21. Özel hukukta korunma ve idarenin sorumluluğu

Kişisel verilerin hukuka aykırı işlenmesi, hem devam eden müdahalenin önlenmesini hem doğmuş bir zararın giderilmesini gerektirebilir. Bu iki ihtiyaç aynı koşullara dayanmaz. Bir sağlık kaydının düzeltilmesi, açıklamanın durdurulması, tedavi giderinin karşılanması ve ihlalden elde edilen kazancın verilmesi farklı istemlerdir; her biri için hukuki temel ile istenen sonuç arasındaki bağ kurulmalıdır.

Bu bölüm, kişilik hakkını koruyan taleplerden hareketle zarar, sözleşme ve çok kişili işleme ilişkilerini ele alır; ardından kamu hizmetinin kuruluş ve işleyişinden doğan sorumluluğu ayırır. Yargı yolunun ve geçici korumanın seçilmesi ile Kurul tespitlerinin delil incelemesindeki yeri, maddi hakların hangi usulle etkili biçimde ileri sürülebileceğini tamamlar. Özel ve kamu hastanesindeki hatalı sağlık kaydı karşılaştırması, ortak veri koruma sorununun hukuki ilişkinin niteliğine göre farklı sonuçlar doğurabileceğini gösterir.

21.1. Kişilik hakkının korunmasına yönelik önleme, durdurma ve tespit talepleri

Bir özel kliniğin hastaya ait sağlık kaydını herkese açık bir internet sayfasında yayımladığı varsayılsın. Hastanın ihtiyacı yalnızca ileride tazminat elde etmek değildir; kaydın erişilebilir olmasının durdurulması da gerekebilir. Kayıt henüz yayımlanmamış, fakat açıklanmasına yönelik somut bir hazırlık bulunuyorsa tehlikenin önlenmesi; açıklama sona ermiş, ancak kişi üzerindeki etkileri devam ediyorsa hukuka aykırılığın tespiti gündeme gelir. Türk Medeni Kanunu’nun (TMK) 24 ve 25. maddeleri, kişilik hakkına yönelik saldırının farklı aşamalarına uygun bu koruma taleplerinin temelini oluşturur.¹

TMK’nın 24. maddesine göre, kişilik hakkına hukuka aykırı olarak saldırılan kişi hâkimden saldırıda bulunanlara karşı korunmasını isteyebilir. Aynı madde, rıza, daha üstün nitelikte özel veya kamusal yarar ve kanunun verdiği yetkinin kullanılmasını hukuka uygunluk nedenleri olarak düzenler. Bu nedenle kişisel veri içeren bir açıklamanın varlığı ile hukuka aykırı kişilik hakkı saldırısının varlığı ayrı incelenmelidir. Verinin niteliği, açıklamanın amacı, kapsamı ve karşı tarafta bulunan hukuki dayanak değerlendirilmeden yalnız “veri paylaşılmıştır” tespitiyle sonuca gidilemez. Kişilik hakkının korunması, hukuka uygun veri işlemelerini de kapsayan genel bir yasak olarak kurulamaz.²

Önleme talebi, saldırının gerçekleşmesini beklemeden koruma sağlar. Burada amaç, henüz doğmamış bir zararın parasal hesabını yapmak değil, kişilik hakkına yönelen saldırı tehlikesini engellemektir. Talebin konusu ve dayandığı tehlike somutlaştırılmalıdır. Örneğin bir hastanın teşhis bilgisinin tanıtım amacıyla yayımlanacağına ilişkin hazırlık belgeleri, yalnızca “kurum verilerimi bir gün kullanabilir” endişesinden farklıdır. Hangi kaydın, hangi işlem veya açıklamayla ve neden hukuka aykırı biçimde kullanılacağı gösterildiğinde, istenen korumanın sınırı da anlaşılabilir hâle gelir. Tehlikeye karşı talep ile sürmekte olan saldırıya yönelik talebin ayrılması bu işlev farkına dayanır.³

Durdurma talebi ise devam eden saldırıyı sona erdirmeye yönelir. Kişinin sağlık kaydının kamuya açık sayfada tutulması örneğinde inceleme, yalnız ilk yükleme tarihine değil, açıklamanın sürüp sürmediğine de yönelir. İstenen sonuç bu devam eden duruma uygun kurulmalıdır. Belirli kaydın açık erişimden çıkarılması ile kliniğin hastaya ilişkin bütün tıbbi kayıtlarının yok edilmesi aynı talep değildir. Saldırıyı sona erdirme ihtiyacı, başka bir amaç ve hukuki dayanakla saklanması gereken her kaydın da silinmesini kendiliğinden haklı kılmaz. Koruyucu istem, hukuka aykırı açıklamayı ve onu sürdüren somut davranışı hedeflemelidir.⁴

Saldırının sona ermiş olması, her durumda hukuki koruma ihtiyacını ortadan kaldırmaz. TMK’nın 25. maddesi, sona ermiş olsa bile etkileri devam eden saldırının hukuka aykırılığının tespitini isteme imkânı tanır. Bu koşul önemlidir: yalnız geçmişte bir açıklama yapıldığının gösterilmesiyle, o açıklamanın devam eden etkilerinin gösterilmesi farklıdır. İnternet sayfasından kaldırılmış bir kaydın açıklanması nedeniyle etkilerin sürdüğü ileri sürülüyorsa bunların ne olduğu ortaya konulmalıdır. Tespit talebi, sona ermiş her olay için soyut bir hukuka uygunluk görüşü elde etme aracı olarak görülmemelidir.⁵

Kişi, bu taleplerle birlikte düzeltmenin veya kararın üçüncü kişilere bildirilmesini ya da yayımlanmasını da isteyebilir. Böyle bir istem, hukuka aykırı açıklamanın etkisinin hangi çevrede doğduğuyla ilişkilendirilmelidir. Kişisel veri uyuşmazlığında kararın duyurulması talebi kurulurken, korunması istenen bilginin yeniden ve daha geniş bir çevreye açıklanmasına yol açılmaması da gözetilmelidir. Durdurma, tespit ve düzeltme istemleri farklı işlevler taşıdığından olayın birden fazla yönüne karşılık gelebilir. Tazminat ve elde edilen kazancın verilmesi istemleri ise 25. maddede ayrıca saklı tutulmuştur; koruyucu taleplerin açıklanması bu istemlerin bütün koşullarının da gerçekleştiği anlamına gelmez.⁶

Veri sorumlusuna başvuru ve Kurula şikâyet ile bu koruma davalarının ilişkisi ayrıca kurulmalıdır. 6698 sayılı Kanun’un 14. maddesinin ikinci fıkrasındaki ön başvuru koşulu, Kurula şikâyet yoluna ilişkindir. Saygı, bu koşulun bütün kişilik hakkı davalarına yayılabileceği yorumunu eleştirir; özellikle saldırı tehlikesinin önlenmesinin önce saldırıda bulunacak kişiye başvurmaya bağlanmasının yargısal korumayı geciktireceğine dikkat çeker. Kurumun “Başvuru Hakkı” açıklaması da yargı yolundan önce veri sorumlusuna başvurunun zorunlu olmadığını belirtir. Kurumun açıklaması mahkemeyi bağlayan bir norm değildir; fakat şikâyet usulü ile genel koruma davasının farklılığını görünür kılar. Kanuni şikâyet ön koşulundan, genel kişilik hakkı korumasını bütünüyle erteleyen bir sonuç çıkarılmamalıdır.⁷

Uygulamada talebin kurulması, kişinin hangi sonucu istediğinin belirlenmesiyle başlar. Tehlike varsa hangi davranışın önleneceği, saldırı sürüyorsa neyin sona erdirileceği, saldırı bitmişse hangi etkiler nedeniyle tespit istendiği açık olmalıdır. Somut olaya göre düzeltme veya bildirim istemi de buna eklenebilir. Aynı veriye ilişkin bütün işlemleri tek ve sınırsız bir yasak altında toplamak yerine, saldırı oluşturan işlem ile hukuka uygun kalabilecek kullanımın ayrılması gerekir. Bu ayrım, hem kişilik hakkını etkili biçimde korur hem de talebi ihlalin kapsamıyla ilişkilendirir.

21.2. Maddi ve manevi tazminat; zarar, illiyet ve ispat

Kişisel verilerin hukuka aykırı işlenmesi ile bu işlemden doğan zararın tazmini farklı sorulardır. Bir kaydın hukuka aykırı biçimde açıklanmış olması, açıklamanın durdurulmasını gerektirebilir; fakat belirli bir tutarın ödenmesine karar verilebilmesi için tazminatın koşulları da incelenir. 6698 sayılı Kanun’un 11. maddesinin birinci fıkrasının (ğ) bendi, kanuna aykırı işleme sebebiyle zarara uğranması hâlinde zararın giderilmesini isteme hakkını tanır. Kanun’un 14. maddesinin üçüncü fıkrası ise kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkını saklı tutar. Dolayısıyla ihlalin belirlenmesi, zararın türünün ve dayanak alınan sorumluluk ilişkisinin açıklanması ihtiyacını ortadan kaldırmaz.⁸

Maddi zarar, kişinin malvarlığındaki kayıpla ilgilidir; manevi zarar ise kişilik değerlerinin zedelenmesinden doğan parasal olmayan olumsuzluğu ifade eder. Bu ayrım, aynı olayda iki zarar türünün birlikte ortaya çıkabilmesine engel değildir. Örneğin hukuka aykırı biçimde açıklanan bir sağlık kaydı kişide manevi bir zarara yol açabileceği gibi, bu açıklamanın neden olduğu sağlık sorununun tedavisi için yapılan harcamalar da maddi zarar oluşturabilir. Badur ve Kurt Konca’nın verdiği bu örnek, zararın kaynağını oluşturan verinin “sağlık verisi” olmasının bütün sonuçları tek bir zarar türüne dönüştürmediğini gösterir. Her istem, giderilmesi talep edilen sonuç bakımından ayrıca kurulmalıdır.⁹

Haksız fiile dayanan genel sorumluluğun hareket noktası, Türk Borçlar Kanunu’nun (TBK) 49. maddesidir. Kusurlu ve hukuka aykırı bir fiille başkasına zarar verenin bu zararı giderme yükümlülüğü, yalnız işlemenin hukuka aykırılığına indirgenemez. Zararın varlığı, fiille zarar arasındaki nedensellik ilişkisi ve uygulanacak sorumluluk sebebinin koşulları birlikte değerlendirilir. Sözleşmeye aykırılık veya özel bir sorumluluk hükmü söz konusuysa inceleme o temele göre yapılır. Bu nedenle bütün kişisel veri uyuşmazlıklarına aynı kusur ve ispat formülünü uygulamak yerine, önce hangi hukuki ilişkinin ileri sürüldüğü belirlenmelidir.¹⁰

Kusur koşulu öğretide tartışmalıdır. Saygı, dijital ortamın riskleri nedeniyle tehlike sorumluluğunun kabulünü savunur. Gürpınar da riskin veri sorumlularınca üstlenilmesini hakkaniyet bakımından desteklemekle birlikte, TBK’nın 71. maddesine başvurmanın sınırlarını ve özel bir düzenlemeye duyulan ihtiyacı tartışır. Bu görüşler, daha etkili koruma arayışını görünür kılar; her veri işleme faaliyetinin yürürlükteki hukukta kendiliğinden tehlike sorumluluğuna tabi olduğu sonucuyla aynı değildir. Nitekim 71. madde, önemli ölçüde tehlike arz eden işletme ve faaliyetine ilişkin koşullar içerir. Yalnızca verilerin elektronik ortamda bulunması, bu koşulların somut olayda nasıl gerçekleştiğini açıklamanın yerine geçmez.¹¹

İlliyet, ileri sürülen kaybın hangi davranışın sonucu olduğunu sorgular. Varsayımsal olarak, bir kişinin kimlik bilgilerinin hukuka aykırı açıklanmasından sonra onun adına bir işlem yapılmışsa, açıklanan bilginin kapsamı, bu bilgiye kimlerin erişebildiği ve zarar doğuran işlemde hangi bilginin kullanıldığı önem taşır. Olayların zaman bakımından birbirini izlemesi, tek başına bu bağlantının bütün unsurlarını açıklamaz. Öte yandan araya üçüncü bir kişinin davranışının girmesi de veri işleme faaliyetinin sorumluluk bakımından her durumda önemsizleştiği anlamına gelmez. Açıklama, sonraki kullanım ve talep edilen zarar arasındaki bağ ayrı ayrı ortaya konulmalıdır. Birden çok kişinin aynı zarardan sorumluluğu, sonraki başlıkta ele alınan sorumluluk ilişkilerine göre değerlendirilir.¹²

TBK’nın 50. maddesine göre zarar gören, zararını ve zarar verenin kusurunu ispatla yükümlüdür. Bu, haksız fiile dayanan genel kuraldır; başka bir sorumluluk sebebinin ispat düzeni ayrıca dikkate alınır. Veri uyuşmazlığında açıklamanın içeriğini ve tarihini gösteren kayıtlar ile harcama belgeleri aynı olguyu ispatlamaz: ilki işleme fiilinin, ikincisi ileri sürülen giderin ortaya konulmasına hizmet edebilir. Bu belgelerin uyuşmazlıkla bağlantısı açıklanmalıdır. İhlal iddiasını destekleyen bir belgenin bulunması, zarar miktarının ve fiille bağının da aynı belgeyle kanıtlandığını varsaymayı haklı kılmaz.

Zararın miktarının tam olarak kanıtlanamaması için kanun ayrıca bir çözüm öngörür. TBK’nın 50. maddesinin ikinci fıkrası, hâkimin olayların olağan akışını ve zarar görenin aldığı önlemleri göz önünde tutarak miktarı hakkaniyete uygun belirlemesine imkân tanır. Burada miktarın kesin hesabındaki güçlük ile tazminatın koşullarının hiç araştırılmaması birbirinden ayrılmalıdır. Hüküm, veri ihlali bulunan herkese aynı tutarda ödeme yapılmasını öngören bir tarife değildir. Talep edilen kaybın ne olduğu ve hangi olayla ilişkilendirildiği ortaya konulduktan sonra, hesaplamadaki belirsizliğin niteliği değerlendirilir.¹³

Kişilik hakkının zedelenmesinden doğan manevi zarar bakımından TBK’nın 58. maddesi uygulanır. Maddi bir kaybın bulunmaması, manevi tazminat istemini tek başına ortadan kaldırmaz; buna karşılık yalnız “kişisel verim işlendi” demek, kişilik hakkındaki zedelenmenin ve ileri sürülen manevi zararın açıklanmasına duyulan ihtiyacı gidermez. Verinin niteliği, açıklamanın kapsamı ve kişi üzerindeki somut etkileri bu nedenle önemlidir. Manevi zararın ileri sürülmesi, her olayda mutlaka aynı tür belgeye veya belirli bir tıbbi tanıya bağlanan bir anlatımla daraltılmamalıdır; hangi olguların neyi gösterdiği uyuşmazlığın özelliklerine göre değerlendirilir. Hâkim, para ödenmesi yerine başka bir giderim biçimini kararlaştırabilir veya buna ekleyebilir; saldırıyı kınayan karar ve bunun yayımlanması kanunda verilen örneklerdir.¹⁴

Tazminatın kapsamı da olaydan bağımsız belirlenmez. TBK’nın 51. maddesi durumun gereği ve özellikle kusurun ağırlığını; 52. maddesi ise zarar görenin zararın doğmasına veya artmasına etkisi gibi indirim nedenlerini düzenler. Bu bakımdan ilgili kişinin belirli bir işleme için rıza vermesi ile uğradığı bütün zararları kabul etmesi aynı şey değildir; rızanın konusu ve zararla ilişkisi açıklanmalıdır. Uygulamada yararlı olan, her zarar kalemi için fiili, sonucu, aralarındaki bağı, sorumluluk sebebini ve dayanak gösterilen olguları birlikte ortaya koymaktır. Böylece tazminat istemi, ihlal tespitine eklenen açıklamasız bir tutar olmaktan çıkar ve hangi kaybın neden giderilmesi istendiği anlaşılır hâle gelir.¹⁵

21.3. Sözleşmeye aykırılık, haksız fiil ve elde edilen kazanç

Bir veri ihlali nedeniyle ileri sürülebilecek istemin hukuki temeli, taraflar arasındaki ilişkiye göre değişebilir. Verilerin korunmasına ilişkin bir borcun ihlal edilmesi sözleşmeye aykırılığı; kişilik hakkına hukuka aykırı saldırı haksız fiil sorumluluğunu; saldırı yoluyla kazanç sağlanması ise bu kazancın verilmesini gündeme getirebilir. Bunlar aynı olayın farklı yönleridir. Özel bir hastanenin hastaya ait bilgileri hukuka aykırı biçimde kullandığı varsayımında, sağlık hizmeti ilişkisinden doğan borç ile kişilik hakkının herkese karşı korunması birlikte önem taşıyabilir. Badur ve Kurt Konca da kişisel verilerin işlenmesi ve korunmasının sözleşmedeki asli veya yan yükümlülüklerle bağlantısını vurgular.¹⁶

Sözleşmeye dayanan istemde önce ihlal edildiği ileri sürülen borç belirlenmelidir. Taraflar arasında herhangi bir sözleşmenin bulunması, bütün veri işlemelerini sınırsız biçimde hukuka uygun kılmaz; sözleşmenin hangi edimi ve koruma yükümlülüğünü içerdiği açıklanmalıdır. Aynı nedenle, kişisel verilerin işlenmesine verilen açık rıza ile sözleşmeden doğan borçların kapsamı birbirinin yerine kullanılamaz. Örneğin hizmet için gerekli bilgilerin alınabilmesi ile bu bilgilerin hizmetten bağımsız bir reklam faaliyeti için açıklanabilmesi farklı hukuki sorunlardır. İnceleme, yalnız imzalanmış belgenin adına değil, ilgili veri kullanımının borç ilişkisi içindeki yerine yönelir.¹⁷

TBK’nın 112. maddesi, borcun hiç veya gereği gibi ifa edilmemesi hâlinde, borçlunun kendisine hiçbir kusur yüklenemeyeceğini ispat etmedikçe alacaklının bundan doğan zararını gidermekle yükümlü olduğunu düzenler. Dolayısıyla sözleşmeye aykırılıkta kusura ilişkin ispat düzeni, 50. maddedeki genel haksız fiil kuralından farklıdır. Bu fark, davacının borç ilişkisinin, aykırılığın, zararın ve nedensellik bağının açıklanmasına ilişkin ihtiyacını ortadan kaldırmaz. TBK’nın 114. maddesi de haksız fiil sorumluluğu hükümlerinin sözleşmeye aykırılıkta kıyasen uygulanmasını öngörür. Böylece hukuki temeller farklı olsa da zarar giderimine ilişkin ortak sorular korunur.¹⁸

Taraflar arasında sözleşme bulunmaması, kişilik hakkının korunmasını engellemez. Kişisel verilerin hukuka aykırı açıklanması, somut olayın koşullarında TBK’nın 49. maddesine dayanan sorumluluğu doğurabilir. Sözleşme ilişkisi bulunan bir olayda da aynı davranışın ayrıca kişilik hakkına saldırı oluşturması mümkündür. Birden fazla sorumluluk sebebinin bulunması ise aynı zararın birden fazla kez giderilmesi anlamına gelmez. TBK’nın 60. maddesi, zarar gören aksini istememiş ve kanunda aksi öngörülmemişse, hâkimin en iyi giderim imkânını sağlayan sorumluluk sebebine göre karar vermesini düzenler. Bu nedenle sözleşme ile haksız fiil arasındaki fark, yalnız talebe verilen ad bakımından değil, her bir temelin koşulları ve sağladığı giderim bakımından kurulmalıdır.¹⁹

Elde edilen kazancın verilmesi, zarar gideriminden farklı bir soruya karşılık gelir: Kişilik hakkına hukuka aykırı saldıran kişinin bu saldırı sayesinde elde ettiği ekonomik fayda kimde kalacaktır? TMK’nın 25. maddesinin üçüncü fıkrası, bu kazancın vekâletsiz işgörme hükümlerine göre istenmesini ayrıca saklı tutar. Buradaki “vekâletsiz işgörme”, ilgili kişi adına hukuka uygun bir hizmet sunulmasıyla karıştırılmamalıdır. TBK’nın 530. maddesiyle bağlantılı olarak tartışılan durum, başkasının kişilik alanına yetkisiz müdahaleyle fayda sağlanmasıdır. Vuraloğlu, bu istemin saldırıya uğrayan kişinin zararının varlığından bağımsız işlevini açıklar. Kişinin kendisinin verisinden gelir elde etmeyi hiç düşünmemiş olması ile başkasının hukuka aykırı müdahaleden kazanç sağlaması böylece birbirinden ayrılır.²⁰

Bununla birlikte kazanç istemi, ihlali gerçekleştiren işletmenin bütün gelirinin ilgili kişiye verilmesini sağlayan genel bir hak değildir. Hangi müdahaleden hangi faydanın doğduğu belirlenmelidir. Birden fazla veri kümesi ve ticari faaliyetten gelir elde edilen varsayımsal bir durumda, tek bir kişiye ait verinin hukuka aykırı kullanılmasının bütün ciroyu yarattığı kabul edilemez. İhlal ile istenen kazanç arasındaki bağ ve hesaplamanın kapsamı ayrıca açıklanır. TBK’nın 530. maddesinin masraflar ve girişilen borçlar hakkında da hüküm içermesi, hesabın yalnız brüt gelir rakamına indirgenemeyeceğini gösterir; hangi kalemin dikkate alınacağı, somut işgörme ve talep bakımından değerlendirilmelidir.²¹

Kazancın verilmesi isteminde kusurun veya kötüniyetin aranıp aranmayacağı tartışmalıdır. Helvacı ve Aydın, TMK’nın 25. maddesi ile TBK’nın 530. maddesinin sözünden ve kişiliği koruma amacından hareketle bunları koşul saymaz; kazancın kusursuzluk gerekçesiyle saldıranda bırakılmasına karşı çıkar. Vuraloğlu ise kişisel verilerin işlenmesi bağlamında kusur koşulunun korunmasını savunur; zarardan bağımsız bu istemin kusursuz sorumluluk yönünde genişletilmesini eleştirir. İlk yaklaşım saldırıdan yararlanmanın önlenmesini, ikincisi sorumluluğun sınırlarının korunmasını öne çıkarır. Dolayısıyla tazminat için yapılan kusur incelemesinin kazanç istemini de kendiliğinden çözdüğü veya bu istemin tartışmasız biçimde kusurdan bağımsız olduğu varsayılmamalıdır.²²

Zarar giderimi ile kazancın verilmesi aynı olayda ileri sürülüyorsa, istemlerin hangi ekonomik sonuca ilişkin olduğu da açıklanmalıdır. Kişinin yoksun kaldığı gelir, saldıranın elde ettiği fayda ve manevi zarar aynı kalem değildir. Buna karşılık aynı ekonomik sonucun hem maddi zarar hem kazanç adıyla iki kez istenmesi sorunu ayrıca değerlendirilir. Vuraloğlu’nun tartıştığı üzere, kazanç talebi ile maddi tazminatın ilişkisi belirlenirken bunların örtüşen ve aşan kısımları önem taşır. Manevi giderimin farklı işlevi de korunur; kazancın varlığı, manevi tazminatın bütün koşullarının gerçekleştiğini tek başına göstermez.²³

Somut istem bu nedenle üç bağlantı kurularak açıklanabilir: taraflar arasındaki borç ve ihlali, herkese karşı korunan kişilik değerine saldırı ve saldırıdan elde edilen fayda. Bu bağlantıların her biri için ileri sürülen olgular ve talep edilen sonuç belli olmalıdır. Bir hastanın verisinin açıklanmasında durdurma ihtiyacı, tedavi giderinin karşılanması ve açıklamadan sağlanan kazancın verilmesi birbirinden ayrı değerlendirmeler gerektirir. Hukuki temelin belirlenmesi, ihlalin tek bir sonuçla geçiştirilmesini önler; hangi istemin hangi koşullarla karşılanabileceğini ortaya koyar.

21.4. Veri sorumlusu, veri işleyen ve diğer kişilerin sorumluluk ilişkileri

Veri işleme sürecine birden fazla kişinin katılması, bunların aynı hukuki sıfatı taşıdığı veya her birinin her zarardan sorumlu olduğu anlamına gelmez. Önce işleme amaç ve vasıtalarını kimin belirlediği, kimin başkasının verdiği yetkiye dayanarak onun adına işlem yaptığı ve zarar doğuran davranışın kime ait olduğu açıklanmalıdır. 6698 sayılı Kanun’un 3. maddesindeki veri sorumlusu ve veri işleyen tanımları bu ayrımın başlangıç noktasıdır. Ancak rolün belirlenmesi ile belirli bir tazminat borcunun koşullarının gerçekleşmesi ayrı incelemelerdir; veri işleyenin fiilen yaptığı işlem ve ihlal ettiği yükümlülük de gözden kaçırılmamalıdır.²⁴

Veri sorumlusu, işleme faaliyetinde dışarıdan hizmet aldığını söyleyerek güvenlik yükümlülüğünün bütünüyle ortadan kalktığını ileri süremez. Kanun’un 12. maddesinin ikinci fıkrası, verilerin onun adına başka bir kişi tarafından işlenmesi hâlinde, ilk fıkradaki tedbirlerin alınması hususunda birlikte müşterek sorumluluk öngörür. Üçüncü fıkra veri sorumlusunun denetim yükümlülüğünü, dördüncü fıkra ise hem veri sorumlusu hem veri işleyen için hukuka aykırı açıklama ve amaç dışı kullanım yasağını düzenler. Kurumun güvenlik yükümlülüklerine ilişkin açıklaması da veri işleyenin tedbir alma yükümlülüğünü vurgular. Dolayısıyla dış kaynak kullanımı, kanuni güvenlik ödevinin yerine geçmez.²⁵

Bununla birlikte 12. maddenin ikinci fıkrasındaki düzenlemenin konusu, ilk fıkrada belirtilen tedbirlerin alınmasıdır. Bu hükmün uygulanması ile zarar görenin belirli bir kişiden ne miktarda tazminat isteyebileceği aynı cümleyle açıklanamaz. Hangi tedbirin alınmadığı, bu eksikliğin zarara etkisi ve ilgili kişiye karşı hangi sorumluluk sebebine dayanıldığı ortaya konulmalıdır. Bir hizmet sağlayıcının işlemenin herhangi bir aşamasında bulunması, diğer bütün katılımcıların farklı işlemlerinden doğan zararları da sınırsızca üstlendiği sonucunu doğurmaz. Tedbir yükümlülüğü, kendi fiilinden sorumluluk ve başkasının davranışından sorumluluk ayrı temellere bağlanmalıdır.²⁶

Veri sorumlusu ile veri işleyen arasındaki sözleşme de bu ayrım içinde değerlendirilir. Turan Başara, veri işleyenin üstlendiği edimin gereği gibi yerine getirilmemesi nedeniyle sözleşmenin diğer tarafına karşı doğan sorumluluğu, TBK’nın 112. maddesiyle açıklar. Bu iç ilişki, kişisel verisi işlenen kişinin zararına ilişkin istemle özdeş değildir. Sözleşmede bir tarafın diğerine hangi güvenlik hizmetini sağlayacağı veya hangi zararı karşılayacağı kararlaştırılabilir; fakat bu düzenleme, zarar görenin kanundan doğan haklarının bulunup bulunmadığı sorusunu tek başına çözmez. İlgili kişi lehine bir sözleşme hükmüne dayanılıyorsa, üçüncü kişi yararına sözleşmenin koşulları da ayrıca incelenir.²⁷

Birden çok kişinin aynı zarara yol açması veya farklı sebeplerle aynı zarardan sorumlu olması hâlinde TBK’nın 61. maddesi önem kazanır. Örneğin veri sorumlusunun gerekli erişim sınırlamasını kurmaması ile hizmet sağlayıcının kendisine düşen güvenlik önlemini almaması, koşulları gerçekleştiğinde aynı kaybın doğumuna katkıda bulunabilir. Bu durumda her bir kişi bakımından sorumluluğun dayanağı araştırılır. Müteselsil sorumluluk gerçekleştiğinde, zarar gören borcun tamamını veya bir kısmını borçluların hepsinden yahut yalnız birinden isteyebilir; borcun ödenen kısmı bakımından diğer borçluların da kurtulması esası, aynı zararın tekrar tekrar tahsilini önler. Sürece katılımın varlığı ile bu sonucun kanuni koşullarının varlığı böylece birbirinden ayrılır.²⁸

Tüzel kişinin organlarının davranışları da sıradan bir hizmet sağlayıcı ilişkisine indirgenemez. TMK’nın 50. maddesi, organların hukuki işlemleri ve diğer bütün fiilleriyle tüzel kişiyi borç altına soktuğunu, kusurlarından dolayı ayrıca kişisel olarak sorumlu olduklarını düzenler. Bu bakımdan bir şirketin veri sorumlusu olması ile organının kendi kusurlu davranışından doğan sorumluluğu birlikte değerlendirilebilir. Ancak organ sıfatı ve fiilin bu sıfatla bağlantısı belirlenmeden, veriyle çalışan her kişiye organ sorumluluğu yüklenemez. Kamu tüzel kişileri ve ticaret şirketleri hakkındaki özel hükümler de saklıdır.²⁹

İşlemenin bir çalışan aracılığıyla yapılması hâlinde, çalışanın kendi hukuka aykırı davranışı yanında adam çalıştıranın sorumluluğu da gündeme gelebilir. TBK’nın 66. maddesi, çalışana verilen işin yapılması sırasında başkalarına verilen zararı ve adam çalıştıranın özenine ilişkin ispat düzenini içerir. İşletmenin çalışma düzeninin zararı önlemeye elverişli olması da hükümde ayrıca yer alır. Bu nedenle yalnız “veriyi çalışan açıkladı” tespitiyle kurumun sorumluluğunu dışlamak yeterli değildir. Çalışanın görevi, işin yürütülmesiyle davranış arasındaki bağlantı ve kanunun öngördüğü özen koşulları araştırılır. Çalışanın her davranışından, işin yapılmasıyla bağlantısı incelenmeden otomatik sorumluluk sonucu da çıkarılamaz.³⁰

Borca ilişkin bir görevin yardımcı kişi aracılığıyla yerine getirilmesi ise TBK’nın 116. maddesi bakımından ele alınır. Bu hüküm, borçlunun işi yardımcıya hukuka uygun biçimde bırakmış olmasına rağmen, iş yürütülürken diğer tarafa verilen zarardan sorumluluğunu düzenler. Dolayısıyla yardımcının seçilmiş olması ile borçlunun karşı tarafa olan yükümlülüğünün sona ermesi aynı şey değildir. Bununla birlikte 66. madde ile 116. maddenin uygulanacağı ilişkiler ve koşullar birbirinin yerine konulmamalıdır: birinde çalışanın işin yapılması sırasında başkasına verdiği zarar, diğerinde borç ilişkisindeki ifanın yardımcıya bırakılması esas alınır. Sorumluluğu kaldıran anlaşmaların geçerliliği de 116. maddenin kendi sınırları içinde değerlendirilir.³¹

Dış ilişkide zarar görenin korunması ile iç ilişkide yükün paylaştırılması son aşamada yeniden ayrılır. TBK’nın 62. maddesi, aynı zarardan sorumlu müteselsil borçlular arasında paylaştırmada bütün durum ve koşulların, özellikle kusurun ağırlığı ile yaratılan tehlikenin yoğunluğunun gözetilmesini öngörür. Payından fazlasını ödeyenin diğerlerine dönmesi, rücu olarak adlandırılır. Adam çalıştıranın çalışana rücusu için 66. maddede ayrıca çalışanın bizzat sorumlu olduğu ölçü esas alınmıştır. Bu nedenle zarar görenin isteminin bir kişiye yöneltilmesi, yükün sonunda mutlaka yalnız o kişide kalacağını göstermez; buna karşılık tarafların iç paylaşım tartışması da zarar görene karşı sorumluluk koşullarının incelenmesinin yerini alamaz.³²

Somut olayın çözümünde aynı işlem zincirini üç ayrı düzeyde göstermek yararlıdır: karar ve yetki dağılımı, zarar doğuran davranışlar ve taraflar arasındaki sözleşmesel bağlar. Bu düzeyler birlikte görüldüğünde veri sorumlusu, hizmet sağlayıcı, çalışan veya hukuka aykırı erişen başka bir kişinin katkısı açıklanabilir. Talebin muhatabı, yalnız sözleşmedeki “sorumlu taraf” ibaresine veya sistemdeki kullanıcı adına bakılarak seçilmemelidir. Belirleyici olan, ilgili kişi karşısındaki yükümlülük ve somut zarar için gerçekleşen sorumluluk sebebidir.

21.5. Kamu hizmetinde veri ihlali, hizmet kusuru ve diğer sorumluluk tartışmaları

Hatalı bir sağlık kaydının özel hastanede tutulması ile bir kamu hastanesinin hizmeti içinde oluşturulması, aynı veri doğruluğu sorununu farklı sorumluluk ilişkileri içinde ortaya çıkarabilir. İkinci durumda inceleme, yalnız kaydı giren kişinin davranışına değil, kamu hizmetinin nasıl örgütlendiğine ve yürütüldüğüne de yönelir. Anayasa’nın 125. maddesinin son fıkrası, idarenin kendi eylem ve işlemlerinden doğan zararı ödeme yükümlülüğünü düzenler. Dolayısıyla kamu hizmetindeki veri ihlalini, özel hukukta çalışanın davranışından sorumluluğa ilişkin açıklamaların aynısını tekrarlayarak çözmek yeterli değildir.³³

Hizmet kusuru, idari faaliyetin kuruluş ve işleyişindeki aksaklığı ifade eder. Hizmetin kötü işlemesi, geç işlemesi veya hiç işlememesi bu aksaklığın farklı görünümleridir. Karaca’nın açıkladığı üzere burada kusur, özel hukukta haksız fiil failinin kusuruyla özdeşleştirilmez. Örneğin bir kamu hastanesinde sağlık kayıtlarına erişim yetkilerinin görev ihtiyacına göre sınırlandırılmaması, yalnız belirli bir kullanıcının dikkatsizliği olarak ele alınamaz; hizmetin güvenli yürütülmesine ilişkin düzenin de incelenmesini gerektirir. 6698 sayılı Kanun’un 12. maddesindeki teknik ve idari tedbir yükümlülüğü, bu incelemede hangi eksikliğin araştırılacağını somutlaştırır.³⁴

Kusurun belirli bir çalışana yüklenememesi, hizmette aksaklık bulunmadığını göstermez. “Anonim hizmet kusuru” anlatımı, ihlalin kimse tarafından gerçekleştirilmediği anlamına gelmez; sorumluluğun belirli bir görevlinin kişisel kusurunun ortaya çıkarılmasına indirgenememesini ifade eder. Alçın da veri koruma yükümlülüğünün ihlalinde yalnız bireysel sorumlu arayan yaklaşımın bu ihtimali açıklamakta yetersiz kaldığını vurgular. Erişim yetkilerinin belirsizliği, denetimin yapılmaması veya birimler arasında yanlış kayıtların düzeltilmesini sağlayan sürecin işlememesi gibi varsayımlarda, hizmetin bütünü bakımından hangi eksikliğin bulunduğu araştırılmalıdır.³⁵

Kamu görevlisinin davranışı belirlenebildiğinde ise zarar görenin istemi ile idare ve görevli arasındaki ilişki ayrılır. Anayasa’nın 129. maddesinin beşinci fıkrası, memurların ve diğer kamu görevlilerinin yetkilerini kullanırken işledikleri kusurlardan doğan tazminat davalarının, kendilerine rücu edilmek kaydıyla ve kanunun gösterdiği şekil ve şartlara uygun olarak ancak idare aleyhine açılabileceğini öngörür. 657 sayılı Kanun’un 13. maddesi de kamu hukukuna tabi görevlerle ilgili zararlarda davanın personel yerine ilgili kuruma yöneltilmesi esasını içerir. Bu düzen, zarar görenin korunması ile yükün sonunda kusurlu görevliye yansıtılması sorularının farklı olduğunu gösterir.³⁶

Bu nedenle görevlinin kusurundan söz edilmesi, davanın her durumda doğrudan ona yöneltilebileceği sonucunu vermez. Önce davranışın yetkinin kullanılması ve kamu hukukuna tabi görevle bağlantısı açıklanmalıdır. Aynı şekilde kişinin kamu görevlisi olması da onun hizmetten bağımsız bütün davranışlarının idareye yüklenmesini sağlamaz. Bir kaydın hizmetin yürütülmesi sırasında yanlış kişiye bağlanması ile hizmet ilişkisi dışında gerçekleştirilen bir müdahale aynı gerekçeyle çözülemez. Ayrım, yalnız davranışın kasıtlı olduğunun ileri sürülmesine veya görevlinin unvanına dayandırılmamalı; fiil, yetki ve hizmet arasındaki somut bağlantı üzerinden kurulmalıdır.³⁷

Hizmetteki aksaklığın belirlenmesi, talep edilen her zarar kaleminin de gerçekleştiğini göstermez. Hatalı kaydın düzeltilmesi ihtiyacı, bu kayda dayanılarak yapılan bir işlem nedeniyle uğranılan parasal kayıp ve mahremiyetin ihlalinden doğan manevi zarar farklı sonuçlardır. Kamu hastanesine ilişkin varsayımda yanlış kaydın bulunduğu, bu kaydın bir kararda kullanıldığı ve ileri sürülen kaybın bundan doğduğu ayrı ayrı açıklanmalıdır. İdarenin faaliyeti, zarar ve nedensellik bağı arasındaki bu ilişki, veri koruma ihlali ile tazminat koşullarının birbirinden ayrılmasını kamu hizmeti bakımından da gerekli kılar.³⁸

Dijital sistemlerde bu koşulların nasıl uygulanacağı öğretide ayrıca tartışılmaktadır. Karaca, dijital kamu hizmeti ve kolluk faaliyetleri için “dijital hizmet kusuru” kavramını önerir; özellikle zarar, nedensellik ve kusurun ispatında bu ortamın özelliklerinin gözetilmesini savunur. Yazarın önerileri arasında ispat yükünün değiştirilmesi ve üçüncü kişinin saldırısının nedenselliğe etkisinin daha ihtiyatlı değerlendirilmesi de bulunur. Bunlar mevcut hukukta bütün veri ihlallerine uygulanacağı kesinleşmiş özel kurallar olarak sunulamaz. Sistemin kayıtlarının idarenin elinde olması, ispat güçlüğünün açıklanmasında önemlidir; fakat bu olgu ile her olayda otomatik tazminat sonucuna ulaşılması arasında ayrıca hukuki gerekçe kurulmalıdır.³⁹

Kusursuz sorumluluk tartışması da hizmet kusurundan ayrı tutulmalıdır. Risk ilkesi ve kamu külfetleri karşısında eşitlik, idare hukukunda kusura dayanmayan sorumluluğu açıklayan temeller arasındadır; bunların varlığı, veri işleyen her idarenin her kayıptan koşulsuz sorumlu olduğu anlamına gelmez. Dijital hizmet kusuru önerisi de kendi kuruluşunda kusura dayanan sorumluluk alanındadır. Somut uyuşmazlıkta kusursuz sorumluluk ileri sürülüyorsa, hangi temelin neden uygulanabileceği ayrıca gösterilmelidir. Veri işlemeye özgü tehlikelerin bulunması, bu ayrı gerekçelendirmenin yerine geçmez.⁴⁰

Kamu kurumları bakımından disiplin ve idari yaptırım düzeni de zarar gideriminden farklı bir işleve sahiptir. Bir görevli hakkında yürütülecek disiplin incelemesi onun görev yükümlülüklerini; tazminat incelemesi ise zarar gören karşısındaki sorumluluğu konu alır. Bu bakımdan hizmetin işleyişindeki aksaklığın yalnız personel işlemiyle karşılanmış sayılması yeterli değildir. Zarar görenin hangi idareye, hangi hukuki yolla ve hangi koruma istemiyle başvurabileceği belirlenirken de sorumluluğun maddi koşulları ile yargılama kuralları birlikte, fakat birbirinin yerine geçirilmeden değerlendirilmelidir.⁴¹

21.6. Tam yargı davası, adli-idari yargı ayrımı ve geçici hukuki koruma

Veri ihlalinden doğan bir uyuşmazlıkta önce hangi hukuki ilişkinin ve hangi istemin mahkemeye taşındığı belirlenmelidir. Özel hukuk ilişkisindeki kişilik hakkı veya tazminat istemi, kamu hizmetindeki idari eylemden doğan zarar ve Kurulun verdiği bir kararın hukuka uygunluğu aynı davanın konusu değildir. Özellikle “veri sorumlusu” sıfatı, tek başına bütün uyuşmazlıkları aynı yargı koluna bağlayan bir görev kuralı olarak kullanılamaz. Badur ve Kurt Konca’nın ayırdığı üzere, adli-idari yargı ayrımı yapıldıktan sonra ilgili yargı kolu içinde hangi mahkemenin görevli olduğu da ayrıca incelenir.⁴²

Özel hukuk ilişkisinden doğan davalarda HMK’nın 2. maddesi, aksine düzenleme bulunmadıkça malvarlığı ve şahıs varlığına ilişkin davalar için asliye hukuk mahkemesini genel görevli mahkeme olarak belirler. Ancak veri ihlali tüketici, iş veya ticari ilişki içinde ortaya çıkmışsa, özel görev kuralları öncelikle değerlendirilir. Örneğin bir özel hastanenin tuttuğu sağlık kaydına ilişkin istemde, yalnız kişilik hakkından söz edildiği için ilişkinin tüketici işlemi niteliği göz ardı edilemez. Görev, tarafın dilekçede seçtiği başlıktan çok uyuşmazlığın dayandığı hukuki ilişki ve kanuni düzenlemeyle belirlenir.⁴³

İdari eylem ve işlemlerden dolayı kişisel hakları doğrudan ihlal edilenlerin açacağı tam yargı davası ise İYUK’un 2. maddesinde düzenlenir. Burada amaç, Kurula verilmiş bir şikâyetin yeniden incelenmesinden farklı olarak, idari faaliyetten doğan hak ihlalinin giderilmesidir. Kamu hizmetindeki veri işlemenin bir idari işleme mi, yoksa bir idari eyleme mi dayandığı, dava öncesi yol bakımından önem taşır. Verinin toplanmasına ilişkin karar, kaydın fiilen tutulması ve bu kaydın başka bir işlemde kullanılması aynı süreçte bulunabilir; buna rağmen her istemin dayandığı idari davranış ayrıca gösterilmelidir.⁴⁴

İYUK’un 12. maddesi, hak ihlaline yol açan idari işlem dolayısıyla doğrudan tam yargı davası açılmasına veya iptal ve tam yargı davalarının birlikte açılmasına imkân tanır. Önce iptal davası açılması ve ardından kanundaki koşullarla tam yargı yoluna gidilmesi de mümkündür. Bu seçenekler, tazminat istenebilmesi için her durumda önce işlemin iptal ettirilmesinin zorunlu olduğu düşüncesinden ayrılır. Bununla birlikte işlemin hukuka aykırılığı ile giderilmesi istenen zararın varlığı ve işlemle bağlantısı ayrı ayrı açıklanmalıdır; iptal isteminin gerekçesi, tazminat kalemlerinin gerekçesinin yerini tutmaz.⁴⁵

İdari eylemden doğan zarar bakımından 13. madde, kural olarak dava öncesinde ilgili idareye başvurulmasını gerektirir. Hüküm, eylemin öğrenilmesinden itibaren bir yıl ve her hâlde eylem tarihinden itibaren beş yıl içinde hakların yerine getirilmesinin istenmesini; ret cevabı veya otuz günlük cevapsızlık üzerine dava süresi içinde yargıya başvurulmasını düzenler. Öğrenmenin hangi tarihte gerçekleştiği, başvurunun neyi içerdiği ve cevabın ne zaman bildirildiği bu nedenle somutlaştırılmalıdır. Buradaki otuz günlük cevap süresi, genel olarak bütün tazminat davaları için otuz günlük dava açma süresi bulunduğu anlamına gelmez.⁴⁶

Veri sorumlusu idareye 6698 sayılı Kanun kapsamında yapılan başvurunun bu ön başvuru ihtiyacını karşılayıp karşılamadığı da dilekçenin içeriğiyle birlikte değerlendirilir. Saygı, tazminat talebinin ilgili idareye kanuni süreler içinde yöneltilmesi hâlinde aynı başvurunun İYUK’un 13. maddesi bakımından da anlam taşıyabileceğini savunur; Badur ve Kurt Konca da bu bağlantıyı işler. Buna karşılık yalnız verilerin kimlere aktarıldığını öğrenme veya bir kaydı düzeltme talebi ile uğranılan zararın karşılanmasını istemek aynı değildir. Veri sorumlusuna herhangi bir başvurunun yapılmış olması, bütün idari dava koşullarının kendiliğinden tamamlandığı şeklinde yorumlanmamalıdır.⁴⁷

Davanın sonunda tazminata hükmedilmesi, yargılama sürerken devam eden açıklamanın veya veri aktarımının doğurabileceği sakıncaları her zaman önlemez. Özel hukuk yargılamasında HMK’nın 389. maddesindeki şartlarla ihtiyati tedbir istenebilir. Talep eden, hangi gecikme tehlikesinin bulunduğunu, ne tür koruma istediğini ve esas bakımından haklılığını yaklaşık olarak ortaya koymalıdır. Örneğin belirli bir sağlık kaydının üçüncü kişilere açıklanmasının sürmesi ihtimalinde, açıklamayı önleyecek tedbirin konusu somutlaştırılır. Bu, bütün veri sisteminin hiçbir ayrım yapılmadan kapatılmasının otomatik sonucu değildir; tedbir, uyuşmazlık ve korunacak hakla bağlantılı olmalıdır.⁴⁸

İdari yargıda ise dava konusu idari işlemin yürütülmesinin durdurulması, kendi koşullarına tabidir. Dava açılması kural olarak işlemin yürütülmesini durdurmaz; İYUK’un 27. maddesi, açık hukuka aykırılık ile telafisi güç veya imkânsız zarar şartlarının birlikte gerçekleşmesini ve gerekçelendirilmesini arar. Bu nedenle özel hukukta ihtiyati tedbir ile idari işlemin yürütülmesinin durdurulması, yalnız benzer bir aciliyete cevap verdikleri için aynı usul sayılmaz. Dava konusu davranışın idari işlem niteliği ve istenen korumanın bu işlemle bağlantısı açıklanmadan, salt “veri ihlali sürüyor” ifadesi yeterli bir hukuki çerçeve kurmaz.⁴⁹

Kurulun 6698 sayılı Kanun’un 15. maddesinin yedinci fıkrasına göre veri işlenmesini veya yurt dışına aktarımı durdurma yetkisi de mahkemelerin geçici koruma araçlarından ayrıdır. İlgili kişinin ihtiyacı, süren işlemenin önlenmesi ile geçmiş zararın giderilmesini birlikte gerektirebilir; fakat her merciin yetkisi ve her başvurunun koşulları kendi hukuki temeline dayanır. Sağlık kaydı örneğinde hangi işlemenin durdurulmasının, hangi kaydın düzeltilmesinin ve hangi zararın karşılanmasının istendiği açıkça ayrıldığında, başvurunun yöneltileceği yer ve talep edilen kararın işlevi de anlaşılır hâle gelir.⁵⁰

21.7. Kurul tespitlerinin mahkeme incelemesindeki yeri

Kurulun bir işleme faaliyetinde hukuka aykırılık tespit etmesi, ilgili kişinin açacağı davada önem taşıyabilir. Ancak bu karar ile mahkemenin vereceği tazminat hükmü farklı sorulara cevap verir. Kurul, 6698 sayılı Kanun’un uygulanmasını denetlerken belirli yükümlülüklerin ihlal edilip edilmediğini inceler; tazminat davasında ise istenen giderimin dayandığı zarar, nedensellik ve sorumluluk sebebi de değerlendirilir. Kanun’un 14. maddesinin üçüncü fıkrasında genel hükümlere göre tazminat hakkının saklı tutulması, bu iki inceleme arasındaki ayrımın başlangıç noktasıdır.⁵¹

Kurul kararının kesinleştiğinin söylenmesi de onun bir mahkeme hükmü olduğu anlamına gelmez. İdari karara karşı başvuru süresinin geçirilmesi veya kararın artık olağan biçimde dava edilememesi ile maddi anlamda kesin hüküm farklı kavramlardır. HMK’nın 303. maddesi, başka bir davada kesin hüküm etkisini taraf, dava sebebi ve talep sonucu koşullarıyla mahkeme hükmüne bağlar. Kurulun ihlal kararı, yalnız itiraz edilmemiş olması nedeniyle zarar gören ile veri sorumlusu arasındaki bütün özel hukuk uyuşmazlıklarını hükme bağlayan bir yargı kararına dönüşmez.⁵²

Buna karşılık kararın idari nitelikte olması, içerdiği bilgi ve tespitlerin mahkemede önemsiz olduğu sonucunu da doğurmaz. HMK’nın 198. maddesindeki serbest değerlendirme ilkesi kanuni istisnaları saklı tutar; 204. madde ise resmî belgelerin ispat gücünü ayrıca düzenler. Bu nedenle karar belgesinin varlığı, tarihi ve içindeki beyan veya tespitlerin hangi olguyu kanıtladığı ayrı ayrı incelenmelidir. Bir resmî belgede belirli bir hukuki değerlendirmeye yer verilmesi ile o değerlendirmenin başka bir davanın bütün unsurlarını tartışmasız biçimde belirlemesi aynı şey değildir. Belgenin ispat gücü hakkında ileri sürülen görüş, kanuni koşulu ve konusu gösterilerek gerekçelendirilmelidir.⁵³

Örneğin Kurulun belirli bir veri sorumlusunun erişim tedbirlerini yetersiz bulduğu varsayımında, bu tespit tazminat davasındaki güvenlik eksikliği iddiasıyla bağlantılıdır. Fakat hangi kişinin hangi verisine erişildiği, davacının ileri sürdüğü zararın gerçekleşip gerçekleşmediği ve zararın bu eksiklikten doğup doğmadığı ayrıca araştırılır. Aynı sistemdeki bir başka kişinin verisine ilişkin kararın, davacının farklı tarih ve işlem bakımından uğradığını ileri sürdüğü zararı doğrudan ispatladığı varsayılamaz. Kararın konusu, dönemi, muhatabı ve dayandığı olgular dava konusu olayla karşılaştırılmalıdır.⁵⁴

Mahkemeye sunulan malzemenin kapsamı da önemlidir. Kurumun internet sitesinde yayımlanan karar özeti, bütün inceleme dosyasıyla aynı değildir; özette aktarılmayan bir olgunun Kurulca hiç incelenmediği sonucu çıkarılamaz. Gerektiğinde kararın aslı ve ilgili inceleme belgeleri mahkemeye getirtilerek değerlendirilebilir. Hukuk yargılamasında HMK’nın 195. maddesi başka yerden getirilecek delilleri; idari yargıda İYUK’un 20. maddesi mahkemenin kendiliğinden incelemesini ve bilgi-belge istemesini düzenler. Her iki durumda da kullanılacak belgenin dava konusuyla bağlantısı kurulmalıdır.⁵⁵

Kurulun şikâyeti reddetmesi veya inceleme sonunda ihlal tespit etmemesi de ret gerekçesi üzerinden okunmalıdır. Başvuru koşulunun yerine getirilmemesiyle esasa ilişkin bir değerlendirme aynı sonucu ifade etmez. Saygı, şikâyetin reddinin farklı sebeplerden doğabileceğini açıklamaktadır. Bu nedenle bir ret kararına yalnız sonuç cümlesiyle dayanarak, kişilik hakkına saldırı, sözleşmeye aykırılık veya zarar bulunmadığının bütün yönleriyle hükme bağlandığı ileri sürülemez. Genel hükümlere dayanan davanın kendi koşulları ve varsa özel dava şartları ayrıca değerlendirilir.⁵⁶

Karara dayanan tarafın hangi tespitten hangi sonucu çıkardığını göstermesi, karşı tarafın da bu bağlantıyı tartışabilmesi gerekir. HMK’nın 27. maddesindeki hukuki dinlenilme hakkı, açıklama ve ispat imkânıyla birlikte mahkemenin bunları değerlendirerek somut ve açık gerekçe kurmasını içerir. Böylece Kurul kararına dayanılması, mahkemenin olay ve delil incelemesini gereksiz kılan bir kısaltma olmaktan çıkar. İlgili karar, hangi olguyu aydınlattığı ve hangi soruyu açık bıraktığı belirlenerek yargısal değerlendirmeye katılır.⁵⁷

Dipnotlar