ESAS NO : 2024/361
KARAR NO : 2026/211
KARAR TR : 13/04/2026
ÖZET: Spor salonu üyelerine ait el geometrisi niteliğindeki biyometrik verilerin açık rıza olmaksızın işlenmesi nedeniyle tesis edilen idari para cezasının hukuka uygun olduğunun saptanması karşısında; idari yaptırım kararının kaldırılması istemiyle yapılan itiraz neticesinde ceza miktarının alt sınırdan düzeltilmesine ilişkin Sakarya 1. Sulh Ceza Hakimliğinin 08/03/2023 tarih ve D.İş.2022/6842 sayılı kararının KALDIRILMASINA, hukuk ve usule uygun bulunan Ankara 20. İdare Mahkemesinin 16/11/2023 tarih ve E.2023/495, K.2023/1523 sayılı KARARININ KABULÜNE ve bu suretle HÜKÜM UYUŞMAZLIĞININ GİDERİLMESİNE karar verilmesi hk.
Hüküm Uyuşmazlığının
Giderilmesini İsteyen
Davacı : K. F. L. S. S. L. Ş.
Vekili : Av. B. Ü.
Davalı : Kişisel Verileri Koruma Kurulu Başkanlığı
Vekili : Av. G. K.
Ankara 20. İdare Mahkemesi 25/11/2022 tarih ve E.2022/711, K.2022/1897 sayılı kararı ile; davanın görev yönünden reddine karar vermiş, bu karara karşı davacı vekilince istinaf kanun yoluna başvurulması üzerine, Ankara Bölge İdare Mahkemesi 10. İdari Dava Dairesi 08/03/2023 tarih ve E.2023/13, K.2023/1277 sayılı kararı ile istinaf isteminin kabulüne, Ankara 20. İdare Mahkemesince verilen kararın kaldırılmasına, 2577 sayılı Kanun'un 45/5. maddesi uyarınca yeniden karar verilmek üzere dava dosyasının mahkemesine iadesine kesin olarak karar vermiştir.
Ankara 20. İdare Mahkemesi 16/11/2023 tarih ve E.2023/495, K.2023/1523 sayılı kararı ile; davanın esastan reddine karar vermiş, bu karara karşı davacı vekilince yapılan istinaf başvurusu Ankara Bölge İdare Mahkemesi 10. İdari Dava Dairesinin 16/04/2024 tarih ve E.2024/1466, K.2024/2095 sayılı kararı ile reddedilerek ilk derece mahkemesi kararı kesinleşmiştir. İdare mahkemesi kararının ilgili kısmı şöyledir:
"...Dava, davacı şirket tarafından, hakkında yapılan şikayet üzerine 6698 sayılı Kişisel Verileri Koruma Kanunu'na aykırı olarak kişisel verilerin işlendiğinden ve anılan Kanun'un 12. maddesinde yer alan yükümlülüğüne aykırı davranıldığından bahisle; 1- Kişisel Verileri Koruma Kanunu'nun 18. maddesinin 1. fıkrasının b bendi uyarınca 100.000,00-TL idari para cezası uygulanmasına, 2- Giriş çıkış amacıyla biyometrik veri niteliğinde özel nitelikli kişisel veri işlenmesi uygulamasının Kanun'un 15. maddesinin 7. fıkrası kapsamında durdurulmasına, veri sorumlusu tarafından bugüne kadar işlenen ve muhafaza edilen "el geometrisi" ile ilgili verilerin Kanun'un 7. maddesi ile Kişisel Verilerin Silinmesi, Yok edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik hükümlerine uygun olarak ivedilikle yok edilmesi, eğer ilgili özel nitelikli verilerin üçüncü kişilere aktarılması söz konusu ise yok etmeye yönelik işlemlerin bu verilerin aktarıldığı üçüncü kişilere ivedilikle bildirilmesinin sağlanması hususunda veri sorumlusu olarak talimatlandırılmasına ilişkin Kişisel Verileri Koruma Kurulu'nun 07/07/2022 tarih ve 2022/662 sayılı kararını iptali istemiyle açılmıştır.
6698 sayılı Kişisel Verilerin Korunması Kanunu'nun "Kişisel verilerin işlenme şartları" başlıklı 5. maddesinde, "(1) Kişisel veriler ilgili kişinin açık rıza olmaksızın işlenemez. (2) Aşağıdaki şartlardan birinin
varlığı hâlinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesi mümkündür: a) Kanunlarda açıkça öngörülmesi. b) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatın veya beden bütünlüğünün korunması için zorunlu olması. c) Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması. c) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması. d) İlgili kişinin kendisi tarafından alenileştirilmiş olması. e) Bir hakkın tesisisi, kullanılması veya korunmasti için veri işlemenin zorunlu olması. f) İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, menfaatleri için veri işlenmesinin zorunlu olması."; "Özel nitelikli kişisel verilerin işlenme şartları" başlıklı 6.maddesinde, "(1) Kişilerin irka, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeleriği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir. (2) Özel nitelikli kişisel verilerin, ilgilinin açık rızası olmaksızın işlenmesi yasaktır. ... (4) Özel nitelikli kişisel verilerin işlenmesinde, ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır."; "Kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesi" başlıklı 7.maddesinde, "(1) Bu Kanun ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel veriler resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinir, yok edilir veya anonim hâle getirilir. (2) Kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesine ilişkin diğer kanunlardaya yer alan hükümler saklıdır. (3) Kişisel verilerin silinmesine, yok edilmesine veya anonim hâle getirilmesine ilişkin usul ve esaslar yönetmelikle düzenlenir."; "Veri güvenliğine ilişkin yükümlülükler" başlıklı 12.maddesinde, "(1) Veri sorumlusu; a) Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, b) Kişisel verilere hukuka aykırı olarak erişilmesini önlemek, c) Kişisel verilerin muhafazasını sağlamak, amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türli teknik ve idari tedbirleri almak zorundadır. ..."; "Şikâyet üzerine veya resen incelemenin usul ve esasları" başlıklı 15.maddesinde, "(1) Kurul, şikâyet üzerine veya ihlal iddiasını öğrenmesi durumunda resen, görev alanına giren konularda gerekli incelemeyi yapar. ... (7) Kurul, telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılık olması hâlinde, veri işlenmesinin veya verinin yurt dışına aktarılmasının durdurulmasına karar verebilir." "Kabahatler" başlıklı 18.maddesinde, "(1) Bu Kanunun; a) 10 uncu maddesinde öngörülen aydınlatma yükümlülüğünü yerine getirmeyenler hakkında 5.000 Türk lirasından 100.000 Türk lirasına kadar, b) 12 nci maddesinde öngörülen veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler hakkında 15.000 Türk lirasından 1.000.000 Türk lirasına kadar, c) 15 inci maddesi uyarınca Kurul tarafından verilen kararları yerine getirmeyenler hakkında 25.000 Türk lirasından 1.000.000 Türk lirasına kadar, ç) 16 ncı maddesinde öngörülen Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırı hareket edenler hakkında 20.000 Türk lirasından 1.000.000 Türk lirasına kadar, idari para cezası verilir. ..." hükümlerine yer verilmiştir.
Dava dosyasının incelenmesinden, 09/11/2020 tarih ve E.36592 sayılı dilekçe ile davaltı idareye yapılan şikayet üzerine Kişisel Verileri Koruma Kurulu'nun 15/12/2020 tarih ve 2020/945 sayılı Kararı ile davacı şirket hakkında inceleme başlatıldığı, yapılan inceleme neticesinde 6698 sayılı Kişisel Verileri Koruma Kanunu'na aykırı olarak kişisel verilerin işlendiği ve anılan Kanun'un 12. maddesinin 1. fıkrasında yer alan yükümlülüğü aykırı davranıldığından bahisle Kişisel Verileri Koruma Kurulu'nun 07/07/2022 tarih ve 2022/662 sayılı kararı ile Kişisel Verileri Koruma Kanunu'nun 18. maddesinin 1. fıkrasının (b) bendi uyarınca 100.000,00-TI. idari para cezası uygulanmasına, Giriş çıkış amacıyla biyometrik veri niteliğinde özel nitelikli kişisel veri işlenmesi uygulamasının Kanun'un 15. maddesinin 7. fıkrası kapsamında durdurulmasına, veri sorumlusu tarafından bugüne kadar işlenen ve muhafaza edilen "el geometrisi" ile ilgili verilerin Kanun'un 7. maddesi ile Kişisel Verilerin Silinmesi, Yok edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik hükümlerine uygun olarak ivedilikle yok edilmesi, eğer ilgili özel nitelikli verilerin üçüncü kişilere aktarılması söz konusu ise yok etmeye yönelik işlemlerin bu verilerin aktarıldığı üçüncü kişilere ivedilikle bildirilmesinin sağlanması hususunda veri sorumlusu olarak talimatlandırılmasına karar verilmesi üzerine bakılmakta olan davanın açıldığı anlaşılmaktadır.
Olayda, şikayetçinin Kurum'a iletiği 09/11/2020 tarih ve E.36592 sayılı dilekçesinde özetle "Kampüs Fit Life adlı spor salonuna kayıt yaptırırken spor salonuna giriş yapabilmek için şirket tarafından avuç içi ve parmak izinin tarandığı ve bu verilerin şirket kayıtlarında işlendiği, üyelerin cihaza elini koyarak ve üyelere verilen şifreyi tuşlayarak spor salonuna girişin sağlandığı, üyelik girişindeki bu uygulamanın nedenini sorduğunda ise; bu işlemin şirket prosedürü olduğu ve avuç içi ve parmak izi taratılmadan spor salonuna girilemeyeceğinin tarafına iletiliği, ayrıca üyeleriin yapılabilmesi için Kanunen geçerli bir açık rızası olmaksızın avuç içi ve parmak izinin taratıldığı, sözleşmesinin feshinden sonra 23/09/2020 tarihinde özel nitelikli kişisel verilerinin yok edilmesi ve kişisel verilerinin 3. kişilere aktarılp aktarılmadığını öğrenmek amacıyla yaptığı başvuruya verilen cevabı yetersiz bulması üzerine Kuruma şikayette bulunma zorunluluğunun doğduğunun" ifade edildiği, yapılan inceleme kapsamında davacı şirketten 12/04/2021 tarih ve E.52999 sayılı yazı ile konuyla ilgili bilgi, belge ve kayıtların istenildiği ve Veri Sorumlusu Tanıtım Formunun doldurularak Kurum'a iletilmesinin talep edildiği, davacı şirket tarafından 20/05/2021 tarih ve E.56064 sayılı cevabı yazıda "salona kayıtlı olan abonelerin, salona girişlerinde, kimlik tanıma amaçlı olarak "S. H. II. E. G. T." marka bir cihaz kullanıldığı, bu cihazın parmak veya avuç izi alımından farklı olarak kişilerin "el geometrilerini" sisteme kaydettiği, cihaza konulan elin yalnızca üst kısmının tarandığı, parmak izi veya avuç izinin bulunduğu elin iç kısmını tarayacak herhangi bir mekanizmanın cihazda bulunmadığı, parmak veya avuç izinin kişiden kişiye
değişmezken, el geometrisinin bu tarz kişiye ait bir özelliğinin bulunmadığı, bu durum KVKK kapsamında değerlendirildiğinde, parmak veya avuç izi kişiden kişiye değiştiği için özel nitelikli kişisel veri iken el geometrisinin başkaca iki insanda aynı çıkabileceği için sadece kişisel veri hükmünde bir veri olduğu, bu nedenlerle ilgili kişinin, şirketin abonelerinden parmak izi veya avuç izini aldığı iddiasının tamamıyla gerçek dışı bir iddia olduğu, ilgili kişinin üyelere şifre verildiği iddiasının doğru olmadığı, abonelerin kendi şifrelerini kendilerinin oluşturduğu, bunun amacının salona ilgili kişiden başkasının girmesini önlemek, aboneliğin kötüye kullanımının önüne geçmek olduğu, söz konusu önlemler alınırken gerek KVKK'nin herhangi bir hükmünün gerekse de Kurulun ilke kararlarından hiçbirinin ihlal edilmediği, işlenen kişisel verilerin, KVKK 5 inci madde kapsamında kaldığı ve bu verilerin Kanun 5/2/c madde kapsamındaki gerekçeyle işlendiği" ileri sürülerek, yazı ekinde 'el geometrisi' cihazının faturası, cihazın resmi ile diğer ilgili belgeler ve Veri Sorumlusu Tanıtım Formu'nun Kurum'a iletildiği, bu bilgi ve belgeler ışığında bahse konu cihaz ile ilgili Kurum tarafından yapılan araştırmada "Schlage HandKey II Biyometrik El Terminali isimli cihazın eli 31.000 noktasından üç boyutlu olarak taradığı, elin ve parmakların karakteristiklerini analiz ettiği, tarama sırasında parmakların uzunluğu, birleşme noktaları arasındaki uzaklıklar, parmaklardaki oynak yerlerinin geometrisi gibi noktalara dikkat ettiği, el geometrisinde her el için 9 karakterlik bir kodun mevcut olduğu, bu 9 karakterden her birinin 10 rakam ve 26 harften oluşan toplam 36 olasılık içeriği yani sistemin yanılma olasılığının çok düşük olduğunun matematiksel olarak açık ve net olduğu, veri sorumlusu tarafından baska bir kişi ile eşleme ihtimaline binaen şifre ile ikincil bir doğrulama olduğu ifade edilse de cihaza ilişkin açıklamalarda önce kod grilerek kişinin kendine ait görüntüyü çağırdığı ve elini cihazın altına koyduğu anda doğrulamanın 1 sn'nin altında bir hızla gerçekleştiği" tespitlerine yer verildiği, bu kapsamda Kurum tarafından el geometrisinin çıkarılması suretiyle biyometrik bir yöntemle kimlik doğrulaması yapıldığı ve özel nitelikli kişisel veri işlendiği sonucuna varılarak Kişisel Verileri Koruma Kurulu tarafından alınan 07/07/2022 tarih ve 2022/662 sayılı kararı üzerine görülmekte olan davanın açıldığı anlaşılmaktadır.
Bu durumda, bir verinin biyometrik veri kapsamında değerlendirilebilmesi için o verinin sadece o kişiyi tanımlayabilme ya da doğrulayabilme özelliğine sahip olmasının kriter olarak arandığı, söz konusu olayda spor salonu abonelerinin salona giriş denetimlerinde el geometrisi bilgilerinin işlendiği, bu kapsamda davacı şirket tarafından kullanılan cihaz aracılığıyla el ve parmakların analizinin yapıldığı, ilgili kişi ile eşleşmeye ilişkin yanılma oranının çok düşük olduğu, el geometrisi çıkarılması yönteminin kişinin fizyolojik özelliği aracılığıyla gerçekleştirilen ve otomatik şekilde doğrulanabilen bir kimlik denetleme yöntemi olduğu dikkate alındığında el geometrisinin biyometrik veri olarak kabul edilmesi gerektiği, bu kapsamda özel nitelikli kişisel veri niteliğini haiz olan biyometrik verinin işlenmesinin ancak ilgilinin açık rızasının bulunması veya kanunlar tarafından açıkça öngörülmesi halinde mümkün olacağı, davacı şirketin 6698 sayılı Kanun'un 6. maddesine aykırı olarak şikayetçi ilgili kişinin ve spor salonunun diğer üyelerinin özel nitelikli kişisel veri niteliğindeki biyometrik verilerini açık rıza bulunmaksızın işlemek suretiyle veri güvenliğine ilişkin yükümlülüklerini yerine getirmeyen davacı hakkında tesis edilen işlemde hukuka aykırılık bulunmadığı sonucuna varılmaktadır.
Açıklanan nedenlerle, davanın reddine, karar verildi."
"İtiraz Eden vekili tarafından, 07/12/2022 tarihli dilekçe ile Kişisel Verileri Koruma Kurumunun 07/07/2022 tarihli ve 2022/662 sayılı kararı ile itiraz eden Kampüs F'it Life Spor Salonu Limited Şirketi hakkında uygulanan 100.000,00-TL'lik idari para cezasının iptaline karar verilmesini talep etmiş olmakla, dosya üzerinde yapılan inceleme sonucunda;
GEREĞİ DÜŞÜNÜLDÜ:
İtiraz eden dilekçesinde özetle; Müvekkil şirket hakkında KVKK mevzuatına aykırı davranıldığı gerekçesiyle, davalı idare nezdinde B. D. tarafından şikayette bulunulmuştur... İdari yaptırım kararında karara karşı başvurulabilecek kanun yolu, mercii ve itiraz süresi açık bir şekilde gösterilmemiştir. İdari yaptırım kararı
bu açıdan sakat ve hukuka aykırıdır... Bu noktada müvekkil şirketin herhangi bir kusur ve sorumluluğu bulunmamaktadır. Davalı idare müvekkil şirketi açık, net ve doğru bir şekilde bilgilendirmemiştir... El geometrisinin işlendiğinin iddia edildiği müvekkil şirkete ait cihaz kişisel veri toplayan bir cihaz değildir. Bu nedenle el geometrisi taranarak herhangi bir özel nitelikli kişisel veri işlenmemiştir... Müvekkil şirketin abonelerinin cihaza tarattığı el geometrisi verisi, özel nitelikli kişisel veri değildir. Bu kapsamda KVKK hükümleri ihlal edilmemiştir... Müvekkil şirket, spor salonu abonelerine ait kişisel verilerle ilgili olarak KVKK ve kurul kararları kapsamında hukuka uygun işlemler yapmış olup, müvekkil şirket hakkında herhangi bir idari yaptırım kararı düzenlenmesi hukuken mümkün değildir.. Davalı idarenin kararında müvekkil şirket hakkında hükmedilen para cezasının nasıl hesaplandığı açıklanmamış, söz konusu idari para cezası kaba taslak olarak kalıplaşmış ifadelerle belirtilerek takdir yetkisi keyfi kullanılmıştır. İdari para cezası orantısız ve hakkaniyete aykırıdır... diyerek cezanın kaldırılmasını talep ettiği bildirmiştir.
Kararınza itiraz edilen kuruma müzekkere yazılarak trafik idari para cezası karar tutanağının esasına ilişkin belgeler getirtilmiştir.
Kişisel Verileri Koruma Kurumunun hâkimliğimize göndermiş olduğu savunma dilekçesinde özetle; İşbu itiraza cevap dilekçemizde öncelikle (1) numaralı başlık altında başvuru sahibi Bahadır DİRİM tarafından yapılan şikayet üzerine müvekkil Kurumca başlatılan inceleme kapsamında yürütülen işlemlere ilişkin açıklamalarımıza yer verilmekte, daha sonra itiraz nedenlerine ilişkin cevaplarımız sunulmaktadır.
I. Bahadır DİRİM'in müvekkil Kuruma yapmış olduğu şikayet başvurusu üzerine başlatılan inceleme kapsamında yürütütilen işlemler:
Bahadır DİRİM'den alınan ve müvekkil Kuruma 19/1 1/2020 tarihli ve 36592 sayı ile intikal eden dilekçede (Ek:2) özetle;
Kampüs Fit Life adlı spor salonuna kayıt yaptırırken spor salonuna giriş yapabilmek için K. F. L. S. S. L. Ş. tarafından avuç içi ve parmak izinin tarandığı ve bu verilerin şirket kayıtlarında işlendiği, üyelerin cihaza elini koyarak ve üyelere verilen şifreyi tuşlayarak spor salomına girişin sağlandığı,
İlgili kişi tarafından veri sorumlusuna üyelik girişinde bu uygulamanın nedenini sorduğunda; bu işlemin şirket prosedürü olduğu ve avuç içi ve parmak izi taratılmadan spor salonuna girilemeyeceğiinin tarafına iletildiği, ilaveten üyeliğinin yapılabilmesi için Kanunen geçerli bir açık rızası olmaksızın avuç içi ve parmak izinin taratıldığı,
Sözleşmesinin feshedilmesinden sonra 23/09/2020 tarihinde, iadeli taahhütlü posta yoluyla 6698 sayılı Kanun uyarınca veri sorumlusu şirkete başvuruda bulunduğu, 26/09/2020 tarihinde başvurusunun veri sorumlusuna ulaştığı ve veri sorumlusu tarafından 12/10/2020 tarihinde e-posta adresine, cevabın iletildiği, ancak kendisine verilen cevabı yetersiz bulduğu, bu nedenle müvekkil Kuruma şikayette bulunma zorunluluğunun doğduğu ifade edilerek 6698 sayılı Kanun kapsamında gereğinin yapılması talep edilmiş olup şikâyetinin ekinde 23/09/2020 tarihli veri sorumlusuna başvuru formuna, 12/10/2020 tarihli veri sorumlusunun e-posta aracılığıyla iletiği cevap yazısına, ilgili sistemine ilişkin görüntüye ve posta gönderi belgelerine yer verildiği görülmüştür...
...Söz konusu hükümden açıkça anlaşılacağı üzere, genel bilgi veya tecrübeyle ya da hakimlik mesleğinin gerektirdiği hukuki bilgiyle çözümlenmesi mümkün olan konularda bilirkişiye başvurulamayacaktır.
Oysa, kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemek amacıyla kabul edilmiş olan 6698 sayılı Kişisel Verilerin Korunması Kanununun yer alan hususlar yukarıda detaylı şekilde açıklandığı üzere tamamıyla hukuki konulardan oluşmakta olup, hiçbir özel nitelik ya da teknik bir husus içermemektedir. Nitekim, gerek 07/07/2022 tarihli ve 2022/662 sayılı Kurul Kararı ve işlem dosyasındaki diğer belgeler, gerek davaya cevap dilekçemizin incelenmesinden, davacı hakkında tesis edilen Kurul Kararlarının hukuki dayanakları ve sebeplerinin Sayın Hâkimliğinizce kolaylıkla anlaşılabilecek nitelikte olduğu açıkça görülecektir. Hal böyle iken, davacı tarafça bilirkişilik müessesesinin yapısına aykırı olacak şekilde bilirkişi tayinin talep edilmesi tamamıyla hukuka aykırı olup, davacı tarafın bu yöndeki talebinin reddi gerekmektedir.
Sonuç olarak, itiraza konu idari para cezasına ilişkin Kişisel Verileri Koruma Kurulunun 07/07/2022 tarihli ve 2022/662 sayılı kararı hukuka uygun olarak tesis edilmiş olup, haksız ve yasal dayanaktan yoksun olan itirazın reddini talep etmek zorunluluğu hâslı olmuştur... cevap verdiği görülmüştür.
Tüm dosya kapsamı birlikte değerlendirildiğinde; Muteriz taraf, spor salonu içlettiklerini, burada müştekinin girişlerinin sağlanması için el geometrilerinin alındığı ve ayrıca şifre ile de teyit yapıldığını, bu verilerin parmaklarından farklı olduğunu, parmak izi gibi kişiye özel olmayıp herkesin el geometrilerinin başka biriyle de benzer olabileceği, bu sebeple şifre ile teyit yapıldığını, ayrıca bu verilere kişinin kendisi ile spor eğitmeninin ulaşıbilediği beyan edilmiştir.
El geometrisinde biyometrik veri olduğu hususu açık olmakla birlikte, kuruma yazılan müzekkerelere verilen cevap eklerinin incelenmesinde, kuruma başvuran Bahadır DİRİM'in muteriz tarafı 07/10/2020 günü kişisel bilgilerin silinmesini içeren e-mail başvurusuna muteriz tarafından 12/10/2020 olumlu cevap verilmiş olduğu, biyometrik veri kategorisinde bulunan el geometrilerinin 6698 sayılı Kanunun 6'ncı maddesinde aranan şartlar olmadan kaydedildiği görülmüş, bu hususta düzenlenen 07/07/2022 tarih ve 2022/662 karar sayılı rapor
ile dosyadaki diğer delillerin bulunduğu, sabit olmakla, muteriz hakkında bahsi geçen mevzuata aykırılıktan dolayı 6698 Sayılı Kanunun 18/1-b maddesi uyarınca alt sınırdan uzaklaşılarak ceza tedbirleri yapılmış, (muteriz beyanları, kurum cevap yazıları ile) ancak ceza tatbikinde alt sınırdan uzaklaştırılmasının gerekçesi net olarak anlaşılmamakla birlikte muteriz taraf hakkında uygulanan ceza miktarının eylem tarihi olan 2020 yılı yeniden değerleme olan alt sınırdan 27.037,00 TL olarak düzeltilmesi gerektiği anlaşılmış olup aşağıdaki hükümluftur.
HÜKÜM: Yukarıda açıklanan nedenlerle;
1-İtiraz eden Kampüs Fit Life Spor Salonu Limited Şirketi vekili Av. B. Ü.n itirazının KISMEN KABULÜNE ve KISMEN REDDİNE,
2-Kişisel Verileri Koruma Kurumunun 07/07/2022 tarihli ve 2022/662 sayılı idari para ceza tutanağındaki ceza miktarının 100.000,00 TL'den DEĞİŞTİRİLEREK 27.037,00 TL olarak DÜZELTİLMESİNE,
3-Kararın taraflara tebliğine,
4-İtiraz nedeniyle taraflara yapılacak tebliğat ve posta giderleri de eklenerek oluşan toplam masrafın itiraz edenden tahsili ile HAZİNEYE İRAD KAYDINA,
Dair, kararın taraflara tebliğinden itibaren 7 gün içerisinde Sakarya 2. Sulh Ceza Hakimliğine İTİRAZ yolu açık olmak üzere dosya üzerinde yapılan inceleme sonunda karar verildi."
Idari ve adli yargı yerinde davacı olan K. F. L. S. S. L. Ş., idari yargı yerinde 07/07/2022 tarihli ve 2022/662 sayılı idari para cezasının hukuka uygun bulunarak davanın reddine, adli yargı yerinde ise aynı cezanın orantısız olduğu gerekçesiyle 27.037 TL olarak düzeltilmesine karar verildiğini, her iki kararın da kesinleşmesi nedeniyle hakkın yerine getirilmesinin imkânsız hale geldiğini ve uygulamada tereddüt doğduğunu ileri sürerek, ortaya çıkan hükümlu uyuşmazlığının Uyuşmazlık Mahkemesi Başkanlığı tarafından yapılacak esastan inceleme neticesinde 07/07/2022 tarihli ve 2022/662 sayılı idari işlemin tümden iptal edilmesi suretiyle giderilmesi talebinde bulunmuştur.
Uyuşmazlık Mahkemesi Başkanlığına 2247 sayılı Kanun'un 24. ve 16. maddelerine göre ilgili Başsavcıların yazılı düşünceleri istenilmiştir.
"HUKUKİ SÜREÇ :
Dava 1: Kişisel Verileri Koruma Kurumunun 07/07/2022 tarihli ve 2022-662 sayılı kararı ile davacı şirkete verilen 100.000 TL idarî para cezasının iptaline karar verilmesi istemi ile Sakarya 1. Sulh Ceza Hakimliğinde açılan dava neticesinde anılan Mahkemenin 08/03/2023 tarihli ve Değişik İş No: 2022/6842 D. İş. K:2022/6842 sayılı kararı ile; el geometrisinin biometrik veri olduğu hususu açık olmakla birlikte kurumca verilen cevap eklerinin incelenmesinden, kuruma başvuran şikayetinin 07/10/2020 günlü kişisel bilgilerinin silinmesini içeren e-mail başvurusuna 12/10/2020 tarihinde olumlu cevap verildiği, biometrik veri kategorisinde verilen el geometrilerinin 6698 sayılı Kanunun 6. maddesinde aranan şartlar olmadan kaydedildiği, bu hususta düzenlenen 07/07/2022 tarihli ve 2022-662 karar sayılı rapor ile dosyadaki diğer delillerin bulunduğunun sabit olduğu, 6698 sayılı Kanunun 6. maddesinde aranan şartlar olarak kaydedildiği, aynı Kanunun 18/1-b maddesi uyarınca alt sınırdan uzaklaşılarak ceza verildiği, ceza tatbikinde alt sınırdan uzaklaştırılmasının gerekçesi net olarak anlaşılmamakla birlikte, davacı hakkında uygulanan ceza miktarının eylem tarihi olan 2020 yılı yeniden değerleme oranına göre alt sınır olan 27.037 TL olarak düzeltilmesi gerektiği gerekçesi ile davacının itirazının kısmen kabulüne, kısmen reddine, Kişisel Verileri Koruma Kurumunun 07/07/2022 tarihli ve 2022/662 sayılı idarî para cezası tutanağındaki ceza miktarının 100.000 TL yerine 27.037 TL olarak düzeltilmesine karar verilmiş, bu karara yapılan itiraz Sakarya 2. Sulh Ceza Hakimliğince reddedilerek karar kesinleşmiştir.
Dava 2:
Davacı şirketin 6698 sayılı Kişisel Verileri Koruma Kanunu'na aykırı olarak kişisel verileri işlediğinden ve anılan Kanun'un 12. maddesinin 1. fıkrasında yer alan yükümlülüğüne aykırı davrandığından bahisle Kişisel Verileri Koruma Kanunu'nun 18. maddesinin 1. fıkrasının (b) bendi uyarınca 100.000 TL idari para cezası uygulanmasına, giriş çıkış amacıyla biyometrik veri niteliğinde özel nitelikli kişisel veri işlenmesi uygulamasının Kanun'un 15. maddesinin 7. fıkrası kapsamında durdurulmasına, veri sorumlusu tarafından bugüne kadar işlenen ve muhafaza edilen "el geometrişi" ile ilgili verilerin Kanun'un 7. maddesi ile Kişisel Verilerin Silinmesi, Yok edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik hükümlerine uygun olarak ivedilikle yok edilmesi, eğer ilgili özel nitelikli verilerin üçüncü kişilere aktarılması söz konusu ise yok etmeye yönelik işlemlerin bu verilerin aktarıldığı üçüncü kişilere ivedilikle bildirilmesinin sağlanması hususunda veri sorumlusu olarak talimatlandırılmasına ilişkin Kişisel Verileri Koruma Kurulu'nun 07/07/2022 tarihli ve 2022/662 sayılı kararının iptali istemiyle idarî yargıda açılan davada, Ankara 20. İdare Mahkemesinin 16/11/2023 tarihli ve E:2023/495, K:2023/1523 sayılı kararı ile; bir verinin biyometrik veri kapsamında değerlendirilebilmesi için o verinin sadece o kişiyi tanımlayabilme ya da doğrulayabilme özelliğine sahip olmasının kriter olarak arandığı,
olayda spor salonu abonelerinin salona giriş denetimlerinde el geometrisi bilgilerinin işlendiği, bu kapsamda davacı şirket tarafından kullanlan cihaz aracılığıyla el ve parmakların analizinin yapıldığı, ilgili kişi ile eşleşmeye ilişkin yanılma oranının çok düşük olduğu, el geometrisi çıkarılması yönteminin kişinin fizyolojik özelliki aracılığıyla gerçekleştirilen ve otomatik şekilde doğrulanabilen bir kimlik denetleme yöntemi olduğu dikkate alındığında el geometrisinin biyometrik veri olarak kabul edilmesi gerektiği, bu kapsamda özel nitelikli kişisel veri niteliğini haiz olan biyometrik verinin işlenmesinin ancak ilgilinin açık rızasının bulunması veya kanunlar tarafından açıkça öngörülmesi hâlinde mümkün olacağı, davacı şirketin 6698 sayılı Kanun'un 6. maddesine aykırı olarak şikayetçinin ve spor salonunun diğer üyelerinin özel nitelikli kişisel veri niteliğindeki biyometrik verilerini açık rıza bulunmaksızın işlemek suretiyle veri güvenliğine ilişkin yükümlülüklerini yerine getirmediği, dolayısıyla hakkında tesis edilen işlemde hukuka aykırılık bulunmadığı gerekçesiyle davanın reddine karar verilmiştir. Bu karara karşı istinaf kanun yoluna başvurulması sonucunda Ankara Bölge İdare Mahkemesi 10. İdarî Dava Dairesinin 16/04/2024 tarihli ve E:2024/1466, K:2024/2095 sayılı kararı ile istinaf isteminin temyiz yolu kapalı olmak üzere kesin olarak reddine karar verilmek suretiyle karar kesinleşmiştir.
Farklı yargı yerlerinde açılmış olan bu davaların tarafı olan Kampüs Fit Life Spor Salonu Limited Şirketi vekili tarafından, söz konusu kararların birbirleriyle çeliştiği ileri sürülerek hüküm uyuşmazlığının giderilmesi istenilmiştir.
2247 sayılı Uyuşmazlık Mahkemesinin Kuruluşu ve İşleyişi Hakkında Kanun'un 24. maddesinde; adlî ve idarî yargı mercileri tarafından, görevle ilgili olmaksızın kesin olarak verilmiş veya kesinleşmiş, aynı konuya ve sebebe ilişkin, taraflarından en az biri aynı olan ve kararlar arasındaki çelişki yüzünden hakkın yerine getirilmesi olanaksız bulunan hallerde hüküm uyuşmazlığının varlığının kabul edileceği, ilgili kişi veya makamın Uyuşmazlık Mahkemesine başvurarak hüküm uyuşmazlığının giderilmesini isteyebileceği kurala bağlanmıştır.
Bu kanunî dizenlemeye göre, huküm uyuşmazlığının varlığı için;
a) Uyuşmazlık bulunduğu ileri sürülen hükümlerin, adlî ve idarî yargı mercilerince verilmesi,
b) Konusu, sebebi ve taraflardan en az birinin aynı olması,
c) Her iki kararın da kesinleşmiş olması,
d) Davaların esasının hukme bağlanmış bulunması,
e) Kararlar arasındaki çelişki nedeniyle hakkın yerine getirilmesinin olanaksız bulunması şartlarının birlikte gerçekleşmesi gerekmektedir.
Hüküm uyuşmazlığı bulunduğu ileri sürülen kararların incelenmesinden, ortada adlî ve idarî yargı yerlerince verilmiş ve kesinleşmiş kararların bulunduğu, davanın konusu, sebebi ve taraflarının aynı olduğu, her iki davada da uyuşmazlığın esasının hukme bağlandığı, idarî yargıda idarî para cezasına karşı açılan davanın reddedilmesine karşın, adlî yargıda cezanın kısmen iptal edildiği anlaşılmakta olup, adlî ve idarî yargı mercilerinin kararları arasında huküm uyuşmazlığı bulunduğu sonucuna varılmıştır.
6698 sayılı Kişisel Verilerin Korunması Kanununun 1. maddesinde, "Bu Kanunun amacı, kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemektir." 2. maddesinde, "Bu Kanun hükümleri, kişisel verileri işlenen gerçek kişiler ile bu verileri tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişiler hakkında uygulanır." 6. maddesinde, "(1) Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir.
(2) Özel nitelikli kişisel verilerin, ilgilinin açık rızası olmaksızın işlenmesi yasaktır.
(4) Özel nitelikli kişisel verilerin işlenmesinde, ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır." 12. maddesinde, "(1) Veri sorumlusu; a) Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, b) Kişisel verilere hukuka aykırı olarak erişilmesini önlemek, c) Kişisel verilerin muhafazasını sağlamak, amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır. ...", 15. maddesinde, "(1) Kurul, şikayet üzerine veya ihlal iddiasını öğrenmesi durumunda re'sen, görev alanına giren konularda gerekli incelemeyi yapar. ..., "Kabahatler" başlıklı 18. maddesinde, "(1) Bu Kanunun; ... b) 12 nci maddesinde öngörülen veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler hakkında 15.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası verilir. ..." hükmü yer almıştır.
6698 sayılı Kişisel Verilerin Korunması Kanununun 6. maddesine göre özel nitelikli kişisel veri olan biyometrik verilerin ilgilinin açık rızası olmaksızın işlenmesi yasak olup, anlan Kanunun 12. maddesinin (1) numaralı fıkrası uyarınca veri sorumlusu kişisel verilerin hukuka aykırı olarak işlenmesini önlemekle yükümlüdür.
Davacı şirket tarafından işletilen spor salonuna giriş yapabilmesi için şikayetçinin el geometrisi bilgisi çıkarılmak suretiyle veri sorumlusu olan şirket tarafından şikayetçinin rızası olmaksızın özel nitelikli bu kişisel verinin işlendiği dosyanın incelenmesinden anlaşılmaktadır.
6698 sayılı Kişisel Verilerin Korunması Kanununun "Kabahatler" başlıklı 18. maddesinin (1) numaralı fıkrasının (b) bendinde 12. maddede öngörülen veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler
hakkında 15.000 Türk Lirasından 1.000.000 Türk Lirasına kadar idari para cezası verileceği kurala bağlandığından, veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenlere (her yıl yeniden değerleme oranına göre yapılacak artışlar saklı kalmak kaydıyla) en az 15.000 TL, en çok 1.000.000 TL idarî para cezası verilebileceği açıklıktır.
Kabahatler Kanununun 17. maddesinin (2) numaralı fikrasında idarî para cezasının kanunda alt ve üst sınırlı gösterilmek suretiyle belirlendiği durumlarda idari para cezasının miktarı belirlenirken işlenen kabahatin haksızlık içeriği ile failin kusuru ve ekonomik durumunun birlikte göz önünde bulundurulacağı belirtildiğinden, kabahatin haksızlık içeriği ile failin kusuru ve ekonomik durumu göz önünde bulundurulmak suretiyle idarî para cezası miktarı belirlenerek fili ile yaptırım arasında âdil denge sağlanması gerekmektedir.
Kişisel Verileri Koruma Kurumunun internet sitesinde ilgilinin açık rızası olmaksızın el geometrisi bilgisinin işlenemeyeceği hususunda evvelce iki ayrı Kurul kararı özeti yayımlanarak kamuoyu ve sektörün bilgilendirildiği gözetilerek ve şikayetçinin yanı sıra spor salonuna abone olanların tamamının kişisel verilerini rızaları olmadan işlemek suretiyle veri güvenliğine ilişkin yükümlülüklerini yerine getirmeme kabahatini birden çok kişiye karşı işleyen davacının kusurunun ağırlığı ve ekonomik durumu göz önünde bulundurulmak suretiyle yeniden değerleme oranına göre 27.037 TL olan alt sınırdan ayrılırarak üst sınırın onda birinden daha az olan 100.000 TL idari para cezası verilmesine ilişkin işlemde ölçülülük ilkesine aykırılık bulunmamaktadır.
Bu itibarla, 6698 sayılı Kişisel Verileri Koruma Kanununa aykırı olarak kişisel veriler ilgilinin açık rızası olmaksızın işlenmek suretiyle anılan Kanunun 12. maddesinin (1) numaralı fikrasında yer alan yükümlülülîge aykırı davranıldığından bahisle, 18. maddenin (1) numaralı fikrasının (b) bendi uyarınca 100.000 TL idarî para cezası uygulanmasına ilişkin Kişisel Verileri Koruma Kurulu kararının bu kısmında hukuka aykırılık bulunmadığına ilişkin olarak İdare Mahkemesince verilen kararın benimsenmesi suretiyle hüküum uyuşmazlığının giderilmesi gerekmektedir.
SONUÇ :
1 - 100.000 TL idarî para cezası verilmesine ilişkin işlem yönünden Sakarya 1. Sulh Ceza Hakimliğinin 08/03/2023 tarihli ve Değişik İş No: 2022/6842 sayılı kararı ile Ankara 20. İdare Mahkemesinin 16/11/2023 tarihli ve E:2023/495, K:2023/1523 sayılı kararı arasında hükmüm uyuşmazlığı bulunduğuna;
2 - Sakarya 1. Sulh Ceza Hakimliğinin 08/03/2023 tarihli ve Değişik İş No: 2022/6842 D.İş. K:2022/6842 sayılı kararın kaldırılmasına;
3 - Ankara 20. İdare Mahkemesinin 16/11/2023 tarihli ve E:2023/495, K:2023/1523 sayılı kararının 100.000 TL idarî para cezası verilmesi işleminde hukuka aykırılık bulunmadığına ilişkin kısmının benimsenmesi suretiyle hüküum uyuşmazlığının giderilmesine karar verilmesinin uygun olacağı düşünülmektedir.
"HÜKÜMLERİN İNCELENMESİ:
Davacı tarafından, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 18. maddesinin birinci fikrasının (b) bendi uyarınca Kişisel Verileri Koruma Kurulunun (Kurul) 07.07.2022 tarihli ve 2022/662 sayılı kararıyla verilen 100.000,00b idari para cezasının iptali istemiyle açılan davada; Sakarya 1. Sulh Ceza Hâkimliğinin başlıkta belirtilen kararıyla, ceza tatbikinde alt sınırdan uzaklaştırılmasının gerekçesi net olarak anlaşılamamakla birlikte, davacı hakkında uygulanan ceza miktarının eylem tarihine göre alt sınır olan 27.037,00 TL olarak düzeltilmesi gerektiği gerekçesiyle itirazın kısmen kabulüyle Kurulun 07.07.2022 tarihli ve 2022/662 sayılı idari para cezası tutanağındaki ceza miktarının 27.037,00 TL olarak düzeltilmesine karar verildiği, anılan kararın kanun yolundan geçerek kesinleştiği anlaşılmıştır.
Diğer taraftan, davacı tarafından aynı istemle idari yargıda açılan davada; Ankara 20. İdare Mahkemesinin başlıkta belirtilen kararıyla, eyleme konu el geometrisinin biyometrik veri olarak kabul edilmesi gerektiği, bu kapsamda özel nitelikli kişisel veri niteliğini haiz olan biyometrik verinin işlenmesi suretiyle veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi dolayısıyla tesis edilen işlemde hukuka aykırılık bulunmadığı gerekçesiyle davanın reddine karar verildiği, anılan kararın kanun yolundan geçerek kesinleştiği anlaşılmıştır.
Davacı vekilince Uyuşmazlık Mahkemesine gönderilen 16.05.2024 tarihli dilekçeyle, Sakarya 1. Sulh Ceza Hâkimliğinin 08.03.2023 tarihli ve 2022/6842 Değişik İş sayılı kararı ile Ankara 20. İdare Mahkemesinin 16.11.2023 tarihli ve 2023/495 E., 2023/1523 K. sayılı kararından hangisinin uygulanacağı konusunda tereddiit doğduğundan ve hakkın yerine getirilmesinin olanaksız hâle geldiğinden bahisle hüküum uyuşmazlığının iki mahkeme kararının da kaldırılması suretiyle giderilmesi talebinde bulunulmuştur.
MEVZUAT YÖNÜNDEN İNCELEME:
İdari ve adli yargı kararları arasında oluştuğu ileri sürülen hüküum uyuşmazlığının çözümü için; öncelikle hüküm uyuşmazlığının oluşup oluşmadığının belirlenmesi gerekmektedir.
2247 sayılı Uyuşmazlık Mahkemesinin Kuruluş ve İşleyişi Hakkında Kanun'un 24. maddesinin birinci fikrasına göre, hüküum uyuşmazlığının varlığı için; uyuşmazlık yaratan hükümlerin, adli ve idari yargı mercileri tarafından verilmesi, konu, dava sebebi ve taraflardan en az birinin aynı olması, her iki kararın da kesinleşmiş olması, kararlarda davanın esasının hükme bağlanması, kararlar arasındaki çelişki nedeniyle hakkın yerine
getirilmesinin olanaksız bulunması ve bu koşulların birlikte gerçekleşmesi aranmaktadır.
Hüküm uyuşmazlığı bulunduğu ileri sürtilen kararların incelenmesinde; ortada, adli ve idari yargı yerlerince verilmiş ve kanun yollarına başvurularak şeklen kesinleşmiş; taraflarından en az birinin aynı olduğu kararların bulunduğu ve tüm kararlarda da davanın esasının hükme bağlandığı ve kanun yollarının tüketildiği anlaşılmıştır.
Hüküm uyuşmazlığına konu Sakarya 1. Sulh Ceza Hâkimliği kararında, belirlenen cezanın alt sınırdan uzaklaştırılmasını gerektirecek bir husus olmadığı gerekçesiyle itirazın kısmen kabulüyle ceza miktarının 27.037,00 TL olarak düzeltilmesine karar verilmesine karşın, Ankara 20. İdare Mahkemesi kararında, söz konusu işlemde hukuka aykırılık bulunmadığı gerekçesiyle davanın reddine karar verildiği anlaşılmakla, iki karar arasında, kesinleşen ceza miktarı itibarıyla oluşan çelişki nedeni ile hakkın yerine getirilmesinin olanaksız hâle geldiği, bu duruma göre, söz konusu adli ve idari yargı kararları arasında huküm uyuşmazlığı bulunduğu kabul edilmelidir.
Dava dosyalarının incelenmesinden; davaya konu Kurul kararında, "Kişisel Verileri Koruma Kurumu Başkanlığının internet sitesinde ilgilinin açık rızası olmaksızın el geometrisi bilgisinin işlenemeyeceği hususunda daha önce iki ayrı Kurul kararı özeti yayınlanarak kamuoyu ve sektörün bilgilendirildiği, şikâyetçinin yanı sıra spor salonuna abone olanların tamamının kişisel verilerini rızaları olmaksızın işlemek suretiyle veri güvenliğine ilişkin yükümlülükleri yerine getirmeme kabahatini birden çok kişiye karşı işleyen davacının kusurunun ağırlığı ve ekonomik durumu," gibi hususların alt sınırdan uzaklaşma gerekçesi olarak belirtildiği anlaşıldığından, Sakarya 1. Sulh Ceza Hâkimliğinin, Kurul kararında ceza tatbikinde alt sınırdan uzaklaştırılmasının gerekçesi net olarak anlaşılamadığı ve cezanın belirlenmesinde alt sınırdan uzaklaştırılmasını gerektirecek bir durum olmadığı yönündeki gerekçesinin hukuka aykırı olduğu sonucuna varılmıştır.
Bu itibarla, 6698 sayılı Kanun'a aykırı olarak kişisel verilerin ilgilinin açık rızası olmaksızın işlenmek suretiyle Kanun'un 12. maddesinin birinci fıkrasında yer alan yükümlülüğü aykırı davranıldığından bahisle Kanun'un 18. maddesinin birinci fıkrasının (b) bendi uyarınca 100.000,00i; idari para cezası uygulanmasına ilişkin Kurul kararında hukuka aykırılık bulunmadığı gerekçesiyle dava konusu işlemin iptali istemiyle açılan davanın reddi yönünde verilen kararın hukuka uygun olduğu kanaatine varılmıştır.
SONUÇ:
Sakarya 1. Sulh Ceza Hâkimliğinin 08.03.2023 tarihli ve 2022/6842 Değişik İş sayılı kararı ile Ankara 20. İdare Mahkemesinin 16.11.2023 tarihli ve 2023/495 E., 2023/1523 K. sayılı kararı arasında huküm uyuşmazlığının bulunduğunun kabulüne,
Sakarya 1. Sulh Ceza Hâkimliğinin 08.03.2023 tarihli ve 2022/6842 Değişik İş sayılı kararının kaldırılmasına;
Ankara 20. İdare Mahkemesinin 16.11.2023 tarihli ve 2023/495 E., 2023/1523 K. sayılı kararının, idari para cezası verilmesi işleminde hukuka aykırılık bulunmadığına ilişkin kısmının benimsenmesine,
Karar verilmesi suretiyle huküm uyuşmazlığının giderilmesinin mümkün olduğu düşünülmektedir.
Gereği takdirlerinize sunulur."
"(1) Kişilerin rıkt, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kıhk ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir.
(2) (Mülga:2/3/2024-7499/33 md.)
(3) (Değişik:2/3/2024-7499/33 md.) Özel nitelikli kişisel verilerin işlenmesi yasaktır. Ancak bu verilerin işlenmesi;
a) İlgili kişinin açık rızasının olması,
b) Kanunlarda açıkça öngörülmesi,
c) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
ç) İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması,
d) Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,
e) Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması,
f) İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması,
g) Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların, tâbi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut veya eski tiyelerine ve mensuplarına veyaht bu kuruluş ve oluşumlarla düzenli olarak temasta olan kişilere yönelik olması,
halinde mümkündür.
(4) Özel nitelikli kişisel verilerin işlenmesinde, ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır."
"(1) Veri sorumlusu;
a) Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek,
b) Kişisel verilere hukuka aykırı olarak erişilmesini önlemek,
c) Kişisel verilerin muhafazasını sağlamak,
amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır.
(2) Veri sorumlusu, kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde, birinci fikrada belirtilen tedbirlerin alınması hususunda bu kişilerle birlikte müştereken sorumludur.
(3) Veri sorumlusu, kendi kurum veya kuruluşunda, bu Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptırmak zorundadır.
(4) Veri sorumluları ile veri işleyen kişiler, öğrendikleri kişisel verileri bu Kanun hükümlerine aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamazlar. Bu yükümlülük görevden ayrılmalarından sonra da devam eder.
(5) İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekmesi hâlinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir."
"(1) Bu Kanunun;
a) 10 uncu maddesinde öngörülen aydınlatma yükümlülüğünü yerine getirmeyenler hakkında 5.000 Türk lirasından 100.000 Türk lirasına kadar,
b) 12 nci maddesinde öngörülen veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler hakkında 15.000 Türk lirasından 1.000.000 Türk lirasına kadar,
c) 15 inci maddesi uyarınca Kurul tarafından verilen kararları yerine getirmeyenler hakkında 25.000 Türk lirasından 1.000.000 Türk lirasına kadar,
ç) 16 ncı maddesinde öngörülen Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırı hareket edenler hakkında 20.000 Türk lirasından 1.000.000 Türk lirasına kadar,
d) (Ek:2/3/2024-7499/35 md.) 9 uncu maddenin beşinci fikrasında öngörülen bildirim yükümlülüğünü yerine getirmeyenler hakkında 50.000 Türk lirasından 1.000.000 Türk lirasına kadar,
idari para cezası verilir.
(2) (Değişik:2/3/2024-7499/35 md.) Birinci fikranın (a), (b), (c) ve (ç) bentlerinde öngörülen idari para cezaları veri sorumlusu, (d) bendinde öngörülen idari para cezası veri sorumlusu veya veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanır
(3) (Ek:2/3/2024-7499/35 md.) Kurulca verilen idari para cezalarına karşı, idare mahkemelerinde dava açılabilir.
(4) Birinci fikrada sayılan eylemlerin kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenmesi hâlinde, Kurulun yapacağı bildirim üzerine, ilgili kamu kurum ve kuruluşunda görev yapan memurlar ve diğer kamu görevlileri ile kamu kurumu niteliğindeki meslek kuruluşlarında görev yapanlar hakkında disiplin hükümlerine göre işlem yapılır ve sonucu Kurula bildirilir."
"(2) İdarî para cezası, kanunda alt ve üst sınırlı gösterilmek suretiyle de belirlenebilir. Bu durumda, idarî para cezasının miktarı belirlenirken işlenen kabahatin haksızlık içeriği ile failin kusuru ve ekonomik durumu birlikte göz önünde bulundurulur."
Uyuşmazlık Mahkemesinin Rıdvan GÜLEÇ'in Başkanlığındı, Üyeler Nilgün TAŞ, Doğan AĞIRMAN, Eyüp SARICALAR, Ahmet ARSLAN, Mahmut BALLI ve Bilal ÇALIŞKAN'ın katılımlarıyla yapılan 22/09/2025 tarihli toplantısında, dosyanın usul yönünden incelenmesi sonunda;
2247 sayılı Kanun'un 24. maddesi hükmüne göre, hükü uyuşmazlığının varlığı için: uyuşmazlık yaratan hükümlerin, adli ve idari yargı mercileri tarafından verilmesi, konu, dava sebebi ve taraflardan en az birinin aynı olması, her iki kararın da kesinleşmiş olması, kararlarda davanın esasının hükme bağlanması, kararlar arasındaki çelişki nedeniyle hakkın yerine getirilmesinin olanaksız bulunması koşullarının birlikte gerçekleşmesinin arandığını;
Bu madde kapsamında, hükü uyuşmazlığı bulunduğu ileri sürülen adli ve idari yargı kararlarının incelenmesinden; ortada, adli ve idari yargı yerlerince davanın esası hakkında verilmiş ve kesinleşmiş kararlar bulunduğu; davaların konu ve sebeplerinin yanında, taraflarının da aynı olduğunu;
Konu ve dava sebebinin aynı olup olmadığınп incelenmesinden; uyuşmazlığın, Kişisel Verileri Koruma Kurulunun 07/07/2022 tarihli ve 2022/662 sayılı kararı ile davacı şirkete 6698 sayılı Kanun'un 18. maddesinin (1) numaralı fikrasının (b) bendi uyarınca 100.000 TL idari para cezası uygulanmasına; ayrıca giriş-çıkış kontrolünde el geometrisi verisi işlenmesi uygulamasının durdurulmasına ve mevcut "el geometrisi" verilerinin silinmesi/yok edilmesine yönelik talimatlara ilişkin işlemden kaynaklandığı; bu işleme karşı davacı K. F. L. S. S. L. Ş. tarafından Kişisel Verileri Koruma Kurulu
Başkanlığına karşı Davalı idarenin 07/07/2022 tarihli, 2022/662 sayılı kararının iptali istemiyle idari yargıda dava açılırken, davalı idarenin 07/07/2022 tarihli ve 2022/662 sayılı idari yaptırım kararının kaldırılmasına ve 100.000 TL' lik idari para cezasının iptal edilmesi istemiyle adli yargıda dava açıldığının görüldüğünü;
Olayda her iki davanın sebebi, spor salonu üyelerinin tesise girişlerinde el geometrisi bilgilerinin alınması suretiyle özel nitelikli kişisel veri niteliğindeki biyometrik verinin ilgililerin açık rızaşı olmaksızın işlenip işlenmediği ve bu fiil nedeniyle 6698 sayılı Kanun'un 12. maddesindeki veri güvenliğine ilişkin yükümlülüklerin ihlal edilip edilmediği olgusuna dayanmaktadır. Bir taraf, söz konusu faaliyetin hukuka uygun olarak yapıldığı iddiası ile idari para cezasını gerektirmeyeceği iddia ve savunmasında bulunurken; diğer taraf, tam aksine, yapılan faaliyetin hukuka aykırı olduğundan idari para cezasını gerektirdiği iddia ve savunmasında olduğundan, her iki dava sebebi, yani maddi vakıaların aynı olduğunu;
Dava konularına gelince; idari yargıda davanın konusu, davalı idarenin 07/07/2022 tarihli ve 2022/662 sayılı kararının iptali, adli yargıda da davalı idarenin 07/07/2022 tarihli ve 2022/662 sayılı idari yaptırım kararının kaldırılmasına ilişkin olup, hüküüm uyuşmazlığı bulunduğu iddia edilen kararlar arasında dava konularının da aynı olduğunu;
Kararlardan işin esasının hükme bağlanmasının incelenmesinden; Ankara 20. İdare Mahkemesince 6698 sayılı Kanun'un 6. ve 12. maddelerine aykırılık bulunduğu kabul edilerek Kurul işleminin (idarî para cezası yönü dahil) hukuka uygun bulunduğu gerekçesiyle davanın esastan reddine; Sakarya 1. Sulh Ceza Hakimliğince ise Kabahatler Kanunu'nun 17. maddesi uyarınca alt-üst sınırlar ve gerekçelendirme ölçütleri gözetilerek ceza miktarının 27.037 TL olarak düzeltilmesine dair esasa ilişkin karar verildiği; her iki kararın da kanun yollarından geçerek kesinleştiği, böylelikle işin esasının her iki yargı yerinde de hükme bağlandığının anlaşıldığını;
Hüküm uyuşmazlığının kabul edilebilmesi için öngörülen bir diğer husus ise; kararlar arasındaki çelişki nedeniyle hakkın yerine getirilmesinin olanaksız bulunmasıdır. İdari yargı yerinde aynı fiil nedeniyle uygulanan 100.000 TL idarî para cezasının hukuka uygun olduğu kabul edilirken, adli yargı yerinde aynı cezanın 27.037 TL olarak uygulanması gerektiğine karar verilmiştir. Aynı idarî para cezasına ilişkin olarak farklı tutarlarda icra edilmesi sonucunu doğuran bu çelişki, hakkın (cezanın) yerine getirilmesini fiilen olanaksız kılmaktadır. Bu nedenle, adli ve idari yargı mercilerinin anılan kararları arasında hüküm uyuşmazlığı bulunduğunu belirterek;
"1- Ankara 20. İdare Mahkemesi ile Sakarya 1. Sulh Ceza Hakimliğinin kararları arasında, 2247 sayılı Kanun'un 24. maddesinde öngörülen koşulların gerçekleştiği anlaşıldığından hüküm uyuşmazlığı bulunduğuna,
2- 2247 sayılı Kanun'un 25. maddesi hükümleri uyarınca;
a. İdari Yargılama Usulü Kanunu gözetilerek Uyuşmazlık Mahkemesine yapılan başvuruya ait dilekçe ve eklerinin 30 gün içinde cevap verilmek üzere karşı taraf Kişisel Verileri Koruma Kurulu Başkanlığına bildirilmesi, verilen cevabın başvuran davacıya tebliği suretiyle dosyanın tekemmülünün sağlanması,
b. Usulü işlemler tamamlandıktan ve esas hakkındaki rapor yazıldıktan sonra Başkanlıkça belirlenecek tarihte işin esasının görüşülmesine," oy birliği ile karar vermiştir.
Uyuşmazlık Mahkemesinin Rıdvan GÜLEÇ'in Başkanlığında, Üyeler Eyüp SARICALAR, Bayram ŞEN, Döndü Deniz BİLİR, Mahmut BALLI, Bilal ÇALIŞKAN ve Yüksel NAVDAR'ın katılımlarıyla yapılan 13/04/2026 tarihli toplantısında:
Başvuru dilekçesi ve ekleri, uyuşmazlığa konu edilen kararlara ilişkin dava dosyaları, ilgili Başsavcıların düşünce yazıları, dayanılan Kanun kuralları, taraflarca verilen dilekçe ve ekleri ile Raportör-Hakim Süleyman ARIDURU'nun hazırladığı rapor okunup incelendikten ve ilgili Başsavcılarda görevlendirilen Yargıtay Cumhuriyet Savcısı Halil İbrahim ÇİFTÇİ ile Danıştay Savcısı Yakup BAL'ın yazılı düşünceler doğrultusundaki açıklamaları alındıktan sonra, gereği görüşülüp düşünüldü:
Hüküm uyuşmazlığına ilişkin olay, spor salonu işletmecisi olarak faaliyet gösteren K. F. L. S. S. L. Ş. 'ye, 07/07/2022 tarihinde, abonelerin el geometrisi niteliğindeki biyometrik verilerini açık rıza olmaksızın işlediğinden bahisle 100.000 TL idari para cezası uygulanmasından kaynaklanmaktadır.
Davacı K. F. L. S. S. L. Ş., 100.000 TL idari para cezasının dayanağı Kişisel Verileri Koruma Kurulunun 07/07/2022 tarih ve 2022/662 sayılı işleminin iptali istemiyle idari yargı yerinde dava açmıştır. Yukarıda ayrıntılı olarak yazıldığı üzere, Ankara 20. İdare Mahkemesinde yapılan yargılama sonucu idari işlemin hukuka uygun bulunarak davanın reddine karar verilmiştir.
Öte yandan, davacı K. F. L. S. S. L. Ş. tarafından, aynı idari yaptırım kararının ve idari para cezasının kaldırılması amacıyla adli yargı yerinde itiraz yoluna başvurulmuş; Sakarya 1. Sulh Ceza Hakimliği idari para cezasının 27.037 TL olarak düzeltilmesine karar vermiş, davalı idare vekilinin karara itiraz etmesi üzerine Sakarya 2. Sulh Ceza Hakimliği 07/04/2023 tarih ve D.İş.2023/1821 sayılı kararı ile davalı vekilinin itiraz başvurusunun reddine kesin olarak karar vermiştir.
Konuya ilişkin mevzuat kapsamında, Kişisel Verileri Koruma Kurumuna yapılan şikayet üzerine başlatılan incelemede, K. F. L. S. S. L. Ş. tarafından işletilen spor salonuna girişlerde abonelerin kimlik doğrulaması amacıyla kullanılan cihazın el geometrisi verilerini işlediği, el geometrisinin biyometrik veri niteliğinde olduğu ve bu özel nitelikli verilerin ilgililerin açık rızası olmaksızın işlendiği anlaşılmaktadır. Taraflar arasında, salona girişlerde söz konusu cihazın kullanıldığı ve bu işlemin açık rıza alınmaksızın yapıldığı konusunda herhangi bir çekisme bulunmamaktadır.
Buna karşılık, idari yargıda davacı adli yargıda itiraz eden konumunda olan şirket, kullanılan cihazın el geometrisini kaydettiğini ancak bu verinin özel nitelikli kişisel veri sayılmayacağını, parmak izi gibi kişiden kişiye değişmez bir özellik taşımadığını ve kimlik doğrulama amacıyla şifreyle birlikte bir bütün olarak kullanıldığını iddia etmiştir.
Bu bakımdan, el geometrisi verisinin işlenmesinin 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 6. maddesi kapsamında özel nitelikli kişisel verilerin (biyometrik verilerin) açık rıza olmaksızın işlenmesi yasağının ve aynı Kanun'un 12. maddesindeki veri güvenliği yükümlülüklerinin ihlali sayılıp sayılamayacağı ile uygulanan idari yaptırımın alt sınırdan uzaklaşılarak belirlenmesinin hukuka uygunluğu yönünden değerlendirilmesi gerekmektedir.
6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 6. maddesindeki düzenleme ile, biyometrik verilerin özel nitelikli kişisel veri olduğu ve ilgilinin açık rızası olmaksızın işlenmesinin yasak olduğu açıkça kurala bağlanmış olmakla birlikte; aynı Kanun'un 12. maddesinin birinci fıkrası uyarınca da veri sorumlusunun kişisel verilerin hukuka aykırı olarak işlenmesini önlemekle yükümlü olduğu sabittir. Olayda spor salonu abonelerinin salona giriş denetimlerinde el geometrisi bilgilerinin işlendiği ve bu işlemin otomatik şekilde doğrulanabilen biyometrik bir veri olduğu Mahkemece de tespit edilmiştir.
Şirkete uygulanan 100.000 TL idari para cezasının Kabahatler Kanunu ve 6698 sayılı Kanun kapsamında ölçülü olup olmadığı hususuna gelince; 6698 sayılı Kanun'un 18. maddesinin birinci fıkrasının (b) bendinde, 12. maddedeki veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler hakkında idari para cezası verileceği öngörülmüş olup, eylem tarihindeki yeniden değerlendirme oranına göre bu cezanın alt sınırlı 27.037 TL'dir. Somut uyuşmazlığa bakıldığında, 5326 sayılı Kabahatler Kanunu'nun 17. maddesinin ikinci fıkrası uyarınca idari para cezasının miktarı belirlenirken işlenen kabahatin haksızlık içeriği ile failin kusuru ve ekonomik durumunun birlikte göz önünde bulundurulması gerekmektedir.
Bu durumda Kurul tarafından uygulanan idari para cezasının miktarının belirlenmesinde, eylemin niteliği ve ihlalin boyutu dikkate alınarak alt sınırdan ayrılınmasının gerekçeli ve hukuka uygun olup olmadığının tespiti gerektiği 酸ktır.
Söz konusu ihlale ilişkin olarak, Kişisel Verileri Koruma Kurumunun internet sitesinde ilgilinin açık rızası olmaksızın el geometrisi bilgisinin işlenemeyeceği hususunda evvelce iki ayrı Kurul kararı özeti yayımlanarak kamuoyu ve sektörün bilgilendirildiği gözetildiğinde; şikayetçinin yanı sıra spor salonuna abone olanların tamamının kişisel verilerini rızaları olmadan işlemek suretiyle veri güvenliğine ilişkin yükümlülüklerini yerine getirmeme kabahatini birden çok kişiye karşı işleyen davacının kusurunun ağırlığı ortadadır. Dolayısıyla idarenin alt sınırdan uzaklaşma gerekçesinin somut olayda mevcut olduğu görülmektedir.
Olayda: Kurul Kararında da alt sınırdan uzaklaşma gerekçesi olarak bu hususların (kusurun ağırlığı, ihlale maruz kalan kişi sayısı vb.) belirtildiği anlaşıldığından, ceza tatbikinde alt sınırdan uzaklaşılmasının gerekçesinin net anlaşılamadığı ve cezanın belirlenmesinde alt sınırdan uzaklaşılmasını gerektirecek bir durum olmadığı yönündeki Sakarya 1. Sulh Ceza Hakimliği gerekçesinin hukuka uygun olmadığı görülmektedir.
Bu itibarla; 6698 sayılı Kanun'a aykırı olarak kişisel verilerin ilgilinin açık rızası olmaksızın işlenmek suretiyle anılan Kanun'un 12. maddesinin birinci fıkrasında yer alan yükümlülüğe aykırı davranıldığından bahisle, Kanun'un 18. maddesinin birinci fıkrasının (b) bendi uyarınca 100.000 TL idari para cezası uygulanmasına ilişkin Kurul kararında hukuka aykırılık bulunmadığı sonucuna ulaşılmakla, dava konusu işlemin iptali istemiyle açılan davanın reddi yolunda verilen Ankara 20. İdare Mahkemesi kararının hukuka uygun olduğu sonucuna varılmıştır.
Yukarıda belirtilen hususlar göz önünde bulundurularak; Sakarya 1. Sulh Ceza Hakimliğinin 08/03/2023 tarih ve D.İş.2022/6842 sayılı kararının kaldırılmasına; Ankara 20. İdare Mahkemesinin 16/11/2023 tarih ve E.2023/495, K.2023/1523 sayılı kararının benimsenmesi suretiyle hüküm uyuşmazlığının giderilmesine karar verilmiştir.
Açıklanan gerekçelerle;
A. Sakarya 1. Sulh Ceza Hakimliğinin 08/03/2023 tarih ve D.İş.2022/6842 sayılı kararının KALDIRILMASINA, B. Ankara 20. İdare Mahkemesinin 16/11/2023 tarih ve E.2023/495, K.2023/1523 sayılı KARARININ KABULÜNE,
C. Bu suretle HÜKÜM UYUŞMAZLIĞININ GİDERİLMESİNE, 13/04/2026 tarihinde, OY BİRLİĞİ İLE KESİN OLARAK karar verildi.
Başkan Rıdvan GÜLEÇ
Üye Eyüp SARICALAR
Üye Bayram ŞEN
Üye Döndü Deniz BİLİR
Üye Mahmut BALLI
Üye Bilal ÇALIŞKAN
Üye Yüksel NAVDAR