Avukat Asilhan Özkaya, LLM| DL Avukatlık Bürosu 

6698 sayılı Kişisel Verilerin Korunması Kanunu’nda (“KVKK”) veri sorumlusu; “kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen gerçek veya tüzel kişi” olarak tanımlanmıştır. Veri işleyen ise, veri sorumlusu adına ve yine veri sorumlusunun yetkilendirmesine istinaden kişisel verileri işleyen gerçek veya tüzel kişi olarak tanımlanmıştır. KVKK'nın açık hükmüne göre veri sorumlusu, kendi adına başka bir kişi tarafından kişisel verilerin işlenmesi halinde, KVKK kapsamında sayılan tedbirlerin alınması hususunda mezkur veri işleyen kişiler ile birlikte "müştereken" sorumlu olacaktır.
 

Her ne kadar veri işleyen ile veri sorumlusunun müştereken sorumluluğu öngörülmüşse de, KVKK tahtında düzenlenen kabahat fillerine tatbik edilecek idari para cezalarının, KVKK'nın lafzı itibariyle veri işleyene uygulanmayabileceği neticesine varmak olasıdır. Zira idari yaptırımların veri sorumlusu hakkında uygulanacağı hükme bağlanmıştır. Veri işleyenin hukuka aykırı herhangi bir eylemi neticesinde söz konusu idari yaptırımın oluşması halinde, veri sorumlusunun veri işleyene rücu edebilmesi, genel hükümlere göre söz konusu olabilecektir.
 

Veri sorumlusunun, veri sahibi ilgili gerçek kişiye karşı sorumluluğu; Türk Borçlar Kanunu tahtında haksız fiil sorumluluğu olarak nitelendirilebileceği gibi (kişisel verilerin hukuka aykırı işlenmesi fiili), veri sorumlusunun veri sahibi gerçek kişiye karşı herhangi bir sözleşme ile üstlendiği edimlerinin ifası kapsamındaki yan yükümlülüğü (özen yükümlülüğü vb.) şeklinde bir akdi yükümlülük olarak da karşımıza çıkabilecektir. Dolayısıyla veri sorumlusu ile veri sahibi gerçek kişi arasındaki borç kaynağının her bir olayda müstakilen tartışılarak, haksız fiil sorumluluğu veya akde aykırılık borç kaynaklarından hangisinin mevzu-bahis edileceği irdelenmelidir.
 

Veri işleyenin ise, ilgili kişiyle herhangi akdi bir ilişkinin olmaması sebebiyle olası bir borç kaynağı, haksız fiil sorumluluğu kapsamında telakki edilebilecektir. Bu halde veri işleyen, haksız fiil hükümleri çerçevesinde ilgili kişiye karşı sorumlu olabilecektir. KVKK’nın 12’nci maddesindeki hüküm uyarınca veri sorumlusu da, veri işleyenin söz konusu haksız fiilinden ötürü, veri işleyenle birlikte sorumlu addedilecektir. Bu bağlamda veri işleyenin; veri sorumlusu adına ve veri sorumlusunun verdiği talimat gereği işin ifası sırasında ilgili kişiye vermiş olduğu zararın, veri sorumlusu tarafından tazmin edilmesi gerekliliğinden söz etmek mümkün olacaktır.

 

Veri sorumlusunun, veri işleyeni seçerken, veri işleme faaliyeti ile ilgili talimat verirken, gözetim ve denetimde bulunurken zararın doğmasını engellemek için gerekli özeni gösterdiğini ispat edebilmesi, sorumluluğunun tayini açısından önem arz edecektir. 

 

Söz konusu özenin gösterildiğinin ispatı halinde dahi KVKK’nın veri sorumlusunun müşterek sorumluluğa dair hükmünün nasıl tatbik edileceği önemlidir. Diğer yandan, veri sorumlusu, Türk Borçlar Kanunu'nın 66'ncı maddesi uyarınca zararın doğmasına eylemi ile sebep veren veri işleyene karşı ancak veri işleyenin bizzat sorumlu olduğu ölçüde rücu hakkına sahip olabilecektir.