Anayasa Mahkemesi (“AYM”), Kişisel Verileri Koruma Kurulu (“Kurul”) tarafından verilen idari para cezası kararına ilişkin önemli bir karar vererek Kurul kararlarının hukuken denetlenme mekanizması ve mercii tartışmalarını yeniden gündeme getirmiş oldu. AYM, veri güvenliğini sağlamaya yönelik gerekli teknik ve idari tedbirlerin alınmaması ile veri güvenliği ihlalininin en kısa sürede bildirmemesi nedeniyle idari para cezası uygulanmasının başvurucunun mal varlığında eksilmeye yol açtığı sebebiyle “mülkiyet hakkı” kapsamında inceleme yapmıştır.

Başvurucu, Sulh Ceza Hakimliği’ne itiraz ederken Kurul tarafından verilen idari para cezası kararının usule aykırı olarak tesis edildiğini, gerekli ve yeterli bir gerekçe içermediğini, cezanın zaman bakımından uygulanabilir olmadığını ve muhatabın kendisi olmadığını, kişisel verilerin korunmasında kusur sorumluluğun esas olduğunu, tüm tedbirleri almasına ve kusuru olmamasına rağmen ceza verilmesinin hukuka aykırı olduğunu, ölçülülük ilkesine ve diğer cezaya konu edilen olaylar ile karşılaştırıldığında eşitlik ilkesine aykırı olduğu iddialarına ilişkin hiçbir inceleme yapmayan Sulh Ceza Mahkemesi’nin denetim merci olmasında ortaya çıkan bir anayasaya aykırılık durumu söz konusudur. Eğerki bu değerlendirmeyi İdare Mahkemesi yapmış olsaydı veri güvenliğinin sağlanması amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbir yükümlülüğünün yerine getirilmesinin ve bunun ihlali halinde ölçülü bir yaptırım uygulanması konusunda inceleme yapacak ve böylelikle AYM kararına konu olan mülkiyet hakkı ihlali ortaya çıkmamış olacaktı.

Mülkiyet hakkı bakımından AYM, Sulh Ceza Hakimliği’ne itiraz edilmesi sonucunda itirazda bulunan Başvurucunun iddilarının değerlendirilmemesi ve verilen kararın gerekçesiz olması sebebiyle, Anayasanın 35. maddesinde güvence altına alınan mülkiyet hakkının ihlal edildiğine karar verilmiştir. Karara konu olayda aslında Kişisel verilerin korunması kanunu bakımından önemli yükümlülükler yerine getirilmiş olmasına rağmen yine de ceza yaptırımı uygulanmıştır.

Bu kapsamda kısaca olay örgüsünden bahsetmek gerekirse;

Başvurucu, merkezi yurt dışında bulunan, farklı ülkelerde oteller işleten, otellere franchise hizmeti sağlayan ve bağlı şirketleri aracılığıyla devre mülklere lisans temin eden holding şirketi konumundadır.2016 yılında devraldığı başka bir konaklama şirketinin 2014’ten beri bu şirketin konuk rezervasyon veri tabanına yetkisiz üçüncü bir kişinin eriştiği bilgisi teyit edilmiştir. Kurul, Türk vatandaşlarını ilgilendiren güvenlik olayı hakkında veri ihlali bildiriminde bulunmuştur

Kurul, bu güvenlik ihlalinin Türk vatandaşlarını etkileyip etkilemediğini değerlendirmek adına şirketten bilgi talep etmiş ve ihlalin kamuoyuna duyurulmasına karar vermiştir. Başvurucu, çalınan verilerin niteliği ve büyüklüğü karşısında verilerin tekilleştirilmesinin kolayca gerçekleştirilmediğini, geçen süre içinde saldırganın bu alandaki yetkinliği dikkate alındığında incelemenin ortaya çıkarabildiği bilgilerin sınırlı olduğunu, devralınan konaklama şirketinin veri sorumlusu olarak kabul edilmesi gerektiğini beyan etmiştir.

Kurul, yapılan inceleme sonucunda başvurucuya, gerekli güvenlik tedbirlerini almadığı ve ihlali bildirme yükümlülüğüne uymadığı gerekçesiyle toplam 1.450.000 TL idari para cezası uygulanmasına karar vermiştir.

Başvurucu, 6698 sayılı Kanun’un yürürlük tarihinden önceki olaylara uygulandığını, veri sorumlusu olarak kendisinin kabul edilemeyeceğini, Kurul kararının gerekçeli olmadığını, 6698 sayılı Kanun’da ihlal bildiriminin en kısa sürede yapılmasının düzenlendiğini, kısıtlayıcı bir süre öngörülmediğini, idari para cezasının en yüksek hadden verilmesinin ölçüsüz olduğunu ileri sürerek idari para cezasının kaldırılması talebiyle itiraz etmiştir.Sulh Ceza Hâkimliği idari yaptırım kararına yapılan itiraz başvurusunu reddetmiştir. Başvurucu, Hâkimliğin kararına itirazda bulunmuştur. İtiraz kesin olarak reddedilmiştir. Başvurucu ise son olarak bireysel başvuruda bulunmuştur.

AYM’nin değerlendirmesi:

Anayasa Mahkemesi idari para cezası uygulanmasıyla başvurucunun mal varlığında eksilmeye yol açıldığının kuşkusuz olduğunu, bu paranın başvurucu açısından mülk teşkil ettiği ifade etmiştir. Somut olayda 6698 sayılı Kanun kapsamında veri güvenliğini sağlamaya yönelik gerekli teknik ve idari tedbirleri almaması ile veri güvenliği ihlalini en kısa sürede bildirmemesi nedeniyle başvurucu hakkında idari para cezası uygulanmasının mülkiyet hakkına müdahale teşkil ettiğini vurgulamıştır. Müdahalenin varlığının kabul edilmesi ile beraber, müdahalenin ihlal oluşturup oluşturmadığı; kanunilik, meşru amaç ve ölçülülük ilkeleri açısından gözetilerek yapılması gerektiğini belirtmiştir.

AYM, somut olayda başvurucunun iddialarını ortaya koyduktan sonra bu iddialarının yargılama sürecinin bütününü etkileyen önemli ve karşılanması gereken iddialar olduğuna vurgu yapmıştır. Başvurucunun bu itirazları hakkında Hâkimlik tarafından hiçbir değerlendirme yapılmadığı açıkça ifade edilmiştir. Bu sebeple mülkiyet hakkının korunmasına yönelik usule ilişkin güvencelerin somut olayda yerine getirilmediği sonucuna varmıştır. Anayasa Mahkemesi açıklanan işbu gerekçelerle Anayasa’nın 35. maddesinde güvence altına alınan mülkiyet hakkının ihlal edildiğine ve yeniden yargılama yapılarak kararın Sulh Ceza Hakimliğine gönderilmesine karar vermiştir.

Sonuç ve Değerlendirme

Yukarıda bahsedilen hususlar çerçevesinde AYM’nin bahse konu kararı ile başvurucunun iddiaları, Sulh Ceza hakimliği tarafından değerlendirilmediğinden, mülkiyet hakkının korunmasına yönelik usule ilişkin güvencelerin somut olayda yerine getirilmediği sonucuna vararak Anayasa’nın 35. maddesinde güvence altına alınan mülkiyet hakkının ihlal edildiğine karar verilmiştir.

AYM, hukuka aykırılık iddialarının mahkeme tarafından etkili bir şekilde ele alınmasının temel hak ve özgürlüklere yapılan müdahalelerin orantılılığını sağlamada kritik bir rol oynadığını belirtmiştir. Bu bağlamda, idari para cezası kararlarına karşı başvurulan sulh ceza hakimliklerinin, uygun bir yargı mercii olmadığı ve idari yargı yoluna başvurmanın daha uygun olduğu ifade edilmiştir. Bu kararla tekrar gündeme gelen hukuken denetlenme mekanizması ve mercii tartışmaları kapsamında beklenen kanun değişikliği ile bu hususta denetimin idari yargıya bırakılması ve sadece ceza perspektifinden olmayan bir inceleme yapılarak kararların verilmesi beklenmektedir.