Sosyal güvenlik verileri, kişinin çalışma geçmişini, sağlık hizmeti kullanımını ve gelir bilgisini bir arada barındırdığı için hassas nitelikte bir veri kümesidir. Sosyal Güvenlik Kurumu nezdindeki verilerin korunmasına ve işlenmesine ilişkin düzenlemeler, bu verilerin kim tarafından, hangi amaçla ve hangi güvenlik önlemleriyle işlenebileceğini belirler. Yetkisiz erişim iddiasında asıl mesele hukuki nitelendirme değil, ihlalin ispatıdır.
İhlalin İzini Sürmek
Kişisel verilere yetkisiz erişim, çoğunlukla ilgili kişinin doğrudan göremediği sistem kayıtlarında iz bırakır. Bu nedenle ilk adım, erişim loglarının kim tarafından tutulduğunu ve ne kadar süreyle saklandığını tespit etmektir. 6698 sayılı Kişisel Verilerin Korunması Kanunu, ilgili kişiye veri sorumlusuna başvurup verilerinin işlenip işlenmediğini, işlenmişse buna ilişkin bilgiyi ve verilerin aktarıldığı üçüncü kişileri öğrenme hakkı tanır. Bu başvuru aynı zamanda bir delil toplama aracıdır: alınan cevap, sonraki aşamalarda kurumun kendi beyanı olarak dosyaya girer.
Başvuru Zincirinin Doğru Kurulması
Kanun, kural olarak önce veri sorumlusuna başvurulmasını, buradan sonuç alınamaması hâlinde Kişisel Verileri Koruma Kurulu'na şikâyet yoluna gidilmesini öngörür. Bu sıralamanın atlanması, şikâyetin usulden reddine yol açar ve zaman kaybettirir. Başvurunun yazılı ve tarihli olması, hangi verinin hangi dönem için sorgulandığının açıkça yazılması cevabın kapsamını da belirler.
Hangi Kayıtlar İstenmeli
- İlgili kişinin dosyasına yapılan erişimlerin tarih ve saat bilgisi
- Erişimi gerçekleştiren kullanıcı hesabı veya birim bilgisi
- Erişimin dayandırıldığı hukuki sebep ve varsa talep yazısı
- Verinin üçüncü kişilere aktarılıp aktarılmadığına dair kayıt
- Saklama ve imha politikası kapsamında verinin ne kadar süre tutulduğu
İdari ve Cezai Yolun Ayrılması
Aynı olay hem idari hem cezai sonuç doğurabilir. İdari tarafta Kurul'a şikâyet ve idari yaptırım süreci işlerken, verilerin hukuka aykırı biçimde ele geçirilmesi veya yayılması Türk Ceza Kanunu'nun kişisel verilere ilişkin hükümleri kapsamında ayrı bir soruşturma konusu olabilir. İki yolun birlikte yürütülmesi mümkündür; ancak cezai süreçte toplanan kayıtların idari dosyaya, idari süreçte alınan kurum cevaplarının cezai dosyaya taşınması ihmal edilmemelidir.
Delil Eksikliğinin Sık Görülen Nedenleri
En yaygın sorun, ihlalin öğrenilmesinden aylar sonra harekete geçilmesi ve log kayıtlarının saklama süresinin dolmuş olmasıdır. İkinci sorun, ekran görüntüsü veya kulaktan duyma beyanla yetinilip kurumdan resmî kayıt istenmemesidir. Üçüncüsü, başvuru dilekçesinin çok genel yazılması nedeniyle kurumun da genel bir cevapla süreci kapatmasıdır.
Burada anlatılanlar genel bilgilendirme niteliğindedir. Veri ihlali iddialarında kayıtların saklama süresi sınırlı olduğundan, şüphe doğduğu anda kayıt talebiyle başvuru yapılması ve dosyanın somut koşullarına göre profesyonel destek alınması pratik açıdan önem taşır.