Anayasa Mahkemesinin 12.10.2023 Tarihli Kişisel Verileri Koruma Kurulu Tarafından Uygulanan İdari Para Cezası Nedeniyle Mülkiyet Hakkının İhlaline İlişkin Karar

Anayasa Mahkemesi’nin (“AYM”) aldığı Karar’a konu başvuruda; Başvurucu’nun 2016 yılında devraldığı şirketin veri tabanındaki şüpheli işlem üzerine yapılan incelemeler sonucunda 19.11.2018 tarihinde, bu şirketin konuk rezervasyon veri tabanına yetkisiz üçüncü bir kişinin eriştiği bilgisine ulaşılmıştır. Başvurucu tarafından veri ihlali bildiriminde bulunulmuş olsa da, Kurul veri ihlalinin ilk gerçekleştiği tarihin 2014 yılı olduğunu belirterek veri ihlalinin bu kadar uzun sürede tespit edilememesinin ciddi bir güvenlik açığı olduğunu değerlendirmiştir. Veri ihlali devirden önce gerçekleşmiş olsa da Kurul tarafından Başvurucu’nun gerekli denetimleri yapmadığı ve alınan teknik ve idari tedbirlerin yetersiz olduğuna karar verilmiştir.

Somut olayda tarafların iddialarını ve mülkiyet hakkının ihlal edilip edilmediğini anlayabilmek için başvurucu hakkında bazı bilgileri vurgulamak gerekmektedir.

Başvurucu 2016 yılında bir konaklama şirketini devralmıştır ve 19.11.2018 tarihinde devraldığı konaklama şirketinin veri tabanındaki şüpheli işleme dair bir uyarı almıştır. Başvurucu 30.11.2018 tarihinde bir basın açıklaması yayımlamış ve ilgili kişilerin kendilerini nasıl koruyabileceklerine dair tavsiyelerde bulunmuş, 03.12.2018 tarihinde ise Kişisel Verileri Koruma Kurumuna (“Kurum”) güvenlik olayı hakkında veri ihlali bildiriminde bulunmuştur. Yapılan bildirimin değerlendirilmesi neticesinde Kurul tarafından 16.05.2019 tarihinde Başvurucu hakkında veri güvenliğini sağlamaya yönelik gerekli teknik ve idari tedbirleri almadığından 1.100.000 TL ve ihlalin en kısa sürede bildirilmesi yükümlülüğüne uymadığından 350.000 TL olmak üzere toplam 1.450.000 TL idari para cezası uygulanmasına karar verilmiştir.

AYM’nin yaptığı esastan incelemenin başında mülkiyet hakkının Anayasa'nın 35. maddesinde bir temel hak olarak güvence altına alınmış olduğu ve bu hakkın başkasının hakkına zarar vermemek ve yasaların koyduğu sınırlamalara uymak şartıyla malın serbestçe kullanması ve ondan tasarruf edilmesi haklarını kapsadığı tespit edilmiştir.

Ancak, Anayasa’nın 13. maddesinde açıkça ifade edildiği üzere, mülkiyet hakkı dokunulmaz ve sınırlandırılamaz mutlak bir hak değildir. Mülkiyet hakkı elbette anayasaya ve kanuna uygun, ölçülü ve elverişli şekilde, kamu yararı amacıyla olduğu sürece sınırlandırılabilecektir. Temel hak ve özgürlüklerin sınırlandırılmasındaki bu ölçütlerin somut olay nezdinde AYM tarafından değerlendirilmesi aşağıdaki gibidir;

Kanunilik Ölçütü

Anayasa'nın 35. maddesinin ikinci fıkrasında, mülkiyet hakkının ancak kamu yararı amacıyla kanunla sınırlanabileceği, öte yandan Anayasa'nın temel hak ve özgürlüklerin sınırlandırılmasına ilişkin genel ilkelerin ancak kanunla sınırlanabileceği belirtilmiştir. Başvuruya konu idari para cezasının 6698 sayılı Kanun'un 12. maddesine dayanılarak uygulandığı belirtilerek her ne kadar Başvurucu veri ihlalinin tespit edilip bildirilmesi yönünden 6698 sayılı Kanun'da kısıtlayıcı bir süre bulunmadığını, bu sebeple müdahalenin kanuni dayanağı olmadığını ileri sürdüyse de değerlendirmenin "Ölçülülük" başlığı altında yapılması gerektiğine hükmedilmiştir.

Meşru Amaç İlkesi

Başvurucuya uygulanan idari para cezasının dayanağı olan kanuni düzenlemelerle kişisel verilere hukuka aykırı olarak erişilmesini önlemek, kişisel verilerin muhafazasını sağlamak amacıyla uygun her türlü teknik ve idari tedbirlerin alınmasının amaçlandığı anlaşılmıştır. Veri sorumlularına veri güvenliğinin korunması için yükümlülükler getirilmesinin ve bu yükümlülüklerin ihlali hâlinde yaptırım uygulanmasının kamu yararını sağlamaya yönelik olduğunun açık olduğu belirtilmiştir.

Ölçülülük İlkesi

Anayasa'nın 13. maddesinde belirlenen ölçütlerden bir diğeri ölçülülük ilkesi olup, hukuk devleti ilkesinin bir parçasıdır. Hukuk devletinde hak ve özgürlüklerin sınırlandırılması istisnai bir yetki olduğundan bu yetki ancak durumun gerektirdiği ölçüde kullanılması şartıyla haklı bir temele oturabilir.

Ek olarak ölçülülük ilkesinin parçası olan elverişlilik, gereklilik ve orantılılık ilkeleri de AYM tarafından değerlendirilen kriterlerdir. Buna göre mülkiyet hakkına yapılan müdahalenin Anayasa'ya uygun olabilmesi için amacı gerçekleştirmeye elverişli olmasının yanında gerekli olması ve bireyin hakkı ile kamu yararı arasındaki dengeyi koruyan bir orantıda olması da gerekir.

İlkelerin Somut Olay Bazında Değerlendirilmesi

6698 sayılı Kanun kapsamında kamu makamlarına veri güvenliği için uygun güvenlik düzeyinin temin edilememesi durumunda idari para cezası uygulama yetkisi tanınmıştır. 6698 sayılı Kanun kapsamında veri güvenliğinin sağlanması amacıyla uygun güvenlik düzeyini temin etmeye yönelik yükümlülüğün ihlali hâlinde idari para cezası uygulanmasının elverişli bir araç olduğu anlaşılmaktadır.

Somut başvuruda Başvurucu öncelikle 6698 sayılı Kanun kapsamında veri sorumlusu olarak kendilerinin değil veri ihlalinin yaşandığı devralınan konaklama şirketinin kabul edilmesi gerektiğini iddia etmiştir. Başvurucu, sulh ceza hâkimliğine itiraz ederken Kurul tarafından verilen kararın usule aykırı olarak tesis edildiğini, hukuken gerekli ve yeterli bir gerekçe içermediğini, idari para cezasının zaman bakımından uygulanabilir olmadığını, idari para cezalarının muhatabının kendisi olmadığını, dolayısıyla idari para cezasının cezada şahsiliğe aykırı olduğunu, kısa sürede bildirim yükümlülüğünü yerine getirdiğini, mevzuattaki süreye dair belirsizliğin aleyhine yorumlandığını, kanunda süreyle ilgili bir belirleme olmadığını, sürenin ne olması gerektiğine ilişkin olarak Kurul tarafından verilen kararların somut olaydan sonra verildiğini, dolayısıyla somut olayda uygulanamayacağını, kişisel verilerin korunmasında kusur sorumluluğunun esas olduğunu, tüm tedbirleri almasına ve kusuru olmamasına rağmen ceza verilmesinin hukuka aykırı olduğunu, idari para cezasının ölçülülük ilkesine ve diğer cezaya konu edilen olaylar ile karşılaştırıldığında eşitlik ilkesine aykırı olduğunu belirtmiştir. Başvurucunun bu itirazları hakkında Hâkimlik tarafından hiçbir değerlendirme yapılmadığı görüldüğünden, AYM tarafından mülkiyet hakkının korunmasına yönelik usule ilişkin güvencelerin somut olayda yerine getirilmediği sonucuna varılmıştır.

Açıklanan gerekçelerle Anayasa’nın 35. maddesinde güvence altına alınan mülkiyet hakkının ihlal edildiğine karar verilmiştir.