Çalışanın Kişisel Verilerinin Hukuka Aykırı İşlenmesinde İşverenin İdari ve Cezai Sorumluluğu

Bir çalışanın kişisel verilerinin hukuka aykırı şekilde işlenmesi, işveren için tek bir yaptırımla sonuçlanmaz. Aynı fiil, hem 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında idari para cezasına hem de belirli koşullarda 5237 sayılı Türk Ceza Kanunu kapsamında hapis cezasına konu olabilir.

Bu yazıda çalışan verilerinin hukuka aykırı işlenmesi halinde işverenin karşılaşabileceği idari ve cezai sorumluluk türleri, aralarındaki fark ve hangi hallerde hangi sorumluluğun devreye girdiği ele alınmaktadır.

İdari Sorumluluk: KVKK’nın Öngördüğü Para Cezaları

6698 sayılı Kanun’un 18. maddesi, veri sorumlusu sıfatıyla işverenin belirli yükümlülüklere aykırı davranması halinde idari para cezası uygulanacağını düzenler.

Buna göre Kanunun 10. maddesinde öngörülen aydınlatma yükümlülüğünü yerine getirmeyenlere 5.000 ile 100.000 Türk lirası arasında; Kanunun 12. maddesinde öngörülen veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenlere 15.000 ile 1.000.000 Türk lirası arasında; Kurul tarafından verilen kararları yerine getirmeyenlere 25.000 ile 1.000.000 Türk lirası arasında; Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırı davrananlara 20.000 ile 1.000.000 Türk lirası arasında idari para cezası verilir.

Bu cezalar, veri sorumlusu sıfatını taşıyan işverene (gerçek veya tüzel kişi) uygulanır. Kurulca verilen idari para cezalarına karşı idare mahkemelerinde dava açılabilir.

İdari para cezası süreci, işverenin kastının bulunup bulunmadığından bağımsız işler; yükümlülüğün objektif olarak yerine getirilmemiş olması yeterlidir.

Cezai Sorumluluk: TCK’nın Kişisel Verilere İlişkin Suçları

5237 sayılı Türk Ceza Kanunu’nun 135 ila 140. maddeleri arasında düzenlenen suçlar, kişisel verilerin hukuka aykırı işlenmesini idari değil cezai bir yaptırıma bağlar.

Kanunun 135. maddesine göre hukuka aykırı olarak kişisel verileri kaydeden kimseye altı aydan üç yıla kadar hapis cezası verilir; kişilerin siyasi, felsefi veya dini görüşlerine, ırki kökenlerine, ahlaki eğilimlerine, cinsel yaşamlarına, sağlık durumlarına veya sendikal bağlantılarına ilişkin bilgilerin hukuka aykırı olarak kaydedilmesi de aynı fıkra hükmüne göre cezalandırılır.

Kanunun 136. maddesi, kişisel verileri hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişinin bir yıldan dört yıla kadar hapis cezası ile cezalandırılacağını düzenler.

Kanunun 138. maddesi ise kanunların belirlediği sürelerin geçmiş olmasına karşın verileri sistem içinde yok etmekle yükümlü olanların bu görevi yerine getirmemesi halinde altı aydan bir yıla kadar hapis cezası öngörür; işten ayrılan bir çalışanın özlük veya biyometrik verilerinin süresi dolduğu halde silinmemesi, bu madde kapsamında değerlendirilebilir.

Nitelikli Haller: Cezanın Artırılması

TCK’nın 137. maddesi, 135 ve 136. maddelerde tanımlanan suçların kamu görevlisi tarafından görevin verdiği yetki kötüye kullanılmak suretiyle veya belli bir meslek ve sanatın sağladığı kolaylıktan yararlanmak suretiyle işlenmesi halinde cezanın yarı oranında artırılacağını düzenler.

İşyerinde insan kaynakları, bilgi işlem veya güvenlik biriminde görevli bir çalışanın, görevinin sağladığı erişim imkânını kötüye kullanarak diğer çalışanların verilerini hukuka aykırı biçimde ele geçirmesi bu nitelikli hal kapsamına girebilir.

Şikâyete Bağlılık: Hangi Suçlar Resen, Hangileri Şikâyetle Kovuşturulur?

TCK’nın 139. maddesi önemli bir ayrım getirir: kişisel verilerin kaydedilmesi (m.135), verileri hukuka aykırı olarak verme veya ele geçirme (m.136) ve verileri yok etmeme (m.138) suçları hariç, kişisel verilere ilişkin suç bölümünde yer alan diğer suçların soruşturulması ve kovuşturulması şikâyete bağlıdır.

Bunun anlamı, en ağır ve en sık karşılaşılan üç fiilin (kaydetme, ifşa/ele geçirme, yok etmeme) mağdurun şikâyeti olmasa dahi Cumhuriyet savcılığınca resen soruşturulabileceğidir.

Tüzel Kişiler Hakkında Güvenlik Tedbiri

Ceza hukukunun genel ilkesi gereği tüzel kişiler doğrudan hapis cezasına muhatap olamaz; hapis cezası, fiili işleyen gerçek kişiye (işveren, insan kaynakları yetkilisi, bilgi işlem sorumlusu gibi) uygulanır.

Ancak TCK’nın 140. maddesi, kişisel verilere ilişkin suçların işlenmesi dolayısıyla tüzel kişiler hakkında kendilerine özgü güvenlik tedbirlerine hükmolunacağını düzenler; bu, şirketin faaliyet izninin iptali veya müsadere gibi tedbirleri kapsayabilir. İdari para cezası ise zaten doğrudan tüzel kişiye (şirkete) uygulanabilen bir yaptırımdır.

İdari ve Cezai Sorumluluk Aynı Anda İşleyebilir mi?

Evet. Aynı olay, hem KVKK’nın 18. maddesi kapsamında idari para cezasına hem de somut olayda TCK’nın 135-138. maddelerindeki suç tiplerinden birinin oluşması halinde ayrıca cezai soruşturmaya konu olabilir.

Örneğin işten çıkarılan bir çalışanın özlük dosyasındaki sağlık verilerinin, silinmesi gereken süre dolduğu halde saklanmaya devam edilmesi, bir yandan KVKK’nın 12. maddesindeki veri güvenliği yükümlülüğüne aykırılık nedeniyle idari para cezasına, diğer yandan TCK’nın 138. maddesi kapsamında ilgili çalışanın cezai sorumluluğuna yol açabilir.

Bu iki süreç birbirinden bağımsız yürür; idari para cezasının ödenmesi, ceza soruşturmasını ortadan kaldırmaz.

İşverenin Hangi Davranışları Riski Artırır?

Uygulamada en sık karşılaşılan riskler; çalışanlardan alınan özgeçmiş, kimlik fotokopisi, sağlık raporu gibi belgelerin gerekli süre dolduktan sonra imha edilmemesi, işten ayrılan çalışanların verilerinin sistemde tutulmaya devam edilmesi, çalışan verilerinin aydınlatma yapılmadan üçüncü kişilerle (örneğin bir denetim veya danışmanlık firmasıyla) paylaşılması ve yetkisiz personelin özlük dosyalarına erişebilmesidir.

Bu risklerin azaltılması için işyerinde bir kişisel veri envanteri çıkarılması, saklama sürelerinin belirlenmesi ve erişim yetkilerinin sınırlandırılması önerilir.

Sık Sorulan Sorular

İdari para cezası ödeyen işveren, ayrıca ceza davasıyla da karşılaşabilir mi?

Evet. İdari para cezası ile cezai soruşturma birbirinden bağımsız süreçlerdir; aynı fiil hem KVKK’nın 18. maddesi kapsamında idari yaptırıma hem de TCK’nın 135-138. maddelerindeki suç tiplerinden birine konu olabilir.

Şirketin kendisi hapis cezası alabilir mi?

Hayır. Hapis cezası yalnızca fiili işleyen gerçek kişiye uygulanır. Şirket (tüzel kişi) için TCK’nın 140. maddesi kapsamında güvenlik tedbirleri ve KVKK’nın 18. maddesi kapsamında idari para cezası söz konusu olabilir.

Çalışanın rızası olmadan kaydedilen özlük verileri için mağdurun şikâyeti şart mı?

Hayır. TCK’nın 139. maddesine göre kişisel verilerin kaydedilmesi suçu, şikâyete bağlı olmayan suçlar arasındadır; Cumhuriyet savcılığı bu fiili öğrendiğinde resen soruşturma başlatabilir.

İş sözleşmesi sona erdikten sonra eski çalışanın verilerini ne kadar süre saklayabilirim?

Saklama süresi, verinin niteliğine ve ilgili mevzuattaki (iş, vergi, sosyal güvenlik mevzuatı gibi) özel saklama yükümlülüklerine göre değişir; süre dolduktan sonra veri silinmez veya yok edilmezse TCK’nın 138. maddesi kapsamında cezai sorumluluk doğabilir. Somut olayda uygulanacak sürenin belirlenmesi için hukuki danışmanlık alınması önerilir.

Sonuç

Çalışanın kişisel verilerinin hukuka aykırı işlenmesi, işveren açısından tek boyutlu bir risk değildir; KVKK’nın öngördüğü idari para cezaları ile TCK’nın 135-140. maddelerindeki cezai yaptırımlar birbirinden bağımsız ve kümülatif biçimde işleyebilir.

İşyerindeki veri işleme süreçlerinin bu iki katmanlı sorumluluk göz önünde bulundurularak gözden geçirilmesi, hem idari hem cezai risklerin önlenmesi bakımından önemlidir; bu değerlendirme için bir avukattan hukuki destek alınması önerilir.

Kaynakça

• 6698 sayılı Kişisel Verilerin Korunması Kanunu, madde 18 (Resmî Gazete: 7.4.2016, Sayı: 29677)
• 5237 sayılı Türk Ceza Kanunu, madde 135, 136, 137, 138, 139 ve 140 (Resmî Gazete: 12.10.2004, Sayı: 25611)