12. Asliye Ticaret Mahkemesinde, siber saldırı ve veri ihlali sonrası otel zincirlerinin KVKK cezaları ile ek masraflarını bilişim hizmeti sağlayıcısından tazmin talepli davası.
Özet: Davacı otel şirketleri, sunucu ve veri sistemlerinin bakımı, güvenliği ve yedek parçalarının temini için hizmet sözleşmesi imzaladıkları yüklenici davalının siber saldırılar ve veri kaybı karşısında sözleşmeden doğan yükümlülüklerini yerine getirmediğini, gerekli özen ve dikkati göstermediğini, sızma testi raporlarına rağmen önlem almadığını ileri sürerek, bu ihlal nedeniyle oluşan KVKK idari para cezaları ve ek hizmet alım giderleri dahil toplam 3.694.164,65 TL zararın ticari reeskont faiziyle birlikte davalıdan tahsilini talep etmektedir.
T.C. ... 12. ASLİYE TİCARET MAHKEMESİ Esas - Karar No: 2024/363 Esas - 2025/352
T.C....12. ASLİYE TİCARET MAHKEMESİESAS NO : 2024/363 EsasKARAR NO : 2025/352T Ü R K M İ L L E T İ A D I N AK A R A RDAVA : Tazminat (Hizmet Sözleşmesinden Kaynaklanan)DAVA TARİHİ : 22/05/2024KARAR TARİHİ : 28/05/2025KARAR YAZIM TARİHİ : 10/06/2025 Mahkememizde görülen yukarıda yazılı davanın yapılan açık yargılaması sonunda;DAVA : Davacılar vekili dava dilekçesinde, müvekkillerinin 5 yıldızlı 3 otel işlettiklerini, bunlara ait tüm sunucu ve veri sisteminin ... Metropolitan Hotel binasında sistem veri odasında saklandığını, şirkete ait tüm kayıtların bu sistemde depolandığını, sunucuların işler vaziyette bulundurulması, bakım, güvenlik denetimi ve yedek parçalarının temini için taraflar arasında 01/11/2016 tarihinde yüklenici sözleşmesi imzalandığını, ilk olarak 13/10/2022 tarihinde bir sorun tespit edilerek yüklenici yetkilisi ... Şanlıbayrak'a ulaşıldığını, müdahalelerde bulunulduğunu ve sistemin çalışır hale getirildiğini, davalı tarafından sızma testi yapılması gerektiğinin bildirildiğini, 28/10/2022 tarihinde bir siber saldırı daha gerçekleştiğini durumun şirket yetkilisi ...'e bildirildiğini, uzaktan erişim sağlayan yetkilinin sorunu çözemediğini, sabah saatlerinde gelip bakacağını bildirdiğini, 28/10/2022 tarihinde şirket yetkililerinin şirket merkezine geldiklerini ancak yapılan tüm çalışmalara rağmen veri kaybının önlenemediğini, yüklenici firma talebi doğrultusunda Deepcase firmasına yaptırılan 15/10/2022 tarihli sızma testi raporunun yüklenici şirket yetkilisine bildirildiğini ancak gerekli işlem ve denetimlerin yapılmadığını, söz konusu güvenlik ve veri ihlali nedeniyle gerekli başvuruların yapıldığı, ayrıca ... Cumhuriyet Başsavcılığı'na suç duyurusunda bulunduklarını, soruşturmanın halen ... Siber Suçlar Mücadele Daire Başkanlığı tarafından yürütüldüğünü, davalıdan gereken desteği alamayan müvekkilinin ...Bilişim Danışmanlık Hizmetleri San. Ve Tic. A.Ş. Firmasına başvurarak gerçekleşen saldırının niteliği ve boyutlarının tespiti için olaya müdahale edilmesinin, adli analiz ile sistemdeki saldırı ve kaybın önlenmesi amacıyla çalışma başlatmasının ve rapor düzenlenmesinin istendiğini, adı geçen firmanın çalışması sonucunda Güvenlik İhlal Analiz Raporu düzenlendiğini, raporda güvenlik ihlali konusunda uzman kişilerce veya şifreyi bilen kişilerce yapılmasının mümkün olduğunun, "fatihadm" hesabının ... olarak kullanıldığının bildirildiğini, yaşanan sorun nedeni ile durumun 31/03/2023 tarihinde davalıya bildirildiğini, davalı tarafından gönderilen 01/02/2023 tarihli yazıda... isimli yüklenici personelinin 19/08/2021 ve 19/08/2022 tarihleri arasında tam zamanlı olarak müvekkil firmada sorumlu destek uzmanı olarak görevlendirildiğinin ve çalıştığının bildirildiğini, ...'nun soruşturma kapsamında ifadesine başvurulduğunu, taraflar arasındaki sözleşme içeriğinden de anlaşılacağı üzere müvekkilinin otellerin bilişim ve veri sistemi ile ilgili tüm yükümlülükleri konusunda uzman yüklenici firmaya devrettiğini, yüklenicinin sorumluluklarını yerine getirmediğini, sözleşmeden anlaşılacağı üzere yüklenicinin davacı ...Otelcilik AŞ firması yanında davacı ... İnşaat AŞ'ye ait veri sisteminden de sorumlu olduğunu, dava konusu veri ihlali nedeni ile ... Verileri Koruma Kurumu Başkanlığının 20/12/2023 gün ve 170431 sayılı karar ile müvekkili şirketler hakkında ayrı ayrı 250.000,00 TL olmak üzere toplam 500.000,00 TL idari para cezası uyguladığını, ortaya çıkan zararın giderilmesi amacıyla müvekkillerinin 03/03/2023 tarihinde 3 adet ve 27/04/2023 tarihinde 1 adet olmak üzere 3 adet fatura karşılığında ek hizmet ve ürün satın almak zorunda kaldığını, faturaların toplam bedelinin 3.194.164,65 TL olduğunu, davalıya 24/01/2024 tarihinde ihtarname gönderildiğini, 05/02/2024 tarihli cevabi ihtarnamede Ağustos 2022 tarihinde personelin görevinin sona ermesi nedeni ile taraflar arasındaki sözleşme ilişkisinin sona erdiğinin bildirildiğini, cevabi ihtarnamede sözleşmenin fiilen gerekçesiz ve bildirimsiz şekilde feshedildiğinin açıkça ikrar edildiğini, yaklaşık 6 yıldır yenilenerek devam eden ve aylık ödemeleri yapılan davalı yüklenicinin bu beyanının kendisini sorumluluktan kurtarmayacağını, bilgi ve veri sistemlerine giriş için gerekli tüm şifre, parola, kullanıcı ismi ve diğer giriş bilgilerini davalının elinde bulundurduğunu, davalının elektronik donanım ve bilişim sisteminin öncelikli siber güvenliğinin sağlamasını gerektiğini, gereken dikkat ve özeni göstermediğini belirterek yükümlülüklere aykırılık nedeni ile meydana gelen 3.694.164,65 TL zararın, fazlaya ilişkin hakları saklı kalmak kaydıyla şimdilik 1.000,00 TL'sinin zararın doğduğu tarihten itibaren işleyecek ticari reeskont faizi ile birlikte davalıdan tahsiline karar verilmesini istemiş, 27/05/2024 tarihli beyan ve açıklama dilekçesi ile davacı ...Otelcilik AŞ adına faturaya dayalı zararlar nedeni ile 250,00 TL, ...Otelcilik AŞ adına idari para cezası nedeniyle uğranılan zararlar karşılığı 250,00 TL, ... İnşaat AŞ adına faturaya dayalı zararlar nedeni ile 250,00 TL, ... İnşaat AŞ adına idari para cezası nedeniyle uğranılan zararlar karşılığı 250,00 TL zararın tazminini talep istemiştir. CEVAP : Davalı davaya cevap vermemiştir.DELİLLER : Arabuluculuk son tutanağı, taraflar arasındaki 01/11/2016 tarihli sözleşme, KVKK kararları, olaya ilişkin tespit ve tutanaklar, ... Cumhuriyet Başsavcılığı Bilişim Suçları Bürosunun 2023/286652 sayılı soruşturma dosyası, bilirkişi kurulu rapor ve ek raporu, dava dosyasında bulunan diğer deliller.DELİLLERİN DEĞERLENDİRİLMESİ VE GEREKÇE:Dava, sözleşmeye aykırılık nedeniyle tazminat istemine ilişkindir.TBK'nun 112/1. maddesi gereğince borç hiç veya gereği gibi ifa edilmezse borçlu, kendisine hiçbir kusurun yüklenemeyeceğini ispat etmedikçe, alacaklının bundan doğan zararını gidermekle yükümlüdür.Tarafların gösterdiği delillerin toplanmasından sonra bilirkişi incelemesine başvurulmuş, 14/01/2025 tarihli bilirkişi kurulu raporunda, 01/11/2016 tarihli sözleşmenin süresinin imza tarihinden itibaren 12 ay olduğu, sözleşmenin bitiminden sonra yenilenmesinin belli şartlara bağlandığı ancak bu konuda dosya kapsamında bir belge, fatura, ödeme dekontu vb. gibi bir veriye rastlanılmadığı, dolayısı ile 01/11/2017 tarihinde sona eren sözleşmenin devam ettiği yönünde bir belgenin dosya kapsamında bulunmadığı, sözleşmenin konusunun sözleşmede belirtilen donanım ürünlerine bakım ve destek hizmeti verilmesi işi olduğu, otelin siber güvenlik risklerinin azaltılması ve olası saldırılara karşı korunmasının sözleşme kapsamında yer almadığı, 18/10/2022 tarihinde meydana gelen siber güvenlik sorununun bu sözleşme kapsamında değerlendirilmesinin doğru olmayacağı, 19/08/2021 ve 19/08/2022 tarihleri arasında davalı firmanın davacı firma bünyesinde personel çalıştırdığı anlaşıldığı ancak davalının bu hizmeti hangi sözleşme kapsamında verdiğinin dosya kapsamında bulunmadığı, bu personelin tam olarak sorumluluklarının ne olduğunun, davalının mı yoksa davacının mı talep ve yönlendirmeleri ile çalıştığı konusunun dosya kapsamında bulunan bilgi ve belgelerden net olarak anlaşılamadığı, dava konusu zarar doğurucu eylemlerin gerçekleştiği tarihte herhangi bir sözleşmenin yürürlükte bulunduğuna dair bir belgenin dosya kapsamında bulunmadığı, hal böyle olunca da dosyadaki bilgi ve belgelerle sınırlı olmak üzere davalı firmanın sözleşme kapsamında zarar doğurucu eylemin meydana gelmesinde bir kusurunun bulunmadığı, ancak davacı tarafça dosyaya davalının 01/11/2017 tarihinden sonraki dönemde hangi sözleşme ilişkisine dayalı olarak hizmet verdiğinin açıklanması ve buna ilişkin (01/11/2016 tarihli sözleşmeden başka bir sözleşme var ise) sözleşmenin sunulması, ayrıca 19/08/2021-19/08/2022 tarihleri arasında davalı personelinin davacıda ne sıfatla ve hangi hukuki işleme dayalı olarak görevlendirildiğinin açıklanması ve buna ilişkin sözleşmenin dosyaya sunulması ve ayrıca KVKK kararının da sunulması (mümkünse KVKK dosyasının celbi) halinde bir değerlendirme ve hesaplama yapmanın mümkün olabileceği, davalı çalışanının davacı nezdinde asıl işveren-alt işveren ilişkisi kapsamında mı yoksa anahtar teslim hizmet verilmesi kapsamında mı çalıştırıldığının da ortaya çıkartılması gerektiği, yine ... veri koruma ihlalinin işverenden alınan emir ve talimat ile mi yoksa haksız fiil kapsamında mı yapıldığının da ortaya çıkartılması gerektiği belirtilmiştir.07/04/2025 tarihli bilirkişi kurulu ek raporunda, 18/10/2022 tarihinde meydana gelen siber güvenlik sorununun bu sözleşme kapsamında değerlendirilmesinin doğru olmayacağı, 19/08/2021 ve 19/08/2022 tarihleri arasında davalı firmanın davacı firma bünyesinde personel çalıştırdığı anlaşıldığı ancak bu personelin tam olarak sorumluluklarının ne olduğu, davalının mı yoksa davacının mı talep ve yönlendirmeleri ile çalıştığı konusunun dosya kapsamında bulunan bilgi ve belgelerden net olarak anlaşılamadığı, dava konusu zarar doğurucu eylemlerin gerçekleştiği tarihte herhangi bir sözleşmenin yürürlükte bulunduğuna dair bir belgenin dosya kapsamında bulunmadığı, hal böyle olunca da dosyadaki bilgi ve belgelerle sınırlı olmak üzere davalı firmanın sözleşme kapsamında zarar doğurucu eylemin meydana gelmesinde bir kusurunun bulunmadığı, dosyaya kök raporda bildirilen görüşlerini değiştirecek, özellikle kök raporunun Sonuç Bölümünün 2. paragrafında aydınlatılmasını istediğimiz hususları aydınlatmaya elverişli bilgi ve belge sunulmadığı, bu nedenle kök rapordaki görüşlerinin geçerli olduğu, mevcut dosya içeriği itibariyle davacıların davalıdan talepte bulunabileceği bir tazminat tutarının hesaplanmasının mümkün olmadığı bildirilmiştir.Bu açıklamalar ışığında dosya kapsamı değerlendirildiğinde, taraflar arasında 01/11/2016 tarihinde parça hariç, bakım ve destek hizmetlerinin verilmesi konusunda sözleşme imzalandığı, sözleşmenin süresinin 01/11/2016 tarihinden itibaren 12 aylık olduğu, yüklenicinin sözleşme bitiş tarihinden 15 (onbeş) gün önceden alıcıya sözleşmenin yeni dönemde devam edip etmeyeceği ve hangi şartlarda devam edeceği konusunda bilgi verdiği takdirde, tarafların yeni şartlarda mutabık kalmaları şartı ile yeni bir anlaşma sürecine girileceğinin belirtildiği, ancak dosyada sözleşmenin 01/11/2017 tarihinden sonra uzatıldığına dair delil bulunmadığı;Sözleşmenin konusunun parça hariç, sözleşmede belirtilen donanım ürünlerine bakım ve destek hizmeti verilmesi işi olduğu, dava konusu edilen, oluşturan otellere ait yazılımların ve sistemlerin veri güvenliğinden sorumlu cihazların düzenli olarak bakım ve güncellemelerinin yapılması, otelin siber güvenlik risklerinin azaltılması ve olası saldırılara karşı korunması, sunucuların güvenlik açıklarının tespit edilmesi, sistemin domain yapısının yönetilmesi vb. Konuların sözleşme kapsamında yer almadığı, ... adındaki davalı firma personelinin 19/08/2021 - 19/08/2022 tarihleri arasında davacılara ait otelde tam zamanlı olarak çalıştığı anlaşılmakta ise de, sözleşme kapsamında tam zamanlı olarak bir personel görevlendirmesi işi bulunmadığı, sonuç olarak 18/10/2022 tarihinde meydana gelen siber güvenlik sorunundan davalının sorumlu olacağına dair bir sözleşme hükmü bulunmadığı gibi sözleşmenin 01/11/2017 tarihinde sona erdiği ve davacı tarafından bu tarihten sonra uzatıldığının ispat edilemediği anlaşıldığından aşağıdaki şekilde karar verilmiştir.HÜKÜM : Gerekçesi yukarıda açıklandığı üzere;1-Davanın reddine, 2-Alınması gereken 615,40 TL maktu harçtan, 427,60 TL peşin harcın düşümü ile eksik kalan 187,80 TL harcın davacılardan alınarak hazineye gelir kaydına,3-Davacıların karşıladığı yargılama harç ve giderlerinin üzerinde bırakılmasına,4-6325 sayılı Hukuk Uyuşmazlıklarında Arabuluculuk Kanunu'nun 18/A maddesinin 13. fıkrası uyarınca Adalet Bakanlığı bütçesinden karşılanan 3.800,00 TL arabuluculuk ücretinin davacılardan alınarak hazineye gelir kaydına,5-Karar kesinleştiğinde taraflardan alınan avansın harcanmayan kısmının re'sen yatırana iadesine,Dair davacılar vekilinin yüzüne karşı, davalının yokluğunda, gerekçeli kararın tebliği tarihinden itibaren iki hafta içinde mahkememize veya mahkememize gönderilmek üzere başka yer Asliye Ticaret Mahkemesine ya da bulunmadığı takdirde Asliye Hukuk Mahkemesine dilekçe verilmesi sureti ile ... Bölge Adliye Mahkemesi nezdinde istinaf yolu açık olmak üzere verilen karar açıkça okunup usulen anlatıldı. 28/05/2025 ¸ e-imzalıdır ¸ e-imzalıdır