I. GİRİŞ
AYM, 10.07.2025 tarihli Karar’ında, iptali istenen 7499 sayılı Kanun’un 33. maddesiyle KVKK’nın 6. maddesinin değiştirilen (3) numaralı fıkrasının (e) ve (g) bentlerini; 34. maddesiyle KVKK’nın değiştirilen 9. maddesinin (9) numaralı fıkrasını, 35. maddesiyle KVKK’nın 18. maddesinin (1) numaralı fıkrasına eklenen (d) bendinde yer alan “...50.000 Türk lirasından 1.000.000 Türk lirasına...” ibaresini 2709 sayılı Türkiye Cumhuriyeti Anayasası’na (“Anayasa”) aykırı bulmamıştır. AYM, 7499 sayılı Kanun’un 33. maddesiyle KVKK’nın 6. maddesinin değiştirilen (3) numaralı fıkrasının (e) ve (g) bentlerini ve 7499 sayılı Kanun’un 34. maddesiyle KVKK’nın değiştirilen 9. maddesinin (9) numaralı fıkrasını Anayasa’nın 13. ve 20. maddeleri bakımından incelemiş, 35. maddesiyle KVKK’nın 18. maddesinin (1) numaralı fıkrasına eklenen (d) bendinde yer alan “...50.000 Türk lirasından 1.000.000 Türk lirasına...” ibaresini ise Anayasa’nın 2. ve 38. maddeleri bakımından incelemiştir. İnceleme sonucunda söz konusu kuralların Anayasa’ya aykırı olmadığını tespit eden AYM, iptal taleplerinin ve bu fıkraya, bentlere, cümleye ve ibareye ilişkin yürürlüğün durdurulması taleplerinin reddine karar vermiştir.
II. İPTALİ TALEP EDİLEN KURALLARIN KAPSAMI VE İPTAL TALEBİNİN GEREKÇESİ
1. 7499 sayılı Kanun’un 33. Maddesiyle KVKK’nın 6. Maddesinin Değiştirilen (3) Numaralı Fıkrasının (e) ve (g) Bentleri Yönünden
KVKK’nın 6. maddesinde, özel nitelikli kişisel verilerin işlenmesi kurumu düzenlenmiş olup bu haller sınırlı olarak sayılmıştır. Maddenin (3) numaralı fıkrasının birinci cümlesinde, özel nitelikli kişisel verilerin işlenmesinin yine fıkrada öngörülen istisnalar dışında yasak olduğu hüküm altına alınmıştır.
Bu kapsamda, AYM tarafından, anılan fıkranın dava konusu (e) bendinde; sır saklama yükümlülüğü altında olan kişiler veya yetkili kurum ve kuruluşlarca kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması, dava konusu (g) bendinde siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların tabi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla mevcut veya eski üyelerine ve mensuplarına veyahut bu kuruluş ve oluşumlarla düzenli olarak temasta olan kişilere yönelik olması durumları özel nitelikli kişisel verilerin işlenmesine ilişkin yasağın istisnaları arasında sayıldığı ifade edilmiştir.
İptal talebine gerekçe olarak ise dava konusu kurallar uyarınca kamu kurum ve kuruluşları ile diğer teşebbüslerin özel nitelikli kişisel verilerden hangilerini işleyebileceğinin belirsiz olduğu, kurallarda öngörülen durumların bireyin rızası aranmaksızın özel nitelikteki kişisel verilerin işlenebilmesini gerektirir nitelikte olmadığı, kişisel verilerin korunmasını isteme hakkına sınırlama getirilen kuralların kanunilik ilkesinin gerektirdiği şekilde belirlilik içermediği, demokratik toplumda zorlayıcı bir toplumsal ihtiyaca karşılık gelmediği, kurallarda kişisel verilerin korunmasını isteme hakkına yapılacak müdahalenin kapsamı ve usulüyle ilgili olarak hiçbir nesnel ölçüte yer verilmediği, kurallar uyarınca kişisel verileri işleyecek hukuki öznelerin kanun düzeyinde sınırlanmadığı, bu durumun kamu yararını ortadan kaldırdığı, kurallarda sağlık verisi ile üyelik verisi bakımından özel koruma hükümlerinin öngörülmediği, genel nitelikteki düzenlemelerin ise kurallarda yer alan kişisel verilerin korunması bakımından yeterli olmadığı, bu durumun benzer nitelikteki uluslararası düzenlemelerle de bağdaşmadığı belirtilerek kuralların Anayasa’nın 2., 5., 12., 13., 20. ve 90. maddelerine aykırı olduğu ileri sürüldüğü belirtilmiştir.
2. 7499 sayılı Kanun’un 34. Maddesiyle KVKK’nın Değiştirilen 9. Maddesinin (9) Numaralı Fıkrası Yönünden
KVKK’nın 9. maddesinde kişisel verilerin yurt dışına aktarılma usulü düzenlenmiş olup dava konusu (9) numaralı fıkrada kişisel verilerin, uluslararası sözleşme hükümleri saklı kalmak üzere, Türkiye’nin veya ilgili kişinin menfaatinin ciddi bir şekilde zarar göreceği durumlarda, ancak ilgili kamu kurum veya kuruluşunun görüşü alınarak kurulun izniyle yurt dışına aktarılabileceği düzenlenmiştir.
İptal talebine gerekçe olarak ise dava konusu kuralda kişisel verilerin yurt dışına aktarılması hususunda kurula verilen izin yetkisinin kapsam ve sınırlarının belirlenmediği, kural uyarınca ilgili kamu kurum ve kuruluşlarından alınacak görüşün de istişari nitelikte olduğu, bu yönüyle idarenin keyfî uygulamalarına neden olabilecek nitelikte olan kuralın kanunilik şartını taşımadığı, bu durumun idarenin kanuniliği ve yasama yetkisinin devredilmezliği ilkelerine aykırılık oluşturduğu, kuralın kişiler arasında haklı gerekçeye dayanmadan farklı uygulamalara neden olabileceği, ayrıca eşitlik ilkesiyle bağdaşmadığı, kuraldaki belirsizliğin milli menfaatler ile ilgili olarak kişinin menfaatleri üzerinde ağır bir tehlike oluşturacağı, bu konuda alınabilecek önlemler ile güvencelerin de belirsiz olduğu, kuralın kamu yararı amacı taşımadığı, devletin bireylerin temel hak ve özgürlüklerinin korunması, maddi ve manevi varlıklarının geliştirilmesi için gerekli şartların hazırlanmasına ilişkin temel amaç ve görevleriyle de bağdaşmadığı, benzer nitelikteki uluslararası düzenlemelerle de uyumlu olmadığı belirtilerek Anayasa’nın Başlangıç kısmı ile 2., 5., 7., 10., 12., 13., 20., 90. ve 123. maddelerine aykırı olduğu ileri sürülmüştür.
3. 7499 sayılı Kanun’un 35. Maddesiyle KVKK’nın 18. Maddesinin (1) Numaralı Fıkrasına Eklenen (d) Bendinde Yer Alan “...50.000 Türk lirasından 1.000.000 Türk lirasına...” İbaresi Yönünden
Dava konusu kuralda öngörülen idari para cezasına konu fiilin ağırlık derecesi ile verilen idari para cezası arasında açık bir orantısızlığın bulunduğu ve fiile göre yaptırımının düşük kaldığı, dolayısıyla kuralla yaptırıma konu fiiller yönünden cezasızlık alanının oluşturulduğu, bu durumun devletin temel hak ve özgürlüklerin korunması bağlamında kişisel verilerin korunmasına ilişkin pozitif yükümlülükleriyle bağdaşmadığı belirtilerek kuralın Anayasa’nın 2., 13. ve 20. maddelerine aykırı olduğu ileri sürülmüştür.
III. AYM’NİN DEĞERLENDİRMESİ
1. 7499 sayılı Kanun’un 33. Maddesiyle KVKK’nın 6. Maddesinin Değiştirilen (3) Numaralı Fıkrasının (e) ve (g) Bentleri Yönünden
AYM tarafından yapılan incelemede, dava konusu kuralların yer aldığı maddenin gerekçesinde bazı kişisel verilerin başkaları tarafından öğrenildiği takdirde ilgili kişinin mağdur olmasına veya ayrımcılığa maruz kalmasına neden olabileceğinden bu tür verilerin özel nitelikli (hassas) veri olarak kabul edildiğinin ifade edildiği belirtilerek bu bağlamda kurallarda öngörülen istisnalar doğrultusunda işlenebilecek olan kişilerin siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı ile biyometrik ve genetik verilerinin özel nitelikli kişisel veriler olduğu hususunun açık olduğu ifade edilmiştir. Dolayısıyla söz konusu kurallarla kişisel verilerin korunmasını isteme hakkına sınırlama getirildiği, Anayasa’nın 13. maddesi uyarınca temel hak ve özgürlüklere sınırlama getiren düzenlemelerin kanunla ve ölçülülük ilkesi çerçevesinde yapılması gerektiği belirtilmiştir. AYM tarafından, KVKK’nın 6. maddesinin (3) numaralı fıkrasının dava konusu (e) bendinde yer alan sır saklama yükümlülüğü altında bulunan kişilerin, yetkili kurum ve kuruluşların, söz konusu fıkranın dava konusu (g) bendine tabi olan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların amaçlarının ve kuralda yer alan temasta olan kişilerin düzenleniş biçimi ve kurallarda kişisel verilerin işlenebileceği hâllerin kapsam, amaç ve sınırlarının da açıkça düzenlendiği gözetildiğinde kuralların kanunilik şartını taşıdığı sonucuna ulaşılmıştır. Devamla, KVKK’nın 6. maddesinin (3) numaralı fıkrasının dava konusu (e) bendinin kamu sağlığının korunması amacına hizmet ettiği ve bu bağlamda koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesine, sağlık hizmetleri ile finansmanının planlanmasına ve yönetimine katkı sağladığı anlaşılmakta olduğu ve bu itibarla kuralın anayasal anlamda meşru bir amaç taşıdığının açık olduğu belirtilmiştir.
Öte yandan siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumlarla bağlantılı kişilerin kişisel verilerinin kayıt altına alınmasının, bu bilgilerin elde edilmesinde öngörülen kısıtlamalar da -tabi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak kaydıyla- dikkate alındığında bireylerin temel hak ve özgürlüklerini kullanabilmesi için uygun şartları oluşturma ve bu surette kamu düzenini sağlama amacına yönelik olduğu, bu yönüyle kuralın anayasal anlamda meşru amaç taşıdığı sonucuna varılmıştır.
Kuralları ölçülülük ilkesi çerçevesinde de değerlendiren AYM, ölçülülük ilkesinin elverişlilik, gereklilik ve orantılılık alt ilkelerinden oluştuğunu belirtmiş; kanun koyucunun takdir yetkisini de gözeterek, kurallarda öngörülen sınırlamanın meşru amaca ulaşma bakımından elverişsiz olduğu ve gerekli olmadığı sonucuna varılamayacağını ifade etmiştir.
Kurallar yönünden kişisel verilerin işlenmesi sürecinin şeffaf bir şekilde gerçekleştirilmesi, bu kapsamda veri sahiplerine kişisel verilerine erişim imkânının tanınması, kişisel verilerin doğru ve güncel bir biçimde tutulması ve güvenliğinin sağlanması, kişisel verilerin meşru amaç için gerekenden daha uzun süre saklanmaması, işlenecek veya herhangi bir şekilde yararlanılacak verilerin ulaşılmak istenen amaçla sınırlı olması, hakkın sağladığı güvencelerin ihlali hâlinde yargı yoluna başvurulması gibi güvencelerin sağlandığı gözetildiğinde, AYM, kurallarla kişisel verilerin korunmasını isteme hakkına getirilen sınırlamanın orantısız olduğunun söylenemeyeceği kanaatine varmış ve bu nedenlerle kuralların, Anayasa’nın 13. ve 20. maddelerine aykırı olmadığını tespit etmiştir.
2. 7499 sayılı Kanun’un 34. Maddesiyle KVKK’nın Değiştirilen 9. Maddesinin (9) Numaralı Fıkrası Yönünden
AYM tarafından, Türkiye’nin veya ilgili kişinin menfaatinin ciddi bir şekilde zarar göreceği durumlarda kişisel verilerin yurt dışına aktarılmasında uyulacak esasları düzenleyen kuralın Anayasa’nın 20. maddesinde güvence altına alınan kişisel verilerin korunmasını isteme hakkına sınırlama getirdiğinin anlaşıldığı belirtilerek kuralda yer alan Türkiye’nin veya ilgili kişinin menfaatinin ciddi bir şekilde zarar göreceği durumların farklı şekillerde ortaya çıkabileceği gözetildiğinde belirtilen hususların kanun metninde tek tek belirlenmesi zorunluluğundan söz edilemeyeceği, bu durumun kanun yapma tekniğinin doğasından kaynaklandığı ifade edilmiştir.
Kanunilik incelemesi bakımından, kuralın yer aldığı maddede kişisel verilerin yurt dışına aktarımında izlenecek usul ve esaslar ile izin konusunda yetkili mercinin de açıkça gösterildiği gözetildiğinde kuralın açık, anlaşılır ve sınırlarının belirli olduğu, bu itibarla kanunilik şartını taşıdığı sonucuna ulaşılmıştır.
Kuralla, kişisel verilerin yurt dışına aktarımında Türkiye’nin veya ilgili kişinin menfaatinin ciddi şekilde etkileneceği durumlarda KVKK’da yer alan diğer şartlara ek olarak kuruldan izin alınması zorunluluğu öngörüldüğü ve bu itibarla kişilerin maddi ve manevi varlığının gelişmesi için gerekli şartlar ile milli güvenliği sağlamaya yönelik kuralın anayasal anlamda meşru bir amaç taşıdığının açık olduğu, kuralın yer aldığı maddenin (8) numaralı fıkrası uyarınca yurt dışına aktarılan kişisel verilerin sonraki aktarımları ve uluslararası kuruluşlara aktarımları bakımından da KVKK’da yer alan güvencelerin sağlanacağı ve bu konuda 9. madde hükümleri uygulanacağını, şikâyet veya kurulda kendiliğinden yapılacak inceleme üzerine KVKK’nın 15. maddesinin (7) numaralı fıkra uyarınca kurulun, telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılık olması hâlinde, verinin yurt dışına aktarılmasının durdurulmasına karar verebileceğini ve bu sebeplerle kuralla kişisel verilerin korunmasını isteme hakkına getirilen sınırlamanın orantılı olduğu sonucuna ulaşıldığı belirtilmiştir. Bu nedenle kuralın, AYM tarafından, Anayasa’nın 13. ve 20. maddelerine aykırılık teşkil etmediği tespit edilerek iptal talebi reddedilmiştir.
3. 7499 sayılı Kanun’un 35. Maddesiyle KVKK’nın 18. Maddesinin (1) Numaralı Fıkrasına Eklenen (d) Bendinde Yer Alan “...50.000 Türk lirasından 1.000.000 Türk lirasına...” İbaresi Yönünden
AYM tarafından yapılan değerlendirmede, adli ve idari suçlarda davranış normlarına aykırı ve haksızlık teşkil eden bir fiille, kanun koyucunun koruma altına aldığı bir hukuki değerin ihlali söz konusu olup adli ve idari cezaların her ikisinin de cebir içerdiği, bu itibarla Anayasa’nın söz konusu maddesinde yer alan suçta ve cezada kanunilik ilkesi idari suç ve cezalar yönünden de geçerli olduğu belirtilmiştir.
KVKK’nın 9. maddesinin (5) numaralı fıkrasında yer alan bildirimde bulunma yükümlülüğünü yerine getirmeyenler hakkında idari para cezası uygulanmasını öngören kuralın şeklî anlamda bir kanun hükmü olduğu ve erişilebilir olduğu konusunda bir tereddüt bulunmadığı ve dava konusu kuralın yer aldığı fıkrada ise kabahate konu fiil ile bu fiil karşısında uygulanacak yaptırımın alt ve üst sınırlarının açıkça gösterildiği de gözetildiğinde kuralın açık, anlaşılır, öngörülebilir ve sınırlarının belli olduğu bu yönüyle kanunilik şartını taşıdığı sonucuna ulaşılmıştır. İlaveten, kuralla bildirim yükümlülüğüne aykırı davranan kişiler bakımından yaptırım öngörülmek suretiyle kişisel verilerin işlenmesine dair usul ve esaslara uyulup uyulmadığı hususunun etkin bir şekilde denetlenmesinin ve bu konudaki ihlallerin önlenmesinin amaçlandığı anlaşıldığı ve bu itibarla kuralın anayasal anlamda meşru bir amacının olduğunun açık olduğu ifade edilmiştir.
AYM tarafından kuralın, kabahati oluşturan fiilin işleniş biçimi ve ağırlığına göre hakkaniyete uygun ve orantılı bir cezanın belirlenmesini sağlayacak şekilde alt ve üst sınırının 50.000 ve 1.000.000 Türk lirası olarak (basamaklı) düzenlendiği, söz konusu para cezası yeniden değerleme oranına tabi kılınarak yıldan yıla güncellenmesine imkân tanındığı, kuralda failin kusurunu aşacak nitelikte bir yaptırımın öngörülmediği ve kuralla ulaşılmak istenen amaç ve araç arasında bulunması gereken makul dengenin gözetildiği belirtilerek bu itibarla kanun koyucunun takdir yetkisi kapsamında kamu yararı amacına yönelik olarak düzenlediği ve ölçülülük ilkesine de aykırı olmadığı anlaşılan kuralın hukuk devleti ve suç ve cezaların kanuniliği ilkeleriyle çelişen bir yönünün bulunmadığı ifade edilmiştir. Bu sebeple kuralın Anayasa’nın 2. ve 38. maddelerine aykırı olmadığı tespit edilerek iptal talebi reddedilmiştir.
4. Yürütmenin Durdurulması Talebi Yönünden
İlgili kuralların Anayasa’nın ilgili hükümlerine aykırılık teşkil etmediğinin tespiti ve iptal taleplerinin reddi ile her bir kural bakımından talep edilen yürütmenin durdurulması talepleri de reddedilmiştir.
IV. SONUÇ
İptali talep edilen kurallar bakımından AYM, konuya yönelik bütüncül bir tavır sergilemiştir. Bu kapsamda iptal talebine konu kurallar; temel ilkeler, ilgili kişilerin hakları, idari başvuru yolları ve diğer hak arama yolları gibi cihetler göz önünde bulundurularak bütüncül bir yaklaşımla değerlendirilmiştir. İptal taleplerinin reddedilmesinde bu bütüncül yaklaşım rol oynamıştır. Bu noktada AYM, kişisel verilerin korunmasını, kişisel verilerin işlenmesi ile aynı düzeyde meşru görmüş, haklar arasında hassas bir denge gözetilerek temel ilkeler başta olmak üzere diğer tüm güvencelere vurgu yapılmıştır.
Yurt dışına aktarım yönünden AYM, ciddi zarar riski doğuran durumlarda kurul izni şartını ek bir güvence olarak görmüş, kurulun inceleme ve durdurma yetkilerini de dengeleyici unsur saymıştır. İdari para cezası yönünden ise fiil ve yaptırımın alt ve üst sınırlarının açık belirlenmesini kanunilik bakımından yeterli bulmuş, caydırıcılık ile öngörülebilirlik arasında makul denge kurulduğu sonucuna varmıştır. Sonuç olarak AYM, kişisel verilerin korunması ile belirli alanlarda veri işlemenin zorunluluğu arasında denge kuran yaklaşımıyla iptal taleplerini reddetmiş ve kuralların Anayasa’ya aykırı olmadığına hükmetmiştir.
B. ANA ÇIKARIMLAR
(i) AYM, 10 Temmuz 2025 tarihli kararıyla, 7499 sayılı Kanun’un 33. maddesiyle KVKK m. 6/3’te değiştirilen (e) ve (g) bentlerini, 34. maddesiyle KVKK m. 9/9’u ve 35. maddesiyle KVKK m. 18/1’e eklenen (d) bendindeki “50.000 TL–1.000.000 TL” aralığını Anayasa’ya aykırı bulmayarak iptal ve yürürlüğün durdurulması taleplerini reddetmiştir.
(ii) AYM, KVKK m. 6/3 (e) ve (g) bakımından ölçülülük incelemesinde, elverişlilik ve gereklilik bakımından kanun koyucunun takdir yetkisini de dikkate alarak düzenlemelerin meşru amaca ulaşmaya elverişli ve gerekli olduğunun söylenebileceğini, ayrıca KVKK’daki şeffaflık, erişim, doğruluk-güncellik, veri güvenliği, saklama süresiyle sınırlılık ve yargısal başvuru güvenceleri birlikte gözetildiğinde müdahalenin orantısız sayılamayacağını belirtmiştir.
(iii) AYM, getirilen sınırlamaların kamu sağlığının korunması ve kamu düzeninin sağlanması gibi meşru amaçlara dayandığını kabul etmiştir.
(iv) AYM’nin yaklaşımında, müdahalenin ölçülülüğü değerlendirilirken “sistem güvenceleri” belirleyici rol oynamaktadır; temel ilkeler, veri sahibi hakları, denetim/şikâyet mekanizmaları ve yargısal başvuru imkânı, sınırlamanın ağırlığını dengeleyen unsurlar olarak görülmektedir.
(v) AYM, Türkiye’nin veya ilgili kişinin menfaatinin ciddi zarar göreceği hâllerde, kişisel verilerin yurt dışına aktarımı için kurul izni aranmasını Anayasa’ya uygun bulmuştur.
(vi) AYM, bu izin mekanizmasının usul ve yetki çerçevesinin kanunda gösterildiğini belirtmiş, bu nedenle belirsizlik iddiasını kabul etmemiştir.
(vii) AYM, kişisel verilerin korunmasını isteme hakkının mutlak olmadığını belirtmekte; kamu yararıyla bağlantılı meşru amaçlar bulunduğunda, kanuni dayanak ve yeterli güvencelerle sınırlanabileceğini kabul etmektedir.
(viii) AYM, para cezasının alt-üst sınırlarının kanunda açık yazılması ve yeniden değerleme ile güncellenebilmesi nedeniyle kuralın ölçülü ve öngörülebilir olduğu sonucuna varmıştır.
(ix) AYM, idari para cezasının basamaklı alt-üst sınırla düzenlenmesi ve yeniden değerleme oranına tabi tutulması sayesinde yaptırımın fiilin ağırlığına göre hakkaniyete uygun biçimde belirlenebileceğini, kusuru aşan bir yaptırım öngörülmediğini ve amaç-araç dengesinin makul olduğunu belirterek kuralın hukuk devleti ve kanunilik ilkeleriyle çelişmediği sonucuna ulaşmıştır.
(x) AYM, iptal istemlerini reddettiği için, 7499 sayılı Kanun m. 33, m. 34 ve m. 35 bakımından talep edilen yürürlüğün durdurulması istemlerini de reddetmiştir.
