Kripto Varlık Şirketlerinde Yönetici ve Pay Sahiplerinin Hukuki, İdari ve Cezai Sorumluluğu

”Kripto Varlık Şirketlerinde Yönetici ve Pay Sahiplerinin Hukuki, İdari ve Cezai Sorumluluğu”

Finansal piyasaların blokzincir mimarisine kayması, klasik şirketler hukuku öğretilerini ve sermaye piyasası disiplinini köklü bir dönüşüme zorlamaktadır. Türkiye’de 7518 sayılı Kanun ile 6362 sayılı Sermaye Piyasası Kanunu’nda (SPKn) gerçekleştirilen reformlar, Kripto Varlık Hizmet Sağlayıcıları (KVHS) bünyesindeki karar alıcılar için alışılagelmişin dışında, son derece katı ve çok katmanlı bir sorumluluk rejimi meydana getirmiştir.

Kripto para borsaları, yetkili saklama kuruluşları veya alım-satım platformları; klasik birer yazılım şirketi veya alelade birer anonim ortaklık gibi sevk ve idare edilemez. Bu kurumlarda görev alan yönetim kurulu üyeleri, murahhas müdürler, üst düzey yöneticiler ve şirket üzerinde fiili kontrol kuran hâkim ortaklar; Türk Ticaret Kanunu (TTK), Sermaye Piyasası Kanunu (SPKn), Türk Ceza Kanunu (TCK) ve Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun (MASAK mevzuatı) kapsamında ağırlaştırılmış bir özen, sadakat ve basiret yükümlülüğü altındadır.

Bu kapsamlı incelemede, kripto şirketlerinde yöneticilerin ve ortakların karşılaşabileceği hukuki tazminat riskleri, zimmet suçundan doğan şahsi cezai yaptırımlar, siber güvenlik zafiyetlerinin hukuki faturası, şahsi iflas mekanizması ve tüzel kişilik perdesinin kaldırılması halleri tüm detaylarıyla ele alınmıştır.

1. HUKUKİ SORUMLULUĞUN NORMATİF ALTYAPISI VE KADEMELİ MİMARİSİ

Kripto varlık şirketleri, yasal zorunluluk gereği Anonim Şirket (A.Ş.) tipinde kurulmaktadır. Dolayısıyla bu yapılardaki yöneticilerin ve pay sahiplerinin sorumluluk rejimi tespit edilirken, genel hüküm-özel hüküm ilişkisi göz önünde bulundurulmalıdır.

                  KVHS Sorumluluk Normları Hiyerarşisi
                                   │
      ┌────────────────────────────┼────────────────────────────┐
      ▼                            ▼                            ▼
1. Özel Finansal Mevzuat     2. Genel Ticaret Mevzuatı     3. Ceza ve Uyum Mevzuatı
 ├── SPKn m. 35/B ve 35/C     ├── TTK m. 369 (Özen borcu)  ├── SPKn m. 110/A (Zimmet)
 ├── Şahsi İflas Rejimi       ├── TTK m. 553 (Tazminat)    ├── SPKn m. 109/A (İzinsiz F.)
 └── Müşteri Varlığı Ayrımı  └── Sadakat ve Şeffaflık     └── 5549 s. K. (MASAK / KYC)

A. Türk Ticaret Kanunu (TTK) Açısından Genel Sorumluluk Çerçevesi

TTK m. 369, yönetim kurulu üyelerine ve yönetime yetkili kişilere “tedbirli bir yöneticinin özeni” ile hareket etme yükümlülüğü yükler. Tedbirli yönetici kavramı; soyut bir iyi niyet anlayışını değil, aynı sektörde, benzer ölçekte ve benzer risk koşulları altında faaliyet gösteren basiretli bir profesyonelin göstermesi gereken maksimum teknik ve idari dikkati ifade eder.

Yöneticiler, TTK m. 553 uyarınca kanundan veya esas sözleşmeden doğan yükümlülüklerini kusurlu olarak ihlal ettikleri takdirde, hem şirkete hem pay sahiplerine hem de şirket alacaklılarına verdikleri zararlardan sorumludurlar.

B. Sermaye Piyasası Kanunu (SPK) Açısından Özel ve Ağırlaştırılmış Rejim

Özel kanun niteliğinde bulunan Sermaye Piyasası Kanunu, kripto varlıkların yüksek riskli, anlık transfer edilebilir ve siber tehditlere açık yapısını dikkate alarak yöneticilerin sorumluluğunu TTK’daki genel çerçevenin çok ötesine taşımıştır.

• Kusur Karinesi: Bir varlık kaybı veya sistem zafiyeti meydana geldiğinde, yöneticilerin gerekli tüm teknik, idari ve siber tedbirleri aldıklarını ispatlama yükümlülüğü kendilerine aittir.

• Doğrudan ve Şahsi Sorumluluk: Şirket malvarlığının yetersiz kaldığı durumlarda, kamu yararı ve yatırımcı haklarını korumak adına yöneticilerin kişisel malvarlıklarına başvurulması esası benimsenmiştir.

2. YÖNETİCİLERİN ÖZEL HUKUK BOYUTUNDAKİ TAZMİNAT VE ŞAHSİ SORUMLULUĞU

Kripto platformlarında en sık karşılaşılan krizler; siber saldırılar, akıllı sözleşme (smart contract) suistimalleri, cüzdan yetkilerinin kötüye kullanılması veya borsa altyapısının çökmesidir. Bu gibi hallerde zararın kimden ve nasıl tahsil edileceği hususu özel kurallara bağlanmıştır.

                           Zarar Tahsilat ve Sorumluluk Sırası
                                           │
       ┌───────────────────────────────────┴───────────────────────────────────┐
       ▼                                                                       ▼
Birincil Muhatap: KVHS Tüzel Kişiliği                               İkincil Muhatap: Yöneticilerin Şahsi Malvarlığı
 ├── Kusursuz Sorumluluk Esası                                      ├── Şirket Borcunu Ödeyemezse
 ├── Siber İhlal ve Personel Hatası                                 ├── Yönetici Kusurunun Varlığı
 └── Müşteri Varlığını Aynen İade                                   └── SPK Talebiyle Şahsi İflas Davası

A. Bilişim Altyapısı, Siber Saldırı ve Personel Kusurlarından Sorumluluk

SPKn uyarınca platformlar, müşterilerine sundukları hizmetlerin güvenliğinden ve bilişim sistemlerinin kesintisiz işlemesinden doğrudan ve kusursuz olarak sorumludur.

• Şirketin Sorumluluğu: Platformun hacklenmesi, sıcak cüzdanlardaki varlıkların çalınması veya iç personelin yetkisini aşarak varlıkları transfer etmesi durumunda şirket “sistem hacklendi” veya “personelimiz bizi kandırdı” diyerek sorumluluktan kurtulamaz. Müşterinin eksilen varlığını aynen iade etmekle yükümlüdür.

• Yöneticilerin Şahsen ve Müteselsilen Sorumluluğu: Eğer meydana gelen zararlar KVHS’nin kendi malvarlığından karşılanamıyorsa veya tazmin edilemeyeceği somut olarak anlaşılıyorsa; zarardan kusurları oranında yönetim kurulu üyeleri ve ilgili üst düzey yöneticiler şahsen ve müteselsilen sorumlu olurlar.

• Somut Kusur Örnekleri:

  1. Müşteri varlıklarının mevzuata aykırı şekilde %80-%90 oranında soğuk cüzdanlarda (cold wallet) saklanmayıp sıcak cüzdanlarda (hot wallet) riske atılması.

  2. Çoklu imza (Multi-Sig) ve yetki ayrışımı protokollerinin kurulmaması.

  3. Çift faktörlü doğrulama ve sızma (penetrasyon) testlerinin zamanında yaptırılmaması.

B. Radikal Hukuki Tedbir: Yöneticilerin Şahsi İflası

Sermaye piyasası mevzuatı, finansal sistemin dengesini bozan ve kasten veya ağır kusurla yatırımcıları zarara uğratan kripto yöneticileri için çok sert bir enstrüman öngörmüştür: Şahsi İflas.

Şirket kaynaklarının aktarılması, kötüye kullanılması, hileli muhasebe işlemleri veya mevzuata aykırı kararlarla platformun mali yapısının çökertilmesi halinde; SPK’nın başvurusu üzerine mahkemece, yönetim kurulu üyelerinin, fiili yöneticilerin ve kontrolü elinde tutan hâkim ortakların doğrudan şahsen iflasına karar verilebilir. Şahsi iflas kararıyla birlikte bu kişilerin tüm kişisel malvarlığı iflas masasına devredilir ve öncelikle mağdur yatırımcıların alacakları ödenir.

3. CEZA HUKUKU BAKIMINDAN YÖNETİCİ VE PAY SAHİPLERİNİN SORUMLULUĞU

Kripto varlık şirketlerinde yöneticilik yapmak sadece maddi tazminat davaları riskini değil, uzun süreli hapis cezalarını da beraberinde getirmektedir. Kanun verici, bu sektöre özel iki temel ceza maddesi ihdas etmiştir.

                           KVHS Ceza Hukuku Haritası
                                       │
       ┌───────────────────────────────┴───────────────────────────────┐
       ▼                                                               ▼
İzinsiz KVHS Faaliyeti (SPKn m. 109/A)                            KVHS Özel Zimmet Suçu (SPKn m. 110/A)
 ├── 3 Yıldan 5 Yıla Kadar Hapis                                  ├── Basit Zimmet: 8 - 14 Yıl Hapis
 ├── 5.000 - 10.000 Gün Adli Para Cezası                          ├── Nitelikli Zimmet: En az 12 Yıl Hapis
 └── Lisanssız Platform Kurma/Yönetme                             └── Malvarlığını Kendine/Başkasına Geçirme

A. Kripto Varlık Hizmet Sağlayıcılarda Zimmet Suçu (SPKn m. 110/A)

Geleneksel ceza hukukunda zimmet suçu yalnızca kamu görevlileri ve banka mensupları tarafından işlenebilirken, 7518 sayılı Kanun ile kripto borsa yöneticileri de bu kapsama alınmıştır.

1. Basit Zimmet: KVHS yönetim kurulu başkan ve üyeleri ile diğer çalışanların, görevleri nedeniyle zilyetliği kendilerine verilmiş olan veya koruma, saklama ve gözetimiyle yükümlü oldukları para, kripto varlık veya diğer malvarlıklarını kendilerinin veya başkalarının hesabına geçirmeleri suçtur.

   • Cezası: 8 yıldan 14 yıla kadar hapis ve 5.000 güne kadar adli para cezası.

2. Nitelikli (Hileli) Zimmet: Suçun, ortaya çıkmasını engelleyecek hileli davranışlarla (örneğin veritabanı kayıtlarını değiştirme, sahte cüzdan adresleri üretme veya zincir üstü verileri manipüle etme) işlenmesi halidir.

   • Cezası: 12 yıldan az olmamak üzere hapis cezasıdır.

3. Üçüncü Kişilere Haksız Menfaat Sağlanması: Yöneticinin, zimmete konu varlıkları kendi akrabalarına, paravan şirketlerine veya üçüncü kişilere aktarması halinde, menfaat sağlayan bu kişiler de suça iştirak hükümlerince yargılanır ve elde ettikleri tüm varlıklara el konulur.

B. İzinsiz Kripto Varlık Hizmet Sağlayıcılığı Suçu (SPKn m. 109/A)

SPK’dan usulüne uygun kuruluş ve faaliyet izni almadan Türkiye’de kripto alım-satım, saklama, transfer veya aracılık hizmeti sunan veya Türkiye’de yerleşik kişilere yönelik pazarlama faaliyetinde bulunan şirketlerin gerçek kişi yöneticileri ve yetkilileri hakkında:

• 3 yıldan 5 yıla kadar hapis ve adli para cezası uygulanır.

4. İDARİ VE MEVZUATSAL UYUM SORUMLULUĞU (MASAK VE KYC)

Kripto şirketleri, 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun kapsamında “Yükümlü” kuruluşlar arasında yer almaktadır. Bu durum, yöneticiler üzerinde doğrudan idari sorumluluk yaratır.

                           MASAK ve İdari Uyum Zirvesi
                                        │
       ┌────────────────────────────────┼────────────────────────────────┐
       ▼                                ▼                                ▼
Müşterini Tanı (KYC)           Şüpheli İşlem Bildirimi (ŞİB)     Seyahat Kuralı (Travel Rule)
 ├── Uzaktan Biyometrik Doğrulama ├── 10 İş Günü İçinde Bildirim ├── Transferlerde Kimlik Paylaşımı
 ├── Anonim Hesaba Kesin Yasak  ├── Yöneticinin Şahsi Cezası    ├── Hatalı / İsimsiz İşleme Engel
 └── Gerçek Faydalanıcı Tespiti └── Lisans İptali Riski          └── Kara Liste (Sanction) Kontrolü

A. Müşterini Tanı (KYC) ve Gerçek Faydalanıcı Tespiti

Yöneticiler, platformda anonim, takma isimli veya kimliği doğrulanamayan hesapların açılmasını engelleyecek altyapıyı kurmakla yükümlüdür. Uzaktan kimlik tespiti prosedürlerinin (NFC, Canlılık Testi, Biyometrik Tarama) yetersiz işletilmesi durumunda hem şirkete hem de ilgili yöneticilere ağır idari para cezaları kesilir.

B. Şüpheli İşlem Bildirimi (ŞİB) Yükümlülüğü

Suç gelirlerinin aklanması veya terörün finansmanı şüphesi taşıyan işlemlerin (müşteri profiliyle uyumsuz devasa transferler, karmaşık mikser kullanımı vb.) 10 iş günü içinde MASAK’a bildirilmemesi halinde, şirket yöneticileri ve yetkilendirilen Uyum Görevlisi (Compliance Officer) hakkında doğrudan idari yaptırım ve görevi kötüye kullanma soruşturması açılır.

5. PAY SAHİPLERİNİN (ORTAKLARIN) HUKUKİ DURUMU VE PERDENİN KALDIRILMASI

Sermaye şirketlerinin temel direği olan “Ortaklar sadece koydukları sermaye kadar sorumludur” prensibi (TTK m. 329), kripto sektörünün kendine özgü yapısı ve kamu yararı gereği bazı durumlarda sınırlandırılmaktadır.

                        Pay Sahiplerinin Hukuki Statüsü
                                       │
       ┌───────────────────────────────┴───────────────────────────────┐
       ▼                                                               ▼
Pasif / Küçük Pay Sahibi                                      Hâkim / Fiili Yönetici Ortak
 ├── Sadece Taahhüt Edilen Sermaye Sorumluluğu                ├── Perdenin Kaldırılması Teorisi
 ├── Yönetim Kararlarına Karışmama                             ├── Şahsi İflas Rejimine Tabi Olma
 └── Hukuki ve Cezai Sorumsuzluk                              └── Zimmet Suçuna İştirak Riski

A. Pasif Ortaklar ile Hâkim/Fiili Ortakların Ayrımı

• Pasif Pay Sahipleri: Şirket yönetimine fiilen müdahale etmeyen, yönetim kurulunda temsilcisi bulunmayan ve sadece yatırdığı sermaye oranında kar payı alan ortaklar, şirketin borçlarından veya usulsüzlüklerinden şahsen sorumlu tutulamazlar.

• Hâkim ve Fiili Yöneticiler (Shadow Directors): Resmi olarak yönetim kurulu üyesi olmasa dahi, hisse çoğunluğu veya imzaladığı özel sözleşmelerle şirket kararlarını fiilen yönlendiren, cüzdan anahtarlarını elinde tutan veya şirket kaynaklarını yöneten ortaklar “Fiili Yönetici” kabul edilir. Bu kişiler de tıpkı resmi yönetim kurulu üyeleri gibi zimmet suçu, şahsi iflas ve tazminat davalarının doğrudan muhatabıdır.

B. Tüzel Kişilik Perdesinin Kaldırılması (Piercing the Corporate Veil)

Hâkim pay sahibinin şirket tüzel kişiliğini bir zırh olarak kullanıp, kendi kişisel borçları ile şirket hesaplarını birbirine karıştırması veya müşteri fonlarını kendi şahsi hesabına aktarması halinde hukukun kötüye kullanılması engellenir. Dürüstlük kuralı (TMK m. 2) çerçevesinde tüzel kişilik perdesi kaldırılarak borçlardan doğrudan hâkim ortağın kişisel malvarlığı sorumlu kılınır.

6. YÖNETİCİ VE PAY SAHİPLERİNİN SORUMLULUK TÜRLEMESİ VE KARŞILAŞTIRMA TABLOSU

7. YÖNETİCİLER VE KURUMLAR İÇİN HUKUKİ RİSK YÖNETİMİ VE KORUNMA STRATEJİLERİ

Kripto sektöründeki ağır yasal yaptırımlar göz önüne alındığında, yöneticilerin ve ortakların hukuki risklerini emniyete alması adına atması gereken kritik adımlar şunlardır:

1. Görev Dağılımı ve İç Yönerge Yapılanması (TTK m. 367): Yönetim kurulu yetkilerini detaylı bir İç Yönerge ile murahhas üyelere veya profesyonel yöneticilere devretmelidir. Usulüne uygun yetki devri yapıldığında, yetkiyi devreden yönetim kurulu üyeleri; seçme, talimat verme ve denetleme görevlerinde kusursuz olduklarını ispatlayarak alt yöneticilerin eylemlerinden doğan kişisel sorumluluktan kurtulabilirler.

2. Yönetici Sorumluluk Sigortası (D&O Insurance): Yönetim kurulu üyelerinin görevlerini icra ederken yapabilecekleri olası ihmal veya kusurlar sonucunda doğacak tazminat taleplerine karşı kapsamlı bir “Yönetici Sorumluluk Sigortası” yaptırılmalıdır.

3. Bağımsız Siber Güvenlik ve Kod Akreditasyonu: Akıllı sözleşmeler, cüzdan altyapısı ve borsa yazılımları periyodik olarak uluslararası bağımsız siber güvenlik kuruluşlarına denetletilmeli ve alınan raporlar yönetim kurulu karar defterine işlenmelidir. Bu süreç, olası bir siber ihlalde yöneticinin “tedbirli özen borcunu” yerine getirdiğini gösteren en somut savunma aracıdır.

4. Varlık Ayrılığı ve Soğuk Cüzdan Disiplini: Müşteri nakitleri ile kripto varlıklarının şirket varlıklarıyla kesin olarak ayrıştırıldığından ve mevzuatın emrettiği oranlarda bağımsız soğuk cüzdanlarda saklandığından emin olunmalı, bu veriler düzenli olarak bağımsız finansal denetçilerce doğrulanmalıdır.

SONUÇ VE GENEL DEĞERLENDİRME

Türkiye’de yürürlüğe giren yeni hukuki rejim (7518 sayılı Kanun), kripto varlık şirketlerinde yöneticilik ve hâkim pay sahipliği yapmayı yüksek disiplin, teknik bilgi ve hukuki hassasiyet gerektiren bir makama dönüştürmüştür. Kripto borsası yönetmek; artık standart bir bilişim şirketini sevk ve idare etmekten tamamen çıkmış, ağırlaştırılmış ceza ve tazminat tehditleri altında bir banka veya aracı kurum yönetmekle eşdeğer hukuki sorumluluk düzeyine ulaşmıştır.

Yöneticilerin ve karar alıcı ortakların; siber güvenlik zafiyetlerinden müşteri zararlarına, zimmet suçlamalarından izinsiz faaliyet iddialarına kadar geniş bir yelpazede şahsi malvarlıklarıyla ve özgürlükleriyle sorumlu tutulabileceği gerçeği göz ardı edilmemelidir. Bu ağır risklerden korunmanın tek yolu; güçlü bir kurumsal yönetim altyapısı inşa etmek, yetki devri mekanizmalarını doğru kurgulamak ve SPK ile MASAK mevzuatına %100 uyumu bir şirket ilkesi haline getirmektir.