KVKK’YA AYKIRILIK NEDENİYLE DÜZENLENEN İDARİ PARA CEZASININ MÜLKİYET HAKKINI İHLAL ETTİĞİNE İLİŞKİN ANAYASA MAHKEMESİ KARARI HAKKINDA KISA BİR DEĞERLENDİRME
Mevcut yasal düzenlemeler gereğince, Kişisel Verilerin Korunması Kanunu (“KVKK”) kapsamında Kişisel Verileri Koruma Kurulu (“Kurul”) tarafından düzenlenen idari para cezalarına ilişkin kararlar aleyhine Sulh Ceza Hakimliklerine başvurulabilmektedir. İdari para cezalarına ilişkin kararlara karşı yapılan itirazlarda Sulh Ceza Hakimliklerinin çoğunlukla, herhangi bir gerekçeye dayanmaksızın, adeta şablon halinde kararlar verdiği görülmektedir. İşte 15.12.2023 tarihli Resmî Gazete’de yayımlanan Anayasa Mahkemesi Kararı’nda (“Karar”) bu hususa dikkat çekilmiştir.
Karar’a konu somut olayda başvurucu hakkında, veri güvenliğini sağlamaya yönelik gerekli teknik ve idari tedbirleri almadığı gerekçesi ile 1.100.000-TL ve ihlali en kısa sürede bildirmediği gerekçesi ile 350.000-TL olmak üzere toplam 1.450.000-TL tutarında idari para cezası uygulanmasına karar verilmiştir. Başvurucu:
İdari yaptırım kararının usulüne uygun olarak tebliğ edilmediğini,
2016 yılında devraldığı şirketin veri tabanına 2014 yılından beri devam eden yetkisiz erişimin, 2018 yılında tespit edildiğini,
Şirketin kendisi tarafından devir alınmasından 2 yıl kadar önce başlayan ihlal sebebi ile söz konusu olayda veri sorumlusu olarak şirketi devraldığı kişinin veri sorumlusu olarak kabul edilmesi gerektiğini,
İhlal edildiği tespit edilen kişisel verilerin sayı ve içeriği bakımından hatalı tespitlerde bulunulduğunu,
Kısa sürede ihlalin bildirildiğini, bildirim yükümlülüğüne dair mevzuattaki sürenin belirsizliğinin aleyhine yorumlandığını,
Kurul tarafından verilen kararın yeterli gerekçe içermediğini,
Verilen cezanın en yüksek sınırdan verilmesinin ölçülülük ve eşitlik ilkelerine aykırı olduğunu ve mülkiyet hakkının ihlal edildiğini
iddia ederek, idari yaptırım kararına itiraz etmiştir.
Anayasa Mahkemesi Karar’a karşı itirazı hem KVKK hem de Avrupa Birliği Genel Veri Koruma Tüzüğü kapsamında inceleyerek değerlendirmiştir. Anayasa Mahkemesi’nce yapılan incelemede özetle:
- KVKK’ya göre kişisel verilerin hukuka aykırı olarak işlenmesinin ve kişisel verilere hukuka aykırı olarak erişilmesinin önlenmesinin; kişisel verilerin korunmasını sağlamak amacıyla uygun güvenlik seviyesinin sağlanmasının zorunlu olduğu,
- Uygun güvenlik seviyesi değerlendirilirken iletilen, saklanan veya işlenen kişisel verilerin tesadüfen veya usulsüz olarak imha edilmesi, kaybedilmesi, değiştirilmesi, yetkisiz şekilde açıklanması veya bunlara erişim başta olmak üzere özellikle işleme faaliyetinin yol açtığı risklerin göz önünde bulundurulduğu,
