Makale

6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında öngörülen kabahatler ve bu kabahatlere karşılık gelen idari para cezaları, kanunun yürürlüğe girdiği tarihten itibaren hem hukukçular hem de veri sorumluları açısından en çok tartışılan konuların başında gelmektedir. Kanun koyucu, Avrupa Birliği Genel Veri Koruma Tüzüğü'nden (GDPR) farklı olarak, idari yaptırımların belirlenmesinde işletmelerin yıllık cirolarına dayalı oransal bir sistem benimsememiştir. Bunun yerine, her yıl yeniden değerleme oranında artırılan alt ve üst sınırlar arasında maktu bir ceza aralığı öngörülmüştür. İşbu geniş ceza aralığı, Kişisel Verileri Koruma Kurulu'na geniş bir takdir yetkisi tanımaktadır. Ancak bu yetkinin kullanımı, idare hukukunun temel prensiplerinden olan hukuki belirlilik ve öngörülebilirlik ilkeleriyle zaman zaman doğrudan karşı karşıya gelmektedir. Alt ve üst sınır arasındaki devasa farkın, veri sorumlusunun kusur ve ekonomik durumuna göre nasıl somutlaştırılacağı, idari yaptırımın adil ve ölçülü olması bakımından hayati bir önem taşımaktadır. Bu makalede, KVKK idari para cezalarının mülkiyet hakkına müdahale boyutu ve hukuki belirlilik ilkesi çerçevesinde nasıl yorumlanması gerektiği detaylı bir şekilde ele alınmaktadır.

İdarenin Takdir Yetkisi ve Mülkiyet Hakkına Müdahale

İdare hukukunda idari yaptırımların temel amacı, mevzuat ihlallerinin ceza mahkemelerini meşgul etmeden, idari makamlarca pratik bir şekilde cezalandırılmasını sağlayan depenalizasyon ilkesine dayanır. Ancak Kişisel Verilerin Korunması Kanunu uyarınca tesis edilen idari para cezalarının ulaştığı astronomik boyutlar göz önüne alındığında, bu yaptırımların yalnızca "basit bir kabahat" karşılığı olduğunu savunmak oldukça güçtür. Anayasa Mahkemesi kararlarında da açıkça vurgulandığı üzere, Kurul tarafından uygulanan yüksek tutarlı idari para cezaları mülkiyet hakkına müdahale teşkil etmektedir. Bu müdahalenin anayasal sınırlar içinde kalabilmesi için kanunilik, meşru amaç ve ölçülülük ilkelerine sıkı sıkıya bağlı kalınması gerekmektedir. İdareye bu denli geniş bir takdir yetkisi tanıyan alt ve üst sınırlar, özellikle küçük ve orta ölçekli işletmeler bakımından ticari faaliyeti durma noktasına getirecek düzeyde ağır ekonomik külfetler yaratma potansiyeline sahiptir.

Kabahatler Kanunu Kapsamında Kusur ve Orantılılık

Kanun’un "Kabahatler" başlıklı 18. maddesinin gerekçesinde, idari para cezalarının alt ve üst sınırları arasındaki makasın bilinçli olarak geniş tutulduğu ifade edilmiştir. Buradaki temel gaye, 5326 sayılı Kabahatler Kanunu'nun 17. maddesi uyarınca, yaptırım tesis edilirken kabahatin haksızlık içeriği, failin kusuru ve ekonomik durumu gibi unsurların birlikte değerlendirilerek hakkaniyetin sağlanmasıdır. Yani küçük bir aile şirketi ile çok uluslu bir holdingin aynı ihlali yapması durumunda, uygulanacak yaptırımın ekonomik büyüklüklerle orantılı olması hedeflenmiştir. Ne var ki, bu hedefin uygulamada ne ölçüde sağlandığı ve cezanın alt sınır ile üst sınır arasında hangi somut kriterlere göre kademelendirildiği konusu büyük bir soru işaretidir. Hakkaniyet arayışı, somut ve objektif hukuk kurallarına dayanmadığı sürece hukuki güvenlik ilkesi zedelenmeye devam edecektir. Veri sorumlusuna tesis edilecek cezanın yalnızca caydırıcı değil, aynı zamanda eylemin ağırlığıyla ölçülü ve adil olması hukuk devletinin bir gereğidir.

Kurul Kararlarında Gerekçeli Karar Hakkı ve Sebep Unsuru

Temel hak ve hürriyetlerin bir yansıması olan adil yargılanma hakkı, idari yaptırımların tesisinde gerekçeli karar hakkı olarak karşımıza çıkmaktadır. İdare hukukunda sebepsiz idari işlem olmaz prensibi uyarınca, Kurulun tesis ettiği her bir para cezasının objektif olarak belirlenmiş somut nedenlere dayanması şarttır. Kişisel Verileri Koruma Kurulu'nun çalışma usul ve esaslarını belirleyen mevzuat, Kurul kararlarının ve varsa karşı oy gerekçelerinin yazılmasını zorunlu kılmıştır. Mülkiyet hakkına bu denli müdahale eden idari para cezalarında, cezanın alt sınırdan uzaklaşılarak neden üst sınıra yaklaştığının her bir somut olay bakımından detaylıca gerekçelendirilmesi gerekmektedir. Zira idari işlemin sebep unsuru eksik bırakıldığında veya takdir yetkisinin hangi somut kriterlere dayanılarak kullanıldığı açıklanmadığında, uygulanan ceza şeffaflıktan uzaklaşarak hukuki belirlilik ilkesini doğrudan ihlal etmektedir.

Şeffaflık ve Öngörülebilirlik İçin Asgari Kriterler

İdari yaptırımların belirlenmesinde şeffaflığın ve öngörülebilirliğin sağlanabilmesi için, Kurul kararlarında dikkate alınması gereken başlıca unsurların detaylıca tartışılması zorunludur. Hukuk devletinin bir gereği olarak, takdir yetkisinin kullanımında şu somut kriterlerin karara yansıtılması beklenir:

• İhlalin Haksızlık İçeriği: Meydana gelen ihlalin etki alanı ve ilgili kişilerin temel haklarına yönelik oluşturduğu doğrudan riskler.
• Kusur Durumu: Veri sorumlusunun ihmal, kast veya kusur derecesinin hukuki dayanaklarla ve objektif standartlarla tespiti.
• Ekonomik Durum: Veri sorumlusunun mali gücü ve uygulanacak yaptırımın işletmenin ticari devamlılığını tamamen ortadan kaldıracak ölçüsüzlüğe ulaşmaması.
• Zarar Azaltıcı Eylemler: İhlal sonrasında veri sorumlusunun, olası zararları asgari düzeye indirmek maksadıyla gösterdiği işbirliği ve sergilediği iyi niyetli adımlar.

Bu kriterlerin idari yaptırım kararlarında açıkça tartışılması ve orantısız cezalardan kaçınılması, Türkiye'deki veri koruma hukukunun kökleşmesi ve uygulamada içtihat birliği kazanması adına hayati bir gerekliliktir.