KISACA
- Kanunların belirlediği süre geçtiği hâlde verileri sistem içinde yok etmekle yükümlü olanlara, görevlerini yerine getirmediklerinde bir yıldan iki yıla kadar hapis verilir (TCK m. 138/1).
- Yok edilmesi CMK hükümlerine göre gereken veri söz konusuysa ceza bir kat artırılır (TCK m. 138/2).
- KVKK m. 7'ye aykırı olarak kişisel verileri silmeyen ya da anonim hâle getirmeyenler de TCK m. 138'e göre cezalandırılır (KVKK m. 17/2).
- Suç şikâyete bağlı değildir; savcılık ihbar ya da kendiliğinden soruşturma başlatabilir (TCK m. 139).
- Silme yükümlülüğünün kaynağı kanun olmalıdır (süre kanunda yazılıysa o kanun, kişisel verilerde KVKK m. 7); sözleşme ya da şirket politikası tek başına bu suçun konusu olmaz.
Bir şirkette ya da kurumda verileri silmekle görevliyseniz ve kanunun öngördüğü süre dolduğu hâlde bu veriler sistemde duruyorsa, TCK m. 138/1 bir yıldan iki yıla kadar hapis cezası öngörüyor. Silme yükümlülüğünün kaynağı bir kanun olmalı. Şirketin kendi belirlediği iç saklama süresi ya da bir sözleşme maddesi bu suçu tek başına oluşturmaz. Önce neyi, kimin, hangi dayanakla silmesi gerektiğine bakılır.
Maddenin dört unsuru
Suçun oluşması için şunlar aranır. Birincisi, bir kanunun belirlediği bir süre olmalı ve bu süre geçmiş olmalı. İkincisi, bu veriyi "sistem içinde" yok etmekle yükümlü bir kişi bulunmalı. Üçüncüsü, o kişi görevini yerine getirmemeli. Dördüncüsü, bunu bilerek ve isteyerek yapmalı; kasıt aranır, taksirle bu suç işlenmez.
Yok etme, silmeyi, geri getirilemeyecek biçimde imhayı anlatır. Verinin yalnız görünür dizinden kaldırılıp yedeklerde durması tartışma yaratır. Savunma buna göre kurulur: veri gerçekten sistemden çıkarıldı mı, yedeklerde kalan kısım için ayrı bir saklama gerekçesi var mı?
KVKK ile bağlantı
6698 sayılı Kanun'un 7. maddesi, işlenmesini gerektiren sebepler ortadan kalkınca kişisel verilerin silinmesini, yok edilmesini ya da anonim hâle getirilmesini düzenler. KVKK m. 17/2 bu yükümlülüğü ihlal edenlerin TCK m. 138'e göre cezalandırılacağını söyler. Yani veri sorumlusu bir işletme, müşteri kayıtlarını, işe alım sürecinde toplanan özgeçmişleri ya da bitmiş bir sözleşmenin verilerini gerekçesiz tutuyorsa, bu ceza maddesi gündeme gelebilir.
KVKK m. 7/2, silme ve anonimleştirmeye ilişkin diğer kanunlardaki hükümleri saklı tutar. Başka bir kanun belirli bir veriyi belirli süre saklamayı zorunlu kılıyorsa, o süre dolmadan silmemek suç değildir. Muhasebe, iş ve sosyal güvenlik kayıtlarında bu tür saklama yükümlülükleri vardır; süreleri ilgili kanundan kontrol etmek gerekir.
Cezanın artırıldığı hâl
TCK m. 138/2'ye göre suçun konusu CMK hükümlerine göre ortadan kaldırılması ya da yok edilmesi gereken veri olursa ceza bir kat artırılır. Bir yıldan iki yıla olan aralık, artırımla iki yıldan dört yıla çıkar. Örneğin soruşturma sonunda imhası emredilmesi gereken kayıtlar yok edilmemişse bu fıkra gündeme gelir. Bu hâl, dinlenen kişiye bildirim gibi ceza muhakemesindeki imha kurallarıyla birlikte okunur.
Şikâyet, mahkeme ve zamanaşımı
TCK m. 139 şikâyete bağlılık istisnalarını sayar ve verileri yok etmemeyi bunların arasında tutar: yani bu suç şikâyete bağlı değildir. Kimse şikâyet etmese de savcılık soruşturma başlatabilir, şikâyetten vazgeçme de soruşturmayı kendiliğinden durdurmaz. Ceza üst sınırı dört yılı aşmadığı için dava asliye ceza mahkemesinde görülür. TCK m. 66'ya göre beş yıldan fazla olmamak üzere hapis gerektiren suçlarda dava zamanaşımı sekiz yıldır.
Suç bir şirket bünyesinde işlendiyse TCK m. 140 gereği tüzel kişi hakkında bu suçlara özgü güvenlik tedbirleri de uygulanır.
Varsayımsal bir durum
Varsayımsal bir örnek düşünelim: bir şirket, işten ayrılan bir çalışanın kimlik ve sağlık verilerini, ilgili kanundaki saklama süresi bittikten iki yıl sonra hâlâ sunucuda tutuyor. Çalışan Kişisel Verileri Koruma Kurumu'na ve savcılığa başvuruyor. Savcılık; verinin silinmesinin kime ait olduğunu, silme talimatı verilip verilmediğini, yedeklerde kalan bir kopya olup olmadığını araştırır. Sonuç, bu araştırmanın bulgularına göre değişir; bir yönetici sorumlu çıkabilir, sorumluluk başka birinde de olabilir.
Dikkat edilecek noktalar
Şirketlerde sık yapılan hata, "yedekler bizim sorumluluğumuzda değil" demek. Yedekteki kopya da veri sayılır. Bir diğeri, silme talebini yazılı hâle getirmemek: kimin ne zaman talimat verdiği kayıtlı değilse sorumluluğu kimin taşıdığı sonradan ispat edilemez. Üçüncüsü, saklama süresini hesaplarken sürenin hangi tarihten başladığını yanlış almak.
Soruşturma bildirimi geldiysa ifadeden önce hangi belgelerin hazır olduğu, kimin sorumlu olduğu ve verinin şimdiki durumu netleştirilir. Bilişim ve veri dosyalarına bakış için şirket verisini kopyalayıp ayrılmak ve özel hayatın gizliliğini ihlal yazıları da ilişkili konuları anlatır.
Soruşturmada ne sorulur
Savcılık genellikle üç şeyi sorar. Hangi verinin hangi kanuna göre ne kadar saklanacağı, süre bitiminde kimin silme yetkisi olduğu ve silmenin neden yapılmadığı. İfade veren yetkili için cevapların belgeyle desteklenmesi önemlidir: saklama politikası, sistem kayıtları, silme talebi yazışmaları. Politika yazılı bir belge olarak varsa ve uygulanıyorsa, kasıt unsuru bakımından savunmaya yardımcı olabilir; politika yoksa ya da raflarda kalmışsa tablo zorlaşır.
Sorumluluk zinciri
Büyük işletmelerde bilgi işlem, hukuk ve yönetim ayrı ellerdedir. Silmeyi fiilen yapan sistem yöneticisi mi, talimat veren müdür mü, yoksa karar yetkisi yönetim kurulunda mı? Ceza sorumluluğu kişiseldir; bu yüzden soruşturmada hangi görevlinin neyi bildiği ve neyi yapabildiği ayrı ayrı araştırılır. Kimseye "şirketin sorumlusu sensin" diye otomatik sorumluluk yüklenemez.
Kamu kurumlarında durum
TCK m. 138 yalnız özel şirketlere özgü değildir. Belediyeler, hastaneler ve diğer kamu kurumları da kanun gereği verileri belli süre sakladıktan sonra imha etmek zorunda olabilir. Burada ayrıca kamu görevlisi olarak soruşturma yapılıp yapılmayacağı, görev nedeniyle işlenen suçlarda izin sistemine bağlıdır; bu konuda soruşturma izni verilmemesine itiraz yazısı usulü anlatır.
Kamu kurumunda silme talimatının zinciri çoğu zaman yazılıdır: arşiv yönetmeliği, imha komisyonu kararı, tutanak. Bu belgelerin tarihleri, kimin imzaladığı ve imhanın fiilen yapılıp yapılmadığı soruşturmanın çekirdeğini oluşturur.
Silme görevi sizdeyse
Böyle bir dosyada kimin sorumlu olduğu, hangi verinin hangi kanuna göre saklanması gerektiği ve bu aşamada ne yapılabileceği belgelere bağlıdır. Çağrı ya da tebligat aldıysanız ifadeden önce iletişim sayfasındaki numaradan arayabilir ya da WhatsApp'tan yazabilirsiniz; ifade imzalandıktan sonra bir şeyi düzeltmek zordur, bu yüzden önce aramak zaman kazandırır. Genel çerçeve için ceza hukuku sayfasına bakın.
Sık sorulan sorular
Saklama süresi bitti ama müşteri verilerini sildirmedim, hapis alır mıyım?
Kural olarak bunun için önce verinin silinmesi gerektiğini düzenleyen bir kanun hükmü (kişisel verilerde KVKK m. 7) ve süre ya da işleme sebebinin ortadan kalkması aranır. Yükümlü kişi görevini yerine getirmemişse TCK m. 138/1 bir yıldan iki yıla kadar hapis öngörür. Ancak kasıt, yükümlülüğün kime ait olduğu ve verinin ne olduğu somut olarak araştırılır; her gecikme otomatik mahkûmiyet getirmez.
Veriyi silmem gereken kişi şirketin hangi çalışanıdır?
Kanun, silme görevinin kime ait olduğunu şirket yapısına göre belirler. Veri sorumlusu tüzel kişiyse sorumluluk, fiili olarak bu işi yürütmekle görevli gerçek kişi ya da yönetici üzerinden araştırılır. Kimin ne yetkisi olduğu iç yazışmalardan ve görev tanımından çıkarılır.
Ceza mahkemesi dosyasındaki yok edilmesi gereken veri ne demek?
CMK hükümleri belirli hâllerde elde edilmiş verilerin, örneğin kovuşturmaya yer olmadığı kararından sonra, imhasını emreder. Bu veriyi imha etmemek TCK m. 138/2 uyarınca cezanın bir kat artırılmasına yol açar.
Kurum yetkilisi olarak savunmada ne öne sürülür?
Yükümlülüğün size ait olmadığı, sürenin dolmadığı, verinin hâlâ bir kanunla saklanmasının gerektiği ya da verinin anonim hâle getirildiği savunmanın konusu olabilir. Hangisinin elverişli olduğu belgelere bağlıdır.
Dayanak mevzuat
- 5237 sayılı Türk Ceza Kanunu m. 66, 138, 139, 140
- 6698 sayılı Kişisel Verilerin Korunması Kanunu m. 7, 17
Bu yazı genel bilgilendirme amaçlıdır, hukuki görüş yerine geçmez. Mevzuat ve uygulama değişebilir; yazının tarihine dikkat edin.