2016 yılında yayımlanarak yürürlüğe giren 6698 Sayılı Kişisel Verilerin Korunması Kanunu ile kişisel verilerin işlenmesi (toplanması/kaydedilmesi) belli kurallara bağlanmıştır. Kanun başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları kuralları düzenleme amacını taşımaktadır. İki yıllık bir uyum dönemi sonrasında, 7 Nisan 2018 tarihi itibariyle kanunun getirdiği yükümlülükler ve yaptırımlar devreye girmiştir.
Kanun´da belirtilen istisnalar haricinde, kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemeyecek; üçüncü kişilere ve yurtdışına aktarılamayacaktır. Aksi halde veri toplayan tüzel kişiler (mesela şirketler, ticari işletmeler) idari para cezasına, kişiler de hapis cezalarına çarptırılabileceklerdir. İdari para cezaları güncel rakamlar ile alt sınır 9012 TL´den başlamak üzere ihlalin niteliğine göre üst sınır olarak 1.802.6405 TL´ye kadar artabilmektedir.
Veri sorumlusu gerçek kişiler ve firmalar kolay kolay bu sorumluluklardan kaçamaz. Zira yaptırımları uygulayacak Kişisel Verileri Koruma Kurumu (KVKK) maliye ve SGK´dan bilgileri çekerek işletmeleri sobeleyebilmektedir. Bu sebeple işletmeler kaçmak yerine bir an önce yasal yükümlülüklerini yerine getirmelidir. Yaptırımlar iki gruba ayrılıyor; suç teşkil eden ihlallerin karşılığı olarak hapis cezaları ve kabahat sayılan fiillerin karşılığı olarak idari para cezaları. Şimdi bu ağır yaptırımlar ne imiş kısaca bir bakalım:
I. Suçlar Neler, Hangi Hapis Cezaları Öngörülüyor?
Kanunun 17. maddesi şöyledir: “(1) Kişisel verilere ilişkin suçlar bakımından Türk Ceza Kanununun 135 ila 140´ıncı madde hükümleri uygulanır. (2) Bu Kanunun 7´nci maddesi hükmüne aykırı olarak; kişisel verileri silmeyen veya anonim hale getirmeyenler Türk Ceza Kanununun 138´inci maddesine göre cezalandırılır.” .
Kişisel verilere ilişkin suçlar, TCK´nın “Özel Hayata ve Hayatın Gizli Alanına İlişkin Suçlar” bölümü içerisinde ele alınmıştır.
TCK´nın 135. maddesinin 1. fıkrasına göre: “Hukuka aykırı olarak kişisel verileri kaydeden kimseye altı aydan üç yıla kadar hapis cezası verilir”. Suçun oluşması içinkimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü kişisel verilerin hukuka aykırı şekilde kaydedilmesi yeterli. Eğer “Kişisel verilerin, kişilerin siyasî, felsefî veya dinî görüşlerine, ırkî kökenlerine; hukuka aykırı olarak ahlâkî eğilimlerine, cinsel yaşamlarına, sağlık durumlarına veya sendikal bağlantılarına ilişkin…” ise verilecek ceza yarı oranında artırılıyor.
TCK´nın 136. maddesine göre: “Kişisel verileri, hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi, iki yıldan dört yıla kadar hapis cezası ile cezalandırılır”. Yine maddenin devamında nitelikli hallerde cezanın yarı oranında artırılabileceği yazıyor.
TCK´nın 138. maddesi ise “(1) Kanunların belirlediği sürelerin geçmiş olmasına karşın verileri sistem içinde yok etmekle yükümlü olanlara görevlerini yerine getirmediklerinde bir yıldan iki yıla kadar hapis cezası verilir. (2) Suçun konusunun Ceza Muhakemesi Kanunu hükümlerine göre ortadan kaldırılması veya yok edilmesi gereken veri olması hâlinde verilecek ceza bir kat artırılır.” hükümlerini içermektedir.
Kişisel verilerin kaydedilmesi suçunun, verileri hukuka aykırı olarak verme veya ele geçirme ve verileri yok etmeme hariç, soruşturulması ve kovuşturulması şikâyete bağlıdır. Bu suçları tüzel kişiler işlerse bunlara özgü güvenlik tedbirlerine hükmolunacaktır.
II. Kabahatler Neler, Hangi İdari Para Cezaları Öngörülüyor?
Kanunun 18. maddesi fiillere göre değişen oranlarda yüklü para cezaları öngörüyor. Buna göre kanuna aykırı fiiller ve karşılığı olan güncel para cezaları şöyledir:
a) 10. Md: Aydınlatma Yükümlülüğü ihlalinde Alt Sınır: 9.012- Üst Sınır: 180.263
b) 12. Md: Veri Güvenliği ihlalinde Alt Sınır: 27.037- Üst Sınır: 1.802.640
c) 15. Md: Kurul Kararı ihlalinde Alt Sınır: 45.062- Üst Sınır: 1.802.640
ç) 16. Md: VERBİS Yükümlülüğü İhlalinde Alt Sınır: 36.050- Üst Sınır: 1.802.640
Bu maddede öngörülen idari para cezaları veri sorumlusu olan gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanacaktır. Sayılan eylemleri kamu kurum ve kuruluşunda görev yapan kamu görevlileri işlerse, disiplin cezaları verilecek ve sonucu Kurula bildirilecektir.
Kanunun 18. maddesinde yer alan idari para cezası miktar aralığının oldukça geniş olduğunu söylemek mümkün. Kurul, idari para cezasının miktarını belirlerken, 5356 sayılı Kabahatler Kanunu´nun 17. maddesi uyarınca kabahati işleyenin ekonomik durumu, kabahatin haksızlık içeriği ve failin kusur derecesi gibi hususları dikkate alacaktır.
Gelelim neticeye; yukarıda belirttiğimiz hapis ve idari para cezaları, işletmelerin yada gerçek kişi veri sorumlusu olanların, bir an önce KVKK kapsamındaki yükümlülüklerini eksiksiz yerine getirmelerini salık etmektedir. Tabi kamu kurum ve kuruluşları da bünyelerindeki personele hizmet içi eğitimler vererek ödevlerini yerine getirmekle mükellef. Bir sonraki yazıda KVKK kapsamında verilen idari para cezalarına karşı hangi hukuki yollara başvurulabilir meselesine değineceğiz.
Av. Dr. Bahadır APAYDIN
bapaydinus@yahoo.com