Yargıtay 7. Ceza Dairesi 2025/6580 E. 2026/4354 K.

HÂKİMLİĞİ : Ankara 7. Sulh Ceza Hâkimliği SAYISI : 2024/13060 Değişik İş KARAR : İtirazın reddi TEBLİĞNAME GÖRÜŞÜ : İlgili kararın kanun yararına bozulması

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 18/1-b maddesine muhalefet etmek eyleminden dolayı kabahatli ... hakkında 600.000,00 Türk lirası idarî para cezası uygulanmasına dair Kişisel Verileri Koruma Kurumu Başkanlığı Kişisel Verileri Koruma Kurulunun 20.12.2023 tarihli ve 2023/2158 sayılı idarî yaptırım kararına karşı yapılan başvurunun reddine ilişkin Ankara 6. Sulh Ceza Hâkimliğinin 11.11.2024 tarihli ve 2024/1899 Değişik İş sayılı kararına yönelik itirazın Ankara 7. Sulh Ceza Hâkimliğinin 19.12.2024 tarihli ve 2024/13060 Değişik İş sayılı kararıyla reddine karar verildiği anlaşılmıştır. Adalet Bakanlığının, 5271 sayılı Ceza Muhakemesi Kanunu'nun (5271 sayılı Kanun) 309/1. maddesi uyarınca, 26.11.2025 tarihli evrakı ile kanun yararına bozma istemine istinaden düzenlenen, Yargıtay Cumhuriyet Başsavcılığının, 15.12.2025 tarihli ve KYB-2025/140815 sayılı Tebliğnamesi ile dava dosyası Daireye gönderilmekle, gereği düşünüldü:

I. İSTEM Yargıtay Cumhuriyet Başsavcılığının, 15.12.2025 tarihli ve KYB-2025/140815 sayılı kanun yararına bozma isteminin; “...Dosya kapsamına göre, 1- 12.3.2024 tarihli ve 32487 sayılı Resmi Gazete'de yayımlanarak yürürlüğe giren 7499 sayılı Ceza Muhakemesi Kanunu ile Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun'un 35. maddesi ile 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 18. maddesine eklenen 3. fıkrada yer alan yasal düzenleme gereğince Kişisel Verileri Koruma Kurulunca verilen idari para cezalarına karşı idare mahkemelerinde dava açılabileceği, anılan yasal düzenlemenin 7499 sayılı Kanun'un 40. maddesi uyarınca 01.06.2024 tarihinde yürürlüğe girdiği, dolayısıyla inceleme konusu idari yaptırım kararı yönünden, itirazın değerlendirildiği tarih itibarıyla idare mahkemelerinin görevli olduğu gözetilmeden, 2- Kabule göre de; Somut olayda doktor olarak görev yapmakta olan kabahatlinin hastalarına ait verilerin siber saldırı yolu ile yetkisiz kişiler tarafından ele geçirilmesi eylemine ilişkin olarak Kişisel Verileri Koruma Kurumu tarafından yapılan inceleme neticesinde, kabahatli hakkında veri sorumlusu olarak, veri güvenliğini sağlamaya yönelik gerekli idari ve teknik tedbirleri almamak suretiyle 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesine muhalefet etmekten dolayı aynı Kanun'un 18/1-b maddesi uyarınca idari para cezası uygulanmış ise de, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesinde yer alan ; "(1) Veri sorumlusu; a) Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, b) Kişisel verilere hukuka aykırı olarak erişilmesini önlemek, c) Kişisel verilerin muhafazasını sağlamak, amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır." şeklindeki düzenleme nazara alındığında, Kabahatli vekili tarafından sunulan 24.01.2024 tarihli dilekçesinde özetle, kurul tarafından karara esas olan ve cezada alt sınırdan uzaklaşılmasına sebep gösterilen olguların eksik ve hatalı biçimde araştırıldığını, karara esas alınan; mali bilançonun gerçeği yansıtmadığını, kabahatlinin mali bilançosunun 25 milyon Türk lirasının üzerinde olmadığını, Mahkemeye sunulan vergi levhalarından da açıkça anlaşılacağı üzere kabahatlinin, 2020, 2021, 2022 yıllarındaki toplam mali bilanço tutarının 2.029.026,28 Türk lirası olduğunu, Kurul kararında belirtilen mali bilanço tutarı ile kabahatlinin son 3 yılda elde ettiği gelir arasında yaklaşık 23 Milyon Türk lirası fark bulunduğunu, ihlalden etkilenen hasta sayısının 20... ; bu hastalara ait fotoğraf sayısının 600 civarı olmasına rağmen Kurul kararında “...İhlalden etkilenen 600 hastanın fotoğrafları...” denilmek suretiyle 600 kişinin bu ihlalden etkilendiğine dair değerlendirme yapılmasının açıkça hatalı olduğunu, fotoğraf sayısı ile etkilenen hasta sayısının sehven karıştırıldığını, kabahatli tarafından veri ihlalinden önce gerekli teknik ve idari tedbirlerin alındığını, bu bağlamda; nas sunucusunun internete açık olmadığını, dış ağlara kapalı olduğunu, sisteme otomatik giriş bulunmadığını, tüm programların güncel olduğunu, muayenehane içinde ağ güvenliği ve uygulama güvenliği sağlandığını, yedekleme cihazına kullanıcı adı ve parola ataması yapıldığını, çalışanlar için veri güvenliği konusunda belirli aralıklarla eğitim ve farkındalık çalışmaları yapıldığını, ihlalden önce 19.04.2021 tarihinde çalışanlara eğitim verildiğini, konuya ilişkin eğitim ve farkındalık beyanının çalışanlardan temin edildiğini, çalışanlar için yetki matrisi oluşturulduğunu, gerektiğinde veri maskeleme önlemi uygulandığını, gizlilik taahhütnameleri yapıldığını, görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkilerinin kaldırıldığını, güncel anti-virüs sistemleri kullanıldığını, güvenlik duvarları kullanıldığını, imzalanan sözleşmelerin veri güvenliği hükümleri içerdiğini, kişisel veri güvenliği politika ve prosedürlerinin belirlendiğini, kişisel veri güvenliği sorunlarının hızlı bir şekilde raporlandığını, saklanan kişisel verilere muayenehane içi erişimin iş tanımı gereği erişmesi gerekli personel ile sınırlandırıldığını, siber saldırı tarihinde kabahatlinin muayenehanesinde iki adet bilgisayarın mevcut olduğunu ve söz konusu bilgisayarlarda güvenlik duvarı ve anti-virüs uygulamasının bulunduğunu, Windows kötü amaçlı yazılımların temizleme aracının sürekli güncellendiğini ifade ederek atılı yaptırım kararına kararına karşı itiraz edildiğinin anlaşılması karşısında, kabahatlinin veri güvenliğini sağlamaya ilişkin idari ve teknik tedbirleri alıp almadığı konusunda alanında uzman bilirkişi heyetinden rapor alındıktan sonra hukuki durumunun tayin ve takdir edilmesi gerektiği gözetilmeden, Merciince itirazın anılan yönlerden kabulü yerine yazılı şekilde reddine karar verilmesinde isabet görülmemiştir.'' yönündeki gerekçeye dayandığı anlaşılmıştır.

II. GEREKÇE A.Yargıtay Cumhuriyet Başsavcılığının kanun yararına bozma istemine dayanan ihbarname içeriğindeki hususlardan (1) numaralı neden yönünden; 7499 sayılı Ceza Muhakemesi Kanunu ile Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun'un (7499 sayılı Kanun) 35. maddesi ile 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (6698 sayılı Kanun) 18. maddesine eklenen 3. fıkrada yer alan düzenleme gereğince Kişisel Verileri Koruma Kurulunca verilen idari para cezalarına karşı idare mahkemelerinde dava açılabileceği, anılan yasal düzenlemenin 7499 sayılı Kanun'un 40. maddesi uyarınca 01.06.2024 tarihinde yürürlüğe girdiği sabit ise de, 7499 sayılı Kanun'un 36. maddesi ile 6698 sayılı Kanun'a eklenen geçici 3/2. maddesinde ''(2) 1/6/2024 tarihi itibarıyla sulh ceza hâkimliklerinde görülmekte olan başvurular, bu hâkimliklerce görülmeye devam olunur.'' hükmünün yer aldığı ve kanun yararına bozma istemine konu başvurunun 01.06.2024 tarihi itibarı ile Ankara 6. Sulh Ceza Hâkimliğince görülmekte olduğu anlaşılmakla, kanun yararına bozma isteminin reddine karar verilmiştir.

B.Yargıtay Cumhuriyet Başsavcılığının kanun yararına bozma istemine dayanan ihbarname içeriğindeki hususlardan (2) numaralı neden yönünden; Kanun yararına bozma müessesesinin uygulanmasında, 5271 sayılı Kanun'un 309/3. maddesindeki "Yargıtayın ceza dairesi ileri sürülen nedenleri yerinde görürse, karar veya hükmü kanun yararına bozar." şeklindeki düzenleme esas alınarak, kanun yararına bozma incelemesi, Yargıtay Cumhuriyet Başsavcılığının ihbarnamesindeki istem ve gerekçe ile sınırlı olduğu cihetle, Yargıtay Cumhuriyet Başsavcılığının ihbarnamesindeki talep yerinde görüldüğünden istemin kabulüne karar vermek gerekmiştir.

III. KARAR A.Yargıtay Cumhuriyet Başsavcılığının kanun yararına bozma istemine dayanan ihbarname içeriğindeki hususlardan (1) numaralı neden yönünden; Yargıtay Cumhuriyet Başsavcılığının, kanun yararına bozma istemi doğrultusunda düzenlediği tebliğnamedeki düşünce yerinde görülmediğinden 5271 sayılı Kanun’un 309. maddesindeki koşulları taşımayan KANUN YARARINA BOZMA İSTEMİNİN oy birliğiyle REDDİNE,

B.Yargıtay Cumhuriyet Başsavcılığının kanun yararına bozma istemine dayanan ihbarname içeriğindeki hususlardan (2) numaralı neden yönünden; 1. Yargıtay Cumhuriyet Başsavcılığının kanun yararına bozma istemine dayanan ihbarname içeriğindeki husus yerinde görüldüğünden talebin KABULÜNE,

2. Ankara 7. Sulh Ceza Hâkimliğinin 19.12.2024 tarihli ve 2024/13060 Değişik İş sayılı kararının 5271 sayılı Kanun’un 309/3. maddesi gereği, oy birliğiyle KANUN YARARINA BOZULMASINA, 5271 sayılı Kanun’un 309/4-a maddesi uyarınca, müteakip işlemlerin mahallinde yerine getirilmesi için dosyasının, Hâkimliğine gönderilmek üzere Yargıtay Cumhuriyet Başsavcılığına TEVDİİNE, 13.04.2026 tarihinde karar verildi.