1.
Giriş
Dijital teknolojilerde yaşanan hızlı
gelişmeler, mobil uygulamaları günlük yaşamın ayrılmaz bir parçası hâline
getirmiştir. Sosyal medya, ulaşım, bankacılık, elektronik ticaret ve navigasyon
gibi pek çok hizmet mobil uygulamalar aracılığıyla sunulurken, bu uygulamalar
hizmetin niteliğine bağlı olarak kullanıcıların çeşitli kişisel verilerini
işlemektedir. İşlenen kişisel veriler arasında yer alan konum verisi ise
bireyin yalnızca bulunduğu noktayı göstermekle kalmayıp günlük yaşamı,
alışkanlıkları ve sosyal çevresi hakkında önemli çıkarımlar yapılmasına imkân
tanıması nedeniyle özel bir öneme sahiptir.
Türk hukukunda kişisel verilerin korunması
hakkı, Anayasa’nın 20. maddesi ile güvence altına alınmış; bu anayasal
güvencenin kanuni yansıması olarak 6698 sayılı Kişisel Verilerin Korunması
Kanunu (KVKK) yürürlüğe girmiştir. Her ne kadar Kanun’da konum verisine ilişkin
özel bir tanıma yer verilmemiş olsa da belirli veya belirlenebilir gerçek
kişiyle ilişkilendirilebilen konum bilgilerinin kişisel veri niteliğinde olduğu
kabul edilmektedir. Bu nedenle mobil uygulamalar tarafından gerçekleştirilen
konum verisi işleme faaliyetlerinin, KVKK’da öngörülen veri işleme şartlarına
ve veri sorumlularına yüklenen yükümlülüklere uygun şekilde yürütülmesi
gerekmektedir.
Bu çalışmada, mobil uygulamalar tarafından
işlenen konum verisinin hukuki niteliği 6698 sayılı Kanun çerçevesinde ele
alınacak; veri sorumlularının aydınlatma, veri güvenliği ile silme, yok etme ve
anonim hâle getirme yükümlülükleri incelenecek, ardından konum verisinin hukuka
aykırı şekilde işlenmesinin idari, hukuki ve cezai sonuçları ilgili mevzuat,
Kişisel Verileri Koruma Kurulu kararları ve yargı kararları ışığında
değerlendirilecektir.
2. Mobil Uygulamalarda Konum Verisinin
Hukuki Niteliği
Mobil uygulamalar tarafından işlenen
kişisel veriler, uygulamanın sunduğu hizmete göre farklılık göstermekle
birlikte, konum verisi günümüzde en sık işlenen veri kategorilerinden biri
hâline gelmiştir. Özellikle navigasyon, ulaşım, sosyal medya ve çevrim içi
sipariş uygulamaları, hizmetlerini yerine getirebilmek amacıyla kullanıcıların
anlık veya sürekli konum bilgilerine erişebilmektedir. Bununla birlikte bazı
uygulamaların, hizmetin sunulması bakımından zorunlu olmadığı hâlde konum
verisine erişim talep ettiği de uygulamada görülmektedir. Bu durum, konum
verisinin hukuki niteliğinin doğru şekilde belirlenmesini ve veri işleme
faaliyetlerinin hukuki sınırlar içerisinde yürütülmesini zorunlu kılmaktadır.
6698 sayılı Kişisel Verilerin Korunması
Kanunu’nun 3. maddesinin birinci fıkrasının (d) bendinde kişisel veri, “kimliği
belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi” olarak
tanımlanmıştır. Kanun’da konum verisine özgü ayrı bir tanım bulunmamakla
birlikte, belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilebilen
konum bilgilerinin kişisel veri niteliğinde olduğu kabul edilmektedir. Nitekim
belirli bir zaman dilimi boyunca elde edilen konum verileri; kişinin ikamet
ettiği yer, çalışma hayatı, günlük rutinleri ve sosyal çevresi hakkında
ayrıntılı çıkarımlar yapılmasına imkân tanıyabilmektedir. Bu yönüyle konum
verisi, bireyin özel hayatıyla doğrudan bağlantılı kişisel veriler arasında yer
almaktadır.
Kişisel Verileri Koruma Kurumu da mobil
uygulamalarda gerçekleştirilen veri işleme faaliyetlerine ilişkin yayımladığı
rehberlerde, veri sorumlularının yalnızca hizmetin sunulması için gerekli olan
konum verilerini işlemesi, veri işleme amacını açık ve anlaşılır şekilde ilgili
kişiye bildirmesi ve ölçülülük ilkesine uygun hareket etmesi gerektiğini
vurgulamaktadır. Böylece konum verisinin işlenmesinde, yalnızca teknolojik
imkânların değil, bireyin temel hak ve özgürlüklerinin de gözetilmesi
amaçlanmaktadır. [1]
Konum verisinin özel hayat üzerindeki
etkisi, Avrupa İnsan Hakları Mahkemesi kararlarında da kabul edilmektedir.
Nitekim Mahkeme, Uzun/Almanya kararında GPS yoluyla gerçekleştirilen konum
takibinin Avrupa İnsan Hakları Sözleşmesi’nin 8. maddesi kapsamında özel hayata
saygı hakkına müdahale oluşturabileceğini belirterek şu değerlendirmeye yer
vermiştir:
” … Mahkemenin görüşüne göre, GPS
gözetimi, doğası gereği, bir kişinin davranışları, görüşleri veya duyguları
hakkında daha fazla bilgi ifşa ettikleri için, kural olarak, bir kişinin özel
hayata saygı duyma hakkına müdahale etmeye daha duyarlı olan diğer görsel veya
akustik gözetim yöntemlerinden ayırt edilir. Bununla birlikte, içtihatlarında
belirlenen ilkeler göz önüne alındığında, yukarıda belirtilen faktörleri,
başvuru sahibinin GPS aracılığıyla gözleminin, şartlarda ve bu şekilde elde
edilen verilerin yukarıda açıklanan şekilde işlenmesi ve kullanılmasının, Madde
8/1 tarafından korunan özel
hayatına müdahale anlamına geldiği sonucuna varmak için yeterli bulur.” [2]
Söz konusu karar, konum verisinin yalnızca
teknik bir bilgi olarak değil, bireyin özel yaşamına ilişkin kapsamlı
çıkarımlar yapılmasını mümkün kılan kişisel veri niteliğinde olduğunu ortaya
koymaktadır. Bu nedenle mobil uygulamalar tarafından gerçekleştirilen konum
verisi işleme faaliyetlerinin, 6698 sayılı Kanun’da öngörülen veri işleme
şartlarına ve temel ilkelere uygun şekilde yürütülmesi, kişisel verilerin
korunması hakkının etkin biçimde sağlanması bakımından önem taşımaktadır.
3. Veri Sorumlusunun Yükümlülükleri
Mobil uygulamalar aracılığıyla
gerçekleştirilen konum verisi işleme faaliyetlerinde veri sorumluları, yalnızca
kişisel verileri hukuka uygun şekilde işlemekle değil, aynı zamanda 6698 sayılı
Kişisel Verilerin Korunması Kanunu’nda öngörülen yükümlülükleri yerine
getirmekle de sorumludur. Kanun, veri sorumlularına kişisel verilerin işlenmesi
sürecinin her aşamasında ilgili kişilerin temel hak ve özgürlüklerini korumaya
yönelik birtakım yükümlülükler yüklemektedir. Mobil uygulamalar bakımından bu
yükümlülüklerin başında aydınlatma yükümlülüğü, veri güvenliğinin sağlanması
ile kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesi
yükümlülüğü gelmektedir.
3.1. Aydınlatma Yükümlülüğü
6698 sayılı Kanun’un 10. maddesi uyarınca
veri sorumlusu, kişisel verilerin elde edilmesi sırasında ilgili kişiyi; veri
sorumlusunun kimliği, kişisel verilerin hangi amaçla işleneceği, kimlere
aktarılabileceği, veri toplamanın hukuki sebebi ile ilgili kişinin Kanun’un 11.
maddesinde düzenlenen hakları konusunda bilgilendirmekle yükümlüdür. Bu
yükümlülük, açık rızadan bağımsız olup veri işleme faaliyetinin şeffaf şekilde
yürütülmesini sağlamayı amaçlamaktadır.
Mobil uygulamalar bakımından aydınlatma
yükümlülüğü çoğunlukla gizlilik politikaları veya aydınlatma metinleri
aracılığıyla yerine getirilmektedir. Ancak bu metinlerin yalnızca şeklen
sunulması yeterli değildir. Kullanıcının konum verisinin hangi amaçla işlendiğini
açık, anlaşılır ve kolay erişilebilir şekilde öğrenebilmesi gerekmektedir.
Nitekim Kişisel Verileri Koruma Kurulu’nun 18.02.2026 tarihli ve 2026/347 sayılı
İlke Kararı’nda da aydınlatma yükümlülüğünün yalnızca biçimsel
olarak yerine getirilmesinin yeterli olmadığı belirtilmiş; ilgili kişinin veri
işleme faaliyetleri hakkında etkili biçimde bilgilendirilmesi gerektiği
vurgulanmıştır. Bu karara göre;
” … Kişisel veri işleme faaliyetinin açık rıza
şartına dayalı olarak gerçekleştirilmesi halinde aydınlatma metni ve açık rıza
metinlerinin farklı başlıklar altında ayrı ayrı metinler olarak düzenlenmesi,
… Metinlerde açık, anlaşılır ve sade bir dil
kullanılması; genel nitelikte, farklı anlaşılmaya müsait, eksik, ilgili
kişileri yanıltıcı ve yanlış bilgilere yer verilmemesi,
Çok detaylı, karmaşık ve
uzun metinlerin kullanılmaması…
Aydınlatma metinlerinde işlenen kişisel
veriler ve kategorileri ile birlikte kişisel veri işleme faaliyetinin amaç ve
hukuki sebebinin açık ve net bir biçimde ifade edilmesi,”
yönünde değerlendirmeye yer verilmiştir. [3]
Bu karar doğrultusunda, mobil uygulama
geliştiricilerinin uzun ve karmaşık metinler yerine kullanıcıların kolaylıkla
anlayabileceği aydınlatma metinleri hazırlaması, KVKK’nın öngördüğü şeffaflık
ilkesinin bir gereğidir.
3.2. Veri Güvenliğinin Sağlanması
6698 sayılı Kanun’un 12. maddesi uyarınca
veri sorumlusu, kişisel verilerin hukuka aykırı olarak işlenmesini ve
erişilmesini önlemek ile kişisel verilerin muhafazasını sağlamak amacıyla
gerekli teknik ve idari tedbirleri almakla yükümlüdür. Bu kapsamda konum
verilerinin güvenli biçimde saklanması, yetkisiz erişimlerin önlenmesi, erişim
yetkilerinin sınırlandırılması ve olası veri ihlallerine karşı gerekli güvenlik
önlemlerinin alınması gerekmektedir.
Kişisel Verileri Koruma Kurulu da çeşitli
kararlarında veri güvenliğinin yalnızca teknik altyapının oluşturulmasından
ibaret olmadığını, veri sorumlularının organizasyonel tedbirleri de almak
zorunda olduğunu vurgulamaktadır. Nitekim Kurulun çeşitli veri ihlali
kararlarında, gerekli güvenlik tedbirlerini almayan veri sorumluları hakkında
idari yaptırım uygulanmıştır. Bu durum, veri güvenliğinin yalnızca teknik değil
aynı zamanda hukuki bir yükümlülük olduğunu göstermektedir.
3.3. Kişisel Verilerin Silinmesi, Yok
Edilmesi ve Anonim Hâle Getirilmesi
6698 sayılı Kanun’un 7. maddesine göre
kişisel verilerin işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde
veri sorumlusu, söz konusu verileri resen veya ilgili kişinin talebi üzerine
silmek, yok etmek ya da anonim hâle getirmekle yükümlüdür.
Mobil uygulamalar bakımından bu yükümlülük
özellikle konum verileri açısından önem taşımaktadır. Hizmetin sunulması
amacıyla elde edilen konum bilgilerinin, bu amaç sona ermesine rağmen süresiz
olarak saklanması Kanun’un temel ilkeleriyle bağdaşmamaktadır. Bu nedenle veri
sorumlularının kişisel veri saklama ve imha politikalarını oluşturmaları ve
işleme amacı ortadan kalkan verileri gecikmeksizin imha etmeleri gerekmektedir.
Kişisel Verileri Koruma Kurumu tarafından
yayımlanan “Kişisel Verilerin
Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Rehberi” de
veri sorumlularının bu süreçleri planlı ve denetlenebilir şekilde yürütmesi
gerektiğini ortaya koymaktadır.
“Kişisel verilerin silinmesi, kişisel
verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz
hale getirilmesi işlemidir. Veri sorumlusu, silinen kişisel verilerin ilgili
kullanıcılar için erişilemez ve tekrar kullanılamaz olması için gerekli her
türlü teknik ve idari tedbirleri almakla yükümlüdür…
Kişisel verilerin yok edilmesi, kişisel
verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve
tekrar kullanılamaz hale getirilmesi işlemidir. Veri sorumlusu, kişisel
verilerin yok edilmesiyle ilgili gerekli her türlü teknik ve idari tedbirleri
almakla yükümlüdür…
Kişisel verilerin anonim hale getirilmiş
olması için; kişisel verilerin, veri sorumlusu veya alıcı grupları tarafından
geri döndürülmesi ve/veya verilerin başka verilerle eşleştirilmesi gibi kayıt
ortamı ve ilgili faaliyet alanı açısından uygun tekniklerin kullanılması
yoluyla dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle
ilişkilendirilemez hale getirilmesi gerekir. Veri sorumlusu, kişisel verilerin
anonim hale getirilmesi için gerekli her türlü teknik ve idari tedbirleri
almakla yükümlüdür. Kişisel verilerin anonim hale getirilmesi, kişisel veri
saklama ve imha politikasında belirtilen esaslara uygun olarak aşağıdaki
yöntemlerle gerçekleştirilir.” [4]
Böylece kişisel verilerin gereğinden uzun
süre muhafaza edilmesinin önüne geçilerek ilgili kişilerin özel hayatının
korunması amaçlanmaktadır.
4. Konum Verisinin Hukuka Aykırı
İşlenmesinin Sonuçları
Mobil uygulamalar aracılığıyla işlenen
konum verilerinin hukuka aykırı şekilde elde edilmesi, işlenmesi veya üçüncü
kişilerle paylaşılması hâlinde veri sorumluları bakımından idari, hukuki ve
cezai sorumluluk gündeme gelebilmektedir. Konum verisinin bireyin özel hayatına
ilişkin kapsamlı bilgiler ortaya koyabilmesi nedeniyle, bu verilerin hukuka
aykırı olarak işlenmesi yalnızca 6698 sayılı Kişisel Verilerin Korunması Kanunu
bakımından değil, Türk Borçlar Kanunu ve Türk Ceza Kanunu bakımından da çeşitli
yaptırımlara yol açabilmektedir.
4.1. İdari Sorumluluk
6698 sayılı Kanun’un 18. maddesinde, veri
sorumlularının Kanun’da öngörülen yükümlülükleri ihlal etmeleri hâlinde
uygulanabilecek idari yaptırımlar düzenlenmiştir. Bu maddeye göre;
“MADDE 18- (1) Bu Kanunun;
a) 10 uncu maddesinde öngörülen aydınlatma
yükümlülüğünü yerine getirmeyenler
hakkında 5.000 Türk lirasından 100.000 Türk
lirasına kadar,
b) 12’nci maddesinde öngörülen veri güvenliğine
ilişkin yükümlülükleri yerine
getirmeyenler hakkında 15.000 Türk lirasından
1.000.000 Türk lirasına kadar,
c) 15 inci maddesi uyarınca Kurul tarafından
verilen kararları yerine getirmeyenler
hakkında 25.000 Türk lirasından 1.000.000 Türk
lirasına kadar,
ç) 16’ncı maddesinde öngörülen Veri Sorumluları
Siciline kayıt ve bildirim
yükümlülüğüne aykırı hareket edenler hakkında
20.000 Türk lirasından 1.000.000 Türk
lirasına kadar,
d) (Ek:2/3/2024-7499/35 md.) 9 uncu
maddenin beşinci fıkrasında öngörülen bildirim
yükümlülüğünü yerine getirmeyenler hakkında 50.000
Türk lirasından 1.000.000 Türk
lirasına kadar,
idari para cezası verilir.
(2) (Değişik:2/3/2024-7499/35 md.) Birinci
fıkranın (a), (b), (c) ve (ç) bentlerinde
öngörülen idari para cezaları veri sorumlusu, (d)
bendinde öngörülen idari para cezası veri
sorumlusu veya veri işleyen gerçek kişiler ile
özel hukuk tüzel kişileri hakkında uygulanır.
(3) (Ek:2/3/2024-7499/35 md.) Kurulca
verilen idari para cezalarına karşı, idare
mahkemelerinde dava açılabilir.
(4) Birinci fıkrada sayılan eylemlerin kamu kurum
ve kuruluşları ile kamu kurumu
niteliğindeki meslek kuruluşları bünyesinde
işlenmesi hâlinde, Kurulun yapacağı bildirim
üzerine, ilgili kamu kurum ve kuruluşunda görev
yapan memurlar ve diğer kamu görevlileri
ile kamu kurumu niteliğindeki meslek
kuruluşlarında görev yapanlar hakkında disiplin
hükümlerine göre işlem yapılır ve sonucu Kurula
bildirilir.”
Özellikle aydınlatma yükümlülüğünün yerine
getirilmemesi, veri güvenliğine ilişkin gerekli teknik ve idari tedbirlerin
alınmaması veya Kurul kararlarına aykırı hareket edilmesi durumunda veri
sorumluları hakkında idari para cezası uygulanabilmektedir.
Bu kapsamda Kişisel Verileri Koruma Kurulu’nun
13.04.2021 tarihli ve 2021/361 sayılı
Kararı, mobil uygulamalar üzerinden gerçekleştirilen veri işleme
faaliyetleri bakımından önemli bir örnek teşkil etmektedir. Söz konusu olayda
bir bankanın, mobil uygulaması aracılığıyla ilgili kişiye usulüne uygun açık
rıza almaksızın tanıtım iletileri göndermesi üzerine Kurul inceleme
başlatmıştır. İnceleme sonucunda Kurul;
” … Veri sorumlusunun ilgili kişilerden usulüne
uygun şekilde açık rıza almaksızın tanıtım iletisi göndermek suretiyle hukuka
aykırı olarak kişisel veri işleme faaliyetinde bulunmasının Kanunun 12’ nci
maddesinin (1) numaralı fıkrasında zikredilen uygun güvenlik düzeyini temin
etmeye yönelik gerekli teknik ve idari tedbirleri almadığını gösterdiği
değerlendirmelerinden hareketle;
Veri sorumlusunun mobil uygulamalar üzerinden
usulüne uygun açık rızası alınmaksızın tanıtım iletileri göndermek amacıyla
ilgili kişinin kişisel verilerini işlemesinin hukuka aykırı olduğu dikkate
alındığında, Kanunun 12 nci maddesinin (1) numaralı fıkrası çerçevesinde uygun
güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirleri
almadığı kanaatine varılan veri sorumlusu hakkında Kanunun 18 inci maddesinin
(1) numaralı fıkrasının (b) bendi uyarınca idari para cezası uygulanmasına,
Bununla birlikte veri sorumlusunun sahibi
olduğu mobil uygulama süreçlerini usulüne uygun açık rıza alınabilecek şekilde
düzenlemesi ve bu işlemin sonucundan Kurula bilgi verilmesi yönünde veri
sorumlusunun talimatlandırılmasına” şeklinde karar
vermiştir. [5]
Anılan karar, mobil uygulamalarda
kullanıcıların kişisel verilerinin yalnızca açık rıza alınarak işlenmesinin
yeterli olmadığını; veri sorumlularının aynı zamanda veri işleme süreçlerini
KVKK’ya uygun şekilde tasarlamak ve gerekli teknik ile idari tedbirleri almakla
yükümlü olduğunu göstermektedir.
4.2. Hukuki Sorumluluk
Kişisel verilerin hukuka aykırı şekilde
işlenmesi, veri sorumlusunun özel hukuk bakımından da sorumluluğunu
doğurabilmektedir. 6698 sayılı Kanun’un 11. maddesi uyarınca ilgili kişiler;
kişisel verilerinin hukuka aykırı işlendiğini öğrenmeleri hâlinde düzeltilmesini,
silinmesini veya uğradıkları zararın giderilmesini talep edebilmektedir. Bunun
yanında Türk Borçlar Kanunu’nun haksız fiile ilişkin hükümleri kapsamında da
maddi ve manevi tazminat talep edilmesi mümkündür. Nitekim Yargıtay 4. Hukuk
Dairesi de 2022/3953 esas, 2025/2404 karar sayılı ve 13.02.2025 tarihli ilamında,
kişisel verilerin hukuka aykırı işlenmesi nedeniyle doğan zararların genel
hükümler çerçevesinde tanzim edilebileceğini vurgulamıştır.
“KVKK kişisel verilerin hukuka aykırı
işlenmesinden doğan zararların tazminine ilişkin özel hükümler düzenlemekten
kaçınmış, kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat
hakkının saklı olduğunu belirtmek suretiyle genel hükümlere yollama yapmayı
tercih etmiştir. Bu bağlamda KVKK'nın 11/ğ maddesinde ilgili kişinin hakları
düzenlenirken, kişisel verilerin hukuka aykırı olarak işlenmesi nedeniyle doğan
zararlarının giderilmesini talep etme hakkına sahip olduğu ve 14/3 maddesinde
kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat haklarının
saklı olduğu ayrıca belirtilmiştir. Bu nedenle TMK'nın kişiliğin korunmasına
ilişkin hükümlerine yollama yaptığı sonucu ortaya çıkmaktadır. KVKK maddi ve
manevi zarar ayrımı yapmamıştır. TMK'da doğrudan doğruya kişisel verilerin
korunmasına ilişkin bir hüküm bulunmamakla birlikte kişisel verilerin kişilik
değerleriyle örtüşmesi ve kişilik hakkının koruma kapsamına dahil edilmesi
nedeniyle; TMK'nın kişilik hakkını koruyan hükümleri, kişisel verilerin
korunması hususunda da uygulanacaktır.” [6]
Özellikle konum verisinin ilgili kişinin
bilgisi ve hukuki dayanağı bulunmaksızın üçüncü kişilerle paylaşılması ya da
amacı dışında kullanılması, kişilik haklarının ihlaline neden olabileceğinden
veri sorumlusunun tazminat sorumluluğunu gündeme getirebilecektir. Bu nedenle
veri sorumlularının veri işleme faaliyetlerini yalnızca Kanun’un şekli
hükümlerine değil, kişilik haklarının korunmasına ilişkin genel hukuk
ilkelerine de uygun şekilde yürütmeleri gerekmektedir.
4.3. Cezai Sorumluluk
Kişisel verilerin hukuka aykırı şekilde
işlenmesi bazı hâllerde Türk Ceza Kanunu kapsamında suç oluşturmaktadır. Bu
kapsamda özellikle TCK’nın 135. maddesinde düzenlenen kişisel verilerin kaydedilmesi, 136. maddesinde düzenlenen verileri hukuka aykırı olarak verme veya ele
geçirme ve 138. maddesinde düzenlenen verileri yok etmeme suçları önem taşımaktadır.
Nitekim Yargıtay 12. Ceza Dairesinin bir
kararında, kişisel verilerin hukuka aykırı olarak paylaşılmasına ilişkin şu
değerlendirmeye yer verilmiştir:
”… TCK'nın 135 ve 136. maddelerindeki kişisel verilerin korunmasına
ilişkin düzenlemelerde sadece sır niteliğinde kişisel verilerin korunacağına
ilişkin bir hükmün bulunmaması ve aksine 135. maddenin gerekçesinde gerçek
kişiyle ilgili her türlü bilginin kişisel veri olarak kabul edilmesi
gerektiğinin belirtilmesi karşısında, her türlü kişisel verinin hukuka aykırı
olarak başkasına verilmesi, yayılması ve ele geçirilmesi fiilleri TCK'nın 136.
maddesindeki verileri hukuka aykırı olarak verme veya ele geçirme suçunu
oluşturur. Bu nedenle herkes tarafından bilinen ve/veya kolaylıkla ulaşılması
ve bilinmesi mümkün olan kişisel bilgiler de yasal anlamda “kişisel veri”
olarak kabul edilmektedir. Ancak, verileri hukuka aykırı olarak verme veya ele
geçirme suçunun uygulama alanının amaçlanandan fazla genişletilerek, uygulamada
belirsizlik ve hemen her eylemin suç oluşturması gibi olumsuz sonuçların
doğmaması için, somut olayın özellikleri dikkate alınarak titizlikle
değerlendirme yapılması, olayda herhangi bir hukuk dalı tarafından kabul
edilebilecek bir hukuka uygunluk nedeni veya bu kapsamda nazara alınabilecek
bir hususun bulunup bulunmadığının saptanması ve sanığın eylemiyle hukuka
aykırı hareket ettiğini bildiği ya da bilebilecek durumda olduğunun da tespit
edilmesi gerekir.” [7]
Yargıtay’ın bu yaklaşımı, mobil uygulamalar
aracılığıyla elde edilen konum verilerinin de hukuka aykırı şekilde üçüncü
kişilere aktarılması veya yayılması hâlinde ceza hukuku bakımından sorumluluk
doğabileceğini ortaya koymaktadır. Bu nedenle veri sorumlularının yalnızca KVKK
hükümlerine değil, aynı zamanda Türk Ceza Kanunu’nda kişisel verilerin
korunmasına ilişkin düzenlemelere de uygun hareket etmeleri büyük önem
taşımaktadır.
5. Sonuç
Mobil uygulamalar tarafından işlenen konum
verileri, teknolojik gelişmelerin doğal bir sonucu olarak dijital yaşamın
ayrılmaz bir parçası hâline gelmiştir. Bununla birlikte, konum verisinin
bireyin günlük yaşamına, alışkanlıklarına ve özel hayatına ilişkin kapsamlı
bilgiler ortaya koyabilmesi, bu verilerin işlenmesini kişisel verilerin
korunması hukuku bakımından özel bir öneme sahip kılmaktadır. Bu nedenle konum
verisinin işlenmesi sürecinde, bireyin temel hak ve özgürlüklerinin korunması
ile teknolojik gelişmeler arasında dengeli bir yaklaşım benimsenmesi
gerekmektedir.
6698 sayılı Kişisel Verilerin Korunması
Kanunu, kişisel verilerin hukuka uygun şekilde işlenmesini sağlamak amacıyla
veri sorumlularına önemli yükümlülükler yüklemiştir. Özellikle aydınlatma
yükümlülüğünün yerine getirilmesi, gerekli teknik ve idari tedbirlerin alınması
ile işleme amacı ortadan kalkan verilerin silinmesi, yok edilmesi veya anonim
hâle getirilmesi, veri sorumlularının yerine getirmesi gereken temel
yükümlülükler arasında yer almaktadır. Kişisel Verileri Koruma Kurulu kararları
ile yargı içtihatları da bu yükümlülüklerin yalnızca şeklen değil, fiilen ve
etkin bir biçimde yerine getirilmesi gerektiğini ortaya koymaktadır.
Öte yandan, konum verisinin hukuka aykırı
şekilde işlenmesi yalnızca idari para cezalarına yol açmamakta; somut olayın
özelliklerine göre tazminat sorumluluğunu ve ceza hukuku bakımından
yaptırımları da gündeme getirebilmektedir. Bu durum, veri sorumlularının
kişisel verilerin korunmasına ilişkin yükümlülüklerini yerine getirirken
yalnızca Kanun hükümlerini değil, yargı kararlarıyla şekillenen uygulamayı da
dikkate almalarını gerekli kılmaktadır.
Sonuç olarak, mobil uygulamaların
yaygınlaşmasıyla birlikte konum verisinin işlenmesine ilişkin hukuki
uyuşmazlıkların da artacağı öngörülmektedir. Bu süreçte veri sorumlularının,
veri işleme faaliyetlerini hukuka
uygunluk, ölçülülük, şeffaflık ve veri güvenliği ilkeleri çerçevesinde
yürütmeleri; kullanıcıların ise kişisel verileri üzerindeki hakları konusunda
bilinçli hareket etmeleri büyük önem taşımaktadır. Böylelikle hem dijital
teknolojilerin sunduğu imkânlardan etkin şekilde yararlanılması hem de Anayasa ve
6698 sayılı Kanun ile güvence altına alınan kişisel verilerin korunması
hakkının etkin biçimde sağlanması mümkün olacaktır.
Stajyer Öğrenci Ceren Nur Aplak
Kaynakça:
1.
Kişisel Verileri Koruma Kurumu’nun ‘Mobil Uygulamalarda Mahremiyetin
Korunmasına Yönelik Tavsiyeler’ Rehberi
2.
Avrupa İnsan Hakları Mahkemesi, Başvuru No:35623/05, Karar Tarihi: 02.09.2010,
Uzun/Almanya Kararı
3.
Kişisel Verileri Koruma Kurulu’nun 2026/347 Sayılı, 18.02.2026 Tarihli İlke Kararı
4.
Kişisel Verileri Koruma Kurumu’nun ‘Kişisel Verilerin Silinmesi, Yok Edilmesi
veya Anonim Hale Getirilmesi’ Rehberi
5.
Kişisel Verileri Koruma Kurulu’nun
2021/361 Sayılı, 13.04.2021 Tarihli Kararı
6. Yargıtay 4.
Hukuk Dairesi 2022/3953 Esas, 2025/2404 Karar Sayılı, 13.02.2025 Tarihli İlamı
7.
Yargıtay 12. Ceza Dairesi 2019/12886 Esas, 2020/513 Karar Sayılı, 15.01.2020
Tarihli İlamı
