Veri İhlalinde Arabulucunun Hukuki Sorumluluğu

Arabuluculuk faaliyeti, tarafların uyuşmazlıklarını barışçıl ve gizlilik ekseninde çözmelerine olanak tanıyan önemli bir hukuki müessesedir. Bu sürecin yöneticisi olan arabulucu, faaliyetini bizzat ve özenle ifa etmek zorundadır. Ancak uygulamada sıkça karşılaşılan kişisel veri ihlalleri, arabulucunun hukuki sorumluluğunun sınırlarını yeniden tartışmaya açmaktadır. Kanun koyucu, arabulucunun sır saklama yükümlülüğü ve veri güvenliğini sağlama görevini ihlal etmesi durumunda, yaptırımları hem Kişisel Verilerin Korunması Kanunu (KVKK) hem de Türk Medeni Kanunu (TMK) ile Türk Borçlar Kanunu (TBK) gibi genel hükümler çerçevesinde şekillendirmiştir. Süreç boyunca elde edilen bilgi ve belgelerin, arabuluculuk faaliyeti kapsamı dışında işlenmesi veya üçüncü kişilerle paylaşılması, ilgili kişilerin kişilik haklarına saldırı teşkil eder. Bu yazımızda, arabulucunun veri ihlali durumundaki hukuki statüsünü tartışmadan doğrudan sözleşmeden doğan sorumluluğu, haksız fiil sorumluluğu ve bu sorumlulukların sonucunda ortaya çıkan tazminat davalarının hukuki dinamiklerini bir uzman perspektifiyle ele alacağız.

KVKK Çerçevesinde İdari ve Hukuki Yaptırımlar

KVKK kapsamında arabulucunun kişisel verileri ihlali durumunda karşı karşıya kalacağı ilk adım, ilgili kişinin bizzat veri sorumlusuna, yani arabulucuya yapacağı başvurudur. Kanun gereği kişisel verisi hukuka aykırı işlenen kişi, öncelikle zararlarının giderilmesini ve ihlalin durdurulmasını talep etme hakkına sahiptir. Arabulucu bu talebe yasal süreler içinde yanıt vermez veya talebi reddederse, uyuşmazlık Kişisel Verileri Koruma Kurulu önüne taşınır. Kurul, yapacağı inceleme sonucunda bir veri ihlali tespiti yaparsa, arabulucunun hukuka aykırılığı gidermesine karar verir. Arabulucunun Kurul kararlarını süresi içerisinde yerine getirmemesi durumunda ise hakkında idari para cezası uygulanır. Ancak önemle vurgulamak gerekir ki, Kurul tarafından verilen bu idari para cezası bir tazminat niteliği taşımamaktadır. Kişisel veri sahibinin malvarlığında veya şahıs varlığında meydana gelen zararların telafisi için, uyuşmazlığın mutlaka genel hükümler çerçevesinde adli yargı mercilerine taşınması gerekmektedir.

Genel Hükümler Çerçevesinde Arabulucunun Sorumluluğu

KVKK'nın ilgili maddesi, kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkı saklıdır ilkesini benimsemiştir. Bu ilke ışığında, kişisel verilerin hukuka aykırı şekilde işlenmesi veya gizliliğin ihlal edilmesi durumunda, mağdur taraf Türk Medeni Kanunu madde 24 ve Türk Borçlar Kanunu hükümleri çerçevesinde hukuki yollara başvurabilir. Arabuluculuk faaliyeti sırasındaki veri ihlalleri, hukuki niteliği itibariyle hem sözleşmeye aykırılık hem de haksız fiil teşkil edebilmektedir. Bu bağlamda, arabulucunun hukuki sorumluluğunun belirlenmesinde sorumlulukların yarışması ilkesi devreye girer. Mağdur taraf, ispat kolaylığı veya zamanaşımı gibi kendi lehine olan usul avantajlarını değerlendirerek talebini sözleşme veya haksız fiil hükümlerinden birine dayandırabilir. Hukuk uygulamalarında, ispat yükünün ters çevrilmesi sebebiyle sözleşmeden doğan sorumluluk hükümlerine dayanmak, davacılar açısından genellikle daha stratejik ve lehe sonuçlar doğuran bir hukuki koruma kalkanı sağlamaktadır.

Arabulucu Sözleşmesinden Doğan Sorumluluk

Arabulucu ile taraflar arasında kurulan arabulucu sözleşmesi, hukuki niteliği gereği isimsiz bir iş görme sözleşmesi olarak kabul edilir. Bu nedenle, sözleşmeden doğan sorumluluk hâllerinde TBK'nın vekâlet sözleşmesine ilişkin hükümleri kıyasen uygulanır. Arabulucunun kişisel verileri koruma görevi, asli edimin ifasına hizmet eden bir koruma ve yan yükümlülük niteliğindedir. Arabulucunun, edindiği sırları saklamaması veya kişisel verilerin güvenliğini zafiyete uğratması, doğrudan doğruya sözleşmenin gereği gibi ifa edilmemesi anlamına gelir. Bu sorumluluk türünün en belirgin özelliği, kusurun ispatı noktasında karşımıza çıkar. Haksız fiil sorumluluğunun aksine, burada arabulucu, veri ihlalinin meydana gelmesinde hiçbir kusurunun bulunmadığını ispat etmekle yükümlüdür. Aksi takdirde, veri sahibinin uğradığı tüm maddi ve manevi zararları tazmin etmek zorunda kalır. Yargı kararlarında da istikrar kazandığı üzere, arabulucunun uzmanlık gerektiren mesleki konumu nedeniyle en hafif kusurundan dahi sorumlu olacağı ve bu sorumluluğun sorumsuzluk anlaşmaları ile bertaraf edilemeyeceği kabul edilmektedir.

Haksız Fiil Hükümlerine Göre Sorumluluk

Sözleşme ilişkisi kurulsun veya kurulmasın, kişisel verilerin hukuka aykırı olarak ifşa edilmesi, başkasına aktarılması veya güvenliğinin sağlanamaması eylemleri, TBK bağlamında bir haksız fiil teşkil eder. Kişilik hakkı saldırıya uğrayan veri sahibi, arabulucunun eyleminin hukuka aykırı olduğunu, bu eylem sonucunda bir zarara uğradığını ve zararla eylem arasında uygun illiyet bağı bulunduğunu ispatla mükelleftir. Haksız fiilde, sözleşmesel sorumluluktan farklı olarak kusuru ispat yükü davacı olan zarar görene aittir. Bununla birlikte, kişisel verilerin hukuka aykırı şekilde işlenmesi Türk Ceza Kanunu (TCK) kapsamında aynı zamanda suç teşkil ediyorsa, hukuki süreçte önemli bir usul kuralı devreye girer. Arabulucu, mesleğinin sağladığı kolaylıktan yararlanarak kişisel verileri ele geçirir veya yayarsa, bu eylem TCK kapsamında nitelikli suç sayılacağından, TBK uyarınca hukuk mahkemesindeki tazminat davalarında da uzamış ceza davası zamanaşımı süreleri tatbik edilmek zorundadır.

Maddi ve Manevi Tazminat Davaları ve Görevli Mahkeme

Kişisel verisi ihlal edilen taraflar, arabulucunun kusurlu davranışı nedeniyle uğradıkları kayıpları telafi etmek için maddi ve manevi tazminat davası açabilirler. Dava açılabilmesi ve sorumluluğun tespiti için aşağıdaki şartların kümülatif olarak bir arada bulunması aranmaktadır:

• Arabulucunun borca aykırı davranışının veya hukuka aykırı fiilinin varlığı,
• Kişisel veri sahibinin malvarlığında (maddi) veya şahıs varlığında (manevi) zarar oluşması,
• Arabulucunun eylemi ile doğan zarar arasında uygun illiyet bağının bulunması,
• Arabulucunun ihlal eyleminde kusurlu bulunması.

Maddi tazminat davalarında, ihlal eylemi neticesinde kişinin malvarlığında meydana gelen aktif azalma veya yoksun kalınan kâr talep edilebilir. Manevi tazminatta ise, kişilik değerlerinde yaşanan eksilmenin ve duyulan elemin tatmini hedeflenir ve bu bedel hâkim tarafından somut olayın ağırlığına göre takdir edilir. Hukuk Muhakemeleri Kanunu (HMK) gereğince, kişisel verilerin ihlaline dayalı tazminat davalarında dava konusunun değerine bakılmaksızın görevli mahkeme asliye hukuk mahkemesidir. Davacı taraf, davasını kendi yerleşim yeri mahkemesinde açabileceği gibi, sözleşmenin ifa yeri veya haksız fiilin gerçekleştiği yer mahkemelerinde de açma hususunda seçimlik hakka sahiptir.