Banka hesap hareketlerinden özel yazışmalara kadar birçok kişisel veri, ilgili kişinin rızası veya kanuni bir dayanak olmaksızın üçüncü kişilerle paylaşıldığında veya internet ortamında yayımlandığında, mağdurun kişilik hakları ağır biçimde zedelenir. Bu durumda hem KVKK hem de Türk Medeni Kanunu’nun kişilik haklarını koruyan hükümleri devreye girer.
Kişisel Verilerin Hukuka Aykırı Paylaşımı: Yasal Çerçeve
6698 sayılı KVKK’nın 4., 5. ve 8. maddeleri, kişisel verilerin ancak kanunda sayılan hukuki sebeplerden birine dayanılarak (kural olarak açık rıza ile, istisnai hâllerde kanunda sayılan diğer sebeplerle) işlenebileceğini ve üçüncü kişilere aktarılabileceğini düzenler. Bu çerçevenin dışında yapılan bir paylaşım, hukuka aykırı veri işleme teşkil eder.
Yargıtay’ın Güncel ve Kapsamlı Kararı: Banka Verilerinin İzinsiz Paylaşımı
Yargıtay 4. Hukuk Dairesi’nin 13.02.2025 tarihli, 2022/3953 Esas ve 2025/2404 Karar sayılı güncel kararı, bu konuda son derece kapsamlı ve öğretici bir değerlendirme içermektedir. Davaya konu olayda, davacının banka hesap hareketlerine ve müşteri sırrı niteliğindeki bilgilerine talep dışı bir şekilde erişilmiş ve bu bilgiler internet ortamında yayımlanmıştır. Yargıtay, kararında KVKK m. 3, 4, 5, 8, 11/ğ ve 12/3. maddelerine atıfla, kişisel verilerin hukuka aykırı işlenmesi ve aktarılmasının, aynı zamanda 4721 sayılı TMK’nın 24. ve 25. maddelerinde düzenlenen kişilik haklarının ihlali anlamına geldiğini vurgulamıştır: “Kişisel verilerin korunmasını isteme hakkı, Anayasa’nın 20. maddesinde güvence altına alınan temel bir hak olup, bu hakkın ihlali TMK’nın 24. ve 25. maddeleri uyarınca kişilik haklarına saldırı teşkil eder ve manevi tazminat sorumluluğunu doğurur.” (Yargıtay 4. HD., E. 2022/3953, K. 2025/2404, T. 13.02.2025)
Kararın bir diğer önemli tespiti, illiyet bağının kesilmediği yönündedir: verilerin bir üçüncü kişi tarafından internete yüklenmiş olması, verinin hukuka aykırı olarak elde edilip aktarılmasından sorumlu olan ilk failin sorumluluğunu ortadan kaldırmaz; zincirin başındaki hukuka aykırı paylaşım ile nihai zarar arasındaki illiyet bağı, aradaki üçüncü kişi eylemiyle kesilmiş sayılmaz. Ayrıca karar, tüzel kişilerin (örneğin bankaların) kişisel verilerinin doğrudan KVKK kapsamında olmadığını, ancak paylaşılan bilgilerden somut bir gerçek kişiye ulaşılabiliyorsa, o gerçek kişinin verilerinin korunacağını da açıklığa kavuşturmuştur.
Hangi Hukuki Yollara Başvurulabilir?
Mağdur, KVKK m. 14 uyarınca önce Kişisel Verileri Koruma Kurulu’na şikâyette bulunabilir; bunun yanında, kişilik haklarının ihlali nedeniyle genel mahkemelerde maddi ve manevi tazminat davası açabilir. Fiilin niteliğine göre ayrıca 5237 sayılı Türk Ceza Kanunu’nun kişisel verilerin hukuka aykırı olarak kaydedilmesi/ele geçirilmesi/yayılmasına ilişkin suç hükümleri kapsamında şikâyet ve ceza davası yolu da açıktır.
Manevi Tazminat Miktarı Neye Göre Belirlenir?
Manevi tazminat miktarı; verilerin niteliği (banka/finansal veri, sağlık verisi gibi hassas veriler daha ağır değerlendirilir), yayılma kapsamı (kaç kişiye ulaştığı, internette ne kadar süre kaldığı), tarafların ekonomik ve sosyal durumu gibi kriterler dikkate alınarak hâkim tarafından takdir edilir.
Kaynakça
- 6698 sayılı Kişisel Verilerin Korunması Kanunu, m. 3, 4, 5, 8, 11, 12, 14.
- 4721 sayılı Türk Medeni Kanunu, m. 24, 25.
- Yargıtay 4. Hukuk Dairesi, E. 2022/3953, K. 2025/2404, T. 13.02.2025 (Yargı PRO içtihat veritabanı üzerinden teyit edilmiştir).
Sıkça Sorulan Sorular
Verilerimi paylaşan kişiyi bilmiyorsam dava açabilir miyim?
Evet; öncelikle ilgili banka, kurum veya platform hakkında Kişisel Verileri Koruma Kurulu’na şikâyet ve/veya savcılığa suç duyurusunda bulunularak failin veya sorumlu kuruluşun tespiti sağlanabilir.
Bankam bilgilerimi izinsiz paylaştıysa doğrudan bankaya karşı dava açabilir miyim?
Evet; Yargıtay içtihadına göre veri sorumlusu konumundaki kurum, verinin hukuka aykırı şekilde ele geçirilmesine veya yayılmasına neden olan güvenlik açığından da sorumlu tutulabilir.
Kurul’a şikâyet ile mahkemeye dava açmak birlikte mi yapılmalıdır?
Bu iki yol birbirinden bağımsızdır ve birlikte yürütülebilir; Kurul şikâyeti idari süreci, mahkemeye açılan dava ise tazminat talebini kapsar.
Verilerim üçüncü bir kişi tarafından internete yüklenmişse ilk paylaşan kişi sorumluluktan kurtulur mu?
Hayır; Yargıtay’a göre zincirdeki bu ek eylem, ilk hukuka aykırı paylaşımla zarar arasındaki illiyet bağını kesmez, ilk fail sorumlu tutulmaya devam eder.
İlgili Yazılar
Yazar Hakkında
Bu yazı, Kırklareli Barosu’na kayıtlı Avukat Onur Akçınar tarafından, güncel mevzuat ve Yargıtay/Danıştay içtihadı esas alınarak hazırlanmıştır. Bu içerik genel bilgilendirme amaçlıdır, somut olaya özgü hukuki tavsiye niteliği taşımaz.
İletişim
Sorularınız için iletişim sayfamız üzerinden bize ulaşabilirsiniz.
Bir yanıt yazın