Kişisel Verilerin İnternete Sızdırılması Nedeniyle Tazminat İstenebilir mi?

Kişisel verileri hukuka aykırı biçimde internete sızdırılan kişi, uğradığı maddi zararın ve kişilik hakkındaki ihlal nedeniyle doğan manevi zararın giderilmesini isteyebilir. 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 11. maddesi zarar gören ilgili kişiye bu hakkı tanır; Kanun’un 14. maddesi ise tazminat talebinin genel hükümlere göre mahkemede ileri sürüleceğini belirtir. Kişisel Verileri Koruma Kurulu doğrudan tazminat ödenmesine hükmetmez.

Sonuç yalnız “verim internette göründü” iddiasına göre belirlenmez. Verinin kişiye ait olması, açıklama veya güvenlik ihlalinin hukuka aykırılığı, sorumlu kişi ya da kuruluş, zarar ve olayla zarar arasındaki bağ somutlaştırılmalıdır. Kurula şikâyette kısa süreler bulunduğundan URL, ekran görüntüsü, bildirim, yazışma ve mali kayıp belgeleri gecikmeden korunmalıdır.

İnternete Sızdırma Hangi Durumlarda Hukuka Aykırı Sayılır?

Kişisel veri; kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Ad ve soyadı tek başına bağlama göre kişisel veri olabilir; T.C. kimlik numarası, adres, telefon, e-posta, müşteri kaydı, konum, fotoğraf, ses kaydı, IP bilgisi ve finansal hareketler de kişiyi belirliyor veya belirlenebilir kılıyorsa koruma kapsamındadır. Sağlık, biyometrik ve genetik veriler ile ceza mahkûmiyeti gibi bilgiler özel nitelikli kişisel veriler arasında yer alır ve ihlalin etkisini ağırlaştırabilir.

Bir belgenin web sitesine yüklenmesi, veri tabanının çalınıp forumda paylaşılması, çalışan listesinin arama motorlarına açık bırakılması, müşterilere toplu e-posta gönderilirken adreslerin görünür hâle getirilmesi veya yetkisiz bir kişiye hesap erişimi sağlanması farklı ihlal örnekleridir. KVKK’nın 4, 5 ve 6. maddeleri bakımından geçerli bir işleme şartı bulunmalı; paylaşım ayrıca amaçla bağlantılı, sınırlı ve ölçülü olmalıdır. Açık rıza bulunması da sınırsız yayımlama yetkisi vermez.

Kişisel Verileri Koruma Kurulunun 1 Temmuz 2026 tarihli ve 2026/1301 sayılı İlke Kararı, kamu tüzel kişilerinin internet paylaşımları bakımından güncel bir ölçüt ortaya koymuştur. Kararda kişisel veri içeren belgelerin internette yayımlanması bir işleme faaliyeti sayılmış; gereksiz verilerin paylaşılmaması, maskeleme veya anonimleştirme yapılması ve yayın süresi bittiğinde içeriğin kaldırılması gerektiği vurgulanmıştır. Aynı ilkeler, somut olayın niteliğine göre özel sektör veri sorumlularının ölçülülük ve güvenlik değerlendirmesinde de önem taşır.

Tazminat İstemenin Hukuki Şartları Nelerdir?

KVKK m.11/1-ğ, kişisel verilerin kanuna aykırı işlenmesi sebebiyle zarara uğrayan kişinin zararın giderilmesini isteme hakkını düzenler. Tazminatın mahkemece kabul edilip edilmeyeceği, talebin dayandığı hukuki ilişkiye göre KVKK ile birlikte Türk Medeni Kanunu ve Türk Borçlar Kanunu hükümleri çerçevesinde değerlendirilir. Haksız fiile dayalı bir talepte hukuka aykırı eylem, kusur, zarar ve uygun illiyet bağı; sözleşmeye aykırılık iddiasında ise sözleşmesel yükümlülük ve ihlal ayrıca ele alınır.

Veri sorumlusunun sistemine siber saldırı yapılmış olması tek başına her olayda aynı sonucu doğurmaz. KVKK m.12, veri sorumlusuna uygun güvenlik düzeyini sağlamak için gerekli teknik ve idari tedbirleri alma yükümlülüğü verir. Mahkeme; erişim yetkilerinin sınırlandırılıp sınırlandırılmadığını, kayıtların tutulup tutulmadığını, güvenlik açıklarına zamanında müdahale edilip edilmediğini, ihlalin ilgili kişiye bildirilmesini ve zararı azaltan önlemleri dosyadaki delillere göre inceler.

Maddi Tazminat Hangi Zararları Karşılayabilir?

Maddi tazminat, kişinin malvarlığında veri ihlali nedeniyle meydana gelen ve hesaplanabilen eksilmeyi amaçlar. Kimlik bilgilerinin kullanılmasıyla yapılan sahte işlem, hesabın güvenliğini sağlamak için katlanılan zorunlu masraf, veri sızıntısıyla bağlantısı gösterilebilen gelir kaybı veya kredi dolandırıcılığı sebebiyle doğan zarar örnek oluşturabilir. Talep edilen her kalem için tutar, ödeme belgesi ve ihlalle bağlantı açıklanmalıdır.

Varsayımsal risk ile gerçekleşmiş mali zarar aynı değildir. Verilerin ileride kötüye kullanılabileceği endişesi önemlidir; ancak maddi tazminat bakımından yalnız ihtimal değil, gerçekleşen veya hukukça tazmini mümkün zarar gösterilmelidir. Sahte kredi ya da alışveriş işlemi varsa bankaya itiraz, savcılık başvurusu ve işlem kayıtları, zararı sınırlama çabasını da ortaya koyabilir.

Manevi Tazminat İçin Maddi Kayıp Şart mıdır?

Manevi tazminat için ayrıca parasal kayıp yaşanması zorunlu değildir. Sağlık bilgisinin, özel yazışmanın, fotoğrafın, adresin veya kimlik verilerinin yayılması kişinin özel hayatını, güvenlik duygusunu, şeref ve itibarını zedeleyebilir. Türk Borçlar Kanunu m.58 uyarınca kişilik hakkı zedelenen kişi manevi zarar karşılığı uygun bir miktar para isteyebilir.

Miktar otomatik bir tarifeye göre hesaplanmaz. Mahkeme verinin mahremiyet derecesini, erişen kişi sayısını, yayında kalma süresini, içeriğin yeniden paylaşılmasını, mağdurun yaşı ve durumunu, ihlalin sonuçlarını, tarafların kusurunu ve alınan giderim önlemlerini birlikte değerlendirir. Salt soyut rahatsızlık iddiası yerine olayın kişinin yaşamına etkisi somut biçimde anlatılmalıdır.

Veri Sızıntısı Öğrenildiğinde İlk Olarak Ne Yapılmalıdır?

Öncelik hem zararın büyümesini önlemek hem de delili korumaktır. İlgili sayfanın tam URL’si, erişim tarihi ve saati, alan adı, kullanıcı adı, görünen veri kategorileri ve içeriğin bulunduğu ekran kaydedilmelidir. Yalnız kırpılmış ekran görüntüsü yerine sayfanın bağlamını gösteren kayıtlar alınması; e-posta başlıklarının, SMS’lerin ve veri sorumlusundan gelen ihlal bildirimlerinin özgün hâliyle saklanması yararlıdır.

Şifre ve erişim bilgileri sızmışsa aynı şifrenin kullanıldığı hesaplar değiştirilerek iki aşamalı doğrulama etkinleştirilebilir. Finansal veri veya kimlik belgesi söz konusuysa banka bilgilendirilebilir; izinsiz hat, kredi veya işlem şüphesinde ilgili kurum kayıtları kontrol edilebilir. İçeriği delil toplamak amacıyla tekrar paylaşmak, başkalarının verilerini de yayabilir ve zararı büyütebilir.

Veri Sorumlusuna Başvuru ve KVKK Şikâyeti Nasıl Yapılır?

İlgili kişi, KVKK m.11 ve m.13 kapsamında veri sorumlusuna başvurarak hangi verilerin sızdığını, ihlalin kaynağını, verilerin kimlere aktarıldığını ve alınan önlemleri sorabilir; hukuka aykırı işlenen verilerin silinmesini veya yok edilmesini, düzeltme ve silme işlemlerinin üçüncü kişilere bildirilmesini ve zararının giderilmesini talep edebilir. Başvuruda kimliği doğrulayan bilgiler, talep, iletişim adresi ve varsa belgeler bulunmalıdır.

Veri sorumlusu talebi en geç 30 gün içinde sonuçlandırmalıdır. Cevap yetersizse veya talep reddedilmişse Kurula şikâyet mümkündür. Veri sorumlusunun süresinde verdiği cevabın öğrenilmesinden itibaren 30 gün; cevap verilmezse başvuru tarihinden itibaren 60 gün içinde Kurula gidilmelidir. Otuz günlük cevap süresinden sonra cevap verilmesi hâlinde de başvurudan itibaren 60 günlük üst süre beklenmemelidir.

Kurulun incelemesi, veri sorumlusunun KVKK yükümlülüklerine uyup uymadığına yöneliktir. Kurul hukuka aykırılığın giderilmesine yönelik talimat verebilir ve koşulları varsa idari yaptırım uygulayabilir. Kurul kararıyla verilen idari para cezası mağdura ödenmez. Tazminat, uygun görevli mahkemede ayrıca talep edilir.

Veri İhlalini Veri Sorumlusu Bildirmek Zorunda mıdır?

KVKK m.12/5’e göre işlenen kişisel veriler kanuni olmayan yollarla başkaları tarafından elde edilmişse veri sorumlusu durumu en kısa sürede ilgili kişiye ve Kurula bildirmelidir. Kurulun 24 Ocak 2019 tarihli ve 2019/10 sayılı kararı, Kurula bildirim bakımından “en kısa süre”yi ihlalin öğrenilmesinden itibaren en geç 72 saat olarak yorumlamıştır. Etkilenen kişiler belirlendiğinde onlara da makul olan en kısa sürede uygun yöntemle bildirim yapılmalıdır.

Yetmiş iki saatlik süre mağdurun şikâyet veya dava süresi değildir; veri sorumlusunun Kurula bildirim yükümlülüğüdür. Bildirim yapılmış olması veri sorumlusunu otomatik olarak tazminat sorumluluğundan kurtarmadığı gibi, bildirimin yapılmaması da tek başına talep edilen her tazminat kaleminin kabulünü sağlamaz. Bildirimin zamanı ve içeriği, alınan güvenlik ve zarar azaltma önlemleriyle birlikte değerlendirilir.

Tazminat Davası Hangi Mahkemede Açılır?

KVKK, bütün veri ihlali uyuşmazlıkları için tek bir özel tazminat mahkemesi kurmamıştır. Kurulun 16 Ocak 2020 tarihli ve 2020/41 sayılı karar özeti de tazminatın genel mahkemeler huzurunda talep edilmesi gerektiğini belirtir. Bununla birlikte görevli mahkeme, veri sızıntısının taraflar arasındaki hangi ilişkiden doğduğuna göre değişebilir.

Adli yargıdaki haksız fiil taleplerinde yetki bakımından davalının yerleşim yeri yanında, fiilin işlendiği veya zararın meydana geldiği yer ile zarar görenin yerleşim yeri seçenekleri gündeme gelebilir. Ancak kamu kurumu, iş ilişkisi, tüketici işlemi veya ticari ilişki varsa görev, yetki ve dava şartları dosyaya özgü incelenmelidir. Yanlış yargı yolu ya da eksik arabuluculuk işlemi süre ve masraf kaybı doğurabilir.

Veri Sızıntısında Tazminat Zamanaşımı Ne Kadardır?

Haksız fiile dayanan tazminat isteminde Türk Borçlar Kanunu m.72 uyarınca dava, zarar görenin zararı ve tazminat yükümlüsünü öğrendiği tarihten başlayarak iki yıl ve her hâlde fiilin işlendiği tarihten başlayarak on yıl geçmekle zamanaşımına uğrar. Fiil aynı zamanda ceza kanunlarının daha uzun zamanaşımı öngördüğü bir suç oluşturuyorsa daha uzun ceza zamanaşımı uygulanabilir.

Bu süre her veri sızıntısı dosyasına mekanik biçimde uygulanamaz. Talep sözleşmeye aykırılığa, iş ilişkisine, tüketici işlemine veya kamu idaresinin eylemine dayanıyorsa farklı süreler ve başlangıç tarihleri söz konusu olabilir. Süregelen yayın, verinin farklı tarihlerde yeniden paylaşılması ve sorumlunun sonradan öğrenilmesi de hesaplamayı etkileyebilir. Bu nedenle ihlalin, zararın ve sorumlunun öğrenildiği tarihler ayrı ayrı kaydedilmelidir.

Ceza Şikâyeti ile Tazminat Davası Birlikte Açılabilir mi?

Kişisel verilerin hukuka aykırı biçimde ele geçirilmesi, başkasına verilmesi veya yayılması olayın özelliklerine göre Türk Ceza Kanunu’ndaki kişisel verilere ilişkin suçları oluşturabilir. Failin kimliği bilinmiyorsa teknik kayıtların araştırılması için Cumhuriyet başsavcılığına başvuru yapılabilir. Hesap ele geçirme, dolandırıcılık, tehdit veya özel hayatın gizliliğini ihlal gibi başka suçlar da somut fiile göre gündeme gelebilir.

Ceza şikâyeti ile tazminat talebinin amaçları farklıdır. Savcılık ve ceza mahkemesi suçun oluşup oluşmadığını ve failin ceza sorumluluğunu araştırırken hukuk veya ilgili özel mahkeme zararın giderilmesini değerlendirir. Ceza dosyasındaki bilirkişi raporu, dijital inceleme ve kesinleşmiş karar hukuk davasında önem taşıyabilir; ancak tazminat için ceza davasının mutlaka sonuçlanmasını beklemek gerektiği yönünde her olaya uygulanacak bir kural yoktur.

Tazminat Talebi İçin Hangi Belgeler Hazırlanmalıdır?

Dosya yalnız ekran görüntüsünden oluşmamalıdır. İhlalin fark edildiği tarih, sızıntının bulunduğu adres, veri kategorileri, veri sorumlusuyla ilişki, şüpheli işlemler ve alınan önlemler kronolojik bir çizelgeye dönüştürülebilir. Veri sorumlusuna yapılan başvurunun gönderim ve teslim kanıtı, cevap yazısı, Kurul başvurusu, varsa ihlal bildirimi ve platform yazışmaları birlikte saklanmalıdır.

Maddi zarar için banka hareketleri, fatura, zorunlu güvenlik giderleri, iş veya müşteri kaybını gösteren kayıtlar; manevi zarar için olayın özel hayata ve günlük yaşama somut etkisini gösteren hukuka uygun belgeler sunulabilir. Sağlık verisi kullanılacaksa gereksiz ayrıntı paylaşılmamalı ve dosyanın gizliliği gözetilmelidir. Teknik loglar karşı tarafta bulunuyorsa mahkemeden bu kayıtların getirtilmesi veya koşulları varsa delil tespiti istenmesi değerlendirilebilir.

Sorumlu tarafın, tazminat kalemlerinin ve başvuru sürelerinin birlikte değerlendirilmesi için İzmir tazminat avukatı hizmet alanı kapsamında veri sızıntısına ilişkin bildirimler, teknik kayıtlar ve zarar belgeleri incelenebilir. Somut olayda KVKK başvurusu, ceza şikâyeti ve tazminat davasından hangilerinin gerekli olduğu aynı dosya stratejisi içinde belirlenmelidir.

Sık Sorulan Sorular