Mahkememizde görülmekte olan Tazminat (Rücuen) davasının yapılan açık yargılaması sonunda, GEREĞİ DÜŞÜNÜLDÜ: DAVA VE TALEP : Davacı vekili dava dilekçesinde özetle; ... olarak da anılan davalı şirketin 2018-2020 yılları arasında davacı şirkete ait e-ticaret sitesini yönettiğini, davacının 4.792 müşterisine ait kişisel verilerin internet üzerinden bir forum sitesinde satılmaya çalışıldığına ilişkin Bilişim Teknolojileri Kurumu bildirimi ile davalı şirketin, hizmet akdinin sonlanmasının ardından imha edilmesi gereken müşterilere ait kişisel verileri, hukuka aykırı şekilde sistemlerinde muhafaza ederek KVKK 7. maddesine uygun şekilde imha etmediğinin anlaşıldığını, nitekim hizmet akdi sonlanması ile müvekkili şirket yetkililerince davalı şirkete kişisel verilerin muhafaza edildiği sistemlerin kapatılması, yani bu verilerin imha edilmesi yazılı şekilde ihtar edildiğini, ardından davalı...
T.C. İSTANBUL 4. ASLİYE TİCARET MAHKEMESİ
ESAS NO : 2022/100 Esas KARAR NO : 2023/534
DAVA : Tazminat (Rücuen) DAVA TARİHİ : 11/02/2022 KARAR TARİHİ : 14/06/2023
Mahkememizde görülmekte olan Tazminat (Rücuen) davasının yapılan açık yargılaması sonunda, GEREĞİ DÜŞÜNÜLDÜ: DAVA VE TALEP : Davacı vekili dava dilekçesinde özetle; ... olarak da anılan davalı şirketin 2018-2020 yılları arasında davacı şirkete ait e-ticaret sitesini yönettiğini, davacının 4.792 müşterisine ait kişisel verilerin internet üzerinden bir forum sitesinde satılmaya çalışıldığına ilişkin Bilişim Teknolojileri Kurumu bildirimi ile davalı şirketin, hizmet akdinin sonlanmasının ardından imha edilmesi gereken müşterilere ait kişisel verileri, hukuka aykırı şekilde sistemlerinde muhafaza ederek KVKK 7. maddesine uygun şekilde imha etmediğinin anlaşıldığını, nitekim hizmet akdi sonlanması ile müvekkili şirket yetkililerince davalı şirkete kişisel verilerin muhafaza edildiği sistemlerin kapatılması, yani bu verilerin imha edilmesi yazılı şekilde ihtar edildiğini, ardından davalı şirketten sızıntıya ilişkin raporların talep edilmesine rağmen bu belgelerin müvekkili şirkete verilmekten imtina edildiğini, Kişisel Verileri Koruma Kurulu (Kurul) tarafından, müvekkilinin veri sorumlusu olduğu 2017-2018 dönemine ait müşterilerinin kişisel verilerine ilişkin veri ihlali sebebiyle müvekkili şirkete 450.000,00-TL idari para cezasına karar verildiğini (... Sayılı Karar) ancak dava konusu ihlal kapsamında müvekkili şirket ile davalının birlikte müşterek veri sorumlusu olduğunu, KVKK m.12/1 uyarınca veri sorumlusu ve veri işleyenin müştereken sorumlu olsa da asıl sorumlunun, hizmet akdinin sonlanmasına rağmen verileri imha etmeyerek ve veri güvenliğine ilişkin gerekli tedbirleri almayarak verilerin ihlallere konu olmasına sebep olan davalı şirket olduğunu, iletmiş oldukları ekran görüntülerinde forum sitelerinde hackerlarca yapılan konuşmalardan tespit edildiği üzere davalıdan e-ticaret entegrasyonu konulu hizmet alan farklı şirketlerin müşterilerine ait kişisel verilerin de aynı kullanıcı tarafından aynı internet sitesi üzerinden aynı tarihte satışa çıkarılmasının tesadüf olarak değerlendirilemeyeceğini ve verilerin davalı sistemlerinden elde edilmiş olduğu yönündeki veri sorumlusu iddiasına dayanak teşkil ettiğini, verileri paylaşılan 4.792 kişinin davalı şirketten e-ticaret hizmeti alınan 2017-2018 yıllarına ait müvekkili şirket müşterisi olduğunu, kalan 10.208 kişinin ise davalı şirketin hizmet sunduğu diğer firmaların müşterileri olduğunu, satışı yapılan kişisel veriler listesindeki 15.000 kişinin tamamının, her biri için ayrı bir sayı verilmek suretiyle davalı şirkete özgü ...-kodları ile şifrelendiğini, ... kodundaki ... harfinin ...A.Ş.nin Tsi olduğu, müvekkilinin bir kusurunun bulunmadığını, bu nedenlerle Kurula ifa edilen idari para cezasına kusurlu davranışı ile sebebiyet veren davalıdan tahsili gerektiğini ileri sürerek müvekkili şirket tarafından ifa edilen idari para cezasına kus...