Ana Sayfa Hakkımızda Hizmetler Ödüller Ekip Yayınlar Kariyer İletişim TÜRKÇEENGLISH Devin Patent — İstanbul
Veri Koruma/Yayınlar

Anayasa Mahkemesi'nin Viennalife Kararı: Alenileştirilmiş Kişisel Veriler ve Amaçla Bağlılık

Yazarlar
Uğurcan Tekinİnci ÖzçilsalUğurcan Tekin · İnci Özçilsal
Yayım16 Haziran 2026
Okuma süresi16 dk
← Tüm Yayınlar
KategoriVeri Koruma
Yayım16 Haziran 2026
Yazarlar
Uğurcan TekinOrtak
İnci ÖzçilsalAvukat
İçindekiler01Anayasa Mahkemesi Kararına Konu Uyuşmazlık ve Yargılama Süreci02Uyuşmazlığın Konusu03Kurul Önündeki Süreç ve Tarafların İddiaları04Kurulun Alenileştirme İradesine İlişkin Yaklaşımı05Sulh Ceza Hâkimliği Kararı06Uyuşmazlığın Anayasal Boyuta Taşınması07Kabahatler ve İdari Yaptırımlar Bakımından Kanunilik İlkesi08KVKK m. 5/2(d) Hükmünün İncelenmesi09Kurul Tarafından Benimsenen Yaklaşım ve AYM'nin Bu Yaklaşıma İlişkin10Değerlendirmesi11İhlal Kararı12Sonuç ve Değerlendirme
Devin Law & IP

Bu konu marka ve patent vekilliğinin dışında kalır. Bu alandaki hukuki hizmetler hukuk büromuz Devin Law & IP tarafından verilir.

devinlaw.com.tr adresine git →
ÖzetSummary

Kişisel verilerin korunması hukukunda en fazla tartışma yaratan veri işleme şartlarından biri, ilgili kişinin kendisi tarafından alenileştirilen kişisel verilerin hangi kapsamda ve hangi amaçlarla işlenebileceği meselesidir. Özellikle internet kullanımının yaygınlaşması, kişilerin çeşitli platformlar aracılığıyla iletişim bilgilerini ve diğer kişisel verilerini kamuya açık şekilde paylaşmalarının olağan hale gelmesi ve açık kaynak verilerin ticari faaliyetlerde daha yoğun kullanılmaya başlanması, alenileştirilmiş verilerin işlenmesine ilişkin hukuki tartışmaları her geçen gün daha önemli hale getirmektedir. 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (“KVKK”) 5. maddesinin ikinci fıkrasının (d) bendi uyarınca, ilgili kişinin kendisi tarafından alenileştirilmiş kişisel verileri açık rıza aranmaksızın işlenebilmektedir. Bununla birlikte Kanun'da alenileştirmenin kapsamına, sınırlarına ve sonuçlarına ilişkin ayrıntılı bir düzenlemeye yer verilmemiş olması nedeniyle, söz konusu veri işleme şartının uygulama alanı büyük ölçüde Kişisel Verileri Koruma Kurulu (“Kurul”) kararları ve Kurum tarafından yayımlanan rehber dokümanlar aracılığıyla şekillenmiştir.

Kurul tarafından yıllar içerisinde geliştirilen ve yerleşik hale gelen yaklaşımda, ilgili kişinin kişisel verisini kamuya açık hale getirmesi tek başına yeterli görülmemekte; ayrıca verinin hangi amaçla alenileştirildiğinin ve sonradan gerçekleştirilen veri işleme faaliyetinin bu amaçla uyumlu olup olmadığının da değerlendirilmesi gerektiği kabul edilmektedir. Uygulamada “alenileştirme iradesi” ve “alenileştirme amacı” olarak ifade edilen bu yaklaşım, son yıllarda Kurul kararlarının temel dayanaklarından biri haline gelmiştir.

“Karar, Kurul tarafından benimsenen yaklaşımı veri koruma hukukunun esasları bakımından değil; idari yaptırımlar, kabahatler hukuku ve suçta ve cezada kanunilik ilkesi bakımından inceler.”

Anayasa Mahkemesi'nin 27.01.2026 tarihli ve 2020/32193 başvuru numaralı Viennalife Emeklilik ve Hayat A.Ş. kararı ise, söz konusu yaklaşımı veri koruma hukukunun esasları bakımından değil; idari yaptırımlar, kabahatler hukuku ve suçta ve cezada kanunilik ilkesi bakımından incelemiş ve bu yönüyle kişisel verilerin korunması alanında önemli sonuçlar doğurabilecek bir içtihat ortaya koymuştur. İşbu bilgi notunda, söz konusu kararın ortaya çıkışına neden olan uyuşmazlık, Anayasa Mahkemesi'nin değerlendirmeleri ve kararın KVKK uygulamaları bakımından muhtemel etkileri ele alınmaktadır. Anayasa Mahkemesi'nin Viennalife Kararı · KVKK Değerlendirmesi Mevcut Hukuki Çerçeve – Alenileştirilmiş Kişisel Verilerin İşlenmesi

“KVKK m. 5/2(d) kapsamında alenileştirme şartı; Kanun'un sustuğu yerlerde Kurul tarafından geliştirilen “alenileştirme iradesi” ve “alenileştirme amacı””

Akriterleri. K VKK'nın 5. maddesinin ikinci fıkrasında, kişisel verilerin ilgili kişinin açık rızası aranmaksızın işlenebileceği istisnai haller düzenlenmiştir. Bu istisnalardan biri de m. 5/2(d) hükmünde yer alan “ilgili kişinin kendisi tarafından alenileştirilmiş olması” halidir. Kanun koyucu bu düzenleme ile, ilgili kişinin kendi iradesiyle kamuya açıkladığı veya herkesin erişimine açtığı kişisel veriler bakımından ayrıca açık rıza alınmasını gerekli görmemiştir. Böylelikle ilgili kişinin bizzat kamuya sunduğu verilerin belirli ölçüde işlenebilmesine hukuki zemin oluşturulmuştur. Bununla birlikte, Kanun'da alenileştirme kavramının kapsamı, alenileştirmenin hangi şartlarda gerçekleşeceği, alenileştirilen verilerin hangi amaçlarla kullanılabileceği veya bu veri işleme şartının sınırlarının ne olduğu hususlarında ayrıntılı bir düzenlemeye yer verilmemiştir. Kanun metninde yalnızca ilgili kişinin verisini kendisinin alenileştirmiş olması yeterli görülmüş; bunun ötesinde herhangi bir kriter öngörülmemiştir.

Bu durum uygulamada çeşitli tartışmaların ortaya çıkmasına neden olmuştur. Özellikle internet ortamında yer alan kişisel verilerin hangi kapsamda kullanılabileceği, ilgili kişinin verisini kamuya açık hale getirmesinin ne ölçüde veri işleme serbestisi sağladığı ve alenileştirilen verilerin sonradan farklı amaçlarla kullanılıp kullanılamayacağı hususları Kurul kararlarına sıklıkla konu olmuştur. Kurul tarafından zaman içerisinde geliştirilen uygulamada ise alenileştirme kavramına Kanun metninde açıkça yer almayan bazı ek kriterlerin dâhil edildiği görülmektedir. Bu kapsamda Kurul, ilgili kişinin verisini herkesin erişimine açmış olmasını tek başına yeterli kabul etmemekte; ayrıca ilgili kişinin verisini hangi amaçla alenileştirdiğinin ve sonradan gerçekleştirilen veri işleme faaliyetinin bu amaçla uyumlu olup olmadığının da değerlendirilmesi gerektiğini kabul etmektedir. Nitekim Kurul tarafından yayımlanan çeşitli rehber dokümanlarda ve verilen kararlarda, kişisel verinin aleni kabul edilebilmesi için ilgili kişinin verisini alenileştirme yönünde bir iradesinin bulunması gerektiği ifade edilmiştir.

Bunun yanında, ilgili kişinin verisini belirli bir amaç doğrultusunda kamuya açık hale getirmesi halinde, söz konusu verinin yalnızca bu amaçla bağlantılı faaliyetler kapsamında kullanılabileceği yönünde değerlendirmelere yer verilmiştir. Anayasa Mahkemesi'nin Viennalife Kararı · KVKK Değerlendirmesi

“Kurul uygulamasında alenileştirme, verinin mutlak ve sınırsız biçimde kullanılabilmesine imkân veren bir veri işleme şartı olarak değil; ilgili kişinin alenileştirme amacıyla sınırlı bir hukuki dayanak olarak yorumlanmaktadır.”

Kurulun yaklaşımına göre, örneğin bir kişinin iletişim bilgilerini mesleki faaliyetlerini duyurmak amacıyla internet ortamında paylaşması, bu bilgilerin her türlü ticari faaliyet veya pazarlama amacıyla kullanılabileceği anlamına gelmemektedir. Başka bir ifadeyle Kurul uygulamasında alenileştirme, verinin mutlak ve sınırsız biçimde kullanılabilmesine imkân veren bir veri işleme şartı olarak değil; ilgili kişinin alenileştirme amacıyla sınırlı bir hukuki dayanak olarak yorumlanmaktadır. Bu yaklaşım uzun yıllardır Kurul uygulamasında istikrarlı şekilde benimsenmiş olmakla birlikte, söz konusu kriterlerin kanuni dayanağı ve özellikle idari yaptırımlara esas alınıp alınamayacağı hususu doktrinde tartışılmaya devam etmiştir. Anayasa Mahkemesi'nin inceleme konusu kararı da tam olarak bu noktada ortaya çıkmış; Kurul tarafından benimsenen “alenileştirme iradesi” ve “alenileştirme amacı” yaklaşımının idari yaptırım bakımından hangi ölçüde dikkate alınabileceği sorusunu gündeme taşımıştır.

Bu noktada dikkat çekilmesi gereken bir diğer husus, KVKK'nın genel nitelikli ve özel nitelikli kişisel veriler bakımından farklı bir sistematik benimsemiş olmasıdır. Nitekim KVKK'nın 5. maddesinde genel nitelikli kişisel veriler bakımından doğrudan “ilgili kişinin kendisi tarafından alenileştirilmiş olması” veri işleme şartı olarak düzenlenmişken, 2024 yılında değiştirilen 6. maddede özel nitelikli kişisel veriler bakımından ayrıca “alenileştirme iradesine uygun olma” kriterine açıkça yer verilmiştir. Buna rağmen Kurul uygulamasında uzun yıllardır genel nitelikli kişisel veriler bakımından da fiilen alenileştirme iradesi ve alenileştirme amacı kriterlerinin arandığı görülmektedir. İnceleme konusu kararın ortaya çıkmasına neden olan temel tartışma da esasen bu sistematik farklılıktan kaynaklanmaktadır.

01
Anayasa Mahkemesi Kararına Konu Uyuşmazlık ve Yargılama Süreci
Mahkeme uyuşmazlığı bir veri koruma doktrini sorunu olarak değil, yaptırımda kanunilik sorunu olarak ele aldı.
“İnternet ortamında alenileştirilen iletişim bilgilerinin sigortacılık amacıyla kullanılması; Kurul incelemesi, Sulh Ceza itirazı ve uyuşmazlığın anayasal”
02
Uyuşmazlığın Konusu

Anayasa Mahkemesi'nin inceleme konusu kararı, ilgili kişi tarafından internet ortamında kamuya açık hale getirilen kişisel verilerin üçüncü kişiler tarafından hangi kapsamda kullanılabileceği ve bu verilerin işlenmesine Anayasa Mahkemesi'nin Viennalife Kararı · KVKK Değerlendirmesi 4 ilişkin sınırların idari yaptırım bakımından nasıl değerlendirileceği sorularından kaynaklanan bir uyuşmazlığa ilişkindir. Uyuşmazlığın merkezinde, KVKK'nın 5. maddesinin ikinci fıkrasının (d) bendinde yer alan “ilgili kişinin kendisi tarafından alenileştirilmiş olması” veri işleme şartının kapsamı yer almaktadır. Özellikle ilgili kişi tarafından kamuya açık şekilde paylaşılan verilerin, alenileştirme amacı dışında kullanılması halinde bu veri işleme faaliyetinin hukuka aykırı kabul edilip edilemeyeceği ve bu kapsamda idari yaptırım uygulanıp uygulanamayacağı hususu uyuşmazlığın temelini oluşturmaktadır. Bu yönüyle karar, yalnızca somut bir veri işleme faaliyetinin hukuka uygunluğuna ilişkin olmayıp, aynı zamanda Kurul tarafından geliştirilen yorumların idari yaptırıma dayanak teşkil edip edemeyeceğine ilişkin daha geniş bir hukuki tartışmayı da gündeme getirmektedir.

03
Kurul Önündeki Süreç ve Tarafların İddiaları

Dosya kapsamına göre ilgili kişi A.Y., sigortacılık hizmetleri kapsamında görüşme gerçekleştirmek ve randevu oluşturmak amacıyla Viennalife Emeklilik ve Hayat A.Ş. tarafından telefonla arandığını ileri sürmüş; kişisel verilerinin rızası dışında elde edildiğini ve kullanıldığını belirterek Kişisel Verileri Koruma Kurumu'na başvuruda bulunmuştur. Şikâyet üzerine başlatılan inceleme kapsamında başvurucu şirketten açıklama talep edilmiş; şirket tarafından Kurul'a sunulan savunmalarda, ilgili kişinin ad, soyad ve telefon numarası bilgilerinin “hizmetburada.com” isimli internet sitesi üzerinden elde edildiği belirtilmiştir. Başvurucu şirket, söz konusu internet sitesinde ilgili kişiye ait iletişim bilgilerinin herkes tarafından erişilebilir şekilde yayımlandığını, ilgili kişinin bu verileri kendi iradesiyle kamuya açık hale getirdiğini ve bu nedenle verilerin KVKK'nın 5/2(d) maddesi kapsamında işlenebileceğini ileri sürmüştür. Şirkete göre ilgili kişinin iletişim bilgilerini internet ortamında kamuya açık şekilde paylaşmış olması, bu verilerin elde edilmesi ve kullanılmasına yönelik hukuki dayanağı oluşturmaktadır.

Başvurucu ayrıca, Kanun'da alenileştirilmiş verilerin yalnızca belirli amaçlarla kullanılabileceğine ilişkin herhangi bir düzenleme bulunmadığını, dolayısıyla ilgili kişinin verilerini kamuya açık hale getirmesinin veri işleme bakımından yeterli bir hukuki sebep teşkil ettiğini savunmuştur. Kurul ise inceleme sonucunda farklı bir değerlendirmeye ulaşmıştır. Kurula göre ilgili kişinin iletişim bilgilerinin internet ortamında yer alması tek başına belirleyici değildir. Bir kişisel verinin kamuya açık şekilde bulunması, o verinin sınırsız biçimde ve her türlü amaçla kullanılabileceği anlamına gelmemektedir. Bu kapsamda Kurul, ilgili kişinin söz konusu iletişim bilgilerini belirli bir amaç doğrultusunda kamuya açık hale getirdiğini, buna karşılık başvurucu şirket tarafından söz konusu verilerin sigortacılık hizmetleri kapsamında pazarlama ve randevu oluşturma amacıyla kullanıldığını değerlendirmiştir. Kurul kararında özellikle alenileştirme iradesi ve alenileştirme amacı kavramları üzerinde durulmuş; ilgili kişinin verisini alenileştirmesinin, bu verilerin her türlü ticari faaliyet kapsamında kullanılmasına yönelik sınırsız bir izin olarak değerlendirilemeyeceği ifade edilmiştir.

04
Kurulun Alenileştirme İradesine İlişkin Yaklaşımı

Kurul kararında, kişisel verilerin alenileştirilmesi kavramına ilişkin daha önceki kararlarında ve rehber dokümanlarında benimsediği yaklaşımı tekrar etmiştir. Bu kapsamda Kurul, alenileştirmenin yalnızca verinin teknik olarak herkes tarafından erişilebilir hale gelmesi anlamına gelmediğini; ilgili kişinin söz konusu veriyi kamuya açık hale getirme yönünde bir iradesinin bulunmasının gerektiğini belirtmiştir. Bunun yanında Kurul, alenileştirilen verilerin kullanım alanının da ilgili kişinin alenileştirme amacı ile sınırlı Anayasa Mahkemesi'nin Viennalife Kararı · KVKK Değerlendirmesi 5 olduğunu değerlendirmiştir. Kurula göre ilgili kişinin verisini belirli bir amaç doğrultusunda kamuya açık hale getirmesi, üçüncü kişilere bu veriyi farklı amaçlarla kullanma yetkisi vermemektedir. Kurul kararında bu yaklaşım çeşitli örneklerle açıklanmıştır. Örneğin bir kişinin ikinci el araç satışına ilişkin bir internet platformunda iletişim bilgilerini paylaşması, söz konusu iletişim bilgilerinin reklam veya pazarlama amacıyla kullanılabileceği anlamına gelmemektedir.

Benzer şekilde bir kişinin belirli bir hizmet sunmak amacıyla internet ortamında iletişim bilgilerini yayımlaması da bu bilgilerin farklı ticari faaliyetler kapsamında kullanılabileceği sonucunu doğurmamaktadır. Kurul, somut olayda da benzer bir değerlendirme yapmış ve ilgili kişinin iletişim bilgilerini internet ortamında paylaşma amacı ile sigortacılık faaliyetleri kapsamında aranması arasında bağlantı bulunmadığı sonucuna ulaşmıştır. Bu nedenle Kurul tarafından, kişisel verilerin alenileştirme amacı dışında işlendiği ve veri işleme faaliyetinin hukuka uygun olmadığı değerlendirilmiştir.

05
Sulh Ceza Hâkimliği Kararı

Kurul tarafından verilen idari para cezasına karşı başvurucu şirket tarafından Sulh Ceza Hâkimliği nezdinde itiraz yoluna başvurulmuştur. İstanbul Anadolu 5. Sulh Ceza Hâkimliği tarafından yapılan inceleme sonucunda, Kurulun temel hukuki yaklaşımı yerinde bulunmuştur. Hâkimlik, ilgili kişiye ait iletişim bilgilerinin internet ortamında yer almış olmasının, bu bilgilerin sigortacılık faaliyetleri kapsamında kullanılmasını otomatik olarak hukuka uygun hale getirmeyeceği değerlendirmesinde bulunmuş; Kurulun verilerin alenileştirme amacı dışında kullanıldığı yönündeki tespitini benimsemiştir. Bununla birlikte Hâkimlik, idari para cezasının belirlenmesinde alt sınırdan uzaklaşılmasına ilişkin gerekçelerin yeterince ortaya konulmadığı kanaatine ulaşmış ve yalnızca yaptırım miktarında indirime gitmiştir. Böylelikle Kurulun hukuki değerlendirmesi korunmuş; ancak ceza tutarı yeniden belirlenmiştir.

06
Uyuşmazlığın Anayasal Boyuta Taşınması
Rehber ve ilke kararları uygulama için yol göstericidir; tek başına yaptırım dayanağı değildir.

Uyuşmazlık bireysel başvuru yoluyla Anayasa Mahkemesi önüne taşındığında ise tartışmanın odağı önemli ölçüde değişmiştir. Başvurucu şirket tarafından yapılan başvuruda, kişisel verilerin işlenmesinin maddi hukuk bakımından hukuka uygun olup olmadığı meselesinden ziyade, uygulanan idari yaptırımın anayasal dayanağı sorgulanmıştır. Başvurucuya göre KVKK'nın 5/2(d) maddesinde yalnızca “ilgili kişinin kendisi tarafından alenileştirilmiş olması” şartı düzenlenmiştir. Buna karşılık Kurul tarafından esas alınan “alenileştirme amacı”, “alenileştirme iradesi”, “alenileştirme amacı dışında kullanım” veya “alenileştirme amacıyla uyumlu kullanım” gibi kriterlerin Kanun metninde herhangi bir karşılığı bulunmamaktadır. Başvurucu bu nedenle, Kanun'da yer almayan yeni bir yükümlülüğün Kurul tarafından yorum yoluyla oluşturulduğunu ve daha sonra bu yükümlülüğün ihlal edildiği kabul edilerek idari yaptırım uygulandığını ileri sürmüştür. Başvurucuya göre kişilerin hangi davranışlarının yaptırıma tabi tutulacağını önceden öngörebilmeleri gerekir.

Kanun'da açıkça yer almayan bir kriterin sonradan idari yorum yoluyla oluşturulması ve buna aykırı davranan kişilerin yaptırıma tabi tutulması, hukuki güvenlik ve belirlilik ilkeleriyle bağdaşmamaktadır. Bu kapsamda başvurucu şirket, Anayasa'nın 38. maddesinde güvence altına alınan suçta ve cezada kanunilik ilkesinin ihlal edildiğini ileri sürmüştür. Böylelikle uyuşmazlık, kişisel verilerin korunmasına ilişkin teknik bir yorum tartışmasının ötesine geçmiş; idari yaptırımların sınırları, kanunilik ilkesi ve Kurulun yorum yetkisinin kapsamı bakımından anayasal bir incelemenin konusu haline gelmiştir. Nitekim Anayasa Mahkemesi de incelemesini esas olarak bu çerçevede yürütmüş; alenileştirme iradesi yaklaşımının veri koruma hukuku bakımından isabetli olup olmadığını değil, söz konusu yaklaşımın idari yaptırıma dayanak oluşturup oluşturamayacağını değerlendirmiştir. Anayasa Mahkemesi'nin Viennalife Kararı · KVKK Değerlendirmesi Anayasa Mahkemesi'nin Değerlendirmesi ve İhlal Kararının Gerekçesi

“Anayasa'nın 38. maddesi · kabahatler hukukunda kanunilik · idarenin yorum yetkisinin sınırları ve Kurul yaklaşımının yaptırım dayanağı olarak”

Ckullanılabilirliği. A nayasa Mahkemesi, inceleme konusu uyuşmazlığı değerlendirirken öncelikle tartışmanın kapsamını belirlemiş ve başvurunun esasını kişisel verilerin korunması hukukuna ilişkin teknik bir yorum tartışması olarak değil, Anayasa'nın 38. maddesinde güvence altına alınan suçta ve cezada kanunilik ilkesi kapsamında ele almıştır. Bu çerçevede Mahkeme, somut olayda çözülmesi gereken temel meselenin, ilgili kişinin iletişim bilgilerinin alenileştirilmiş olup olmadığı veya Kurul tarafından benimsenen alenileştirme iradesi yaklaşımının veri koruma hukuku bakımından isabetli olup olmadığı olmadığını belirtmiştir. Mahkemeye göre asıl değerlendirilmesi gereken husus, Kanun'da açıkça düzenlenmeyen birtakım kriterlerin esas alınarak başvurucu hakkında idari yaptırım uygulanmasının mümkün olup olmadığıdır. Bu doğrultuda AYM tarafından yapılan değerlendirme temel olarak kanunilik ilkesi, idari yaptırımların sınırları ve kanunda yer almayan yükümlülüklerin yorum yoluyla oluşturulup oluşturulamayacağı ekseninde şekillenmiştir.

07
Kabahatler ve İdari Yaptırımlar Bakımından Kanunilik İlkesi

Mahkeme kararında öncelikle Anayasa'nın 38. maddesinde yer alan suçta ve cezada kanunilik ilkesinin kapsamı üzerinde durmuştur. AYM'ye göre hukuk devletinin temel unsurlarından biri, kişilerin hangi fiillerinin hukuki yaptırıma tabi olduğunu önceden öngörebilmeleridir. Bu nedenle yaptırıma konu davranışların ve bu davranışlara bağlanan sonuçların yeterli açıklıkta düzenlenmiş olması gerekmektedir. Mahkeme, suçta ve cezada kanunilik ilkesinin yalnızca ceza hukuku bakımından değil, idari yaptırımlar ve kabahatler bakımından da geçerli olduğunu vurgulamıştır. Bu kapsamda kişilere uygulanacak idari para cezalarının da kanuni bir dayanağa sahip olması, yaptırıma konu fiilin yeterli açıklıkta belirlenmiş bulunması ve bireylerin hangi davranışlarının yaptırım sonucunu doğuracağını önceden öngörebilmeleri gerekmektedir. AYM kararında ayrıca kanunilik ilkesinin yalnızca şekli anlamda bir kanun hükmünün varlığını gerektirmediği; aynı zamanda ilgili düzenlemenin belirli, ulaşılabilir ve öngörülebilir olması gerektiği de ifade edilmiştir.

Bu kapsamda bireylerin davranışlarını hukuka uygun şekilde yönlendirebilmelerine imkân sağlayacak ölçüde açık olmayan düzenlemelerin, kanunilik ilkesinin gereklerini karşılamayacağı belirtilmiştir. Mahkeme bu noktada özellikle yorum yoluyla yeni yükümlülükler oluşturulmasının veya mevcut yükümlülüklerin kapsamının birey aleyhine genişletilmesinin hukuk devleti ilkesi bakımından sakıncalarına dikkat çekmiştir. Mahkeme ayrıca kabahatler hukukunda da ceza hukukuna benzer şekilde kanunilik ilkesinin Anayasa Mahkemesi'nin Viennalife Kararı · KVKK Değerlendirmesi 7 geçerli olduğunu vurgulamış; yaptırıma konu fiillerin ve yaptırımın kapsamının kanunla belirlenmesi gerektiğini belirtmiştir. Bu yaklaşım, Kabahatler Kanunu'nun 4. maddesinde yer alan “kanunilik” ilkesinin anayasal düzeyde bir yansıması niteliğindedir.

08
KVKK m. 5/2(d) Hükmünün İncelenmesi

Kanunilik ilkesine ilişkin genel çerçeveyi ortaya koyduktan sonra Mahkeme, somut olayda uygulanan KVKK hükümlerini incelemiştir. Bu kapsamda AYM, KVKK'nın 5. maddesinin ikinci fıkrasının (d) bendinde yalnızca “ilgili kişinin kendisi tarafından alenileştirilmiş olması” şartına yer verildiğini tespit etmiştir. Mahkemeye göre söz konusu hüküm incelendiğinde; “alenileştirme amacı”, “alenileştirme iradesi”, “alenileştirme amacıyla uyumlu kullanım”, “alenileştirme amacı dışında kullanım” gibi kavramların kanun metninde açıkça düzenlenmediği görülmektedir. Başka bir ifadeyle Kanun koyucu, ilgili kişinin verisini kendisinin alenileştirmiş olmasını veri işleme şartı olarak düzenlemiş; ancak alenileştirmenin hangi amaçla yapıldığı veya sonradan gerçekleştirilecek veri işleme faaliyetlerinin bu amaçla ne ölçüde bağlantılı olması gerektiği konusunda ayrıca bir düzenleme öngörmemiştir. Mahkeme kararında özellikle bu hususun altını çizmiş ve Kurul tarafından benimsenen yaklaşımın doğrudan kanun metninden çıkarılamadığını belirtmiştir.

09
Kurul Tarafından Benimsenen Yaklaşım ve AYM'nin Bu Yaklaşıma İlişkin
10
Değerlendirmesi

AYM kararının en dikkat çekici bölümü, Kurul tarafından benimsenen alenileştirme iradesi yaklaşımına ilişkin değerlendirmeleridir. Mahkeme, öncelikle Kurulun somut olayda benimsediği yaklaşımı ortaya koymuştur. Buna göre Kurul, ilgili kişinin verilerini hangi amaçla alenileştirdiğini araştırmakta ve sonradan gerçekleştirilen veri işleme faaliyetinin bu amaçla uyumlu olup olmadığına göre hukuka uygunluk değerlendirmesi yapmaktadır. Kurulun yaklaşımına göre ilgili kişinin verisini kamuya açık hale getirmiş olması tek başına yeterli değildir. Ayrıca ilgili kişinin bu veriyi hangi amaçla kamuya açtığının da belirlenmesi gerekmektedir. Kurul, daha sonra gerçekleştirilen veri işleme faaliyetinin bu amaçla uyumlu olmaması halinde ise veri işlemenin hukuka uygun kabul edilemeyeceğini değerlendirmektedir. AYM, Kurulun bu yaklaşımını ayrıntılı şekilde ortaya koymakla birlikte, dikkat çekici biçimde bu yaklaşımın veri koruma hukuku bakımından doğru veya yanlış olduğu yönünde herhangi bir değerlendirme yapmamıştır. Mahkeme kararında özellikle üzerinde durulan husus, Kurulun söz konusu yaklaşımının kanuni dayanağıdır.

Anayasa'nın 38. maddesi, idari yaptırımlarda da öngörülebilirlik arar.
“Kanun'da açıkça yer almayan bir yükümlülüğün sonradan yorum yoluyla oluşturulması ve bu yükümlülüğe aykırı davranıldığı gerekçesiyle yaptırım uygulanması, kanunilik ilkesiyle”

bağdaşmamaktadır. AYM'ye göre Kurul tarafından benimsenen yorum, esasen Kanun'da açıkça düzenlenmeyen yeni bir kriterin oluşturulması sonucunu doğurmaktadır. Zira Kanun'da yalnızca “alenileştirilmiş olma” şartı düzenlenmişken, Kurul tarafından buna ek olarak “alenileştirme amacı”, “alenileştirme iradesi”, “alenileştirme amacıyla uyumlu kullanım” ve “alenileştirme amacı dışında kullanım” şeklinde ilave kriterler getirilmektedir. Mahkemeye göre idarenin veya yargı mercilerinin yorum yoluyla geliştirdiği kriterler, belirli durumlarda hukuki değerlendirmelerde dikkate alınabilecek olsa dahi, bu kriterlerin doğrudan yaptırım dayanağı haline getirilmesi ayrı bir değerlendirmeyi gerektirmektedir. Anayasa Mahkemesi'nin Viennalife Kararı · KVKK Değerlendirmesi 8 Somut olayda başvurucu hakkında uygulanan idari para cezasının temel dayanağını, verilerin ilgili kişinin alenileştirme amacı dışında kullanıldığı yönündeki değerlendirme oluşturmaktadır.

Ancak AYM'ye göre “alenileştirme amacı dışında kullanım” şeklindeki kriter Kanun'da açıkça düzenlenmemiştir. Bu nedenle başvurucunun hangi davranışının yaptırıma yol açacağını önceden öngörebilmesi mümkün değildir. Başka bir ifadeyle kişi, Kanun metnini incelediğinde yalnızca ilgili kişinin verisini kendisinin alenileştirmiş olmasının yeterli olduğunu görmekte; buna karşılık Kurul tarafından sonradan geliştirilen ek kriterleri Kanun'dan çıkarması mümkün olmamaktadır. AYM, bu durumun hukuki güvenlik ve öngörülebilirlik ilkeleri bakımından sorunlu olduğunu değerlendirmiştir. Mahkemeye göre kişilerin hangi fiiller nedeniyle idari yaptırıma maruz kalabileceklerini önceden öngörebilmeleri gerekir. Kanun'da açıkça yer almayan bir yükümlülüğün sonradan yorum yoluyla oluşturulması ve bu yükümlülüğe aykırı davranıldığı gerekçesiyle yaptırım uygulanması ise kanunilik ilkesiyle bağdaşmamaktadır. Bu nedenle Mahkeme, Kurul tarafından benimsenen yaklaşımın veri koruma hukuku bakımından doğruluğundan bağımsız olarak, söz konusu yaklaşımın kanuni bir dayanak olmaksızın idari yaptırım normu haline getirilemeyeceği sonucuna ulaşmıştır.

11
İhlal Kararı

Tüm bu değerlendirmeler ışığında Anayasa Mahkemesi, başvurucu hakkında uygulanan idari para cezasının suçta ve cezada kanunilik ilkesini ihlal ettiği sonucuna ulaşmıştır. Mahkeme, kararında Kurulun alenileştirme iradesi yaklaşımının veri koruma hukuku bakımından tamamen yanlış olduğunu veya bundan sonra uygulanamayacağını ifade etmemiştir. Bunun yerine, söz konusu yaklaşımın Kanun'da açıkça düzenlenmediğini ve bu nedenle idari yaptırıma dayanak oluşturamayacağını belirtmiştir. Dolayısıyla AYM'nin vardığı sonuç, alenileştirilmiş kişisel verilerin her durumda serbestçe işlenebileceği veya alenileştirme amacı kavramının veri koruma hukuku bakımından tamamen ortadan kalktığı şeklinde yorumlanmamalıdır. Kararın ortaya koyduğu temel ilke, kanunda açıkça yer almayan bir kriterin yorum yoluyla oluşturularak idari para cezasına dayanak yapılamayacağıdır. Bu yönüyle karar, kişisel verilerin korunması hukukuna ilişkin bir uyuşmazlığın ötesine geçmekte; idari yaptırımların sınırları, hukuki güvenlik ilkesi ve kabahatler hukukunda kanunilik ilkesi bakımından önemli tespitler içeren anayasal bir değerlendirme niteliği taşımaktadır.

12
Sonuç ve Değerlendirme
“Karar, ilk bakışta alenileştirilmiş kişisel verilerin işlenmesine ilişkin bir uyuşmazlığa ilişkin görünmekle birlikte, asıl önemi KVKK kapsamındaki idari yaptırımlar bakımından kanunilik ilkesinin sınırlarını ortaya koymasından kaynaklanmaktadır.”

Anayasa Mahkemesi'nin Viennalife kararı, ilk bakışta alenileştirilmiş kişisel verilerin işlenmesine ilişkin bir uyuşmazlığa ilişkin görünmekle birlikte, kanaatimizce kararın asıl önemi KVKK kapsamındaki idari yaptırımlar bakımından kanunilik ilkesinin sınırlarını ortaya koymasından kaynaklanmaktadır. Kararda özellikle vurgulanan husus, Kanun'da açıkça yer almayan bir kriterin yorum yoluyla oluşturularak idari para cezasına dayanak yapılamayacağıdır. Bu yönüyle AYM, Kurul tarafından benimsenen “alenileştirme iradesi” veya “alenileştirme amacı” yaklaşımının veri koruma hukuku bakımından doğru ya da yanlış olduğu yönünde bir değerlendirme yapmamış; yalnızca bu yaklaşımın kanuni bir dayanak olmaksızın yaptırım normu haline getirilemeyeceğini belirtmiştir. Anayasa Mahkemesi'nin Viennalife Kararı · KVKK Değerlendirmesi 9 Kararın önemli sonuçlarından biri, genel nitelikli ve özel nitelikli kişisel veriler bakımından alenileştirme kavramının farklı değerlendirilmesi gerektiğine işaret etmesidir.

Nitekim 2024 yılında gerçekleştirilen değişiklik sonrasında KVKK'nın 6. maddesinde özel nitelikli kişisel veriler bakımından “alenileştirme iradesine uygun olma” kriterine açıkça yer verilmişken, genel nitelikli kişisel verilere ilişkin 5. maddede benzer bir düzenleme yapılmamıştır. Buna karşılık Kurul uygulamasında uzun yıllardır genel nitelikli kişisel veriler bakımından da fiilen alenileştirme iradesi ve alenileştirme amacı kriterlerinin arandığı görülmektedir. Bu yönüyle karar, özel nitelikli kişisel veriler bakımından geliştirilen bir yaklaşımın genel nitelikli kişisel verilere de uygulanmasının sınırlarını tartışmaya açmakta ve Kanun'un mevcut sistematiği çerçevesinde m. 5 ile m. 6 arasındaki ayrımın daha belirgin şekilde değerlendirilmesine katkı sağlayabilecek nitelik taşımaktadır. Kararın mukayeseli hukuk bakımından da dikkat çekici sonuçları bulunmaktadır. Avrupa Birliği Genel Veri Koruma Tüzüğü'nde (GDPR), genel nitelikli kişisel veriler bakımından “alenileştirilmiş olma” ayrı bir veri işleme şartı olarak düzenlenmemiştir.

Genel nitelikli aleni veriler çoğu durumda meşru menfaat hukuki sebebi kapsamında değerlendirilmektedir. Buna karşılık GDPR'da alenileştirme kavramı, özel nitelikli kişisel veriler bakımından ayrıca düzenlenmiş olup ilgili kişinin verisini “açıkça” alenileştirmiş olması istisnai bir veri işleme şartı olarak kabul edilmektedir. Bu nedenle Kurul uygulamasında genel nitelikli kişisel veriler bakımından da alenileştirme iradesinin aranmasının, GDPR'da özel nitelikli kişisel veriler bakımından benimsenen yaklaşımın genel nitelikli kişisel verilere de yansıtılması olarak değerlendirilebileceği ileri sürülebilir. Anayasa Mahkemesi'nin kararı ise, en azından idari yaptırımlar bakımından, bu yaklaşımın açık bir kanuni dayanak olmaksızın uygulanamayacağını ortaya koymaktadır. Bununla birlikte kararın, alenileştirilmiş kişisel verilerin her durumda ve sınırsız biçimde işlenebileceği şeklinde yorumlanması isabetli olmayacaktır. İnternet ortamında kamuya açık şekilde bulunan kişisel verilerin işlenmesi, açık kaynak verilerin kullanılması ve web scraping faaliyetleri bakımından kararın uygulamada daha geniş bir hareket alanı yaratabileceği değerlendirilebilirse de veri işleme faaliyetlerinin KVKK'nın genel ilkeleri ve ilgili kişilerin temel hak ve özgürlükleri çerçevesinde değerlendirilmesi gerekliliği devam etmektedir.

Kararın bir diğer önemli sonucu ise Kurul rehberleri ve yerleşik uygulamalarının hukuki niteliğine ilişkindir. Şüphesiz söz konusu dokümanlar uygulama bakımından önemli yol gösterici kaynaklardır. Ancak AYM kararı sonrasında, yalnızca rehberlerde veya Kurul uygulamasında yer alan kriterlerin doğrudan idari yaptırım dayanağı haline getirilmesinin daha yoğun şekilde tartışılması beklenmektedir. Sonuç olarak karar, alenileştirilmiş kişisel verilerin işlenmesine ilişkin bir uyuşmazlığın ötesinde; KVKK kapsamında uygulanan idari yaptırımların kanuni dayanağı, Kurulun yorum yetkisinin sınırları ve kabahatler hukukunda kanunilik ilkesinin uygulanması bakımından önemli ve emsal niteliğinde bir içtihat olarak değerlendirilmektedir. Kararın, önümüzdeki dönemde hem aleni verilerin işlenmesine ilişkin uygulamalar hem de Kurul kararlarının yargısal denetimi bakımından önemli etkiler doğurması beklenmektedir. Bilgilerinize sunarız. Saygılarımızla,

Anayasa Mahkemesi'nin Viennalife Kararı · KVKK Değerlendirmesi

Uğurcan TekinOrtakİnci ÖzçilsalAvukat

İlgili yazılar

Veri KorumaKişisel Verileri Koruma Kurulu Kararları — Ağustos 2026: İlke Kararları, Pazarlama Amaçlı Veri İşleme ve İşyeri Gözetimi5 Eylül 2026Veri Korumaİş Yerlerinde Güvenlik Kamerası Sistemleri: Kurum'un 8 Haziran 2026 Tarihli Kamuoyu Duyurusu18 Haziran 2026Veri KorumaÜçüncü Kişilerle Veri Paylaşımı ve Borç Ödeme Süreçlerinde Uyulması Gereken Esaslar31 Mart 2026