Bir veri ihlalinin ardından mağdurun önünde birbirinden bağımsız üç yol açılır: idari şikayet, ceza soruşturması ve tazminat davası. Bu üçü aynı olaydan doğsa da farklı mercilerde, farklı ispat ölçütleriyle yürür. Bu rehber, tazminat hedefi olan bir dosyanın bu üç yol arasında nasıl konumlandırılacağını anlatır.
Üç yolun mercileri
Sisteme hukuka aykırı erişim, verilerin ele geçirilmesi veya sistemin işleyişinin engellenmesi TCK 243-245 kapsamında suç olarak düzenlenmiştir; bu yol cumhuriyet başsavcılığına şikayetle başlar ve ceza mahkemesinde sonuçlanır. Veri sorumlusunun yükümlülüklerine aykırılık bakımından KVKK kapsamında Kurula şikayet yolu işler ve bunun sonucu idari yaptırımdır. Maddi ve manevi zararın karşılanması ise ayrı bir hukuk davasının konusudur. Kurul kararı veya ceza dosyası tek başına tazminat sağlamaz; ancak her ikisi de tazminat davasında delil olarak kullanılabilir.
Tazminat davasında görev ve yetki
Zarar gören gerçek kişi ile veri sorumlusu arasındaki ilişki tüketici işlemi niteliğindeyse tüketici mahkemesi, taraflar arasında ticari bir ilişki varsa asliye ticaret mahkemesi, diğer hallerde asliye hukuk mahkemesi görevli olur. Yetki bakımından davalının yerleşim yeri yanında haksız fiil hükümlerine dayanılıyorsa fiilin işlendiği ve zararın doğduğu yer mahkemeleri de gündeme gelir. İnternet ortamındaki yayınlarda 5651 sayılı Kanun kapsamındaki erişimin engellenmesi talebi ise ayrı ve hızlı işleyen bir usule tabidir.
Delilin bozulmadan toplanması
- İhlal bildiriminin veya ihlali gösteren ekran görüntülerinin zaman damgalı kaydı
- Sızan verinin hangi kişisel veri kategorisine ait olduğunun belirlenmesi
- Hesap giriş kayıtları, IP ve oturum bilgileri talebi
- Veri sorumlusuna yapılan başvuru ve alınan cevabın tam metni
- Zararı gösteren kayıtlar: dolandırıcılık girişimi, kredi başvurusu, itibar kaybına ilişkin belgeler
Uzlaşma ve dava kararı: hangi yolda hangi eşik?
Ceza boyutunda, kapsamdaki suçlar bakımından uzlaşma usulü gündeme gelebilir ve bu, mağdurun tazmin edici sonucu erken almasını sağlayabilir. Ancak uzlaşma metninin kapsamı dikkatle okunmalıdır: hukuk davasındaki tüm talepleri kapsayacak biçimde düzenlenen bir metin, sonradan açılacak tazminat davasını etkiler. Kurumsal veri sorumlusuyla yapılan sulh görüşmelerinde ise teklif edilen tutarın, yalnızca doğrudan zararı mı yoksa manevi zararı da mı kapsadığı açıkça yazılmalıdır. Sızıntının kapsamı henüz belirlenmemişse erken sulh, sonradan ortaya çıkacak zararlar bakımından risk taşır.
Manevi tazminatın gerekçelendirilmesi
Kişisel verinin niteliği, manevi tazminat değerlendirmesinde belirleyicidir. Sağlık, biyometrik veya finansal veriler ile iletişim içeriklerinin ifşası, ad-soyad düzeyindeki bir sızıntıdan farklı ele alınır. Bu nedenle dilekçede verinin hassasiyeti, yayılma alanı, ihlalin süresi ve veri sorumlusunun ihlali giderme çabası ayrı başlıklar halinde işlenmelidir.
Yukarıdaki bilgiler genel çerçeve sunar. Veri ihlali dosyalarında sonuç, sızan verinin kapsamına ve teknik delilin durumuna göre değiştiğinden, adım atmadan önce hukuki ve teknik değerlendirmenin birlikte yapılması önerilir.