Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. TCK’da kişisel veriyle doğrudan ilişkili başlıca suçlar şunlardır: kişisel verilerin kaydedilmesi (TCK 135), verileri hukuka aykırı olarak verme veya ele geçirme (TCK 136), verileri yok etmeme (TCK 138) ve nitelikli haller (TCK 137). Haberleşme ve özel hayat gizliliğini ihlal gibi suçlar da (TCK 132-134) çoğu kez kişisel veriyle birlikte gündeme gelir.

Kişisel veri tanımı nedir? TCK ve KVKK birlikte nasıl okunur?

KVKK’nın temel tanımı nettir: Kişisel veri, kimliği belirli ya da belirlenebilir gerçek kişiye ilişkin her türlü bilgidir.

TCK ise kişisel veriye ilişkin suç tiplerini özellikle TCK 135-138 arasında düzenler. Bu nedenle uygulamada şu yaklaşım kullanılır:

• Kişisel verinin kapsamı KVKK’daki tanım üzerinden belirlenir.

• TCK 135-136-138 kapsamında “fiil” değerlendirilir (kaydettin mi, verdin mi, ele geçirdin mi, silme yükümlülüğüne uymadın mı).

• TCK 137 ile nitelikli hal (kamu görevlisi veya meslek kolaylığı gibi) varsa ceza artırılır.

Kişisel veriye örnek nelerdir? İsim, cep telefonu, fotoğraf, TCKN kişisel veri midir?

KVKK tanımı geniştir. Tek başına veya başka verilerle birlikte kişiyi belirlenebilir kılan bilgiler kişisel veridir.

Kişinin ismi kişisel veri midir?

Evet. İsim, çoğu durumda kişiyi belirlenebilir kıldığı için kişisel veridir.

Cep telefonu kişisel veri sayılır mı?

Evet. Telefon numarası kişiyi doğrudan belirleyebilir. Bu nedenle kişisel veridir.

Kişinin fotoğrafı kişisel veri midir?

Evet. Fotoğraf, kişinin kimliğini doğrudan ortaya koyabildiği için kişisel veridir. KVKK yaklaşımında kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi kişisel veri sayılır.

TCKN kişisel veri midir? TC kişisel veri midir?

Evet. Türkiye Cumhuriyeti kimlik numarası (TCKN), kişiyi tek başına tanımlayan bir bilgidir ve kişisel veridir. KVKK tanımı gereği kimliği belirli kılan her bilgi bu kapsamdadır.

Kişisel veriye örnekler tablosu

Not: Bir bilginin internette açıkça yer alması, her zaman kişisel veri niteliğini ortadan kaldırmaz. Önemli olan, verinin bir gerçek kişiyi belirli veya belirlenebilir kılıp kılmadığıdır.

Hangi bilgiler kişisel veri kapsamına girmez?

Genel ilke şudur: Bir bilgi hiçbir şekilde kimliği belirli veya belirlenebilir gerçek kişiyle ilişkilendirilemiyorsa kişisel veri değildir.

Uygulamada en sık karşılaşılan kişisel veri dışı örnekler:

• Tam anonim hale getirilmiş veriler (kimlikle bağ kurulamayacak düzeyde).

• Sadece tüzel kişiye (şirket, dernek) ilişkin ve gerçek kişiyle bağ kurmayan veriler.

• Salt istatistiksel veri setleri (kimlikle ilişkilendirilemiyorsa).

Kişisel veride ilgili kişi kimdir?

KVKK terminolojisinde “ilgili kişi”, kişisel verisi işlenen gerçek kişidir.

Örnek: Bir e-ticaret sitesinde hesabı olan müşteri, o sitede işlenen ad, soyad, telefon, adres gibi veriler bakımından “ilgili kişi”dir.

Kişisel veri şartları nelerdir? KVKK’ya göre veri işleme hangi hallerde mümkündür?

KVKK’ya göre kişisel verilerin işlenmesi, kanunda sayılan işleme şartlarından en az birinin varlığıyla mümkündür. KVKK Kurumu, kişisel verilerin işlenmesinin 5. maddede sayılan hallerden en az biri bulunursa mümkün olacağını belirtir.

Özel nitelikli kişisel veriler bakımından ise daha sıkı şartlar vardır (örneğin sağlık verileri gibi). KVKK’nın 6. maddesi çerçevesinde özel nitelikli kişisel verilerin işlenmesi kural olarak yasak olup istisnai şartlara tabidir.

TCK’da kişisel veri suçları nelerdir? TCK 132-139 çerçevesi

TCK’da kişisel veriyle doğrudan ilişkili çekirdek suçlar TCK 135, 136 ve 138’de; nitelikli haller ise TCK 137’de düzenlenir.
Bunun yanında haberleşmenin gizliliği, konuşmaların dinlenmesi ve özel hayatın gizliliği gibi suçlar (TCK 132-134) da pratikte kişisel veri ihlalleriyle birlikte dosyaya girer.

TCK kişisel veri suçları ve cezalar tablosu

Not: TCK 132-134 maddeleri kişisel veri suçlarıyla aynı bölümde olup çoğu durumda şikayete tabidir; ancak TCK 139 açıkça 135-136-138’i bu şikayet koşulunun dışında bırakır.

TCK’nin 134. maddesi nedir?

TCK 134, “özel hayatın gizliliğini ihlal” suçunu düzenler. Özel hayatın gizliliğini ihlal eden kişi hakkında hapis cezası öngörülür; ihlal görüntü veya seslerin kayda alınması suretiyle gerçekleşirse ceza artar; özel hayata ilişkin görüntü veya sesleri hukuka aykırı ifşa etmek de ayrıca cezalandırılır.

Uygulama örnekleri:

• Rıza olmadan ev içinde görüntü kaydı almak

• Özel yaşamı ifşa eden görüntüleri sosyal medyada paylaşmak

TCK’nin 136. maddesi nedir?

TCK 136, kişisel verileri hukuka aykırı olarak bir başkasına verme, yayma veya ele geçirme suçunu düzenler. Temel ceza 2 yıldan 4 yıla kadar hapistir.

Uygulama örnekleri:

• Müşteri listesini rıza ve hukuki dayanak olmadan başka firmaya satmak

• Bir kişinin adres, telefon, kimlik bilgilerini üçüncü kişilere göndermek

• Yetkisiz erişimle personel verilerini ele geçirmek

Kişisel veri ihlalinin yaptırımı nedir? KVKK idari yaptırım ve TCK ceza sorumluluğu birlikte olur mu?

Evet, çoğu olayda iki farklı hat üzerinden yaptırım doğabilir:

1. KVKK kapsamında idari süreç: Kurul incelemesi ve idari para cezası dahil yaptırımlar gündeme gelebilir. KVKK Kurumu 2024 yılı faaliyet bilgi notunda, 2024’te 8.186 ihbar, şikayet ve başvurudan 6.958’inin sonuçlandırıldığını; 281 veri ihlal bildiriminin intikal ettiğini ve toplam 552.668.000 TL idari para cezası uygulandığını açıklamıştır.

2. TCK kapsamında ceza soruşturması: Fiil TCK 135-136-138 veya ilgili diğer suç tiplerini oluşturuyorsa savcılık soruşturması ve hapis cezası riski ortaya çıkar.

Aynı olay hem KVKK idari sürecine hem de TCK ceza sürecine konu olabilir. Örneğin bir veri sızıntısı hem Kurul nezdinde inceleme doğurabilir hem de kişisel verileri hukuka aykırı ele geçirme veya yayma kapsamında ceza dosyasına dönüşebilir.

Kişisel verilerimi paylaşmanın cezası nedir?

Kişisel verilerin hukuka aykırı paylaşılması çoğu durumda TCK 136 kapsamında değerlendirilir: Kişisel verileri hukuka aykırı olarak bir başkasına verme veya yayma fiili için 2 yıldan 4 yıla kadar hapis cezası öngörülür.

Eğer fiil kamu görevlisi tarafından görev yetkisi kötüye kullanılarak veya mesleğin sağladığı kolaylıktan yararlanılarak işlenmişse TCK 137 uyarınca ceza yarı oranında artırılır.

Kişisel veri ihlali nereye şikayet edilir?

Bu sorunun doğru cevabı, ihlalin niteliğine göre iki ayrı başlıkta ele alınır: KVKK şikayeti ve ceza şikayeti.

1) KVKK Kuruluna şikayet yolu

KVKK Kurumu “Şikayet Hakkı” sayfasına göre, Kurula şikayet için önce veri sorumlusuna KVKK madde 13 kapsamında başvuru yapılması zorunludur. Başvurunun reddi, yetersiz cevap veya 30 gün içinde cevap verilmemesi halinde Kurula şikayet edilebilir.

Pratik adımlar:

1. Veri sorumlusuna yazılı başvuru (KVKK 13 çerçevesi).

2. 30 gün bekleme veya gelen cevabı değerlendirme.

3. Şartları oluşursa KVKK Kuruluna şikayet.

2) Savcılığa suç duyurusu

Fiil TCK 135-136-138 veya TCK 132-134 kapsamına giriyorsa Cumhuriyet Başsavcılığına suç duyurusunda bulunulabilir. Şikayete tabi suçlarda süreler ve usul önemlidir.

Önemli ayrım: TCK 139’a göre, kişisel verilerin kaydedilmesi (135), verileri hukuka aykırı verme veya ele geçirme (136) ve verileri yok etmeme (138) hariç bu bölümdeki suçlar şikayete bağlıdır.

KVKK kanunu kimleri kapsar?

KVKK’nın koruduğu kişi grubu “gerçek kişiler”dir. Çünkü kişisel veri tanımı “kimliği belirli veya belirlenebilir gerçek kişiye ilişkin” bilgileri kapsar.
Bu nedenle şirketler, dernekler gibi tüzel kişilerin verileri tek başına KVKK kapsamında kişisel veri değildir; ancak şirket içinde yer alan çalışan, müşteri gibi gerçek kişilere ilişkin veriler KVKK kapsamındadır.

KVKK veri ihlali bildirimi ve 72 saat kuralı

KVKK Kurumu “Veri İhlali Bildirimi” sayfasında, veri sorumlusunun Kurula haklı gerekçe olmaksızın 72 saat içinde bildirim yapamaması halinde gecikme nedenlerini açıklaması gerektiği belirtilir ve bildirim formu usulü düzenlenir.

Bu konu uygulamada kritik önemdedir:

• Kurum içi olay müdahale planı

• İhlalin kapsamının tespiti

• Etkilenen ilgili kişilere bilgilendirme süreçleri

TCK 132, 133, 134, 139 maddeleri nedir? Kişisel veriyle ilişkisi nasıl kurulur?

TCK 132 maddesi nedir?

TCK 132, haberleşmenin gizliliğini ihlal suçunu düzenler. Haberleşme içeriklerinin kaydı suretiyle ihlal halinde ceza artırımı gibi hükümler bulunur; haberleşme içeriklerini hukuka aykırı ifşa etmek de ayrıca cezalandırılır.

TCK 133 maddesi nedir?

TCK 133, kişiler arasındaki aleni olmayan konuşmaların rıza olmaksızın dinlenmesi veya kayda alınmasını düzenler.

TCK 134 maddesi nedir?

TCK 134, özel hayatın gizliliğini ihlal ve özel hayata ilişkin görüntü veya seslerin hukuka aykırı ifşasını düzenler.

TCK 139 maddesi nedir?

TCK 139, bu bölümdeki suçlarda şikayet koşulunu düzenler ve 135-136-138’i şikayete bağlılık kuralının dışında bırakır.

TCK 37, 125, 129, 142, 188, 192 maddeleri nedir? Bu maddeler kişisel veri suçlarıyla karıştırılır mı?

Bu maddeler, kişisel veri suçlarının çekirdeği olan TCK 135-138’den farklı konuları düzenler. Yine de uygulamada aynı olayın içinde birlikte gündeme gelebilirler.

TCK 37. maddesi nedir? TCK 37 maddesi cezası nedir?

TCK 37, “faillik” yani suçu birlikte işleyenler bakımından müşterek faillik gibi iştirak hükümlerini düzenleyen genel hükümler içindedir. Bu madde tek başına bir “ceza miktarı” belirlemekten çok, suça katılanların hangi sıfatla sorumlu tutulacağını belirler. (Ceza, iştirak edilen somut suçun maddesine göre belirlenir.)

TCK 125 maddesi nedir?

TCK 125, hakaret suçunu düzenler. Kişisel veri ifşasıyla birlikte, paylaşılan içerikte hakaret varsa ayrıca TCK 125 kapsamında değerlendirme gündeme gelebilir.

TCK 129 maddesi nedir?

TCK 129, hakaret suçunda bazı özel durumlar ve indirim nedenleri gibi hükümlere ilişkindir. (Somut olaya göre değerlendirilir.)

TCK 142 maddesi nedir?

TCK 142, nitelikli hırsızlık halini düzenler. Veri dosyalarında doğrudan kişisel veri suçu değildir; ancak veri ele geçirmenin yanında maddi eşya hırsızlığı varsa birlikte gündeme gelebilir.

TCK 188 maddesi nedir?

TCK 188, uyuşturucu veya uyarıcı madde imal ve ticareti gibi suçları düzenler; kişisel veri suçlarıyla doğrudan ilgili değildir.

TCK 192. madde nedir?

TCK 192, etkin pişmanlık hükümleriyle ilişkilidir ve yine kişisel veri suçlarının çekirdeğiyle doğrudan bağlantılı değildir. (Hangi suç bakımından uygulanacağı somut olaya göre değişir.)

Kaynakça ve resmi başvuru noktaları

• Kişisel Verileri Koruma Kurumu, “Kişisel Veriler” tanımı ve bilgilendirme sayfası

• Kişisel Verileri Koruma Kurumu, “Şikayet Hakkı” sayfası

• KVKK Kurumu, “Veri İhlali Bildirimi” usul ve esasları

• KVKK Kurumu, 2024 Yılı Faaliyet Bilgi Notu (istatistik ve idari para cezası verileri)

• TCK 135-139 maddeleri (kişisel veri suçları ve şikayet koşulu)

• TCK 132-134 (haberleşme, konuşmaların dinlenmesi, özel hayat)

Sıkça Sorulan Sorular

1. Kişisel veri tanımı nedir?
   KVKK’ya göre kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Bu tanım; ad, soyad, telefon, adres, fotoğraf, kimlik numarası gibi verileri kapsar.

2. Kişinin ismi kişisel veri midir?
   Evet. İsim, çoğu durumda kişiyi belirlenebilir kıldığı için kişisel veridir. Tek başına her zaman tek kişiyi göstermese bile başka bilgilerle birleştiğinde kimlik tespiti mümkün oluyorsa kişisel veri kabul edilir.

3. TC kişisel veri midir? TCKN kişisel veri midir?
   Evet. TCKN, kişiyi tekil olarak tanımlayan bir bilgidir. KVKK’daki kişisel veri tanımı gereği kişisel veridir ve hukuka aykırı paylaşımı TCK 136 kapsamında ceza sorumluluğu doğurabilir.

4. Cep telefonu kişisel veri sayılır mı?
   Evet. Telefon numarası bir gerçek kişiyi doğrudan belirleyebildiğinden kişisel veridir. Hukuka aykırı şekilde üçüncü kişilerle paylaşılması veya yayılması TCK 136 kapsamında değerlendirilebilir.

5. Kişinin fotoğrafı kişisel veri midir?
   Evet. Fotoğraf, kişiyi tanımlayabildiği için kişisel veridir. Ayrıca fotoğrafın özel hayat alanına ilişkin olması halinde TCK 134 (özel hayatın gizliliğini ihlal) kapsamında da değerlendirme yapılabilir.

6. TCK’da kişisel veri suçları nelerdir?
   Çekirdek düzenlemeler TCK 135 (kişisel verilerin kaydedilmesi), TCK 136 (verileri hukuka aykırı verme, yayma veya ele geçirme) ve TCK 138 (verileri yok etmeme) maddelerindedir. Nitelikli haller TCK 137’de düzenlenir.

7. TCK’nin 134 maddesi nedir?
   TCK 134, özel hayatın gizliliğini ihlal suçunu düzenler. Özel hayata ilişkin görüntü veya sesleri hukuka aykırı ifşa etmek de bu kapsamda cezalandırılır; basın ve yayın yoluyla işlenmesi halinde artırımlar gündeme gelebilir.

8. TCK’nin 136 maddesi nedir?
   TCK 136, kişisel verileri hukuka aykırı şekilde bir başkasına verme, yayma veya ele geçirme fiillerini suç sayar. Temel yaptırım 2 yıldan 4 yıla kadar hapis cezasıdır.

9. Kişisel veri ihlalinin yaptırımı nedir?
   İhlal hem KVKK kapsamında idari para cezasına hem de TCK kapsamında hapis cezası riskine yol açabilir. KVKK Kurumu 2024 faaliyet bilgi notuna göre 2024’te 552.668.000 TL idari para cezası uygulanmıştır. Ceza yönünden ise fiilin TCK 135-136-138 kapsamına girip girmediği değerlendirilir.

10. Kişisel veri ihlali nereye şikayet edilir?
    KVKK şikayeti için önce veri sorumlusuna başvuru zorunludur; reddedilirse veya 30 gün içinde cevap yoksa Kurula şikayet edilebilir. Ceza boyutu varsa Cumhuriyet Başsavcılığına suç duyurusu yapılabilir. Ayrıca TCK 139’a göre 135-136-138 dışındaki bazı suçlar şikayete tabidir.

11. KVKK kanunu kimleri kapsar?
    KVKK, kişisel verisi işlenen “gerçek kişileri” korur. Tüzel kişiler (şirketler) KVKK anlamında “ilgili kişi” değildir; ancak şirketin elindeki çalışan, müşteri gibi gerçek kişilere ilişkin veriler KVKK kapsamındadır.

12. TCK 139 maddesi nedir, neden önemlidir?
    TCK 139, bu bölümdeki suçlarda şikayet koşulunu düzenler ve kişisel verilerin kaydedilmesi (135), verileri hukuka aykırı verme veya ele geçirme (136) ve verileri yok etmeme (138) suçlarını şikayete bağlılık kuralının dışında tutar. Bu ayrım, soruşturmanın re’sen yürüyüp yürümeyeceği açısından belirleyicidir.