkesinin yalnızca ceza hukuku anlamında suçlar bakımından değil, idari yaptırım niteliğindeki kabahatler bakımından da uygulanacağını vurgulamış; kişilerin hangi fiillerinin yaptırıma yol açabileceğini önceden öngörebilmesinin ve yaptırımın dayandığı kuralların yeterli açıklıkta düzenlenmiş olmasının kanunilik ilkesinin temel unsurlarından biri olduğunu hatırlatmıştır.
- AYM, başvurucu hakkında uygulanan yaptırımın şekli anlamda KVKK madde 12 ve madde 18 hükümlerine dayandığını kabul etmekle birlikte, yaptırımın esasını oluşturan yorumun içerik bakımından kanunilik ilkesinin gereklerini karşılayıp karşılamadığını ayrıca incelemiştir.
- KVKK madde 5/2(d)’de yalnızca ilgili kişi tarafından alenileştirilmiş kişisel verilerin işlenebileceğinin düzenlendiği; buna karşılık “alenileştirme amacı” kavramına, bu kavramın kapsamına veya amaca aykırı kullanımın yaptırıma bağlanacağına ilişkin herhangi bir düzenlemenin kanunda yer almadığını tespit edilmiştir.
- AYM, Kurul kararında esas alınan alenileştirme amacına ilişkin açıklamaların yalnızca Rehber’de yer aldığını, rehber niteliğindeki dokümanların ise kanunda bulunmayan yeni yükümlülükler veya yaptırım sebepleri oluşturacak şekilde yorumlanamayacağını belirtmiştir.
- Karar’da, suçta ve cezada kanunilik ilkesinin bir gereği olarak, yaptırıma konu fiillerin ve bunların sonuçlarının kişiler bakımından doğrudan kanun hükmünden anlaşılabilir olması gerektiği vurgulanmıştır.
- AYM ayrıca, somut olayda başvurucunun veri sorumlusu sıfatının kapsamı ile kişisel verilerin ilk olarak yayımlandığı platformun olası sorumluluğuna ilişkin hususların da yaptırım kararında yeterli açıklıkla değerlendirilmediğini belirtmiştir.
- Başvurucu hakkında uygulanan yaptırımın, kanun metninde açıkça yer almayan bir kavram esas alınarak ve kanun hükmünün öngörülebilir sınırları genişletilmek suretiyle tesis edildiği sonucuna ulaşılmıştır.
AYM, açıklanan gerekçeler doğrultusunda Anayasa’nın 38. maddesinde güvence altına alınan suçta ve cezada kanunilik ilkesinin ihlal edildiğine oybirliğiyle karar vermiştir. Ayrıca ihlalin sonuçlarının ortadan kaldırılması amacıyla yeniden yargılama yapılmak üzere dosyanın İstanbul Anadolu 5. Sulh Ceza Hâkimliğine gönderilmesine hükmedilmiştir.
AYM Kararı’nın tam metnine buradan ulaşabilirsiniz.
