2026 AYM Viennalife Kararı: KVKK İdari Para Cezalarında Kanunilik İlkesinin Sınırları
Giriş ve Arka Plan
Kişisel verilerin korunması hukuku, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ile birlikte, idari ve cezai yaptırımların yoğun şekilde uygulandığı, hızla gelişen bir alan haline gelmiştir. Özellikle Kişisel Verileri Koruma Kurulu (Kurul) tarafından verilen idari para cezaları, şirketler için ciddi mali riskler doğurmakta; bu risklerin çerçevesini ise Anayasa Mahkemesi (AYM) kararları belirleyici şekilde etkilemektedir.
Viennalife Emeklilik ve Hayat A.Ş. başvurusu (B. No: 2020/32193, Karar Tarihi: 27.01.2026) tam da bu noktada kritik bir dönüm noktası niteliğindedir. AYM, Kurul tarafından KVKK kapsamında verilen 100.000 TL tutarındaki idari para cezasını, suçta ve cezada kanunilik ilkesinin (Anayasa m.38) ihlali gerekçesiyle iptal etmiş; kararında, KVKK’da yer almayan “alenileştirme amacı” kavramına dayanılarak ceza verilemeyeceğini açıkça ortaya koymuştur. Karar, 16 Haziran 2026 tarihli ve 33282 sayılı Resmî Gazete’de yayımlanarak yürürlüğe girmiştir.
Bu karar, bir yandan KVKK m.5/2-d’de yer alan “kişinin kendisi tarafından alenileştirilmiş olması” hukuki sebebinin nasıl anlaşılması gerektiğine ışık tutarken, diğer yandan Kurul’un rehber ve ikincil düzenlemelerle getirdiği kavramlara dayanarak idari para cezası uygulamasının sınırlarını çizmiştir. Dolayısıyla, karardan sonra veri sorumluları ve özellikle mali müşavirler, “alenileştirme” ve “kanunilik” ekseninde tüm kişisel veri işleme süreçlerini yeniden gözden geçirmek zorundadır.
Karar, doğrudan bir vergi normuna ilişkin olmasa da, KVKK kaynaklı idari para cezalarının muhasebeleştirilmesi, vergi matrahına etkisi ve risk yönetimi bakımından vergi-muhasebe dünyasını çok yakından ilgilendirmektedir. Özellikle, dijital pazarlama, telemarketing, müşteri kazanım süreçleri ve açık kaynaklardan (internet, sosyal medya, ilan siteleri vb.) veri temini yapan şirketler için risk profilini köklü biçimde değiştirmektedir.
Düzenlemenin (Kararın) Detayları
Karar, bir kanun değişikliği değil, bireysel başvuru üzerine verilen bir AYM kararıdır. Ancak normun yorumunu değiştirdiği ve idarenin (Kurul’un) uygulama alanını sınırladığı için fiilen “mevzuat etkisi” doğurmaktadır. Bu nedenle uygulamada yeni bir dönüm noktası olarak değerlendirilmelidir.
Olayın kronolojisi kısaca şu şekildedir:
- 24.09.2018: Şikâyetçi A.Y., sigortacılık faaliyetleri konulu görüşme ve randevu talebi amacıyla Viennalife tarafından telefonla aranır; kişisel verilerinin açık rızası olmadan kullanıldığını iddia ederek Kurul’a şikâyette bulunur.
- Şirket savunması: Şikâyetçinin ad, soyad ve telefon bilgisinin, “hizmetburada.com” adlı internet sitesinde halka açık şekilde yer aldığını, dolayısıyla verilerin alenileştirilmiş kişisel veri olduğunu, KVKK m.5/2-d uyarınca işlenebileceğini ileri sürer.
- 07.11.2019: Kurul, verilerin “alenileştirme amacı dışında” (randevu talebi ve sigortacılık faaliyeti pazarlaması için) kullanıldığı gerekçesiyle KVKK m.12/1-a’ya aykırılık tespit eder ve 100.000 TL idari para cezası verir.
- Sulh Ceza Hâkimliği, cezayı 17.828 TL’ye indirir; itirazlar reddedilir.
- Şirket, AYM’ye bireysel başvuruda bulunur. Başvuruda, suçta ve cezada kanunilik ilkesinin ihlal edildiği, ayrıca mülkiyet hakkı dahil bazı temel hakların ihlal edildiği ileri sürülür.
- 27.01.2026: AYM Genel Kurulu, suçta ve cezada kanunilik ilkesinin ihlal edildiğine oybirliğiyle karar verir; başvuruyu kabul eder.
- 16.06.2026: Karar Resmî Gazete’de yayımlanır; yeniden yargılama için dosya ilgili Sulh Ceza Hâkimliği’ne gönderilir; başvurucu lehine yargılama giderlerine hükmedilir.
AYM’nin kararında öne çıkan temel noktalar şunlardır:
- KVKK m.5/2-d: “kişisel verilerin işlenmesinin, ilgili kişinin kendisi tarafından alenileştirilmiş olması” kişisel veri işlemenin hukuki sebeplerinden biri olarak sayılmıştır.
- Kanunda “alenileştirme amacı” kavramı yer almamaktadır. KVKK, alenileştirmeyi bir durum olarak düzenlemekte, ancak bu alenileştirmenin hangi amaçla yapıldığının ayrıca aranacağına dair açık bir hüküm içermemektedir.
- Kurul, “alenileştirmenin amacı ile sınırlı kullanım” yaklaşımını, Kurum’un Uygulama Rehberleri ve rehber niteliğindeki dokümanları üzerinden geliştirmiş; alenileştirilmiş verilerin yalnızca ilgili kişinin alenileştirdiği amaçla sınırlı olarak işlenebileceğini, aksi hâlde hukuka aykırılık doğacağını kabul etmiştir.
- AYM, “alenileştirme amacı” kavramının kanunda yer almadığı, yalnızca rehber ve idarenin yorumundan kaynaklandığı, bu nedenle bireylere ve şirketlere önceden öngörülebilir bir yükümlülük getirmediği sonucuna varmıştır.
- Bu nedenle, Kurul’un, kanunda açıkça düzenlenmeyen bir kritere dayanarak (alenileştirme amacına aykırılık) idari para cezası uygulaması, Anayasa m.38’de güvence altına alınan suçta ve cezada kanunilik ilkesini ihlal etmektedir.
- AYM, başvurucu lehine 40.446,90 TL yargılama gideri (harç ve vekâlet ücreti dahil) ödenmesine hükmetmiş; diğer hak ihlali iddialarını incelemeye gerek görmemiştir.
Özetle; AYM, KVKK çerçevesinde verilen idari para cezalarının “kanuni” dayanağa sahip olduğunu daha önceki kararlarında genel olarak kabul etmekle birlikte, Kurul’un kanunda bulunmayan kavramlara dayanarak yorum genişletmesi yapmasını, kanunilik ilkesini ihlal eden ölçüsüz bir uygulama olarak nitelendirmiştir.
Eski-Yeni Uygulama Karşılaştırması ve Kapsam
Karar öncesi ve sonrası uygulamayı ana hatlarıyla aşağıdaki gibi özetleyebiliriz:
| Dönem | Alenileştirme Yaklaşımı | Ceza Riski |
| Karar Öncesi | Kurul, alenileştirilmiş verilerin yalnızca alenileştirme amacıyla sınırlı olarak işlenebileceğini, aksi durumda KVKK m.12/1-a kapsamında veri güvenliği yükümlülüğünün ihlal edileceğini kabul etmekteydi. Bu yaklaşım, Kanun metni yerine Kurul rehberlerine dayanıyordu. | Alenileştirilmiş veri dahi olsa, Kurul’un belirlediği “amaçla sınırlılık” ilkesine aykırı her kullanımda yüksek tutarlı idari para cezası riski söz konusuydu. |
| AYM Kararı Sonrası | Alenileştirme hâlâ hukuki sebep olarak geçerlidir; ancak sırf “alenileştirme amacı dışında kullanıldı” gerekçesiyle, kanunda açık dayanak olmaksızın ceza verilemeyeceği kabul edilmiştir. Kurul, yeni kararlarında kanuni temele daha sıkı bağlı kalmak zorundadır. | Alenileştirme amacına dayalı ceza uygulamalarında ciddi sınırlama; buna karşılık diğer KVKK ihlallerinde (aydınlatma eksikliği, açık rıza, veri güvenliği tedbirleri vb.) ceza riski aynen devam etmektedir. |
Kapsam bakımından kararın etkilediği başlıca alanlar:
- Telemarketing ve çağrı merkezi faaliyetleri: İnternetten, ilan sitelerinden veya sosyal medyadan alınan telefon numaralarına yapılan aramalar.
- Dijital pazarlama ve hedefli reklam: Kişinin kendisinin yayınladığı e-posta, telefon, sosyal medya hesabı gibi bilgiler üzerinden yapılan ticari iletişimler.
- Açık veri kaynakları: Kamuya açık rehberler, internet siteleri, B2B/B2C platformlar üzerinden veri temini.
- İkincil veri kullanımı: Bir platformda belirli bir amaçla paylaşılan verilerin, başka bir şirket tarafından farklı bir ticari amaçla yeniden kullanımı.
Ancak altını çizmek gerekir ki; karar, alenileştirilmiş verilerin her amaçla sınırsız işlenebileceği anlamına gelmemektedir. AYM yalnızca şunu söylemektedir: Kanunda açıkça düzenlenmeyen, sadece rehberlere dayanarak oluşturulan bir “alenileştirme amacı” kriteri, idari para cezasının tek ve belirleyici dayanağı olamaz. Buna karşılık, örneğin aydınlatma yükümlülüğünün ihlali, gereğinden fazla veri işleme, veri minimizasyonu ilkesinin ihlali, açık rıza gerektiren bir durumda rızasız işlem gibi hususlara dayanılarak ceza verilmesi hâlâ mümkündür.
Uygulamada Nasıl İşleniyor? (Hukuki ve Muhasebesel Süreç)
AYM kararı, hem hukuki süreç hem de muhasebe/vergisel süreç bakımından belirli adımları beraberinde getirmektedir.
1. İdari Para Cezası Süreci ve AYM Kararının Etkisi
Tipik akış şu şekildedir:
- Kurul kararı ile idari para cezası tesis edilir (örneğimizde 100.000 TL).
- Veri sorumlusu, idari para cezasına karşı Sulh Ceza Hâkimliği’ne başvurur; cezanın iptali veya indirilmesi söz konusu olabilir.
- Hâkimlik kararı kesinleştikten sonra, bireysel başvuru şartları oluşmuşsa AYM’ye gidilebilir.
- AYM ihlal kararı verirse, dosyayı ilgili Sulh Ceza Hâkimliği’ne yeniden yargılama yapılmak üzere gönderir.
- Hâkimlik, AYM’nin ihlal tespitini gözeterek cezanın iptaline veya yeniden değerlendirilmesine karar verir.
- İptal halinde; ödenmiş ceza varsa iadesi, tahsil edilmemiş cezalarda ise tahsilattan vazgeçilmesi gündeme gelir.
Viennalife kararında da AYM, ihlalin giderilmesi için yeniden yargılama yapılmasına hükmetmiş ve kararını ilgili Sulh Ceza Hâkimliği’ne göndermiştir. Bu aşamadan sonra şirket cezanın tamamen iptalini veya en azından kanunilik ilkesine uygun bir çerçevede yeniden değerlendirilmesini talep edebilecektir.
2. Muhasebe Kayıtları: KVKK Cezası ve İadenin Muhasebeleştirilmesi
KVKK kapsamında kesilen idari para cezaları, genel olarak kanunen kabul edilmeyen gider niteliğindedir. Kurumlar vergisi ve gelir vergisi uygulamasında, kamu otoritelerince verilen idari para cezalarının vergi matrahından indirilmesi mümkün değildir. Bu nedenle, cezaların muhasebeleştirilmesi ile vergisel etkisinin ayrıştırılması önemlidir.
Varsayımsal senaryo üzerinden gidelim:
- Kurul tarafından 100.000 TL idari para cezası kesildiğini ve cezayı şirketin 2020 yılında ödediğini varsayalım.
- İlgili dönemde kayıt şu şekilde yapılmış olabilir:
İlk Kayıt (Ceza Ödendiğinde)
Örneğin;
----------------- / -----------------
689 Diğer Olağandışı Gider ve Zararlar (KVKK Cezası) 100.000 TL
100 Kasa / 102 Bankalar 100.000 TL
----------------- / -----------------
Bu tutar aynı zamanda, kurumlar vergisi beyannamesinde kanunen kabul edilmeyen gider (KKEG) olarak matraha ilave edilmelidir.
AYM İptal Kararı Sonrası İade
AYM kararı sonrasında Sulh Ceza Hâkimliği cezanın iptaline karar verirse, idari para cezası iade edilebilir. İade, ödemenin yapıldığı yıl ile iadenin yapıldığı yıl farklı olabileceği için dönemler arası etkiler de dikkate alınmalıdır.
Örneğin; ceza 2020 yılında ödenmiş, iade ise 2027 yılında yapılmış olsun. Bu durumda:
----------------- / -----------------
102 Bankalar 100.000 TL
679 Diğer Olağandışı Gelir ve Kârlar (İade Edilen KVKK Cezası) 100.000 TL
----------------- / -----------------
Bu gelir, 2027 yılı kurum kazancına dahil edilir; önceki yıllarda KKEG yapılan tutarın iadesi söz konusu olduğundan, geçmiş yıl matrah düzeltmesi yerine iadenin yapıldığı dönemde gelir olarak dikkate alınır. Ayrıntılı uygulama için her somut olayda Vergi Usul Kanunu ve ilgili tebliğler çerçevesinde ayrıca değerlendirme yapılmalıdır.
3. Risk Yönetimi ve İç Kontrol Süreçleri
Karar sonrası şirketlerin yapması gerekenler:
- Alenileştirilmiş kişisel verilerin işlendiği tüm süreçlerin (CRM, çağrı merkezi, dijital pazarlama, iş geliştirme vb.) envanterinin çıkarılması.
- Bu süreçlerdeki hukuki dayanaktan (KVKK m.5/2-d, m.5/2-f, sözleşme ilişkisi vb.) hangisinin kullanıldığının netleştirilmesi.
- Kurul rehberlerinde yer alan “alenileştirme amacı” kavramına dayanarak uygulanmış veya uygulanabilecek cezaların gözden geçirilmesi; hukuki yollara başvuru imkânı ve sürelerinin değerlendirilmesi.
- İç yönergeler ve şirket KVKK politikalarının, kanun metni ve AYM kararlarıyla uyumlu hâle getirilmesi.
Örnek Senaryo: Alenileştirilmiş Veriden Telemarketing ve Ceza İadesi
Aşağıda, AYM kararı sonrasını anlamaya yardımcı olması için rakamlı ve muhasebe boyutu da içeren bir örnek senaryo ele alalım.
Örnek Olay
XYZ Sigorta A.Ş., internet üzerinden potansiyel müşteri araştırması yaparken, “uzmanhizmet.com” adlı bir sitede, serbest çalışan bir danışmanın ilanına rastlar. İlanda şu bilgiler yer almaktadır:
- Ad Soyad: B.M.
- Meslek: Danışman
- Telefon: 5XX XXX XX XX
- Açıklama: “Danışmanlık hizmetleriniz için beni arayabilirsiniz.”
XYZ Sigorta, bu numarayı CRM sistemine kaydeder ve çağrı merkezi üzerinden B.M.’yi arayarak hayat sigortası ürünleri hakkında bilgi vermek ister. B.M., bu aramadan rahatsız olur ve KVKK kapsamında Kurul’a şikâyette bulunur.
Kurul Süreci
- Kurul, ilan sitesinde paylaşılan telefon numarasının B.M. tarafından alenileştirildiğini kabul eder.
- Ancak, “alenileştirme amacı”nın danışmanlık hizmeti sunmak olduğunu, sigorta ürünleri pazarlaması için bu numaranın kullanılmasının alenileştirme amacının dışına çıktığını değerlendirir.
- KVKK m.12/1-a uyarınca veri güvenliği yükümlülüğünün ihlal edildiği gerekçesiyle 150.000 TL idari para cezası verir.
Muhasebe Kayıtları (Cezanın Ödenmesi)
2024 yılında cezanın ödendiğini varsayalım:
----------------- / -----------------
689 Diğer Olağandışı Gider ve Zararlar (KVKK Cezası) 150.000 TL
102 Bankalar 150.000 TL
----------------- / -----------------
Kurumlar vergisi beyannamesinde bu 150.000 TL, KKEG olarak matraha ilave edilir.
AYM Kararı Sonrası Durum
XYZ Sigorta A.Ş., Sulh Ceza Hâkimliği aşamalarını tükettikten sonra AYM’ye bireysel başvuruda bulunur ve Viennalife kararına benzer şekilde, cezaya dayanak yapılan “alenileştirme amacı” kavramının kanunda yer almadığını, bu nedenle suçta ve cezada kanunilik ilkesinin ihlal edildiğini ileri sürer.
AYM, Viennalife kararındaki ilkeleri uygulayarak, kanunda bulunmayan bir kritere dayanılarak idari para cezası verilemeyeceğine hükmeder ve ihlal kararı verir. Dosya yeniden yargılama için Sulh Ceza Hâkimliği’ne gönderilir.
Hâkimlik, AYM kararına uygun şekilde cezayı iptal eder ve cezanın iadesine karar verilir. 2027 yılında 150.000 TL’nin iadesi yapılır.
----------------- / -----------------
102 Bankalar 150.000 TL
679 Diğer Olağandışı Gelir ve Kârlar (İade Edilen KVKK Cezası) 150.000 TL
----------------- / -----------------
Bu durumda:
- 2024 yılında KKEG olarak matraha eklenen 150.000 TL nedeniyle fazla vergi ödenmişse, iade edilen ceza 2027 yılında gelir yazılır. Vergi idaresi ile uzlaşma veya düzeltme/yargı yoluna başvurulması gerekip gerekmediği, olayın özelliğine ve zamanaşımı durumuna göre ayrıca değerlendirilecektir.
- Şirket, KVKK uyum süreçlerini gözden geçirerek, alenileştirilmiş veriler için dayanacağı diğer hukuki sebepleri (meşru menfaat, sözleşme ilişkisi vb.) açıkça dokümante etmek zorundadır.
Dikkat Edilmesi Gereken Kritik Noktalar
AYM’nin Viennalife kararı sonrası, veri sorumluları ve özellikle mali müşavirler açısından dikkat edilmesi gereken en az beş kritik nokta şu şekilde özetlenebilir:
- 1) Kanunilik ilkesinin kapsamı: Rehber ve ikincil düzenleme ile ceza olmaz
Anayasa m.38’de güvence altına alınan suçta ve cezada kanunilik ilkesi, yalnızca ceza hukuku anlamında suçlar için değil, ağır idari para cezaları bakımından da uygulanmaktadır. Kurul’un rehberleri, ilkeleri ve uygulama dokümanları elbette bağlayıcı yol göstericilerdir; ancak kanunda açıkça düzenlenmeyen bir kavramı (alenileştirme amacı gibi) tek başına ceza dayanağı hâline getirmesi mümkün değildir. Mali müşavirler, mükelleflerine bu ayrımı net şekilde anlatmalı ve hukuki değerlendirmelerinde kanun metnini esas almalıdır. - 2) Alenileştirme hâlâ bir hukuki sebep; “her şey serbest” değil
AYM kararı, alenileştirilmiş verilerin her amaçla sınırsız işlenebileceği anlamına gelmemektedir. Alenileştirme hukuki bir sebep olarak KVKK m.5/2-d’de varlığını korumaktadır. Ancak ceza için “alenileştirme amacına aykırılık” gerekçesi tek başına yeterli değildir. Buna karşın; aydınlatma yükümlülüğünün ihlali, gereğinden fazla veri işleme, verilerin üçüncü kişilerle ölçüsüz paylaşımı gibi klasik KVKK ihlalleri hâlâ ciddi ceza riski taşımaktadır. - 3) Mevcut ve geçmiş cezalara etkisi: Geriye dönük strateji
Şirketlerin 2017’den bu yana maruz kaldığı Kurul kararları incelendiğinde, özellikle telemarketing ve dijital pazarlama alanındaki bazı cezalarda alenileştirme amacına yoğun vurgu yapıldığı görülmektedir. Bu tür kararlar için AYM’nin Viennalife içtihadı, geriye dönük olarak hukuki başvuru yollarının (iade, yeniden yargılama, AYM bireysel başvuru) değerlendirilmesini gerektirir. Zamanaşımı ve başvuru süreleri dikkatle izlenmelidir. - 4) Muhasebe ve vergi planlaması: Cezalar bütçelenirken belirsizlik azaldı ama bitmedi
KVKK cezaları, şirketlerin risk bütçelerinde önemli bir kalemdir. AYM kararı, Kurul’un yorum genişletmesi nedeniyle ortaya çıkabilecek bazı cezaların önünü kesse de, veri güvenliği, veri ihlali bildirim eksikliği, açık rıza gerekip de alınmaması gibi alanlarda ceza riski aynen devam etmektedir. Mali müşavirler, KVKK cezası riskini içeren senaryolarda, hangi cezaların kanuni dayanağının sağlam, hangilerinin tartışmalı olduğunu ayırt ederek daha gerçekçi risk bütçelemesi yapmalıdır. - 5) İç süreçlerde dokümantasyon: “Meşru menfaat” ve diğer dayanakların ispatı
Alenileştirilmiş verilerin işlenmesinde, şirketler çoğu zaman KVKK m.5/2-f’deki “veri sorumlusunun meşru menfaati” hukuki sebebine de dayanabilmektedir. AYM kararı sonrası Kurul’un, alenileştirme amacına değil, veri minimizasyonu, ölçülülük ve meşru menfaatin baskın olup olmadığına daha fazla odaklanması beklenebilir. Bu nedenle, şirketler tüm veri işleme faaliyetleri için hukuki dayanak analizini yazılı ve denetlenebilir şekilde tutmalı, her işlem için “neden bu veriyi işliyorum, hangi maddeye dayanıyorum, süresi nedir?” sorularını belgelemelidir.
Mali Müşavirler İçin Yapılması Gerekenler (Aksiyon Listesi)
Mali müşavirler, hem KVKK cezalarının muhasebeleştirilmesi ve vergisel etkisi hem de mükelleflerinin KVKK risk yönetimini destekleme noktasında önemli bir role sahiptir. AYM’nin Viennalife kararı sonrasında atılması gereken başlıca adımlar şunlardır:
- 1) KVKK ceza envanterinin çıkarılması
Mükellef şirketlerin son 5-6 yılda maruz kaldığı tüm KVKK kaynaklı idari para cezalarının dökümü çıkarılmalıdır. Her ceza için; cezanın tarihi, tutarı, dayanak gösterilen KVKK maddeleri, Kurul kararındaki gerekçeler ve yargı süreci (itiraz edilip edilmediği, sonuçlanıp sonuçlanmadığı) listelenmelidir. - 2) “Alenileştirme amacı”na dayalı cezaların tespiti
Bu liste içinde, Kurul gerekçesinde açıkça veya zımnen “alenileştirme amacı”, “amaçla sınırlılık” gibi ifadelerin yer aldığı kararlar işaretlenmelidir. AYM kararı sonrası bu cezalar için ek hukuk ve vergi stratejisi geliştirme potansiyeli bulunmaktadır. - 3) Hukuk birimi ile koordinasyon ve yeniden yargılama imkânı
Mali müşavir tek başına hukuki yol sürecini yürütmeyecek olsa da, şirket avukatları veya dış hukuk danışmanları ile koordineli çalışarak, AYM içtihadı ışığında yeniden yargılama, ek itiraz, bireysel başvuru gibi yolların kullanılıp kullanılamayacağını değerlendirmelidir. Özellikle henüz kesinleşmemiş veya derdest dosyalar için AYM kararı güçlü bir emsal teşkil edecektir. - 4) Muhasebe kayıtlarının ve KKEG uygulamasının gözden geçirilmesi
Geçmiş dönemlerde kaydedilmiş KVKK cezalarının, iade ihtimali doğmuşsa (örneğin dava açılmış ve sürmekte ise) bu durum dipnotlarda veya yönetim raporlarında açıklanmalıdır. İade gerçekleştiğinde kullanılacak hesaplar (örneğin 679 hesap) ve vergisel yansımalar (gelir kaydedilen dönemde vergi etkisi) önceden planlanmalıdır. - 5) KVKK uyum projelerinin bütçelenmesi ve raporlanması
AYM kararı, “kanunsuz ceza olmaz” ilkesini hatırlatsa da, KVKK uyum projelerine olan ihtiyacı ortadan kaldırmamaktadır. Aksine, Kurul’un hukuki dayanağı sağlam ihlallere daha sert yaklaşması muhtemeldir. Bu nedenle, aydınlatma metinlerinin güncellenmesi, veri envanteri, VERBİS kayıtlarının gözden geçirilmesi, iç politika ve prosedürlerin revizyonu gibi uyum projeleri için ayrılan bütçelerin, mali tablolar ve yönetim raporlarında ayrı kalemler hâlinde gösterilmesi ve yönetimin dikkatine sunulması önemlidir.
Sık Sorulan Sorular
AYM’nin Viennalife kararı sonrası uygulamada sıkça sorulması beklenen bazı sorular ve yanıtları aşağıdadır.
Soru 1: Bu karar, alenileştirilmiş verileri istediğimiz gibi kullanabileceğimiz anlamına mı geliyor?
Hayır. Karar, alenileştirilmiş verilerin her amaçla ve sınırsız şekilde işlenebileceğini söylemiyor. AYM yalnızca, kanunda yer almayan “alenileştirme amacı” kavramına dayanarak idari para cezası verilemeyeceğini belirtiyor. Yani Kurul, kanunda açıkça yer alan veri işleme şartları ve ilkelerine (hukuka uygunluk, ölçülülük, veri minimizasyonu, aydınlatma, güvenlik tedbirleri vb.) dayanmadan sırf “amaç dışı kullanım” gerekçesiyle ceza veremez. Buna karşılık, alenileştirilmiş veri kullanırken dahi aydınlatma yükümlülüğü, veri güvenliği ve ölçülülük ilkelerine uyulmaması hâlinde ceza riski devam etmektedir.
Soru 2: Halka açık bir ilandaki telefon numarasını pazarlama araması için kullanırsam hâlâ risk var mı?
Evet, belirli ölçüde risk devam etmektedir. AYM kararından sonra Kurul’un “alenileştirme amacı” kavramını cezanın tek dayanağı olarak kullanması zorlaşmış olsa da, pazarlama aramaları için ilgili kişinin açık rızasının gerektiği veya 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve ticari elektronik ileti mevzuatına aykırılık gibi başka hukuki zeminlerden ceza kesilmesi mümkündür. Ayrıca, aydınlatma yapılmadan kişisel verinin işlenmesi, KVKK m.10 ve m.12 ihlali kapsamında değerlendirilebilir.
Soru 3: Daha önce alenileştirme amacı gerekçesiyle ceza aldık. AYM kararı sonrası ne yapmalıyız?
Öncelikle cezanın hangi tarihte kesildiğini, Sulh Ceza Hâkimliği sürecinin tamamlanıp tamamlanmadığını, AYM’ye bireysel başvuru yapılıp yapılmadığını kontrol etmeniz gerekir. Dava süreci devam ediyorsa veya başvuru için süreler henüz dolmamışsa, AYM’nin Viennalife kararını emsal göstererek kanunilik ilkesinin ihlal edildiğini ileri sürebilirsiniz. Kesinleşmiş ve süreleri geçmiş kararlar için ise hukuk danışmanınızla birlikte istisnai kanun yollarının (yargılamanın yenilenmesi gibi) mümkün olup olmadığını değerlendirmeniz gerekir.
Soru 4: KVKK cezaları vergi matrahından indirilebilir mi, AYM kararı bu durumu değiştirir mi?
KVKK kapsamında verilen idari para cezaları, genel prensip olarak kanunen kabul edilmeyen gider niteliğindedir ve kurum kazancının tespitinde gider yazılamaz. AYM kararı bu kuralı değiştirmez. Ancak, AYM ihlal kararı sonrası cezanın iade edilmesi hâlinde, daha önce gider yazılmış tutarların iade edilmesi, iadenin yapıldığı dönemde gelir olarak muhasebeleştirilir. Böylece fiilen geçmişte KKEG olarak matraha eklenen tutar ile bugün gelir yazılan tutar arasında belirli bir denge sağlanır. Ayrıntılı etki, her şirketin kendi vergi pozisyonuna göre ayrıca analiz edilmelidir.
Soru 5: Kurul bundan sonra ne yapacak, rehberlerini değiştirmek zorunda mı?
AYM kararları, norm denetimi kararı olmasa bile, bireysel başvuru kapsamında verilen ihlal kararları dahi idare için fiilî bağlayıcılık taşır. Kurul’un, AYM’nin kanunilik ilkesine ilişkin bu değerlendirmesini dikkate alarak, özellikle “alenileştirme amacı” kavramına dayalı ceza gerekçelerini gözden geçirmesi beklenir. Mevcut rehber ve uygulama dokümanlarında, kanunda karşılığı olmayan kavramlara dayanılarak ceza tehdidi yaratılan bölümlerin revize edilmesi gündeme gelebilir. Uygulamada, Kurul’un bundan sonra kararlarında KVKK madde metinlerine daha sıkı atıf yaptığı ve kanunla sınırlı bir yorum benimsediği görülebilir.
Sonuç ve Değerlendirme
Viennalife Emeklilik ve Hayat A.Ş. başvurusu hakkında AYM Genel Kurulu’nun verdiği karar, KVKK uygulamasında kanunilik ilkesini yeniden merkeze alan kritik bir dönüm noktasıdır. Özellikle veri sorumlularına yönelik yüksek tutarlı idari para cezaları söz konusu olduğunda, Kurul’un kanun metninin dışına çıkarak rehber ve ilkeler üzerinden yeni kriterler üretmesinin sınırlarını netleştirmiştir.
Karar, veri sorumluları açısından iki yönlü bir sonuç doğurmaktadır:
- Bir yandan, alenileştirilmiş veriler üzerinden “alenileştirme amacı”na dayalı ceza riskini kısmen daraltmakta; geçmişte bu gerekçeyle verilen bazı cezaların yargı önünde tartışılabilmesine imkân sağlamaktadır.
- Öte yandan, KVKK kapsamındaki diğer yükümlülüklerin (aydınlatma, veri güvenliği, veri minimizasyonu, özel nitelikli verilerin işlenmesi, yurt dışına aktarma vb.) önemini daha da artırmakta; Kurul’un bu alanlarda daha yoğun denetim ve yaptırım uygulamasının önünü açmaktadır.
Mali müşavirler için ise karar; sadece bir hukuk notu değil, aynı zamanda risk yönetimi, muhasebe, vergi planlaması ve şirket içi uyum süreçlerinin yeniden kurgulanmasını gerektiren bir gelişmedir. KVKK ceza envanterlerinin çıkarılması, alenileştirme gerekçesine dayalı cezaların tespit edilmesi, muhasebe kayıtlarının ve vergi etkilerinin gözden geçirilmesi ve hukuk birimleriyle koordineli şekilde yeni stratejiler geliştirilmesi, önümüzdeki dönemde mesleki gündemin önemli başlıklarından biri olacaktır.
Son olarak; AYM’nin bu kararı, kişisel verilerin korunması alanında daha önce verdiği kararlar (parmak iziyle mesai takibi, dijital verilerin aranması ve el koyma, genetik verilerin saklanmasına ilişkin iptal kararı vb.) ile birlikte değerlendirildiğinde, yüksek mahkemenin hem verinin korunması hem de yaptırımların kanuniliği konusunda hassas ve dengeli bir yaklaşım benimsediğini ortaya koymaktadır. Uygulayıcılar için temel mesaj ise açıktır: KVKK uyumunda hem hakların korunması hem de ceza riskinin yönetilmesi, ancak kanun metnine sadık, iyi dokümante edilmiş ve profesyonelce yürütülen süreçlerle mümkündür.
Yasal Dayanaklar
Bu makalede ele alınan AYM kararı ve KVKK uygulamasına ilişkin değerlendirmeler, aşağıdaki temel mevzuat ve yargı kararlarına dayanmaktadır:
- T.C. Anayasası
- Madde 20: Özel hayatın gizliliği ve kişisel verilerin korunması hakkı.
- Madde 38: Suç ve cezalara ilişkin ilkeler, “suçta ve cezada kanunilik” ilkesi.
- 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK)
- Madde 5: Kişisel verilerin işlenme şartları; özellikle m.5/2-d – “ilgili kişinin kendisi tarafından alenileştirilmiş olması”.
- Madde 10: Veri sorumlusunun aydınlatma yükümlülüğü.
- Madde 12: Veri güvenliğine ilişkin yükümlülükler; m.12/1-a – gerekli teknik ve idari tedbirlerin alınması.
- Madde 18: Kabahatler ve idari para cezaları.
- Anayasa Mahkemesi Kararları
- Viennalife Emeklilik ve Hayat A.Ş. başvurusu, B. No: 2020/32193, Karar Tarihi: 27.01.2026, Resmî Gazete: 16.06.2026, Sayı: 33282 (KVKK idari para cezasında kanunilik ilkesinin ihlali – alenileştirme amacı kavramı).
- 2018/11988 başvuru numaralı karar (parmak izi ile mesai takibi – özel hayata saygı hakkı ve kişisel verilerin korunması hakkı ihlali).
- Genetik verilerin saklanmasına ilişkin iptal kararı (18.03.2026 tarih ve 33200 sayılı Resmî Gazete’de yayımlanan karar – kişisel verilerin korunması hakkı bağlamında).
- Dijital verilerin aranması ve el konulmasına ilişkin CMK m.134 iptal kararı, 2023/128 E. sayılı karar (kişisel verilerin korunması ve özel hayatın gizliliği hakkı).
- Kişisel Verileri Koruma Kurulu Rehber ve İlke Kararları
- Alenileştirilmiş verilerin işlenmesine ilişkin uygulama rehberleri ve ilke kararları (özellikle alenileştirme amacı, ölçülülük ve veri minimizasyonu ilkelerinin vurgulandığı dokümanlar).
- Diğer Mevzuat
- 213 sayılı Vergi Usul Kanunu.
- 5520 sayılı Kurumlar Vergisi Kanunu (kanunen kabul edilmeyen giderler çerçevesinde).
- 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve ikincil mevzuat (ticari elektronik iletiler ve pazarlama aramaları bakımından).