Kişisel verilerin izinsiz ele geçirildiğini öğrenmek ya da bir şirketten veri ihlali bildirimi almak, tek başına tazminat hakkı doğurmaz; hakkın kullanılabilmesi zararın belgelenmesine ve talebin doğru kapıya götürülmesine bağlıdır. Bu rehber, bilişim kaynaklı veri ihlallerinde tazminat talebinin hangi sırayla yürütüleceğine odaklanıyor.
Aynı Olaydan Doğan Üç Ayrı Süreç
Bir veri ihlali, birbirinin yerine geçmeyen üç farklı süreci aynı anda tetikleyebilir. Bunları ayrıştırmadan yapılan başvurular çoğunlukla usulden sonuçsuz kalır:
- İdari süreç: KVKK kapsamında önce veri sorumlusuna başvuru, sonuç alınamazsa Kişisel Verileri Koruma Kuruluna şikâyet.
- Ceza süreci: Sisteme hukuka aykırı erişim, verilerin ele geçirilmesi veya yayılması iddiası TCK 243-245 çerçevesinde Cumhuriyet başsavcılığına suç duyurusu konusudur.
- Özel hukuk süreci: Maddi ve manevi tazminat talebi, genel hükümlere göre adli yargıda açılacak bir davanın konusudur.
Yanlış Kapıya Vurmanın Somut Maliyeti
Uygulamada en sık görülen hata, tazminat talebinin doğrudan Kurula yazılmasıdır. İdari makam, ihlalin varlığını tespit edip yaptırım uygulayabilir; ancak kişiye para ödenmesine hükmetme yetkisi taşımaz. Bu yanlışlık yalnızca zaman kaybı değildir: dosya bir merciden diğerine taşınırken zararı doğuran kayıtlar sunucularda silinir, log tutma süreleri dolar ve ispat imkânı fiilen ortadan kalkar.
Başvuru Zincirini Doğru Kurmak
- Bildirim yazısını, ihlalin kapsamını ve etkilenen veri kategorilerini kayıt altına alın; ekran görüntülerini tarih bilgisiyle saklayın.
- Veri sorumlusuna yazılı başvuru yapıp hangi verilerin sızdığını, kime aktarıldığını ve alınan tedbirleri sorun; gelen cevap tazminat dosyasının ilk delilidir.
- Yanıt gelmez veya yetersizse Kurula şikâyet yolunu işletin.
- Ceza boyutu varsa suç duyurusunu ayrıca yapın; soruşturma dosyasındaki teknik inceleme raporu, hukuk davasında talep edilebilir bir kaynağa dönüşür.
- Tazminat davasını, idari sürecin sonucunu beklemeden zamanaşımı takvimine göre planlayın.
Zararı Rakamla Konuşulur Hâle Getirmek
Manevi zarar iddiası tek başına soyut kaldığında karşılığını bulmakta zorlanır. Sızan verinin niteliği, kimlik bilgilerinin dolandırıcılık girişimlerinde kullanılıp kullanılmadığı, banka ve operatör kayıtlarındaki anormal işlemler, spam ve kimlik avı mesajlarındaki artış somut olarak gösterilmelidir. Maddi zarar tarafında ise kart yenileme masrafı, itibar kaybına bağlı iş kesintisi ve güvenlik önlemi için yapılan harcamalar belgeye bağlanır. 5651 sayılı Kanun kapsamındaki içerik veya erişim sorumluluğu ayrıca değerlendirilmelidir.
Kısa Değerlendirme
Buradaki açıklamalar genel nitelikte bilgilendirmedir. Her ihlalin teknik zemini, etkilenen veri türü ve sorumlu taraf farklıdır; dosyanızın somut koşullarına göre yol haritası çıkarmak için bir hukukçuyla çalışmanız yerinde olur.