Bir kişinin adı ve telefon numarası herkese açık bir internet sitesinde yer alıyorsa, bu veriyi bulan şirket onu pazarlama amacıyla arayabilir mi?
Bu soru, Türk veri koruma hukukunun en tartışmalı meselelerinden birini oluşturuyor. Kişisel Verileri Koruma Kurumu (KVKK) yıllardır bu soruya “hayır” cevabı veriyor ve buna aykırı davranan şirketlere yaptırım uyguluyor. Ancak Anayasa Mahkemesi, 27 Ocak 2026 tarihli Viennalife Emeklilik ve Hayat A.Ş. kararıyla (Başvuru No: 2020/32193) bu yaklaşımı ciddi biçimde sorguladı.
Bu makalede söz konusu kararı, hukuki arka planını ve pratik sonuçlarını ele alıyoruz.
Uyuşmazlığın Özü: Alenileştirilmiş Veri Ne Demek?
6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 5. maddesi, kişisel verilerin işlenmesinin kural olarak ilgili kişinin açık rızasına bağlı olduğunu düzenlemektedir. Ancak aynı maddenin ikinci fıkrası, açık rıza aranmaksızın işleme yapılabilecek halleri saymaktadır. Bu istisnalardan biri şudur:
“İlgili kişinin kendisi tarafından alenileştirilmiş olması.”
Kavram ilk bakışta açık görünmektedir: Kişi veriyi kamuya açmışsa, rıza şartı aranmaz. Ancak uygulamada şu soru gündeme gelmektedir: Alenileştirilmiş veri, her türlü amaçla mı kullanılabilir? Yoksa yalnızca kişinin o veriyi açıklamasındaki amaca uygun biçimde mi işlenebilir?
KVKK, bu soruya ikinci yönde cevap vermiş ve “alenileştirme amacı dışında kullanım” kavramını geliştirmiştir. Bu kavram, Kurum’un yayımladığı Uygulama Rehberi’nde açıklanmıştır.
Viennalife Davası: Olaylar
2018 yılında Viennalife Emeklilik ve Hayat A.Ş. bünyesindeki finansal danışmanlar, hizmetburada.com adlı herkese açık bir internet sitesinde bir kişinin iletişim bilgilerini bularak bu kişiyi aradı. Aranan kişi, verilerinin rızası olmadan kullanıldığı gerekçesiyle KVKK’ya şikâyette bulundu.
Kurum yaptığı incelemede, söz konusu internet sitesine erişimin ve şikâyetçinin profilinin doğrulanamadığını tespit etmesine karşın, şirketin bu verileri alenileştirme amacı dışında kullandığı sonucuna vardı. Bu gerekçeyle şirkete 6698 sayılı Kanun’un 12. maddesi kapsamında 100.000 TL idari para cezası uygulandı.
Şirket yargı yoluna başvurdu. İstanbul Anadolu 5. Sulh Ceza Hâkimliği, cezanın hukuka uygun olduğunu ancak alt sınırdan uzaklaşma gerekçesinin yeterince açıklanmadığını belirterek cezayı 17.828 TL’ye indirdi. Sonraki itirazlar da reddedildi.
Anayasa Mahkemesi’nin Değerlendirmesi
Şirket, Anayasa’nın 38. maddesinde güvence altına alınan suçta ve cezada kanunilik ilkesinin ihlal edildiğini ileri sürerek Anayasa Mahkemesi’ne bireysel başvuruda bulundu.
Mahkeme, incelemesinde şu tespite ulaştı:
6698 sayılı Kanun’un 5. maddesi, alenileştirilmiş verinin rıza aranmaksızın işlenebileceğini düzenlemektedir. Ancak bu verinin “alenileştirme amacı dışında” kullanılmasının ayrı bir ihlal oluşturacağına ve yaptırıma bağlandığına dair kanunda açık bir düzenleme yer almamaktadır. “Alenileştirme amacı” kavramı yalnızca Kurum’un Uygulama Rehberi’nde tanımlanmıştır.
Mahkeme bu tespite dayanarak şu sonuca ulaştı:
Kanunda yer almayan bir kavrama dayanılarak idari para cezası uygulanması, Anayasa’nın 38. maddesinde güvence altına alınan suçta ve cezada kanunilik ilkesini ihlal etmektedir.
Karar oybirliğiyle alındı. Dava, yeniden yargılama yapılmak üzere İstanbul Anadolu 5. Sulh Ceza Hâkimliği’ne gönderildi.
Kararın Hukuki Önemi
1. Kanunilik İlkesi İdari Yaptırımlar İçin de Geçerlidir
Anayasa Mahkemesi, suçta ve cezada kanunilik ilkesinin yalnızca ceza hukuku alanında değil, idari para cezaları bakımından da uygulanacağını bir kez daha teyit etmiştir. Bu ilke gereği, bir yaptırımın kanunda açıkça tanımlanmış bir ihlale dayanması zorunludur.
2. Kurum Rehberleri Kanun Değildir
KVKK tarafından yayımlanan rehberler, kılavuzlar ve uygulama belgeleri önemli birer yorum kaynağı olmakla birlikte kanun niteliği taşımamaktadır. Bu belgelerle tanımlanan kavramların tek başına yaptırım gerekçesi oluşturması, Anayasa güvencesiyle bağdaşmamaktadır.
3. Alenileştirilmiş Veri Meselesi Hukuken Çözüme Kavuşmadı
Bu karar, alenileştirilmiş verinin her amaçla kullanılabileceği anlamına gelmemektedir. Mahkeme yalnızca şunu söylemiştir: Eğer bir kısıtlama getirilecekse, kanun metninde açıkça yer alması gerekir. Bu boşluğun yasal düzenlemeyle doldurulması beklenmektedir.
Sonuç
Viennalife kararı, Türk veri koruma hukukunda önemli bir dönüm noktasıdır. Anayasa Mahkemesi, KVKK uygulamasındaki bir temel gerilimi açığa çıkarmıştır: Kanun metninin sınırlı kaldığı alanlarda Kurum’un rehberler aracılığıyla geliştirdiği kavramların yaptırım gerekçesi olarak kullanılması, anayasal güvenceleri zedeleyebilmektedir.
Bu gelişme, kişisel veri uyumluluğu konusunda faaliyet gösteren şirketler ve veri koruma hukuku alanındaki hukuki danışmanlık pratikleri açısından yakından takip edilmesi gereken bir emsal niteliği taşımaktadır.