Bir veri ihlali ortaya çıktığında ilgili kişiler ve veri sorumluları çoğu zaman tek bir başvuruyla sonuç almayı bekler. Oysa aynı olay; ceza yargısı, idari denetim ve özel hukuk olmak üzere üç ayrı hattı aynı anda çalıştırır. Bu rehber, suç duyurusunun hangi savcılığa yapılacağını ve diğer süreçlerle ilişkisini netleştirmeye odaklanır.
Aynı Olayın Üç Ayrı Muhatabı
Kişisel verilerin hukuka aykırı biçimde ele geçirilmesi, yayılması ya da silinmemesi TCK'nın kişisel verilere ilişkin hükümleri kapsamında; bilişim sistemine girme, sistemi engelleme veya verileri bozma fiilleri ise 243-245. maddeler kapsamında değerlendirilir. İdari boyutta KVKK ve 6698 sayılı Kanun uyarınca Kurul'a yapılacak bildirim ve şikâyet süreci işler. İnternet ortamındaki yayının kaldırılması bakımından ise 5651 sayılı Kanun ayrı bir usul öngörür. Bu üç hattın karıştırılması, en sık görülen ve zaman kaybettiren hatadır.
Suç Duyurusunda Yetkili Savcılık
Kural, suçun işlendiği yer Cumhuriyet başsavcılığının yetkili olmasıdır. Ancak veri ihlallerinde fiilin nerede gerçekleştiği çoğu zaman belirsizdir: sunucu başka ülkede, fail başka ilde, mağdur ise bir üçüncü yerde bulunabilir. Bu nedenle uygulamada dilekçe bulunulan yer savcılığına verilebilir; savcılık yetkisizlik kararıyla dosyayı ilgili yere gönderir. Önemli olan, başvuru tarihinin kayıt altına alınması ve şikâyete bağlı fiiller bakımından sürenin korunmasıdır.
İhlal Bildirimi ile Suç Duyurusunun İlişkisi
Veri sorumlusunun Kurul'a ve ilgili kişilere yaptığı ihlal bildirimi, bir suç duyurusu yerine geçmez. Aynı şekilde suç duyurusunda bulunmak, idari yükümlülüğü ortadan kaldırmaz. İlgili kişi açısından ise Kurul'a şikâyetten önce veri sorumlusuna başvurulması gereken bir ön aşama bulunur. Bu aşamalar birbirinin alternatifi değil, tamamlayıcısıdır; birinin sonucunu beklemek diğerinde süre kaybına yol açabilir.
Dilekçe ve Delil Düzeni
- İhlalin öğrenildiği tarih ve öğrenme biçimi
- Etkilenen veri kategorileri ve etkilenen kişi sayısına dair bilgi
- Sızıntının yayıldığı adresler ve erişim kayıtları
- Veri sorumlusuyla yapılan yazışmalar ve verilen cevaplar
- Talep edilen tedbirler: kaldırma, erişimin engellenmesi, kayıtların muhafazası
Bu metin genel bilgilendirme amacı taşır. İhlalin kapsamı, tarafların sıfatı ve verinin niteliği izlenecek yolu değiştirebileceğinden, paralel yürüyen bu süreçlerin bir hukukçu eşliğinde planlanması hak kaybı riskini azaltır.