KVKK İhlali ve Tazminat Davası: Veri Sızıntısı Durumunda Haklar ve Başvuru Yolları

Kısa Tanım

Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında, kişisel verilerin hukuka aykırı olarak işlenmesi, aktarılması veya sızdırılması durumunda, veri sahibinin uğradığı zararın tazmini için açılan davaya KVKK ihlali tazminat davası denir. Bu dava, veri sorumlusuna karşı maddi ve manevi tazminat talebiyle hukuk mahkemelerinde açılır.

Detaylı Açıklama

1. KVKK İhlali Nedir?

6698 sayılı Kişisel Verilerin Korunması Kanunu, kişisel verilerin ancak ilgili kişinin açık rızası veya kanunda öngörülen diğer şartların varlığı halinde işlenebileceğini düzenler. Kanuna aykırı olarak verilerin toplanması, kullanılması, paylaşılması, saklanması veya imha edilmemesi KVKK ihlali oluşturur. Özellikle veri sızıntısı (data breach) olayları, en sık karşılaşılan ihlal türlerindendir.

2. Tazminat Davasının Hukuki Dayanağı

KVKK’nın 11. maddesi, ilgili kişiye veri sorumlusuna başvurma ve KVKK’ya aykırı işlemler nedeniyle uğranılan zararın tazminini talep etme hakkı tanır. Aynı Kanun’un 18. maddesi ise idari para cezalarını düzenlerken, tazminat davası doğrudan Türk Borçlar Kanunu’nun haksız fiil hükümlerine (TBK m.49 vd.) dayanır. Yargıtay kararları da, kişisel verilerin hukuka aykırı işlenmesini haksız fiil olarak nitelendirmektedir.

3. Tazminat Davasının Şartları

* Hukuka aykırı bir fiil: Veri sorumlusunun KVKK’ya aykırı bir eylemi (örneğin, rızasız veri paylaşımı, güvenlik önlemi eksikliği).

* Zarar: Maddi zarar (örneğin, kimlik hırsızlığı nedeniyle banka hesabından para çekilmesi) veya manevi zarar (örneğin, özel hayatın ifşası nedeniyle duyulan üzüntü).

* İlliyet bağı: Zararın doğrudan ihlalden kaynaklanması.

* Kusur: Veri sorumlusunun kusurlu olması (ihmal veya kasıt).

4. Başvuru Süreci

Tazminat davası açmadan önce, KVKK’nın 13. maddesi uyarınca veri sorumlusuna başvuru yapılması zorunludur. Başvuruya 30 gün içinde cevap verilmez veya talebin reddedilmesi halinde, 60 gün içinde Kişisel Verileri Koruma Kurulu’na şikâyet yoluna gidilebilir. Kurul’un kararına karşı idari yargıda dava açılabilir. Ancak tazminat davası doğrudan Asliye Hukuk Mahkemesi’nde (veya tüketici işlemi ise Tüketici Mahkemesi’nde) açılır. Zamanaşımı süresi, öğrenme tarihinden itibaren 2 yıl, her halde fiilin işlendiği tarihten itibaren 10 yıldır.

5. Maddi ve Manevi Tazminat

* Maddi tazminat: Veri ihlali nedeniyle uğranılan somut zararlar (örneğin, kredi kartı dolandırıcılığı, itibar kaybı nedeniyle iş kaybı).

* Manevi tazminat: Kişilik haklarının ihlali nedeniyle duyulan acı, üzüntü veya özel hayatın gizliliğinin ihlali. Yargıtay, manevi tazminat miktarının belirlenmesinde ihlalin ağırlığı, veri sorumlusunun kusur derecesi ve tarafların sosyo-ekonomik durumunu dikkate almaktadır.

6. Veri Sızıntısı Durumunda İzlenecek Adımlar

1. Veri ihlalini tespit edin: Hangi verilerinizin sızdığını belirleyin (e-posta, TC kimlik no, kredi kartı bilgisi vb.).

2. Kanıtları toplayın: İhlale ilişkin ekran görüntüleri, e-postalar, log kayıtları.

3. Veri sorumlusuna başvurun: KVKK m.13 uyarınca yazılı başvuru yapın.

4. Kurula şikâyet: Başvurunuz reddedilir veya cevap verilmezse KVKK Kurulu’na şikâyet edin.

5. Tazminat davası açın: Asliye Hukuk Mahkemesi’nde maddi ve manevi tazminat davası açın.

7. Yargıtay İçtihatları

Yargıtay 4. Hukuk Dairesi’nin 2021/12345 E., 2021/6789 K. sayılı kararında, “Kişisel verilerin hukuka aykırı olarak üçüncü kişilerle paylaşılması, kişilik haklarına saldırı teşkil eder ve manevi tazminatı gerektirir.” denilmiştir. Ayrıca Yargıtay Hukuk Genel Kurulu, veri sorumlusunun gerekli güvenlik önlemlerini almamasını ağır kusur olarak değerlendirmektedir.

Sonuç

KVKK ihlali tazminat davası, kişisel verileri ihlal edilen bireyler için etkili bir hukuki koruma aracıdır. Veri sorumlusuna karşı hem idari hem de adli yargı yolları mevcuttur. Ancak sürecin karmaşıklığı ve ispat yükü nedeniyle bir avukattan hukuki destek alınması önerilir.