Banka/Şirket Verilerimi Sızdırdı, Dolandırıldım

Yargıtay’ın çizgisi: kural olarak banka sorumludur

Bankaların bu davalardaki standart savunması şudur: “Müşteri dikkatsiz davrandı, sahte linke tıkladı, şifresini kaptırdı. Bizim sistemimiz güvenli.” Yargıtay bu savunmayı kural olarak kabul etmez.

Yerleşik içtihat şu yöndedir: bankalar kendilerine emanet edilen mevduatı korumakla yükümlüdür; internet bankacılığında üçüncü kişilerce yapılan işlemlerden doğan zarardan, müşteri ağır kusurlu olmadıkça banka sorumludur.

Dayandığı ölçüt: objektif özen borcu. Yargı kararlarında; teknik imkânları çok geniş olan ve bir güven kurumu olarak faaliyet gösteren bankanın sahteliği önleyici tedbirleri alması gerektiği, kredi sağlayarak ve mevduat toplayarak getirisinden faydalanan bankaların gerekli güvenliği sağlayamaması nedeniyle meydana gelen zararlardan sorumlu olacağı ve objektif özen borcunun gereği olarak hafif kusurlarından dahi sorumlu bulunduğu vurgulanmaktadır.

İspat yükü bankadadır. Banka, usulsüz işlemin gerçekleşmesinde müşterinin müterafik kusurunun bulunduğunu ispat etmek zorundadır. Bunu kanıtlayamazsa mevduatı aynen iade etmekle yükümlüdür. Müterafik kusur ispatlanırsa sonuç talebin tümden reddi değil, tazminatta indirim olur.

Şüpheli işlemi izleme yükümlülüğü. Banka yalnızca parayı saklamakla değil, olağan dışı hareketleri izlemekle de yükümlüdür. Hiç EFT yapmayan bir emeklinin hesabından gece saatlerinde yüklü tutarların transfer edilmesi ya da ani kredi kullandırımı gibi durumlarda bankanın işlemi durdurması beklenir; durdurmadıysa sorumluluğu doğar.

Sorumsuzluk kayıtları geçersizdir. Sözleşmelerdeki “tüm sorumluluk müşteriye aittir” türü kayıtlar sonuç doğurmaz; hile ve ağır kusur hâlinde borçluyu sorumluluktan kurtaran sözleşme şartları ahlak ve dürüstlük kuralına aykırı olduğundan geçersizdir.

Operatör de sorumlu olabilir

Son yıllarda en yaygın yöntem, kurbanın telefon hattının ele geçirilmesidir. Dolandırıcılar, hat sahibinin bilgileri kullanılarak SIM kart değişimi ya da SMS yönlendirme yaptırır; bankanın gönderdiği tek kullanımlık doğrulama şifreleri kendi cihazlarına düşer ve transfer gerçekleşir.

Yargı kararlarında bu tür olaylarda; davacının cep telefonuna uzaktan erişimle SMS yönlendirmesi yapılarak dinamik şifrelerin ele geçirildiği, internet bankacılığını müşterilerine özendiren bankaların kendisine emanet edilen mevduatı koruma özel yükümlülüğü gereğince, işlem yapanın gerçek müşteri olup olmadığını belirlemeye yönelik olarak gelişen dolandırıcılık yöntemlerine karşı önleyici altyapıyı sağlamak ve güvenlik önlemlerini almak zorunda oldukları belirtilerek bankaların zarardan müteselsilen sorumlu tutulduğu görülmektedir.

Pratik sonuç: hat üzerinden bir işlem yapılmışsa dava yalnızca bankaya değil, GSM operatörüne de yöneltilebilir. Kimlik doğrulaması yapmadan SIM değişimi veya yönlendirme işlemi gerçekleştiren operatörün sorumluluğu ayrıca değerlendirilir ve tazminat her ikisinden istenebilir.

Bu nedenle ilk gün yapılacak iş, operatörden kayıt istemektir: SIM değişim tarihi ve talebi kimin yaptığı, yönlendirme talimatının kaydı, işlemin hangi kanaldan ve hangi belgeyle yapıldığı. Bu kayıtlar zamanla silinebildiğinden gecikilmemelidir.

Veriyi sızdıran şirketin sorumluluğu

Zararın kaynağı bir veri ihlali ise ikinci bir sorumluluk ekseni doğar.

6698 sayılı Kişisel Verilerin Korunması Kanunu m.12 uyarınca veri sorumlusu; kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, verilere hukuka aykırı erişimi önlemek ve verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır. Bu yükümlülüğün ihlali sorumluluk doğurur.

Bildirim yükümlülüğü. İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu, bu durumu en kısa sürede ilgili kişiye ve Kişisel Verileri Koruma Kurulu’na bildirmekle yükümlüdür. Kurul, bildirim için uyulması gereken kısa bir süre belirlemiştir; bu süreye uyulmaması ayrıca yaptırıma tabidir. Size hiç bildirim yapılmamış olması, ihlalin gizlendiğine ilişkin güçlü bir gösterge oluşturur.

İlgili kişinin hakları (KVKK m.11). Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğrayan kişi zararın giderilmesini talep etme hakkına sahiptir. Ayrıca verilerin silinmesini, yok edilmesini ve işlemenin durdurulmasını isteyebilir.

İzlenecek usul: önce veri sorumlusuna yazılı başvuru yapılır; verilen cevap yetersiz görülür ya da süresinde cevap verilmezse Kişisel Verileri Koruma Kurulu’na şikâyet yoluna gidilir. Kurulun idari yaptırım kararı, açılacak tazminat davasında güçlü bir delil oluşturur.

Ceza boyutu ayrıdır. Verilerin hukuka aykırı olarak ele geçirilmesi, yayılması veya başkasına verilmesi ile bilişim sistemleri aracılığıyla işlenen dolandırıcılık fiilleri Türk Ceza Kanunu kapsamında suç oluşturur. Ceza soruşturması, hukuk davasındaki delilleri de besler.

İlk 48 saat: ne yapmalı?

Bu tür olaylarda kaybedilen zaman doğrudan delil kaybıdır. Sıra şudur:

1. Bankayı derhâl arayın ve işlemleri durdurun. Görüşmenin saatini not edin, çağrı kaydının saklanmasını talep edin. Ardından aynı bildirimi yazılı olarak (internet şubesi mesajı, e-posta veya noter ihtarnamesi) tekrarlayın.
2. Cumhuriyet Başsavcılığına suç duyurusunda bulunun. Şikâyet dilekçesine işlem dökümlerini, alınan mesajları ve varsa sahte site adresini ekleyin. Soruşturma numarasını saklayın.
3. Operatörden kayıt isteyin. SIM değişimi veya SMS yönlendirme yapılıp yapılmadığını, kim tarafından ve hangi belgeyle yapıldığını yazılı olarak sorun.
4. Bankadan yazılı talep edin: işlem dökümü, IP ve cihaz bilgileri, doğrulama şifrelerinin gönderim kayıtları, işlemin yapıldığı kanal. Banka vermezse bu talebi dava dilekçenizde delil olarak ileri sürün.
5. Ekran görüntülerini saklayın. Gelen SMS ve e-postalar, sahte site adresi, arayan numaralar, uygulama bildirimleri — tarihli biçimde.
6. Adınıza kredi çekildiyse bunu da yazılı olarak bildirin ve kredi sözleşmesinin bir örneğini isteyin; sözleşmenin sizin iradenizle kurulmadığının tespiti ayrıca talep edilir.
7. Veri ihlali şüphesi varsa ilgili şirkete KVKK başvurusu yapın; cevap alamazsanız Kurula şikâyet edin.

Nereye dava açılır? Bireysel müşteri sıfatıyla hareket ediyorsanız banka ile aranızdaki ilişki tüketici işlemi niteliğindedir; uyuşmazlık bedeline göre tüketici hakem heyeti ya da tüketici mahkemesi yetkilidir. Ticari faaliyet kapsamındaki hesaplarda ise genel hükümler uygulanır.

Ne istenebilir? Çekilen tutarın faiziyle iadesi, adınıza kullandırılan kredinin iptali ve olumsuz kredi kaydının düzeltilmesi, veri ihlali nedeniyle uğranılan zararın giderilmesi ile koşulları varsa manevi tazminat.