Kişisel verilerin hukuka aykırı biçimde ele geçirilmesi ya da yayılması halinde mağdurun önünde birbirinden bağımsız işleyen dört ayrı yol bulunur. Bunları tek bir başvuruymuş gibi ele almak, en sık görülen usul hatasıdır: idari şikâyetin sonucu beklenirken tazminat için gereken süre işlemeye devam eder, içerik ise internette kalmayı sürdürür.
Dört Yol, Dört Ayrı Mercii
- İdari yol: veri sorumlusuna başvuru ve ardından Kişisel Verileri Koruma Kurumu'na şikâyet. KVKK sisteminde önce veri sorumlusuna başvurulması kuraldır; bu aşama atlandığında şikâyet usulden reddedilebilir.
- Ceza yolu: verileri hukuka aykırı olarak ele geçirme, yayma veya sisteme girme fiilleri TCK'nın bilişim suçlarına ilişkin 243-245. maddeleri kapsamında Cumhuriyet başsavcılığına şikâyet konusudur.
- Erişimin engellenmesi: içeriğin yayından kaldırılması için 5651 sayılı Kanun çerçevesinde sulh ceza hâkimliğine başvurulur; bu, tazminattan bağımsız ve çok daha hızlı işleyen bir korumadır.
- Tazminat yolu: maddi ve manevi zarar istemi hukuk mahkemesinde açılan ayrı bir davanın konusudur; Kurum kararı tazminata hükmetmez.
İhlalin Kanıtı Zamanla Buharlaşır
Veri ihlali dosyalarında delil, olayın kendisinden daha hızlı kaybolur. İlk 48 saat içinde ekran görüntüsü değil, doğrulanabilir kayıt üretmek gerekir: URL'nin tam adresi, erişim tarihi ve saati, sayfa kaynağı, varsa arşiv bağlantısı. Mümkünse noter tespiti ya da bilirkişi eşliğinde tutanak düzenlenmesi, karşı tarafın içeriği silmesi ihtimaline karşı dosyanın bel kemiğini oluşturur.
Zararı Görünür Kılmak
Manevi zarar iddiası tek başına anlatıya dayandığında zayıf kalır. Verinin niteliği (sağlık, finans, iletişim içeriği), yayılma genişliği, mağdurun mesleki konumu ve ihlal sonrası yaşanan somut sonuçlar (hesap ele geçirme girişimleri, iş kaybı, tehdit mesajları) ayrı ayrı belgelenmelidir. Maddi zarar bakımından ise harcama belgeleri, gelir kaybını gösteren kayıtlar ve teknik güvenlik giderleri dosyaya eklenir.
Veri Sorumlusunun Konumu
İhlalin kaynağı bir şirketin sistemindeyse, sorumluluk yalnızca saldırganda değildir. Veri sorumlusunun aldığı teknik ve idari tedbirlerin yeterliliği, ihlal bildiriminin zamanında yapılıp yapılmadığı ve ilgili kişilere bilgi verilip verilmediği ayrı bir sorumluluk tartışması doğurur. Bu nedenle şirkete yöneltilen bilgi talebi, sonraki tazminat dosyasının delil kaynağıdır.
Yukarıdaki çerçeve genel bilgilendirme amacı taşır. İhlalin türü, verinin niteliği ve tarafların sıfatı izlenecek yolu değiştirebileceğinden, süre kaybını önlemek için başvuru sırası somut olay üzerinden planlanmalıdır.