2024/İK-SDD/398 İnceleme - Comnet

1. 05.11.2008 tarihli ve 5809 sayılı Elektronik Haberleşme Kanununun 51’inci maddesinin onuncu fıkrasının (b) bendinde yer alan “Kişisel verilere ve ilişkili diğer sistemlere yapılan erişimlere ilişkin işlem kayıtları iki yıl, ... saklanır.” hükmüne, 13.07.2014 tarihli ve 29059 sayılı Resmi Gazete’de yayımlanan Elektronik Haberleşme Sektöründe Şebeke ve Bilgi Güvenliği Yönetmeliği’nin “Sistem kayıt dosyalarının tutulması” başlıklı 29’uncu maddesinin birinci fıkrasının (ç) bendinde yer alan “(1)İşletmeci, istenmeyen bilgi işleme faaliyetlerinin önlenmesi ve bilgi güvenliği ihlal olaylarının tanımlanması amacıyla kritik sistemleri izler ve asgari aşağıdaki hususların uygulanabilir olanlarını içeren kayıt dosyalarını en az 2 yıl süreyle tutar: ... ç) Başarılı ve reddedilen sistem, veri ve diğer kaynaklara erişim girişimlerinin kayıtları...” hükmüne ve 04.12.2020 tarihli ve 31324 sayılı Resmi Gazete’de yayımlanan Elektronik Haberleşme Sektöründe Kişisel Verilerin İşlenmesi ve Gizliliğin Korunmasına İlişkin Yönetmelik’in “Güvenlik” başlıklı 6’ncı maddesinin dördüncü fıkrasında yer alan “İşletmeciler, kişisel verilere ve ilişkili diğer sistemlere yapılan erişimlere ilişkin işlem kayıtlarını iki yıl saklamakla yükümlüdür.” hükmüne aykırı olarak; sistem kayıt dosyalarının tutulmaması nedeniyle, Comnet Bilgi İletişim Teknolojileri Ticaret Anonim Şirketi hakkında; 15.02.2014 tarihli ve 28914 sayılı Resmî Gazete’de yayımlanan Bilgi Teknolojileri ve İletişim Kurumu İdari Yaptırımlar Yönetmeliği’nin “Şebeke ve bilgi güvenliği ile siber güvenliğe ilişkin ihlaller” başlıklı 19’uncu maddesinin birinci fıkrasında yer alan “İşletmecinin, şebeke güvenliği de dahil olmak üzere elektronik haberleşme güvenliğine ilişkin mevzuata uymaması halinde bir önceki takvim yılındaki net satışlarının yüzde birine (%1) kadar idari para cezası uygulanır.” hükmü, “Kişisel verilerin korunmasına ilişkin ihlaller” başlıklı 13’üncü maddesinin birinci fıkrasının (a) bendinin (5) numaralı alt bendinde yer alan “5) Kişisel verilere ve ilişkili diğer sistemlere sağlanan tüm erişimlere ve erişim yetkisi olan personelin yaptığı işlemlere dair detaylı işlem kayıtlarını ilgili mevzuatta belirlenen süre boyunca tutma yükümlülüğünü yerine getirmemesi, ... halinde bir önceki takvim yılındaki net satışlarının yüzde üçüne (%3) kadar idari para cezası uygulanır.” hükmü, “İçtima” başlıklı 41’inci maddesinin birinci fıkrasında yer alan "(1) Bir fiil ile birden fazla yükümlülüğün ihlal edilmesi halinde bu ihlaller için sadece idarî para cezası öngörülmüşse, en ağır idarî para cezası verilir..." ve aynı Yönetmeliğin “Yaptırım ölçütleri” başlıklı 44’üncü maddesi hükümleri çerçevesinde 2022 yılı net satışları tutarı olan 21.748.729,96.-TL’nin yüzde üç (%3)’ü oranında idari para cezası uygulanması,

2. 05.11.2008 tarihli ve 5809 sayılı Elektronik Haberleşme Kanununun 51’inci maddesinin dördüncü fıkrasında yer alan “(4) İşletmeciler şebekelerinin, abonelerine/kullanıcılarına ait kişisel verilerin ve sundukları hizmetlerin güvenliğini sağlamak amacıyla uygun teknik ve idari tedbirleri alır.” hükmüne, 13.07.2014 tarihli ve 29059 sayılı Resmi Gazete’de yayımlanan Elektronik Haberleşme Sektöründe Şebeke ve Bilgi Güvenliği Yönetmeliği’nin “Elektronik ortam yönetimi” başlıklı 20’nci maddesinin birinci fırkasında yer alan “(1) İşletmeci elektronik ortamda tutulan bilgilerin yetkisiz olarak erişilmesine, bu bilgilerin yetkisiz olarak değiştirilmesine, silinmesine ve zarar görmesine karşı gerekli önlemleri alır.” hükmüne ve 04.12.2020 tarihli ve 31324 sayılı Resmi Gazete’de yayımlanan Elektronik Haberleşme Sektöründe Kişisel Verilerin İşlenmesi ve Gizliliğin Korunmasına İlişkin Yönetmelik’in “Güvenlik” başlıklı 6’ncı maddesinin ikinci fıkrasının (b) bendinde yer alan “b) İstem dışı, yetki dışı ya da mevzuata aykırı olarak; kişisel verilerin tahrip edilmesi, kaybolması, değiştirilmesi, depolanması veya başka bir ortama kaydedilmesi, işlenmesi, ifşa edilmesi ve söz konusu verilere erişilmesi gibi ihlallere karşı kişisel verilerin korunmasını, .. . içerir.” hükmüne aykırı olarak; abone verilerini de içeren Comnet Bilgi İletişim Teknolojileri Ticaret Anonim Şirketi’ne ait 28.07.2023 tarihli veri tabanı yedeğinin 23.11.2023 tarihinde yetkisiz olarak internet üzerinden erişilebilir ve indirilebilir olması nedeniyle, Comnet Bilgi İletişim Teknolojileri Ticaret Anonim Şirketi hakkında; 15.02.2014 tarihli ve 28914 sayılı Resmî Gazete’de yayımlanan Bilgi Teknolojileri ve İletişim Kurumu İdari Yaptırımlar Yönetmeliği’nin “Şebeke ve bilgi güvenliği ile siber güvenliğe ilişkin ihlaller” başlıklı 19’uncu maddesinin birinci fıkrasında yer alan “İşletmecinin, şebeke güvenliği de dahil olmak üzere elektronik haberleşme güvenliğine ilişkin mevzuata uymaması halinde bir önceki takvim yılındaki net satışlarının yüzde birine (%1) kadar idari para cezası uygulanır.” hükmü, “Kişisel verilerin korunmasına ilişkin ihlaller” başlıklı 13’üncü maddesinin birinci fıkrasının (a) bendinin (4) numaralı alt bendinde yer alan “4) Asgari istem dışı, yetki dışı ya da yasa dışı olarak; kişisel verilerin tahrip edilmesi, kaybolması, değiştirilmesi, depolanması veya başka bir ortama kaydedilmesi, işlenmesi, ifşa edilmesi ve söz konusu verilere erişilmesine karşı kişisel verilerin korunmasına ilişkin yükümlülüklerini yerine getirmemesi .. . halinde bir önceki takvim yılındaki net satışlarının yüzde üçüne (%3) kadar idari para cezası uygulanır.” hükmü, “İçtima” başlıklı 41’inci maddesinin birinci fıkrasında yer alan "(1) Bir fiil ile birden fazla yükümlülüğün ihlal edilmesi halinde bu ihlaller için sadece idarî para cezası öngörülmüşse, en ağır idarî para cezası verilir. .." hükmü ve aynı Yönetmeliğin “Yaptırım ölçütleri” başlıklı 44’üncü maddesi hükümleri çerçevesinde 2022 yılı net satışları tutarı olan 21.748.729,96.-TL’nin yüzde üç (%3)’ü oranında idari para cezası uygulanması,