KVKK Tazminat Davası: Kime Karşı, Hangi Mahkemede, Ne Kadar Sürede?

KVKK tazminat davası, kişisel verisi hukuka aykırı işlenen kişinin uğradığı maddi ve manevi zararın giderilmesi için açtığı davadır. Adı Kişisel Verilerin Korunması Kanunu’nu andırsa da davanın hukuki dayanağı o kanunun içinde değildir: 6698 sayılı Kanun’un 14. maddesinin üçüncü fıkrası, kişilik hakları ihlal edilenlerin tazminat hakkını “genel hükümlere göre” saklı tutar. Yani mahkemeye gidildiğinde uygulanacak kurallar Türk Medeni Kanunu’nun kişiliği koruyan hükümleri ile Türk Borçlar Kanunu’nun haksız fiil hükümleridir.

Bu ayrım teorik değil, tümüyle pratiktir. Kişisel Verileri Koruma Kurulu’na yapılan şikâyet ile mahkemede açılan tazminat davası birbirinin devamı olan iki aşama değil, ayrı ayrı işleyen iki yoldur. Kurul idari para cezası kesebilir ama kimseye tazminat ödetemez; mahkeme tazminata hükmedebilir ama idari para cezası veremez. Aşağıdaki bölümler bu iki yolu ayrı ayrı ele alıyor, hangi sürenin hangi yola ait olduğunu gösteriyor ve uygulamada en sık karıştırılan noktaları madde numarasıyla bağlıyor.

KVKK tazminat davası hangi hükme dayanır

Kanun tazminatı iki ayrı yerde anar. Birincisi 11. maddenin (ğ) bendidir: ilgili kişi, kişisel verilerinin kanuna aykırı işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme hakkına sahiptir. Bu bent bir dava hükmü değil, veri sorumlusuna yapılacak başvurunun içeriğini gösteren bir haklar listesidir. İkincisi 14. maddenin üçüncü fıkrasıdır ve asıl dava hükmü budur: “Kişilik hakları ihlal edilenlerin, genel hükümlere göre tazminat hakkı saklıdır.”

Genel hükümler ifadesi somut olarak şu maddeleri devreye sokar. Türk Medeni Kanunu’nun 24. maddesi kişilik hakkına yapılan saldırıyı hukuka aykırı sayar; 25. maddesi açılabilecek davaları sıralar. Türk Borçlar Kanunu’nun 49. maddesi kusurlu ve hukuka aykırı fiille zarar vereni sorumlu tutar, 50. maddesi ispat yükünü paylaştırır, 51. maddesi tazminatın kapsamını hâkimin takdirine bırakır, 58. maddesi ise kişilik hakkının zedelenmesinden doğan manevi tazminatı düzenler. Dava dilekçesinde dayanılacak hükümler bunlardır; yalnızca 6698 sayılı Kanun’a atıf yapan bir dilekçe eksik kalır.

Kanunun kendi içinde tazminat hesabına dair hiçbir ölçüt bulunmaması da bu yapının sonucudur. Avrupa Birliği genel veri koruma tüzüğünde yer alan doğrudan tazminat maddesinin bir benzeri Türk hukukunda yoktur; boşluk genel haksız fiil rejimiyle doldurulur. Bu nedenle tazminat miktarı, kişilik hakkı ihlallerine ilişkin yerleşik ölçütlerle belirlenir. Aynı ölçütler hakaret nedeniyle manevi tazminat davası ve özel hayatın gizliliğini ihlal tazminat davası bakımından da geçerlidir.

Kurula şikâyet ile tazminat davası aynı yol değildir

Uygulamada en sık yapılan hata, Kurul’a şikâyeti tazminat davasının ön basamağı sanmaktır. Kanunun 14. maddesinin ikinci fıkrası “13 üncü madde uyarınca başvuru yolu tüketilmeden şikâyet yoluna başvurulamaz” der. Bu cümlenin öznesi şikâyettir, dava değil. Aynı maddenin üçüncü fıkrası tazminat hakkını ayrı bir cümleyle ve “saklıdır” ifadesiyle korur. Dolayısıyla veri sorumlusuna hiç başvurmadan ve Kurul’a hiç şikâyet etmeden doğrudan hukuk mahkemesinde dava açmak mümkündür.

Bunun tersi de doğrudur: Kurul’un ihlali tespit edip veri sorumlusuna ceza kesmiş olması, KVKK tazminat davası sonunda mahkemenin tazminata hükmedeceği anlamına gelmez. Kurul kararı hukuk hâkimini bağlamaz; ancak hukuka aykırılığın tespiti bakımından güçlü bir delil oluşturur ve dosyaya sunulması davacının işini önemli ölçüde kolaylaştırır. Uygulamada iki yolun birlikte yürütülmesi tercih edilir: şikâyet ihlali resmî olarak tespit ettirir, dava ise zararın karşılığını getirir.

İki yolun amacı ve sonucu şu şekilde ayrışır.

Ölçüt	Kurul’a şikâyet	Tazminat davası
Dayanak	6698 s.K. m.13-14-15	6698 s.K. m.14/3 → TMK m.24-25, TBK m.49 vd.
Ön şart	Veri sorumlusuna başvuru zorunlu (m.14/2)	Ön şart yok
Karar merci	Kişisel Verileri Koruma Kurulu	Hukuk mahkemesi
Sonuç	İhlalin giderilmesi kararı, idari para cezası	Maddi ve manevi tazminat, kazancın devri
Paranın gittiği yer	Hazine	Zarar gören
Süre	Cevaptan 30, başvurudan 60 gün (m.14/1)	TBK m.72 zamanaşımı

Kanunun uygulanmadığı hâllerde bile tazminat hakkı ayakta kalır

6698 sayılı Kanun’un 28. maddesi bazı hâllerde kanunun hiç uygulanmayacağını, bazı hâllerde ise yalnızca belirli maddelerin uygulanmayacağını söyler. İkinci fıkra şu hâlleri sayar: veri işlemenin suç işlenmesinin önlenmesi veya suç soruşturması için gerekli olması, ilgili kişinin verileri kendisinin alenileştirmiş olması, denetleme ve düzenleme görevleri ile disiplin soruşturması için gerekli olması, devletin ekonomik ve mali çıkarlarının korunması için gerekli olması.

Bu hâllerde aydınlatma yükümlülüğünü düzenleyen 10., ilgili kişinin haklarını düzenleyen 11. ve sicile kayıt yükümlülüğünü düzenleyen 16. maddeler uygulanmaz. Ancak fıkranın içinde kolayca gözden kaçan bir parantez vardır: 11. madde için “zararın giderilmesini talep etme hakkı hariç” denilmiştir. Yani kanunun kısmen devre dışı kaldığı bu dört hâlde bile, kişinin zararının giderilmesini isteme hakkı ayakta kalır.

Pratikte bu istisna, verisi bir soruşturma kapsamında işlenen ya da sosyal medyada kendisi tarafından paylaşılmış bilgisi başka bir amaçla kullanılan kişilerin karşısına çıkar. Veri sorumlusu “bu hâlde kanun uygulanmaz” savunmasını yaptığında, tazminat talebi bakımından bu savunmanın kanunun kendi lafzıyla kapatıldığını göstermek gerekir. Orantılılık şartı da fıkranın içindedir: istisna ancak kanunun amacına ve temel ilkelerine uygun ve orantılı olduğu ölçüde işler.

Kime dava açılır: veri sorumlusu, veri işleyen ve müşterek sorumluluk

Kanunun 3. maddesi iki farklı sıfat tanımlar. Veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir. Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına verileri işleyen kişidir. Alışveriş yapılan mağaza veri sorumlusu, mağazanın müşteri listesini barındıran bulut hizmeti sağlayıcısı ya da çağrı merkezi firması veri işleyendir.

Bu ayrım davalı seçiminde belirleyicidir. 12. maddenin ikinci fıkrası, verilerin veri sorumlusu adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde güvenlik tedbirlerinin alınması bakımından bu kişilerin müştereken sorumlu olduğunu söyler. Yani veriler bir alt yüklenicinin sunucusundan sızmış olsa dahi asıl muhatap ortadan kalkmaz. Borçlar Kanunu’nun 61. maddesi de birden çok kişinin birlikte zarara sebebiyet vermesi hâlinde müteselsil sorumluluk hükümlerini uygulatır; davacı tazminatın tamamını dilediği sorumludan isteyebilir.

Dava dilekçesinde her iki tarafın da davalı gösterilmesi, tahsil riskini dağıtması bakımından tercih edilir. Verinin fiilen sızdırıldığı çalışan varsa onun kişisel sorumluluğu da ayrıca doğar; 12. maddenin dördüncü fıkrası veri sorumluları ile veri işleyen kişilerin öğrendikleri verileri kanuna aykırı biçimde açıklayamayacağını ve bu yükümlülüğün görevden ayrıldıktan sonra da sürdüğünü belirtir. İşten ayrılmış bir çalışanın eski müşteri listesini kullanması bu fıkraya girer.

Veri ihlalini yapan kamu kurumuysa yol tümüyle değişir

18. maddenin ikinci fıkrası idari para cezalarının kimlere uygulanacağını sayarken sınırı net çizer: cezalar veri sorumlusu olan gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanır. Dördüncü fıkra ise kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenen eylemlerde, Kurul’un bildirimi üzerine ilgili görevliler hakkında disiplin hükümlerine göre işlem yapılacağını ve sonucun Kurul’a bildirileceğini söyler.

Sonuç şudur: bir hastanenin, belediyenin, üniversitenin ya da bir kamu bankasının kamu hukuku alanındaki faaliyetinden kaynaklanan veri ihlalinde Kurul idari para cezası kesmez. Kurul yine inceleme yapar, ihlali tespit eder ve giderilmesine karar verir; ancak yaptırım para cezası değil disiplin sürecidir. Mağdurun tazminat yolu da değişir: idarenin hizmet kusurundan doğan zarar, idari yargıda tam yargı davasıyla istenir. Bu davadan önce idareye başvuru yapılması gerekir ve süreler idari yargılama usulüne tabidir.

Kamu kurumunun ticari nitelikteki faaliyetleri ve kamu görevlisinin kişisel kusuru bu tablonun dışında kalır. Bir memurun görev alanı dışında, kendi çıkarı için vatandaşın verisini üçüncü kişiye vermesi hizmet kusuru değil kişisel kusurdur; bu hâlde adli yargıda doğrudan o kişiye karşı dava açılabilir. Ayrım her zaman kolay yapılmadığı için, ihlalin nasıl gerçekleştiğine dair bilgi ve belgelerin önceden toplanması önem taşır.

Görevli mahkeme dört ihtimale göre belirlenir

Kişisel veri ihlalinden doğan tazminat davasında tek bir görevli mahkeme yoktur; görev, tarafların arasındaki hukuki ilişkiye göre değişir. Genel kural asliye hukuk mahkemesidir. Hukuk Muhakemeleri Kanunu’nun 2. maddesi, dava konusunun değer ve miktarına bakılmaksızın malvarlığı haklarına ilişkin davalarla şahıs varlığına ilişkin davalarda asliye hukuk mahkemesini görevli sayar. Kişilik hakkı ihlalinden doğan manevi tazminat da bu kapsamdadır.

Bu genel kuralı üç özel durum kırar. İhlal işçi ile işveren arasındaki ilişkiden doğuyorsa iş mahkemesi görevlidir; işverenin çalışanın sağlık raporunu, parmak izini ya da işyeri kamerası kayıtlarını hukuka aykırı işlemesi bu gruba girer. Veri sorumlusu ile ilgili kişi arasında bir tüketici işlemi varsa tüketici mahkemesi devreye girer. Veri sorumlusu kamu idaresiyse ve zarar hizmet kusurundan doğuyorsa idari yargı görevlidir.

Taraflar arasındaki ilişki	Görevli mahkeme	Dayanak
Aralarında özel bir ilişki yok (sızıntı, izinsiz paylaşım)	Asliye hukuk mahkemesi	HMK m.2
İşçi–işveren ilişkisinden doğuyor	İş mahkemesi	7036 s.K. m.5
Tüketici işlemiyle bağlantılı	Tüketici mahkemesi	6502 s.K. m.73
Kamu idaresinin hizmet kusuru	İdare mahkemesi (tam yargı)	2577 s.K. m.12-13

Yetkiyi davacı seçer, kendi yerleşim yeri de buna dahildir

Yetki konusunda mağdurun elinde birden fazla seçenek vardır ve bunlardan biri çoğu içerikte atlanır. Hukuk Muhakemeleri Kanunu’nun 6. maddesi genel yetkili mahkemeyi davalının yerleşim yeri olarak belirler. 16. maddesi haksız fiilden doğan davalarda fiilin işlendiği yer, zararın meydana geldiği yer ya da zarar görenin yerleşim yeri mahkemesini de yetkili kılar.

Buna ek olarak Türk Medeni Kanunu’nun 25. maddesinin son fıkrası kişilik haklarının korunması için açılan davalarda özel bir yetki kuralı getirir: davacı, kendi yerleşim yeri veya davalının yerleşim yeri mahkemesinde dava açabilir. Kişisel veri ihlali kişilik hakkı ihlali olduğu için bu kural doğrudan uygulanır. Merkezi başka bir ilde bulunan büyük bir şirketin veri sızıntısına maruz kalan kişi, davasını kendi bulunduğu ildeki mahkemede açabilir.

Yetki seçimi masraf ve süre bakımından gerçek bir fark yaratır. Duruşmalara katılım, tanık dinletme ve bilirkişi incelemesi süreçleri davanın görüldüğü yere göre şekillenir. Sözleşmelerde yer alan yetki şartlarına da dikkat etmek gerekir; ancak tüketici sıfatını taşıyan kişiler bakımından bu tür şartlar sınırlı ölçüde geçerlidir.

Arabuluculuk dava şartı mı: dört ayrı rejim

Hukuk Uyuşmazlıklarında Arabuluculuk Kanunu’nun 18/B maddesi dava şartı olan uyuşmazlıkları sayar: kira ilişkisinden kaynaklananlar, taşınır ve taşınmazların paylaştırılması ile ortaklığın giderilmesi, Kat Mülkiyeti Kanunu’ndan kaynaklananlar ve komşu hakkından kaynaklananlar. Bu listede kişisel veri ihlali ya da haksız fiilden doğan tazminat yer almaz. Dolayısıyla genel kural olarak KVKK tazminat davasında arabulucuya başvurmak dava şartı değildir.

Bu genel kural, davanın niteliğine göre üç ayrı yerden kırılabilir. Uyuşmazlık işçi ile işveren arasındaysa 7036 sayılı İş Mahkemeleri Kanunu’nun 3. maddesi arabuluculuğu dava şartı yapar. Dava ticari nitelikteyse ve konusu bir miktar paranın ödenmesiyse Türk Ticaret Kanunu’nun 5/A maddesi devreye girer. Tüketici işlemi kapsamındaysa 6502 sayılı Kanun’un 73/A maddesi uygulanır.

Yanlış değerlendirme davanın usulden reddine yol açtığı için, dava türü belirlenirken tarafların sıfatı dikkatle incelenmelidir. Gerçek kişi olan mağdur ile ticari şirket arasındaki uyuşmazlık kural olarak ticari dava sayılmaz; ticari dava için her iki tarafın da ticari işletmesiyle ilgili bir husustan söz edilmesi ya da uyuşmazlığın kanunda mutlak ticari dava olarak sayılmış olması gerekir.

Hukuka aykırılık karinesi ispat yükünü ikiye böler

Türk Medeni Kanunu’nun 24. maddesinin ikinci fıkrası, kişilik hakkına yapılan her saldırıyı kural olarak hukuka aykırı sayar. Saldırı ancak üç sebepten biriyle haklı kılınabilir: zarar görenin rızası, daha üstün nitelikte özel veya kamusal yarar, kanunun verdiği yetkinin kullanılması. Bu üç sebebin varlığını ileri süren taraf, bunu ispat etmekle yükümlüdür.

Kişisel veri hukukunda bu şema doğrudan işler. 6698 sayılı Kanun’un 5. maddesi verilerin kural olarak açık rıza olmaksızın işlenemeyeceğini söyler ve rıza aranmayan altı hâli sayar: kanunlarda açıkça öngörülmesi, fiili imkânsızlık, sözleşmenin ifasıyla doğrudan ilgili olması, hukuki yükümlülüğün yerine getirilmesi, ilgili kişinin kendisi tarafından alenileştirilmesi, bir hakkın tesisi veya korunması için zorunlu olması ve meşru menfaat. Veri sorumlusu bu şartlardan hangisine dayandığını ortaya koymak zorundadır.

Buna karşılık zararın varlığını ve miktarını ispat yükü davacıdadır; Borçlar Kanunu’nun 50. maddesi bunu açıkça söyler. Aynı maddenin ikinci fıkrası bir yumuşatma getirir: zararın miktarı tam olarak ispat edilemiyorsa hâkim, olayların olağan akışını ve zarar görenin aldığı önlemleri göz önünde tutarak miktarı hakkaniyete uygun olarak belirler. Veri ihlallerinde zararın parasal karşılığını rakamla göstermek çoğu zaman güç olduğundan bu fıkra pratikte sık uygulanır.

Maddi tazminat için neyi ispatlamak gerekir

Maddi tazminat, ihlal yüzünden malvarlığında meydana gelen somut azalmanın karşılığıdır. Veri ihlallerinde bu kalem çoğunlukla dolaylı olarak doğar: sızan kimlik ve iletişim bilgileriyle adına kredi çekilmesi, hesabının boşaltılması, sahte abonelik açılması, kimliğinin başka bir suçta kullanılması gibi. Bu tür olaylarda maddi zarar kolay hesaplanır çünkü ortada banka kaydı, fatura ya da icra dosyası vardır.

Zincirin kurulması ise ayrı bir çabadır. Davacının, uğradığı zararla veri ihlali arasındaki illiyet bağını göstermesi gerekir. Aynı bilgilerin başka kaynaklardan da elde edilebileceği savunması sık yapıldığı için, ihlalin tarihi ile zararın doğduğu tarih arasındaki yakınlık, sızan veri setinin içeriği ve Kurul’un ihlale ilişkin kararı bu noktada önem kazanır. Benzer bir ispat sorunu internet bankacılığı dolandırıcılığında banka sorumluluğu tartışmasında da karşımıza çıkar.

Zarar kalemlerine ihlalin giderilmesi için yapılan masraflar da girer. Kimlik değişikliği, kart yenileme, noter ve bilirkişi giderleri, ihlalin tespiti için alınan teknik hizmetler bu kapsamda istenebilir. Kimliği kullanılarak adına borç yaratılan kişilerin izleyeceği adımlar için haberim olmadan adıma kredi çekilmiş ne yapmalıyım ve banka hesabım boşaltıldı ne yapmalıyım başlıklı yazılar ayrıntılı yol haritası sunar.

Manevi tazminat ve hâkimin elindeki diğer araçlar

Borçlar Kanunu’nun 58. maddesi, kişilik hakkının zedelenmesinden zarar görenin manevi tazminat isteyebileceğini söyler. Veri ihlallerinde manevi zarar, kişinin kendisiyle ilgili bilginin denetiminden çıkmasının yarattığı güvensizlik, itibar kaybı ve ihlalin niteliğine göre değişen elem duygusudur. Sağlık verisi, ceza mahkûmiyeti bilgisi ya da cinsel hayata ilişkin veri söz konusu olduğunda manevi zararın ağırlığı belirgin biçimde artar.

Miktar belirlenirken hâkim, Borçlar Kanunu’nun 51. maddesi uyarınca durumun gereğini ve özellikle kusurun ağırlığını göz önüne alır. Uygulamada dikkate alınan başlıca ölçütler şunlardır: verinin niteliği, kaç kişiye ulaştığı, yayılmanın devam edip etmediği, veri sorumlusunun ihlali öğrendikten sonra ne kadar sürede müdahale ettiği, bildirim yükümlülüğünü yerine getirip getirmediği, tarafların ekonomik durumu ve olayın sosyal etkisi. Tazminatın zenginleşme aracı olmaması gerektiği yönündeki yerleşik yaklaşım da miktarı sınırlar.

58. maddenin ikinci fıkrası hâkime para dışında da araç verir: tazminat ödenmesi yerine başka bir giderim biçimi kararlaştırabilir, bunu tazminata ekleyebilir, özellikle saldırıyı kınayan bir karar verebilir ve bu kararın yayımlanmasına hükmedebilir. Medeni Kanun’un 25. maddesi de saldırı tehlikesinin önlenmesini, sürmekte olan saldırıya son verilmesini ve sona ermiş olsa bile etkileri devam eden saldırının hukuka aykırılığının tespitini istemeye imkân tanır. Verinin internette dolaşmaya devam ettiği hâllerde bu talepler tazminattan daha etkili sonuç verir.

Saldırıdan elde edilen kazancın devri istenebilir

Medeni Kanun’un 25. maddesinin üçüncü fıkrası, maddi ve manevi tazminat isteminin yanında üçüncü bir talebi saklı tutar: hukuka aykırı saldırı dolayısıyla elde edilmiş olan kazancın vekâletsiz iş görme hükümlerine göre davacıya verilmesi. Bu talep tazminattan farklı bir mantığa dayanır; ölçü davacının uğradığı zarar değil, ihlal edenin sağladığı kazançtır.

Kişisel veri alanında bu talebin karşılığı somuttur. Müşteri listesinin pazarlama amacıyla satılması, izinsiz elde edilen iletişim bilgileri üzerinden reklam geliri sağlanması ya da veri setinin ticari bir ürüne dönüştürülmesi hâllerinde ihlal eden taraf bir kazanç elde eder. Zararın parasal karşılığını göstermek güç olsa bile, elde edilen kazancın ticari kayıtlardan tespiti mümkün olabilir.

Aynı maddenin dördüncü fıkrası manevi tazminat isteminin sınırını çizer: bu istem karşı tarafça kabul edilmiş olmadıkça devredilemez ve miras bırakan tarafından ileri sürülmüş olmadıkça mirasçılara geçmez. Vefat eden bir kişinin verisinin ihlali hâlinde mirasçıların manevi tazminat talebi bu kuralla sınırlanır; buna karşılık maddi tazminat ve kazancın devri talepleri aynı sınırlamaya tabi değildir.

Zamanaşımı iki yıl değil, sekiz hatta on beş yıl olabilir

Borçlar Kanunu’nun 72. maddesi tazminat isteminin, zarar görenin zararı ve tazminat yükümlüsünü öğrendiği tarihten başlayarak iki yılın ve her hâlde fiilin işlendiği tarihten başlayarak on yılın geçmesiyle zamanaşımına uğrayacağını söyler. Konuyu anlatan içeriklerin çoğu burada durur. Oysa aynı maddenin ikinci cümlesi şudur: “Ancak, tazminat ceza kanunlarının daha uzun bir zamanaşımı öngördüğü cezayı gerektiren bir fiilden doğmuşsa, bu zamanaşımı uygulanır.”

Kişisel veri ihlallerinin büyük bölümü aynı zamanda suçtur. 6698 sayılı Kanun’un 17. maddesi kişisel verilere ilişkin suçlar bakımından Türk Ceza Kanunu’nun 135 ila 140. maddelerini uygulatır. Verileri hukuka aykırı olarak bir başkasına verme, yayma veya ele geçirme suçunun cezası 136. maddede iki yıldan dört yıla kadar hapistir. Ceza Kanunu’nun 66. maddesinin (e) bendi, beş yılı aşmayan hapis cezasını gerektiren suçlarda dava zamanaşımını sekiz yıl olarak belirler. Dolayısıyla bu tür bir ihlalde tazminat zamanaşımı iki yıl değil sekiz yıldır.

Süre bir kademe daha uzayabilir. Ceza Kanunu’nun 137. maddesi, bu suçların kamu görevlisi tarafından görevinin verdiği yetki kötüye kullanılarak ya da belli bir meslek ve sanatın sağladığı kolaylıktan yararlanılarak işlenmesi hâlinde cezanın yarı oranında artırılacağını söyler. Bu durumda 136. maddedeki üst sınır altı yıla çıkar ve 66. maddenin (d) bendi devreye girerek dava zamanaşımı on beş yıl olur. Hastane çalışanının hasta kaydını, banka personelinin müşteri bilgisini ya da bir memurun vatandaş verisini sızdırdığı olaylar bu gruba girer.

Fiilin niteliği	Ceza (TCK)	Ceza dava zamanaşımı	Tazminat zamanaşımı
Suç oluşturmayan hukuka aykırı işleme	—	—	2 yıl / 10 yıl (TBK m.72)
Hukuka aykırı kaydetme (m.135/1)	1–3 yıl hapis	8 yıl	8 yıl
Hukuka aykırı verme, yayma, ele geçirme (m.136/1)	2–4 yıl hapis	8 yıl	8 yıl
Aynı fiil kamu görevlisi veya meslek kolaylığıyla (m.137)	Ceza yarı oranında artar	15 yıl	15 yıl
Verileri yok etmeme (m.138/1)	1–2 yıl hapis	8 yıl	8 yıl

Sürenin ne zaman işlemeye başladığı da ayrıca tartışılır. İki yıllık süre zararın ve sorumlunun öğrenildiği tarihten işler; veri ihlallerinde mağdur çoğu zaman durumu aylar sonra, bir bildirimle ya da Kurul’un ilanıyla öğrenir. Bu nedenle bildirim tarihi ile ihlal tarihi arasındaki fark dosyada mutlaka gösterilmelidir.

İlk adım: veri sorumlusuna başvuru ve otuz günlük süre

Tazminat davası için zorunlu olmasa da, süreç genellikle veri sorumlusuna başvuruyla başlar. 13. madde ilgili kişinin taleplerini yazılı olarak veya Kurul’un belirleyeceği diğer yöntemlerle veri sorumlusuna ileteceğini söyler. Uygulamada kayıtlı elektronik posta, güvenli elektronik imzalı e-posta, noter aracılığıyla gönderilen ihtarname ya da veri sorumlusuna daha önce bildirilmiş elektronik posta adresi kullanılır.

Veri sorumlusu talebi, niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırmak zorundadır. İşlem ayrıca bir maliyet gerektiriyorsa Kurul’ca belirlenen tarifedeki ücret alınabilir. Üçüncü fıkra iki noktayı daha netleştirir: veri sorumlusu talebi kabul eder ya da gerekçesini açıklayarak reddeder, cevabını yazılı olarak veya elektronik ortamda bildirir; başvurunun veri sorumlusunun hatasından kaynaklanması hâlinde alınan ücret iade edilir.

Başvuru dilekçesinde 11. maddedeki hangi hakkın kullanıldığının açıkça yazılması gerekir. Verinin işlenip işlenmediğini öğrenme, işlenme amacını sorma, aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini isteme, silinmesini veya yok edilmesini isteme, bu işlemlerin verinin aktarıldığı üçüncü kişilere bildirilmesini isteme, otomatik sistemlerle yapılan analiz sonucu aleyhe çıkan sonuca itiraz etme ve zararın giderilmesini talep etme haklarının hepsi aynı dilekçede kullanılabilir.

Cevap yetersizse otuz ve altmış günlük şikâyet penceresi

14. maddenin birinci fıkrası şikâyet için üç ayrı hâl sayar: başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde başvuruya cevap verilmemesi. Bu hâllerde ilgili kişi, veri sorumlusunun cevabını öğrendiği tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurul’a şikâyette bulunabilir.

İki sürenin birlikte işlemesi dikkat gerektirir. Veri sorumlusu yirmi dokuzuncu günde cevap verirse, otuz günlük süre o tarihten başlar ama altmış günlük dış sınır başvuru tarihinden itibaren işlemeye devam eder; ikisinden hangisi önce dolarsa şikâyet hakkı o tarihte sona erer. Hiç cevap verilmediği hâlde ise otuz günlük bekleme süresinin dolmasını beklemek, sonrasında altmış günlük sınır içinde şikâyet etmek gerekir.

Şikâyetin şeklî şartları da vardır. 15. maddenin ikinci fıkrası, Dilekçe Hakkının Kullanılmasına Dair Kanun’un 6. maddesindeki şartları taşımayan ihbar veya şikâyetlerin incelemeye alınmayacağını söyler. Ad, soyad, imza ve adres bilgisi bulunmayan dilekçeler bu sebeple işleme konmaz. Şikâyet süresinin kaçırılması tazminat davası hakkını ortadan kaldırmaz; iki yolun bağımsızlığı burada da işler.

Kurul altmış günde cevap vermezse talep reddedilmiş sayılır

15. maddenin dördüncü fıkrası şikâyet sürecinin en kritik cümlesini taşır: “Şikâyet tarihinden itibaren altmış gün içinde cevap verilmezse talep reddedilmiş sayılır.” Bu bir zımni ret kuralıdır ve süre dolduğunda ortada yazılı bir karar bulunmasa dahi idari işlem doğmuş sayılır. Sessizliği kabul olarak yorumlamak ve beklemeye devam etmek, sonraki aşamada dava süresinin kaçırılmasına yol açar.

Kurul inceleme sırasında veri sorumlusundan bilgi ve belge ister; üçüncü fıkra devlet sırrı niteliğindekiler hariç bu bilgi ve belgelerin on beş gün içinde gönderilmesini ve gerektiğinde yerinde inceleme yapılmasına imkân sağlanmasını zorunlu tutar. İhlalin varlığı anlaşılırsa Kurul hukuka aykırılıkların giderilmesine karar verir ve bu karar tebliğden itibaren gecikmeksizin, en geç otuz gün içinde yerine getirilir.

İki özel yetki daha vardır. İhlalin yaygın olduğu tespit edilirse Kurul ilke kararı alır ve yayımlar; bu kararlar benzer durumdaki tüm veri sorumluları için bağlayıcı bir çerçeve oluşturur. Telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılık bulunması hâlinde ise Kurul veri işlenmesinin veya verinin yurt dışına aktarılmasının durdurulmasına karar verebilir. Yayılmanın sürdüğü olaylarda bu tedbir talebi ayrıca dile getirilmelidir.

Süre	Neyi kapsar	Dayanak
72 saat	Veri sorumlusunun Kurul’a ihlal bildirimi	Kurul kararı 2019/10 (kanunda değil)
30 gün	Veri sorumlusunun başvuruyu sonuçlandırması	6698 s.K. m.13/2
30 gün	Cevabı öğrendikten sonra Kurul’a şikâyet	6698 s.K. m.14/1
60 gün	Başvuru tarihinden itibaren şikâyetin dış sınırı	6698 s.K. m.14/1
15 gün	Veri sorumlusunun Kurul’a belge göndermesi	6698 s.K. m.15/3
60 gün	Kurul cevap vermezse zımni ret	6698 s.K. m.15/4
30 gün	Kurul kararının yerine getirilmesi	6698 s.K. m.15/5
2 / 8 / 15 yıl	Tazminat davası zamanaşımı	TBK m.72, TCK m.66

“72 saat” kanunda yazmaz: bildirim süresinin gerçek dayanağı

Veri ihlallerini anlatan içeriklerin neredeyse tamamı “veri sorumlusu 72 saat içinde bildirim yapmak zorundadır, dayanağı 6698 sayılı Kanun’un 12. maddesinin beşinci fıkrasıdır” der. Fıkranın lafzı ise şudur: “İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir.” Kanun metninde 72 saat ifadesi geçmez.

Yetmiş iki saatlik süre, Kişisel Verileri Koruma Kurulu’nun 24 Ocak 2019 tarihli ve 2019/10 sayılı kararından gelir. Kurul, kanundaki “en kısa süre” ifadesini yorumlayarak veri sorumlusunun ihlali öğrendiği andan itibaren gecikmeksizin ve en geç yetmiş iki saat içinde Kurul’a bildirim yapması gerektiğine karar vermiştir. Aynı kararda, ihlalden etkilenen kişilerin belirlenmesinin ardından onlara da makul olan en kısa sürede bildirim yapılacağı belirtilmiştir.

Ayrım pratik bir sonuç doğurur. Süre kanundan değil Kurul kararından geldiği için, yetmiş iki saatin aşılması tek başına kanuna aykırılık değil, Kurul kararına aykırılık oluşturur ve idari para cezası bakımından 12. maddedeki veri güvenliği yükümlülüğü üzerinden değerlendirilir. Tazminat davası bakımından ise gecikme, veri sorumlusunun kusurunun ağırlığını gösteren bir olgu olarak Borçlar Kanunu’nun 51. maddesi kapsamında dikkate alınır.

Veri sorumlusu bildirim yapmadıysa bunun davadaki karşılığı

Bildirim yapılmaması iki ayrı sonuç doğurur. Birincisi idari yaptırımdır: bildirim yükümlülüğü 12. madde kapsamındaki veri güvenliği yükümlülüğünün bir parçası sayıldığından, ihlali gizleyen veri sorumlusu bu maddeye bağlı idari para cezasıyla karşılaşır. İkincisi tazminat davasındaki etkidir; mağdurun zararın büyümesini engelleme imkânı elinden alındığı için kusur değerlendirmesi ağırlaşır.

Zamanaşımı bakımından da bildirimin yapılmamış olması davacının lehinedir. İki yıllık süre zararın ve sorumlunun öğrenildiği tarihten işlediği için, ihlali hiç öğrenmemiş kişi bakımından bu süre başlamaz. Veri sorumlusunun “olay üç yıl önce gerçekleşti” savunmasına karşı, ihlalin ne zaman ve nasıl öğrenildiğinin belgelenmesi gerekir. Kurul’un ilanı, gelen bildirim e-postası ya da basına yansıyan haber bu tarihi gösterir.

Kurul, ihlal bildirimlerini kendi internet sitesinde kamuya duyurabilir; 12. maddenin beşinci fıkrası bu yetkiyi açıkça verir. Kendisiyle ilgili bir ihlalden şüphelenen kişinin Kurum’un veri ihlali bildirimleri sayfasını taraması, hem ihlalin varlığını hem de öğrenme tarihini belgelemesi bakımından yararlıdır.

İdari para cezası size ödenmez: 2026 tutarları

Kurul’un kestiği idari para cezası kamu geliridir ve Hazine’ye yazılır; mağdurun cebine tek kuruş girmez. Bu ayrımın bilinmemesi, şikâyet sürecinden tazminat bekleyen kişilerde hayal kırıklığı yaratır. Ceza, ihlalin kamusal yaptırımıdır; mağdurun zararının karşılığı yalnızca tazminat davasıyla alınır.

18. maddede yazılı tutarlar da güncel değildir. Kanun metninde aydınlatma yükümlülüğü için 5.000 ila 100.000 lira gibi rakamlar geçer; bunlar 2016 yılındaki taban değerlerdir. Kabahatler Kanunu uyarınca idari para cezaları her yıl yeniden değerleme oranında artırılır ve kanun metni değişmediği için güncel tutar yalnızca ilgili tebliğle takip edilebilir. 2026 yılı için uygulanan oran, 27 Kasım 2025 tarihli Resmî Gazete’de yayımlanan 585 sıra numaralı Vergi Usul Kanunu Genel Tebliği ile yüzde 25,49 olarak belirlenmiştir.

Aykırılık	Kanun metnindeki taban	2026 alt sınır	2026 üst sınır
Aydınlatma yükümlülüğü (m.10)	5.000 – 100.000 TL	85.437 TL	1.709.200 TL
Veri güvenliği yükümlülükleri (m.12)	15.000 – 1.000.000 TL	256.357 TL	17.092.242 TL
Kurul kararlarını yerine getirmeme (m.15)	25.000 – 1.000.000 TL	427.263 TL	17.092.242 TL
Sicile kayıt ve bildirim (m.16)	20.000 – 1.000.000 TL	341.809 TL	17.092.242 TL
Standart sözleşme bildirimi (m.9/5)	50.000 – 1.000.000 TL	90.308 TL	1.806.377 TL

Tutarlar her takvim yılı başında değiştiği için, bir dosyada esas alınacak rakam ihlalin gerçekleştiği yıla göre belirlenir. Standart sözleşme bildirimine ilişkin ceza 2024 yılında eklendiğinden diğerlerinden daha düşük bir çarpanla artmıştır; bu kalemin diğerleriyle aynı düzeyde gösterilmesi sık rastlanan bir hatadır.

Para cezasına itiraz artık sulh cezada değil idare mahkemesinde

Kanunun kabul edildiği dönemde 18. maddede itiraz merciini gösteren bir hüküm yoktu; Kabahatler Kanunu’nun genel kuralı gereği idari para cezalarına karşı sulh ceza hâkimliğine başvuruluyordu. Bu durum 2 Mart 2024 tarihli ve 7499 sayılı Kanun’la değişti. 18. maddeye eklenen üçüncü fıkra şu hükmü getirdi: “Kurulca verilen idari para cezalarına karşı, idare mahkemelerinde dava açılabilir.”

Aynı kanunla eklenen geçici 3. madde geçiş rejimini düzenler. İkinci fıkra, “1/6/2024 tarihi itibarıyla sulh ceza hâkimliklerinde görülmekte olan başvurular, bu hâkimliklerce görülmeye devam olunur” der. Yani değişiklik tarihinde derdest olan dosyalar bulundukları mercide kalmış, yeni başvurular idari yargıya taşınmıştır. Bu geçiş hükmü, konuyu anlatan içeriklerin çoğunda yer almaz.

Aynı geçici maddenin birinci fıkrası yurt dışına aktarım rejimi için de bir geçiş öngörmüştür: 9. maddenin değiştirilmeden önceki birinci fıkrası, maddenin yeni hâliyle birlikte 1 Eylül 2024 tarihine kadar uygulanmaya devam etmiştir. Bu tarihten önceki aktarımların hukuka uygunluğu değerlendirilirken eski rejim esas alınır; eski ve yeni dönem ayrımının yapılmaması tazminat davalarında yanlış sonuca götürür.

Ceza ayağı: 135-140 arası suçlar ve şikâyet gerekmeyen hâller

6698 sayılı Kanun’un 17. maddesi kişisel verilere ilişkin suçlar bakımından Türk Ceza Kanunu’nun 135 ila 140. maddelerini uygulatır. 135. madde hukuka aykırı olarak kişisel veri kaydetmeyi bir yıldan üç yıla kadar hapisle cezalandırır; verinin siyasi, felsefi veya dini görüşe, ırki kökene, ahlaki eğilime, cinsel yaşama, sağlık durumuna ya da sendikal bağlantıya ilişkin olması hâlinde ceza yarı oranında artar. 136. madde verileri hukuka aykırı olarak verme, yayma veya ele geçirmeyi iki yıldan dört yıla kadar hapisle cezalandırır.

Şikâyet konusunda yaygın bir yanlış vardır. 139. madde şu istisnayı koyar: “Kişisel verilerin kaydedilmesi, verileri hukuka aykırı olarak verme veya ele geçirme ve verileri yok etmeme hariç, bu bölümde yer alan suçların soruşturulması ve kovuşturulması şikayete bağlıdır.” Yani 135, 136 ve 138. maddelerdeki suçlar şikâyete bağlı değildir; savcılık öğrendiği anda kendiliğinden soruşturma başlatır. Altı aylık şikâyet süresinin kaçırılmış olması bu suçlar bakımından takibi engellemez.

Ceza davasının sonucu tazminat davasını doğrudan belirlemez. Borçlar Kanunu’nun 74. maddesi hukuk hâkiminin, kusurun olup olmadığı konusunda ceza hukuku hükümleriyle ve ceza hâkiminin verdiği beraat kararıyla bağlı olmadığını söyler. Beraat kararı çoğu zaman kastın ispatlanamamasına dayanır; oysa tazminat sorumluluğu için ihmal düzeyindeki kusur yeterlidir. Suç duyurusunun nasıl yapılacağı için savcılığa verilecek şikayet dilekçesi örneği yazısındaki çerçeve kullanılabilir. Ceza Kanunu’nun 140. maddesi ayrıca bu suçların işlenmesi dolayısıyla tüzel kişiler hakkında güvenlik tedbirlerine hükmolunacağını öngörür.

Özel nitelikli veri ihlalinde tablo ağırlaşır

6. maddenin birinci fıkrası özel nitelikli kişisel verileri sayar: ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler. Bu veriler için ayrı ve daha dar bir işleme rejimi öngörülmüştür.

Rejim 2024 yılında yeniden yazılmıştır. 7499 sayılı Kanun’la ikinci fıkra yürürlükten kaldırılmış, üçüncü fıkra değiştirilerek işlemenin mümkün olduğu yedi hâl tek listede toplanmıştır: açık rıza, kanunlarda açıkça öngörülme, fiili imkânsızlık, ilgili kişinin alenileştirmesi ve bu iradeye uygunluk, bir hakkın tesisi veya korunması için zorunluluk, sır saklama yükümlülüğü altındaki kişilerce sağlık amaçlı işleme, istihdam ve sosyal güvenlik alanındaki hukuki yükümlülükler ile belirli kuruluşların kendi üyelerine yönelik faaliyetleri. Dördüncü fıkra ayrıca Kurul’un belirlediği yeterli önlemlerin alınmasını şart koşar.

Tazminat bakımından sonuç iki yönlüdür. Bir yandan hukuka uygunluk sebebinin dar olması, veri sorumlusunun savunma alanını daraltır. Diğer yandan manevi zararın ağırlığı artar: sağlık verisinin ya da ceza mahkûmiyeti bilgisinin yayılması, iletişim bilgisinin sızmasından farklı bir etki yaratır. İşyerinde toplanan sağlık ve biyometrik verilerin sınırı konusunda işyerinde mahremiyet alanlarında kamera tartışması aynı ilkeleri somutlaştırır.

Yurt dışına aktarımdan doğan ihlaller

9. madde 2024 yılında bütünüyle değiştirilmiş ve yurt dışına aktarım üç kademeli bir yapıya bağlanmıştır. Birinci kademe yeterlilik kararıdır: Kurul, aktarımın yapılacağı ülke, o ülkedeki sektörler veya uluslararası kuruluşlar hakkında yeterlilik kararı verirse aktarım serbestçe yapılabilir. Karar Resmî Gazete’de yayımlanır ve en geç dört yılda bir yeniden değerlendirilir.

Yeterlilik kararı yoksa ikinci kademe devreye girer: uygun güvenceler. Kanun dört güvence sayar; uluslararası sözleşme niteliğinde olmayan anlaşma ve Kurul izni, bağlayıcı şirket kuralları, Kurul’un ilan ettiği standart sözleşme ve Kurul izinli taahhütname. Standart sözleşme imzalanmasından itibaren beş iş günü içinde Kurum’a bildirilmek zorundadır; bu bildirimin yapılmaması ayrı bir idari para cezası sebebidir.

Üçüncü kademe arızi hâllerdir ve yalnızca ilk iki kademe sağlanamadığında, olay bazında uygulanır. Açık rıza, sözleşmenin ifası, üstün kamu yararı, bir hakkın korunması ve hayati menfaatlerin korunması bu hâller arasındadır. Verisi yurt dışındaki bir sunucudan sızan kişi bakımından bu kademelerin hangisine dayanıldığı, hukuka aykırılığın tespitinde belirleyici olur; aktarımın hiçbir kademeye dayanmadığı hâllerde ihlal doğrudan kurulur.

Delil nasıl toplanır ve saklanır

Veri ihlali davalarının en zayıf halkası ispattır, çünkü ihlalin izleri karşı tarafın sisteminde bulunur. Bu nedenle mağdurun elindeki dolaylı delillerin baştan düzgün toplanması gerekir. Toplanacak belgeler şunlardır.

• Veri sorumlusunun bildirimi: gelen e-posta ya da kısa mesajın başlık bilgileriyle birlikte alınmış çıktısı; bu belge hem ihlali hem öğrenme tarihini kanıtlar.
• Kurul kararı: ihlale ilişkin verilmiş bir karar varsa metni; ihlalin varlığını ve veri sorumlusunun kusurunu gösteren en güçlü belgedir.
• Başvuru ve cevap yazışması: veri sorumlusuna yapılan başvurunun gönderim kaydı ile gelen cevap; süre hesabının dayanağını oluşturur.
• Zararı gösteren kayıtlar: banka hareketleri, icra takibi, sahte abonelik faturası, kredi kayıt bürosu raporu gibi somut belgeler.
• Yayılmayı gösteren ekran görüntüleri: tarih ve adres bilgisi görünecek şekilde alınmış, mümkünse noter tespitiyle desteklenmiş görüntüler.
• Sicil kaydı: veri sorumlusunun sicile kayıtlı olup olmadığı ve bildirdiği veri kategorileri, dosyaya sunulabilecek açık kaynaklı bilgidir.

Karşı tarafın elindeki delillere ulaşmak için yargılama sırasında delil sunulmasına ilişkin usul hükümlerinden yararlanılır; mahkemeden veri sorumlusunun kayıt sistemi, erişim logları ve ihlal müdahale kayıtları istenebilir. Kurul’un yürüttüğü inceleme dosyasının celbi de sık başvurulan bir yoldur ve teknik incelemenin tekrarlanmasını gereksiz kılar.

Yargıtay içtihadı şu an nerede yoğunlaşıyor

Kanun 2016 yılında yürürlüğe girdiği için içtihat henüz oluşum aşamasındadır. Yargıtay karar arama sisteminde “kişisel verilerin korunması kanunu” ifadesiyle yapılan tam ifade taraması doksan dört karara ulaşır ve bunların ağırlığı iki alanda toplanır: iş hukuku ile icra hukuku. Kişilik hakkı ihlaline dayalı saf veri tazminatı kararları ise sayıca çok azdır.

Bu dağılımın sebebi anlaşılırdır. İşveren ile işçi arasındaki uyuşmazlıklarda kişisel veri tartışması çoğunlukla feshin geçerliliği bağlamında ortaya çıkar: işverenin çalışanın e-postalarını, kamera kayıtlarını ya da konum bilgisini delil olarak kullanması hâlinde bu delilin hukuka uygun elde edilip edilmediği tartışılır. İcra dosyalarında ise borçlunun bilgilerinin üçüncü kişilere açıklanması gündeme gelir.

Uygulayıcı bakımından sonuç şudur: KVKK tazminat davası taleplerinde henüz yerleşmiş bir miktar ölçeği bulunmadığından, mahkemeler kişilik hakkı ihlallerine ilişkin genel ölçütlerle karar vermektedir. Bu nedenle dava dilekçesinde ihlalin ağırlığını somutlaştıran unsurların —verinin niteliği, yayılma ölçeği, veri sorumlusunun davranışı— ayrıntılı biçimde ortaya konması, benzer davalardan alınmış rakamlara atıf yapmaktan daha etkilidir.

İşyerinde ve tüketici ilişkilerinde en sık görülen ihlal tipleri

Uygulamada karşılaşılan ihlaller birkaç tipte toplanır. İşveren tarafında: işe alım sürecinde sağlık raporu ve adli sicil belgesi istenmesi, çalışanın parmak izi veya yüz tanıma verisiyle giriş kontrolü yapılması, işyeri e-postalarının ve internet trafiğinin izlenmesi, araç takip sistemleriyle konum verisinin sürekli kaydedilmesi. Bu uygulamaların hepsi kendiliğinden hukuka aykırı değildir; aydınlatma yapılmış, işleme şartı bulunuyor ve ölçülülük sağlanıyorsa hukuka uygun olabilir.

Ticari ilişkilerde ise en sık görülenler şunlardır: alışveriş sırasında alınan iletişim bilgisinin ticari elektronik ileti gönderimi için kullanılması, müşteri listesinin başka bir şirkete devredilmesi, çağrı merkezi kayıtlarının izinsiz saklanması ve üyelik iptal edilmesine rağmen verilerin silinmemesi. Silme talebine rağmen verinin tutulması, 7. ve 11. maddeler ile birlikte Ceza Kanunu’nun 138. maddesini de gündeme getirir.

Çalışma ilişkisinde ortaya çıkan veri ihlalleri çoğu zaman daha geniş bir sorunun parçasıdır; sistematik baskı iddiasıyla birlikte geldiğinde mobbing tartışması da açılır. İzinsiz elde edilen bilgiyle rahatsız edilme boyutuna varan olaylarda ise kişilerin huzur ve sükununu bozma suçu ayrıca değerlendirilir.

İhlali öğrendiğiniz gün atılacak somut adımlar

Sürecin ilk günlerinde atılacak adımlar, sonradan telafisi güç sonuçları önler. Öncelikle ihlalin kapsamı belirlenmelidir: hangi verilerin, kimin sisteminden, ne zaman çıktığı. Ardından veri sorumlusuna yazılı başvuru yapılmalı, gönderim kaydı saklanmalıdır. Yayılma sürüyorsa Kurul’dan durdurma kararı istenmesi, aynı anda mahkemeden ihtiyati tedbir talep edilmesi gündeme gelir.

Zararın büyümesini önleyecek pratik önlemler de aynı dönemde alınır: kimlik bilgileri sızmışsa kredi kayıt bürosundan sorgulama yapılması, bankalara bilgilendirme verilmesi, e-Devlet üzerinden adına açılmış hat ve abonelik kontrolü. Bu adımlar hem zararı sınırlar hem de dava sırasında zarar görenin önlem aldığını gösterir; Borçlar Kanunu’nun 50. maddesinin ikinci fıkrası bu davranışı doğrudan hesaba katar.

KVKK tazminat davası; hangi mahkemenin görevli olduğu, arabuluculuğun dava şartı sayılıp sayılmadığı ve hangi zamanaşımının uygulanacağı noktalarında dosyaya göre değişir. Yanlış mercide açılan dava süre kaybına, yanlış hesaplanan zamanaşımı ise hak kaybına yol açar. Böyle bir durumla karşılaşırsanız somut belgelerle birlikte değerlendirme yapılması için tazminat davaları alanındaki çalışmalarımızı inceleyebilir, dosyanızı görüşmek için iletişim sayfasından bize ulaşabilirsiniz. Büromuzun ilgilendiği diğer alanları çalışma alanlarımız sayfasında görebilirsiniz.

Bir konuşmanın izinsiz kaydedilmesi her hâlde suç değildir; belirleyici olan kaydı yapanın konuşmanın tarafı olup olmadığı, kaydın içeriği ve sonradan paylaşılıp paylaşılmadığıdır. Konuşma kaydının hangi hâlde TCK m.132, m.133 ve m.134 kapsamına girdiğini, mahkemede delil olarak kullanılıp kullanılamayacağını ve şikâyet süresinin ne zaman işlemeye başladığını ses kaydı suç mu başlıklı yazımızda Yargıtay kararlarıyla birlikte ele aldık.

Uygulamada tazminat istemine konu olan ihlallerin önemli bir bölümü çalışma ilişkisinden doğuyor; bunların başında da güvenlik kamerasının görüntüyle birlikte ses kaydı alması geliyor. Kurulun bu konudaki kararları, cezanın hangi hükümden kesildiği ve işçinin başvurabileceği yollar için işyerinde ses kaydı yazımıza bakabilirsiniz.

Sıkça Sorulan Sorular

KVKK tazminat davası açmak için önce Kurula şikâyet etmek zorunlu mu?

Zorunlu değildir. 6698 sayılı Kanun’un 14. maddesinin ikinci fıkrasındaki “başvuru yolu tüketilmeden şikâyet yoluna başvurulamaz” kuralı yalnızca Kurul’a şikâyet için geçerlidir. Üçüncü fıkra tazminat hakkını genel hükümlere göre saklı tuttuğu için doğrudan hukuk mahkemesinde dava açılabilir.

Kurulun kestiği idari para cezası bana ödenir mi?

Ödenmez. İdari para cezası kamu geliridir ve Hazine’ye yazılır. Mağdurun uğradığı zararın karşılığı yalnızca hukuk mahkemesinde açılacak tazminat davasıyla alınır. İki yol paralel yürüyebilir ancak sonuçları farklıdır.

Veri ihlali tazminat davasında zamanaşımı kaç yıl?

Kural olarak zararın ve sorumlunun öğrenildiği tarihten itibaren iki yıl, her hâlde fiilden itibaren on yıldır. Fiil aynı zamanda suç oluşturuyorsa Borçlar Kanunu’nun 72. maddesi ceza zamanaşımını uygulatır; verileri hukuka aykırı yayma suçunda süre sekiz yıla, fiil kamu görevlisi ya da mesleğinin kolaylığından yararlanan biri tarafından işlenmişse on beş yıla kadar çıkabilir.

Hangi mahkemede dava açmalıyım?

Genel kural asliye hukuk mahkemesidir. İhlal işçi–işveren ilişkisinden doğuyorsa iş mahkemesi, tüketici işlemiyle bağlantılıysa tüketici mahkemesi görevlidir. Veri sorumlusu bir kamu idaresiyse ve zarar hizmet kusurundan kaynaklanıyorsa dava idari yargıda tam yargı davası olarak açılır.

Davayı kendi şehrimde açabilir miyim?

Açabilirsiniz. Türk Medeni Kanunu’nun 25. maddesinin son fıkrası, kişilik haklarının korunması için açılan davalarda davacının kendi yerleşim yeri mahkemesini de yetkili kılar. Ayrıca haksız fiile ilişkin genel yetki kuralları uyarınca fiilin işlendiği veya zararın meydana geldiği yer mahkemesi de seçilebilir.

Dava açmadan önce arabulucuya gitmek zorunda mıyım?

Kural olarak hayır. Arabuluculuk Kanunu’nun 18/B maddesindeki dava şartı listesinde kişisel veri ihlali yer almaz. Ancak uyuşmazlık iş ilişkisinden doğuyorsa, ticari dava niteliğindeyse ya da tüketici işlemi kapsamındaysa ilgili kanunlar uyarınca arabuluculuk dava şartı hâline gelir.

Veri sorumlusu 72 saat içinde bildirim yapmazsa ne olur?

Yetmiş iki saatlik süre kanunda değil, Kurul’un 24 Ocak 2019 tarihli ve 2019/10 sayılı kararında yer alır. Aşılması, veri güvenliği yükümlülüğünün ihlali olarak idari para cezasına konu olur. Tazminat davasında ise gecikme, veri sorumlusunun kusurunun ağırlığını gösteren bir olgu olarak değerlendirilir.

Kurul ihlal tespit etti, mahkeme tazminata hükmetmek zorunda mı?

Zorunda değildir. Kurul kararı hukuk hâkimini bağlamaz; ancak hukuka aykırılığın tespiti bakımından güçlü bir delildir. Mahkeme zararın varlığını, miktarını ve illiyet bağını ayrıca değerlendirir.

Ceza davasında beraat edilirse tazminat davası düşer mi?

Düşmez. Borçlar Kanunu’nun 74. maddesi hukuk hâkiminin ceza hâkiminin beraat kararıyla bağlı olmadığını açıkça söyler. Beraat çoğu zaman kastın ispatlanamamasına dayanır; tazminat sorumluluğu için ise ihmal düzeyindeki kusur yeterlidir.

Kişisel veri ihlali suçu şikâyete bağlı mı?

Ceza Kanunu’nun 139. maddesi, kişisel verilerin kaydedilmesi, hukuka aykırı olarak verme veya ele geçirme ve verileri yok etmeme suçlarını şikâyet şartının dışında tutar. Bu suçlar savcılıkça kendiliğinden soruşturulur; şikâyet süresinin geçmiş olması takibi engellemez.

Verimi kendim paylaşmıştım, yine de tazminat isteyebilir miyim?

Alenileştirme, 6698 sayılı Kanun’un 28. maddesinin ikinci fıkrasında sayılan hâllerdendir ve aydınlatma ile diğer hakların uygulanmamasına yol açar. Ancak aynı fıkra “zararın giderilmesini talep etme hakkı hariç” dediği için tazminat hakkı ayakta kalır. Ayrıca alenileştirme yalnızca kişinin kendi iradesine uygun kullanımı kapsar; bilginin başka bir amaçla kullanılması hukuka aykırılığı ortadan kaldırmaz.

Veriler bir alt yükleniciden sızdıysa kime dava açarım?

6698 sayılı Kanun’un 12. maddesinin ikinci fıkrası, verilerin veri sorumlusu adına başka bir kişi tarafından işlenmesi hâlinde güvenlik tedbirleri bakımından müşterek sorumluluk öngörür. Borçlar Kanunu’nun 61. maddesi de müteselsil sorumluluk hükümlerini uygulatır; dava her ikisine birden açılabilir ve tazminatın tamamı dilenen sorumludan istenebilir.

Kamu hastanesinden veri sızdı, Kurul ceza keser mi?

Kesmez. 18. maddenin ikinci fıkrası idari para cezalarını gerçek kişiler ile özel hukuk tüzel kişileriyle sınırlar; dördüncü fıkra kamu kurumlarında disiplin hükümlerine göre işlem yapılacağını söyler. Tazminat ise idari yargıda tam yargı davasıyla istenir.

Manevi tazminat mirasçılara geçer mi?

Türk Medeni Kanunu’nun 25. maddesinin dördüncü fıkrası uyarınca manevi tazminat istemi, karşı tarafça kabul edilmiş olmadıkça devredilemez ve miras bırakan tarafından ileri sürülmüş olmadıkça mirasçılara geçmez. Maddi tazminat ve kazancın devri talepleri bu sınırlamaya tabi değildir.

İdari para cezasına nereye itiraz edilir?

7499 sayılı Kanun’la eklenen 18. maddenin üçüncü fıkrası uyarınca Kurul’ca verilen idari para cezalarına karşı idare mahkemelerinde dava açılır. Geçici 3. maddenin ikinci fıkrası, 1 Haziran 2024 tarihi itibarıyla sulh ceza hâkimliklerinde görülmekte olan başvuruların bu hâkimliklerce görülmeye devam edeceğini düzenler.

Şirket üyeliğimi sildirdim ama verilerim duruyor, ne yapabilirim?

11. maddenin (e) bendi, 7. maddedeki şartlar çerçevesinde verilerin silinmesini veya yok edilmesini isteme hakkı verir; (f) bendi bu işlemin verinin aktarıldığı üçüncü kişilere bildirilmesini istemeyi de kapsar. Talebe rağmen verinin tutulması ayrıca Ceza Kanunu’nun 138. maddesindeki verileri yok etmeme suçunu gündeme getirir.