Bir şirketin veya kurumun sistemlerinden kişisel verilerin sızması halinde mağdurun önünde birbirinden bağımsız iki yol vardır: ceza soruşturması ve idari şikâyet. Bu rehber, veri ihlali sonrasında suç duyurusunun nasıl kurgulanacağına, duyurunun akıbetine göre hangi itiraz adımının izleneceğine ve dosyayı en çok zayıflatan usul hatalarına odaklanır.
Ceza Soruşturması ile İdari Şikâyeti Karıştırmamak
Veri ihlalinde TCK'nın bilişim alanındaki suçlara ilişkin 243-245. maddeleri ile kişisel verilere ilişkin suç hükümleri gündeme gelir; bunların muhatabı Cumhuriyet başsavcılığıdır. Aynı olay 6698 sayılı KVKK bakımından idari yaptırım da doğurabilir, ancak orada muhatap Kişisel Verileri Koruma Kurulu'dur. İki yol paralel yürür; birinden çıkan sonuç diğerini kendiliğinden bağlamaz. Takipsizlik kararı Kurul şikâyetini, Kurul'un yaptırım uygulamaması da soruşturmayı sona erdirmez.
Suç Duyurusu Dilekçesini Ayakta Tutan Unsurlar
- İhlalin öğrenildiği an ve bunu gösteren belge: bildirim e-postası, kamuya yapılan açıklama, sızıntı listesinde bilgilerin göründüğüne dair kayıt
- Sızan veri kategorileri: kimlik, iletişim, finansal veya sağlık verisi ayrımının açıkça yazılması
- Zarar bağlantısı: ihlalden sonra gelen dolandırıcılık aramaları, hesap ele geçirme denemeleri, adına yapılan başvuru bildirimleri
- Şüpheli çevresi: veri sorumlusu tüzel kişi, ilgili yöneticiler ve varsa veri işleyen alt yükleniciler
- Delil koruma talebi: erişim ve işlem kayıtlarının silinmeden muhafaza edilmesi
Dilekçede en sık görülen hata, teknik anlatının hukuki nitelendirmenin önüne geçmesidir. Soruşturmanın açılması için hangi eylemin hangi suç tipine karşılık geldiği kısa ve tereddütsüz yazılmalıdır.
Takipsizlik Kararı Çıkarsa İtiraz Nasıl Kurulur
Kovuşturmaya yer olmadığına dair karar tebliğ edildiğinde itiraz süresi kısadır ve merci sulh ceza hâkimliğidir. İtiraz dilekçesi doğrudan ret gerekçesini hedeflemelidir: fail belirlenemediği için mi, eylem suç sayılmadığı için mi, yoksa delil yetersizliği nedeniyle mi karar verilmiştir? Fail belirlenememesi gerekçesine karşı toplanmamış deliller (bağlantı kayıtları, sunucu logları, hizmet sağlayıcı yazışmaları) somut olarak gösterilmeli; suç oluşmadığı gerekçesine karşı ise nitelendirme tartışması yürütülmelidir.
Usule Aykırı İşlem Riskini Azaltan Kontroller
- Tebliğ tarihini tebligat zarfı veya elektronik kayıtla belgeleyin; itiraz süresi bu tarihe bağlıdır.
- Dilekçeyi yetkili başsavcılığa verin; yetkisizlikle gönderilen dosyalarda gecikme kaçınılmazdır.
- Elektronik delilleri özet değeri ya da resmi tespit yoluyla sabitleyin; sonradan üretildiği iddiası ancak böyle karşılanır.
- 5651 sayılı Kanun kapsamında içeriğin yayından çıkarılması gerekiyorsa bu talebi eşzamanlı ve ayrı yürütün.
- KVKK yolunda veri sorumlusuna başvuru basamağını atlamayın; bu basamak Kurul'a şikâyetin ön koşuludur.
Veri ihlali dosyaları teknik ve hukuki katmanın birlikte yürütülmesini gerektirir. Olayın kendine özgü ayrıntıları yetkili merciyi ve süreyi değiştirebileceğinden, adım atmadan önce dosyanın bir hukukçu tarafından değerlendirilmesi yerinde olur.