Karabük KVKK Uzmanı
KVKK Tarafından Verilen İdari Para Cezası Hakkında AYM Kararı

Anayasa Mahkemesi 12.10.2023 tarihinde verdiği M.I.I. Kararıyla, KVKK’nin mülkiyet hakkı(Anayasa m. 35) ihlali ettiğine karar vermiştir. Bu sebeple, karar “KVKK Tarafından Verilen İdari Para Cezası Kararı” adıyla medyada yankı uyandırmıştır. Bu yazımızda, AYM’nin belirtilen KVKK Kararı ile ilgili dava özetine, karar sonuçlarına ve değerlendirmesine odaklanacağız.

Geçmişteki makul sürede yargılanma hakkına ilişkin AYM kararı hakkındaki inceleme yazımız okumak için tıklayınız.

 

Karar Özeti

KVKK Tarafından Verilen İdari Para Cezası Kararının özeti kapsamında şu kısmalara değineceğiz.

  • Başvurunun Konusu
  • Olayın Özeti
  • Başvuranın İddiası
  • Başvuru Öncesi Süreç
  • AYM Değerlendirmesi
  • Karar

 

Başvurunun Konusu

Başvuru, KVKK’nin verdiği idari para cezasının mülkiyet hakkını ihlal ettiği iddiasına ilişkindir.

 

Olayın Özeti

Başvurucu, merkezi yurt dışında bulunan ve farklı ülkelerde oteller işleten bir holding şirketidir. 2016 yılında ise, başka bir konaklama şirketini devralmıştır. Ancak, 08.09.2018 tarihinde devraldığı konaklama şirketinin konuk rezervasyon veri tabanında şüpheli işlemler tespit edilmiştir. Yapılan incelemeler sonucunda ise, 19.11.2018 tarihinde yetkisiz bir kişinin bu verilere eriştiği teyit edilmiştir. Başvurucu, konuyla ilgili olarak 30.11.2018 tarihinde bir basın açıklaması yapmıştır. Ayrıca; web sitesinde bilgi sağlamış ve etkilenen kişilere nasıl korunabilecekleri konusunda tavsiyelerde bulunmuştur. 3.12.2018 tarihinde şirket KVKK’ye veri ihlali bildiriminde bulunmuştur. Ayrıca; şirket, ihlal ile çalınan verilerin niteliği ve büyüklüğü hakkında detaylı bilgiler vermiştir.

KVKK, 05.12.2018 tarihinde şu hususlar hakkında başvurucudan bilgi istenmiştir:

  • İhlalin Türkiye’de yerleşik vatandaşların etkilenip etkilenmediği
  • İhlalle ilgili çalışma detayları

 

Başvurucu, 28.32019 tarihli beyan dilekçesinde çeşitli açıklamalarda bulunmuştur. 16.05.2019 tarihinde KVKK, mevzuat çerçevesinde şu gerekçeler ile toplam 1.450.000 TL idari para cezasına çarptırılmıştır:

  • Veri güvenliğini için gerekli tedbirleri almadığı
  • İhlali en kısa sürede bildirmediği

 

Bu karar 12.7.2019 tarihinde başvurucuya tebliğ edilmiştir.

 

Başvuru Öncesi Süreç

Başvurucu, 26.7.2019 tarihinde idari para cezasının kaldırılması talebiyle itiraz etmiştir. Mahkeme; başvurucunun itirazını inceleyerek, 23.12.2019 tarihli kararıyla idari yaptırım kararına yapılan başvuruyu reddetmiştir. Mahkeme, idarece düzenlenen tutanak ile eylemin sabit olduğunu belirtmiştir. Bu sebeple, hakkındaki idari yaptırımın yasa ve usule uygun olduğuna kanaat getirmiştir. Böylece;  itirazın reddine karar vermiştir. Başvurucu, bu karara karşı 23.12.2019 tarihli itirazda bulunmuştur. Ancak, itirazı Mahkemenin 09.01.2020 tarihli kararıyla kesin olarak reddedilmiştir. Başvurucu, nihai karardan 21.01.2020 tarihinde haberdar olmuş ve 19.02.2020 tarihinde bireysel başvuru yapmıştır.

 

Başvuranın İddiası

Başvurucu, idari para cezasının mülkiyet hakkını ihlal ettiğini iddia etmiştir. Şu hususları öne sürmüştür:

  • Veri ihlalinin yaşandığı konaklama şirketinin veri sorumlusu olarak kendisinin kabul edilmemesi gerektiğini
  • Fiilin gerçekleştiği tarihten sonra yürürlüğe giren KVKK’nin uygulanmasının kanunların geriye yürümezliği ilkesine aykırı olduğunu,
  • İdari para cezasına ilişkin KVKK kararının usulüne uygun biçimde tebliğ edilmediğini,
  • KVKK kararının yeterli gerekçe içermediğini,
  • İlk derece mahkemesi tarafından yeterli ve gerekli inceleme yapılmaksızın itirazın reddine karar verildiğini,
  • Cevap dilekçesinin kendisine tebliğ edilmediğini,
  • Tüm teknik ve idari tedbirlerin alındığını, 
  • İhlalin kısa bir sürede tespit edilip bildirildiğini,
  • KVKK’de bu yönde kısıtlayıcı bir süre bulunmadığını ve bu hususun derece mahkemeleri tarafından gözetilmediğini,
  • En üst hadden idari para cezası uygulanmasının orantılı olmadığını,

 

AYM Değerlendirmesi

KVKK kapsamında; veri sorumlusunun görevleri şunlardır:

  • Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek
  • Kişisel verilere hukuka aykırı olarak erişilmesini önlemek
  • Kişisel verilerin muhafazasını sağlamak

 

Bu sebeple, veri sorumlusu gerekli her türlü teknik ve idari tedbirleri almak zorundadır. Bu yükümlülük, veri güvenliğinin sağlanması amacıyla idarenin takdir yetkisi kapsamındadır.

Somut olayda, başvurucu şirketin devraldığı bir konaklama şirketinde veri ihlali meydan gelmiştir. Bu sebeple, KVKK kapsamında idari para cezasına çarptırılmıştır. Başvurucu, veri sorumlusu olarak kendilerinin değil, devralınan şirketin kabul edilmesi gerektiğini belirtmiştir. Ayrıca, bildirim yükümlülüğünü yerine getirdiğini ve kusurunun bulunmadığını vurgulamıştır.

Son olarak; idari para cezasının konusunda şu iddialarda bulunmuştur:

  • Zaman bakımından uygulanabilir olmadığı
  • Muhatabının olmadığı
  • Ölçülü olmadığı

 

Anayasa Mahkemesi, başvurucunun iddialarının yargılama sürecinin bütününü etkileyen önemli ve karşılanması gereken iddialar olduğu sonucuna varmıştır. Başvurucunun bu itirazları hakkında sulh ceza hâkimliği tarafından hiçbir değerlendirme yapılmadığını tespit etmiştir. Bu sebeple, mülkiyet hakkının korunmasına yönelik usule ilişkin güvencelerin somut olayda yerine getirilmediği sonucuna varmıştır.

 

Karar

AYM, yukarıda belirttiğimiz değerlendirmeler neticesinde, mülkiyet hakkının ihlal edildiğine karar vermiştir. (Anayasa m. 35) Ayrıca; hak ihlalinin sonuçlarının ortadan kaldırılması için yeniden yargılama yapılmasında hukuki yarar bulunmaktadır. Bu sebeple; AYM;  ihlal sonucuna ulaştıran sebepleri gideren bir yargılamanın yapılması için, kararı ilgili Sulh Ceza Hakimliği’ne gönderdi.

 

AYM Neden İhlal Kararı Verdi?

Mahkeme, söz ihlal kararında mülkiyet hakkının ihlalini şu gerekçelere dayandırmıştır:

 

İdarenin Takdir Sınırını Aşması

Veri güvenliğinin sağlanması amacıyla alınacak tedbirler konusunda, idareler belirli bir takdir yetkisine sahiptir. Ancak, bu takdir yetkisi sınırsız değildir. Seçilen tedbirin, ulaşılmak istenen amaca nazaran bariz bir biçimde ağırlaştırması durumunda, AYM müdahalenin gerekli olmadığı sonucuna varabilir. AYM’ye idarenin yapacağı denetim, seçilen tedbirin isabet derecesine değil, müdahalenin hak ve özgürlükler üzerindeki ağırlığına odaklanır. Bu bağlamda, veri güvenliğini sağlamak için uygun güvenlik düzeyini temin etmeye yönelik teknik ve idari tedbirlerin uygulanması, idarenin takdir yetkisi kapsamındadır. KVKK’nin idari para cezası uygulamasındaki takdiri, veri güvenliği için uygun güvenlik düzeyinin temin edilememesi durumu ile sınırlıdır. Böylece, idari para cezası veri güvenliği yükümlülüğünün ihlali durumunda elverişli bir araç haline gelmektedir.

 

Mahkemenin KVKK Kararına İlişkin İtiraz İddialarını Değerlendirmemesi

Başvurucu, ilk derece mahkemelerinde şu iddialarda bulunmuştur:

  • KVKK kapsamında; veri sorumlusu olarak değil, veri ihlalinin yaşandığı konaklama
    şirketinin sorumlu olarak kabul edilmesi gerektiği,
  • KVKK kararının usule aykırı ve gerekçesiz olduğu,
  • İdari para cezasının zaman bakımından uygulanamaz olduğu,
  • Muhatabının kendisi olmadığı,
  • Cezanın şahsiliği ilkesine  aykırı olduğu,
  • Kısa sürede bildirim yükümlülüğünü yerine getirdiği,
  • Süre hakkındaki kanuni belirsizliğin aleyhe yorumlandığı,
  • Kusur sorumluluğunun esas olduğu,
  • Tüm tedbirleri aldığı halde ceza verilmesinin hukuka aykırı olduğu

 

Ancak, bu itirazlara ilişkin olarak İlk Derece Mahkemeleri herhangi bir değerlendirme yapmamıştır. Halbuki, adil yargılanma hakkı kapsamında (Anayasa m.36) yargı mercileri iddiaları dikkate almalı ve değerlendirmelidir.

 

AYM KVKK Tarafından Verilen İdari Para Cezası İhlal Kararının Sonuçları Nedir?

Bu kararın davalar, kişiler ve mülkiyet hakkı açısından bazı sonuçlar doğurması söz konusudur.

 

Davalar Açısından Sonuçları Nedir?

AYM ihlal kararlarının etkili bir şekilde uygulanması bireysel başvurunun amaçlarından biridir. Bu sebeple; ihlal kararlarının amacının gerçekleşmesi için, temel ilke ve esasların dikkate alınarak, ihlale sebebinin kaldırılmasını gerekir. Bu noktada, idareye, yargıya ve yasama organına büyük sorumluluklar düşer.  Söz konusu karar kapsamında; ihlalin kaynağına olan organ olan KVVK ve ilk derece mahkemeleri ihlale sebep olan durumları ortadan kaldırmak için çaba sarf etmelidir. Ayrıca, bu çabaların sadece mevcut mağduriyetleri gidermekle kalmayıp; aynı zamanda, yeni ihlallerin önlenmesine yönelik olmalıdır. Bu sebeple; KVVK ve ilk derece mahkemeleri, benzer konuda karar verirken söz konusu AYM kararını dikkate almalıdır.

Aynı dosya veya benzer konudaki kesinleşmiş davalar açısından, ihlal kararı geriye dönük uygulanamamakta ve yeniden yargılama yoluna gidilememektedir. Maalesef yerel mahkemeler bu konuda, oldukça dar yorum yapmaktadır. Bu sebeple; bireysel başvurunun sadece bireysel başvuru yapanlar için yeniden yargılama hakkı doğurduğuna, başvuru yapmayan kişileri etkilemeyeceğine karar vermektedirler

 

Kişiler Açısından Sonuçları Nedir?

AYM’nin ihlal kararı, KVKK tarafından gereken önlemleri almasına rağmen idari para cezasına hükmedilen kişiler açısından bir emsal teşkil edecektir. Ayrıca; diğer idari kurumlar açısında da idari para cezasını ölçülülük sınırı oluşturacaktır.

 

Mülkiyet Hakkı Açısından Sonuçları Nedir?

AYM’nin ihlal kararı, mülkiyet hakkı güçlendirecektir. Zira, KVKK ve benzer idari kuruluşlar açısından idari para cezalarında mülkiye hakkının sınırlarını daha özenli bir şekilde gözetmesine sebep olacaktır.

 

AYM KVKK Tarafından Verilen İdari Para Cezasına İlişkin İhlal Kararının Değerlendirmesi

İhlal kararında; kişisel verilerin korunması ile veri güvenliğinin ayrı kavramlar olduğu, bu iki alanın farklı yönleri vurgulanmıştır. Böylece; kişisel verilerin işlenmesi sırasında temel hak ve özgürlüklerin korunması ile ilgilenen bir perspektifin yanı sıra, veri güvenliği ise verilerin bizzat kendisinin korunması için alınması gereken teknik ve idari tedbirleri içermektedir. AYM’nin söz konusu değerlendirmesi, kişiler KVVK’dan doğan sorumluluğunun sınırlarının çizilmesi açısından önemlidir.

Diğer taraftan; Türkiye’de kişisel verilerin korunması, KVKK tarafından yürütülmekte olup, bu kurul tarafından belirlenen idari para cezalarıyla ihlallerin caydırılması amaçlanır. Ancak, kurulun idari para cezalarına karşı yargı yolundaki eksiklikler, bu cezaların etkin bir şekilde denetlenmesini zorlaştırmaktadır. Anayasa Mahkemesi’nin bu yönde verdiği destek, mevcut sistemdeki aksaklıkların göstergesidir.

Adalet Bakanlığı’nın “İnsan Hakları Eylem Planı” ve beklenen mevzuat değişiklikleri, bu denetim eksikliğini gidermeyi amaçlamaktadır. Ancak, idari para cezalarının belirlenmesinde etkili olacak faktörlerin şeffaf bir şekilde düzenlenmesi ve bu cezaların öngörülebilir hale getirilmesi önemlidir. Ayrıca, caydırıcılık amacıyla geniş tutulan makas aralığının, ihlallerin önlenmesi ve şeffaflığın sağlanması amacına hizmet etmediği belirtilmiştir.

Bu bağlamda, idari para cezalarını denetleyecek bir mekanizmanın oluşturulması ve bu mekanizmanın şeffaflık ilkesine uygun bir şekilde işlemesi, mevcut sistemin iyileştirilmesine katkı sağlayabilir. Aksi takdirde, idari para cezalarına ilişkin kararların bireysel başvuru yoluyla Anayasa Mahkemesi’ne taşınması kaçınılmaz olacaktır. Bu durum, kişisel veri ihlalleriyle mücadelede daha etkili bir hukuki çerçeve oluşturulması ihtiyacını ortaya koymaktadır.

 

Başvuruya Konu KVKK Kararı

KVKK, 2019/143 K. sayılı kararı; 

“ … – 6698 sayılı Kişisel Verilerin Korunması Kanununun (Kanun) 12 nci maddesinin (1) numaralı fıkrası çerçevesinde veri güvenliğini sağlamaya yönelik gerekli teknik ve idari ve tedbirleri almayan Şirket hakkında Kanunun 18 nci maddesinin (1) numaralı fıkrasının (b) bendi uyarınca 1.100.000 TL,

– Şirket tarafından 08.09.2018 tarihinde tespit edilen ihlale ilişkin Kuruma 03.12.2018 tarihinde bildirim yapılmasının, ihlalden etkilenen kişilere ise 30.11.2018 tarihinden sonra bildirimde bulunulmaya başlanmasının, Kanunun 12 nci maddesinin (5) numaralı fıkrasında yer verilen “en kısa sürede” bildirimde bulunma yükümlülüğüne aykırılık teşkil etmesi nedeniyle, Kanunun 18 nci maddesinin (1) numaralı fıkrasının (b) bendi uyarınca Şirket hakkında 350.000 TL, olmak üzere toplam 1.450.000 TL idari para cezası uygulanmasına, karar verilmiştir.” şeklindedir.

 

Stj. Av. Zeynep ÜRÜŞAN

 

İlgili Makaleler:

Kişisel Verilerin Korunması Hukuku

Tag :

Sosyal Medyada Paylaş

Bir yanıt yazın

E-posta adresiniz yayınlanmayacak. Gerekli alanlar * ile işaretlenmişlerdir

Son Eklenenler