Kişisel Veri İhlalinde Tazminat Davası Nasıl Açılır? Görevli Mahkeme, Zamanaşımı ve Manevi Tazminat

Kısa cevap: evet, tazminat istenebilir, ama Kurul'dan değil mahkemeden. 6698 sayılı Kanun'un 14. maddesinin üçüncü fıkrası tek cümle: kişilik hakları ihlal edilenlerin, genel hükümlere göre tazminat hakkı saklıdır. Kanun'un 11. maddesinin (ğ) bendi de ilgili kişinin hakları arasında, kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etmeyi sayıyor. Buradaki 'genel hükümler' ifadesi belirleyici. Tazminat, Kişisel Verileri Koruma Kurulu'nun verebileceği bir şey değil. Kurul ihlali tespit eder, verinin işlenmesinin veya yurt dışına aktarılmasının durdurulmasına karar verir, idari para cezası keser. Para talep edecekseniz ayrı bir dava gerekiyor ve o dava için Kurul'a şikâyet etmiş olmanız şart değil.

Bu ayrımı en net gösteren yer Kurul'un kendi kararları. 16 Ocak 2020 tarihli ve 2020/41 sayılı kararda, bir bankanın kendisini iş yerinden arayarak aile bilgilerini sorduğunu ve bu yüzden işini kaybettiğini ileri süren kişi Kurul'dan tazminat istemişti. Kurul, başvurunun 11. madde kapsamında bir talep içermediğini ve iddiaların belgelenmediğini belirttikten sonra tazminat bakımından doğrudan 14. maddenin üçüncü fıkrasına yollama yaptı: kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkı saklı olduğundan, bu talebin muhatabı genel mahkemeler. Kanun kapsamında yapılacak bir işlem bulunmadığına karar verildi. Rakamlar da yanlış anlamayı besliyor. 2026 tutarlarıyla veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi 256.357 TL ile 17.092.242 TL arasında idari para cezasına konu olabiliyor, ama bu tutar şikâyet eden kişiye değil kamuya ödeniyor. İki yol birbirinin alternatifi de değil; şikâyet ve dava aynı anda yürütülebilir.

Davanın omurgası kişilik hakları. Türk Medeni Kanunu'nun 24. maddesi, hukuka aykırı olarak kişilik hakkına saldırılan kimseye saldırıda bulunanlara karşı hâkimden korunma isteme hakkı tanıyor. 25. madde hangi taleplerin ileri sürülebileceğini sayıyor: saldırı tehlikesinin önlenmesi, sürmekte olan saldırıya son verilmesi, sona ermiş olsa bile etkileri devam eden saldırının hukuka aykırılığının tespiti. Maddenin üçüncü fıkrası bunların yanına maddi ve manevi tazminat istemlerini ve hukuka aykırı saldırı dolayısıyla elde edilmiş kazancın vekâletsiz iş görme hükümlerine göre kendisine verilmesi istemini ekliyor. Son kalem uygulamada neredeyse hiç kullanılmıyor, oysa verinin satıldığı ya da izinsiz reklam gelirine dönüştüğü dosyalarda en isabetli talep o. Bunlara Türk Borçlar Kanunu'nun 49. maddesindeki haksız fiil sorumluluğu ile 58. maddesindeki manevi tazminat hükmü eşlik ediyor. Anayasa'nın 20. maddesinin üçüncü fıkrası da herkesin kendisiyle ilgili kişisel verilerin korunmasını isteme hakkını açıkça tanıyor.

Dava nereye açılacak? Kural, Hukuk Muhakemeleri Kanunu'nun 2. maddesi uyarınca asliye hukuk mahkemesi. Ama üç durum pratiğin neredeyse tamamını kaplıyor. Veriyi işleyen tarafla aranızdaki ilişki bir tüketici işleminden doğuyorsa, yani banka, GSM operatörü, sigorta şirketi veya e-ticaret sitesi söz konusuysa, uygulamada tüketici mahkemesinin görevli olduğu kabul ediliyor ve 6502 sayılı Kanun'un 73/A maddesi gereği dava açmadan önce arabulucuya başvurmak dava şartı sayılıyor; tüketici hakem heyetinin görev alanında kalan uyuşmazlıklar bunun dışında. İlişki iş sözleşmesine dayanıyorsa, örneğin işveren kamera kayıtlarınızı ya da sağlık raporunuzu üçüncü kişilerle paylaştıysa, iş mahkemesi görevli ve iş ilişkisine dayanan tazminat talepleri bakımından da arabuluculuk dava şartı olarak aranıyor (iş kazası ve meslek hastalığından doğan tazminat davaları bu kuralın dışında). Veri sorumlusu bir kamu kurumuysa yol adli yargıdan değil idari yargıdan geçiyor. Hangi şehirde açılacağı ise sanıldığından esnek: genel kural davalının yerleşim yeri mahkemesi olsa da (m.6), haksız fiilden doğan davalarda 16. madde fiilin işlendiği yer, zararın meydana geldiği yer ve zarar görenin yerleşim yeri mahkemelerini de yetkili kılıyor, Türk Medeni Kanunu'nun 25. maddesinin son fıkrası da kişilik hakkı davalarında davacıya kendi yerleşim yeri mahkemesinde dava açma imkânı veriyor. Merkezi İstanbul'da olan bir şirkete karşı Trabzon'da oturan kişi Trabzon'da dava açabilir. Yanlış mahkemede açılan dava görevsizlikle sonuçlanır, hakkınızı kaybetmezsiniz, çünkü Hukuk Muhakemeleri Kanunu'nun 20. maddesi kararın kesinleşmesinden itibaren iki hafta içinde doğru mahkemeye başvurma imkânı tanıyor. Kaybettiğiniz şey ay oluyor.

Karşı taraf idare ise takvim baştan farklı işliyor. 2577 sayılı İdari Yargılama Usulü Kanunu'nun 13. maddesi, idari eylemlerden hakları ihlal edilenlerin dava açmadan önce, bu eylemleri yazılı bildirim üzerine veya başka suretle öğrendikleri tarihten itibaren bir yıl ve her hâlde eylem tarihinden itibaren beş yıl içinde ilgili idareye başvurup haklarının yerine getirilmesini istemelerini şart koşuyor. İstek reddedilirse veya kanunda öngörülen sürede cevap verilmezse, dava süresi içinde idare mahkemesinde tam yargı davası açılıyor. Aynı maddenin ikinci fıkrası bir kurtarma hükmü içeriyor: dava görevli olmayan adli yargı merciine açılmış ve görev yönünden reddedilmişse, sonradan idari yargıda açılacak davada idareye başvurma şartı aranmıyor. Bu yolu, Kurul'un idari para cezasına karşı 2024'ten beri idare mahkemesinde açılan iptal davasıyla karıştırmamak gerekiyor. İkisi ayrı dosya, ayrı davacı, ayrı talep.

En sık kaybedilen şey ise süre. Türk Borçlar Kanunu'nun 72. maddesi haksız fiilden doğan tazminat istemini iki katmanlı bir zamanaşımına bağlıyor: zarar görenin zararı ve tazminat yükümlüsünü öğrendiği tarihten başlayarak iki yıl ve her hâlde fiilin işlendiği tarihten başlayarak on yıl. Fiil aynı zamanda suç oluşturuyor ve ceza kanunları daha uzun bir zamanaşımı öngörüyorsa, o daha uzun süre esas alınıyor; kişisel verilere ilişkin fiiller Türk Ceza Kanunu'nun 135 ve 136. maddelerinde suç olarak tanımlandığı için bu ihtimal sık devreye giriyor. Buradaki tuzak şu: Kurul'a şikâyet etmiş olmak zamanaşımını durdurmuyor. İnceleme bir yılı da aşabiliyor. 'Kurul kararını bekleyip sonra dava açarım' diyen kişi, iki yıllık süreyi Kurul'un yazışmalarında tüketebiliyor.

Talep edilebilecek kalemler ikiye ayrılıyor ve ikisinin ispatı bambaşka. Maddi zarar somut ve belgeli olmak zorunda: bloke edilen kartın yenileme ücreti, adınıza açılmış hattın kapatma masrafı, hakkınızda yürütülen icra takibinde ödediğiniz avukatlık ücreti, menfi tespit davasının gideri, dolandırıcılıkla hesabınızdan çekilen tutar. Faturayı, dekontu, ödeme belgesini dosyaya koymadan bu kalem ayakta durmuyor. Türk Borçlar Kanunu'nun 50. maddesinin ikinci fıkrası bir esneklik tanıyor: zararın miktarı tam olarak ispat edilemiyorsa hâkim, olayların olağan akışını ve zarar görenin aldığı önlemleri göz önünde tutarak zararı hakkaniyete uygun biçimde belirliyor. Manevi tazminat ise 58. madde uyarınca hâkimin takdirinde ve Türkiye'de rakamlar mütevazı kalıyor. Yüz binlerce lira istenip on binlerle sonuçlanan dosya çok, çok yaygın.

Somut bir karar çerçeveyi netleştiriyor. Yargıtay 4. Hukuk Dairesi'nin 8 Mayıs 2019 tarihli, 2019/979 esas ve 2019/2679 karar sayılı ilamına konu olayda davacının kimlik bilgileri rızası olmadan kullanılarak adına telefon hattı açılmış, ödenmeyen faturalar yüzünden hakkında icra takibi başlatılmış, kişi menfi tespit davası açmak ve vekil tutmak zorunda kalmıştı. Daire, kimlik bilgilerinin rıza dışında kullanılması suretiyle kişisel verilerin haksız olarak ele geçirildiği ve kullanıldığını, bu eylemin davacının kişilik haklarına saldırı teşkil ettiğini belirterek uygun bir manevi tazminata hükmedilmesi gerektiğine karar verdi. Operatörün 'işlemi bayi yaptı' savunması da kabul görmedi; bayiyi seçme ve denetleme yükümlülüğü operatörde görüldü. İşi dışarıya vermek sorumluluğu devretmiyor. Aynı mantık KVKK'daki veri sorumlusu ile veri işleyen ilişkisinde de aynen geçerli.

Şirket tarafından bakıldığında dosyanın kaderini iki şey belirliyor. Birincisi, davacının hukuki dayanağı nasıl kurduğu. Haksız fiile dayanılırsa kusuru kural olarak davacı ispat eder; oysa taraflar arasında bir sözleşme varsa, yani müşteri, abone, hasta veya çalışan ilişkisi kurulmuşsa, talep sözleşmeye aykırılığa dayandırılabiliyor ve Türk Borçlar Kanunu'nun 112. maddesi devreye giriyor: borçlu, kusuru olmadığını ispat etmedikçe sorumlu. İspat yükü tersine dönüyor. İkincisi belge. Kanun'un 12. maddesindeki teknik ve idari tedbirleri gerçekten aldığınızı gösteren yetki matrisi, erişim logları, sızma testi raporu, gizlilik taahhütnameleri ve eğitim katılım kayıtları dosyanın merkezine oturuyor. Kurul'un ihlal tespit eden kararı mahkeme için bağlayıcı bir hüküm değil, ama karşı tarafın elindeki en güçlü belge oluyor. Aynı şey ihlal bildirimi için de geçerli: Kurul'a bildirdiğiniz etkilenen kişi sayısı, sızan veri kategorileri ve alınmadığını kabul ettiğiniz tedbirler, aylar sonra tazminat dosyasında okunuyor.

2025'te dava açma eşiğini düşüren bir değişiklik oldu ve şirket tarafında yeterince konuşulmadı. Hukuk Muhakemeleri Kanunu'nun 326. maddesinin ikinci fıkrası, tarafların davada kısmen haklı çıkması hâlinde yargılama giderlerinin haklılık oranına göre paylaştırılmasını öngörüyordu. Pratikte bu, 200.000 lira manevi tazminat isteyip 20.000 lira alan davacının reddedilen kısım için karşı tarafın vekâlet ücretini ödemesi anlamına geliyordu ve manevi tazminatın miktarı baştan öngörülemediği için ciddi bir caydırıcı etki yaratıyordu. Anayasa Mahkemesi 25 Aralık 2024 tarihli, E.2024/29 ve K.2024/226 sayılı kararıyla bu kuralı manevi tazminat davaları yönünden iptal etti; karar 14 Mart 2025 tarihli Resmî Gazete'de yayımlandı, iptal 14 Aralık 2025'te yürürlüğe girdi. Yüksek talep edip düşük tazminat almanın maliyeti kalkınca dava açmak daha az riskli hâle geldi. Veri sorumluları için okunuşu şu: aynı ihlalden etkilenen kişilerin mahkemeye gitme isteği arttı.

Avrupa tarafıyla karşılaştırma iki noktada işe yarıyor. GDPR'ın 82. maddesi tazminat hakkını doğrudan düzenliyor ve Avrupa Birliği Adalet Divanı 4 Mayıs 2023 tarihli C-300/21 (Österreichische Post) kararında sınırı çizdi: Tüzüğün ihlal edilmiş olması tek başına tazminat hakkı doğurmuyor, davacının somut bir maddi ya da manevi zararı ve bununla ihlal arasındaki nedensellik bağını göstermesi gerekiyor. Divan aynı kararda ters yönde de bir tespit yaptı; manevi zarar için belirli bir ağırlık eşiği aranamaz. Türk mahkemelerinin durduğu yer buna yakın: soyut biçimde 'verim işlendi' demek yetmiyor, ama zararın ağır olması da gerekmiyor. İkinci nokta usul. Türkiye'de aynı ihlalden etkilenen binlerce kişi adına tek bir tazminat davası açma imkânı yok. Hukuk Muhakemeleri Kanunu'nun 113. maddesindeki topluluk davası derneklere ve tüzel kişilere hakların tespiti ile hukuka aykırı durumun giderilmesi için tanınmış, parasal tazminat talebi için elverişli değil. Risk bu yüzden tek bir büyük davada değil, yıllara yayılan onlarca küçük dosyada birikiyor.

Bu dosyalar genellikle tek bir cümleyle başlıyor: ya 'verilerim izinsiz paylaşıldı, ne yapabilirim' ya da şirket tarafında 'bize tazminat ihtarnamesi geldi'. Hangi taraftan bakılırsa bakılsın belirleyici olan aynı üç şey: kalan süre, görevli mahkeme ve elinizdeki belge. KVKK Danışman'ın ücretsiz ön değerlendirmesinde durumunuzu bu üç başlık altında birlikte gözden geçirebiliriz.

Randevu Al