Anayasa Mahkemesinin 12/10/2023 Tarihli ve 2020/7518 Başvuru Numaralı Kararı
ANAYASA MAHKEMESİ KARARLARI | 2023-12-15

15 Aralık 2023 CUMA 
Resmî Gazete 
Sayı : 32400
ANAYASA MAHKEMESİ KARARI 
Anayasa Mahkemesi Başkanlığından:
GENEL KURUL KARAR MI.I. BAŞVURUSU 
Başvuru Numarası: 2020/7518Karar Taribi : 12/10/2023
Başkan : Zühtü ARSLAN Başkanvekili : Hasan Tahsin GÖKCAN Başkanvekili : Kadir ÖZKAYA Üyeler : Engin YILDIRIM Muammer TOPAL M. Emin KUZ Rıdvan GÜLEÇYusuf Şevki HAKYEMEZ Yıldız SEFERİNOĞLU Selahaddin MENTEŞBasri BAĞCI İrfan FiDAN Kenan YAŞAR Muhterem İNCE Raportör : Mehmet ALTUNDİŞBaşvurucu : M.I.I.
Vekili : Av. Deniz TUNCEL 
I. BAŞVURUNUN KONUSU 
1. Başvuru, veri güvenliğini sağlamaya yönelik gerekli teknik ve idari tedbirlerin alınmadığından bahisle Kişisel Verileri Koruma Kurulu tarafindan uygulanan idari para cezası nedeniyle mülkiyet hakkının ihlal edildiği iddiasına ilişkindir.
II. BAŞVURU SÜRECİ
2. Başvuru 19/2/2020 tarihinde yapılmıştır.
3. Başvuru, başvuru formu ve eklerinin idari yönden yapılan õn incelemesinden sonra Komisyona sunulmuştur.

4. Komisyonca başvurunun kabul edilebilirlik incelemesinin Bölüm tarafindan yapılmasına karar verilmiştir.


5. Birinci Bölüm başvurunun Genel Kurul tarafindan incelenmesine karar vermiştir.

6. Başvuru belgelerinin bir örneği bilgi için Adalet Bakanlığına (Bakanlık)gönderilmiştir. Bakanlık, görüşünü bildirmiştir.

III. OLAY VE OLGULAR 
7.Başvuru formu ve eklerinde ifade edildiği şekliyle ilgili olaylar Özetle şöyledir:
8. Başvurucu; merkezi yurt dışında bulunan, farklı ülkelerde oteller işleten,otellere franchise hizmeti sağlayan ve bağlı şirketleri aracılığıyla devre mülklere lisans temin eden holding şirketi konumundadır.

9. Başvurucu Şirket bir başka konaklama şirketini 2016 yılında devralmıştır.
10. Başvurucu 8/9/2018 tarihinde devraldığı konaklama şirketinin konuk rezervasyon veri tabanındaki şūpheli işleme dair kurum içi güvenlik aracından bir uyarıalmıştır. Yapılan incelemeler sonucunda 19/11/20 18 tarihinde, bu şirketin konuk rezervasyon veri tabanına yetkisiz üçüncü bir kişinin eriştiği bilgisi teyit edilmiştir.
11. Başvurucu 30/11/2018 tarihinde bir basın açıklaması yayımlamış, konuya dair bir web sitesini erişime açarak olaya ilişkin bilgi sağlamış ve ilgili kişilerin kendilerini nasıl koruyabileceklerine dair tavsiyelerde bulunmuştur. Ayrıca durumdan etkilenen ve geçerli elektronik posta adresi bulunan misafirlerine elektronik postalar göndermiştir.
12. Başvurucu 3/12/2018 tarihinde Kişisel Verileri Koruma Kurumuna (Kurum)Türk vatandaşlarını ilgilendiren güvenlik olayı hakkında veri ihlali bildiriminde bulunmuştur.Bu bildirimde Şirket özetle;
i. 500 milyon müşteri verisinin veri ihlali nedeniyle kopyalandığını,
ii. Veri tabanının tutulduğu şirketin ağına Temmuz 2014'ten beri yetkisiz erişim olduğunu ve misafir veri tabanına yetkisiz erişimin 8/9/2018'de tespit edildiğini,
iii. 500 milyon müşteriden yaklaşık 327 milyonunun kişisel verilerinin çalındığını,
iv. İhlalden etkilenen verilerin ad/soyadi, posta adresi, telefon numarasi,doğum tarihi, cinsiyeti, pasaport numarası, konaklama şirketinin hesap bilgileri, otel bilgileri, otele giriş ve çıkış bilgileri, ödeme kartı numaraları ve ödeme kartı son kullanma tarihleri, rezervasyon tarihi ve iletişim tercihlerini içeren bilgiler olduğunu ifade etmiştir.

13. Yapılan bildirimin değerlendirilmesi neticesinde Kişisel Verileri Koruma Kurulunun (Kurul) 5/12/2018 tarihli kararıyla, devralınan konaklama şirketinin veri ağının güvenliği için yeterli õnlemlerin alınmaması sonucunda gerçekleşen ihlalle ilgili olarak Türkiye'de yerleşik olan vatandaşların bu ihlalden etkilenip etkilenmediği, veri ihlalinden etkilenen, Türkiye'de yerleşik olan vatandaş bulunması hâlinde ihlal hakkında yapılan ve planlanan çalşma detayları hususlarında başvurucudan bilgi istenmesine, söz konusu ihlalin Kurum internet sayfasında ilan edilmesine karar verilmiştir.


14.Başvurucu, sunduğu 28/3/2019 tarihli beyan dilekçesinde özetle;
i. Yaklaşık 383 milyon müşteri kaydının olduğunu, bunlardan yaklaşık 1.24milyonunda bölge/ülke adresi olarak Türkiye'nin belirtildiğini, bunun 383 milyon ayrı müşterinin veya 1.24 milyon Türk müşterinin olaya dâhil olduğu anlamına gelmediğini, çok kez aynı müşteri için birden fazla kayıt bulunduğunu,
ii. Çalınan verilerin niteliği ve büyüklüğü karşısında verilerin tekilleştirilmesinin kolayca gerçekleştirilmediğini, geçen süre içinde saldırganın bu alandaki yetkinliği dikkate alındığında incelemenin ortaya çıkarabildiği bilgilerin sinırlı olduğunu,
iii. Devralınan konaklama şirketinin veri sorumlusu olarak kabul edilmesi gerektiğini beyan etmiştir.

15. Kurul tarafindan 16/5/2019 tarihinde başvurucu hakkında 24/3/2016 tarihli ve 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesinin (1) numaralı fikrasıçerçevesinde veri güvenliğini sağlamaya yōnelik gerekli teknik ve idari tedbirleri almadığından 1.100.000 TL ve aynı Kanun'un 12. maddesinin (5) numaralı fikrasında yer alan ihlalin en kasa sürede bildirilmesi yükümlülüğüne uymadığından 350.000 TL olmak üzere toplam 1.450.000 TL idari para cezası uygulanmasına karar verilmiştir. Bu karar 12/7/2019 tarihinde, başvurucu muhatap gösterilmek suretiyle başvurucunun Türkiye'deki otellerini işleten dolaylı iştirakine tebliğ edilmiştir.

16. Başvurucu 26/7/2019 tarihinde idari para cezasının kaldırılması talebiyle itiraz etmiştir.Başvurucu itiraz dilekçesinde özetle idari yaptırım kararının usulüne uygun olarak tebliğ edilmediğini, 6698 sayılı Kanun'un yürürlük tarihinden önceki olaylara uygulandığını,veri sorumlusu olarak kendisinin kabul edilemeyeceğini, Kurul kararının gerekçeli olmadığıni, 6698 sayılı Kanun'da ihla! bildiriminin en kısa sürede yapılmasının düzenlendiğini, kısıtlayıcı bir süre öngörülmediğini, idari para cezasının en yüksek hadden verilmesinin ölçüsüz olduğunu belirtmiştir.

17. İstanbul Anadolu 1. Sulh Ceza Hâkimliği 7/11/2019 tarihli kararı ile kabahatin işlendiği yeri dikkate alarak yetkisizlik kararı vermiş, dosyanın Ankara Sulh Ceza Hâkimliğine gönderilmesine hükmetmiştir. Başvurucu bu karara 13/12/2019 tarihli dilekçe ile itiraz etmiştir. İtiraz, İstanbul Anadolu 2. Sulh Ceza Hâkimliğinin 13/12/2019 tarihli kararıyla kabul edilmiştir. Kararda, ticaret siciline kayıth yerin Istanbul/Acıbadem olduğu ve İstanbul Anadolu Adliyesi yetki sınırlarında bulunduğu kanaatiyle yetkisizlik kararının kaldırılarak esas hakkında karar verilmek üzere dosyanın İstanbul Anadolu 1. Sulh Ceza Hâkimliğine gönderilmesine kesin olarak karar verilmiştir.

18. Yetkisizlik kararı sonrası itirazı inceleyen İstanbul Anadolu I. Sulh Ceza Hâkimliği (Hâkimlik) 23/12/2019 tarihli kararı ile idari yaptırım karanna yapılan başvuruyu reddetmiştir. Kararın gerekçesi şöyledir:
"…. Idari yaptırım kararı ile ilgili dūzenlenen tahkikat evrakı ve idari yaptırım kararıonaylı suretleri Hakimliğimizce celp edilmiş, evrak üzerinde yapilan incelemede: idarece düzenlenen tutanak ile eylemin sabit olduğu, sabit bulunan eylemin oluşturduğu kabahat 

nedeni ile hakkanda idari yaptırım kararı düzenlenen idari yaptırımın yasa ve usule uygun olduğu anlaşılmakla itirazın reddine karar vermek gerekmiş[tir]…."
19. Başvurucu, Hâkimliğin 23/12/2019 tarihli kararına itirazda bulunmuştur. İtiraz,İstanbul Anadolu 2. Sulh Ceza Hâkimliğinin 9/l/2020 tarihli kararıyla kesin olarak reddedilmiştir. Kararın gerekçesi şöyledir:
".…. Her ne kadar itiraz eden vekili Istanbul Anadolu 1. Sulh Ceza Hakimliği'nin 23/12/2019 tarih ve 2019/8868 d.iş sayılı kararına itiraz etmiş ise de; verilen kararda usule ve yasaya aykarılık bulunmadığı, verilen kararda değiştirilecek bir husus bulunmadığıanlaşılmakla itirazın reddine karar vermek gerekmiş aşağıdaki gibi hüküm kurulmuştur.
1-Itiraz eden vekilinin İstanbul Anadolu 1. Sulh Ceza Hakimliği'nin 23/12/2019 tarih ve 2019/8868 d.iş sayılı kararıa yönelik ITİRAZININ REDDINE,
2-Kararın taraflara İstanbul Anadolu I. Sulh Ceza Hakimliğince tebliğine,
3-Kararın ve dosyanın gereği için Istanbul Anadolu 1. Sulh Ceza Hakimliğine gönderilmesine,
Dair, dosya üzerinde yapılan inceleme sonucunda KEsiN olarak karar verildi."
20. Başvurucu, nihai karardan 21/I/2020 tarihinde haberdar olmuş;19/2/2020tarihinde bireysel başvuru yapmıştır.

IV. İLGİLİ HUKUK 
A. Ulusal Hukuk 
21. 6698 sayılı Kanun'un "Amaç" kenar başlıklı 1. maddesi şöyledir:
"(1) Bu Kanunun amaci, kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemektir."
22. 6698 sayılı Kanun'un "Tanımlar" kenar başlıklı 3. maddesinin ilgili kısmışöyledir:
ğVeri işleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişiyi 

h) Veri kayı sistemi: Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıit sistemini,
i)Veri sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi,ifade eder."

23.6698 sayılı Kanun'un "Veri güvenliğine ilişkin yükümlülükler" kenar başlıklı 12.maddesi şõyledir:
"(1) Veri sorumlusu;
a) Kişisel verilerin hukuka aykarı olarak işlenmesini önlemek,
b) Kişisel verilere hukuka aykarı olarak erişilmesini önlemek 
c) Kişisel verilerin muhafazasını sağlamak,
amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır.

(2) Veri sorumlusu, kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi tarafindan işlenmesi hálinde, birinci fikrada belirtilen tedbirlerin alınması hususunda bu kişilerle birlikte müştereken sorumludur.

(3) Veri sorumlusu, kendi kurum veya kuruluşunda, bu Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptưrmak zorundadır.
(4) Veri sorumluları ile veri işleyen kişiler, öğrendikleri kişisel verileri bu Kanun hükümlerine aykarı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamazlar Bu yükümlülük görevden ayrılmalarından sonra da devam eder.

(5) İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafindan elde edilmesi hálinde, veri sorumlusu bu durumu en kasa sürede ilgilisine ve Kurula bildirir. Kurul,gerekmesi hälinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir.

24. 6698 sayıh Kanun'un "Şikâyet üzerine veya resen incelemenin usul ve esasları"kenar başlıklı 15. maddesinin ilgili kısmı şöyledir:
"(1) Kurul, şikâyet üzerine veya ihlal iddiasını õğrenmesi durumunda resen, görev alanına giren konularda gerekli incelemeyiyapar.

...
(5) Şikâyet üzerine veya resen yapılan inceleme sonucunda, ihlalin varlığının anlaşılması hâlinde Kurul, tespit ettiği hukuka aykarılıkların veri sorumlusu tarafindan giderilmesine karar vererek ilgililere tebliğ eder. Bu karar, tebliğden itibaren gecikmeksizin ve en geç otuz gün içinde yerine getirilir.

"1..

25. 6698 sayılı Kanun'un "Kabahatler" kenar başlıklı 18. maddesinin ilgili kismışöyledir:
n 


b) 12 nci maddesinde öngörülen veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler hakkında 15.000 Türk lirasından 1.000.000 Türk lirasına kadar, idari para cezası verilir."

26. 4/12/2004 tarihli ve 5271 sayılı Ceza Muhakemesi Kanunu'nun "Kararların gerekçeli olması" kenar başhklı 34. maddesinin ilgili kısmı şöyledir:
"(1) Hâkim ve mahkemelerin her türlü kararı, karşı oy dahil, gerekçeli olarak yazılır.Gerekçenin yazımında 230 uncu madde göz önünde bulundurulur. Kararların örneklerinde karşı oylar da gösterilir.

"..

27. Kişisel Verilerin Korunması Kanununa flişkin Uygulama Rehberi'nin "Veri Güvenliğine İlişkin Yükümlülūkler" başlıkhı 12. maddesinin ilgili kısmı şöyledir:
"Veri sorumlularının alması gereken teknik ve idari tedbirler konusunda veri sorumlularına rehberlik etmek amacıyla 'Kişisel Veri Güvenliği Rehberi' hazırlanmış olup bu rehbere, Kurumun internet sitesi olan www.kvkk.gov.tr üzerinden 'Yayınlar' bölümündeki 'Rehberler'adımından ulaşılabilir.

Ayrıca, veri güvenliğine ilişkin yūkümlūlūkleri belirlemek amacıyla düzenleyici işlem yapmak ise Kurulun yetki ve görevleri arasında yer almaktadır. Bununla birlikte, Kurul tarafından belirlenecek asgari kriterler esas alınmak üzere sektör bazında işlenen kişisel verilerin niteliğine göre ilave tedbirlerin alınması da söz konusu olabilecektir.
28. Kişisel Veri İhlali Bildirim Usul ve Esaslarına Ílişkin Kişisel Verileri Koruma  Kurulunun 24/1/2019 tarihli ve 2019/10 sayılı kararının ilgili kismı şõyledir:
"i. Kanunun 12 nci maddesinin (5) numaralı fikrasıın 'İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafindan elde edilmesi hálinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir.…' hükmünde yer alan 'en kisa sürede' ifadesinin 72saat olarak yorumlanmasına,
ii. Bu kapsamda veri sorumlusunun bu durumu öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirmesine, veri sorumlusunca söz konusu veri ihlalinden etkilenen kişilerin belirlenmesini müteakip ilgili kişilere de makul olan en kısa süre içerisinde, ilgili kişinin iletişim adresine ulaşılabiliyorsa doğrudan, ulaşılamıyorsa veri sorumlusunun kendi web sitesi üzerinden yayımlanması gibi uygun yöntemlerle bildirim yapilmasina,
iii. Veri sorumlusu tarafindan Kurula haklı bir gerekçe ile 72 saat içinde bildirim yapılamaması halinde, yapuacak bildirimle birlikte gecikmenin nedenlerinin de Kurula açıklanmasına,
iv. Veri ihlalinin yurtdışında yerleşik veri sorumlusu nezdinde yaşanması halinde, bu ihlalin sonuçlarının Türkiye'de yerleşik ilgili kişileri etkilemesi ve ilgili kişilerin sunulan ürün ve hizmetlerden Türkiye'de faydalanmaları durumunda, bu veri sorumlusu tarafindan da aynı esaslar çerçevesinde Kurula bildirimde bulunulmasına... [karar verilmiştir.]"
29.6698 sayılı Kanun uyarınca kişisel verilerin hukuka aykırı olarak işlenmesini ve kişisel verilere hukuka aykırı olarak erişilmesini õnlemek ve kişisel verilerin muhafazasıısağlamak amacıyla veri sorumlularının alması gereken teknik ve idari tedbirler Kişisel Veri 

Güvenliği Rehberi'nin teknik ve idari tedbirler tablosunda düzenlenmiştir. Bu tablonun 4.I.kısmında teknik tedbirler, 4.2. kısmında ise idari tedbirler gösterilmiştir. Ayrıca tablonun ilgili kısmı şöyledir:
"Veri sorumlularının; kişisel verilerin hukuka aykarı olarak işlenmesini önlemek, kişisel verilere hukuka aykırı olarak erişilmesini önlemek ve kişisel verilerin hukuka uygun olarak muhafazasını sağlamak amacryla alabilecekleri teknik ve idari tedbirleri gösteren tablolar aşağıda verilmiştir. Teknik ve idari tedbirler belirlenirken, kişisel verilerin niteliği ve muhafaza edildiği ortam göz önünde bulundurulur."
B. Uluslararası Hukuk 
30. 18/2/2016 tarihli ve 29628 sayılı Resmî Gazete'de yayımlanan 30/1/2016 tarihli ve 6669 sayılı Kanun'la uygun bulunan 28/1/1981 tarihli Avrupa Konseyi Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Bireylerin Korunması Sözleşmesi'nin 2.maddesinin birinci fikrasının (a) bendi şöyledir:
"Kişisel veriler: Kimliği belirli veya belirlenebilir bir gerçek kişi ('ilgili kişi')hakkındaki tüm bilgileri ifade eder."
31. Avrupa Konseyi Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Bireylerin Korunması Sõzleşmesi'nin "Verilerin Güvenliği" kenar başlıklı 7. maddesinin ilgili kısmı şöyledir:
"Otomatik dosyalara kaydedilen kişisel verileri korumak için, bunların kaza sonucu veya izinsiz olarak imhasına veya kaza sonucu kaybolmasına veya bunların izinsiz olarak elde edilmesine, değiştirilmesine veya dağıtılmasına karşı uygun güvenlik önlemleri alınır."
32. Avrupa Birliği Genel Veri Koruma Tüzüğü'nün (GDPR) "Kişisel verilerin güvenliği" kenar başlıklı 32. maddesi şõyledir:
"İşleme güvenliği 
1. Kontrolör ve işleyici, son teknoloji, uygulama maliyetleri ve işleme faaliyetinin mahiyeti, kapsamı, bağlamı ve amaçlarının yanı sıra gerçek kişilerin hakları ve özgürlükleri açısından çeşitli olasılıklar ve ciddiyetlere sahip riskleri dikkate alarak, risk açısından uygun bir güvenlik seviyesi sağlamak üzere, uygun olduğu hallerde, aşağıdakiler de dahil olmak üzere uygun teknik ve düzenlemeye ilişkin tedbirler uygular:
(a) kişisel verilerde takma ad kullanımı ve șifreleme:
(b) işleme sistemleri ve hizmetlerinin gizliliği, bütünlüğü, elverişliliği ve esnekliğinin sürekli olarak sağlanabilmesi;
(c) fiziksel veya teknik bir olay halinde, kişisel verilerin elverişliliği ve kişisel verilere erişimin vakitlice eski haline getirilebilmesi;
(d) işleme faaliyetinin güvenliliğinin sağlanmasına yönelik olarak teknik ve düzenlemeye ilişkin tedbirlerin etkililiğinin düzenli olarak sınanmasi, ölçülmesi ve değerlendirilmesine ilişkin süreç.


2. Uygun güvenlik seviyesi değerlendirilirken, iletilen, saklanan veya işlenen kişisel verilerin kazara veya yasa dışı olarak imha edilmesi, kaybi, değiştirilmesi, yetkisiz şekilde açıklanması veya bunlara erişim başta olmak üzere özellikle işleme faaliyetinin yol açtığıriskler göz önünde bulundurulur.

3. 40. maddede atifta bulunulan onaylı davranış kuralları veya 42. maddede atifia bulunulan onaylı belgelendirme mekanizmasına uygun hareket edilmesi bu maddenin 1.paragrafında ortaya konan gerekliliklere uygunluğun gösterilmesine ilişkin bir unsur olarak kullanılabilir.

4. Kontrolör ve işleyici kontrolör ya da işleyicinin yetkisi ile hareket eden ve kişisel verilere erişimi bulunan herhangi bir gerçek kişinin, Birlik ya da üye devlet hukuku çerçevesinde bu yönde hareket etmesinin gerekmemesi durumunda, kontrolörden aldığıtalimatlar haricinde bu verileri işlememesini sağlamak üzere adımlar atar."
33. Avrupa Birliği Genel Veri Koruma Tüzüğü'nün "Bir kişisel veri ihlalinin denetim makamına bildirilmesi" kenar başlıkh 33. maddesi şöyledir:
"I. Bir kişisel veri ihlali olması durumunda, kişisel veri ihlalinin gerçek kişilerin hakları ve özgürlükleri açısından bir riske sebebiyet vermesinin muhtemel olmamasıharicinde, kontrolōr, gereksiz gecikmeye mahal vermeden ve, uygun olması halinde, ihlalden haberdar olduktan itibaren en geç 72 saat içerisinde, kişisel veri ihlalini S5. madde uyarınca yetkin denetim makamına bildirir.

Denetim makamına yönelik bildirimin 72 saat içerisinde yapılmadığı hallerde, bu bildirimle birlikte gecikme sebeplerine de yer verilir.

2. İşleyici, bir kişisel veri ihlalinden haberdar olduktan sonra, herhangi bir gecikmeye mahal vermeden, kontrolöre bildirimde bulunur.

3.1. paragrafta atifta bulunulan bildirimde en azından:
(a)uygun olduğu hallerde, ilgili veri sahibi kategorileri ve yaklaşık sayısı ile ilgili kişisel veri kaydı kategorileri ve yaklaşık sayısı da dahil olmak üzere kişisel veri ihlalinin mahiyeti açıklanır;
(b)veri koruma görevlisi veya daha fazla bilginin elde edilebileceği başka bir temas noktasının isim ve irtibat bilgileri iletilir:
(c)kişisel veri ihlalinin olası sonuçları açıklanır;
(d)uygun olduğu hallerde, kişisel veri ihlalinin olası olumsuz etkilerinin azaltılmasına yönelik tedbirler de dahil olmak üzere kişisel veri ihlalinin ele alınması için kontrolör tarafindan alınan veya alınması önerilen tedbirler açıklanır.

4. Bilgilerin aynı zamanda sağlanmasının mümkün olmadığı hallerde ve ölçüde,bilgiler gereksiz herhangi bir ek gecikmeye mahal verilmeksizin aşamalı olarak sağlanabilir.
5. Kontrolör kişisel veri ihlallerini kişisel veri ihlaline ilişkin bilgiler, etkileri ve gerçekleştirilen düzeltici işlemi de kapsayacak şekilde belgelendirir. Bu belgelendirme denetim makamının bu maddeye uyumluluğu doğrulamasını sağlar.

34. Avrupa Birliği Genel Veri Koruma Tüzüğü'nün "İdari para cezaları kesilmesine ilişkin genel koşullar" kenar başlıklı 38. maddesi şöyledir:
"I. Her denetim makamı bu Tüzük'e ilişkin olarak 4, 5 ve 6. paragraflarda atifta bulunulan ihlaller ile ilgili olarak bu madde uyarınca idari para cezaları kesilmesinin her münferit durumda etkili, õlçülü ve caydırıcı olmasını sağlar.

2. Idari para cezalari, her münferit durumun özelliklerine dayalı olarak, 58(2)maddesinin (a) ila (h) ve (j) bentlerinde atifta bulunulan tedbirlere ek olarak veya bu tedbirler yerine kesilir. Her münferit durumda bir idari para cezası kesilip kesilmeyeceğine karar verilirken ve idari para cezası meblağına karar verilirken, aşağıdaki hususlar dikkate alimir:
(a)ilgili işleme faaliyetinin mahiyeti, kapsamı veya amacı dikkate alındığında ihlalin mahiyeti, ciddiyeti ve süresinin yanı sıra etkilenen veri sahibi sayısı ve veri sahiplerinin yaşadığı zarar düzeyi;
(b) ihlalin kasıtlı olması veya ihmalkarlıktan kaynaklanması;
(c) veri sahiplerinin yaşadığı zararın azaltılması için kontrolör veya işleyici tarafindan gerçekleştirilen herhangi bir işlem:
(d)25 ve 32. maddeler uyarınca kendileri tarafindan uygulanan teknik ve düzenlemeye ilişkin tedbirler dikkate alındığında, kontrolörün veya işleyicinin sorumluluk derecesi,
(e)kontrolör veya işleyicinin geçmişte konuyla ilgili ihlalleri:
(f)ihlalin düzeltilmesi ve ihlalin olası olumsuz etkilerinin azaltılması amacı ile denetim makamı ile gerçekleştirilen işbirliği derecesi;
(g)ihlalden etkilenen kişisel veri kategorileri;
(h) kontrolör veya işleyicinin ihlali bildirip bildirmediği ve bildirdiyse ne ölçüde bildirdiği başta olmak üzere, denetim makamının ihlalden haberdar edilme şekli;
(i)58 (2) maddesinde atifta bulunulan tedbirlerin ilgili kontrolör veya işleyiciye karşıaymı konu ile ilgili olarak daha önceden alınmış olduğu hallerde, bu tedbirlere uyum:
(j)40. madde uyarınca onaylı davranış kurallarina veya 42. madde uyarınca onaylıbelgelendirme mekanizmalarına uygun hareket edilmesi;
(k) ihlal nedeniyle doğrudan veya dolaylı olarak elde edilen maddi menfaatler veya kaçınılan zararlar gibi durumun özellikleri açısından geçerli diğer ağırlaştırıcı veya hafifletici fakaörler."
35. Konuya ilişkin Avrupa İnsan Hakları Mahkemesi kararları için bkz. Kamil Darbaz ve GMO Yapi Grup End. San. Tic. Ltd. Şti., B. No: 2015/12563, 24/5/2018, §§ 32-38)
V. İNCELEME VE GEREKÇE 
36. Anayasa Mahkemesinin 2/10/2023 tarihinde yapmış olduğu toplantıda başvuru incelenip gereği düşünüldü:

A. Başvurucunun İddiaları ve Bakanlık Görüşü
37. Başvurucu;
i. Veri ihlalinin yaşandığı konaklama şirketinin veri sorumlusu olarak kabul edilmesi gerektiğini, idari para cezalarının muhatabının kendisi olmadığını,dolayısıyla idari para cezasının cezaların şahsiliğine aykırı olduğunu,
ii. Kabahat olduğu iddia edilen fiile, gerçekleştiği tarihten sonra yürürlüğe giren 6698 sayılı Kanun'un uygulanmasının kanunların geriye yürümezliği ilkesine aykırılık teşkil ettiğini,
iii. idari para cezasına ilişkin Kurul kararının usulüne uygun biçimde tebliğedilmediğini, yeterli gerekçe içermediğini, derece mahkemesi tarafindan yeterli ve gerekli inceleme yapılmaksızın itirazın reddine karar verildiğini,
iv. Cevap dilekçesinin tebliğ edilmediğini,
v. Tüm teknik ve idari tedbirlerin alındığını, kısa bir sürede ihlalin tespit edilip bildirildiğini, 6698 sayılı Kanun'da bu yönde kısıtlayıcı bir süre bulunmadığını, bu hususun derece mahkemeleri tarafindan gözetilmemesinin suçta ve cezada kanunilik ilkelerine aykırı olduğunu, en ūst hadden idari para cezası uygulanmasının orantılıolmadığını ve mülkiyet hakkını ihlal ettiğini ifade etmiştir.

38. Bakanlık görüşünde; bireysel başvurunun süresi içinde yapılmadığı, idari para cezası uygulanırken 6698 sayılı Kanun ile Veri Koruma Genel Tüzüğü'nūn esas alındığı,başvurucunun iddialarının kanun yolu şikâyeti olarak değerlendirilmesi gerektiği belirtilmiştir.

B. Değerlendirme 
39. Anayasa'nın "Mülkiyet hakkı" kenar başlıklı 35. maddesi şöyledir:
"Herkes, mülkiyet ve miras haklarına sahiptir.
Bu haklar, ancak kamu yararı amacıyla, kanunla sınırlanabilir.
Mülkiyet hakkının kullanılması toplum yararına aykırı olamaz."
40. Anayasa Mahkemesi, olayların başvurucu tarafindan yapılan hukuki nitelendirmesi ile bağlı olmayıp olay ve olguların hukuki tavsifini kendisi takdir eder.Başvurucunun şikâyetinin Özü, idari para cezası uygulanması nedeniyle mülkiyet hakkının ihlal edilmesidir. Başvurucunun suçta ve cezada kanunilik ve şahsilik ilkeleri çerçevesinde,mülkiyet hakkına yapılan müdahalenin kanuniliği unsuru, kanunların geriye yürümezliği,tebligatın usulüne uygun yapılmadığı ve kararın gerekçeli olmadığına dair adil yargılanma hakkıyla ilgili olarak ileri sürdüğü iddiaların mülkiyet hakkının usul güvenceleri kapsamında incelenmesinin uygun olacağı değerlendirilmiştir.


. Kabul Edilebilirlik Yönünden 
41. Açıkça dayanaktan yoksun olmadığı ve kabul edilemezliğine karar verilmesini gerektirecek başka bir neden de bulunmadığı anlaşılan mülkiyet hakkının ihlal edildiğine ilişkin iddianın kabul edilebilir olduğuna karar verilmesi gerekir.

2. Esas Yõuünden 
a.Mülkün Varlğı
42. İdari para cezası uygulanmasıyla başvurucunun mal varlığında eksilmeye yol açıldığı kuşkusuz olduğuna göre bu paranın başvurucu açısından mülk teşkil ettiği açıktır (benzer yöndeki değerlendirmeler için bkz. Orhan Gürel, B. No: 2015/15358, 24/5/2018, §43; Mustafa Ta$, B. No: 2017/23968, 31/10/2018, § 35).

b. Müdahalenin Varlığı ve Türū
43. Anayasa'nın 35. maddesi ile mülkiyet hakkına temas eden diğer hükümleri birlikte değerlendirildiğinde Anayasa'nın mūlkiyet hakkına müdahaleyle ilgili üç kural ihtiva ettiği görülmektedir. Buna göre Anayasa'nın 35. maddesinin birinci fikrasında, herkesin mülkiyet hakkına sahip olduğu belirtilmek suretiyle mülkten barışçıl yararlanma hakkına yer verilmiş; ikinci fikrasında da mülkten barışçıl yararlanma hakkına müdahalenin çerçevesi belirlenmiştir. Maddenin ikinci fikrasında genel olarak mülkiyet hakkının hangi şartlarda sınırlanabileceği belirlenerek aynı zamanda mülkten yoksun bırakmanın şartlarının genel çerçevesi de çizilmiştir. Maddenin son fikrasında ise mülkiyet hakkının kullanımının toplum yararına aykırı olamayacağı kurala bağlanmak suretiyle devletin mülkiyetin kullanımınıkontrol etmesine ve düzenlemesine imkân sağlanmıştır. Anayasa'nın diğer bazı maddelerinde de devlet tarafından mülkiyetin kontrolüne imkân tanıyan özel hükümlere yer verilmiştir.Ayrıca belirtmek gerekir ki mülkten yoksun bırakma ve mülkiyetin düzenlenmesi, mülkiyet hakkına müdahalenin õzel biçimleridir (Recep Tarhan ve Afife Tarhan, B. No: 2014/1546,2/2/2017, §§ 55-58).

44. Somut olayda 6698 sayılı Kanun kapsamında veri güvenliğini sağlamaya yönelik gerekli teknik ve idari tedbirleri almaması ile veri güvenliği ihlalini en kısa sürede bildirmemesi nedeniyle başvurucu hakkında idari para cezası uygulanmasının mülkiyet hakkına müdahale teşkil ettiği açıktır. Söz konusu müdahaleyle kişisel verilerin korunmasıyla ilgili düzenlemelerin ihlal edilmesinin õnlenmesi amaçlanmaktadır. Bu durumda başvuru konusu olaydaki müdahalenin amacı dikkate alındığında müdahalenin mülkiyetin kamu yararına kullanılmasının kontrol edilmesine ilişkin kural çerçevesinde incelenmesi gerekir (benzer yöndeki değerlendirmeler için bkz. Mars Sinema Turizm ve Sportif Tesisler İşletmeciliği A.$., B. No: 2017/23849, 10/10/2018, § 48; Mustafa Ta$, § 38).
c. Müdahalenin İhlal Oluşturup Oluşturmadığı
45. Anayasa'nın 13. maddesi şõyledir:
"Temel hak ve hürriyetler, özlerine dokunulmaksızın yalnızca Anayasanın ilgili maddelerinde belirtilen sebeplere bağlı olarak ve ancak kanunla sınırlanabilir. Bu simırlamalar, Anayasanın sözüne ve ruhuna, demokratik toplum düzeninin ve lāik Cumhuriyetin gereklerine ve ölçülülük ilkesine aykırı olamaz."

46. Anayasa'nın 35. maddesinde mülkiyet hakkı sınırsız bir hak olarak düzenlenmemiş, bu hakkın kamu yararı amacıyla ve kanunla sınırlandırılabileceği õngörülmüştür. Mülkiyet hakkına müdahalede bulunulurken temel hak ve özgürlüklerin sınırlandırılmasına ilişkin genel ilkeleri düzenleyen Anayasa'nın 13. maddesinin de gözönünde bulundurulması gerekmektedir. Anılan madde uyarınca temel hak ve özgürfükler,demokratik toplum düzeninin gereklerine ve ölçülülük ilkesine aykırı olmaksızın Anayasa'nın ilgili maddelerinde belirtilen sebeplere bağlı olarak ve ancak kanunla sınırlanabilir.Dolayısıyla mülkiyet hakkına yõnelik müdahalenin Anayasa'ya uygun olabilmesi için mūdahalenin kanuna dayanması, kamu yararı amacı taşıması ve ölçülülük ilkesi gözetilerek yapılması gerekmektedir (Recep Tarhan ve Afife Tarhan, § 62).

i. Kanunilik 
47. Anayasa'nın 35. maddesinin ikinci fikrasında, mülkiyet hakkının ancak kamu yararı amacıyla kanunla sınırlanabileceği belirtilmek suretiyle mülkiyet hakkına yönelik müdahalelerin kanunda õngörülmesi gerektiği ifade edilmiştir. Öte yandan Anayasa'nın temel hak ve özgürlüklerin sınırlandırımasına ilişkin genel ilkelerin düzenlendiği 13. maddesinde hak ve özgürlüklerin ancak kanunla sınırlanabileceği temel bir ilke olarak benimsenmiştir.Buna göre mülkiyet hakkına yapılan müdahalelerde dikkate alınacak öncelikli ölçüt,müdahalenin kanuna dayalı olmasıdır (Ford Motor Company, B. No: 2014/13518,26/10/2017, § 49).

48. Başvuruya konu idari para cezası 6698 sayılı Kanun'un 12. maddesinin (1) ve (5) numaralı fikralarına dayanılarak uygulanmıştır. Başvurucu; veri ihlalinin tespit edilip bildirilmesi yönünden 6698 sayılı Kanun'da kısıtlayıcı bir süre bulunmadığını, bu sebeple müdahalenin kanuni dayanağı olmadığını ileri sürmekteyse de değerlendirmenin "Ölçülülük"başlığı altında yapılması uygun görülmüştür.

ii. Meşru Amaç
49. Anayasa'nın 13. ve 35. maddeleri uyarınca mülkiyet hakkı ancak kamu yararıamacıyla sınırlandırılabilmektedir. Kamu yararı kavramı mülkiyet hakkının kamu yararının gerektirdiği durumlarda sınırlandırılması imkânı vermekle bir sınırlandırma amacı olmasının yanı sıra mülkiyet hakkının kamu yararı amacı dışında sınırlanamayacağını õngörerek ve bu anlamda bir sınırlama sınırı oluşturarak mülkiyet hakkını etkin bir şekilde korumaktadır.Kamu yararı kavramı, devlet organlarının takdir yetkisini de beraberinde getiren bir kavram olup objektif bir tanıma elverişli olmayan bu õlçütün her somut olay temelinde ayrıca değerlendirilmesi gerekir (Nusrat Külah, B. No: 2013/6151, 21/4/2016,§§53, 56; Yunis Ağlar, B. No: 2013/1239, 20/3/2014, §§ 28, 29).

50. Başvurucuya uygulanan idari para cezasının dayanağı olan kanuni düzenlemelerle kişisel verilere hukuka aykırı olarak erişilmesini önlemek, kişisel verilerin muhafazasını sağlamak amacıyla uygun her türlü teknik ve idari tedbirlerin alınmasının amaçlandığı anlaşılmıştır. Veri sorumlularına veri güvenliğinin korunması için yükümlülükler getirilmesinin ve bu yükümlülüklerin ihlali hâlinde yaptırım uygulanmasının kamu yararını sağlamaya yõnelik olduğu açıktır.


ii. Ölçülülük 
(1)Genel İlkeler 
51. Anayasa'nın 13, maddesi uyarınca hak ve õzgürlüklerin sınırlandırımasında dikkate alınacak ölçütlerden biri olan ölçülülük, hukuk devleti ilkesinden doğmaktadır.Hukuk devletinde hak ve özgürlüklerin sınırlandırılması istisnai bir yetki olduğundan bu yetki ancak durumun gerektirdiği ölçüde kullanılması şartıyla haklı bir temele oturabilir.Bireylerin hak ve özgürlüklerinin somut şartların gerektirdiğinden daha fazla sınırlandırılmasıkamu otoritelerine tanınan yetkinin aşılması anlamına geleceğinden hukuk devletiyle bağdaşmaz (AYM, E.2013/95, K.2014/176, 13/11/2014).

52. Anayasa'nın I3. maddesinde yer alan ölçülülük ilkesi elverişlilik, gereklilik ve orantılılık olmak ūzere üç alt ilkeden oluşmaktadır. Elverişlilik öngörülen müdahalenin amacıgerçekleştirmeye elverişli olmasını, gereklilik amaç bakımından müdahalenin zorunlu olmasını yani aynı amaca daha hafif bir mūdahale ile ulaşılmasının mümkün olmamasını,orantılılık ise bireyin hakkına yapılan mūdahale ile ulaşılmak istenen amaç arasında makul bir dengenin gözetilmesi gerekliliğini ifade etmektedir (AYM, E.2011/111, K.2012/56,11/4/2012; E.2016/16, K.2016/37, 5/5/2016; Mehmet Akdoğan ve diğerleri, B. No: 2013/817,19/12/2013, § 38).

53. Buna gõre mülkiyet hakkına yapılan müdahalenin Anayasa'ya uygun olabilmesi için aracı gerçekleştirmeye elverişli olmasının yanında gerekli olması da gerekir. Gereklilik yukarıda da belirtildiği ūzere hakka müdahale teşkil eden birden fazla araç arasından hakkı en az zedeleyen aracın seçilmesini ifade etmektedir. Hak ve özgürlüğü sınırlayan tedbirlerden hangisi diğerlerine nazaran hakkın norm alanına daha az müdahale edilmesi sonucunu doğuruyorsa o tedbirin tercih edilmesi gerekir. Bununla birlikte hakka müdahale oluşturacak aracın seçiminde kamu otoritelerinin belli ölçüde takdir payının bulunduğu da kabul edilmelidir. Zira yetkili kamu makamlari, Öngõrülen amaca ulaşılması bakımından hangi aracın etkili ve verimli sonuçlar doğuracağına ilişkin olarak isabetli karar verme noktasında daha iyi bir konumdadır. Özellikle alternatif aracın bulunmadığı veya mevcut alternatiflerin õngõrülen meşru amaca ulaşılması bakımından etkili olmadığı ya da daha az etkili olduğu durumlarda kamu makamlarının araç seçimi hususundaki tercih yetkisinin gereklilik kriterini sağlamadığının söylenebilmesi için çok güçlü nedenlerin bulunması gerekir (D.C., B. No:2018/13863, 16/6/2021, § 48).

54.Öte yandan mülkiyet hakkına yönelik müdahaleler orantılı olmalıdır. Orantılılık,sınırlamayla ulaşılmak istenen amaç ile başvurulan sınırlama tedbiri arasında aşırı bir dengesizlik bulunmamasına işaret etmektedir. Diğer bir ifadeyle orantılılık, amaç ile araçarasında adil bir denge kurulmasını gerektirmektedir. Buna göre mülkiyet hakkına getirilen sınırlamayla ulaşılmak istenen meşru amaç ve başvurucunun mülkiyet hakkından yararlanmasındaki bireysel yarar arasında makul bir orantı kurulmalıdır.
55. Usule ilişkin güvencelerin varlığı orantılılık değerlendirmesinde Önemli bir rol oynayabilir. Bu bakımdan kişinin hukuka aykırılık iddialarının bir mahkeme tarafindan etkili bir biçimde incelenmesi müdahalenin orantılılığı bakımından ehemmiyet arz etmektedir (D.C., § 52). Anayasa'nın 35. maddesi usule ilişkin açık bir gūvenceden sõz etmemektedir.Bununla birlikte mülkiyet hakkının gerçek anlamda korunabilmesi bakımından bu madde,Anayasa Mahkemesinin çeşitli kararlarında da ifade edildiği üzere mülk sahibine müdahalenin kanun dışı veya keyfi ya da makul olmayan şekilde uygulandığına ilişkin 

savunma ve itirazlarını sorumlu makamlar õnünde etkin bir biçimde ortaya koyabilme imkânının tanınması güvencesini kapsamaktadır. Bu değerlendirme ise uygulanan sürecin bütününe bakılarak yapılmalıdır (Züliye Öztürk, B. No: 2014/1734, 14/9/2017, § 36; Bekir Yazıcı [GK], B. No: 2013/3044, 17/12/2015, § 71).

56. Mülkiyet hakkının usule ilişkin güvenceleri hem özel kişiler arasındaki mülkiyet uyuşmazlıklarında hem de taraflardan birinin kamu gücü olduğu durumlarda geçerlidir. Bu bağlamda mülkiyet hakkının korunmasının söz konusu olduğu durumlarda usule ilişkin güvencelerin somut olayda yerine getirildiğinden sõz edilebilmesi için derece mahkemelerinin kararlarında konu ile ilgili ve yeterli gerekçe bulunmalıdır. Ayrıca belirtmek gerekir ki bu zorunluluk davacının bütün iddialarına cevap verilmesi anlamına gelmemekle birlikte mülkiyet hakkını ilgilendiren davanın sonucuna etkili esasa ilişkin temel iddia ve itirazların yargılama makamlarınca özenli bir şekilde değerlendirilerek karşılanmasıgerekmektedir (Kamil Darbaz ve Gmo Yapı Grup End. San. Tic. Ltd. Şti., B. No: 2015/12563,24/5/2018, § 53). Tarafların muhakeme sırasında ileri sürdükleri iddialarının kurallara uygun biçimde incelenip incelenmediğini bilmeleri, demokratik bir toplumda kendi adlarına verilen yargı kararlarının sebeplerini toplumun öğrenmesinin sağlanması için de gereklidir (Sencer Başat ve diğerleri [GK], B. No: 2013/7800, 18/6/2014, §§ 31, 34).
(2)İlkelerin Olaya Uygulanması
57. Kişisel verilerin korunması hakki, kişinin insan onurunun korunmasımın ve kişiliğini serbestçe geliştirebilmesi hakkının özel bir biçimi olarak bireyin hak ve õzgürlüklerini kişisel verilerin işlenmesi sırasında korumayı amaçlamaktadır (AYM,E.2014/122, K.2015/123, 30/12/2015, §§ 19, 20). Anayasa Mahkemesi kararlarında da belirtildiği üzere kişisel veri -belirli veya kimliği belirlenebilir olmak şartıyla- bir kişiye ilişkin bütün bilgileri ifade etmekte olup bireyin adı, soyadı, doğum tarihi ve doğum yeri gibi sadece kimliğini ortaya koyan bilgileri değil telefon numarası, motorlu taşıt plakası, sosyal güvenlik numarası, pasaport numarası, öz geçmiş, resim, görüntü ve ses kayıtları, parmak izleri, sağlık bilgileri, genetik bilgiler, IP adresi, e-posta adresi, alışveriş alışkanlıkları,hobiler, tercihler, etkileşimde olduğu kişiler, grup üyelikleri, aile bilgileri gibi kişiyi doğrudan veya dolaylı olarak belirlenebilir kılan tüm veriler kişisel veri kapsamındadır (AYM, E.2014/74, K.2014/201, 25/12/2014; E.2014/180, K.2015/30, 19/3/2015).
58. Bu noktada kişisel verilerin korunması ile veri güvenliğinin korunmasının birbirinden farklı olduğunun altı çizilmelidir, Kişisel verilerin korunması ile asıl olarak kişisel verilerin işlenmesi sırasında temel hak ve özgürlüklerin korunması ile verilerin işlenmesi sırasındaki hukuki sınırlar ifade edilirken veri güvenliğinin korunmasında ise verilerin bizzat kendisinin korunması için alınması gereken teknik ve idari tedbirler anlaşılmaktadır.Veri güvenliği ile hukuka uygun bir biçimde işlenen ve depolanan kişisel verilere tesadüfen veya yetkisiz kişilerce ulaşılması, bu verilerin değiştirilmesi veya alenileştirilmesi gibi risklere karşı uygun güvenlik önlemleriyle bu verilerin korunmasıamaçlanmaktadır.

59. 6698 sayılı Kanun'a göre kişisel verilerin hukuka aykırı olarak işlenmesini ve kişisel verilere hukuka aykırı olarak erişilmesini önlemek, kişisel verilerin muhafazasınısağlamak amacıyla uygun güvenlik düzeyinin temin edilmesi zorunludur. Uygun güvenlik seviyesi değerlendirilirken iletilen, saklanan veya işlenen kişisel verilerin tesadüfen veya usulsüz olarak imha edilmesi, kaybediłmesi, değiştirilmesi, yetkisiz şekilde açıklanması veya bunlara erişim başta olmak üzere özellikle işleme faaliyetinin yol açtığı riskler gözönünde 

bulundurulur. Uygun güvenlik düzeyinin belirlenmesinde şirketin büyüklüğü veya mali bilançosunun yanı sıra veri sorumlusunun yaptığı işin ve korunan kişisel verinin niteliği de önemlidir.

60. 6698 sayılı Kanun gereğince veri sorumlusu, kişisel verilerin hukuka aykırıolarak işlenmesini ve kişiseł verilere hukuka aykırı olarak erişilmesini õnlemek, kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır. 6698 sayılı Kanun'da veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasitalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi ifade etmektedir.Öte yandan veri sorumlusu, kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi tarafindan işlenmesi hâlinde Kanun'da belirlenen tedbirlerin alınması hususunda bu kişilerle birlikte mūştereken sorumludur. Veri sorumlusu, kendi kurum veya kuruluşunda 6698 sayılıKanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptırmak zorundadır.

61. Veri güvenliğinin sağlanması amacıyla hangi tedbirin uygulanacağının belirlenmesi hususunda idarelerin belli ölçüde takdir yetkisi bulunmaktadır. Ne var ki seçilen aracın gerekliliğine ilişkin olarak idarelerin sahip olduğu takdir yetkisi sınırsız değildir.Tercih edilen aracın müdahaleyi ulaşılmak istenen amaca nazaran bariz bir biçimde ağırlaştırması durumunda Anayasa Mahkemesince müdahalenin gerekli olmadığı sonucuna ulaşılması mümkündūr. Ancak Anayasa Mahkemesinin bu kapsamda yapacağı denetim,seçilen aracın isabet derecesine yönelik olmayıp hak ve özgürlükler üzerinde oluşturduğu müdahalenin ağırlığına dönüktür. Bu bağlamda veri güvenliğinin sağlanması amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbir yükümlülüğünün getirilmesinin ve bunun ihlali hâlinde ölçülü bir yaptırım uygulanmasının idarenin takdir yetkisi kapsamında olduğunun kabulü gerekir.

62. 6698 sayılı Kanun kapsamında kamu makamlarına veri güvenliği için uygun güvenlik düzeyinin temin edilememesi durumunda idari para cezası uygulama yetkisi tanınmıştır. 6698 sayılı Kanun kapsamında veri güvenliğinin sağlanması amacıyla uygun güvenlik düzeyini temin etmeye yönelik yükümiülüğün ihlali hâlinde idari para cezasıuygulanmasının elverişli bir araç olduğu anlaşılmaktaır.

63. Somut başvuruda başvurucu õncelikle 6698 sayılı Kanun kapsamında veri sorumlusu olarak kendilerinin değil veri ihlalinin yaşandığı devralınan konaklama şirketinin kabul edilmesi gerektiğini iddia etmiştir. Başvurucu, sulh ceza hâkimliğine itiraz ederken Kurul tarafindan verilen kararın usule aykırı olarak tesis edildiğini, hukuken gerekli ve yeterli bir gerekçe içermediğini, idari para cezasının zaman bakımından uygulanabilir olmadığını,idari para cezalarının muhatabının kendisi olmadığıni, dolayısıyla idari para cezasının cezada şahsiliğe aykırı olduğunu, kısa sürede bildirim yükümlülüğünü yerine getirdiğini,mevzuattaki süreye dair belirsizliğin aleyhine yorumlandığını, kanunda süreyle ilgili bir belirleme olmadığını, sürenin ne olması gerektiğine ilişkin olarak Kurul tarafindan verilen kararların somut olaydan sonra verildiğini, dolayısıyla somut olayda uygulanamayacağını,kişisel verilerin korunmasında kusur sorumluluğunun esas olduğunu, tüm tedbirleri almasına ve kusuru olmamasına rağmen ceza verilmesinin hukuka aykırı olduğunu, idari para cezasının ölçülūlūk ilkesine ve diğer cezaya konu edilen olaylar ile karşılaştırıldığında eşitlik ilkesine aykırı olduğunu belirtmiştir. Başvurucunun bu iddialarının yargılama sürecinin būtünūnü etkileyen önemli ve karşılanması gereken iddialar olduğu açıktır. Başvurucunun bu itirazları hakkında Hâkimlik tarafından hiçbir değerlendirme yapılmadığı görülmüştür (bkz.§

19). Bu sebeple mülkiyet hakkının korunmasına yönelik usule ilişkin güvencelerin somut olayda yerine getirilmediği sonucuna varılmıştır.

64. Açıklanan gerekçelerle Anayasa'nın 35. maddesinde güvence altına alınan mülkiyet hakkının ihlal edildiğine karar verilmesi gerekir.

. Giderim Yönünden 
65. Başvurucu, ihlalin tespiti ve yeniden yargılama yapılması talebinde bulunmuştur.

66. Başvuruda tespit edilen hak ihlalinin sonuçlarının ortadan kaldırılması için yeniden yargılama yapılmasında hukuki yarar bulunmaktadır. Bu kapsamda kararın gönderildiği yargı merciferince yapılması gereken iş, yeniden yargılama işlemlerini başlatmak ve Anayasa Mahkemesini ihlal sonucuna ulaştıran nedenleri gideren, ihlal kararında belirtilen ilkelere uygun yeni bir karar vermektir (30/3/2011 tarihli ve 6216 sayılıi Anayasa Mahkemesinin Kuruluşu ve Yargılama Usulleri Hakkında Kanun'un 50. maddesinin (2) numaralı fikrasında düzenlenen bireysel başvuruya özgü yeniden yargılama kurumunun özelliklerine ilişkin kapsamlı açıklamalar için bkz. Mehmet Doğan [GK], B. No: 2014/8875,7/6/2018, §§ 54-60; Aligül Alkaya ve diğerleri (2), B, No: 2016/12506, 7/11/2019, §§ 53-60,66; Kadri Enis Berberoğlu (3) [GK], B. No: 2020/32949, 21/1/2021, §§ 93-100).
VI. HKÜM 
Açıklanan gerekçelerle;
KABULÜNE,A. Kamuya açık belgelerde başvurucunun kimliğinin gizli tutulması talebinin 
OLDUĞUNA,B. Mülkiyet hakkının ihlal edildiğine ilişkin iddianın KABUL EDiLEBİLİR 
EDİLDİĞİNE,C. Anayasa'nın 35. maddesinde güvence altına alınan mülkiyet hakkının İHLAL 
D. Kararın bir örneğinin mülkiyet hakkının ihlalinin sonuçlarının ortadan kaldırılması için yeniden yargılama yapılmak üzere İstanbul Anadolu l. Sulh Ceza Hâkimliğine (2019/8868 D. İş) GÖNDERİLMESİNE,
E. 446,90 TL harç ve 18.800 TL vekâlet ücretinden oluşan toplam 19.246,90 TL yargılama giderinin başvurucuya ŌDENMESİNE,
F. Ödemenin kararın tebliğini takiben başvurucunun Hazine ve Maliye Bakanlığına başvuru tarihinden itibaren dört ay içinde yapılmasına, ödemede gecikme olmasıhâlinde bu sürenin sona erdiği tarihten ödeme tarihine kadar geçen süre için yasal FAiZ UYGULANMASINA,
G. Kararın bir örneğinin Adalet Bakanlığına GÖNDERiLMESiNE 12/10/2023tarihinde OYBİRLIĞİYLE karar verildi.