Sızdırılan müşteri listeleri, ele geçirilen hesap bilgileri veya yayımlanan özel belgelerle karşılaşan kişi ve kuruluşlar için tek bir başvuru yolu yoktur. Aynı olay; içeriğin kaldırılması, idari denetim ve ceza soruşturması olmak üzere üç ayrı hatta ilerler. Bu rehber, bu hatların hangi sırayla ve hangi bilgilerle yürütüleceğini ele alır.
Üç Hattı Aynı Anda Başlatmak
- Kaldırma hattı: 5651 sayılı Kanun çerçevesinde içeriğin çıkarılması veya erişimin engellenmesi talebi
- İdari hat: 6698 sayılı KVKK kapsamında veri sorumlusuna başvuru ve ardından Kurula şikâyet
- Ceza hattı: TCK'nın bilişim sistemlerine ilişkin hükümleri ile kişisel verilerin hukuka aykırı olarak ele geçirilmesi ve yayılmasına ilişkin suç tipleri bakımından şikâyet
Bu hatların birbirini beklemesi gerekmez; birinde alınan sonuç diğerinde delil olarak kullanılabilir.
Veri Sorumlusuna Başvuru Neden Atlanamaz?
KVKK sisteminde ilgili kişinin Kurula şikâyette bulunabilmesi, kural olarak önce veri sorumlusuna başvurup yanıt alması veya yanıt süresinin geçmesi şartına bağlıdır. Bu adımın atlanması, şikâyetin esasa girilmeden reddedilmesine yol açar. Başvurunun hangi tarihte, hangi kanaldan yapıldığı ve tebliğ edildiği kayıt altına alınmalıdır; elektronik başvurularda gönderim kaydı saklanmalıdır.
İhlalin Kapsamını Belgeleyen Teknik Veri
- Sızan veri kategorileri: kimlik, iletişim, finansal veya özel nitelikli veri ayrımı yapılır.
- İhlalin başlangıç ve tespit tarihleri, sistem günlükleriyle birlikte belirlenir.
- Etkilenen kişi sayısı ve verinin yayıldığı mecralar listelenir.
- Alınan acil tedbirler: erişim kapatma, şifre sıfırlama, sistem izolasyonu kayda geçirilir.
- Verinin yeniden yayımlandığı adresler düzenli aralıklarla taranır ve dosyaya eklenir.
Kaldırma Talebinde Kapsam Sorunu
Kaldırma kararları, talepte gösterilen adresler bakımından sonuç doğurur. Bu nedenle dilekçeye yalnızca ilk fark edilen bağlantıyı yazmak, içeriğin başka adreslerde kalmasına yol açar. Aynı verinin arşiv siteleri, forumlar ve paylaşım platformlarındaki kopyaları ayrı ayrı belirtilmelidir. Karara karşı başvuru mercii ve süresi, tebliğ edilen karar metninde gösterilir.
Kurumsal Tarafta Sorumluluğun Sınırlandırılması
Veri sorumlusu konumundaki işletme için asıl mesele, ihlalin gerçekleştiğini inkâr etmek değil; makul teknik ve idari tedbirlerin ihlalden önce alınmış olduğunu belgelemektir. Sızma testleri, yetki matrisi, günlük kayıt politikası ve eğitim kayıtları bu savunmanın omurgasını oluşturur. İlgili kişilerle yapılacak sulh görüşmelerinde verilecek beyanların, kuruma sunulan savunmayla çelişmemesi gerekir.
Bu metin genel çerçeve sunmak için hazırlanmıştır; ihlalin türü, verinin niteliği ve tarafların konumu izlenecek adımları değiştirir. İhlal fark edildiğinde ilk saatler belirleyici olduğundan, teknik ekiple birlikte hukuki desteğin de aynı anda devreye alınması önerilir.