KVK Kanunu 12/2nci Madde Çerçevesinde Veri sorumlusu ve Veri İşleyenin Birlikte Sorumluluğu

Bu yazı, İstanbul Barosu Kişisel Verilerin Korunması Komisyonu Başkanı Hasan Selçuk Turan’ın komisyon üyelerine açık olan bir etkinlikte, katılımcıları düşündürtmek amacıyla sorduğu “Kanunda yer alan müşterek sorumlu ibaresi müteselsil sorumluluk olarak mı anlaşılmalıdır, bu düzenlemeye istinaden veri sorumlusu ile veri işleyen arasında zorunlu dava arkadaşlığı söz konusu mudur?” sorusu üzerine kaleme alınmıştır.

Ayrıca belirtmek gerekir ki bu yazının odak noktası bir veri ihlali neticesinde zarar gören ilgili kişinin yapacağı tazmin başvurusu olup, ihlal meydana geldiğini tespit eden Kişisel Verileri Koruma Kurulu’nun vereceği yaptırım kararlarının muhatabı ile ilgili bir değerlendirme yapılmamaktadır. Zira bu tür durumlarda Kurul’un muhatabının veri sorumlusu olduğu hususu nettir.

Bilindiği üzere 6698 Sayılı Kişisel Verilerin Korunması Kanunu’nun 12/1’inci maddesinde veri sorumlusu aşağıda belirtilen amaçların gerçekleştirilmesine uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri almakla yükümlü kılınmıştır:

a) Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek,

b) Kişisel verilere hukuka aykırı olarak erişilmesini önlemek,

c) Kişisel verilerin muhafazasını sağlamak.

Maddenin ikinci fıkrasında veri sorumlusu, kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde, birinci fıkrada belirtilen tedbirlerin alınması hususunda bu kişilerle birlikte müştereken sorumludur denilmek suretiyle veri sorumlusunun, veri işleyenin de bu tedbirleri alması gerektiği noktasında müşterek bir sorumluluğu bulunduğu ifade edilmiştir.

Bu noktada madde metninde yer alan müşterek sorumluluk ibaresinden ne anlaşılması gerektiği, müşterek sorumluluğun pratikte ne şekilde sonuç doğuracağı üzerinde durmak gerekir. Müşterek sorumluluğu açıklayabilmek için ise, öncelikle müteselsil sorumluluğun anlaşılması gerektiği açıktır.

Müteselsil sorumluluğa ilişkin genel düzenleme, 6098 Sayılı Türk Borçlar Kanunu’nun 61 ve 62nci maddelerinde yer almaktadır. 61inci madde “dış ilişkide” kenar başlığını taşımakta olup, bu maddeye göre “Birden çok kişi birlikte bir zarara sebebiyet verdikleri veya aynı zarardan çeşitli sebeplerden dolayı sorumlu oldukları takdirde, haklarında müteselsil sorumluluğa ilişkin hükümler uygulanır“. Bu madde müteselsil sorumluluğun, dış ilişkide nasıl sonuç doğuracağı yani zarar görene/alacaklıya karşı nasıl uygulanacağını düzenlemektedir. 62nci madde ise “iç ilişkide” kenar başlığını taşımakta olup, bu maddeye göre “(1) Tazminatın aynı zarardan sorumlu müteselsil borçlular arasında paylaştırılmasında, bütün durum ve koşullar, özellikle onlardan her birine yüklenebilecek kusurun ağırlığı ve yarattıkları tehlikenin yoğunluğu göz önünde tutulur, (2) Tazminatın kendi payına düşeninden fazlasını ödeyen kişi, bu fazla ödemesi için, diğer müteselsil sorumlulara karşı rücu hakkına sahip ve zarar görenin haklarına halef olur”. Bu madde müteselsil sorumluluğun iç ilişkide nasıl sonuç doğuracağı yani birlikte zarar verenlerin bu sorumluluğu kendi aralarındaki ilişkide nasıl dağıtacağını düzenlemektedir.

Genel olarak müteselsil sorumluluk, zarar gören kişiyi/alacaklıyı birden çok sorumlu karşısında, bu kişilerden dilediği bir veya birkaçına yahut tamamına, zararın tamamı ya da bir kısmı için tazminat talep edebilme hakkı sunan bir kavramdır. Eş bir değişle müteselsil sorumluluk söz konusu olan bir zarar meydana geldiğinde zarara gören/alacaklı, zarara birlikte neden olan kişilerden bir tanesine başvurup zararın tamamını talep edebileceği gibi, aynı bu kişilerin tamamına başvurarak da bu talebini ileri sürebilir. İncelenen konu bakımından müteselsil sorumluluğun dış ilişkideki etkileri üzerinde durulacağından, müteselsil sorumluların iç ilişkide birbirlerine karşı yükümlülükleri, birlikte savunma yapmaları, birinin ibrasının ya da borcu ödemesinin diğerlerine etkisi üzerinde durulmayacaktır.

Belirtmek gerekir ki 818 sayılı mülga Borçlar Kanunu’nda yer alan tam teselsül – eksik teselsül ayrımı, 6098 Sayılı Türk Borçlar Kanunu’nda terk edilmiş olup, 6098 Sayılı Türk Borçlar Kanunu yalnızca tam teselsül halini düzenlemektedir, bu bağlamda bu ayrım üzerinde durulmasına da günümüz itibariyle ihtiyaç bulunmamaktadır.

Müşterek sorumluluk – müteselsil sorumluluk kavramlarının birbirileri ile olan ilişkisi Yargıtay Hukuk Genel Kurulu’nun 2013/10-2281E, 2015/1727K. sayılı, 19.06.2015 tarihli kararında şu şekilde açıklanmıştır:

“Uyuşmazlık, farklı dönemlerde ayrı iş yerlerinde çalışan, davacıda ortaya çıkan meslek hastalığı nedeni ile davalıların sorumluluğunun kusurları oranında mı yoksa müşterek ve müteselsil mi olduğu noktasında toplanmaktadır.

Bu konuda, öncelikle mülga 818 Sayılı Borçlar Kanunu ( BK )’nun teselsülü düzenleyen hükümlerinin incelenmesinde yarar bulunmaktadır:

‘Kural olarak haksız bir fiili ile zarara sebebiyet vermiş olan kimse, en evvel, tarafından hata vaki olmamış ve üzerine borç alınmamış olduğu halde kanunen mes’ul olan kimse en sonra, zaman ile mükellef olur.’ şeklinde düzenleme getirilmiştir.

Bu durumda; birden çok kişi, gerek haksız eylem, gerek sözleşme ve gerekse kanun kuralı gibi sebeplerden ve aynı zarar için zarara uğrayana karşı sorumlu iseler, bunlar arasında, bir zarara ortaklaşa sebep olanlar hakkındaki dönmeye ( rücu ) dair kurallar uygulanır.

(…)

Birinci halde; birden fazla kişiler, müşterek kusurları ile zarara sebep olmuşlardır. Bu durumda zarara sebep olmuş olanlar arasında tam teselsül bulunduğundan söz edilir ( BK. madde 50 ). Aralarında tam teselsül olanlar, suçu işleyenle bu suça iştirak etmiş olanlar arasında fark gözetilmeksizin zarar görene karşı müteselsilen sorumlu durumundadırlar (…).

BK’nun 50. maddesi; aynı zarardan dolayı birden fazla kişinin birlikte müteselsilen sorumlu tutulmalarını, birden fazla kişinin ortak kusurlarıyla zarara birlikte sebebiyet vermiş olmaları koşuluna bağlamıştır. Buna göre, birden fazla kişi aynı zarara ortak kusurlarıyla sebebiyet vermiş olmalıdırlar. BK’nun 51. maddesi ise bundan farklı olarak, aynı zarardan dolayı birden fazla kişinin birlikte müteselsilen sorumlu tutulmalarını birden fazla kişinin bu zarardan dolayı ortak kusurları sebebiyle değil; hukuksal sebeplerle sorumlu olmalarına bağlamıştır. Burada müteselsilen sorumlu tuttuğumuz kişilerin, sorumluluklarının sebepleri farklı hukuksal nedenlere dayanmaktadır. Bu açıklamalar karşısında BK’nun 51. maddesine dayanan müteselsilen sorumluluğun sebebi haksız fiil, kanun veya sözleşme sebebiyle birden fazla kişinin sorumlu tutulmasıdır (…)”

Veri sorumlusu ve veri işleyenin söz konusu sorumluluklarının kaynağına baktığımızda, veri işleyen ile zarar gören ilgili kişi arasında bir sözleşme ilişkisi bulunmadığı varsayımında, veri işleyen, ilgili kişiye karşı haksız fiil nedeniyle sorumlu olacak; Veri sorumlusu ise somut olaya göre değişmekle birlikte ilgili kişiye sözleşme yahut haksız fiil nedeniyle sorumlu olacaktır. Hükmün kaleme alınışından, veri işleyenin tedbirleri almasından veri sorumlusunun müşterek sorumlu olduğu ifade edilmiş olmakla veri sorumlusunun, veri işleyenin kusurundan kendi kusuru gibi sorumlu olacağı ve dolayısıyla veri sorumlusu yönünden bu anlamda bir kusursuz sorumluluk hali düzenlenmiş olabileceği anlaşılmaktadır.

KVK Kanunu’nun 12/2. maddesine baktığımızda söz konusu müşterek sorumluluğun, zarar gören ilgili kişiye karşı bir kanun hükmü ile veri sorumlusuna yüklenmiş bir yükümlülük olduğunu görmekteyiz. Bu bağlamda yukarıda ifade ettiğim şekliyle, 61inci maddede “Birden çok kişi birlikte bir zarara sebebiyet verdikleri veya aynı zarardan çeşitli sebeplerden dolayı sorumlu oldukları takdirde, haklarında müteselsil sorumluluğa ilişkin hükümler uygulanır” denilmek suretiyle her iki hal de düzenlenmiş olmakla –tam teselsül / eksik teselsül ayrımı kaldırılmış olduğundan- meydana gelen zararın, faillerin birlikte hareket etmek suretiyle meydana getirdikleri bir zarar olması ile kanundan, haksız fiilden ya da sözleşmeden kaynaklanan bir nedenle müşterek sorumlu kılındıkları bir zarar meydana gelmiş olması müteselsil sorumluluğun doğmasına etki etmeyecektir. Dolayısıyla burada ister “birden fazla kişinin birlikte bir zarara sebebiyet vermesi” hali, isterse de “aynı zarardan çeşitli sebeplerden sorumlu olunması” hali dikkate alınsın, her iki halde de veri sorumlusu ve veri işleyenin meydana gelecek zarardan müteselsil sorumlu oldukları sonucuna varılmaktadır. Burada duruma göre, TBK m 62 hükmü gereğince iç ilişkiyi düzenlerken, hakim takdir yetkisini kullanacak ve bu yetkisini kullanırken “tazminatın aynı zarardan sorumlu müteselsil borçlular arasında paylaştırılmasında, bütün durum ve koşullar, özellikle onlardan her birine yüklenebilecek kusurun ağırlığı ve yarattıkları tehlikenin yoğunluğu göz önünde tutacaktır“.

Dolayısıyla veri sorumlusu ve veri işleyene KVK Kanunu m 12/2 ile yüklenen müşterek sorumluluk, bu tedbirlere aykırılık halinde meydana gelmesi ihtimalinde veri sorumlusu ve veri işleyenin, zarar gören ilgili kişiye karşı müteselsilen sorumlu olmalarına yol açacaktır.

Buradan hareketle ulaşılacak bir diğer sonuç, müteselsil sorumluluk gereğince veri sorumlusu ve veri işleyen arasında zorunlu dava arkadaşlığı değil, ihtiyari dava arkadaşlığı olacağıdır. Eş bir değişle zarar gördüğünü iddia eden ilgili kişi herhangi bir tazminat talebi için, veri sorumlusu ve veri ilgilisine aynı anda başvurmak zorunda olmayacak dilerse ikisine aynı anda dilerse de ayrı ayrı talepte bulunabilecektir. Burada ayrı ayrı talepte bulunmaktan aynı zararın iki defa giderilmesinin istenmesinin anlaşılmaması gerekmekte olup, sorumlulardan birinin yapacağı ödeme oranında tüm sorumluların borcunun azaltacağı/sona ereceğini hatırlatmakta fayda vardır.

Burada akla şu soru gelmektedir: Veri işleyen, tazminat talebi yönünden KVK Kanunu’nun 11inci ve 13üncü maddeleri kapsamında öncelikle veri sorumlusuna başvurulması gerektiğini ileri sürebilir mi?

Kanun’un 11inci maddesinde ilgili kişinin hakları düzenlenmiş olup, ilgili kişilerin “kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme hakkı” bulunduğu ifade edilmektedir. Bu hakların nasıl kullanılacağı ise 13üncü maddede ifade edilmiş olup, ” İlgili kişi, bu Kanunun uygulanmasıyla ilgili taleplerini yazılı olarak veya Kurulun belirleyeceği diğer yöntemlerle veri sorumlusuna iletir” denilmek suretiyle tazminat talepleri yönünden de veri sorumlusuna başvurunun bir ön koşul olduğu izlenimi doğmuş ise de KVK Kanunu’nun 14/2nci maddesinde “13 üncü madde uyarınca başvuru yolu tüketilmeden şikâyet yoluna başvurulamaz” denildikten sonra 3üncü fıkrada “Kişilik hakları ihlal edilenlerin, genel hükümlere göre tazminat hakkı saklıdır” denilmek suretiyle veri sorumlusuna başvurmadan da genel hükümlere göre tazminat talep edilebileceği düzenleme altına alınmıştır. O halde ilgili kişi, tazminat talep ederken veri sorumlusuna başvurmak zorunda olmadığından, ilgili kişinin, veri sorumlusu ve veri işleyenin müteselsil sorumluluğuna başvurması halinde veri işleyenin, önce veri sorumlusuna başvuru koşulunun yerine getirilmesi gerektiği yönünde bir itiraz ileri süremeyeceğini de kabul etmek gerekir.

Sonuç yerine;

Veri sorumlusu, veri işleyen ile birlikte söz konusu tedbirlerin alınmamasından dolayısıyla da buna bağlı olarak meydana gelebilecek zararlardan müteselsilen sorumlu olup, veri sorumlusu yönünden bu anlamda bir kusursuz sorumluluk hali öngörüldüğü anlaşılmaktadır. Ayrıca ilgili kişi tarafından genel hükümlere göre veri işleyenden doğrudan tazminat talebinde bulunulması halinde veri işleyen tarafından, öncelikle veri sorumlusuna başvurulması gerektiği yönünde bir savunma da ileri süremeyeceği düşünülmektedir.