Kişisel veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi kabahati

MEHMET SEMİH ÖZTEKİN

Kişisel veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi kabahati

Tezin Türü: Yüksek Lisans

Tezin Yürütüldüğü Kurum: Galatasaray Üniversitesi, Sosyal Bilimler Enstitüsü, KAMU HUKUKU ANABİLİM DALI, Türkiye

Tezin Onay Tarihi: 2023

Tezin Dili: Türkçe

Öğrenci: MEHMET SEMİH ÖZTEKİN

Danışman: Emine Eylem Aksoy Retornaz

Açık Arşiv Koleksiyonu: AVESİS Açık Erişim Koleksiyonu

Özet:

Bu tez çalışmasının konusu kişisel veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi kabahatidir. Bu kabahat KVKK'nın "Kabahatler başlıklı" 18. maddesinin 1. fıkrasının (b) bendinde düzenlenmiştir. Kabahat kapsamında KVKK'nın 12. maddesinde yer alan veri güvenliğine ilişkin yükümlülüklerini yerine getirmeyen kişiler hakkında idari para cezasına uygulanacağı öngörülmüştür. Maddenin 2. ve 3. fıkrasında ise kabahat kapsamında özel hukuk tüzel kişisi ve gerçek kişi veri sorumlularının yaptırıma tabi oldukları, kamu kurum niteliğindeki meslek kuruluşları ve kamu kurum ve kuruluşları bünyesinde gerçekleşmesi durumunda ise memur yahut görev yapan kişiler hakkında disiplin hükümlerinin uygulanacağı öngörülmüştür. Çalışmamızda veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi kabahati ve bu kapsamda KVKK'nın 12. maddesi düzenlenen yükümlülükler detaylı şekilde ele alınmaktadır. Bu kapsamda çalışma, Kişisel Verilerin Korunması Hukukuna Bakış ve Kişisel Veri Güvenliğine İlişkin Yükümlülüklerin Yerine Getirilmemesi Kabahati başlıklı iki bölümden oluşmaktadır. Kişisel veri güvenliğine ilişkin alınması gereken yükümlülükler, KVKK'nın 12. maddesinde 4 ayrı fıkra olarak düzenlenmiştir. Buna göre kişisel verilerin hukuka aykırı şekilde işlenmesi, kişisel verilere hukuka aykırı şekilde erişilmesi ve kişisel verilerin muhafazası için gerekli güvenlik düzeyini temin etmek amacıyla teknik ve idari tedbirlerin alınması, denetim yükümlülüklerinin yerine getirilmesi, KVKK'ya aykırı kişisel verileri açıklama ve amacı dışında kullanma yasağı ve veri ihlal bildirim yükümlülüğünü yerine getirilmesi veri güvenliğine ilişkin KVKK'da öngörülen yükümlülüklerdir. Bu hükümlere aykırı davranış kabahat olarak düzenlenmiştir. Birinci bölüm kapsamında kişisel verilerin korunması hukukuna ilişkin çeşitli düzenlemeler açıklanmaktadır. Bu konu başlıklarını kabahat ve veri güvenliğine ilişkin yükümlülüklerin anlaşılabilmesi için önem arz ettiğini düşündüğümüz hususlar oluşturmaktadır. Bu kapsamda birinci bölümün ilk kısmında çeşitli kavramlar açıklanmıştır. Kişisel veri, kişisel verilerin işlenmesi, veri sorumlusu ve veri işleyen bu temel kavramları oluşturmaktadır. Bu kavramlar, kabahatin çeşitli öge ve unsurlarını teşkil etmektedir. Ayrıca kişisel verilerin korunması hukukunda yer alan temel ilkeler yine birinci bölüm kapsamında ifade edilmektedir. Kişisel verilerin korunması hukukunun ilkeleri, hukuka ve dürüstlük kurallarına uygun olma, doğru ve gerektiğinde güncel olma, Belirli, açık ve meşru amaçlar için işlenme, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmedir. Bu ilkeler kişisel verilerin korunması hukukunun temel amaçlarını gösterdiği gibi veri sorumlularının KVKK kapsamında yer alan tüm yükümlülüklerinde uyması gereken temel ölçütleri teşkil etmektedir. Kişisel veri güvenliği kavramı çalışmanın merkez kavramını oluşturmaktadır. Kişisel veri güvenliği en genel tanımıyla kişisel verilerin risk ve tehditlere karşı korunmasını ifade etmektedir. Kişisel veri, belirli özellikleri bulunduran bir tür bilgidir. Bu kapsamda kişisel veri güvenliği de bilgi güvenliği ilkeleri ve amaçları doğrultusunda bir anlam kazanmıştır. Bilgi güvenliğinde bilginin gizliliğinin, bütünlüğünün ve bilgiye erişilebilirliğin sağlanması hedeflenmektedir. Bu doğrultuda kişisel veri güvenliği kapsamında da kişisel veriler gizlilik, bütünlük ve erişilebilirlik ilkeleri doğrultusunda korunmalıdır. Bilgi güvenliği doğrultusunda bir içeriğe sahip olan kişisel veri güvenliği kişisel verilerin korunması hukukunun doğduğu günden bu yana kişisel verilerin korunması hukukunun en önemli bileşenlerinden birisi olarak var olagelmiştir. Bu kapsamda Avrupa'da 1970'li yıllardan bu yana kişisel verilerin korunmasına ilişkin hazırlanmış mevzuatlarda kişisel veri güvenliğine ilişkin yükümlülükler yer almıştır. İlk veri koruma yasası olan 1970 yılında çıkarılan Hessen Veri Koruma Yasası'nda kişisel veri güvenliğine ilişkin yükümlülükler mevcuttur. Aynı şekilde 1977 yılında yasalaşan Alman Veri Koruma Yasası ve 1978 yılında yasalaşan Fransız Veri Koruma Yasası da veri güvenliğine ilişkin olarak teknik ve idari tedbirlerin alınmasını bir yükümlülük haline getirmiştir. 108 Sayılı Sözleşme ve Avrupa Veri Koruma Direktifi'nde de bir yükümlülük haline getirilen kişisel veri güvenliği, nihayetinde GDPR ile detaylı bir şekilde düzenlenmiştir. Türk hukukunda ise kişisel veri güvenliğine ilişkin yükümlülükler Avrupa Veri Koruma Direktifi'nden hareketle düzenlenmiştir. Özellikle 2008 yılında kadük kalan kişisel verilerin korunması kanunu tasarısında kişisel veri güvenliği Direktif doğrultusunda oluşmuş bir içeriğe sahip iken KVKK'da Direktif hükümlerinden büyük ölçüde farklılaşma gerçekleşmiştir. Bu durum KVKK'daki mevcut veri güvenliğine ilişkin yükümlülükleri özgün bir haline getirmiş olmasına rağmen aynı zamanda veri güvenliğine ilişkin yükümlülüklerin kendi kavramsal yapısını aşar şekilde bir içerik kazanmasına neden olmuştur. Çalışmanın ikinci bölümünde kişisel veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi kabahati ele alınmaktadır. Bu kapsamda kabahat bakımından korunan hukuki değer, maddi ve manevi unsurlar, hukuka uygunluk sebepleri, kusurluluk, kabahatin özel görünüş biçimleri, yaptırım ve yargılama faaliyetleri açıklanmaktadır. Veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi kabahatinin faili veri sorumlusudur. Bu kapsamda kabahat özgü bir kabahattir. Bununla birlikte tüzel kişilerin veri sorumlusu olması gibi bazı durumlarda ise organ, temsilci ve çalışan da fail olabilecektir. Bu durumda veri sorumlusu organ, temsilci yahut çalışanın hareketi dolayısıyla idari para cezasına tabi tutulmaktadır. Veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi kabahatinin mağdurunu ise ilgili kişi oluşturmaktadır. Kişisel veri, belirli yahut belirlenebilir bir kişi ile ilişkilendirilebilir bir bilgi anlamına gelmektedir. Kişisel verinin ilişkilendirilebilir olduğu bu kişi ilgili kişi olup kabahat kapsamında mağduru teşkil etmektedir. Kabahatin konusu ise KVKK dolayısıyla bir veri kayıt sisteminin parçası haline getirilmek şartıyla otomatik olmayan yahut otomatik yollarla işlenmiş kişisel verilerdir. Yalnızca veri ihlal bildiriminin yerine getirilmemesi hareketinde konu unsurunu veri ihlali olgusuna ilişkin bilgiler teşkil etmektedir. Veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi kabahatinde dört farklı hareket öngörülmüştür. Teknik ve idari tedbirlerin alınmaması, denetim yükümlülüğünün yerine getirilmemesi, kişisel verilerin KVKK'ya aykırı şekilde açıklanması ve amacı dışında kullanılması, veri ihlal bildirimi yükümlülüğünün yerine getirilmemesi kabahatin hareketlerini teşkil etmektedir. Veri ihlal bildirimi yükümlülüğü haricinde düzenlenen hareketler kabahat kapsamında seçimlik hareketlerdir. Veri ihlal bildirimi yükümlülüğünü yerine getirmeme hareketinin konusu diğer hareketlerden farklı olduğu için bu hareket başkaca bir kabahati teşkil etmektedir. Kabahatin teknik ve idari tedbirlerin alınmaması, denetim yükümlülüğünün yerine getirilmemesi hareketleri ihmali şekilde işlenebilmekte olup mütemadi hareket niteliğindedir. KVKK'ya aykırı kişisel verileri açıklama ve amacı dışında kullanma hareketi ise ani hareketli bir kabahat olup ayrıca hareket icrai hareketle işlenebilmektedir. Veri ihlal bildirimi yükümlülüğünün yerine getirilmemesi ise ani hareketli bir kabahat olup ihmali şekilde işlenebilmektedir. Ayrıca kabahatin tüm hareketleri sırf hareket kabahati teşkil etmekte olup bu kapsamda KVKK'da herhangi bir netice öngörülmemiştir. Veri sorumlusunun kişisel verilerin hukuka aykırı işlenmesini önlemek, kişisel verilere hukuka aykırı erişimi önlemek ve kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmek için teknik ve idari tedbirleri alması gerekmektedir. Aksi halde hareket gerçekleşmektedir. Teknik ve idari tedbirlerin alınmaması hareketi aynı zamanda mütemadi nitelikte bir harekettir. Ayrıca Kurul, veri sorumlusu bünyesinde gerçekleşen hukuka aykırı işleme faaliyetlerini kişisel verilerin hukuka aykırı işlenmesini önlemek amacıyla uygun güvenlik düzeyini temin etmek için teknik ve idari tedbirlerin alınmaması hareketi kapsamında değerlendirmektedir. Kurul'un ilgili maddeyi bu şekilde yorumlaması sonucunda veri sorumluları hukuka aykırı kişisel veri işlemeleri halinde teknik ve idari tedbirleri almamaları dolayısıyla idari para cezasına tabi olmaktadır. Bu durum kanunilik ve belirlilik ilkelerine aykırılık teşkil etmektedir. Denetim yükümlülüğünün yerine getirilmemesi hareketi ve KVKK'ya aykırı şekilde kişisel verileri başkasına açıklama ve amacı dışında kullanma hareketleri ise nadiren Kurul'un idari para cezası kararlarının gerekçesini teşkil etmektedir. Bu durumun nedeni her iki hareket bakımından da hareketin gerçekleşmesi halinde Kurul'un ilgili hareketi teknik ve idari tedbirlerin alınmaması kapsamında değerlendirerek idari para cezası vermesidir. Veri ihlal bildiriminin yerine getirilmemesi hareketi ise Kurul kararlarında sıklıkla yaptırım kararının gerekçesini teşkil etmekte olup veri ihlalinin en kısa sürede Kurul'a makul sürede ise ilgilisine bildirim yapılmaması halinde gerçekleşmektedir. En kısa sürede ifadesi Kurul'un bir kararında 72 saat olarak belirlenmiştir. Kabahat kasten işlenebileceği gibi taksirle de işlenebilmektedir. Bu noktada KVKK'da manevi unsur belirlemesi yapılmamıştır. Öte yandan hukuka uygunluk sebepleri çeşitli durumlarda kabahat bakımından söz konusu olabilecektir. Özellikle kanun hükmünün uygulanması ve KVKK'nın 28. maddesinde yer alan istisnaların uygulanması ve bir hakkın kullanılması hukuka uygunluk sebebi teşkil edebilecektir. Kusurluluk bakımından ise özellikle zorunluluk hali belli durumlarda kabahat bakımından söz konusu olabilecektir. Kişisel veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi kabahatine teşebbüs mümkün değildir. Öncelikle kabahatin üç hareketi soyut tehlike kabahati teşkil etmekte olup soyut tehlike kabahatlerine teşebbüs kabul edilmemektedir. Bununla birlikte kabahatlere teşebbüs ancak özel düzenleme halinde mümkün olabilmekte olup KVKK'da teşebbüse ilişkin bir düzenleme bulunmamaktadır. Öte yandan kabahate iştirak söz konusu olabilecektir. Bununla birlikte kabahate iştirak halinde KVKK'nın 18/2. maddesi gereği yalnızca veri sorumlusu idari para cezasına tabi olacaktır. İfade edildiği üzere Kurul veri sorumlusunun hukuka aykırı şekilde kişisel veri işlemesi halinde bu durumu teknik ve idari tedbirlerin alınmaması altında değerlendirmekte, icrai bir hareketi ihmali bir kabahat kapsamında idari para cezasına tabi tutmaktadır. Bu durum ihmali hareket ve icrai hareketin fikri içtima kapsamında değerlendirilmemesi dolayısıyla hukuka aykırı şekilde kişisel verilerin işlenmesi ile birlikte başka bir suç yahut kabahatin de işlenmesi halinde fikri içtimanın uygulanmaması sonucunu doğurmaktadır. Özellike TCK kapsamında suç teşkil eden bir hareketle birlikte kabahatin uygulanması aynı hareket dolayısıyla iki defa yaptırıma tabi tutulma sonucunu doğurmaktadır. Ayrıca sırf hareketli bir kabahat olarak düzenlenmesi gereken bir hareketin mütemadi ve ihmali şekilde işlenebilen bir kabahat kapsamında değerlendirilmesi hareketin birden çok kez işlenmesi durumunda dahi mütemadi bir hareket olarak tek bir hareket gibi değerlendirilmesine yol açacaktır. Veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi kabahatinin işlenmesi halinde 2023 yılı için 89.571 ila 5.971.989 Türk lirası idari para cezası uygulanmaktadır. İdari para cezasının üst sınırı uluslararası bir şirket için caydırıcılık niteliğine sahip değilken alt sınırı ise birçok kişi bakımından çok yüksek bir tutar arz etmektedir. Öte yandan idari para cezasına itiraz mercii sulh ceza hakimliği olup teknik bilgi gerektiren bir alanda idari yargı kapsamında iptal davası açılamaması eleştirilmesi gereken bir durumdur. Kurul'un yer bakımından yetkisi kapsamında veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi kabahatinin işlendiği yer harekete göre değişiklik göstermektedir. Uygulamada en sık işlenen hareket olan teknik ve idari tedbirlerin alınmaması hareketi mütemadi hareket olup ihmali hareketle işlenebilen bir kabahat olduğu için işlendiği yeri teknik ve idari tedbirlerin alınması gereken yerler teşkil etmektedir. Bununla birlikte Kurul, genel olarak kişisellik ilkesi üzerinden yetkisini tayin etmekte olup bu durum doğru bir uygulama teşkil etmemektedir. Veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi kabahati çalışmamız kapsamında geniş bir perspektiften sunulmaya çalışılmıştır. Bu kapsamda çalışma Kurul ve yargı kararlarıyla desteklenmiştir. Kabahat, okuyucuya suç/kabahat sistematiği kapsamında sunulmuştur.