Open menu

30 Mayıs 2024

Kişisel Verilerin Korunmasından Doğan Hukuki Sorumluluk

Yazar Semih Er, Kategori KVKK - GDPR

Kişisel Verilerin Korunmasından Doğan Hukuki Sorumluluk

    I. Kişisel Verileri Koruma Yükümlülüğü

    Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiye verilen isimdir. Bu bilgiler; kişinin kişisel değerleri, malvarlıksal değerleri ya da içinde bulunduğu fiziksel ve sosyal çevre ile ilgili olabilir. Kişisel veriler, çoğu zaman sır niteliği taşımamakla birlikte gerçek kişiler, sosyal birer varlık oldukları için ilişki hâlinde bulundukları diğer gerçek ve hatta tüzel kişilere pek çok verilerini bizzat açıklamaktadırlar.

    Öncelikle belirtmek gerekir ki kişisel verileri koruma yükümlülüğünün süjesi Devlet’tir. Devlet, bu yükümlülüğünü, Anayasa’nın 20. maddesinde sözü edilen Kanunu hazırlayıp yürürlüğe koymak ve uygulamak yoluyla yerine getirmektedir. Söz konusu Kanun, 7 Nisan 2016 tarihli Resmî Gazete’de yayımlanarak çoğu maddesi yayımı tarihinde yürürlüğe giren 6698 sayılı Kişisel Verilerin Korunması Kanunu’dur. Kanun’un amacı, 1. maddesinde, “kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemek” olarak açıklanmıştır.

    Kişisel Verilerin Korunması Kanunu ile verilen görevleri yerine getirmek üzere, idari ve mali özerkliğe sahip olan bir kamu tüzel kişiliği olan Kişisel Verileri Koruma Kurumu kurulmuştur. Bu kurumun karar organı ise, Kişisel Verileri Koruma Kuruludur. Kurulun görev ve yetkileri Kanun’un 22. maddesinde sayılmakla birlikte bazılarını şu şekilde sıralayabiliriz.

    • Kişisel verilerin, temel hak ve özgürlüklere uygun şekilde işlenmesini sağlamak (m. 22.a)
    • Kişisel verilerle ilgili haklarının ihlâl edildiğini ileri sürenlerin şikâyetlerini karara bağlamak (m. 22.b)
    • Şikâyet üzerine veya ihlâl iddiasını öğrenmesi durumunda resen görev alanına giren konularda kişisel verilerin kanunlara uygun olarak işlenip işlenmediğini incelemek ve gerektiğinde bu konuda geçici önlemler almak (m. 22.c)
    • Özel nitelikli kişisel verilerin işlenmesi için aranan yeterli önlemleri belirlemek (m. 22.ç)
    • Veri güvenliğine ilişkin yükümlülükleri belirlemek amacıyla düzenleyici işlem yapmak (m. 22.f)
    • Veri sorumlusunun ve veri sorumlusu temsilcisinin görev, yetki ve sorumluluklarına ilişkin düzenleyici işlem yapmak (m. 22.g)
    • Kişisel Verilerin Korunması Kanunu’nda öngörülen idari yaptırımlara karar vermek (m. 22.ğ)

    Kişisel verileri koruma yükümlülüğünün süjesi Devlet olsa da söz konusu verileri korumak ve yönetmekle yükümlü olan gerçek veya tüzel kişiler de mevcuttur. Bu kişiler, Kanun’un deyimiyle “veri sorumluları” ve “veri işleyenler”dir. Kişisel Verilerin Korunması Kanunu’nun 3. maddesinde veri sorumlusu ve veri işleyen tanımlanmıştır. Buna göre, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi veri sorumlusu; veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişiye de veri işleyen denmektedir. Veri sorumluları ve veri işleyenler, kişisel verileri işlerken gerek Kişisel Verilerin Korunması Kanunu’nda gerekse diğer Kanunlarda öngörülen usul ve esaslara uygun davranmak zorundadırlar.

    Yükümlülük İhlâlinin Yaptırımı

    Veri sorumlularının ve veri işleyenlerin yükümlülüklerini ihlâl etmeleri veya yetkilerinin sınırlarını aşmaları durumunda fiilleri suç teşkil ediyorsa Türk Ceza Kanunu’nun 135-140. maddeleri uygulanmaktadır. (KVKK m. 17). Kişisel Verilerin Korunması Kanunu’nda öngörülen bazı yükümlülüklerin, veri sorumlusu olan gerçek kişiler ile özel hukuk tüzel kişileri tarafından ihlâli hâlinde, bu kişilere idari para cezası öngörülmüştür. Bu tür yükümlülük ihlâllerinin, kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenmesi hâlinde, memurlar ve diğer kamu görevlileri ile kamu kurumu niteliğindeki meslek kuruluşlarında görev yapanlar hakkında disiplin hükümlerine göre işlem yapılmaktadır. (KVKK m. 18). Söz konusu yaptırımların, yükümlülük ihlâlinin kişisel verisinin işlenmesi sırasında gerçekleşmiş olduğu kişi bakımından çok da etkili bir sonuç doğurduğu ne yazık ki söylenemeyecektir. Kişisel verisinin işlenmesi ile ilgili bir yükümlülüğün ihlâlinden zarar gören kişinin, bu zarara sebep olanların hukuki sorumluluğuna başvurabilmesi, ilgili kişi açısından daha etkili olacaktır. İlgili kişinin zararını tazmin ettirebilmesinin hangi esasa dayanarak, hangi koşullar altında ve kapsamda mümkün olduğu aşağıda detaylı olarak irdelenmiştir.

    II. Kişisel Verilerin Korunmasına İlişkin Hukuki Sorumluluk

    A. Avrupa Birliği Düzenlemelerindeki Durum

    Avrupa Birliği’nin 24 Ekim 1995 tarihli, Kişisel Verilerin İşlenmesi Bakımından Gerçek Kişilerin Korunmasına ve Serbest Veri Akışına İlişkin 95/46 numaralı Direktifi, “sorumluluk” başlıklı 23. maddesinde konuyu şu şekilde hükme bağlamıştır: “(1) Üye Devletler, hukuka aykırı bir işleme nedeniyle veya münferit Devletlerin bu direktifin uygulanmasına ilişkin olarak öngörmüş olduğu hükümlerle bağdaşmayan faaliyetler nedeniyle zarar gören kişilerin, veri işleme sorumlularından tazminat talep edebilme hakları bulunduğunu, hükme bağlarlar. (2) Veri işleme sorumlusu, zararı doğuran durumun kendisine yüklenemeyeceğini ispatlayabilirse, kısmen veya tamamen sorumluluktan kurtulabilir.”

    Avrupa Parlamentosu işbu hususu 27 Nisan 2016 tarihinde kabul ettiği ve 4 Mayıs 2016 tarihinde Avrupa Birliğinin Resmî Gazetesinde yayımlanan bir tüzükle yeniden düzenlemiş bulunmaktadır. Kişisel Verilerin İşlenmesi Bakımından Gerçek Kişilerin Korunmasına, Serbest Veri Akışına ve 95/46 numaralı Direktifin Kaldırılmasına İlişkin Tüzük, Avrupa Birliğinin Veri Korumaya İlişkin Temel Düzenlemesi olarak da nitelendirilmektedir.

    Tüzüğün 82. maddesi, “Sorumluluk ve Zararının Tazminini İsteme Hakkı” başlığını taşımaktadır. Altı fıkradan oluşan ve son fıkrası yetkili mahkemeye ilişkin bulunan bu hükmün ilk beş fıkrası aşağıda yer almaktadır:

    1. Bu Tüzüğe aykırılık nedeniyle maddi veya manevi zarar gören herkes, veri sorumlularından veya vekâleten veri işleyenlerden zararlarının tazminini isteme hakkına sahiptir.
    2. Bir veri işleme eylemine katılan her veri sorumlusu, bu Tüzüğe uygun olmayan işlemenin yol açtığı zarardan sorumludur. Vekâleten veri işleyen bir kişi, işlemenin yol açtığı bir zarardan ancak, özel olarak vekâleten veri işleyenlere bu Tüzükle getirilmiş olan bir yükümlülüğünü ihlâl etmiş ise veya veri sorumlusunun veri işleme için hukuka uygun olarak verdiği talimatlarına uygun davranmamış veya bu talimatlara aykırı hareket etmiş ise sorumlu olur.
    3. Veri sorumlusu veya vekâleten veri işleyen kişi, 2. fıkra kapsamındaki sorumluluktan, zararı doğuran duruma hiçbir şekilde sebep olmadığını kanıtlayarak kurtulabilir.
    4. Birden fazla veri sorumlusu veya birden fazla vekâleten veri işleyen ya da hem bir veri sorumlusu hem de bir vekâleten veri işleyen, aynı veri işleme eylemine katılmış ise ve 2. ve 3. fıkralar çerçevesinde işlemenin yol açtığı zarardan sorumlu ise, ilgili kişiye daha etkili bir tazminat talebi sağlanabilmesi amacıyla, her bir veri sorumlusu veya her bir vekâleten veri işleyen, tüm zarardan sorumlu tutulur.
    5. Bir veri sorumlusu veya vekâleten veri işleyen, 4. fıkra çerçevesinde, uğranan zararın tümü için tazminat ödemiş ise, bu veri sorumlusu ya da veri işleyen, aynı veri işleme eylemine katılan veri işleme için diğer veri sorumlularından veya vekâleten veri işleyenlerden, tazminatın 2. fıkrada belirlenen koşullar çerçevesinde, zarardan sorumluluk bakımından kendilerine düşen paya uygun olan kısmını isteyebilir.”

    B. Ülkemizdeki Durum

    Kişisel Verilerin Korunması Kanunu’muzun, kişisel verilerin hukuka aykırı olarak işlenmesinden doğacak zararlardan sorumluluk bakımından özel bir madde içermemekle beraber gerek Avrupa Birliği düzenlemesinden gerek Alman Veri Koruma Yasasından farklı olduğu söylenebilir.

    6698 sayılı Kişisel Verilerin Korunması Kanunu’nun “Haklar ve Yükümlülükler” başlıklı üçüncü bölümünün “ilgili kişinin hakları” başlıklı 11. maddesinin son bendine göre, “herkes, veri sorumlusuna başvurarak kendisiyle ilgili kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme haklarına sahiptir”. Kanunun “Kurula şikâyet” başlıklı 14. maddesinin üçüncü fıkrasına göre de “kişilik hakları ihlâl edilenlerin, genel hükümlere göre tazminat hakkı saklıdır”. 14. maddede sözü edilen genel hükümler, 4721 sayılı Türk Medeni Kanunu’nun 24. ve 25. maddeleri ile 6098 sayılı Türk Borçlar Kanunu’nun 53, 54, 56 ve 58. maddeleridir.

    Türk Medeni Kanunu’nun 24. maddesine göre, hukuka aykırı olarak kişilik hakkına saldırılan kimse, hâkimden, saldırıda bulunanlara karşı korunmasını isteyebilir. Bu koruma dava yoluyla istenebilecektir. Kişilik hakkına saldırı hâlinde açılabilecek davalar arasında, maddî ve manevî tazminat davaları da yer alır. (TMK m. 25)

    Ölüm hâlinde tazmin edilmesi gereken maddi zarar kalemleri; cenaze giderleri, ölüm hemen gerçekleşmemişse tedavi giderleri ile çalışma gücünün azalmasından ya da yitirilmesinden doğan kayıplar, ölenin desteğinden yoksun kalan kişilerin bu sebeple uğradıkları kayıplardır (TBK m. 53). Bedensel zarar doğması hâlinde tazmin edilmesi gereken maddi zarar kalemleri ise; tedavi giderleri, kazanç kaybı, çalışma gücünün azalmasından ya da yitirilmesinden doğan kayıplar ve ekonomik geleceğin sarsılmasından doğan kayıplardır. (TBK m. 54)

    Hâkim, bir kimsenin bedensel bütünlüğünün zedelenmesi durumunda, olayın özelliklerini göz önünde tutarak, zarar görene uygun bir miktar paranın manevi tazminat olarak ödenmesine karar verebilir. Ağır bedensel zarar veya ölüm hâlinde, zarar görenin veya ölenin yakınlarına da manevi tazminat olarak uygun bir miktar paranın ödenmesine karar verilebilir (TBK m. 56). Kişilik hakkının zedelenmesinden zarar gören, uğradığı manevi zarara karşılık manevi tazminat adı altında bir miktar para ödenmesini isteyebilir. Hâkim, bu tazminatın ödenmesi yerine, diğer bir giderim biçimi kararlaştırabilir veya bu tazminata ekleyebilir; özellikle saldırıyı kınayan bir karar verebilir ve bu kararın yayımlanmasına hükmedebilir (TBK m. 58). Ortaya çıkan zarar, ilgilinin kişisel değerlerinin değil de malvarlığına ilişkin değerlerinin eksilmesi biçiminde oluşmuşsa, zarar görenin mülkiyet veya zilyetlik gibi temel koruma normları tarafından korunan hukuki değerlerinden biri ihlâl edilmiş olmasa da maddi zararın tazmini mümkündür.

    Zira Kişisel Verilerin Korunması Kanunu, zarar görenin malvarlığını da korumaya yönelik özel bir koruma normu olarak değerlendirilebilir. Dolayısıyla verilerinin hukuka aykırı olarak işlenmesi veya korunamaması nedeniyle müşteri kaybeden veya iş fırsatlarını kaçıran ilgi kişiler, yoksun kaldıkları zararlarının tazminini de isteyebilirler; nitekim söz konusu eylem Borçlar Kanunu’nun 49. maddesinin birinci fıkrası anlamında haksız fiil oluşturmaktadır. Mesele şu ki, Hukukumuzda haksız fiil sorumluluğu kural olarak failin kusuruna bağlanmış bulunmaktadır. Kişisel Verilerin Korunması Kanunu’nun sorumluluk konusunda özel hüküm öngörmemiş olması, bu alanda kusur sorumluluğu ile yetinilmesi gerektiği düşüncesini akla getirmektedir.

    Veri sorumlularının kamusal otoriteler olması durumunda idarenin sorumluluğu da gündeme gelebilecektir çünkü bir hizmet kusurunun varlığından söz edilebilecektir. Zira veri işleme sırasında ortaya çıkan bir aksaklık, kamu hizmetinin yerine getirilmesinde hizmet kusuru sayılır ve idarenin sorumluluğunu doğurmaktadır. Söz konusu aksaklığa bizzat yol açan kamu görevlisinin kusuru olsa da olmasa da idare, doğan zararı tazmin etmek zorunda kalır ve ancak kusuru varsa kamu görevlisine rücu edebilecektir.

    Veri sorumlularının özel kişiler olması durumunda ise hizmet kusuru kavramının varlığı ile yetinilmeyip veri sorumlusu veya veri işleyenin kasten veya ihmal ile zarara yol açmış olmasını aramak gerekir. Verilerin özellikle de dijital ortamda işlenmesi, çoğu zaman veri sorumlusunun kusuru dışında sızıntılara yol açabilecek, bazen de veri sorumlusunun kusurlu olduğu kanıtlanamayacaktır. Oysa veri sorumlusunun verileri işlemesinin zarara yol açtığı, yani nedensellik bağı, kolaylıkla kanıtlanabilecektir. Dijital ortamda çalışarak çok sayıda veriyi kolaylıkla toplama, saklama, analiz etme olanaklarına sahip olan veri sorumlularının, verileri bu ortamda uygun şekilde koruyamama riskini de üstlenmiş sayılmaları hakkaniyet ilkesinin bir gereğidir ancak Kişisel Verilerin Korunması Kanunu’nda bu yönde bir açıklık bulunmamaktadır.

    Kusur sorumluluğuna ilişkin hükümlerin kişisel verilerin korunmasındaki yetersizliği hâllerinde tehlike sorumluluğuna ilişkin genel hükmün uygulanabileceği kabul edilse bile; dikkat edilmesi gereken bir başka husus daha vardır. O da veri sorumluları veya veri işleyenlerin fiillerinin, çoğu zaman zarar doğurmaya tek başına elverişli olmayacağı gerçeğidir. Kişisel verilerin deşifre olması, tek başına ölüme, bedensel bütünlüğün bozulmasına, başkaca bir kişisel değerin zedelenmesine ya da malvarlığına ilişkin bir kayba yol açmaz. Bu verilerin her biri sır olarak nitelendirilmeye de elverişli olmadıkları için bunların başlı başına ifşalarını, kişisel veri ihlâli olarak değerlendirmek isabetli olmayacaktır. Kişisel verilerin hukuka aykırı olarak işlenmeleri, çoğu zaman ancak bir başkasının davranışı ile birleşerek zarara yol açabilir. Örneğin, bir veri sorumlusunun tamamen alakasız 3. bir kişiyi sehven kredi alamayacak müşteriler listesine kaydetmesi ya da sisteminde oluşan bir arıza yüzünden yanlış listede görünmesi sonucu hiçbir bankadan kredi alamamamıza sebep olabileceği gibi ilgili kişinin bu yüzden uğradığı zarar, kusurlu ya da kusursuz tek başına veri sorumlusunun davranışından kaynaklanmaktadır.

    III. Sonuç

    Veri sorumlularının hukuki sorumluluğu, Kişisel Verilerin Korunması Kanunu’nun 11. maddesinin son bendinde ve 14. maddesinde, genel olarak hükme bağlanmıştır. Kanun’un 14. maddesi, kişilik hakkı ihlâlleri bakımından genel hükümlere atıf içermektedir. Ortaya çıkan zarar, ilgilinin kişisel değerlerinin değil de malvarlığı değerlerinin eksilmesi biçiminde oluşmuşsa, zarar görenin mülkiyet veya zilyetlik gibi temel koruma normları tarafından korunan hukuki değerlerinden biri ihlâl edilmiş olmasa da maddi zararın tazmini mümkündür.

    Zira 6698 sayılı Kişisel Verilerin Korunması Kanunu, zarar görenin malvarlığını da korumaya yönelik özel bir koruma normu olarak değerlendirilebilir. Hukukumuzda haksız fiil sorumluluğu kural olarak failin kusuruna bağlanmış bulunmaktadır. Kişisel Verilerin Korunması Kanunu’nun sorumluluk konusunda özel hüküm öngörmemiş olması, bu alanda kusur sorumluluğu ile yetinilmesi gerektiği düşüncesini akla getirmektedir. Veri sorumlularının kamusal otoriteler olması durumunda idarenin sorumluluğu gündeme gelebilecektir ancak veri sorumlularının özel kişiler olması durumunda, idarenin sorumluluğu bakımından geçerli olan hizmet kusuru kavramının varlığı ile yetinilmeyip veri sorumlusu veya veri işleyenin kasten veya ihmal ile zarara yol açmış olmasını aramak gerekir.

    Verilerin özellikle de dijital ortamda işlenmesi, çoğu zaman veri sorumlusunun kusuru dışında sızıntılara yol açabilecek, bazen de veri sorumlusunun kusurlu olduğu kanıtlanamayacaktır. Oysa veri sorumlusunun davranışı ile zarar arasındaki nedensellik bağı kolaylıkla kanıtlanabilecektir. Kişisel verilerin hukuka aykırı olarak işlenmeleri, çoğu zaman ancak bir başkasının davranışı ile birleşerek zarara yol açabilir. Bu da veri sorumlusu ile bu kişinin zarar görene karşı müteselsil olarak sorumlu tutulmalarını gerektirecek; ama çoğu zaman veri sorumlusunun bu kişiye rücu etme olanağı bulunabilecektir. Bu durum, sorumluluğun tehlike esasına dayandırılmasının veri sorumlularını ağır bir yük altına da sokmayacağına işarettir.

    Kaldı ki, veri sorumlularının bu tür zararlardan doğabilecek sorumluluğa karşı sigorta sözleşmesi kurmaları da imkân dâhilindedir. Dolayısıyla gerek kamu otoritelerinin gerekse veri işleyen veri sorumlularının idari ve teknik tedbirleri alma noktasında azami özen göstermeleri önem arz etmektedir.

    Ek bilgiye ihtiyaç duymanız hâlinde bizimle iletişime geçiniz.

    Bilgilendirme Metni!

    Bu makalede yer alan içerikler yalnızca bilgilendirme amaçlı olup CottGroup® firmalarına ait bir hizmettir. Kaynak gösterilmeden iktibas edilemez. Makalenin hazırlanmasında gerekli özen ve dikkat gösterilmiş olmakla birlikte; CottGroup® ve üye şirketleri, işbu genel çerçevede bilgi veren ve yorum içerebilen makaledeki bilgilerin yanlışlık veya eksikliklerinden kaynaklanabilecek hiçbir sorumluluğu kabul etmemekte olup bu bilgilerin güvenilirliği nedeniyle oluşabilecek herhangi bir zarardan sorumlu tutulamaz.

    Her bir somut olaya ilişkin olarak, her koşulda özel olarak profesyonel bir danışmana başvurmanız tavsiye edilir. Lütfen duyuru ile ilgili işlem yapmadan önce müşterimizseniz müşteri temsilcinizden, değilseniz bir uzmandan görüş alınız.

    Yazar

    /en/blog/kvkk-gdpr/item/legal-liability-arising-from-the-protection-of-personal-data

    Diğer Makaleler

    Başlayalım
    Hizmet ihtiyaçlarınız için teklif alın.

    Daha fazla bilgi
    almak ister misiniz?

    Bu web sitesi çerez kullanıyor.

    Bu internet sitesinde, kullanıcı deneyimini geliştirmek, verimli çalışmasını sağlamak ve istatistiki verileri takip etmek için çerezler kullanılmaktadır. Sitemizi kullanarak çerezleri kabul etmiş olursunuz. Çerezleri nasıl kullandığımız ile ilgili detaylı bilgi için lütfen Çerezler (Cookies) sayfasını okuyunuz. Bu seçim 30 gün süreyle ya da tarayıcınızdaki çerezleri siz silene kadar geçerlidir.

    Çerez Tercihleri Cookie Preferences

    Çerezleri Ayarla

    Çerezler, web sitelerinin kullanıcı deneyimini daha verimli hale getirmek için kullanabileceği küçük metinlerdir. Kanun, bu sitenin işleyişi için kesinlikle gerekli olan çerezlerin cihazınıza saklanabileceğini belirtir. Diğer tüm çerez türleri için izninize ihtiyacımız var. Bu site, çeşitli türde çerezler kullanmaktadır. Bazı çerezler, sayfalarımızda görünen üçüncü taraf hizmetler tarafından yerleştirilir.

    Verdiğiniz izinler aşağıda yer alan web siteleri için geçerlidir:

  • www.cottgroup.com