Anayasa Mahkemesi Veri Sorumlusuna Düzenlenen Para Cezasının Mülkiyet Hakkını İhlal Ettiğine Karar Verdi
Yazar: MGC LEGAL
15.12.2023 tarihinde T.C. Resmî Gazete’de yayımlanan başvuru konusu olayda başvurucu şirket merkezi yurt dışında bulunan, farklı oteller işleterek otellere “franchise” hizmeti sağlayan bir holding şirketi niteliğine haizdir. Başvurucu şirket, 2016 yılında devraldığı konaklama şirketinin rezervasyon veri tabanındaki şüpheli işleme dair kurum içi güvenlik aracından bir uyarı almış; ilgili uyarıdan sonraki süre diliminde işbu veri tabanına yetkisiz üçüncü kişi erişimi tespitinden sonra bu ihlalden etkilenen kişilere ve Kişisel Verilerin Korunması Kurul’una (Kurul) bildirimde bulunmuştur.
Kurul’a ihlal bildirimi kapsamında; 500 milyon müşterinin verisinin kopyalandığı, veri tabanına 2014 yılından itibaren yetkisiz erişim ile erişildiği, 327 milyon kişinin verilerinin çalındığı ve söz konusu verilerin posta adresleri, pasaport numaraları, ödeme kartları bilgileri olduğu bildirilmiştir. Başvurucu şirket ilgili bildirisinde, devralınan konaklama şirketinin veri sorumlusu sayılması gerektiği ve ihlal hakkında sınırlı bilgiye sahip olunduğunu iddia etmiştir.
Kurul, bildirimin değerlendirilmesi kapsamında devralınan konaklama şirketinin veri ağının güvenliği için yeterli önlemlerin alınması, Türkiye’de yerleşik vatandaşların ihlalden etkilenmesi, başvurucu şirketin çalışma detayları hususlarını göz önünde bulundurmuştur. Değerlendirme sonucunda, başvurucu şirketin devralınan şirketin veri tabanını korumak adına yeterli önlemleri alamadığından ve Türkiye’de yerleşik kişilerin etkilendiğinden bahisle başvurucu şirketin 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında veri sorumlusu sıfatına haiz olduğuna kanaat getirerek; kişisel verilere hukuka aykırı olarak erişilmesini önlemek adına uygun tedbirlerin alınmaması (KVKK madde 12/1) ve ihlalin en kısa sürede ilgililere bildirilmemesi (KVKK madde 12/5) gerekçesiyle başvurucu şirket hakkında hukuka aykırılık kararı vererek en üst hadden idari para cezası yaptırımının uygulanmasını öngörmüştür.
Başvurucu şirketin İstanbul Anadolu 1. Sulh Ceza Hakimliği’ne yürürlük tarihinden önceki olaylara uygulandığı, kendisinin veri sorumlusu olarak kabul edilemeyeceği, kararın gerekçeli olmadığı, en üst hadden verilen cezanın ölçüsüz olduğu ve ihlal bildiriminde Kanun’da kısıtlayıcı süre öngörülmediği yönünde idari para cezasının kaldırılması talebiyle itirazda bulunmuştur. Hakimlik, eylemin oluşturduğu kabahat nedeni ile idari yaptırım kararının yasa ve usule uygun olduğu yönündeki gerekçesiyle itirazın reddine karar vermiştir. Başvurucu şirket, bu karara İstanbul Anadolu 2. Sulh Ceza Hakimliği’ne başvurmak suretiyle itiraz bulunmuştur. İlgili itiraz aynı gerekçelerle reddolunmuştur.
Başvurucu şirket nihai karar akabinde Anayasa Mahkemesi’ne (AYM) bireysel başvuruda bulunmuştur. Anayasa Mahkemesi, KVKK kapsamında veri sorumlusu ve yükümlülüklerine, kişisel veri ihlalinin bildiriminin usul ve esaslarına göre verilerin güvenliği, ihlalin bildirimi ile idari para cezası kesilmesine dair mevzuatın olay kapsamında değerlendirilmesi gerektiğini belirtmiştir. Anayasa Mahkemesi değerlendirmesi sonucu, ilk derece mahkemelerince verilen kararlarda başvurucunun veri sorumlusunun kendisi sayılmaması ve yaptırımın ölçüsüzlüğü konularındaki talep ve iddialarına cevap verilmediğine kanaat getirmiş; ilgili idari para cezası uygulamasının başvurucu şirket mal varlığında eksilmeye yol açtığı ve bu sebeple mülkiyet hakkının ihlal edildiğini belirtmiştir. İhlal oluşturan müdahalenin varlığı, kanuniliği, meşru amacı, ölçülülüğü ve mülkün varlığı hususlarında yaptığı değerlendirme ve gerekçeler sonucu yeniden yargılama yapılmasına karar verilmiştir.
Hali hazırda devralmadan önce mevcut bir yetkisiz erişimin tespitinin güç olmasından kaynaklı olarak ilgili idari para cezalarının tavan bazlı uygulanması açıkça ölçülülük ilkesine aykırı olmakla beraber, Sulh Ceza Hakimliğine yapılan itirazların gerekçe sunulmaksızın reddedilmesine ilişkin olarak AYM’nin yaptığı değerlendirme ise bu itirazlara ilişkin verilen kararların nitelik kazanabilmesi açısında oldukça önemlidir.
