Kripto Varlık Hizmet Sağlayıcılarının Tehlike Sorumluluğu

1. Giriş

Türkiye’de kripto varlık ekosistemi, 2 Temmuz 2024 tarihinde yürürlüğe giren 7518 sayılı Sermaye Piyasası Kanununda Değişiklik Yapılmasına Dair Kanun ile yeni bir hukuki evreye evrilmiştir. Avrupa Birliği’nin MiCA (Markets in Crypto-Assets Regulation) tüzüğünü takiben ancak yerel ihtiyaçlar doğrultusunda özgün bir modelle kurgulanan bu düzenleme, sektörü “gri alan” olmaktan çıkararak bankacılık benzeri sıkı bir denetim rejimine tabi tutmuştur.

Kanunun temel felsefesi; müşteri varlıklarının mutlak korunması, siber güvenliğin tesisi ve piyasa bozucu eylemlerin engellenmesidir. Ancak hukukçular ve sektör paydaşları için asıl devrim niteliğindeki değişiklik, Kripto Varlık Hizmet Sağlayıcılarının (KVHS) hukuki sorumluluk rejiminde yaşanmıştır. Bu düzenleme ile KVHS’ler, Türk hukukundaki en ağır sorumluluk türü olan “Tehlike Sorumluluğu” ile karşı karşıya bırakılmıştır.

2. Temel Kavramlar

6362 sayılı Sermaye Piyasası Kanunu (SPK) m. 3 uyarınca getirilen tanımlar, sorumluluk hukukunun sınırlarını belirlemesi açısından kritiktir:

• Kripto Varlık: Dağıtık defter teknolojisi (DLT) veya benzer bir teknoloji kullanılarak elektronik olarak oluşturulup saklanabilen, dijital ağlar üzerinden dağıtımı yapılan ve değer veya hak ifade edebilen gayri maddi varlıklardır.
• Kripto Varlık Hizmet Sağlayıcısı (KVHS): Platformları, kripto varlık saklama hizmeti sağlayan kuruluşları ve Kanun uyarınca kripto varlıklarla ilgili hizmet sağlamak üzere belirlenmiş diğer kuruluşları ifade eder.
• Platform: Kripto varlık alım satım, ilk satış, takas, transfer ve saklama işlemlerinin gerçekleştirildiği kuruluşlardır.

Önemli bir hukuki not olarak; kripto varlıklar Türk hukuk sisteminde halen “eşya” (maddi mal) niteliğine sahip olmadığı fikrindeyiz. Bu nedenle, bu varlıkların kaybından doğan zararlar hukuk tekniği açısından salt ekonomik zarar olarak nitelendirilmektedir.

3. Hukuki Sorumluluğun Temeli: TBK m. 71 ve Tehlike Sorumluluğu

7518 sayılı Kanun, KVHS’lerin hukuki sorumluluğunu SPK m. 99/B f. 4 atfıyla doğrudan Türk Borçlar Kanunu (TBK) m. 71 hükümlerine bağlamıştır. Bu, Türk sorumluluk hukukunda bir paradigma shift (eksen kayması) anlamına gelmektedir.

KVHS ile müşteri arasındaki ilişki sözleşmesel bir ilişkidir ve TBK m. 112 (kusur sorumluluğu) kapsamında değerlendirilmesi beklenir. Ancak kanun koyucu, ispat yükünü tamamen tersine çevirerek ve “kusursuzluk ispatı” imkanını dahi ortadan kaldırarak tehlike sorumluluğunu benimsemiştir.

TBK m. 71; nükleer santraller, patlayıcı madde üretimi veya yüksek gerilim hatları gibi fiziksel enerji/kuvvet yayan işletmeler için öngörülmüştür. Bu hükmün dijital platformlara uygulanması yenilikçi ve alışılmışın dışında bir yaklaşımdır. Bu durum, gelecekte diğer büyük dijital veri platformları için de tehlike sorumluluğunun uygulanabileceğine dair expansionist (genişlemeci) bir emsal teşkil etmektedir.

4. KVHS Sorumluluğunun Doğması İçin Gereken Şartlar

Sorumluluğun tesis edilmesi için doktrindeki “Objektif” ve “Sübjektif” koşulların KVHS nezdinde gerçekleşmiş olması gerekir:

4.1. Objektif Koşul (Zarar Potansiyeli): İşletmenin mahiyeti gereği, faaliyetlerin sıkça veya ağır zararlar doğurmaya elverişli olmasıdır. Siber saldırıların global sıklığı ve tek bir ihlalde milyonlarca dolarlık varlığın yok olma riski, KVHS’leri bu kategoriye doğrudan sokmaktadır.

4.2. Sübjektif Koşul (Kaçınılmazlık): Bu işlerde uzman bir kişiden beklenen tüm özen gösterilse dahi zararın önlenememesi durumudur. En ileri teknolojik donanıma sahip KVHS’lerin bile siber risklerden tamamen arınmış bir yapı kuramayacağı gerçeği, bu sübjektif şartın gerçekleştiğini kanıtlamaktadır.

4.3. Karakteristik Rizikonun Gerçekleşmesi: Zarar, işletmenin tehlikeli doğasına özgü bir riskten çıkmalıdır. Kanun; bilişim sistemlerinin işletilmesi, siber saldırılar, bilgi güvenliği ihlalleri ve personel davranışlarını (suistimaller dahil) bu karakteristik riskler arasında saymıştır.

4.4. Uygun Nedensellik Bağı: Zarar ile KVHS’nin tehlikeli faaliyeti arasında hayatın olağan akışına uygun bir bağ bulunmalıdır.

5. Sorumluluğun Sınırları ve Nedensellik Bağının Kesilmesi

Tehlike sorumluluğu rejiminde KVHS, “kusurum yoktu” diyerek sorumluluktan kurtulamaz. Sorumluluğu ortadan kaldıran tek yol, nedensellik bağının kesildiğini ispatlamaktır. Burada Mücbir Sebep ile Beklenmeyen Durum arasındaki ayrım hayati önem taşır:

• Mücbir Sebep: İşletmenin hâkimiyet alanı dışında gerçekleşen, öngörülemez ve engellenemez olağanüstü olaylardır (Doğal afetler vb.). Mücbir sebep nedensellik bağını keser ve sorumluluğu ortadan kaldırır.
• Beklenmeyen Durum (Casus): Sorumlunun kontrolü dışında kalsa da kaynağını işletmenin faaliyet alanından alan olaylardır. Tehlike sorumluluğu rejiminde beklenmeyen durumlar nedensellik bağını kesmez; dolayısıyla KVHS bu durumlarda sorumlu kalmaya devam eder.
• Zarar Görenin veya Üçüncü Kişinin Ağır Kusuru: Müşterinin özel anahtarlarını kasten paylaşması veya üçüncü bir kişinin KVHS’nin faaliyetini tamamen arka plana iten bağımsız ve ağır müdahalesi bağı kesebilir. (Ayrıntılı bilgi için bkz. Başoğlu, a.e., s. 495 vd.)

İstisna: SPK m. 99/B f. 4 uyarınca; KVHS’nin kusuru olmaksızın yaşanan hizmet kesintileri ve geçici emir iletilememesi gibi durumlar tehlike sorumluluğu kapsamı dışında tutulmuştur.

6. Yönetim Kurulu Üyelerinin Şahsi ve Cezai Sorumluluğu

Zararın tüzel kişi olan KVHS’den tamamen tazmin edilememesi durumunda ikincil sorumluluk mekanizması devreye girer. Yönetim kurulu üyeleri ve diğer mensuplar, kendi kusurları oranında şahsen sorumlu tutulabilirler. Ayrıca, varlıkların korunmasındaki ağır ihlallerde SPK m. 110/B uyarınca zimmet hükümlerine tabi olacakları unutulmamalıdır.

7. Sorumsuzluk Anlaşmalarının Geçersizliği

Hizmet sağlayıcıların, kullanıcı sözleşmelerine koydukları “siber saldırılardan platform sorumlu değildir” veya “teknik arızalarda tazminat ödenmez” gibi maddeler hukuken ölü doğmuş hükümlerdir. SPK m. 35/C uyarınca, tüketicilere karşı sorumluluğu kaldıran veya daraltan her türlü sözleşme şartı kesin olarak geçersizdir.

8. Sonuç: Stratejik Çıkarımlar ve Risk Yönetimi

7518 Sayılı Kanun, KVHS’ler için hata payını sıfıra indiren bir risk ortamı yaratmıştır. Bu ağır yükümlülük altında hayatta kalmak isteyen hizmet sağlayıcılar için şu stratejik adımlar zorunludur:

• Zorunlu Sorumluluk Sigortası: Tehlike sorumluluğu rejiminin ağırlığını dengelemek adına, kapsamlı bir siber risk ve sorumluluk sigortası artık bir opsiyon değil, operasyonel bir zorunluluktur.
• Tazminat Sınırlandırması: Sorumluluk hukukunda öngörülebilirliği sağlamak adına, KVHS’lerin ödenecek tazminat miktarlarına ilişkin yasal sınırlar getirilmesi konusunda regülatör nezdinde girişimlerde bulunulması önerilir.
• Konsolidasyon: Küçük ölçekli firmaların bu denli ağır mali ve hukuki yükümlülükleri (tehlike sorumluluğu ve zimmet riski) karşılaması güçleşeceğinden, sektörün daha büyük ve kurumsal yapılar etrafında konsolide olması kaçınılmazdır.

Sonuç olarak, Türkiye kripto varlık yasası ile yatırımcı güvenini üst seviyeye taşırken, hizmet sağlayıcılar için siber güvenliği bir “maliyet kalemi” olmaktan çıkarıp bir “varoluş şartı” haline getirmiştir.