Civil liability of data controller for unlawful processing personal data

Abstract

Bu çalışmanın amacı kişisel verilerin hukuka aykırı işlenmesi sonucunda oluşacak ilgili kişinin zararlarının ne şekilde tazmin edileceğini Medeni ve Borçlar Kanunu çerçevesinde detaylıca incelemektir. 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun yürürlüğe girmesinden önce kişisel veriler kişilik haklarının korunması kapsamında genel hükümlere göre korunmaktaydı. KVKK ile hangi durumlarda kişisel verilerin işlenmesinin hukuka aykırı olacağı netlik kazanmıştır. Bu çalışmada, kişisel verilerin hukuka aykırı işlenmesi sonucunda genel sorumluluk hukuku kapsamında veri sorumlusunun ilgili kişinin zararlarını ne şekilde tazmin edeceğine cevap aranmıştır. Bu cevaba ulaşmak için, öncelikle kişisel veri kavramı ele alınmış, koruma kapsamına hangi kişilerin gireceği ve ne kapsamda korumanın gerçekleşeceği incelenmiş ve işlemenin hukuka uygun olduğu haller ele alınmıştır. Sonrasında ise, veri sorumlusu ve veri işleyenin sorumluluğuna neden olan hukuki sebepler detaylıca incelenmiştir. Son olarak da bu sorumluluğun doğması sonucu ne tür zararların ne şekilde karşılanacağı tazminat davası hükümleri çerçevesinde irdelenmiştir. Böylece veri sorumlusunun kişisel verileri hukuka aykırı işlemesi sonucu meydana gelecek özel hukuk sorumluluğu detaylı şekilde ele alınmıştır.

The purpose of this study is to examine, within the frame of the Civil Code and the Code of Obligations, how to remedy the damages to be suffered by the data subject as a result of unlawful processing of the personal data. Before the Law on Protection of Personal Data No 6698 took effect, the personal data were protected within the scope of the protection of the personal rights. The cases where such personal data processing shall be unlawful are clarified by the LPPD. In this study, the answers are sought for the remedy by the data controller, of the damages suffered by the data subject as a result of unlawful processing of personal data within the frame of the general liability law. In order to find these answers, first, the concept of personal data is focused on, the persons to be included within the scope of the protection and the extent of the protection are examined and the cases in which the processing is lawful are discussed. Afterwards, the legal reasons resulting in the liability of the data controller and the data subject are examined in detail. Finally, the types of damages to be remedied and the manner of remedy as a result of occurrence of this liability are examined within the frame of the provisions of the action of compensation. Accordingly, the private law liability of the data controller as a result of unlawful processing of personal data is examined in detail.