Veri İhlalinde Maddi ve Manevi Tazminat Davası 2026: Şartlar, İspat, Görevli Mahkeme ve Zamanaşımı (6698 m.11-14)

Kişisel verisi sızdırılan kişinin elinde iki ayrı yol vardır ve bunlar birbirinin yerine geçmez: Kurula şikâyet idari yaptırım doğurur, tazminat davası ise kişinin kendi zararını karşılar. 6698 sayılı Kanun’un 11. maddesi, kişisel verilerin kanuna aykırı işlenmesi nedeniyle zarara uğrayan kişinin zararın giderilmesini talep etme hakkını açıkça sayar. Bu rehber, tazminat yolunu mevzuat maddeleriyle anlatır. Ankara’daki dosyanız için bize 0554 648 37 15 numarasından ulaşabilirsiniz.

Tazminat hakkının dayanağı

Kanun’un 11. maddesi ilgili kişinin haklarını sayarken son bentte, kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme hakkını açıkça tanır. Bu hüküm, tazminat talebinin özel bir dayanağıdır. Kanun’un 14. maddesi ise kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkının saklı olduğunu belirterek Türk Borçlar Kanunu ve Türk Medeni Kanunu’ndaki korumaya yollama yapar.

Bu ikili yapı, davacıya seçim imkânı verir. Somut bir malvarlığı zararı doğmuşsa haksız fiil hükümlerine dayanılarak maddi tazminat istenir. Zarar malvarlığında değil kişilik alanında doğmuşsa manevi tazminat gündeme gelir; kişilik hakkının ihlali, ayrıca saldırının önlenmesi, durdurulması ve tespiti taleplerini de mümkün kılar. Uygulamada her iki talep birlikte ileri sürülür.

Hangi hâllerde tazminat doğar?

Tablodaki beşinci satır ispat bakımından en elverişli olanıdır: hatalı bir kaydın kredi ya da istihdam kararını doğrudan etkilediği gösterilebiliyorsa maddi zarar somutlaşır. Buna karşılık sızıntı dosyalarında maddi zararın nedensellik bağıyla birlikte ispatı güçtür; bu nedenle taleplerin ağırlığı manevi tazminata kayar.

Sorumluluğun şartları ve ispat

Tazminat talebinde dört unsur aranır: hukuka aykırı bir işleme faaliyeti, zarar, nedensellik bağı ve kural olarak kusur. Ancak veri sorumlusunun konumu, kusurun ispatını davacı için kolaylaştırır: Kanun’un 12. maddesi veri güvenliğine ilişkin yükümlülükleri veri sorumlusuna yüklediğinden, güvenlik tedbirlerinin alındığını ispat yükü fiilen veri sorumlusundadır. Uygun teknik ve idari tedbirlerin alındığını belgeleyemeyen kuruluş, savunmasını kuramaz.

Davacının toplaması gereken deliller şunlardır: ihlalin gerçekleştiğine ilişkin kayıtlar (kuruluşun bildirimi, Kurulun yayımladığı ihlal duyurusu, basın açıklamaları), verinin kendisine ait olduğunu gösteren belgeler, zararı ortaya koyan kayıtlar (banka hareketleri, ret yazıları, tedavi giderleri) ve ihlalin sonuçlarını gösteren yazışmalar. Kurulun ihlal tespiti içeren kararı, hukuka aykırılığı ortaya koyduğu için davada güçlü delildir; bu nedenle çoğu dosyada önce Kurula şikâyet edilip karar beklenmesi tercih edilir.

Manevi tazminatın ölçüsü

Manevi tazminatta amaç zenginleşme değil, ihlalin yol açtığı elem ve üzüntünün kısmen giderilmesidir. Hâkim tutarı belirlerken tarafların ekonomik ve sosyal durumunu, ihlalin ağırlığını, verinin niteliğini, yayılma alanını ve kusurun derecesini gözetir. Özel nitelikli verilerde (sağlık, biyometrik, ceza mahkûmiyeti) tutar belirgin biçimde yükselir; çünkü ihlalin sonuçları daha ağırdır.

Yayılmanın kapsamı da belirleyicidir: kapalı bir sistemde tek bir personelin yetkisiz görüntülemesi ile verinin internette yayımlanması aynı ölçüde değerlendirilmez. İhlalden sonra kuruluşun davranışı da dikkate alınır: bildirimi geciktirmesi, verileri kaldırmaması ve talebi savsaklaması aleyhe; hızlı bildirim, içeriğin kaldırılması ve zararı azaltıcı tedbirler lehe değerlendirilir. Bu nedenle davacının, ihlal sonrası kuruluşla yaptığı yazışmaları dosyaya sunması yerinde olur.

Görevli mahkeme, taraflar ve zamanaşımı

Görevli mahkeme, tarafların sıfatına göre belirlenir. Veri sorumlusu bir şirketse ve uyuşmazlık ticari nitelik taşıyorsa asliye ticaret mahkemesi; diğer hâllerde asliye hukuk mahkemesi görevlidir. İlişki bir tüketici işleminden doğuyorsa tüketici mahkemesi, iş ilişkisinden doğuyorsa iş mahkemesi görevli olabilir. Yetkili mahkeme bakımından genel kurallar uygulanır; haksız fiilde zararın meydana geldiği yer mahkemesi de yetkilidir.

Zamanaşımının başlangıcı, zararın ve failin öğrenildiği tarihtir. Sızıntı dosyalarında bu tarih çoğu zaman kuruluşun bildirim yaptığı ya da Kurulun ihlali kamuoyuna duyurduğu gündür. İhlalin süregelen niteliği varsa, örneğin veri hâlen erişilebilir durumdaysa, sürenin başlangıcı bakımından farklı değerlendirme yapılabilir.

Toplu ihlallerde ortak dava ve emsal karar etkisi

Veri sızıntıları çoğu zaman binlerce, bazen milyonlarca kişiyi aynı anda etkiler. Türk hukukunda Amerikan sistemindeki gibi bir sınıf davası kurumu bulunmamakla birlikte, aynı ihlalden zarar gören kişilerin talepleri pratikte birlikte yürütülebilir. Bunun iki yolu vardır. Birincisi dava arkadaşlığıdır: aynı olaydan ve aynı hukuki sebepten doğan talepler tek dilekçeyle birlikte açılabilir; bu, yargılama gideri ve delil toplama bakımından avantaj sağlar. İkincisi, ayrı açılan davaların aynı mahkemede birleştirilmesidir.

Uygulamada daha etkili olan yol, emsal karar mekanizmasıdır. Aynı ihlale ilişkin bir dosyada verilen ve kesinleşen karar, sonraki dosyalarda hukuki değerlendirmeyi büyük ölçüde belirler; özellikle hukuka aykırılığın ve veri güvenliği yükümlülüğünün ihlal edildiğinin tespiti bakımından. Bu nedenle toplu ihlallerde ilk açılan davaların titizlikle hazırlanması, sonraki tüm dosyaları etkiler. Ayrıca Kurulun aynı olaya ilişkin kararı, bütün mağdurlar bakımından ortak bir delil oluşturur; kararın gerekçesinde yer alan tespitler her dosyada kullanılabilir. Bu yapı, tek başına dava açmayı düşünen kişiler için maliyet-fayda dengesini değiştirir: bireysel manevi tazminat tutarları sınırlı görünse de, ortak delil havuzu sayesinde ispat yükü belirgin biçimde hafifler.

Şirketler için risk yönetimi ve rücu

Veri ihlali, ihlale uğrayan kuruluş için üç kalemde maliyet doğurur: idari para cezası, tazminat ödemeleri ve itibar kaybı. Bu maliyetin yönetilmesinde iki araç öne çıkar. Birincisi siber risk sigortasıdır: poliçe kapsamına göre ihlal müdahale giderleri, bildirim maliyetleri, üçüncü kişi tazminat talepleri ve bazı hâllerde idari cezalar teminat altına alınabilir. Poliçe alınırken teminat dışı hâller, coğrafi kapsam ve idari cezaların dâhil olup olmadığı ayrıca incelenmelidir.

İkincisi rücu ilişkisidir. İhlal, veri işleyen konumundaki bir hizmet sağlayıcıdan (bulut sağlayıcı, yazılım firması, çağrı merkezi) kaynaklanmışsa, mağdura ödeme yapan veri sorumlusu bu tutarı sözleşmeye dayanarak rücu edebilir. Rücunun işleyebilmesi için sözleşmede veri işleyenin güvenlik yükümlülüklerinin, alt işleyen kullanımının, denetim hakkının ve ihlal bildirimi süresinin açıkça düzenlenmiş olması gerekir. Bu hükümler bulunmadığında ispat güçleşir ve tüm maliyet veri sorumlusunda kalır. Aynı şekilde çalışanın kasıtlı davranışından kaynaklanan ihlallerde, işverenin çalışana rücu imkânı iş hukuku kuralları çerçevesinde değerlendirilir; bu, işverenin üçüncü kişiye karşı sorumluluğunu ortadan kaldırmaz.

Ceza ve idari yolla ilişkisi

Aynı fiil üç ayrı süreç doğurabilir ve bunlar paralel yürür. İdari süreçte Kurul, Kanun’un 18. maddesindeki idari para cezalarını uygular; bu ceza kamuya ödenir, zarar görene bir yarar sağlamaz. Cezai süreçte savcılık soruşturma yürütür: kişisel verilerin hukuka aykırı kaydedilmesi, verilmesi veya ele geçirilmesi ile kanuni süresi geçmesine rağmen yok edilmemesi Türk Ceza Kanunu’nda suç olarak düzenlenmiştir.

Hukuki süreçte ise tazminat talebi görülür. Ceza dosyasında toplanan deliller ve verilen karar, tazminat davasında önemli rol oynar; ceza mahkemesinin maddi olguya ilişkin kesinleşmiş tespitleri hukuk hâkimini etkiler. Bu nedenle uygulamada önce suç duyurusunda bulunulup soruşturma delillerinin toplanması, ardından tazminat davasının açılması tercih edilir. Kişisel verilerin ele geçirilmesi ve yayılması hâlinde izlenecek adımları kişisel verilerim izinsiz ele geçirildi yazımızda, kaydetme suçunun unsurlarını ise kişisel verilerin hukuka aykırı kaydedilmesi suçu rehberimizde ele aldık.

Kimlik hırsızlığı ve ikincil zararlar

Veri sızıntılarının en ağır sonucu, ele geçirilen bilgilerle kişi adına işlem yapılmasıdır. Kimlik bilgileri ve iletişim verileri kullanılarak abonelik açılması, kredi başvurusu yapılması, sahte hesap oluşturulması ya da kişinin adına borçlandırıcı işlem gerçekleştirilmesi bu kapsamdadır. Bu hâlde iki ayrı hukuki mücadele yürütülür: bir yanda sızıntıya sebep olan veri sorumlusuna karşı tazminat, diğer yanda kendisine izafe edilen işlemin geçersizliğinin tespiti.

İkinci mücadelede kullanılan araç menfi tespit davasıdır: kişi, kendisine ait olmayan bir borçtan sorumlu olmadığının tespitini ister. Takip başlatılmışsa itiraz ve icra hukuk mahkemesi yolu işler; imza inceleme ve belge sahteciliği iddiaları bu aşamada ileri sürülür. Ayrıca sahte işlemi gerçekleştiren kişi hakkında dolandırıcılık ve belgede sahtecilik suçlarından şikâyette bulunulur. Uygulamada en kritik nokta hızdır: kişi adına açılan kaydın erken tespiti, borcun büyümesini ve sicil kayıtlarına işlemesini önler. Bu nedenle sızıntı duyurusundan sonra kredi kayıt sistemlerindeki hareketlerin, abonelik sorgulama sistemlerinin ve adına açılmış hatların düzenli kontrol edilmesi gerekir. Kimlik bilgileriyle yapılan sahte işlemlerde izlenecek yolu ve dolandırıcılık şikâyetinin nasıl hazırlanacağını dolandırıcılık şikâyet dilekçesi örneği yazımızda ele aldık.

İçeriğin kaldırılması ve zararın büyümesini önleme

Tazminat, geçmiş zararı karşılar; ancak ihlalin sürmesi zararı büyütür. Bu nedenle ilk adım içeriğin yayından kaldırılmasıdır. İnternet ortamındaki içerikler için erişimin engellenmesi ve içeriğin kaldırılması yoluna başvurulabilir; başvuru, ilgili mevzuattaki usule göre yapılır ve süreler kısadır. Arama motoru sonuçlarında çıkan bağlantılar bakımından ayrıca indeksten çıkarma talep edilebilir.

İkinci adım, ihlalin doğuracağı ikincil zararları önlemektir: kimlik bilgileri sızmışsa kimlik avı girişimlerine karşı dikkatli olunması, kart bilgileri sızmışsa kartın kapatılması, şifreler sızmışsa aynı şifrenin kullanıldığı tüm hesapların değiştirilmesi gerekir. Bu tedbirlerin alınması, davada zararı azaltma yükümlülüğünün yerine getirildiğini de gösterir; tedbir alınmaması hâlinde doğan ek zarardan davalı sorumlu tutulmayabilir. İçeriğin kaldırılması sürecini erişimin engellenmesi başvuru dilekçesi örneği yazımızda ele aldık.

Delil tespiti ve bilirkişi incelemesi

Veri ihlali dosyalarının teknik yanı, ispatın merkezinde yer alır. Davacının elinde çoğu zaman yalnızca kendisine gelen bildirim ya da basına yansıyan haber bulunur; ihlalin kapsamı, hangi verilerin sızdığı ve güvenlik tedbirlerinin yeterliliği ise davalının sistemlerindedir. Bu asimetriyi gidermenin yolu, dava açılmadan önce delil tespiti talebinde bulunmak ve dava sırasında davalının kayıtlarının celbini istemektir.

Talep edilecek kayıtlar somut olarak sayılmalıdır: erişim log kayıtları, yetkilendirme matrisi, sızma testi ve güvenlik denetimi raporları, veri işleme envanteri, saklama ve imha politikası, ihlal müdahale kayıtları ile Kurula yapılan bildirimin tam metni. Bilirkişi incelemesinde sorulacak sorular da baştan belirlenmelidir: ihlal hangi açıktan kaynaklanmıştır, bilinen ve yaması yayımlanmış bir zafiyet midir, veriler şifreli tutuluyor muydu, erişim kayıtları düzenli inceleniyor muydu, ihlal ne zaman fark edilmiş ve bildirim ne zaman yapılmıştır. Bu soruların cevapları, kusurun derecesini ve dolayısıyla manevi tazminatın tutarını doğrudan etkiler. Davalının belge sunmaktan kaçınması hâlinde ise bu tutum, ispat yükü değerlendirmesinde aleyhe sonuç doğurur; mahkeme, sunulmayan belgeye ilişkin iddiayı doğrulanmış sayabilir.

Dava açmadan önce: maliyet, süre ve beklenti yönetimi

Tazminat davası açmadan önce yapılması gereken hesap, talep edilecek tutar ile yargılama giderlerinin karşılaştırılmasıdır. Dava harcı, gider avansı, bilirkişi ücreti ve vekâlet ücreti dosyanın toplam maliyetini oluşturur; davanın kısmen reddi hâlinde reddedilen kısım üzerinden karşı tarafa vekâlet ücreti ödenmesi gündeme gelir. Bu risk, talep tutarının gerçekçi belirlenmesini gerektirir: fahiş bir manevi tazminat talebi, kabul edilen tutar düşük kaldığında davacı aleyhine gider yükü doğurur.

Bu riski azaltmanın yolu belirsiz alacak davası ya da kısmi dava yollarını değerlendirmektir. Zararın miktarının başlangıçta tam olarak belirlenemediği hâllerde belirsiz alacak davası açılabilir ve yargılama sırasında miktar artırılabilir; şartlarının bulunup bulunmadığı somut olaya göre değerlendirilir. Süre bakımından ise ihlal dosyalarının bilirkişi incelemesi gerektirmesi nedeniyle ortalamanın üzerinde sürdüğü hesaba katılmalıdır. Beklenti yönetimi de önemlidir: Türk hukukunda manevi tazminat, zenginleşme aracı değil ihlalin giderilmesine yönelik bir denkleştirmedir; bu nedenle yurt dışı örneklerindeki yüksek tutarlar emsal oluşturmaz. Buna karşılık ihlalin ağırlığı, verinin özel nitelikli olması ve yayılmanın genişliği tutarı belirgin biçimde yükseltir. Dosyayı güçlü kılan şey talep tutarı değil, delil düzeni ve Kurul kararının varlığıdır.

Tazminat dava dilekçesi örneği

Sık sorulan sorular

Veri ihlalinde tazminat isteyebilir miyim?

Evet. 6698 m.11, verilerin kanuna aykırı işlenmesi sebebiyle zarara uğrayan kişiye zararın giderilmesini talep etme hakkı tanır.

Kurula şikâyet etmek zorunda mıyım?

Tazminat davası için şart değildir; ancak Kurulun ihlal tespiti içeren kararı davada güçlü delil oluşturur.

Kurulun kestiği ceza bana ödenir mi?

Hayır. İdari para cezası kamuya ödenir; kendi zararınız için ayrıca tazminat davası açmanız gerekir.

Maddi zararı nasıl ispatlarım?

Banka hareketleri, kredi ya da iş başvurusu ret yazıları, yapılan giderler gibi somut belgelerle; ayrıca nedensellik bağı gösterilmelidir.

Manevi tazminat tutarı neye göre belirlenir?

Tarafların durumu, ihlalin ağırlığı, verinin niteliği, yayılma alanı ve kusurun derecesi gözetilir; özel nitelikli verilerde tutar yükselir.

Kusuru ben mi ispatlayacağım?

Veri güvenliği tedbirlerinin alındığını ispat fiilen veri sorumlusuna düşer; belgeleyemeyen kuruluş savunmasını kuramaz.

Hangi mahkemede dava açılır?

İlişkinin niteliğine göre asliye hukuk, asliye ticaret, tüketici ya da iş mahkemesi görevlidir.

Arabuluculuk zorunlu mu?

Ticari ve iş uyuşmazlıklarında dava şartıdır; atlanırsa dava usulden reddedilir.

Zamanaşımı süresi nedir?

Zararın ve failin öğrenilmesinden itibaren iki yıl, her hâlde on yıl; fiil suç oluşturuyorsa ceza zamanaşımı uygulanır.

Veri işleyene de dava açabilir miyim?

Veri sorumlusu asli muhataptır; somut olaya göre veri işleyen de birlikte dava edilebilir.

İçeriğin kaldırılmasını nasıl sağlarım?

İnternet ortamındaki içerik için erişimin engellenmesi ve içeriğin kaldırılması yoluna başvurulur; süreler kısadır.

Şifremi değiştirmezsem sorumluluk bana mı geçer?

Zararı azaltma yükümlülüğü vardır; makul tedbirler alınmadığında doğan ek zarardan davalı sorumlu tutulmayabilir.

Davalının sistem kayıtlarını nasıl inceletebilirim?

Dava öncesi delil tespiti ve dava sırasında kayıtların celbi talep edilir; log kayıtları, güvenlik denetim raporları ve ihlal müdahale kayıtları somut olarak sayılmalıdır.

Verilerimle adıma abonelik veya kredi açıldıysa ne yapmalıyım?

Sorumlu olmadığınızın tespiti için menfi tespit yoluna başvurun, takip varsa itiraz edin ve dolandırıcılık ile belgede sahtecilikten şikâyette bulunun.

Aynı sızıntıdan etkilenen kişiler birlikte dava açabilir mi?

Sınıf davası kurumu yoktur; ancak dava arkadaşlığıyla birlikte açılabilir veya dosyalar birleştirilebilir. Emsal kararlar ve Kurul kararı ortak delil oluşturur.

İhlal hizmet sağlayıcıdan kaynaklandıysa şirket ne yapabilir?

Mağdura ödeme yapan veri sorumlusu, sözleşmedeki güvenlik ve bildirim yükümlülüklerine dayanarak veri işleyene rücu edebilir.

Ceza davası ile tazminat davası birlikte yürür mü?

Evet. Paralel yürür; ceza mahkemesinin maddi olguya ilişkin kesinleşmiş tespitleri hukuk hâkimini etkiler.

Bu yazı genel bilgilendirme amaçlıdır; 6698 sayılı Kişisel Verilerin Korunması Kanunu m.11, 12, 14, 18; 6098 sayılı Türk Borçlar Kanunu ve 4721 sayılı Türk Medeni Kanunu hükümlerine dayanır. Somut dosyanız için Hukukçular Evi Ankara ile 0554 648 37 15 numaralı telefondan iletişime geçin.