Bir veri ihlali yaşandığında ortaya iki farklı sorumluluk düzlemi çıkar: verisi sızan kişinin hakları ve veri sorumlusunun yükümlülükleri. Bunların birbirine karışması, hem ihlali bildirmesi gereken kurumun geç kalmasına hem de mağdurun yanlış kapıya başvurmasına yol açar. Bu rehber, iki yolu ayrıştırarak hangi başvurunun nereye yapılacağını ele alır.
Önce Olayı Kayıt Altına Almak
İhlalin kapsamı belirlenmeden yapılan hiçbir başvuru sağlıklı olmaz. Tespit edilmesi gereken asgari başlıklar şunlardır: ihlalin başlangıç ve fark edilme zamanı, etkilenen veri kategorileri, etkilenen kişi sayısı, sızıntının kaynağı ve alınan teknik tedbirler. Sistem kayıtları ve erişim logları, sonraki her aşamada belirleyici olacağından değiştirilmeden saklanmalıdır. Mağdur konumundaki kişi bakımından ise verisinin nerede yayımlandığı, bağlantı adresiyle birlikte kayda geçirilmelidir.
Kurula Bildirim ve İlgili Kişiye Bildirim
6698 sayılı KVKK, ihlali öğrenen veri sorumlusuna en kısa sürede Kişisel Verileri Koruma Kuruluna bildirim yükümlülüğü getirir; ayrıca etkilenen ilgili kişilere de bildirim yapılması gerekir. Bu iki bildirim aynı şey değildir ve biri diğerinin yerine geçmez. İçerik internette yayımlanmışsa 5651 sayılı Kanun çerçevesinde erişimin engellenmesi talebi üçüncü bir kanal olarak devreye girer. Kurulun idari yaptırım kararına karşı gidilecek yer ise idari yargıdır.
Ceza Yolu Ne Zaman Devreye Girer?
Veri ihlali her zaman kendiliğinden suç oluşturmaz; ancak verinin hukuka aykırı olarak ele geçirilmesi, yayılması veya bir bilişim sistemine hukuka aykırı erişim söz konusuysa ceza yolu ayrıca işletilir. TCK'nın bilişim alanındaki suçlara ilişkin hükümleri (243-245) yanında kişisel verilere ilişkin suç tipleri de değerlendirilir. Şikâyet, Cumhuriyet başsavcılığına yapılır ve dilekçede failin tespitine yönelik somut araştırma talepleri açıkça yazılmalıdır. Kuruma şikâyette bulunmuş olmak, ceza soruşturmasının yerine geçmez.
Zararın Tazmini Ayrı Bir Dosyadır
Kurulun verdiği idari para cezası, mağdurun cebine giren bir tazminat değildir. Uğranılan maddi ve manevi zararın karşılanması için genel mahkemelerde ayrıca dava açılması gerekir. Bu davada zararın somutlaştırılması beklenir: kimlik bilgileriyle açılan hesaplar, uğranılan dolandırıcılık girişimleri, itibar kaybına ilişkin kayıtlar dosyaya eklenmelidir.
Kapanış
Yukarıdaki anlatım genel bir yol ayrımı sunar; ihlalin türü, etkilenen verinin niteliği ve tarafın veri sorumlusu mu ilgili kişi mi olduğu izlenecek adımları tümüyle değiştirir. Olayı fark ettiğiniz anda başvuru sıranızı bir hukukçuyla birlikte belirlemeniz, hem süre hem sorumluluk riskini azaltır.