Kişisel veri ihlali, bir kişiye ait bilginin hukuka aykırı olarak elde edilmesi, kaydedilmesi, kullanılması, aktarılması ya da açığa çıkmasıdır. Adınız, telefonunuz, adresiniz, kimlik numaranız, konum bilginiz, ses ve görüntü kaydınız kişisel veridir. Sağlık, biyometrik veri, din, cinsel hayat ve ceza mahkûmiyeti bilgileri ise özel nitelikli veri sayılır ve çok daha sıkı korumaya tabidir.
Hangi durumlar ihlaldir? #
- Rıza alınmadan ya da kanuni bir sebep bulunmadan veri işlenmesi
- Alışveriş için verilen telefon numarasının reklam mesajı gönderiminde kullanılması
- Bir şirketin veri tabanının sızması ve müşteri bilgilerinin yayılması
- İş başvurusunda alınan özgeçmişin, başvurulmayan başka şirketlere aktarılması
- Site kamerası görüntülerinin sosyal medyada paylaşılması
- Silinmesi talep edilen verinin silinmemesi
- Aydınlatma yükümlülüğünün hiç yerine getirilmemesi
Sıralı yol: önce veri sorumlusuna başvuru #
Doğrudan Kişisel Verileri Koruma Kuruluna şikâyette bulunulamaz. Önce veri sorumlusuna, yani veriyi işleyen kuruma yazılı olarak başvurmak zorunludur. Başvuru; yazılı dilekçe, kayıtlı elektronik posta, güvenli elektronik imza ya da kuruma daha önce bildirilmiş e-posta adresi üzerinden yapılabilir.
Başvuruda kimlik bilgileri, talep ve talebe dayanak oluşturan bilgiler açıkça yer almalıdır. Talep edilebilecekler şunlardır: verinin işlenip işlenmediğini öğrenme, amacını öğrenme, aktarıldığı üçüncü kişileri öğrenme, eksik veya yanlış işlenmişse düzeltilmesini isteme, silinmesini veya yok edilmesini isteme ve bu işlemlerin aktarılan taraflara bildirilmesini isteme.
Veri sorumlusu, başvuruyu en geç otuz gün içinde sonuçlandırmak zorundadır. İşlemin ayrıca bir maliyet gerektirmesi hâlinde tarifedeki ücret istenebilir; kural olarak başvuru ücretsizdir.
Kuruma şikâyet #
Başvuru reddedilirse, verilen cevap yetersiz bulunursa ya da otuz gün içinde hiç cevap verilmezse Kuruma şikâyet edilebilir. Süre çifttir ve ikisi birlikte aranır: cevabı öğrenmeden itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde şikâyet edilmelidir.
Şikâyet, Kurumun çevrim içi sistemi üzerinden ya da yazılı olarak yapılır. Kurum, ihlali tespit ederse veri sorumlusundan aykırılığın giderilmesini ister ve idari para cezası uygulayabilir. Telafisi güç zararların doğması ve açık bir aykırılık bulunması hâlinde veri işlenmesinin durdurulmasına da karar verilebilir.
Veri sızıntısı bildirimi #
Kişisel veri ihlali gerçekleştiğinde — örneğin bir sistem sızıntısı yaşandığında — veri sorumlusu bunu en kısa sürede ve en geç yetmiş iki saat içinde Kurula bildirmek zorundadır. Ayrıca verisi ihlale uğrayan ilgili kişilere de makul en kısa sürede bildirim yapılmalıdır. Bildirim yapılmaması başlı başına bir aykırılıktır ve idari yaptırım sebebidir.
Tazminat davası #
İdari süreç, uğranılan zararı karşılamaz. Kuruma şikâyet yolundan bağımsız olarak, genel hükümlere göre maddi ve manevi tazminat davası açılabilir. Verinin niteliği, yayılma alanı, mağdurun uğradığı itibar kaybı ve ihlalin süresi tazminatın belirlenmesinde dikkate alınır.
Özel nitelikli verilerin — sağlık bilgisi, ceza mahkûmiyeti gibi — açığa çıktığı dosyalarda manevi tazminat tutarları belirgin biçimde yükselir. Tazminat davası için Kuruma şikâyette bulunulmuş olması şart değildir; ancak Kurul kararı, hukuk davasında güçlü delil oluşturur.
Suç oluşturan hâller #
Kişisel veri ihlali aynı zamanda suç olabilir. Türk Ceza Kanunu, kişisel verilerin hukuka aykırı olarak kaydedilmesini, bir başkasına verilmesini veya ele geçirilmesini ve kanuni süre geçtiği hâlde yok edilmemesini ayrı ayrı suç olarak düzenler. Bu suçlar şikâyete bağlı değildir; savcılık resen soruşturma başlatır.
Suç duyurusu, tazminat davasından ve Kuruma şikâyetten bağımsız olarak yapılabilir. Üç yol aynı anda işletilebilir. Soruşturma aşamasında izlenecek adımlar için ifade ve savunma hakkı rehberimize bakabilirsiniz.
İzinsiz reklam mesajları #
Onay alınmadan gönderilen ticari elektronik ileti, hem veri koruma hem de ticari iletişim mevzuatına aykırıdır. Bu tür mesajlar için İleti Yönetim Sistemi üzerinden onay geri çekilebilir ve Ticaret Bakanlığına şikâyette bulunulabilir. Numaranızın nereden elde edildiğinin sorulması ise kişisel veri başvurusunun konusudur; veri sorumlusu, verinin kaynağını açıklamakla yükümlüdür.
Delilleri nasıl saklamalı? #
Bu dosyalarda en sık karşılaşılan sorun ispattır. Ekran görüntüsü tek başına zayıf bir delildir; içeriğin kaybolma ihtimali varsa mahkemeden delil tespiti istenmelidir. Gönderilen mesajların tarih ve saat bilgisiyle birlikte kaydedilmesi, e-postaların başlık bilgileriyle saklanması ve web içerikleri için noter tespiti yaptırılması, sonraki aşamada belirleyici olur.
Konunun bütünü için bilişim hukuku ve KVKK sayfamıza, süre kontrolü için süre ve zamanaşımı kontrolü aracımıza göz atabilirsiniz.
Kurul kararına karşı ne yapılabilir? #
Kişisel Verileri Koruma Kurulu, şikâyeti inceler ve ihlal tespit ederse veri sorumlusuna giderim yolunu gösterir; ayrıca idari para cezası uygulayabilir. Kurul, şikâyeti altmış gün içinde yanıtlamazsa talep reddedilmiş sayılır. Hem bu zımni ret hem de açık ret kararı idari işlemdir: tebliğden itibaren altmış gün içinde idare mahkemesinde iptal davası açılabilir. Veri sorumlusu tarafında ise idari para cezasına karşı sulh ceza hâkimliğine değil, yine idare mahkemesine başvurulur.
Şirket iseniz: ihlal anında ilk 72 saat #
Bir veri sızıntısı yaşandığında veri sorumlusunun yükümlülüğü, sızıntının kendisinden bağımsız olarak işler: durum makul olarak yetmiş iki saat içinde Kurul’a, ilgili kişilere de en kısa sürede bildirilmelidir. Bildirim yapılmaması, ihlalden ayrı bir aykırılık olarak ceza doğurur.
Bu pencerede yapılması gerekenler sırayla şudur: etkilenen sistemin izole edilmesi, log kayıtlarının değiştirilmeden saklanması, hangi veri kategorisinin kaç kişiyi etkilediğinin tespiti, Kurul’un ihlal bildirim formunun doldurulması ve ilgili kişilere yapılacak bildirim metninin hazırlanması. Bu adımların olay anında değil, önceden yazılı bir müdahale planına bağlanmış olması, hem bildirim süresine yetişmeyi hem de ceza kapsamını doğrudan etkiler.
Açık rıza her zaman gerekli mi? #
Yaygın bir yanılgı, her veri işlemenin açık rıza gerektirdiğidir. Oysa kanun, açık rıza dışında da işleme şartları sayar: kanunlarda açıkça öngörülmesi, sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi, verinin ilgili kişi tarafından alenileştirilmiş olması, bir hakkın tesisi veya korunması için zorunlu olması ve meşru menfaat.
Bunun iki pratik sonucu var. Birincisi, bir sözleşmenin ifası için zorunlu olan veriler bakımından ayrıca rıza istenmesi gerekmez — istenmesi hâlinde rızanın geri alınması hizmeti kesintiye uğratacağından, rıza “özgür irade” koşulunu sağlamayabilir. İkincisi, rıza hizmetin şartına bağlanamaz: “kabul etmezseniz hizmet veremeyiz” denilen bir rıza geçerli sayılmaz.
Ticari elektronik ileti ile KVKK ayrımı #
İzinsiz reklam mesajlarında iki ayrı mevzuat devrededir. Ticari iletişim mevzuatı bakımından şikâyet İYS ve Ticaret Bakanlığı’na yapılır ve idari para cezası gündeme gelir. KVKK bakımından ise verinin nereden elde edildiği sorgulanır; ilgili kişi veri sorumlusuna başvurup verisinin silinmesini isteyebilir. İki yol birbirinin alternatifi değildir, birlikte yürütülebilir.
