Kişisel Verilerin Hukuka Aykırı Paylaşılması Durumunda Başvuru Yolları

Kişisel verilerin ilgili kişinin rızası veya kanunda öngörülen bir hukuki sebep olmaksızın üçüncü kişilerle paylaşılması, hem 6698 sayılı Kişisel Verilerin Korunması Kanunu hem de Türk Ceza Kanunu kapsamında sonuçlar doğurabilir. Bu yazıda, kişisel verilerin hukuka aykırı şekilde paylaşılması durumunda başvurulabilecek idari ve cezai yollar anlatılmaktadır.

Son güncelleme: Ağustos 2026.

Kişisel Verilerin Korunması Kanunu Kapsamında Değerlendirme

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kişisel verilerin hukuka uygun işlenmesi için belirli şartlar öngörür. Bir verinin açık rıza olmaksızın veya kanunda sayılan istisnai hallerden biri bulunmaksızın üçüncü kişilerle paylaşılması, KVKK'nın 12. maddesinde düzenlenen veri güvenliğine ilişkin yükümlülüklerin ihlali anlamına gelebilir.

Türk Ceza Kanunu Kapsamında Değerlendirme

Kişisel verilerin hukuka aykırı şekilde ele geçirilmesi veya başkalarına verilmesi, yayılması veya ele geçirilmesi, TCK m.136'da düzenlenen "verileri hukuka aykırı olarak verme veya ele geçirme" suçu kapsamında değerlendirilir. Kişisel verilerin hukuka aykırı olarak kaydedilmesi ise TCK m.135'te ayrı bir suç olarak düzenlenmiştir. Bu suçlar, mağdurun şikayetine bağlı olmaksızın resen soruşturulur.

KVKK Kapsamında Başvuru Süreci

KVKK'nın 13. maddesi uyarınca, ilgili kişinin Kişisel Verileri Koruma Kurulu'na şikayette bulunabilmesi için öncelikle veri sorumlusuna yazılı olarak başvurması ve otuz gün içinde cevap alamaması veya verilen cevabı yetersiz bulması gerekir. Bu ön başvuru şartı yerine getirilmeden doğrudan Kurula yapılan şikayetler usulden reddedilebilir.

1. Veri sorumlusuna (kişisel verinin paylaşıldığı kurum/kişi) yazılı başvuru yapılır ve talebin niteliği açıkça belirtilir.
2. Veri sorumlusunun otuz gün içinde cevap vermemesi veya cevabın yetersiz bulunması halinde, bu süre veya cevap tarihinden itibaren otuz gün, her halükârda başvuru tarihinden itibaren altmış gün içinde Kişisel Verileri Koruma Kurulu'na şikayette bulunulabilir.
3. Kurul, şikayeti inceleyerek gerekli görmesi halinde idari para cezası veya diğer tedbirlere hükmedebilir.
4. Suç teşkil eden bir eylem söz konusuysa, ayrıca Cumhuriyet Başsavcılığına şikayette bulunulabilir.

Veri Sorumlusunun Sorumluluğu

Kişisel verileri işleyen gerçek veya tüzel kişiler (veri sorumluları), verilerin hukuka aykırı olarak işlenmesini önlemek, uygun güvenlik düzeyini sağlamak ve veri ihlali durumunda Kurula ve ilgili kişilere bildirimde bulunmakla yükümlüdür. Bu yükümlülüklerin ihlali, KVKK'da öngörülen idari para cezalarına tabidir.

Tazminat Talebi

Kişisel verilerin hukuka aykırı paylaşılması nedeniyle maddi veya manevi zarara uğranması halinde, idari ve cezai süreçlerden bağımsız olarak, Türk Borçlar Kanunu'nun genel hükümleri çerçevesinde tazminat davası açılması da mümkündür.

Sık Karşılaşılan Durumlar

Uygulamada sık karşılaşılan durumlar arasında, işveren tarafından çalışan verilerinin izinsiz üçüncü kişilerle paylaşılması, bir hizmet sağlayıcının müşteri verilerini pazarlama amacıyla izinsiz kullanması, kişisel verilerin veri ihlali sonucu (siber saldırı, sızıntı) yayılması ve sosyal medya üzerinden başkasına ait kimlik veya iletişim bilgilerinin izinsiz paylaşılması sayılabilir.

Sık Sorulan Sorular

Doğrudan Kurula şikayette bulunabilir miyim?

Kural olarak hayır; KVKK m.13 uyarınca önce veri sorumlusuna başvuru yapılması ve bu başvurunun sonuçsuz kalması veya yetersiz bulunması gerekir. İstisnai olarak, veri sorumlusunun belirlenememesi gibi durumlarda doğrudan şikayet imkanı değerlendirilebilir.

Şikayet için süre sınırı var mı?

Evet, öğrenme tarihinden itibaren otuz gün ve her halükârda ihlal tarihinden itibaren altmış gün içinde Kurula başvurulması gerekir.

Hem KVKK şikayeti hem de ceza şikayeti aynı anda yapılabilir mi?

Evet, bu iki süreç birbirinden bağımsızdır ve eş zamanlı olarak yürütülebilir.

Kurul idari para cezası verirse mağdura tazminat ödenir mi?

Hayır, Kurul tarafından verilen idari para cezaları hazineye gelir kaydedilir; mağdurun kendi zararının tazmini için ayrı bir hukuk davası açması gerekir.

İşveren çalışan verilerini paylaşırsa hangi yola başvurulmalı?

Öncelikle işverene (veri sorumlusuna) yazılı başvuru yapılmalı, sonuç alınamaması halinde Kurula şikayet ve/veya hukuki süreç değerlendirilmelidir.

Yurt dışında yerleşik bir şirket verilerimi paylaşırsa ne yapabilirim?

KVKK, Türkiye'deki ilgili kişilerin verilerini işleyen yurt dışı yerleşik veri sorumluları için de belirli koşullarda uygulama alanı bulabilir; bu durumun her somut olayda ayrıca değerlendirilmesi gerekir.

Bu içerik genel bilgilendirme amaçlıdır; hukuki görüş veya tavsiye niteliğinde değildir. Her olay kendi somut koşulları çerçevesinde değerlendirilmelidir. Konunuza ilişkin değerlendirme için randevu alabilirsiniz. Büromuz Siber Suçlar alanında hukuki danışmanlık ve dava takibi hizmeti sunmaktadır.

Bu internet sitesinde yer alan içerikler yalnızca genel bilgilendirme amacı taşır; hukuki görüş, tavsiye veya avukatlık hizmeti niteliğinde değildir. Her uyuşmazlık kendi somut koşulları çerçevesinde değerlendirilmelidir. Site üzerinden iletilen mesajlar avukat–müvekkil ilişkisi doğurmaz. Bu internet sitesi, Türkiye Barolar Birliği Reklam Yasağı Yönetmeliği hükümleri gözetilerek yalnızca bilgilendirme amacıyla hazırlanmıştır.