Kişisel Verilerin Hukuka Aykırı İşlenmesi Nedeniyle Tazminat Davası Nasıl Açılır?

6698 sayılı Kanun, kişisel veri ihlallerine özgü bağımsız bir tazminat rejimi kurmamıştır; KVKK m. 11'de ilgili kişinin haklarını sayarken, kanuna aykırı işleme nedeniyle uğradığı zararın giderilmesini talep etme hakkına da yer verir. Ancak bu talebin somutlaştırılması ve dava yoluyla ileri sürülmesi, Türk Borçlar Kanunu'ndaki genel haksız fiil ve kişilik hakkı ihlali hükümlerine dayanır.

Bu nedenle KVKK ihlali nedeniyle açılan tazminat davaları, teknik olarak bir haksız fiil davası niteliğindedir; KVKK'ya aykırılık, bu haksız fiilin hukuka aykırılık unsurunu oluşturur.

TBK m. 49 uyarınca haksız fiil sorumluluğu için:

• hukuka aykırı bir fiil (somut olayda KVKK'ya aykırı veri işleme, ihlal bildirimi yapmama, veri güvenliği tedbiri almama gibi),
• zarar,
• fiil ile zarar arasında illiyet bağı,
• kusur (kural olarak kastın veya ihmalin varlığı)

birlikte aranır. Maddi tazminat talebinde bulunan kişi, örneğin veri sızıntısı sonrası kimliğinin kötüye kullanılması nedeniyle uğradığı somut mali kaybı (dolandırıcılık mağduriyeti, itibar kaybı nedeniyle iş fırsatının kaçması gibi) ispatlamalıdır. Uygulamada maddi zararın somut ve kesin biçimde ortaya konması, manevi zarara kıyasla daha güçtür; zira veri ihlalinin doğrudan bir mali kayba yol açtığının gösterilmesi özel bir çaba gerektirir.

TBK m. 58, kişilik haklarının hukuka aykırı saldırıya uğraması hâlinde manevi tazminat talep edilebileceğini düzenler. Kişisel verilerin hukuka aykırı işlenmesi, çoğu zaman doğrudan kişinin özel hayatına, mahremiyetine veya itibarına yönelik bir müdahale niteliği taşıdığından, manevi tazminat talebi bu ihlallerde maddi tazminata kıyasla daha sık ve daha kolay ispatlanabilir biçimde ileri sürülür.

Manevi tazminat miktarının belirlenmesinde mahkeme; ihlalin ağırlığını, kaç kişiyi etkilediğini, verinin özel nitelikli olup olmadığını, veri sorumlusunun ihlali önlemek için ne ölçüde tedbir aldığını, ihlal sonrası davranışını (bildirim yapıp yapmadığı, düzeltici tedbir alıp almadığı) ve tarafların ekonomik durumunu birlikte değerlendirir.

KVKK ihlali nedeniyle açılan tazminat davalarında temel dayanak TBK m. 49 olduğundan, kural olarak kusura dayalı sorumluluk söz konusudur. Ancak veri sorumlusunun, KVKK m. 12'deki asgari güvenlik tedbirlerini almamış olması, kusurun ispatını kolaylaştıran güçlü bir olgu teşkil eder. Uygulamada veri sorumlusu, gerekli teknik ve idari tedbirleri aldığını ispatlayamadığı sürece kusursuzluğunu ileri sürmekte zorlanır.

KVKK ihlali nedeniyle açılan tazminat davalarında görevli mahkeme, uyuşmazlığın niteliğine göre değişebilir:

• taraflar arasında bir tüketici işlemi varsa (örneğin bir e-ticaret platformunun müşteri verilerini sızdırması) tüketici mahkemesi,
• taraflar arasında bir iş ilişkisi varsa (işverenin çalışan verilerini hukuka aykırı işlemesi) iş mahkemesi,
• taraflar arasında ticari bir ilişki varsa ve uyuşmazlık ticari dava niteliğindeyse asliye ticaret mahkemesi,
• özel bir görev kuralı bulunmayan hâllerde HMK m. 2 uyarınca asliye hukuk mahkemesi

görevli olabilir. Yetkili mahkeme ise genel olarak davalının yerleşim yeri mahkemesi ile haksız fiilin işlendiği veya zararın meydana geldiği yer mahkemesi arasında seçimlik olarak belirlenebilir.

Uyuşmazlığın niteliğine göre dava şartı arabuluculuk gündeme gelebilir. Örneğin uyuşmazlık bir tüketici işleminden kaynaklanıyorsa 6502 sayılı Kanun m. 73/A kapsamında, bir iş ilişkisinden kaynaklanıyorsa 7036 sayılı Kanun m. 3 kapsamında dava açılmadan önce arabulucuya başvurulması zorunlu olabilir. Salt KVKK ihlaline dayanan ve taraflar arasında ticari veya iş ilişkisi bulunmayan bir tazminat talebinde ise arabuluculuğun dava şartı olup olmadığı, somut uyuşmazlığın niteliğine göre ayrıca değerlendirilmelidir.

Kurul'a şikâyet ve tazminat davası, farklı amaçlara hizmet eden ayrı yollardır:

• Kurul şikâyeti: İdari bir denetim mekanizmasıdır; sonucunda veri sorumlusu hakkında idari para cezası uygulanabilir, ancak Kurul, ilgili kişiye doğrudan tazminat ödenmesine karar veremez.
• Tazminat davası: Adli yargıda görülür ve ilgili kişinin uğradığı somut zararın giderilmesini amaçlar.

Uygulamada Kurul'un ihlali tespit eden kararı, tazminat davasında hukuka aykırılığın ispatı bakımından güçlü bir delil işlevi görebilir. Bu nedenle birçok kişi, önce Kurul'a şikâyette bulunup kararı bekledikten sonra tazminat davası açmayı tercih etmektedir; ancak bu bir zorunluluk değildir, tazminat davası Kurul kararı beklenmeden de açılabilir.

Haksız fiile dayalı tazminat taleplerinde TBK m. 72 uyarınca zarar görenin, zararı ve failini öğrendiği tarihten itibaren belirli bir süre ve her hâlde fiilin gerçekleştiği tarihten itibaren daha uzun bir azami süre içinde dava açılması gerekir. Veri ihlallerinde "öğrenme" tarihi, çoğu zaman ihlalin ilgili kişiye bildirildiği veya kişinin başka bir yolla (haber, Kurul kararı, üçüncü kişi bildirimi) ihlali öğrendiği tarih olarak değerlendirilir. Bu tarihin somut olayda doğru tespiti, zamanaşımı savunmasına karşı önemlidir.

Davacı, kişisel verisinin hukuka aykırı işlendiğini, bundan bir zarar doğduğunu ve fiil ile zarar arasında illiyet bağı bulunduğunu ispatlamalıdır. Başlıca deliller şunlardır:

• veri sorumlusunun ihlali kabul ettiği yazışmalar veya bildirimler,
• Kurul'a yapılan şikâyet ve varsa Kurul kararı,
• sızan verinin başka bir yerde (örneğin karanlık ağda) tespit edildiğine ilişkin belgeler,
• zararın somut göstergeleri (banka hesap hareketleri, itibar kaybına ilişkin yazışmalar),
• bilirkişi incelemesi.

Aynı veri ihlalinden çok sayıda kişinin etkilendiği hâllerde, her ilgili kişi kendi zararı için ayrı dava açabileceği gibi, uygulamada zaman zaman benzer taleplere sahip kişiler, aynı avukat aracılığıyla ayrı ayrı ancak eş zamanlı davalar açmayı tercih etmektedir. Türk hukukunda klasik anlamda bir grup dava (class action) mekanizması bulunmadığından, her davacının kendi zararını ve illiyet bağını ayrı ayrı ispatlaması gerekir; ancak aynı ihlale ilişkin ortak deliller (Kurul kararı, teknik inceleme raporu gibi) farklı davalarda da kullanılabilir.

Manevi tazminat miktarı, mahkemenin somut olayın özelliklerine göre serbestçe takdir ettiği bir tutardır; bu nedenle önceden kesin bir miktar öngörmek güçtür. Talep edilecek miktarın, ihlalin ağırlığı, etkilenen veri kategorisi ve benzer nitelikteki olaylarda mahkemelerin yaklaşımı dikkate alınarak makul biçimde belirlenmesi, hem dava ekonomisi hem de talebin ciddiye alınması açısından önemlidir.

• Tazminat davasını Kurul kararı kesinleşmeden açılamayacağını düşünmek,
• maddi zararı somut delillerle ortaya koymadan yüksek miktarlı talepte bulunmak,
• zamanaşımı süresini "ihlalin gerçekleştiği tarih" ile "öğrenme tarihi" arasındaki farkı gözetmeden hesaplamak,
• görevli mahkemeyi taraflar arasındaki ilişkinin niteliğine göre değil, davanın konusuna bakarak yanlış belirlemek,
• dava şartı arabuluculuğu atlayarak doğrudan dava açmak.

KVKK ihlali nedeniyle açılan tazminat davaları, hem kişisel verilerin korunması mevzuatı hem de genel haksız fiil hukukunun birlikte değerlendirilmesini gerektiren karma bir alandır. Davanın başarıyla yürütülebilmesi için ihlalin niteliği, veri sorumlusunun kusuru, zararın türü ve görevli mahkemenin doğru tespiti kritik önem taşır. Kurul şikâyeti ile tazminat davasının birlikte veya ayrı ayrı nasıl yürütüleceğinin baştan planlanması, sürecin etkinliğini artırır.

Kişisel verilerinizin hukuka aykırı işlenmesi nedeniyle tazminat talebinizin değerlendirilmesi ve dava sürecinin yürütülmesi için Günser + Partners ile iletişime geçebilirsiniz.