AYM’den KVKK Cezasında Emsal Karar: “Alenileştirme Amacı” Kanunda Yoksa Ceza Verilemez
Anayasa Mahkemesi KVKK Cezasını Kanunilik İlkesi Yönünden İnceledi
Anayasa Mahkemesi Genel Kurulu, Viennalife Emeklilik ve Hayat A.Ş. başvurusunda, Kişisel Verilerin Korunması Kanunu kapsamında verilen idari para cezasını suçta ve cezada kanunilik ilkesi yönünden değerlendirdi.
27 Ocak 2026 tarihli ve 2020/32193 başvuru numaralı karar, 16 Haziran 2026 tarihli Resmî Gazete’de yayımlandı. Kararda, başvurucu şirkete verilen KVKK cezasının Anayasa’nın 38’inci maddesinde güvence altına alınan suçta ve cezada kanunilik ilkesini ihlal ettiği sonucuna ulaşıldı.
Olay Nasıl Başladı?
Başvuruya konu olayda, şikâyetçi A.Y., 24 Eylül 2018 tarihinde sigortacılık faaliyetleri hakkında görüşmek ve randevu talep etmek amacıyla Viennalife Emeklilik ve Hayat A.Ş. tarafından telefonla arandığını belirtti.
Şikâyetçi, şirketle daha önce herhangi bir ilişkisi bulunmadığını, kişisel verilerinin açık rızası olmadan temin edilip kullanıldığını ileri sürerek Kişisel Verileri Koruma Kurumuna başvurdu.
Kurum, şikâyet üzerine inceleme başlattı ve şirketten açıklama istedi.
Şirketin Savunması Neydi?
Şirket, şikâyetçiye ait ad, soyad ve telefon bilgisinin “hizmetburada.com” adlı internet sitesinden elde edildiğini savundu.
Şirkete göre bu bilgiler, ilgili kişi tarafından kamuya açık şekilde paylaşılmıştı. Bu nedenle kişisel verilerin, KVKK’nın 5’inci maddesinin ikinci fıkrasının (d) bendi kapsamında “ilgili kişinin kendisi tarafından alenileştirilmiş” veri olarak değerlendirilmesi gerekiyordu.
Şirket, alenileştirilmiş kişisel verilerin işlenmesi için ayrıca açık rıza aranmayacağını ileri sürdü.
KVKK Kurulu Ne Karar Verdi?
Kişisel Verileri Koruma Kurulu, 7 Kasım 2019 tarihli kararıyla şirketin savunmasını kabul etmedi.
Kurul, şikâyetçiye ait verilerin söz konusu internet sitesinde bir dönem yer almış olabileceği varsayılsa dahi, şirketin bu verileri alenileştirme amacı doğrultusunda kullanmadığını belirtti.
Kurula göre şikâyetçinin verileri, mesleki yetkinliğinden yararlanmak amacıyla değil, şirketin ticari faaliyetlerine ilişkin randevu talebi için kullanılmıştı.
Bu nedenle Kurul, şirketin kişisel verilerin hukuka aykırı işlenmesini önlemeye yönelik teknik ve idari tedbirleri almadığı gerekçesiyle 100.000 TL idari para cezası uygulanmasına karar verdi.
Sulh Ceza Hâkimliği Cezayı Düşürdü
Şirket, idari para cezasına karşı sulh ceza hâkimliğine başvurdu.
İstanbul Anadolu 5. Sulh Ceza Hâkimliği, Kurul kararındaki hukuki değerlendirmeyi esas itibarıyla yerinde buldu.
Ancak idari para cezası alt sınırdan uzaklaşılarak verildiği halde bunun gerekçesinin kararda açıklanmadığını belirtti.
Bu nedenle cezanın 100.000 TL yerine 17.828 TL olarak uygulanmasına karar verdi. Daha sonra yapılan itirazlar reddedildi.
AYM Başvurusu Ne Üzerine Yapıldı?
Şirket, nihai kararın ardından Anayasa Mahkemesine bireysel başvuruda bulundu.
Başvuruda, kanunda yer almayan “alenileştirme amacı” kavramına dayanılarak idari para cezası verilmesinin öngörülebilirlik ve hukuki güvenlik ilkelerine aykırı olduğu ileri sürüldü.
Şirket, KVKK’da kişisel verilerin ilgili kişinin kendisi tarafından alenileştirilmiş olması halinde açık rıza aranmayacağının düzenlendiğini; ancak alenileştirme amacına aykırı kullanım şeklinde ayrı bir yaptırım ölçütünün kanunda açıkça yer almadığını savundu.
AYM Suçta ve Cezada Kanunilik İlkesini Hatırlattı
Anayasa Mahkemesi, Anayasa’nın 38’inci maddesinde güvence altına alınan suçta ve cezada kanunilik ilkesinin yalnızca suçlar için değil, kabahatler ve idari para cezaları bakımından da geçerli olduğunu vurguladı.
Mahkemeye göre, kişilere uygulanacak yaptırımların kanuni dayanağı açık, belirli ve öngörülebilir olmalıdır.
Bir fiilin yaptırıma bağlanabilmesi için, kişinin eylemi gerçekleştirdiği tarihte hangi davranışın cezaya konu olabileceğini kanundan makul şekilde öngörebilmesi gerekir.
“Alenileştirme Amacı” Kavramı Kanunda Yer Almıyor
AYM kararında, KVKK’nın 5’inci maddesinde kişisel verilerin işlenme şartlarının düzenlendiğini belirtti.
Bu maddeye göre kişisel veriler kural olarak açık rıza olmadan işlenemez. Ancak ilgili kişinin kendisi tarafından alenileştirilmiş kişisel veriler bakımından açık rıza aranmaksızın işleme yapılması mümkündür.
Buna karşılık Mahkeme, KVKK’da “alenileştirme amacı” kavramının açıkça düzenlenmediğini tespit etti.
Rehberdeki Açıklamaya Dayanarak Ceza Verilemez
Anayasa Mahkemesi, “alenileştirme amacı” kavramına ilişkin açıklamaların Kişisel Verilerin Korunması Kanunu’na İlişkin Uygulama Rehberi’nde yer aldığını belirtti.
Ancak Mahkemeye göre idari para cezası gibi yaptırımlar bakımından yalnızca rehberde yer alan bir açıklamaya dayanılarak ceza verilemez.
Kanunda açıkça düzenlenmeyen bir kriterin, yaptırım uygulanmasına esas alınması suçta ve cezada kanunilik ilkesini zedeler.
Kanun Hükmü Öngörülemez Şekilde Geniş Yorumlandı
AYM’ye göre somut olayda, şikâyetçinin internet sitesinde paylaştığı kabul edilen kişisel verilerinin paylaşılma amacına aykırı kullanıldığı gerekçesiyle şirkete ceza verilmiştir.
Ancak KVKK’da, alenileştirilmiş verinin “alenileştirme amacına aykırı” kullanılmasının hangi şartlarda yaptırıma bağlanacağı açık şekilde düzenlenmemiştir.
Bu nedenle şirket hakkında idari para cezası uygulanması, kanun hükmünün öngörülemez şekilde geniş yorumlanması sonucunu doğurmuştur.
Veri Sorumluluğu Yönünden de Değerlendirme Eksikliği Vurgulandı
Anayasa Mahkemesi kararında ayrıca, başvurucunun neden veri sorumlusu sayıldığının yasal dayanaklarıyla açık şekilde tartışılmadığını belirtti.
Bunun yanında verilerin ilk paylaşıldığı internet sitesinin sorumluluğu bulunup bulunmadığı konusunda da yeterli değerlendirme yapılmadığına dikkat çekildi.
Bu tespit, idari yaptırım kararlarında olayın tüm tarafları ve veri işleme sürecinin bütününün açıkça değerlendirilmesi gerektiğini göstermektedir.
AYM İhlal Kararı Verdi
Anayasa Mahkemesi, başvurucunun suçta ve cezada kanunilik ilkesinin ihlal edildiğine ilişkin iddiasını kabul edilebilir buldu.
Esas inceleme sonucunda ise Anayasa’nın 38’inci maddesinde güvence altına alınan suçta ve cezada kanunilik ilkesinin ihlal edildiğine karar verdi.
Karar oybirliğiyle alındı.
Yeniden Yargılama Yapılacak
AYM, ihlalin sonuçlarının ortadan kaldırılması için yeniden yargılama yapılmasına karar verdi.
Bu kapsamda kararın bir örneği İstanbul Anadolu 5. Sulh Ceza Hâkimliğine gönderilecek.
Yeniden yargılamada, Anayasa Mahkemesinin kanunilik ilkesine ilişkin değerlendirmeleri dikkate alınarak yeni bir karar verilmesi gerekecek.
Şirkete Yargılama Gideri Ödenecek
Anayasa Mahkemesi, başvurucu lehine yargılama giderlerine de hükmetti.
Kararda 446,90 TL harç ve 40.000 TL vekâlet ücreti olmak üzere toplam 40.446,90 TL yargılama giderinin başvurucuya ödenmesine karar verildi.
Ödemenin, başvurucunun Hazine ve Maliye Bakanlığına başvuru tarihinden itibaren dört ay içinde yapılması gerekiyor. Gecikme halinde yasal faiz uygulanacak.
Karar KVKK Uygulaması Açısından Neden Önemli?
Karar, KVKK kapsamında verilen idari para cezalarında kanunilik ilkesinin sınırlarını göstermesi bakımından önem taşıyor.
Kişisel verilerin korunması alanında rehberler, kurul kararları ve idari yorumlar uygulamaya yön verebilir.
Ancak idari para cezası gibi yaptırımların temel dayanağı açık ve öngörülebilir bir kanun hükmü olmalıdır.
Alenileştirilmiş Verilerde Yeni Tartışma Alanı
Karar, özellikle alenileştirilmiş kişisel verilerin işlenmesi bakımından uygulamadaki tartışmaları artırabilir.
Bir kişinin iletişim bilgisini kamuya açık bir platformda paylaşması, bu verinin her amaçla kullanılabileceği anlamına gelmez.
Ancak bu sınırın yaptırıma bağlanabilmesi için, hangi fiilin hangi şartlarda hukuka aykırı sayılacağı ve hangi yaptırımın uygulanacağı kanunda yeterince açık olmalıdır.
Şirketler İçin Uygulama Mesajı
Her ne kadar AYM kanunilik ilkesi yönünden ihlal kararı vermiş olsa da, bu karar şirketlere “alenileştirilmiş her veri serbestçe kullanılabilir” mesajı vermez.
Kişisel veri işleyen şirketlerin, verinin kaynağını, işleme amacını, hukuki sebebini ve ilgili kişiye karşı aydınlatma yükümlülüklerini dikkatle değerlendirmesi gerekir.
Özellikle pazarlama, teklif, randevu ve satış amaçlı aramalarda kişisel verilerin hangi hukuki sebebe dayanarak işlendiği açıkça belirlenmelidir.
İdari Para Cezalarında Kanuni Dayanak Daha Güçlü Olmalı
AYM kararının en önemli sonucu, idari para cezalarında kanuni dayanağın yalnızca şeklen bulunmasının yeterli olmadığını göstermesidir.
Kanun hükmü, uygulanacak yaptırımın kapsamını ve muhatabın hangi davranıştan dolayı cezalandırılabileceğini öngörebilecek açıklıkta olmalıdır.
Kanunda yer almayan veya yalnızca rehber niteliğindeki belgelerde açıklanan bir kavram, cezalandırmanın temel unsuru haline getirilemez.
Sonuç
Anayasa Mahkemesi, Viennalife Emeklilik ve Hayat A.Ş. başvurusunda KVKK kapsamında verilen idari para cezasının suçta ve cezada kanunilik ilkesini ihlal ettiğine karar verdi.
Mahkemeye göre, KVKK’da “ilgili kişinin kendisi tarafından alenileştirilmiş olması” açık rıza aranmayan veri işleme şartlarından biri olarak düzenlenmiştir. Ancak “alenileştirme amacı” kavramı ve bu amaca aykırı kullanımın yaptırımı kanunda açıkça yer almamaktadır.
Bu nedenle yalnızca rehberde açıklanan bir kavrama dayanılarak idari para cezası verilmesi, kanun hükmünün öngörülemez şekilde geniş yorumlanması anlamına gelir.
Karar, KVKK cezalarında kanunilik, öngörülebilirlik ve hukuki güvenlik ilkelerinin önemini ortaya koyan emsal nitelikte bir karar olarak dikkat çekmektedir.
