Telefon numarasından kimlik bilgilerine kadar kişisel veriler, hukuken korunan değerlerdir. Bu verilerin rıza dışı toplanması, kullanılması ya da paylaşılması, hem idari yaptırım hem de tazminat sorumluluğu doğurabilir.
Tipik Senaryo: Verilerim İznim Olmadan İşlendi
Bir kişinin telefon numarası, kimlik bilgileri ya da diğer kişisel verileri; rızası olmadan toplanıyor, başkalarıyla paylaşılıyor ya da reklam/pazarlama için kullanılıyor. Kişi, bu durumun hukuka aykırı olup olmadığını ve ne yapabileceğini merak ediyor.
Kanun ne diyor?
6698 sayılı Kişisel Verilerin Korunması Kanunu’na (KVKK) göre kişisel veriler, kural olarak ilgili kişinin açık rızası ya da kanunda öngörülen hukuki sebepler bulunmadan işlenemez ve aktarılamaz. Veri sorumlusunun; verileri hukuka uygun işleme, güvenliği sağlama ve ilgili kişiyi aydınlatma gibi yükümlülükleri vardır. Verisi hukuka aykırı işlenen kişi, öncelikle veri sorumlusuna başvurabilir; sonuç alamazsa Kişisel Verileri Koruma Kurulu’na şikâyette bulunabilir.
Uygulamada durum
Kişisel Verileri Koruma Kurulu, ihlal hâlinde idari para cezası uygulayabilir ve veri işlemenin durdurulması gibi tedbirlere karar verebilir. Bu idari süreç, tazminat sürecinden ayrıdır. Hukuka aykırı veri işleme nedeniyle bir zarara (maddi ya da manevi) uğranmışsa, genel hükümlere göre (Türk Borçlar Kanunu) tazminat talep edilebilir. İki yol birbirini engellemez; birlikte yürütülebilir.
İspat bakımından, verinin nasıl ele geçirildiği veya paylaşıldığı (mesaj, e-posta, ekran görüntüsü, tanık) ve bundan doğan zarar önem taşır. Açık rızanın bulunup bulunmadığı ve aydınlatma yükümlülüğünün yerine getirilip getirilmediği de değerlendirilir.
Aydınlatma yükümlülüğünün yerine getirilmemesi ya da hukuki sebep bulunmadan veri işlenmesi başlı başına ihlal oluşturabilir. Ciddi bir veri ihlali hâlinde, veri sorumlusunun Kurul’a ve etkilenen ilgili kişilere bildirimde bulunma yükümlülüğü de doğar.
Pratik sonuç
İhlale ilişkin delilleri saklayın; veri sorumlusuna başvuru, Kurul’a şikâyet ve tazminat yollarından hangilerinin uygun olduğunu bir avukatla değerlendirin. Bu, hem ihlalin durdurulması hem de zararınızın giderilmesi için önemlidir.
Bu içerik genel bilgilendirme amaçlıdır; hukuki danışmanlık niteliği taşımaz. Somut durumunuz için bir avukata danışmanız ve belirtilen kanun maddelerini güncel metinden teyit etmeniz önerilir.
Verileriniz sızdı ve zarara mı uğradınız?
Av. Fatma Öztürk — Hukukçular Evi Ankara
Dayanak: KVKK m.11 ve Genel Hükümlerin İlişkisi
Kişisel verisi hukuka aykırı işlenen kişinin tazminat talep hakkı, 6698 sayılı Kanun’un 11. maddesinde sayılan ilgili kişi hakları arasında açıkça yer alır: kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğrama hâlinde zararın giderilmesini talep etme hakkı.
Ancak KVKK, tazminatın şartlarını ve hesabını ayrıca düzenlemez; bu noktada genel hükümler devreye girer. Talep, haksız fiil sorumluluğu çerçevesinde değerlendirilir ve klasik dört unsur aranır: hukuka aykırı fiil, zarar, illiyet bağı ve kusur.
Manevi tazminat bakımından ise kişilik hakkının ihlali esas alınır. Kişisel veri, kişilik hakkının bir görünümü olduğundan, hukuka aykırı işleme kişilik hakkına saldırı niteliği taşıyabilir.
Bu ikili yapının pratik sonucu şudur: Kurul’a şikâyet ile tazminat davası birbirinin alternatifi değildir. Kurul idari yaptırım uygular, tazminat ise ayrı bir dava ile talep edilir. Biri diğerini beklemek zorunda da değildir.
İspat: Zararı Nasıl Somutlaştırırsınız?
Bu davalarda en sık karşılaşılan sorun, ihlalin ispatı değil zararın ispatıdır. “Verilerim sızdı” demek tek başına tazminat doğurmaz; zararın somutlaştırılması gerekir.
Maddi zarar için toplanabilecek deliller:
- Sızıntı sonrası uğranılan dolandırıcılık işlemleri ve banka kayıtları
- Kimlik bilgilerinin kötüye kullanılması nedeniyle yapılan masraflar
- İş kaybı veya sözleşme feshi gibi somut ekonomik sonuçlar
- Zararı gidermek için katlanılan giderler (yeni belge çıkarma, hukuki danışmanlık)
Manevi zarar için ise ihlalin niteliği belirleyicidir: verinin özel nitelikli olup olmadığı, yayılmanın kapsamı, mağdurun çevresinde tanınırlığı ve ihlalin süresi değerlendirmede öne çıkar.
Kurul’un ihlali tespit eden kararı, tazminat davasında güçlü bir delil oluşturur. Bu nedenle çoğu olayda önce Kurula başvurup kararı almak, sonra tazminat davası açmak stratejik olarak daha güçlüdür. Başvuru usulü için: İlgili Kişi Başvurusu ve Kurula Şikâyet.
Üç Yolun Birlikte Yürütülmesi
Aynı ihlalden doğan üç ayrı yol vardır ve eş zamanlı yürütülebilir:
- Veri sorumlusuna başvuru → Kurula şikâyet. Önce veri sorumlusuna başvurulur; cevap alınamaz veya yetersiz bulunursa Kurula şikâyet edilir. Sonuç: idari para cezası ve ihlal tespiti.
- Tazminat davası. Maddi ve manevi zararın giderilmesi için açılır. Kurul kararı beklenmeden de açılabilir.
- Cezai süreç. Fiil aynı zamanda suç oluşturuyorsa savcılığa şikâyet edilir. Bu hat gerçek kişileri hedefler. Bkz. Kişisel Verilerin Hukuka Aykırı Kaydedilmesi Suçu ve Hukuka Aykırı Ele Geçirme Suçu.
Önemli bir uyarı: veri sorumlusunun Kurul cezasını ödemiş olması, size tazminat ödemesi anlamına gelmez. Ceza kamuya, tazminat size aittir.
Kurul başvurusu ile tazminat davasını birlikte kurgulayalım.
Av. Fatma Öztürk — Hukukçular Evi Ankara
Son bir usul notu: tazminat talebi, zararın ve failin öğrenilmesinden itibaren işleyen zamanaşımı süresine tabidir. Veri ihlallerinde “öğrenme anı” çoğu zaman sızıntının kamuoyuna duyurulduğu veya veri sorumlusunun bildirim yaptığı tarihtir; bu tarihin belgelenmesi, ileride zamanaşımı def’i ile karşılaşıldığında belirleyici olur.
İlgili Rehberler
- KVKK ve Bilişim Hukuku Rehberi: Veri Sorumlusu Yükümlülükleri ve İlgili Kişi Hakları
- KVKK Aydınlatma Yükümlülüğü: 6698 SK m.10, Aydınlatma Tebliği 2018/10, Metin İçeriği ve 2026 Cezaları
- KVKK Veri İhlali Bildirim Yükümlülüğü: 6698 SK m.12, 72 Saat Kuralı ve 2026 Cezaları
- Kişisel Verilerin Hukuka Aykırı Ele Geçirilmesi Suçu
- Dijital Gizlilik ve Kişisel Veri Hukuku: TCK m. 132-138 ve KVKK Kapsamında Kapsamlı Rehber
Sıkça Sorulan Sorular
KVKK kapsamında tazminat isteyebilir miyim?
Evet. 6698 sayılı Kanun’un 11. maddesi, kişisel verilerin kanuna aykırı işlenmesi sebebiyle zarara uğrayan kişiye zararın giderilmesini talep etme hakkı tanır. Tazminatın şartları ve hesabı genel hükümlere göre belirlenir.
Kurul ceza verdi, ayrıca tazminat alabilir miyim?
Evet. Kurul’un uyguladığı idari para cezası kamuya ödenir ve sizin zararınızı karşılamaz. Tazminat ayrı bir dava ile talep edilir; Kurul’un ihlali tespit eden kararı bu davada güçlü bir delil oluşturur.
Önce Kurula mı başvurmalıyım, doğrudan dava mı açmalıyım?
İkisi de mümkündür ve eş zamanlı yürütülebilir. Uygulamada önce Kurula başvurup ihlal tespiti içeren kararı almak, tazminat davasında ispat yükünü belirgin biçimde hafiflettiği için tercih edilir.
Zararı nasıl ispatlarım?
Maddi zarar için sızıntı sonrası dolandırıcılık işlemleri, banka kayıtları, katlanılan masraflar ve somut ekonomik kayıplar sunulur. Manevi zararda ise verinin özel nitelikli olup olmadığı, yayılmanın kapsamı ve ihlalin süresi değerlendirmede öne çıkar.
Manevi tazminat şartları nelerdir?
Manevi tazminat kişilik hakkının ihlaline dayanır. Kişisel veri kişilik hakkının bir görünümü olduğundan hukuka aykırı işleme kişilik hakkına saldırı niteliği taşıyabilir; ihlalin ağırlığı ve sonuçları takdirde belirleyicidir.
Şirket iflas ederse tazminat alabilir miyim?
Veri sorumlusunun tüzel kişiliği sona ermiş veya ödeme güçlüğüne düşmüşse tahsil riski doğar. Bu nedenle sorumluluk zincirinde başka muhatap bulunup bulunmadığı (veri işleyen, yönetici sorumluluğu) somut olayda ayrıca değerlendirilmelidir.
