Anayasa Mahkemesi: Veri Koruma İhlalinde 'Alenileştirme Amacı' Kanunda Olmadığında Ceza Yok

AYM'nin Viennalife Kararı: Kanunilik İlkesini Yeniden Tanımladı

Anayasa Mahkemesi Genel Kurulu, 27 Ocak 2026 tarihli Viennalife Emeklilik ve Hayat A.Ş. kararında, kişisel verilerin işlenmesine ilişkin idari para cezasının Anayasa Madde 38'de güvence altına alınan "suçta ve cezada kanunilik" ilkesini ihlal ettiğini oybirliğiyle kararlaştırmıştır.

Olayda, Viennalife Şirketi, hizmetburada.com adlı internet sitesinden elde ettiği kişisel veriler kullanarak müşteri arama kampanyası gerçekleştirmiştir. Kişisel Verileri Koruma Kurulu, verilerin alenileştirilme amacı dışında kullanıldığı gerekçesiyle Kişisel Verilerin Korunması Kanunu (KVKK) uyarınca idari para cezası uygulamıştır. Şirket bunun hukuka aykırı olduğunu iddia ederek Anayasa Mahkemesi'ne başvurmuştur.

Kanunda Olmayan Kavram Yorum Yoluyla Yaptırıma Dayanamaz

Mahkeme, KVKK Madde 5/2-d'de "kişisel verilerin alenileştirilmesi" kavramına yer verildiğini ancak "alenileştirme amacı" ve bu amaca aykırı kullanımın yaptırım koşullarının kanunda düzenlenmediğini saptamıştır. Kararında, "Kanunda açıkça yer almayan bir kavramın yorum yoluyla genişletilerek yaptırımın dayanağı haline getirilmesi, kanunilik ilkesinin sağladığı güvence ile bağdaştırılamaz" ifadesini kullanmıştır.

AYM ayrıca, söz konusu ölçütün yalnızca Uygulamaya İlişkin Rehberi'ndeki açıklamalar temelinde yorumlandığını belirtmiş, bu yaklaşımın öngörülemez sonuçlar doğurduğunu vurgulamıştır.

Kabahatler Alanında Esnekliğin Sınırları Var

Mahkeme, kabahatler alanında "kanunilik" ilkesinin suç alanında olduğundan daha esnek uygulanabileceğini kabul etmekle birlikte, bu esnekliğin ilkenin özünü ortadan kaldıracak düzeyde olamayacağını vurgulamıştır. Kabahatler Kanunu Madde 4, idarenin çerçeve hükümleri doldurabileceğini öngörmekle birlikte, cezanın türü, süresi ve miktarı yalnızca kanunla belirlenebilir.

• Kanunilik ilkesi kabahatler bakımından da uygulanır
• Kanunda düzenlenmeyen unsurlar yorumla yaptırım dayanağı olamaz
• İdarenin düzenleyici işlemleri çerçeve hükümleri doldurabilir, yeni yükümlülük oluşturamaz

Karar, idari yaptırımlar alanında hukuk güvenliğinin sağlanması açısından önemli bir sınır çizmektedir. Kurumların kendi rehberleri ve iç düzenlemeleriyle kanun koyucu yerine geçemeyeceği ilkesi, veri koruma hukuku başta olmak üzere idari hukuk uygulamalarında geniş yansıma bulacaktır.