Anayasa Mahkemesi, kişisel verileri hukuka aykırı olarak verme, yayma veya ele geçirme suçlarının soruşturulması için mağdurun şikâyetinin aranmayacağına ilişkin düzenlemenin Anayasa'ya uygun olduğuna karar verdi. 14 Temmuz 2026 tarihli Resmî Gazete'de yayımlanan karar, kişisel verilerin korunması alanında ceza hukuku uygulamalarını doğrudan etkileyecek önemli sonuçlar doğuruyor.
Osmaniye 13. Asliye Ceza Mahkemesi tarafından yapılan başvuruda, Türk Ceza Kanunu'nun 139. maddesinin Anayasa'ya aykırı olduğu ileri sürüldü. Başvurunun temel gerekçesi, özel hayatın gizliliğini ihlal suçlarının bazı hâllerde şikâyete bağlı olmasına rağmen, kişisel verileri hukuka aykırı olarak verme, yayma veya ele geçirme suçlarının resen soruşturulmasının eşitlik ilkesine aykırılık oluşturduğu iddiasıydı. Anayasa Mahkemesi ise 16 Nisan 2026 tarihli ve E.2026/34, K.2026/81 sayılı kararıyla bu iddiayı oybirliğiyle reddetti. Böylece mevcut düzenlemenin Anayasa'ya uygun olduğu kesinleşmiş oldu.
Kararda, kişisel verilerin hukuka aykırı şekilde işlenmesinin yalnızca mağdurun bireysel haklarını ihlal etmediği, aynı zamanda toplumun kişisel verilerin korunmasına duyduğu güveni ve kamu düzenini de etkilediği vurgulandı. Mahkemeye göre kişisel verilerin korunması, günümüzde yalnızca bireysel bir menfaat değil; dijital güvenlik, bilgi sistemlerine duyulan güven ve temel hakların korunması bakımından kamusal nitelik taşıyan bir hukuki değerdir. Bu nedenle söz konusu suçların soruşturulmasının mağdurun iradesine bırakılmaması, kamu yararının bir gereği olarak değerlendirildi. Karar aynı zamanda, suçların hangi usulle soruşturulacağı konusunda kanun koyucunun sahip olduğu takdir yetkisinin Anayasa'ya uygun şekilde kullanıldığını da ortaya koymaktadır.
Anayasa Mahkemesi'nin kararıyla birlikte, kişisel verilerin hukuka aykırı olarak ele geçirildiği, yayıldığı veya üçüncü kişilerle paylaşıldığı yönünde bir ihbar, tespit veya başka bir delil bulunması hâlinde Cumhuriyet savcılıkları mağdurun şikâyetini beklemeksizin resen soruşturma başlatabilecektir. Bu durum özellikle; veri sızıntıları, siber saldırılar, çalışan kaynaklı veri ihlalleri, yetkisiz erişim vakaları ve kişisel verilerin hukuka aykırı paylaşılması gibi olaylarda ceza soruşturmalarının daha hızlı başlamasına imkân sağlayacaktır. Dolayısıyla mağdurun şikâyetçi olmaması, ceza soruşturmasının yürütülmesine engel oluşturmayacaktır.
Karar, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında faaliyet gösteren tüm veri sorumluları bakımından da önemli sonuçlar doğurmaktadır. Artık bir veri ihlalinin ortaya çıkması hâlinde yalnızca KVKK kapsamında idari para cezaları veya tazminat sorumluluğu değil, aynı zamanda mağdurun başvurusu olmasa dahi ceza soruşturması riski de gündeme gelebilecektir. Bu nedenle şirketlerin; KVKK uyum programlarını güncel tutmaları, teknik ve idari güvenlik tedbirlerini düzenli olarak gözden geçirmeleri, çalışanlara veri güvenliği konusunda periyodik eğitim vermeleri, veri ihlali müdahale planlarını oluşturmaları ve veri ihlallerini hızlı şekilde tespit ederek hukuki yükümlülüklerini yerine getirmeleri her zamankinden daha büyük önem taşımaktadır.
Anayasa Mahkemesi'nin bu kararı, kişisel verilerin korunmasına ilişkin ceza hukuku yaklaşımının giderek daha güçlü bir kamu düzeni perspektifiyle şekillendiğini göstermektedir. Dijital ekonominin gelişmesiyle birlikte kişisel verilerin korunması yalnızca bireylerin özel hayatına ilişkin bir mesele olmaktan çıkmış; şirketlerin kurumsal yönetişim, bilgi güvenliği ve hukuki uyum süreçlerinin temel unsurlarından biri hâline gelmiştir. Bu nedenle veri sorumlularının yalnızca KVKK yükümlülüklerini yerine getirmeleri yeterli olmayıp, olası veri ihlallerinin ceza hukuku boyutunu da dikkate alan kapsamlı bir uyum politikası oluşturmaları gerekmektedir. Etkin iç denetim mekanizmaları, düzenli risk analizleri ve güncel veri güvenliği uygulamaları, hem hukuki hem de cezai sorumluluk risklerinin azaltılması açısından kritik önem taşımaktadır.
Sonuç olarak Anayasa Mahkemesi'nin kararı, kişisel verileri hukuka aykırı olarak verme, yayma veya ele geçirme suçlarının artık mağdurun şikâyetine bağlı olmayan, kamu yararını ilgilendiren suçlar olarak değerlendirilmesi gerektiğini bir kez daha ortaya koymuştur. Özellikle veri işleyen şirketler bakımından bu karar, KVKK uyumu, bilgi güvenliği, siber risk yönetimi ve ceza hukuku sorumluluğunun birlikte ele alınmasını zorunlu kılmaktadır. Dijital çağda kişisel verilerin korunmasına ilişkin yükümlülüklerin eksiksiz yerine getirilmesi, yalnızca idari yaptırımların değil, aynı zamanda resen yürütülebilecek ceza soruşturmalarının da önüne geçebilmek açısından büyük önem taşımaktadır.
EN
IT