KVKK Muhatabı Kimdir? Kimliği Belirsiz Kişiler “Veri Sorumlusu” Sayılabilir mi? (Karar: 2018/106)

Kişisel Verileri Koruma Kurulu (Kurul), 13/09/2018 tarihli bu stratejik kararı ile KVKK’nın idari yetki sınırlarını belirlemiştir. Karar, internet üzerindeki anonim saldırılar, iftiralar ve kimliği belirsiz kişilerce yapılan paylaşımlar karşısında Kurumun neden işlem yapamayacağını ve asıl çözüm adresinin neresi olduğunu netleştirmektedir.

---

1. Olayın Özeti: Anonim Hesaplardan Gelen İftira ve İfşa

Olay: İlgili kişi (kamu görevlisi veya çalışan), görevi gereği imzaladığı bazı resmi evrakların, kimliği belirsiz kişi veya kişilerce internet ortamında paylaşıldığını fark etmiştir. Paylaşımı yapan anonim hesaplar, ilgili kişinin isminin baş harflerini kullanarak şahıs hakkında iftira içerikli metinler yayımlamıştır.

İlgili kişi, bu “kimliği belirsiz” hesap sahiplerinin cezalandırılması talebiyle Kurul’a başvurmuştur.

---

2. Kurulun Hukuki Değerlendirmesi: “Veri Sorumlusu” Belirli Olmalıdır

Kurul, başvuruyu reddederken Kanun’un en temel kavramlarını analiz etmiştir:

• Veri Sorumlusu Tanımı (Md. 3): Kanun uyarınca veri sorumlusu; kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, kayıt sistemini yöneten gerçek veya tüzel kişidir. Hukuki bir yaptırım uygulanabilmesi için bu kişinin kimliğinin “belirli” veya “belirlenebilir” olması şarttır.
• Faili Meçhul Olaylar KVKK Kapsamına Girmez: Kurul, kim olduğu bilinmeyen, internetin anonimliği arkasına saklanan şahısların “veri sorumlusu” olarak tanımlanamayacağına hükmetmiştir. Kurumun elinde kişileri tespit etmeye yönelik adli bilişim veya emniyet güçlerine ait soruşturma yetkisi bulunmamaktadır.
• TCK Hükümleri ve Adli Merci Vurgusu (Md. 17): KVKK Madde 17 uyarınca, kişisel verilere ilişkin suçlar bakımından Türk Ceza Kanunu (TCK 135-140) hükümleri uygulanır. Eğer olay bir “suç” teşkil ediyorsa (iftira, özel hayatın gizliliğini ihlal, verileri hukuka aykırı yayma), muhatap Kurul değil, Cumhuriyet Savcılıklarıdır.

---

3. Karar Sonucu: “Adres Kurul Değil, Yargıdır”

Kurul inceleme neticesinde;

• İhlali gerçekleştirenlerin kimliğinin belirsiz olması,
• Olayın “iftira” ve “suç” unsurları barındırması,
• İlgili kişinin zaten yargı mercilerine başvurmuş olması,Nedenleriyle, şikayete konu paylaşımlar kapsamında Kurulca yapılacak bir işlem bulunmadığına karar vermiştir.

---

4. Özgür Eralp Perspektifi: “KVKK Bir Siber Suçla Mücadele Birimi Değildir”

Bilişim hukuku alanındaki tecrübemizde en çok karşılaştığımız hata, her internet mağduriyetinin KVKK ile çözüleceği sanrısıdır. Bir şirket verinizi sızdırırsa veya bir banka verinizi izinsiz işlerse Kurul devreye girer. Ancak bir “troll” hesabı size iftira atıyor veya belgenizi sızdırıyorsa, bu bir adli suçtur. Kurul’un ne birini gözaltına alma ne de IP adresi üzerinden kimlik tespit etme yetkisi vardır.

Bir yatırımcı avukat vizyonuyla uyarım şudur: İnternette anonim bir saldırıya uğradığınızda vaktinizi Kurul’a dilekçe yazarak kaybetmeyin. İlk adımınız “Bilişim Suçları Savcılığına” suç duyurusunda bulunmak ve erişimin engellenmesi için “Sulh Ceza Hakimliğine” başvurmak olmalıdır. KVKK, “belirli” bir veri sorumlusuna (şirket, kurum veya kimliği net şahıs) karşı idari bir silahtır; “kimliği belirsiz” hayaletlere karşı ise TCK’nın kılıcı kullanılır.

---

Sıkça Sorulan Sorular

1. Sosyal medyada sahte bir hesap verilerimi paylaşırsa KVKK ceza keser mi?

Hayır. Kurul, kimliği belirsiz kişileri “veri sorumlusu” kabul etmez. Bu durumda doğrudan savcılığa giderek suç duyurusunda bulunmalısınız.

2. Verilerimi sızdıranın kim olduğunu biliyorsam ne olur?

Eğer fail belliyse (örneğin eski bir iş arkadaşı veya rakip bir firma şahsı), o kişi artık “belirli bir gerçek kişi” olduğu için hem suç duyurusunda bulunabilir hem de KVKK’ya şikayet edebilirsiniz.

3. Kurul neden kimlik tespiti yapmıyor?

Kurul idari bir makamdır, adli bir makam değildir. IP adresinden kimlik tespiti yapmak, telefon kayıtlarını incelemek gibi işlemler emniyet ve savcılık birimlerinin yetkisindedir.

4. İftira içerikli metinlerde KVKK’nın hiçbir rolü yok mu?

Eğer iftirayı atan “belirli bir şirket” ise (örneğin bir gazete veya kurumsal bir hesap), “verilerin hukuka ve dürüstlük kuralına aykırı işlenmesi” nedeniyle Kurul yaptırım uygulayabilir. Ancak anonim hesaplarda yetki yargıdadır.

5. “Görevi nedeniyle imzaladığı evrakın paylaşılması” ne anlama gelir?

Bu durum genellikle kamu görevlilerinin imzasının bulunduğu belgelerin, o kişiyi yıpratmak amacıyla sızdırılmasıdır. Bu eylem hem “kişisel verilerin korunması” ihlalidir hem de “evrakta gizliliğin ihlali” gibi farklı suçları doğurabilir.

---

Kaynaklar

• KVKK Kurumu – 2018/106 Sayılı Karar Özeti
• 6698 Sayılı KVKK (Madde 2, 3 ve 17)
• Türk Ceza Kanunu (Madde 135-140)

---

Etiketler

KVKK, Veri Sorumlusu, Anonim Hesaplar, İftira, Siber Suçlar, Türk Ceza Kanunu, Kişisel Veri İhlali, Bilişim Hukuku, Özgür Eralp, Kimlik Tespiti, Adli Süreç, Veri Sızdırılması, Savcılık Şikayeti