Savcılık, Mahkeme veya Polis Kişisel Veri İsterse Ne Yapmalı? Resmî Veri Taleplerinde KVKK

Kısa cevap: yazılı ve yetkili bir merciden gelen talebe cevap vermek zorundasınız ve bunun için ilgili kişinin açık rızasını aramanız gerekmez. Dayanak, 6698 sayılı Kanun'un 5. maddesinin ikinci fıkrasının (a) bendindeki kanunlarda açıkça öngörülme ile (ç) bendindeki hukuki yükümlülüğün yerine getirilmesi hâli; aktarım tarafında da 8. maddenin ikinci fıkrası ve üçüncü fıkradaki 'aktarıma ilişkin diğer kanunlarda yer alan hükümler saklıdır' kuralı. Zorunluluk sınırsız değil. Talebin yazılı olması, hangi makamdan hangi dayanakla geldiğinin görünmesi ve cevabın yalnızca istenen veriyle sınırlı kalması gerekiyor. Telefonla arayıp 'polisim, şu kişinin adresini verin' diyen birine bilgi vermek yükümlülüğün yerine getirilmesi değil, veri ihlalidir.

Ceza tarafında süre net. 5271 sayılı Ceza Muhakemesi Kanunu'nun 332. maddesi, suçların soruşturma ve kovuşturması sırasında Cumhuriyet savcısı, hâkim veya mahkeme tarafından yazılı olarak istenilen bilgilere on gün içinde cevap verilmesini zorunlu tutuyor. Bu süre içinde bilgiyi vermek mümkün değilse, sebebi ve en geç hangi tarihte cevap verilebileceği aynı süre içinde bildiriliyor. Maddenin ikinci fıkrası, bilgi istenen yazıya, aykırı davranmanın Türk Ceza Kanunu'nun 257. maddesine aykırılık oluşturabileceğinin yazılacağını söylüyor. 'Biz kamu görevlisi değiliz, o madde bizi bağlamaz' savunması işlemiyor. Yargıtay Ceza Genel Kurulu'nun 8 Ekim 2020 tarihli kararında (E. 2018/5-287, K. 2020/409), mahkemenin istediği belgeleri geciktiren özel bir telekomünikasyon şirketi çalışanı, yargı görevinin işleyişine katıldığı için kamu görevlisi sayılarak görevi kötüye kullanmadan sorumlu tutuldu. TCK 257 icrai davranış için altı aydan iki yıla, ihmal ve gecikme için üç aydan bir yıla kadar hapis öngörüyor.

Hukuk mahkemesinden gelen müzekkere aynı hükme tabi değil. 6100 sayılı Hukuk Muhakemeleri Kanunu'nun 221. maddesi, mahkemenin üçüncü kişi veya kurumun elindeki bir belgenin ispat için zorunlu olduğuna karar vermesi hâlinde ibrazını emredeceğini düzenliyor; belgeyi ibraz edemeyen kişi sebebini delilleriyle açıklamak zorunda ve açıklama yeterli görülmezse tanık olarak dinlenebiliyor. Yargıtay'ın ceza daireleri, hukuk mahkemesi müzekkeresine cevapsız kalmayı CMK 332 kapsamı dışında görüp Kabahatler Kanunu'nun 32. maddesindeki emre aykırı davranış hükmüne bağladı. Ceza riski daha düşük, ama talebi çekmeceye atmanın yaptırımsız kaldığı anlamına gelmiyor.

KVKK tarafında en sık atlanan hüküm 8. maddenin üçüncü fıkrası. Metni kısa: kişisel verilerin aktarılmasına ilişkin diğer kanunlarda yer alan hükümler saklıdır. CMK 332 ya da HMK 221 gibi bir hüküm aktarıma dayanak oluşturduğunda ayrıca rıza aramanız gerekmiyor. Kurul da uygulamayı bu yönde kuruyor. 14 Eylül 2023 tarihli ve 2023/1578 sayılı kararda bir tıp merkezi, aile mahkemesinin müzekkeresi üzerine ilgili kişinin hasta dosyasını, terapi kayıtlarını da içerecek şekilde mahkemeye göndermişti. Kurul aktarımı HMK 221 ile birlikte Kanun'un 8. maddesinin üçüncü fıkrası çerçevesinde değerlendirip hukuka aykırı bulmadı; belgenin mahkemece UYAP'a yüklenmesini de yargı makamının işlemi olduğu için 28. maddenin birinci fıkrasının (d) bendi kapsamında gördü. Gönderim yöntemi konusunda ise hatırlatma yaptı: özel nitelikli veri aktarılırken 31 Ocak 2018 tarihli, 2018/10 sayılı Kurul kararındaki yeterli önlemlere uyulmalı ve gizlilik esasına uygun bir gönderim yolu seçilmeli.

Peki ilgili kişiyi haberdar etmek gerekiyor mu? Burada ceza soruşturması ile hukuk davası ayrılıyor. 28. maddenin ikinci fıkrasının (a) bendi, veri işlemenin suç işlenmesinin önlenmesi veya suç soruşturması için gerekli olması hâlinde, Kanun'un amacına ve temel ilkelerine uygun ve orantılı olmak kaydıyla, aydınlatma yükümlülüğünü düzenleyen 10. maddenin, zararın giderilmesini talep etme hakkı hariç ilgili kişinin haklarını düzenleyen 11. maddenin ve Veri Sorumluları Siciline kayıt yükümlülüğünü düzenleyen 16. maddenin uygulanmayacağını söylüyor. Savcılığın soruşturma kapsamında istediği bilgiyi gönderdiğinizde çalışanınıza veya müşterinize ayrıca bildirim yapmanız gerekmiyor; CMK'nın soruşturmanın gizliliğine ilişkin 157. maddesi karşısında bildirim yapmamak daha isabetli. Hukuk davası müzekkeresi bu kısmi istisnaya girmiyor. Bu yüzden aydınlatma metninizde alıcı grupları arasında yetkili kamu kurum ve kuruluşları ile adli ve idari merciler açıkça sayılmalı; sayılmıyorsa aktarımın kendisi hukuka uygun olsa bile aydınlatma tarafında açık kalırsınız.

Gelen yazıyı okumadan cevap yazmayın. Bakılacaklar şunlar: talep yazılı mı, hangi makamdan geliyor, soruşturma veya dosya numarası var mı, hukuki dayanağı belirtilmiş mi, istenen veri tanımlı mı, imza ve kaşe ya da elektronik imza yerinde mi. Kolluk kendi başına kapıya geldiyse, adli bir soruşturma kapsamında hareket ettiğini gösteren savcılık talimatına atıf yapması beklenir. Sözlü, telefonla veya WhatsApp mesajıyla gelen taleplere veri verilmez; talebin yazılı olarak iletilmesini istemek reddetmek değildir. Bu ayrıntı bürokratik görünüyor, oysa sahte talep en kolay veri sızdırma yollarından biri. Mağaza müdürüne uğrayıp 'ufak bir olay var, şu saatteki kamera kaydını atsana' diyen kişiye USB'ye kopya çıkarmak, sonradan izini bile süremeyeceğiniz bir aktarım demek.

Adli bir belgenin içinde yer alması kişisel veriyi paylaşılabilir kılmıyor; belirleyici olan alıcının kim olduğu. Kurul'un 2 Eylül 2022 tarihli ve 2022/896 sayılı kararında veri sorumlusu eski işveren, ilgili kişi hakkında savcılığa sunduğu şikâyet dilekçesindeki bilgileri, üçüncü kişilere ait verileri de içerecek şekilde ilgili kişinin kardeşine e-postayla göndermişti. Kurul paylaşımın 5. maddedeki işleme şartlarından hiçbirine dayanmadığını ve 12. maddedeki veri güvenliği yükümlülüğünün yerine getirilmediğini saptayarak 150.000 TL idari para cezası uyguladı; başvuruya otuz gün içinde cevap verilmemesini de ayrıca değerlendirdi. Savcılığa gitmesi gereken bir belgenin aileye gitmesi, üzerinde dosya numarası olsa da hukuka uygun hâle gelmiyor.

İkinci sık hata, istenenden fazlasını göndermek. Kanun'un 4. maddesi kişisel verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmasını istiyor; bu ilke cevabınızın içeriğini de bağlıyor. Mahkeme belirli bir tarihe ilişkin tedavi kaydı istediyse hasta dosyasının tamamını göndermeyin. Bir çalışanın ücret bordrosu isteniyorsa tüm personelin ücret tablosunu değil, o kişinin bordrosunu gönderin. 12 Mart günü yarım saatlik kamera kaydı isteniyorsa ayın tamamını içeren diski teslim etmek talebi karşılamak değil, kendi elinizle yeni bir hukuka aykırılık üretmektir. Pratikte üç iş yeter: ilgisiz sayfaları çıkarmak, üçüncü kişilere ait bilgileri maskelemek, özel nitelikli veri varsa kapalı zarf ve gizlilik ibaresiyle ya da şifreli olarak göndermek.

Talep savcılık ve mahkemeyle sınırlı değil, dayanaklar da ayrı kanunlarda duruyor. İcra müdürlüğünden gelen haciz ihbarnamesine üçüncü kişi olarak cevap verme yükümlülüğü İcra ve İflas Kanunu'nun 89. maddesinden doğuyor. Vergi Usul Kanunu'nun 148. maddesi kamu idare ve müesseselerini, mükellefleri ve mükelleflerle muamelede bulunan diğer gerçek ve tüzel kişileri, vergi incelemesi yapmaya yetkili olanların isteyeceği bilgileri vermeye mecbur tutuyor; 151. madde de özel kanunlardaki sır hükümlerine dayanılarak bilgi vermekten kaçınmanın sınırlarını çiziyor. Sosyal Güvenlik Kurumu'nun bilgi ve belge isteme yetkisi 5510 sayılı Kanun'un 100. maddesinde. İnternet tarafında 5651 sayılı Kanun erişim sağlayıcıya trafik bilgisini saklama ve talep edildiğinde bildirme yükümlülüğü getiriyor. Kanunun çizdiği prosedürün içinde kalan aktarım Kurul önünde de sorun olmuyor: 9 Eylül 2021 tarihli ve 2021/909 sayılı kararda, bir avukatın haciz ihbarnamesi süreci kapsamında üçüncü kişiye ait kimlik ve adres bilgisini icra müdürlüğüne iletmesi, 5. maddenin ikinci fıkrasının (a) ve (e) bentleri kapsamında hukuka uygun bulundu.

Bu işin şirket içinde tek bir sahibi olmalı. Resmî taleplere kimin cevap verebileceği yazılı değilse cevabı, o an elinde veri olan kişi verir: santral görevlisi, mağaza müdürü, bilgi işlemdeki tek çalışan. Basit bir talep kaydı tutun. Talebin geldiği tarih, makam, dosya numarası, istenen veri, gönderilen veri, kimin onayladığı ve hangi yöntemle gönderildiği. Bu kayıt iki soruyu birden cevaplıyor. Kurul incelemesinde 'bu aktarımın dayanağı nedir' sorusunun cevabı orada; ileride 'bu belge dışarıya nasıl çıktı' sorusunun cevabı da orada. Kamera kayıtları için ek bir ayrıntı var: kaydı kimin izlediğinin ve kopyaladığının loglanmadığı sistemlerde, dışarıya çıkan görüntünün resmî talep üzerine mi yoksa merakla mı çıktığını sonradan gösteremezsiniz.

Dayanağı görünmeyen, kapsamı belirsiz veya yetkisiz bir kişiden gelen talebi olduğu gibi karşılamak zorunda değilsiniz. Doğru hamle sessiz kalmak değil, yazılı cevap vermek: talebin hukuki dayanağını ve kapsamını sormak, gerekiyorsa CMK 332'nin tanıdığı imkânı kullanıp gecikmenin sebebini ve cevap verilebilecek tarihi bildirmek. Banka sırrı, ticari sır, avukat ile müvekkil ilişkisi ya da hasta mahremiyeti gibi yükümlülükler de cevabı hiç vermemenin değil, cevabın hangi sınırla verileceğinin gerekçesi olur. Hukukçuya soracağınız soru genelde tek cümledir: bu talep hangi kanuna dayanıyor ve bana neyi vermek düşüyor.

Risk iki yönlü olduğu için tek sayfalık bir prosedür burada gerçekten fark yaratıyor. Cevap vermezseniz ceza soruşturmasında TCK 257 üzerinden açılacak bir dosyayla, hukuk yargılamasında kabahat yaptırımıyla karşılaşabilirsiniz. Gereğinden fazla verirseniz KVKK tarafındaki tutarlar devreye giriyor: 2026'da veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi 256.357 TL ile 17.092.242 TL, aydınlatma yükümlülüğünün ihlali 85.437 TL ile 1.709.200 TL arasında idari para cezasıyla karşılık buluyor. Üstüne kişisel verileri hukuka aykırı olarak bir başkasına verme, Türk Ceza Kanunu'nun 136. maddesinde suç olarak duruyor. Şirketinize gelen bir müzekkereyi kim açıyor, kim cevaplıyor, ne kaydediyor sorularına net cevap veremiyorsanız KVKK Danışman'ın ücretsiz ön değerlendirmesinde bu akışı çıkarıp cevap şablonunuzu birlikte oluşturabiliriz.

Randevu Al