AYM'den KVKK cezasına iptal: alenileştirme amacı kanunda yok

Bir sigorta şirketi, hiç tanımadığı bir kişiyi arayıp randevu teklif etti. Kişinin adını ve telefonunu, hizmet verenleri müşterilerle buluşturan bir internet sitesinden bulmuştu. Kişisel Verileri Koruma Kurulu bunu hukuka aykırı işleme sayıp ceza kesti. Yedi yıl sonra Anayasa Mahkemesi cezayı kaldırdı — ama şirketi haklı bulduğu için değil.

Olayın seyri

Şikâyetçi, kendisiyle hiçbir ilişkisi olmayan şirketten arandığını belirterek 2018'de Kurum'a başvurdu. Şirket savunmasında verileri hizmetburada.com adresinden bulduğunu ve bu verilerin kişinin kendisi tarafından alenileştirilmiş olması nedeniyle Kanun'un 5. maddesinin ikinci fıkrasının (d) bendi uyarınca açık rıza aranmaksızın işlenebileceğini ileri sürdü.

Kurul 2019'da şu değerlendirmeyi yaptı: veri bir dönem o sitede bulunmuş olsa bile, şirket kişiye mesleki yetkinliğinden yararlanmak için değil kendi ticari faaliyeti için ulaşmıştı. Dolayısıyla işleme, alenileştirme amacına aykırıydı ve (d) bendi kapsamında değerlendirilemezdi.

Buradan sonrası kritik: Kurul cezayı doğrudan "alenileştirme" hükmüne bağlamadı. İşleme dayanaksız kalınca, hukuka aykırı işlemeyi önleyecek tedbirleri almamak (m.12/1-a) gerekçesiyle m.18/1-b uyarınca 100.000 TL idari para cezası uygulandı. Sulh ceza hâkimliği, alt sınırdan uzaklaşma gerekçesi yazılmadığı için cezayı 17.828 TL'ye indirdi ama esasta Kurul'u haklı buldu.

Anayasa Mahkemesi ne dedi?

Mahkeme, Genel Kurul olarak 27 Ocak 2026'da 2020/32193 sayılı kararıyla oybirliğiyle Anayasa'nın 38. maddesindeki suçta ve cezada kanunilik ilkesinin ihlal edildiğine hükmetti. Gerekçe iki ayaklı.

Birincisi, ölçüt kanunda yok. Kanun'un 5. maddesi alenileştirilmiş verilerin açık rıza aranmaksızın işlenebileceğini söylüyor; ancak alenileşmenin ne şekilde gerçekleşeceğine, alenileşme amacına ve bu amaca aykırı kullanımın bir yaptırıma bağlanıp bağlanmadığına ilişkin açık bir düzenleme içermiyor. Bu ölçüt yalnızca Kurumun Uygulama Rehberi'nde açıklanmış. Mahkemeye göre ceza, ancak kanun hükmünün öngörülemez şekilde geniş yorumlanmasıyla mümkün olmuş.

İkincisi, gerekçe eksik. Kararda, şirketin belirli bir amaçla alenileştirilmiş veriler bakımından neden veri sorumlusu sayıldığı ve verinin ilk paylaşıldığı sitenin sorumluluğu bulunup bulunmadığı ayrıca ve açıkça tartışılmamış. Veri sorumlusu sıfatının nasıl belirlendiğini ayrı bir yazıda ele almıştık; bu karar, sıfatın gerekçelendirilmesinin de bir zorunluluk olduğunu gösteriyor.

Arkadaki ilke: kabahatler sınırlı sayıdadır

Kararın dayandığı genel çerçeve, kabahat hukukunun temel kuralıdır: bir fiilin kabahat sayılması ve karşılığındaki yaptırım ancak kanunla belirlenebilir. Kanun'un 18. maddesi de idari para cezası gerektiren hâlleri sınırlı sayıda sayar — bugün beş bent hâlindedir — ve bu liste yorum ya da kıyas yoluyla genişletilemez.

Bir rehber, listedeki bir bendin kapsamını fiilen büyütüyorsa artık yol gösterme işlevinin dışına çıkmış olur. Kararın "öngörülemez şekilde geniş yorumlama" tespiti tam olarak buna işaret ediyor. Beş bendin güncel tutarlarını ceza tablomuzda bulabilirsiniz.

Neyi değiştirmiyor?

Kararın en çok yanlış aktarılabilecek yanı burası, çünkü Mahkeme bunu açıkça uyarıyor: ihlal kararından davanın neticesine ilişkin bir tutum çıkarılmamalıdır. Dosya yeniden yargılama için sulh ceza hâkimliğine gönderildi; sonucu o mahkeme verecek.

Bunun pratik anlamı şudur:

• Karar, alenî verinin serbestçe kullanılabileceğini söylemiyor. Alenileştirmenin amaçla sınırlı olduğu yorumu ortadan kalkmış değil.
• Karar, işlemenin hukuka uygun olduğunu da tespit etmiyor. Denetlenen şey işlemenin kendisi değil, cezanın dayanağı.

Şirketler için ne anlama geliyor?

Rehber, kanunun yerini tutmuyor. Kurumun rehberleri yorum ve yol gösterme işlevi görür; bir yaptırımın tek dayanağı olamaz. Bu, uyum tarafında rehberleri önemsizleştirmez — aksine, rehbere uymak hâlâ en güvenli yoldur — ama ceza aşamasında kanun metni belirleyicidir.

Aleni veriyi pazarlamada kullanmak yine de riskli. Ceza riski bu kararla zayıflamış olabilir; ancak ticari elektronik ileti mevzuatı, aydınlatma yükümlülüğü ve ilgili kişinin başvuru hakkı yerinde duruyor. Bir kişiyi izinsiz aramanın maliyeti yalnızca idari para cezası değildir.

Kararın gerekçesi kendi süreçlerinize de uygulanır. Bir işlemeye dayanak gösterirken o dayanağın kanunda karşılığını bulabiliyor musunuz? Alenî kaynaktan topladığınız verilerde kimin veri sorumlusu olduğunu yazılı olarak ortaya koyabiliyor musunuz? Bu iki soru, kararın şirketlere bıraktığı asıl ödevdir.

Sık yapılan yanılgılar

1. "AYM şirketi haklı buldu." Bulmadı. Cezanın dayanağını kanunilik ölçütünden geçiremedi; esas hakkında karar vermedi.
2. "Artık internetteki her veri kullanılabilir." Karar böyle bir serbestlik getirmiyor; yalnızca bu ölçüte dayalı cezayı kaldırıyor.
3. "Rehberler geçersiz oldu." Rehberler yorum kaynağı olmaya devam ediyor; tek başına yaptırım dayanağı olamayacağı söylendi.
4. "Kurul artık ceza kesemez." Kesebilir — ama dayanağını kanun metninde göstermesi ve gerekçesini eksiksiz kurması gerekiyor.
5. "Ceza kalktı, dosya bitti." Yeniden yargılama sürüyor; ayrıca ceza dışındaki sonuçlar ortadan kalkmıyor.

Bütüncül gözden geçirme

Karar, uyum çalışmasının en çok ihmal edilen adımını işaret ediyor: her işleme faaliyetinin dayanağını kanun metnine kadar götürebilmek. Bunun kurumsal karşılığı şudur: kişisel veri envanterinizde her satırın hukuki sebebi yazılı olmalı; sebep açık rıza değilse hangi bende dayandığı gösterilmeli; aydınlatma metinleriniz bu sebebi aynı biçimde anlatmalı; dış kaynaklardan elde edilen veriler için elde etme yöntemi ve kaynağı kayıt altında olmalı; VERBİS kaydınız bunlarla tutarlı kalmalı. Alenî kaynaklardan veri topluyorsanız, kimin veri sorumlusu olduğunu ve hangi amaçla işlediğinizi önceden yazılı hâle getirmek, kararın ikinci ayağının doğrudan cevabıdır.

Bu değerlendirme mevzuat okuması ile Kurul ve yargı içtihadını birlikte gerektirir; hukuki destek alınarak yapılmasını öneririz. Genç Partners, 2016'dan bu yana yürüttüğü uyum projelerindeki deneyimiyle dayanak haritasının çıkarılmasında yol gösterir. Açık rıza yönetimi hizmetimiz ise rızaya dayanan işlemelerin amaç bazında toplanmasını ve tarihçesiyle saklanmasını üstlenir. Kurul'un hangi hâllerde ceza kesip kesmediğini ayrı bir yazıda incelemiştik.

Özet

• AYM Genel Kurulu, 27/1/2026 tarihli 2020/32193 sayılı kararıyla oybirliğiyle kanunilik ilkesinin ihlal edildiğine hükmetti.
• Gerekçe: alenileşme amacı ölçütü Kanun'da değil, yalnızca rehberde yer alıyor; ceza hükmün öngörülemez biçimde geniş yorumlanmasıyla verilmiş.
• İkinci gerekçe: şirketin neden veri sorumlusu sayıldığı tartışılmamış.
• Karar işlemenin hukuka uygun olduğunu tespit etmiyor; yeniden yargılama sürüyor.
• Şirketler için ödev: her işlemenin dayanağını kanun metnine kadar götürebilmek ve veri sorumlusu sıfatını yazılı gerekçelendirmek.

Bu yazı bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Kararın somut süreçlerinize etkisi için hukuki destek alınız.