Özel Hayata Saygı ve Kişisel Verilerin Korunması: Hak İhlalleri ve Başvuru Yolları

Özel hayata saygı hakkı, kişinin mahrem alanını, kimliğini, ilişkilerini ve kendisine ilişkin bilgilerin kullanımını korur. Koruma yalnızca konut içinde yaşananlarla sınırlı değildir. İşyerindeki yazışmalar, sağlık kayıtları, fotoğraflar, konum bilgileri ve internette kişiye ilişkin haberlerin erişilebilirliği de bu hakkı ilgilendirebilir. Kişisel verilerin korunması ise özel hayatla bağlantılı olmakla birlikte kendine özgü kuralları ve başvuru usulleri bulunan bir alandır.

Bir ihlalde doğru yol, önce fiilin ve talebin belirlenmesine bağlıdır: Verinin silinmesi, yayının durdurulması, işten çıkarma işleminin denetlenmesi, tazminat veya ceza soruşturması farklı yollar gerektirebilir. KVKK’ya şikâyet, savcılığa suç duyurusu ve hukuk davası birbirinin yerine geçen tek bir başvuru değildir. Bu makale, Anayasa’nın 20. ve 22. maddeleri, 6698 sayılı Kanun ve gerçek yargı kararları üzerinden bu ayrımları açıklar. [1] [2]

Özel hayat ve kişisel veri arasındaki ilişki

Kişisel veri yalnızca gizli bilgi değildir

Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin bilgi kişisel veri olabilir. Ad, telefon numarası, görüntü, çalışan performans kaydı ve cihazla ilişkilendirilen konum bilgisi buna örnektir. Bir bilginin herkesçe görülebilir olması, her amaçla sınırsız kullanılabileceği anlamına gelmez. Verinin kaydedilmesi, aktarılması, sınıflandırılması ve erişilebilir tutulması ayrı işleme faaliyetleri oluşturabilir. [2, m. 3–5]

Bununla birlikte her veri işleme faaliyeti için mutlaka açık rıza alınması gerektiği de doğru değildir. Kanun, açık rızanın yanında kanunda öngörülme, sözleşmenin kurulması veya ifası, hukuki yükümlülük, hakkın tesisi ya da korunması ve belirli koşullarda meşru menfaat gibi başka işleme şartları düzenler. Hangi şartın kullanıldığı somut faaliyet bakımından belirlenmeli; genel ilkeler ayrıca uygulanmalıdır.

Aydınlatma ile açık rıza aynı işlem değildir

Aydınlatma, kişiye veri sorumlusu, işleme amacı, aktarım, toplama yöntemi, hukuki sebep ve hakları hakkında bilgi verilmesidir. Açık rıza ise belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan irade beyanıdır. Aydınlatma metninin imzalanması her durumda geçerli açık rıza bulunduğunu göstermez. Rıza alınmış olması da amaçla ilgisiz, aşırı veya süresiz veri işlemeyi hukuka uygun hâle getirmez. [2, m. 3, 4 ve 10]

Örneğin bir işe başvuru için gerekli olmayan sağlık bilgilerinin geniş kapsamlı istenmesi, yalnızca formda rıza kutusu bulunmasıyla açıklanamaz. Gereklilik, özel nitelikli veri işleme şartı ve saklama süresi ayrı incelenir. Rızanın geri alınması hâlinde başka bir hukuki saklama sebebi bulunup bulunmadığı da değerlendirilmelidir.

Kişisel verilerin korunmasının insan hakkı boyutu, Özkaya ve Toprak’ın AYM kararlarına dayanan çalışmasında da ele alınır. Kılınç’ın anayasal koruma incelemesi kavramsal gelişimi açıklayan daha eski bir kaynaktır. Özellikle 2012 tarihli metindeki kanun tasarısı ve eski Avrupa Birliği düzenlemeleri, bugün yürürlükteki 6698 sayılı Kanun’un yerine kullanılmamalıdır. Güncel hak ve yükümlülükler mevcut kanun metnine göre belirlenir. [14] [15]

Özel nitelikli veriler ve güncel KVKK düzenlemeleri

2024 değişikliği neden önemlidir?

6698 sayılı Kanun’un 6. maddesi 7499 sayılı Kanun’la değiştirilmiştir. Sağlık, biyometrik ve genetik veriler ile maddede sayılan diğer özel nitelikli veriler bakımından yalnızca eski açık rıza ve sağlık istisnası ayrımını aktarmak güncel hukuku yansıtmaz. Yeni düzenleme, kanunda açıkça öngörülme, hukuki hakların kullanılması, belirli sağlık hizmetleri ve istihdam ile sosyal güvenlik yükümlülükleri gibi farklı şartlar içerir. Her şartın kendi kapsamı vardır. [2, m. 6]

Bir işverenin sağlık belgesi saklaması ile aynı belgeyi bütün yöneticilere göndermesi farklı faaliyetlerdir. Hukuki dayanak birincisine izin verse bile ikincisinin amaç, gereklilik ve erişim yetkisi bakımından ayrıca açıklanması gerekir. Veri sorumlusu, erişebilen kişileri ve saklama süresini sınırlandırmalı, uygun güvenlik tedbirlerini almalıdır.

Yurt dışına aktarım ayrı değerlendirilir

Kanun’un 9. maddesi de 2024’te değişmiştir. Yeterlilik kararı, uygun güvenceler ve arızi aktarımlara ilişkin istisnai koşullar birbirinden farklı mekanizmalardır. Yabancı bir hizmet sağlayıcı kullanılması hâlinde verinin nerede işlendiği, kimlerin erişebildiği ve aktarımın hukuki dayanağı belirlenmelidir. Genel bir rıza cümlesi bütün düzenli aktarımları otomatik olarak geçerli kılmaz. [2, m. 9]

Başvurucu açısından önemli olan, yalnızca uygulamanın yabancı kökenli olduğunu ileri sürmek değil; hangi kişisel verinin, hangi alıcıya ve hangi faaliyet kapsamında aktarıldığını mümkün olduğunca açıklamaktır. Veri sorumlusuna yöneltilecek bilgi talebi bu ayrımı aydınlatabilir.

İşyerinde e-posta, kamera ve iletişim denetimi

E.Ü. kararı: belirsiz ve geniş denetimin sorunu

AYM Genel Kurulunun E.Ü., B. No: 2016/13010, 17/9/2020 tarihli kararında işverenin kurumsal e-posta hesabındaki yazışmaları incelemesi değerlendirilmiştir. Önceden bilgilendirme, denetimin gerekliliği, daha az müdahaleci yöntemler ve incelemenin kapsamı yeterince gözetilmediği için kişisel verilerin korunmasını isteme hakkı ile haberleşme hürriyetinin ihlal edildiği sonucuna ulaşılmıştır. [3, §§ 68–79]

Karar, işverene ait sistemlerde hiçbir denetim yapılamayacağını söylemez. Meşru amacın ne olduğu, iletişim trafiğinin mi yoksa içeriğin mi incelendiği, hangi tarihler ve kişilerle sınırlı kalındığı, sonucun nasıl kullanıldığı önemlidir. E-posta hesabının kurumsal olması, çalışanın bütün mahremiyet beklentisini ortadan kaldırmaz.

Celal Oraj Altunörgü: somut güvencelerin bulunduğu örnek

AYM Birinci Bölümünün Celal Oraj Altunörgü, B. No: 2018/31036, 12/1/2021 tarihli kararında ihlal bulunmamıştır. İş sözleşmesindeki önceden bilgilendirme, hesabın iş amaçlı kullanımıyla ilgili kurallar, denetimin amacı ve yargılamadaki değerlendirme sonuca etkili olmuştur. [4, §§ 30–45]

İki karar birlikte okunduğunda denetimin adı değil, koşulları belirleyicidir. Bu ikinci karar, çalışanın sessiz kalmasının bütün KVKK işlemleri için açık rıza sayılacağı şeklinde genelleştirilemez. Sözleşmede denetim kaydı bulunması da sınırsız içerik taramasına izin vermez. Her faaliyetin hukuki sebebi ve ölçülülüğü ayrı değerlendirilir.

2026 tarihli Kurul ilke kararı

Kişisel Verileri Koruma Kurulunun 16/9/2026 tarihli ve 2026/2035 sayılı ilke kararı, kurumsal iletişim araçlarının denetiminde teknik erişim olanağı ile hukuki erişim yetkisini ayırır. Önceden bilgilendirme ile KVKK anlamındaki aydınlatmanın aynı olmadığını; denetimin kademeli, amaçla sınırlı ve erişim yetkileri belirlenmiş biçimde yürütülmesi gerektiğini açıklar. İş ilişkisinin sona ermesi, hesabın süresiz incelenmesini haklı kılmaz. [5]

Bu nedenle işyerinde uygulanacak politika, yalnızca “hesaplar denetlenebilir” cümlesinden oluşmamalıdır. Amaç, kapsam, yöntem, içerik incelemesine geçiş koşulları, saklama süresi ve ilgili kişinin hakları anlaşılır biçimde düzenlenmelidir. Çalışan ise uyuşmazlıkta kendisine verilen politika ve sözleşmenin hangi sürümünün yürürlükte olduğunu belgelemelidir.

İnternette fotoğraf, haber ve unutulma hakkı

N.B.B. kararı: geçmiş haberler bakımından denge

AYM Genel Kurulunun N.B.B., B. No: 2013/5653, 3/3/2016 tarihli kararında yaklaşık on dört yıl önceki ceza yargılamasına ilişkin haberlerin kolayca erişilebilirliği incelenmiştir. Başvurucunun kamusal konumu, haberin güncelliği ve devam eden toplumsal yararı değerlendirilmiş; Anayasa’nın 17. maddesindeki şeref ve itibarın korunması hakkının ihlal edildiğine karar verilmiştir. Bu kararın hükmü, doğrudan 20. madde ihlali olarak aktarılmamalıdır. [6, §§ 64–75]

Unutulma hakkı, geçmişin bütünüyle silinmesini isteme yetkisi değildir. Haber arşivinin korunması ve kamunun bilgiye erişimi de dikkate alınır. İçeriğin tamamen kaldırılması yerine kişisel verilerin anonimleştirilmesi veya adla yapılan aramalardaki erişilebilirliğin sınırlandırılması gibi daha hafif çözümler somut olayda değerlendirilebilir. İstenen önlem, ihlalin kaynağına uygun olmalıdır.

5651 sayılı Kanun’un 9. maddesi ile 9/A karıştırılmamalıdır

Güncel kanun metninde 9. madde, AYM’nin E.2020/76, K.2023/172 sayılı kararıyla iptal edilmiş olarak yer almaktadır. Eski karar veya dilekçelerdeki 9. madde yolunu bugün yürürlükteymiş gibi göstermek hatalıdır. Özel hayatın gizliliğine ilişkin 9/A maddesi ise ayrı bir düzenlemedir. [7]

9/A kapsamında BTK’ya yapılacak talepte ihlale neden olan yayının tam adresi, ihlalin açıklaması ve kimlik bilgileri bulunmalıdır. Kanun, talebin ardından sulh ceza hâkimine yirmi dört saat içinde başvurulmasını ve hâkimin kırk sekiz saat içinde karar vermesini öngörür. Tedbirin devamı bu usule bağlıdır. Bu yol, kişilik haklarına ilişkin bütün uyuşmazlıklara uygulanabilecek genel bir kaldırma mekanizması değildir.

Veri sorumlusuna başvuru ve Kurula şikâyet

Önce veri sorumlusundan ne istenir?

6698 sayılı Kanun’un 11. maddesi kapsamında verinin işlenip işlenmediğini öğrenme, bilgi isteme, amaca uygun kullanılıp kullanılmadığını öğrenme, alıcıları bilme, düzeltme ve koşulları varsa silme veya yok etme talepleri yöneltilebilir. Başvuruda ilgili kayıt, olay ve talep açıkça belirtilmelidir. Başvuru, Kanun ve ilgili usul düzenlemelerinin kabul ettiği yöntemle yapılmalı; gönderim ve ulaşma kanıtı saklanmalıdır. [2] [8]

Veri sorumlusu talebi en kısa sürede ve en geç otuz gün içinde sonuçlandırır. Başvuruya yanıt verilmemesi, talebin reddi veya yanıtın yetersizliği Kurula şikâyet yolunu gündeme getirir. Veri sorumlusuna başvurmadan yapılan şikâyet, Kanun’un 14. maddesindeki ön koşul nedeniyle incelenemeyebilir.

Otuz ve altmış günlük süreler nasıl ayrılır?

Kural, veri sorumlusunun cevabının öğrenilmesinden itibaren otuz gün ve her durumda veri sorumlusuna başvuru tarihinden itibaren altmış gündür. Ancak bu iki süre, başvurucuya her olayda serbestçe seçebileceği altmış günlük süre vermez. Kurulun 24/1/2019 tarihli, 2019/9 sayılı kararı bu ayrımı açıklamaktadır. [9]

Süre hesabında başvuru tarihi, cevabın içeriği ve öğrenilme kaydı birlikte tutulmalıdır. Eksik ekler, kimlik veya temsil bilgisi, önceki başvurunun kanıtlanamaması gibi usul eksiklikleri de başvurunun incelenmesini güçleştirir. Kurumun güncel usul duyuruları işlem öncesinde kontrol edilmelidir. [8] [9]

Tazminat, ceza soruşturması ve diğer yollar

Kurul şikâyeti kişiye tazminat ödenmesi değildir

Kurul, veri işleme faaliyetini inceleyebilir ve yetkisi kapsamında düzeltici işlem veya idari yaptırım uygulayabilir. İdari para cezası başvurucuya ödenen tazminat değildir. Kişilik hakkı zararları için Türk Medeni Kanunu’nun 24 ve 25. maddeleri ile Türk Borçlar Kanunu’nun ilgili hükümleri çerçevesinde yargısal talepler değerlendirilebilir. Zarar, hukuka aykırılık ve nedensellik somutlaştırılır. [2] [10] [11]

Kurulun idari para cezalarına karşı başvuru yolunda da güncel hüküm önemlidir: 6698 sayılı Kanun’un 18. maddesindeki 2024 değişikliğiyle idare mahkemelerinde dava yolu düzenlenmiştir. Eski sulh ceza hâkimliği anlatımları ve geçiş dönemindeki dosyalar, güncel olaylara doğrudan uygulanmamalıdır. Diğer Kurul işlemleri ve zarar talepleri kendi hukuki niteliklerine göre incelenir. [2]

Suç duyurusu hangi durumlarda gündeme gelir?

Özel hayatın gizliliğini ihlal, kişisel verilerin hukuka aykırı kaydedilmesi veya verilmesi ve ele geçirilmesi farklı suç tipleridir. Her KVKK aykırılığı suç oluşturmaz; ceza normunun unsurları ayrıca aranır. Şikâyete bağlılık ve süre de suç tipine göre değişebilir. Bütün veri ihlallerine tek bir altı aylık şikâyet süresi uygulamak doğru değildir. [12]

Delil elde ederken başka kişilerin hesaplarına izinsiz girilmemeli veya yeni bir hukuka aykırı kayıt oluşturulmamalıdır. Mevcut mesajların asılları, URL ve tarih bilgileri, erişim kayıtları, başvuru cevapları ve hukuka uygun tespitler korunmalıdır. Ekran görüntüsü yararlı olabilir; ancak kaynağı ve bağlamı belirsiz tek görüntü her uyuşmazlıkta yeterli olmayabilir.

AYM bireysel başvurusu nasıl hazırlanır?

AYM’ye yöneltilecek şikâyet, özel kişinin fiilini aktarmakla sınırlı kalmamalıdır. Kamu makamlarının doğrudan müdahalesi veya özel kişi karşısında koruma sağlama yükümlülüğünün nasıl yerine getirilmediği açıklanmalıdır. Mahkemenin hangi belirleyici iddiayı incelemediği, çatışan hakları nasıl dengelediği ve daha hafif önlemlerin neden tartışılmadığı gösterilebilir. [1] [13]

İhlali gidermeye elverişli olağan yollar tüketilir ve kural olarak nihai kararın öğrenilmesinden itibaren otuz günlük süre gözetilir. Kurula başvurunun bütün dava veya AYM sürelerini kendiliğinden durdurduğu varsayılmamalıdır. Başvuru dosyasında olay, veri kategorisi, işleme faaliyeti, önceki itirazlar, nihai karar ve giderim talebi açık bağlarla kurulmalıdır. Hukuka aykırı elde edildiği ileri sürülen kişisel verileri gereksiz yere yeniden yaymak yerine zorunlu belgelerle sınırlı kalınmalıdır.

Başvurunun sunulması ve elektronik kanal

6216 sayılı Kanun’un 47. maddesinde doğrudan AYM’ye, mahkemeler veya yurt dışı temsilcilikleri aracılığıyla başvuru düzenlenir. Avukatlar ayrıca 1 Ekim 2025’ten itibaren UYAP Avukat Portalı üzerinden elektronik bireysel başvuru yapabilmektedir. Formun kaydedilmesi ile gönderimin tamamlanması aynı değildir; imza, ekler, harç veya adli yardım talebi ve başvuru kaydı kontrol edilmelidir. Bu imkân bütün elektronik iletişim kanallarının geçerli olduğu anlamına gelmez. [16]

Konunun ayrıntıları için internetten içerik kaldırma ve erişimin engellenmesi ve sosyal medya paylaşımı nedeniyle işten çıkarma yazılarımıza da bakabilirsiniz.

Sonuç

Özel hayat ve kişisel veri ihlallerinde etkili koruma, önce faaliyetin doğru tanımlanmasını gerektirir. Rıza, aydınlatma, işleme şartı ve ölçülülük ayrı konulardır. İşyerindeki denetimden internet haberlerine kadar her olayda amaç, kapsam, süre ve kişiye etkiler değerlendirilir. Veri sorumlusuna başvuru ile Kurula şikâyetin süreleri dikkatle izlenmeli; tazminat, ceza ve anayasal başvuru talepleri kendi usullerine göre hazırlanmalıdır. Özel hayata saygı iddiasının eğitim hakkıyla birlikte ileri sürüldüğü bir örnek için eş değer sınava çağrılma ve eğitim hakkı yazısına bakılabilir.

Sıkça Sorulan Sorular

İnternette açık olan bilgilerim sınırsız kullanılabilir mi?

Hayır. Aleniyet, her amaçla işleme izni değildir. Kullanımın hukuki sebebi, amacı ve kapsamı değerlendirilir.

İşveren kurumsal e-postamı okuyabilir mi?

Belirli koşullarda denetim mümkün olabilir. Ancak meşru amaç, önceden bilgilendirme, aydınlatma, hukuki işleme şartı ve ölçülülük gerekir. Kurumsal hesap sahipliği sınırsız denetim yetkisi vermez.

Veri sorumlusu cevap vermediğinde ne yapmalıyım?

Otuz günlük cevap süresi dolduktan sonra, ilk başvurudan itibaren altmış günlük sınır içinde Kurula şikâyet yolu değerlendirilebilir. Başvurunun ulaştığını gösteren belge saklanmalıdır.

KVKK şikâyeti ile manevi tazminat alabilir miyim?

Kurulun idari para cezası size ödenmez. Tazminat için uyuşmazlığın niteliğine uygun yargısal yol ayrıca değerlendirilir.

Eski haberlerin tamamını sildirebilir miyim?

Otomatik bir silme hakkı yoktur. Güncellik, kamusal yarar, kişinin konumu, içerik ve erişilebilirliğin etkisi tartılır. Anonimleştirme gibi daha sınırlı çözümler de gündeme gelebilir.

Açık rızam varsa yapılan her işlem hukuka uygun mudur?

Hayır. Rızanın geçerliliği yanında amaçla sınırlılık, veri minimizasyonu, güvenlik ve saklama ilkeleri de uygulanır.

Kaynakça

[1] Türkiye Cumhuriyeti Anayasası, m. 17, 20, 22, 26 ve 148.

[2] 6698 sayılı Kişisel Verilerin Korunması Kanunu, güncel metin.

[3] AYM, E.Ü. [GK], B. No: 2016/13010, 17/9/2020.

[4] AYM, Celal Oraj Altunörgü, B. No: 2018/31036, 12/1/2021.

[5] KVKK, 16/9/2026 tarihli ve 2026/2035 sayılı ilke kararına ilişkin resmî duyuru.

[6] AYM, N.B.B. [GK], B. No: 2013/5653, 3/3/2016.

[7] 5651 sayılı Kanun, iptal edilmiş m. 9 ve yürürlükteki m. 9/A.

[8] KVKK, Kuruma yapılan şikâyetlerin usul şartlarına ilişkin kamuoyu duyurusu.

[9] KVKK, başvuru ve şikâyet süreleri hakkında 24/1/2019 tarihli, 2019/9 sayılı karar.

[10] 4721 sayılı Türk Medeni Kanunu, m. 24–25.

[11] 6098 sayılı Türk Borçlar Kanunu, özellikle m. 58 ve 72.

[12] 5237 sayılı Türk Ceza Kanunu, özellikle m. 134–140.

[13] 6216 sayılı Kanun, m. 45–50.

[14] Ömer Özkaya ve İbrahim Toprak, “Anayasa Mahkemesi Kararları Işığında Bir İnsan Hakkı Olarak Kişisel Verilerin Korunması”, Sayıştay Dergisi, 33(124), 2022, ss. 71–99; özellikle s. 76.

[15] Doğan Kılınç, “Anayasal Bir Hak Olarak Kişisel Verilerin Korunması”, Ankara Üniversitesi Hukuk Fakültesi Dergisi, 61(3), 2012, ss. 1089–1169 (PDF basılı sayfaları); kavramsal bölüm s. 1094.

[16] AYM, Bireysel Başvurular UYAP Avukat Portalı Üzerinden Alınmaya Başlandı.