Bir müşterinin telefon numarasının izinsiz biçimde başkalarına gönderilmesi, çalışanlara ait bilgilerin yetkisiz bir dosyada toplanması veya bir kişiye ilişkin kayıtların sosyal medyada paylaşılması farklı hukuki sorunlar doğurabilir. Bu olayların hepsini yalnızca “veri sızıntısı” olarak adlandırmak, hangi davranışın incelenmesi gerektiğini belirsizleştirir.
Türk Ceza Kanunu’nun (TCK) 135. maddesi kişisel verilerin hukuka aykırı kaydedilmesini, 136. maddesi ise hukuka aykırı olarak bir başkasına verilmesini, yayılmasını veya ele geçirilmesini düzenler. Bir olayda önce verinin ne olduğu, hangi yolla elde edildiği ve daha sonra ne yapıldığı belirlenmelidir. Trabzon avukat desteğiyle yapılacak değerlendirmede bu hususlar mevcut delillerle birlikte incelenebilir. Her izinsiz işlem hakkında otomatik olarak ceza verileceği söylenemeyeceği gibi, bilginin bir yerde görülebiliyor olması da her kullanımını hukuka uygun hâle getirmez.
Hangi Bilgiler Kişisel Veri Sayılır?
Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Ad ve soyad bunun en açık örneklerinden biridir; ancak telefon numarası, adres, araç plakası veya bir kişiyle ilişkilendirilebilen başka bir bilgi de olayın koşullarına göre kişisel veri olabilir. Bir bilginin tek başına isim içermemesi, onun hiçbir kişiyle ilişkilendirilemeyeceği anlamına gelmez.
Örneğin yalnızca bir numaradan oluşan kayıt, başka bilgilerle eşleştirildiğinde belirli bir kişiyi gösterebilir. Bu nedenle “Dosyada isim yazmıyor” savunması tek başına yeterli olmayabilir. Buna karşılık tamamen anonim hâle getirilmiş ve bir kişiyle yeniden ilişkilendirilemeyen bilgi farklı değerlendirilir.
Sağlık bilgisi gibi bazı veriler daha hassas niteliktedir. TCK 135, kişinin siyasi, felsefi veya dinî görüşlerine, ırki kökenine; hukuka aykırı olarak ahlaki eğilimlerine, cinsel yaşamına, sağlık durumuna veya sendikal bağlantılarına ilişkin verilerin kaydedilmesi bakımından ayrıca ceza artırımı öngörür. Bu nedenle hangi bilginin işlendiği, yalnızca teknik değil hukuki açıdan da önem taşır.
TCK 135 Kapsamında Kişisel Verilerin Hukuka Aykırı Kaydedilmesi Nedir?
TCK 135’in odağında kişisel verinin hukuka aykırı olarak kaydedilmesi bulunur. Burada veri daha sonra başkasıyla paylaşılmasa bile kayıt işleminin kendisi incelenebilir. Bir kişinin bilgilerini dosyaya aktarmak, liste oluşturmak veya dijital ortamda saklamak, olayın özelliklerine göre kayıt davranışına örnek olabilir.
Ancak “Bir veri kaydedildi” cümlesi, tek başına suçun oluştuğunu göstermez. Kaydın hangi amaçla yapıldığı, kişinin bu işlem için yetkisi bulunup bulunmadığı ve hukuki dayanağı değerlendirilmelidir. İşini yürütmek için belirli bilgilere erişebilen bir kişinin bu bilgileri görevinin dışına çıkararak ayrı bir yerde topladığı iddiasında da bu ayrım önem kazanır.
Bir soruşturmada kaydın varlığı kadar, kaydı kimin ve nasıl oluşturduğu da belirlenmelidir. Dosyanın bir cihazda bulunması, onu mutlaka cihaz sahibinin hazırladığını tek başına ispatlamaz.
TCK 136 Kapsamında Verileri Verme, Yayma veya Ele Geçirme Nedir?
TCK 136, kişisel verileri hukuka aykırı olarak bir başkasına verme, yayma veya ele geçirme davranışlarını düzenler. Bunlar aynı olayda gerçekleşebilir; fakat farklı hareketlerdir. Bir çalışan listesini yetkisiz kişiye göndermek “verme”, bilgileri geniş bir grubun erişimine açmak “yayma”, başkasının erişim yetkisi bulunmayan verilerini elde etmek ise “ele geçirme” iddiasına konu olabilir.
Bu ayrım, olayın izini sürmek için yararlıdır. Veri ilk olarak kimdeydi? Hangi yetkiyle tutuluyordu? Sonrasında kime gönderildi veya kim tarafından alındı? Örneğin bir belgeyi gören kişinin onu başkasına iletmesiyle, korunan bir sisteme girerek belgeyi elde etmesi aynı fiil olarak anlatılmamalıdır.
Kişisel Verileri Koruma Kurulu da görev gereği erişilen bilgilerin yetkisiz üçüncü kişilere aktarılmasının, olayın koşullarına göre TCK 136 yönünden değerlendirme gerektirebileceğine dikkat çekmiştir.
Telefon Numarası veya Adres Paylaşmak Her Zaman Suç mudur?
Telefon numarasının hukuka aykırı paylaşılması veya adresin başkalarına gönderilmesi ciddi bir iddiadır; fakat suç değerlendirmesi yalnızca bilginin türüne bakılarak yapılmaz. Bilginin kime ait olduğu, paylaşan kişinin onu nasıl edindiği, kime hangi amaçla aktardığı ve aktarım için hukuki dayanak bulunup bulunmadığı incelenir.
Örneğin bir işletmenin müşteriye hizmet sunarken telefon numarasını kaydetmesi ile çalışanının aynı numarayı kendi amacı için dışarıya göndermesi ayrı durumlardır. Benzer şekilde kişinin bir bilgisini daha önce kendisinin paylaşmış olması, başkalarının o bilgiyi her amaçla kullanabileceği anlamına gelmez.
Şikâyette bulunan kişinin “Numaram yayıldı” demesinin yanında paylaşımın nerede görüldüğünü, mümkünse kimlere ulaştığını ve bunu hangi kayıtlarla gösterebildiğini açıklaması olayın anlaşılmasına yardımcı olur.
Sosyal Medyada Kişisel Veri Yayılması Nasıl Değerlendirilir?
Bir ekran görüntüsünde başka kişilerin telefon numaraları görünüyorsa, bir belge kişiyi tanımlayan bilgilerle paylaşılıyorsa veya özel bir liste sosyal medyaya yüklenmişse kişisel verilerin hukuka aykırı yayılması iddiası ortaya çıkabilir. Paylaşımın “uyarı yapmak” veya “bir olayı anlatmak” amacıyla yapıldığının söylenmesi, verilerin açıklanmasını kendiliğinden hukuka uygun hâle getirmez.
Öte yandan sosyal medyadaki her paylaşım da TCK 136 suçu değildir. İçerikte gerçekten kişisel veri bulunup bulunmadığı, paylaşımın hukuka aykırılığı ve hesabı kimin kullandığı ayrı ayrı incelenmelidir. Başka bir kişinin paylaşımını yeniden yayımlamak da olayın niteliğine göre değerlendirme gerektirebilir.
İçerik sonradan silinebildiği için bağlantı adresi, paylaşım tarihi, hesap bilgisi ve görüntünün tamamı korunmalıdır. Yalnızca kırpılmış bir ekran görüntüsü, paylaşımın kaynağını veya bağlamını göstermeyebilir.
Kişisel Verilerle İlgili Bu Suçların Cezası Nedir?
TCK 135’teki kişisel verileri hukuka aykırı kaydetme suçunun cezası bir yıldan üç yıla kadar hapis, TCK 136’daki verileri hukuka aykırı verme, yayma veya ele geçirme suçunun cezası ise iki yıldan dört yıla kadar hapistir. Belirli hassas verilerin kaydedilmesi bakımından TCK 135 ayrıca cezanın artırılmasını düzenler.
Bu aralıklar bir olayda verilecek cezayı peşinen belirlemez. Önce hangi davranışın gerçekleştiği, hukuka aykırılık koşulu ve failin fiille bağlantısı ortaya konulmalıdır. Ayrıca suçun kamu görevlisi tarafından görevinin sağladığı yetki kötüye kullanılarak veya belirli bir meslek ve sanatın sağladığı kolaylıktan yararlanılarak işlenmesi, TCK 137 kapsamında cezanın artırılması açısından önem taşıyabilir.
TCK 135–136 Suçları Şikâyete Bağlı mıdır?
TCK 135 ve 136 kapsamındaki suçların soruşturulması mağdurun şikâyetine bağlı değildir. TCK 139, kişisel verilerin kaydedilmesi ile verileri hukuka aykırı verme veya ele geçirme suçlarını, bu bölümdeki şikâyete bağlı suçlardan açıkça ayırır. Bu nedenle başka bazı suçlar için geçerli olan altı aylık şikâyet süresi burada bir başvuru şartı olarak anlatılmamalıdır.
Bununla birlikte verisinin hukuka aykırı biçimde kullanıldığını düşünen kişinin durumu yetkili makamlara bildirmesi ve elindeki kayıtları sunması önemlidir. Ceza soruşturmasının şikâyete bağlı olmaması, delillerin kendiliğinden korunacağı veya olayın bütün ayrıntılarının başvuru olmadan öğrenileceği anlamına gelmez.
Kişisel Verilerin Ele Geçirildiği veya Yayıldığı Nasıl İspatlanır?
Kişisel verilerin hukuka aykırı ele geçirilmesi veya yayılması iddiasında yalnızca verinin bir yerde bulunması değil, oraya nasıl ulaştığı da önemlidir. E-posta gönderimleri, mesajlaşmalar, erişim kayıtları, paylaşım bağlantıları, dosyanın bulunduğu ortam ve olayı doğrudan bilen kişilerin anlatımları değerlendirilebilir.
Dijital delillerde tarih, gönderen ve alıcı bilgisi ile dosyanın bütünlüğü önem taşır. Bir ekran görüntüsü başlangıç için yararlı olsa da paylaşımı kimin yaptığı veya verinin daha önce kimlerin erişimine açık olduğu sorularını her zaman tek başına çözmez. Bu nedenle özgün bağlantıların ve mevcut yazışmaların tamamının saklanması gerekir.
Verileri Paylaşılan Kişi Ne Yapmalıdır?
Kişisel verilerinin izinsiz kaydedildiğini veya yayıldığını düşünen kişi, önce olayın kapsamını mümkün olduğunca somutlaştırmalıdır. TCK 135–136 kapsamında bir başvuru hazırlanırken şu bilgiler yararlı olabilir:
- Hangi kişisel verinin kaydedildiği, ele geçirildiği veya paylaşıldığı
- İşlemin fark edildiği tarih ve verinin görüldüğü ortam
- Paylaşım bağlantıları, mesajlar ve mevcut ekran görüntüleri
- Veriye kimlerin erişmiş olabileceğine ilişkin bilinen bilgiler
Ceza hukuku değerlendirmesi ile 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamındaki başvuru yolları farklı süreçlerdir. Somut olaya göre birden fazla yolun değerlendirilmesi gerekebilir.
Kaynar Hukuk, kişisel verilerin hukuka aykırı kaydedilmesi, ele geçirilmesi veya paylaşılması iddialarında verinin niteliğini, elde edilme biçimini ve mevcut delilleri birlikte değerlendirerek hukuki destek sağlayabilir. Başvurunun hazırlanması ve ilgili hukuki yolların belirlenmesinde, olayın özellikleri ile kişinin hak ve talepleri esas alınır.