Yargıtay 7. Ceza Dairesi 2023/20193 E. 2026/5356 K.

HÂKİMLİĞİ : İstanbul 2. Sulh Ceza Hâkimliği SAYISI : 2023/4262 Değişik iş KABAHAT : 6698 sayılı Kişisel Verilerin Korunması Kanunu'na muhalefet İNCELEME KONUSU KARAR : İtirazın reddi TEBLİĞNAME GÖRÜŞÜ : İlgili kararın kanun yararına bozulması

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12/1-c ve 18/1-b maddeleri uyarınca kişisel verilerin muhafazasını sağlamak amacıyla gereken tedbirleri almamak eyleminden dolayı kabahatli ... hakkında 400.000,00 Türk lirası idarî para cezası uygulanmasına dair ... Kişisel Verileri Koruma Kurulu'nun 08.09.2022 tarihli ve 2022/952 sayılı idarî yaptırım kararına yönelik başvurunun reddine ilişkin İstanbul 1. Sulh Ceza Hâkimliğinin 20.03.2023 tarihli ve 2022/8425 değişik iş sayılı kararına yönelik itirazların İstanbul 2. Sulh Ceza Hâkimliğinin 04.04.2023 tarihli ve 2023/4262 değişik iş sayılı kararıyla reddine karar verildiği anlaşılmıştır.

Adalet Bakanlığının, 5271 sayılı Ceza Muhakemesi Kanunu’nun (5271 sayılı Kanun) 309/1. maddesi uyarınca, 30.09.2023 tarihli evrakı ile kanun yararına bozma istemine istinaden düzenlenen, Yargıtay Cumhuriyet Başsavcılığının, 04.12.2023 tarihli ve KYB-2023/116607 sayılı Tebliğnamesi ile dava dosyası Daireye gönderilmekle, gereği düşünüldü:

I. İSTEM Yargıtay Cumhuriyet Başsavcılığının, 04.12.2023 tarihli ve KYB-2023/116607 sayılı kanun yararına bozma isteminin; “...6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesinde ''(1) Veri sorumlusu; a) Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, b) Kişisel verilere hukuka aykırı olarak erişilmesini önlemek, c) Kişisel verilerin muhafazasını sağlamak, amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır. (2) Veri sorumlusu, kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde, birinci fıkrada belirtilen tedbirlerin alınması hususunda bu kişilerle birlikte müştereken sorumludur. (3) Veri sorumlusu, kendi kurum veya kuruluşunda, bu Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptırmak zorundadır.'' şeklinde, Anılan Kanun'un 18/1-b maddesinde ''(1) Bu Kanunun; b) 12 nci maddesinde öngörülen veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler hakkında 15.000 Türk lirasından 1.000.000 Türk lirasına kadar, ...idari para cezası verilir.'' şeklinde ve Anılan Kanun'un 12/5. maddesinde ''(5) İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekmesi hâlinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir.'' şeklinde yer alan düzenlemeler uyarınca, Kabahatli ... hakkında kkişisel verilerin muhafazasını sağlamak amacıyla gereken tedbirleri almamak eylemi nedeniyle Kişisel Verileri Koruma Kurumu’nun 08/09/2022 tarihli kararı ile idari para cezasına hükmedilmiş ve anılan idari para cezasına yönelik başvuru İstanbul 1. Sulh Ceza Hâkimliğinin 20/03/2023 tarihli kararı reddedilmiş ise de, Somut olayda, kabahatli şirketin sistemlerine 31/07/2020 tarihinde hedefli bir fidye saldırısı yapılması nedeniyle veri ihlalinin gerçekleştiği, ihlalden 650 kabahatli şirket çalışanı ve müşterilerin de etkilenmiş olabileceğinin tespit edilerek, kabahatli şirketin güvenlik açıklarının kapatılmasında gerekli dikkat ve özeni göstermediğinden bahisle etkilendiği ve kişisel verilerin muhafazasını sağlamak amacıyla gereken tedbirleri almamak eyleminden hakkında anıla düzenlemeler uyarınca idari para cezasına hükmedildiği anlaşılmış ise de, kabahatli şirket tarafından 31/07/2020 tarihinde gerçekleştirilen saldırı nedeniyle 6698 sayılı Kanun'un 12/5. maddesinde uyarınca 02/08/2020 tarihinde veri ihlali bildiriminin yapıldığı ve Kurul tarafından talep edilen bilgi ve belgelerin süresi içerisinde gönderildiği, kabahatli şirket tarafından kullanılan sistemlerin de uyarı vermesi üzerine ihlalin meydana geldiği gün itibariyle tüm sistemlere internet erişiminin durdurularak kişilerin ihlalden etkilenmelerinin önüne geçildiği anlaşılmakla, anılan gerekçe ile idari para cezasına yönelik başvurunun reddine dair karara karşı yapılan itirazın kabulü yerine yazılı şekilde reddine karar verilmesinde isabet görülmemişitir.' yönündeki gerekçeye dayandığı anlaşılmıştır.

II. GEREKÇE İstanbul 2. Sulh Ceza Hâkimliğinin 13.04.2023 tarihli ve 2023/5921 değişik iş sayılı tashih şerhine ilişkin kararının hukuki değerden yoksun olduğu anlaşılarak yapılan incelemede;

1.Başvurunun reddine ilişkin İstanbul 1. Sulh Ceza Hâkimliğinin 20.03.2023 tarihli ve 2022/8425 değişik iş sayılı kararına karşı, hem kabahatli vekili hem de idarî yaptırım kararını uygulayan kurum vekilince ayrı ayrı itirazda bulunulduğu, kabahatli vekilince yapılan itirazın işin esasına yönelik olduğu, kurum vekilinin itirazının ise vekâlet ücreti talebine hasredildiğinin anlaşılmasına karşın, itirazları inceleyen İstanbul 2. Sulh Ceza Hâkimliğinin 04.04.2023 tarihli ve 2023/4262 değişik iş sayılı kararında itirazların niteliği karıştırılarak; kurum vekilinin itirazının kapsamı genişletilerek işin esası bakımından, kabahatli vekilinin itirazının ise yalnızca vekâlet ücretine yönelik olarak incelenip reddedilmesi,

2. Kabahatli vekili tarafından ileri sürülen itirazlar ile bu itirazlara dayanak olarak gösterilen ve veri güvenliğine ilişkin olarak uygun güvenlik düzeyini temin etmeye yönelik her türlü teknik ve idarî tedbirlerin alındığına ilişkin savunmalar kapsamında dosyaya sunulan belgeler bakımından, uzman bilirkişi tarafından yapılacak inceleme neticesinde ... Kişisel Verileri Koruma Kurulu'nun 08.09.2022 tarihli ve 2022/952 sayılı idarî yaptırım kararında yer verilen tespitlerin yerinde olup olmadığı ile kabahatli tarafından, uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idarî tedbirlerin alınıp alınmadığı hususunda hazırlanacak rapora göre kabahatlinin hukuki durumunun tayin ve takdir edilmesi gerekip gerekmeyeceği,

Hususlarında da kanun yararına bozma isteminde bulunup bulunulmayacağına ilişkin olarak Adalet Bakanlığından görüş istenilmesine karar vermek gerekmiştir.

III. KARAR Gerekçe bölümünde tespit edilen hususlar yönünden kanun yararına bozma isteminde bulunulup bulunulmayacağının takdiri için dava dosyasının, Adalet Bakanlığına sunulmak üzere Yargıtay Cumhuriyet Başsavcılığına TEVDİİNE, oy birliğiyle 04.05.2026 tarihinde karar verildi.