TÜRKİYE CUMHURİYETİ ANAYASA MAHKEMESİ GENEL KURUL KARAR
M.I.I. BAŞVURUSU (Başvuru Numarası: 2020/7518) Karar Tarihi: 12/10/2023 R.G. Tarih ve Sayı: 15/12/2023-32400
GENEL KURUL KARAR GİZLİLİK TALEBİ KABUL
Başkan: Zühtü ARSLAN Başkanvekili: Hasan Tahsin GÖKCAN Başkanvekili: Kadir ÖZKAYA Üyeler: Engin YILDIRIM, Muammer TOPAL, M. Emin KUZ, Rıdvan GÜLEÇ, Yusuf Şevki HAKYEMEZ, Yıldız SEFERİNOĞLU, Selahaddin MENTEŞ, Basri BAĞCI, İrfan FİDAN, Kenan YAŞAR, Muhterem İNCE Raportör: Mehmet ALTUNDİŞ Başvurucu: M.I.I. Vekili: Av. Deniz TUNCEL
I. BAŞVURUNUN KONUSU
1. Başvuru, veri güvenliğini sağlamaya yönelik gerekli teknik ve idari tedbirlerin alınmadığından bahisle Kişisel Verileri Koruma Kurulu tarafından uygulanan idari para cezası nedeniyle mülkiyet hakkının ihlal edildiği iddiasına ilişkindir.
II. BAŞVURU SÜRECİ
2. Başvuru 19/2/2020 tarihinde yapılmıştır. 3. Başvuru, başvuru formu ve eklerinin idari yönden yapılan ön incelemesinden sonra Komisyona sunulmuştur. 4. Komisyonca başvurunun kabul edilebilirlik incelemesinin Bölüm tarafından yapılmasına karar verilmiştir. 5. Birinci Bölüm başvurunun Genel Kurul tarafından incelenmesine karar vermiştir. 6. Başvuru belgelerinin bir örneği bilgi için Adalet Bakanlığına gönderilmiştir. Bakanlık, görüşünü bildirmiştir.
III. OLAY VE OLGULAR
7. Başvuru formu ve eklerinde ifade edildiği şekliyle ilgili olaylar özetle şöyledir: 8. Başvurucu; merkezi yurt dışında bulunan, farklı ülkelerde oteller işleten, otellere franchise hizmeti sağlayan ve bağlı şirketleri aracılığıyla devre mülklere lisans temin eden holding şirketi konumundadır. 9. Başvurucu Şirket bir başka konaklama şirketini 2016 yılında devralmıştır. 10. Başvurucu 8/9/2018 tarihinde devraldığı konaklama şirketinin konuk rezervasyon veri tabanındaki şüpheli işleme dair kurum içi güvenlik aracından bir uyarı almıştır. Yapılan incelemeler sonucunda 19/11/2018 tarihinde, bu şirketin konuk rezervasyon veri tabanına yetkisiz üçüncü bir kişinin eriştiği bilgisi teyit edilmiştir. 11. Başvurucu 30/11/2018 tarihinde bir basın açıklaması yayımlamış, konuya dair bir web sitesini erişime açarak olaya ilişkin bilgi sağlamış ve ilgili kişilerin kendilerini nasıl koruyabileceklerine dair tavsiyelerde bulunmuştur. 12. Başvurucu 3/12/2018 tarihinde Kişisel Verileri Koruma Kurumuna Türk vatandaşlarını ilgilendiren güvenlik olayı hakkında veri ihlali bildiriminde bulunmuştur. Bu bildirimde Şirket özetle; 500 milyon müşteri verisinin veri ihlali nedeniyle kopyalandığını, veri tabanının tutulduğu şirketin ağına Temmuz 2014'ten beri yetkisiz erişim olduğunu ve misafir veri tabanına yetkisiz erişimin 8/9/2018'de tespit edildiğini, 500 milyon müşteriden yaklaşık 327 milyonunun kişisel verilerinin çalındığını ifade etmiştir. 13. Kurul 5/12/2018 tarihli kararıyla, devralınan konaklama şirketinin veri ağının güvenliği için yeterli önlemlerin alınmaması sonucunda gerçekleşen ihlalle ilgili olarak Türkiye'de yerleşik olan vatandaşların bu ihlalden etkilenip etkilenmediği hususunda başvurucudan bilgi istenmesine karar verilmiştir. 14. Başvurucu, sunduğu 28/3/2019 tarihli beyan dilekçesinde özetle; yaklaşık 383 milyon müşteri kaydının olduğunu, bunlardan yaklaşık 1.24 milyonunda bölge/ülke adresi olarak Türkiye'nin belirtildiğini, devralınan konaklama şirketinin veri sorumlusu olarak kabul edilmesi gerektiğini beyan etmiştir. 15. Kurul tarafından 16/5/2019 tarihinde başvurucu hakkında 6698 sayılı KVKK'nın 12. maddesi çerçevesinde veri güvenliğini sağlamaya yönelik gerekli teknik ve idari tedbirleri almadığından 1.100.000 TL ve aynı Kanun'un 12. maddesinin (5) numaralı fıkrasında yer alan ihlalin en kısa sürede bildirilmesi yükümlülüğüne uymadığından 350.000 TL olmak üzere toplam 1.450.000 TL idari para cezası uygulanmasına karar verilmiştir. 16. Başvurucu 26/7/2019 tarihinde idari para cezasının kaldırılması talebiyle itiraz etmiştir. 17-19. İstanbul Anadolu 1. Sulh Ceza Hâkimliği ve İstanbul Anadolu 2. Sulh Ceza Hâkimliği kararları ile itirazlar reddedilmiştir. 20. Başvurucu, nihai karardan 21/1/2020 tarihinde haberdar olmuş; 19/2/2020 tarihinde bireysel başvuru yapmıştır.
IV. İLGİLİ HUKUK (6698 sayılı Kanun maddeleri ve uluslararası mevzuat açıklanmıştır)
V. İNCELEME VE GEREKÇE
A. Başvurucunun İddiaları ve Bakanlık Görüşü 37. Başvurucu; veri ihlalinin yaşandığı konaklama şirketinin veri sorumlusu olarak kabul edilmesi gerektiğini, idari para cezalarının muhatabının kendisi olmadığını, kabahat olduğu iddia edilen fiile gerçekleştiği tarihten sonra yürürlüğe giren 6698 sayılı Kanun'un uygulanmasının kanunların geriye yürümezliği ilkesine aykırılık teşkil ettiğini, idari para cezasına ilişkin Kurul kararının usulüne uygun biçimde tebliğ edilmediğini, yeterli gerekçe içermediğini ileri sürmüştür.
B. Değerlendirme 1. Kabul Edilebilirlik Yönünden 41. Mülkiyet hakkının ihlal edildiğine ilişkin iddianın kabul edilebilir olduğuna karar verilmesi gerekir.
2. Esas Yönünden 63. Somut başvuruda başvurucunun itirazları hakkında Hâkimlik tarafından hiçbir değerlendirme yapılmadığı görülmüştür. Bu sebeple mülkiyet hakkının korunmasına yönelik usule ilişkin güvencelerin somut olayda yerine getirilmediği sonucuna varılmıştır. 64. Açıklanan gerekçelerle Anayasa'nın 35. maddesinde güvence altına alınan mülkiyet hakkının ihlal edildiğine karar verilmesi gerekir.
VI. HÜKÜM
A. Kamuya açık belgelerde başvurucunun kimliğinin gizli tutulması talebinin KABULÜNE, B. Mülkiyet hakkının ihlal edildiğine ilişkin iddianın KABUL EDİLEBİLİR OLDUĞUNA, C. Anayasa'nın 35. maddesinde güvence altına alınan mülkiyet hakkının İHLAL EDİLDİĞİNE, D. Kararın bir örneğinin mülkiyet hakkının ihlalinin sonuçlarının ortadan kaldırılması için yeniden yargılama yapılmak üzere İstanbul Anadolu 1. Sulh Ceza Hâkimliğine GÖNDERİLMESİNE, E. 446,90 TL harç ve 18.800 TL vekâlet ücretinden oluşan toplam 19.246,90 TL yargılama giderinin başvurucuya ÖDENMESİNE, F. Ödemenin kararın tebliğini takiben başvurucunun Hazine ve Maliye Bakanlığına başvuru tarihinden itibaren dört ay içinde yapılmasına, ödemede gecikme olması hâlinde bu sürenin sona erdiği tarihten ödeme tarihine kadar geçen süre için yasal FAİZ UYGULANMASINA, G. Kararın bir örneğinin Adalet Bakanlığına GÖNDERİLMESİNE 12/10/2023 tarihinde OYBİRLİĞİYLE karar verildi.