KVKK Kapsamında İdari Yaptırımlara İlişkin AYM Kararı

Anayasa Mahkemesi’nin (“AYM”), 27 Ocak 2026 tarihli ve 2020/32193 başvuru numaralı kararı (“Karar”), 16 Haziran 2026 tarihli ve 33282 sayılı Resmî Gazete’de yayımlanmıştır.

Karar’da AYM, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) kapsamında Kişisel Verileri Koruma Kurulu (“Kurul”) tarafından uygulanan idari para cezasını, Anayasa’nın 38. maddesinde güvence altına alınan suçta ve cezada kanunilik ilkesi yönünden incelemiştir. Bu kapsamda AYM, idari yaptırımlar bakımından ihlal edildiği ileri sürülen yükümlülüğün ve buna bağlanan yaptırımın açık, belirli ve öngörülebilir bir kanuni dayanağa dayanması gerektiğini vurgulamıştır.

Karar’a konu olayda, başvurucu şirket tarafından internet ortamında kamuya açık şekilde yer alan iletişim bilgilerinin sigorta hizmetlerinin pazarlanması amacıyla kullanılması üzerine Kurul tarafından idari para cezası uygulanmıştır. Başvurucu şirket, ilgili kişinin iletişim bilgilerinin kamuya açık bir internet sitesinden elde edildiğini ve bu nedenle söz konusu verilerin Kanun’un 5/2-d maddesi kapsamında alenileştirilmiş veri niteliğinde olduğunu savunmuştur. Buna karşılık Kurul, alenileştirilmiş kişisel verilerin ancak alenileştirilme amacıyla uyumlu şekilde işlenebileceğini değerlendirerek, söz konusu verilerin pazarlama amacıyla kullanılmasını hukuka aykırı bulmuş ve başvurucu şirket hakkında idari para cezası uygulanmasına karar vermiştir.

AYM tarafından yapılan değerlendirmede, Kanun’da alenileştirilmiş kişisel verilerin açık rıza aranmaksızın işlenebileceğinin düzenlendiği, buna karşılık alenileştirme amacına aykırı kullanım halinde idari para cezası uygulanacağına ilişkin açık, belirli ve öngörülebilir bir kanuni düzenleme bulunmadığı belirtilmiştir. Bu kapsamda AYM, Kanun’da açıkça yaptırıma bağlanmayan ve sınırları belirli olmayan bir yükümlülüğün, rehberler ve idari yorumlar aracılığıyla genişletilerek idari para cezasına dayanak yapılmasının suçta ve cezada kanunilik ilkesiyle bağdaşmadığı sonucuna varmıştır.

Bu doğrultuda Karar, Kurul’un alenileştirilmiş kişisel verilerin işlenmesine ilişkin önceki yaklaşımının, Kanun’da açıkça öngörülmeyen yeni bir yükümlülük veya yaptırım alanı yaratacak şekilde uygulanamayacağını göstermesi bakımından önem taşımaktadır. AYM, Kurul kararları ve rehberlerin uygulamada yol gösterici olabileceğini kabul etmekle birlikte, bunların Kanun’un açık düzenlemesinin önüne geçemeyeceğini ve kanunilik ilkesi gereğince idari yaptırımların ancak açık, belirli ve öngörülebilir bir kanuni dayanağa dayanabileceğini ortaya koymuştur.

Karar’a buradan ulaşabilirsiniz: