KVKK Kapsamında Verilen İdari Para Cezasına İlişkin Anayasa Mahkemesi Kararı Yayımlandı

Anayasa Mahkemesi’nin 27.01.2026 tarihli ve 2020/32193 başvuru numaralı Viennalife Emeklilik ve Hayat A.Ş. başvurusuna ilişkin kararı, 16.06.2026 tarihli ve 33282 sayılı Resmî Gazete’de yayımlandı.

Karar’da, kişisel verilerin hukuka aykırı işlenmesinin önlenmesi yükümlülüğü kapsamında uygulanan idari para cezası yönünden suçta ve cezada kanunilik ilkesinin ihlal edildiğine hükmedildi.

Aşağıda öne çıkan hususlar özetlenmiştir:

• Başvuruya konu olayda, ilgili kişi sigortacılık faaliyetleri hakkında görüşmek ve randevu talep etmek amacıyla başvurucu şirket tarafından arandığını belirterek, kişisel verilerinin açık rızası olmaksızın temin edilip kullanıldığı iddiasıyla Kişisel Verileri Koruma Kurumu’na şikâyette bulunmuştur. 
• Başvurucu şirket, ilgili kişinin ad, soyadı ve telefon bilgilerinin hizmetburada.com isimli internet sitesinden temin edildiğini ve söz konusu bilgilerin ilgili kişi tarafından kamuya açık hâle getirildiğini ileri sürmüştür.
• Kişisel Verileri Koruma Kurulu (Kurul), ilgili kişinin iletişim bilgilerinin internet sitesinde yer almasının, bu verilerin ticari iletişim amacıyla kullanılabileceği anlamına gelmediğini değerlendirmiş; alenileştirilmiş kişisel verilerin ancak alenileştirme amacıyla uyumlu şekilde işlenebileceğini belirtmiştir. 
• Bu kapsamda Kurul, başvurucu şirketin kişisel verilerin hukuka aykırı olarak işlenmesini önlemek amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirleri almadığı gerekçesiyle idari para cezası uygulanmasına karar vermiştir.
• Anayasa Mahkemesi, başvurucu şirketin şekli anlamda bir kanuna dayalı olarak cezalandırıldığını kabul etmekle birlikte, kanunilik ilkesi bakımında bu dayanağın yeterli açıklık ve öngörülebilirlik taşıyıp taşımadığını ayrıca incelemiştir.
• Mahkeme, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nda (KVKK) alenileştirme amacına ve kişisel verilerin bu amaca aykırı kullanılmasının yaptırıma bağlandığına ilişkin açık bir düzenleme bulunmadığını belirtmiştir. Ayrıca, başvurucu şirketin veri sorumlusu sıfatıyla sorumluluğunun ve veri işleme faaliyetinin hukuka aykırı kabul edilme nedeninin yeterli açıklıkta ortaya konulmadığını değerlendirmiştir.
• Bu değerlendirmeler ışığında Anayasa Mahkemesi, başvurucu şirkete idari para cezası uygulanmasının kanun hükmünün öngörülemez şekilde geniş yorumlanması sonucunu doğurduğuna; suçta ve cezada kanunilik ilkesinin ihlal edildiğine ve yeniden yargılama yapılması gerektiğine hükmetmiştir.

Karar, kişisel verilerin korunması alanında verilen idari yaptırımlarda, ihlale konu yükümlülüğün ve yaptırımının hukuk temelinin somut olay bakımından açık ve öngörülebilir şekilde ortaya konulması gerektiğine işaret etmektedir.