Yargıtay Dairesi : 12. Ceza Dairesi
Mahkemesi : ŞANLIURFA 4. Asliye Ceza
Günü : 26.03.2009
Sayısı : 647-193

Kişisel verileri hukuka aykırı olarak verme veya ele geçirme suçundan sanık Ö.. A..'ın 5237 sayılı TCK’nun 136/1, 62 ve 51. maddeleri uyarınca 10 ay hapis cezası ile cezalandırılmasına ve cezasının ertelenmesine ilişkin, Şanlıurfa 4. Asliye Ceza Mahkemesince verilen 26.03.2009 gün ve 647-193 sayılı hükmün sanık tarafından temyiz edilmesi üzerine dosyayı inceleyen Yargıtay 12. Ceza Dairesince 15.05.2012 gün ve 15747-12099 sayı ile; onanmasına oyçokluğuyla karar verilmiş,
Daire Üyesi M.A. "Sanığın eşi katılanla aynı sağlık biriminde çalışmakta olup, sanık; katılanın doğum yaptığı ve göreve gelmediğini, görevde olmamasına rağmen görevde imiş gibi ücret aldığını ispatlamak amacıyla katılanın doğum yaptığı hastaneden doğum raporunu alarak ilgili idari birimlere şikayette bulunmuş, katılan hakkında yapılan idari soruşturmada ödenen haksız ücretler katılandan tahsil edilmiş, katılan sanık hakkında hastaneden doğum raporu alması eylemi nedeniyle hakkında şikayette bulunmuş ve yapılan yargılama sonunda sanığın kişisel verileri ele geçirdiğinden bahisle TCK’nun 136. maddesi gereğince 10 ay hapis cezası ile cezalandırılmasına karar verilmiştir. Karar sanık tarafından temyiz edilmiş ve dairemizce de onanmıştır.
Biz aşağıdaki gerekçelerle suçun oluşmadığını, sanığın beraatine karar verilmesi gerektiğini düşündüğümüzden sayın çoğunluğun onama yönündeki görüşüne katılmıyoruz.
1- Türk Ceza Kanunu’nun 135. maddesinde kişisel verilerin hukuka aykırı olarak kaydedilmesi ve 136. maddesinde ise verileri hukuka aykırı olarak verme, yayma ve ele geçirme suçları düzenlenmiştir. Bugüne kadar kişisel verilerin neler olduğuna dair kanunun çıkarılmaması nedeniyle TCK’daki 135 ve 136. maddelerindeki hukuka aykırılığın hangi hallerde oluştuğuna ilişkin başvurulabilecek kapsayıcı bir kaynak ya da norm olmaması nedeniyle bu iki madde eksik norm sayılırlar. Belki zamanın ihtiyaçlarına cevap verecek 'Kişisel Verilerin Korunması Kanunu' Meclisten geçtiğinde bu çerçeve düzenleme tamamlanmış olacaktır. Bununla beraber adı geçen ceza maddeleri yürürlükte olduğundan uygulanması sırasında çok dikkatli olunması gerekir. Doktrinde birçok tanım ve kapsam belirlemesi yapılmaktadır. Bu bilimsel görüşlerden hareketle kişisel verilerin hangileri olabileceğini belirlemek gerekir. Şu da bir gerçek ki bu verilerin tamamının da ceza normları ile korunması gerektiği düşünülmemelidir. Bu tasnifin esasını genel yaşam mahremiyetinden hareketle özel hayatın gizli alanını korumayı amaçlayan ve sağlayan bilgiler olarak anlamak gerekir.
Bilimsel görüşlerden hareketle kişisel verilerin neler olabileceğini şu başlıkları altında sınıflandırabiliriz.
a- Yaşam şekline ilişkin kişisel veriler: Kişilerin üçüncü kişiler tarafından ayırımcılığa uğramaması ve haysiyetinin korunmasıyla ilişkili olarak dini inançları, cinsel tercihleri, etnik kökeni, suç geçmişi, politik eğilimleri ve kişisel özel aktivitelere ilişkin bilgiler.
b- Ekonomik ve finansal kişisel veriler: Suçlular tarafından suistimale ve kimlik hırsızlığına hedef olmamak için kişinin mali varlığı, sahip olduğu hisse ve hesaplar, borçları, yaptığı alış verişler, kredi kartlarına ilişkin veriler. Ayrıca sayılan bu bilgiler ile kişinin nerede ve kimlerle bulunduğuna, sağlık bilgilerine ilişkin bilgiler de ortaya çıkarabileceğinden ve varlık bilgisinin toplumsal açıdan da özel sayılmasından dolayı önemi artmaktadır.
c- Bilişim alanına ilişkin kişisel veriler: e-postaların bizzat adresleri veya şifreleri, internet ortamında paylaşılan kişisel veriler mahrem olarak değerlendirilebilir. Bunun önemi şu bakımdan artmaktadır, internette gezinti yapan kişi birçok kişisel bilgileri paylaşmakta, bu bilgiler kayıt altına alınmakta, yine internet erişimine ilişkin iz kayıtlarının hizmet sağlayıcı ve sunucu sahipleri tarafından tutulabiliyor olması nedenleriyle artmaktadır.
d- Sağlıkla ilgili kişisel veriler: Sağlık verileri kişilerin iş güvenliğini, toplum içindeki statüsünü ve sigorta kapsamını etkileyen hassas bilgilerdir. Ayrıca sağlık verileri kişilerin sosyal yaşantısı ve psikolojik durumları hakkında bilgi edinilmesine neden olabilir. Biyometrik veriler de (kişinin kendine özgü fiziksel veya biyolojik niteliklerine dayalı olarak insanların kimliğini tespit için dijital teknolojiden faydalanma bilimi) kişisel veriler arasındadır.
e- Politik kişisel veriler: Toplum içinde yaşayan kişilerin siyasi tercihleri toplum katmanları arasında bilinme halinde ayırımcılığa maruz kalma ihtimali bulunduğundan bu bilgilerde kişisel veridir.
2- Anayasanın 38/3 ve Türk Ceza Kanunun 2. maddesi suçta ve cezada kanunilik ilkesini düzenlemektedir. TCK’nın 2. maddesi 'Kanunun açıkça suç saymadığı bir fiil için kimseye ceza verilemez' hükmünü içermektedir. Madde metninden de açıkça anlaşıldığı gibi fiilin kanunda suç olarak gösterilmesi yetmez, bunun açık bir biçimde belirlenebilir olması gerekir. Suçların ve cezaların kanunda önceden açık ve anlaşılır bir şekilde düzenlenmesi gerekir ki insanlar neyin suç olduğunu önceden kolayca bilebilsin ve davranışlarını buna göre ayarlayabilsinler.
Bu haliyle de TCK’nın 135 ve 136. maddeleri Anayasanın 38/3. maddesine de aykırıdır. Öncelikle bu husus da düşünülüp maddelerin iptali için Anayasa Mahkemesine başvurulmalı ve bekletici mesele yapılması gerekir. Şu aşamada ne kadar uygulayıcı ve bilim adamı varsa herkes kendine göre farklı bir kişisel veri tanımı yapmakta olduğundan sanığın eylemini suç kapsamında değerlendirip cezalandırmamak gerekir.
3- Sanık bütün aşamalardaki savunmalarında işine devam etmeyen katılanın çalışmadan ücret aldığını, kamuyu zarara uğrattığını ve bunu ispatlamak için bu belgeyi aldığını ve şikayetinin de haklı olduğunu belirtmesi karşısında sanığın kastının kişisel veriyi elde etmek olmadığı dolayısıyla kasten işlenen bir suçta kastın yokluğu nedeniyle sanığın beraatine karar verilmesi gerekir. Bilimsel görüşlerin bir kısmına göre; madde metninde özellikle 'hukuka aykırı olarak' vurgusu yapıldığından bu suç ancak doğrudan kastla işlenebilir. Failin işlediği fille ilgili olarak suçun maddi unsurlarının yanı sıra bu fiilin hukuka aykırılığının da bilincinde olup olmadığının ayrıca araştırılması gerekir. Aksi takdirde kastın varlığından söz edilemez.
4- Yukarıda yaptığımız kişisel veri tanımı ve açıklamalarında sağlık bilgileri ile ilgili özel bilgilerinde kişisel veri olabileceğini belirtmiştik. Bu olayda sağlık bilgileri ile ilgili hiçbir gizli veya açık bilgi bulunmamakta, sadece herkesçe bilinen (maruf) bir olgunun sanık tarafından ilgili kuruma yapacağı şikayet dilekçesini kuvvetlendirmeye yönelik olarak belgeye bağlanmasıdır.
5- Sanık savunmalarında da yaptığı işin suç olduğunu bilmediğini belirtmektedir. Türk Ceza Kanunu’nda ve diğer hiç bir kanunda açıkça tanımı yapılmayan ve kapsamı belirlenmeyen kişisel veri ile ilgili düzenlemeden sorumlu tutmamak gerekir. Dosya kapsamından ve sanığın savunmasından da anladığımıza göre sanığın Türk Ceza Kanununun 30/4. maddesindeki 'işlediği fiilin haksızlık oluşturduğu hususunda kaçınılmaz bir hataya düşen kişi cezalandırılmaz' hükmünün sanık hakkında da uygulanması ve sonuçta sanığın cezalandırılmaması gerekirdi.
Hastanenin hastaların sağlık bilgileri ile ilgili bilgileri verirken daha dikkatli olması konusunda ilgili idari birimlerce uyarılması ile yetinilecek bir olayda 1 yıldan 4 yıla kadar hapis cezasını gerektiren bir kamu davası çıkarmamak gerekir. Bu haliyle bile TCK’nın 3/1. maddesindeki 'Suç işleyen kişi hakkında işlenen fiilin ağırlığıyla orantılı ceza ve güvenlik tedbirine hükmolunur' hükmü ihlal edilmiş olmaktadır.
Açıkladığımız bu nedenlerden dolayı mahkemenin kararının yerinde olmadığını, bozulması gerektiğini düşündüğümüzden çoğunluğun onama yönündeki görüşlerine katılmıyoruz" görüşüyle karşı oy kullanmıştır.
Yargıtay Cumhuriyet Başsavcılığı ise 30.08.2012 gün ve 206087 sayı ile;
"...Somut olayda, Sanık Ö.. A..'ın Sağlık Ocağında vekil ebe olarak görev yapan katılan N.. K..'ın, doğum yaptığı ve fiilen çalışmadığı halde, çalışıyormuş gibi hakkında işlem yapıldığı iddiası üzerine, başlatılacak idari soruşturmaya esas olmak üzere, sanığın, Şanlıurfa Özel Dünya Hastanesine kendiliğinden müracaatla, katılan N.. K..'ın doğum raporunu hukuka aykırı olarak ele geçirip, idari soruşturmada kullanması şeklinde gerçekleşen eyleminde,
Sanığın suça konu kişisel verileri internet ortamından, bilgisayar kullanılarak herhangi bir kişinin bilgisi olmaksızın yada Özel Dünya Hastanesinin bilgisayarına girerek gizlice elde etmediği sanığın, hastaneye başvurarak ilgili doktordan katılan N.. K..'a ilişkin raporu aldığı ve suça konu eyleminin TCK'nun 136. maddesinde yazılı suçu oluşturmadığı nedenle sanık hakkında beraat kararı verilmesi gerektiği nedenle, sanık hakkında verilen onama kararının itirazen kaldırılarak sanık hakkında suçun yasal öğelerinin oluşmadığına ilişkin bozma karar verilmesi gerekmektedir" görüşüyle itiraz kanun yoluna başvurmuştur.
5271 sayılı CMK'nun 308. maddesi uyarınca inceleme yapan Yargıtay 12. Ceza Dairesince 19.11.2012 gün ve 27132-24461 sayı ile; itiraz nedenlerinin yerinde görülmediğinden bahisle Yargıtay Birinci Başkanlığına gönderilen dosya, Ceza Genel Kurulunca değerlendirilmiş ve açıklanan gerekçelerle karara bağlanmıştır.

İnceleme, sanık Özcan hakkında kurulan hükmüle sınırlı olarak yapılmıştır.
Özel Daire çoğunluğu ile Yargıtay Cumhuriyet Başsavcılığı arasında oluşan ve Ceza Genel Kurulunca çözümlenmesi gereken uyuşmazlık; sanığın üzerine atılı kişisel verileri hukuka aykırı olarak verme veya ele geçirme suçunun sabit olup olmadığının belirlenmesine ilişkindir.
İncelenen dosya kapsamından;
Şanlıurfa merkeze bağlı Yardımcı Köyü Sağlık Ocağında hemşire olan inceleme dışı sanık E. A.’ın aynı sağlık ocağında vekil ebe olarak görev yapan ve 04.05.2008 günü doğum yaparak 22 gün işe gelmeyen katılan N.D.K.’a bu süre zarfında çalışmış gibi ücret ödenmesi üzerine, sağlık ocağındaki başka problemlerle birlikte bu hususta da il sağlık müdürlüğüne şikayet dilekçesi vermeyi düşündüğü, yapacağı şikayeti kuvvetlendirmek ve delillendirmek amacıyla katılanın doğum yaptığı Özel Dost Hastanesine eşi olan sanık Ö.. A.. ile birlikte başvurarak, katılanın hastanede doğum yaptığına ilişkin belgeyi alarak il sağlık müdürlüğüne verdiği şikayet dilekçesinin ekinde sunduğu anlaşılmaktadır.
Katılan N.D. K. özetle; Özel Dünya Hastanesinde doğum yaptığını, sanıkların hakkında idari soruşturmada kullanmak için hastaneden doğum yaptığına dair raporunu kendisinin haberi ve izni olmadan aldıklarını, bu nedenle onlardan şikayetçi olduğunu, raporu imzalayan doktorun kötü niyeti olduğunu düşünmediği için ondan şikayetçi olmadığını belirtmiş,
Tanık E.. Ç.. özetle; hastanede doktor M.. A..’ın sekreterliğini yaptığını, olayı hatırlamadığını, raporun kime teslim edildiğini bilmediğini, doğum raporu almak için gelen hastayı önce 4. kattaki yatan hasta bilgi işlem servisine gönderdiklerini, orada rapor isteyen kişinin kimliği kontrol edilerek rapor düzenlendiğini, kontrol yapılan kimliğin hastaya ait olan kimlik olduğunu, onun kimliği olmazsa eşi bile olsa rapor çıkarılmadığını, mutlaka hastanın müracaatı gerektiğini, sonra doktorun sekreterine gidildiğini, burada sekreter olarak kendilerinin tekrar kimlik kontrolü yaptıklarını, daha sonra bilgi işlemin düzenlediği doğum raporu ile birlikte ibraz edilen kimliği raporu imzalaması için doktora verdiklerini, doktorun da kontrolünü yaparak raporu imzaladığını, bu prosedürün her zaman uygulandığını, ancak hastayı bizzat tanıdıkları takdirde kimlik kontrolü yapılmadan rapor düzenlenip verildiğini, bu olayda kimlik kontrolü yapılıp yapılmadığını hatırlamadığını söylemiş,
Doğum raporunda imzası bulunan ve hakkındaki beraat kararı temyiz edilmeksizin kesinleşen doktor M.. A.. özetle; doğum raporundaki kaşe ve imzanın kendisine ait olduğunu, ancak raporu kime verdiğini net olarak hatırlamadığını, raporları kimlik kontrolü yaparak doğum yapan kişilerin eşlerine verdiklerini, çok sayıda doğum olduğu için sanık Özcan’a rapor verip vermediğini hatırlamadığını, katılanın doğumunu kendisinin yaptırdığını, bu nedenle katılanı tanıdığını, raporunu bir başka kişiye vermelerinin söz konusu olmayacağını ifade etmiş,
İnceleme dışı olan sanık E. A.özetle; sağlık ocağında hemşire olarak görev yaptığını, aynı yerde vekil ebe olarak çalışan N.. K..’ın doğum yaptığını, normalde izin hakkı olmadığı halde 04.05.2008 ila 07.06.2008 tarihleri arasında işe gelmediğini, bunun üzerine eşi sanık Özcan ile birlikte N.. K..’ın doğum yaptığı hastaneye başvurarak doğum raporunu aldıklarını, raporu eşiyle beraber verdikleri dilekçenin ekinde il sağlık müdürlüğüne sunduklarını, suçlamayı kabul etmediğini, raporu gayri hukuki yollardan ele geçirmediği gibi gayri hukuki bir yerde de kullanmadığını beyan etmiş,
Sanık Ö.. A.. özetle; Telekomda memur olarak çalıştığını, il sağlık müdürlüğüne yapacakları şikâyete konu olmak üzere katılan N.. K..’ın doğum raporunu hastaneye başvurarak eşi olan sanık Emine ile birlikte aldıklarını ve şikâyet dilekçesi ekinde il sağlık müdürlüğüne verdiklerini, raporu alırken herhangi bir kimlik veya belge sorulmadığını, il sağlık müdürlüğüne vereceğini söyleyince sıkıntı çıkarmadan verdiklerini, raporu sadece idari soruşturmada kullandıklarını, başka bir yerde kullanmadıklarını ve yaymadıklarını savunmuştur.
Anayasamızın "Özel hayatın gizliliği" başlıklı 20. maddesinin birinci fıkrası; "Herkes, özel hayatına ve aile hayatına saygı gösterilmesini isteme hakkına sahiptir. Özel hayatın ve aile hayatının gizliliğine dokunulamaz" şeklinde olup, maddeye 13.05.2010 gün ve 27580 sayılı Resmi Gazetede yayımlanarak yürürlüğe giren 5982 sayılı Kanunun 2. maddesiyle; "Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir" biçimindeki üçüncü fıkra eklenmiştir.
Avrupa İnsan Hakları Sözleşmesinin "Özel ve aile hayatına saygı hakkı" başlıklı 8. maddesinde de; "1-Herkes özel ve aile hayatına, konutuna ve yazışmasına saygı gösterilmesi hakkına sahiptir.
2-Bu hakkın kullanılmasına bir kamu makamının müdahalesi, ancak müdahalenin yasayla öngörülmüş ve demokratik bir toplumda ulusal güvenlik, kamu güvenliği, ülkenin ekonomik refahı, düzenin korunması, suç işlenmesinin önlenmesi, sağlığın veya ahlakın veya başkalarının hak ve özgürlüklerinin korunması için gerekli bir tedbir olması durumunda söz konusu olabilir" hükmü bulunmaktadır.
5237 sayılı TCK’nun "Özel Hayata ve Hayatın Gizli Alanına Karşı Suçlar" bölümünde "Kişisel verilerin kaydedilmesi" başlıklı 135. maddesi; "(1) Hukuka aykırı olarak kişisel verileri kaydeden kimseye altı aydan üç yıla kadar hapis cezası verilir.
(2) Kişilerin siyasi, felsefi veya dini görüşlerine, ırki kökenlerine; hukuka aykırı olarak ahlaki eğilimlerine, cinsel yaşamlarına, sağlık durumlarına veya sendikal bağlantılarına ilişkin bilgileri kişisel veri olarak kaydeden kimse, yukarıdaki fıkra hükmüne göre cezalandırılır",
"Verileri hukuka aykırı olarak verme veya ele geçirme" başlıklı 136. maddesi ise; "(1) Kişisel verileri, hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi, bir yıldan dört yıla kadar hapis cezası ile cezalandırılır" şeklinde düzenlenmiş, 21.02.2014 gün ve 6526 sayılı Kanunla da 135. maddesinin birinci fıkrasındaki suçun cezasının alt sınırı "bir yıla", 136. maddesindeki suçun cezanın alt sınırı ise “iki yıla” çıkartılmıştır.
Bu maddelerde geçen ve suçun konusunu oluşturan kişisel veriden ne anlaşılması gerektiğine ilişkin yürürlükte bulunan kanunlarda bir tanım yer almamaktadır. Bununla birlikte TCK'nun 135. maddesinin gerekçesinde; “Gerçek kişiyle ilgili her türlü bilgi, kişisel veri olarak kabul edilmelidir. Söz konusu suç tanımında kişisel verilerin bilgisayar ortamında veya kağıt üzerinde kayda alınması arasında bir ayırım gözetilmemiştir” denilmiş, Anayasamızın 20/3. maddesi uyarınca çıkarılması gereken ancak henüz kanunlaşmamış olan Kişisel Verilerin Korunması Kanun Tasarısının 3. maddesinde ise; “Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi …ifade eder” şeklinde tanım yapılmış, taslak maddenin gerekçesinde ise; "Kişisel veriler, sadece bireyin adı, soyadı, doğum tarihi ve doğum yeri gibi onun kesin teşhisini sağlayan bilgiler değil, aynı zamanda kişinin aklî, psikolojik, fizikî, kültürel, ekonomik, sosyal ve sair özelliklerine ilişkin verilerdir. Bir kişinin belirli veya belirlenebilir olması, mevcut verilerin herhangi bir şekilde bir gerçek kişiyle ilişkilendirilmesi suretiyle, o kişinin tanımlanabilir hale getirilmesini ifade eder. Yani verilerin; kişinin fiziksel, ekonomik, kültürel, sosyal veya psikolojik kimliğini ifade eden somut bir içerik taşıması veya kimlik, vergi, sigorta numarası gibi herhangi bir kayıtla ilişkilendirilmesi sonucunda kişinin belirlenmesini sağlayan tüm halleri kapsar. İsim, telefon numarası, motorlu taşıt plakası, sosyal güvenlik numarası, pasaport numarası, özgeçmiş, resim, görüntü ve ses kayıtları, parmak izleri, genetik bilgiler gibi veriler dolaylı da olsa kişiyi belirlenebilir kılabilme özellikleri nedeniyle kişisel verilerdir" açıklamasına yer verilmiştir.
24.07.2012 gün ve 28363 sayılı Resmi Gazetede yayımlanan ve bu tarihten 6 ay sonra yürürlüğe giren Elektronik Haberleşme Sektöründe Kişisel Verilerin İşlenmesi ve Gizliliğin Korunması Hakkındaki Yönetmeliğin 3/1-h maddesinde kişisel veri; "belirli veya kimliği belirlenebilir gerçek ve tüzel kişilere ilişkin bütün bilgiler" olarak tanımlanmıştır.
28.01.1981 tarihli ve 108 nolu Kişisel Nitelikteki Verilerin Otomatik İşleme Tabi Tutulması Karşısında Şahısların Korunmasına Dair Uluslararası Sözleşme'nin 2/a maddesinde ise; “Kişisel nitelikteki veriler; kimliği belirtilen veya belirtilebilen gerçek kişiyle ilgili tüm bilgileri ifade eder" denilmiş, 1995 tarihinde yürürlüğe giren Avrupa Topluluğu Veri Koruma Yönergesinin 2. maddesinde de kişisel veri; "doğrudan doğruya ya da dolaylı olarak bir gerçek kişi ile ilintili olabilecek ve onu belirlenebilir kılacak her türlü bilgi" olarak belirtilmiştir.
Öğretide de kişisel verilere ilişkin; "Bireyin şahsi, mesleki ve ailevi özelliklerini gösteren, o bireyi diğer bireylerden ayırmaya ve nitelikler