Bir veri ihlalinde zarar gören kişinin önünde birbirinden bağımsız işleyen üç yol vardır: Kişisel Verileri Koruma Kurumu'na şikâyet, TCK'nın bilişim sistemlerine ilişkin hükümleri kapsamında cezai süreç ve genel hükümlere dayalı tazminat davası. Bu yolların süreleri farklıdır ve birinin sonucunu beklemek diğerinin süresini durdurmaz. 6698 sayılı KVKK ile 5651 sayılı Kanun'un araçları ise daha çok zararın büyümesini durdurmaya yarar.
İlk 72 Saat Değil, İlk Hafta Delil Meselesidir
İhlalin öğrenildiği anda yapılması gereken ilk iş hukuki nitelendirme değil, kanıtın kaybolmasını engellemektir. Log kayıtları, sunucu kayıtları ve platform verileri sınırlı sürelerle saklanır; erişim yetkisi olmayan mağdur bu kayıtlara ancak resmî bir talep üzerinden ulaşabilir. Bu nedenle ekran görüntülerinin tarih ve adres bilgisiyle birlikte alınması, mümkünse noter veya mahkeme kanalıyla tespit yaptırılması, sonraki tüm aşamaların temelini oluşturur.
Üç Yolun Takvimi Birlikte Çıkarılır
- Kuruma şikâyet: Kural olarak önce veri sorumlusuna başvurulur; başvurunun cevapsız kalması veya cevabın yetersizliği hâlinde Kurula gidilir. Her iki aşamanın da kendi süresi vardır ve bu süreler kaçırıldığında şikâyet usulden reddedilebilir.
- Ceza şikâyeti: Verilerin hukuka aykırı ele geçirilmesi, yayılması veya sistemlere yetkisiz erişim iddiaları şikâyete bağlı olabileceğinden, failin öğrenilmesinden itibaren işleyen süre gözden kaçırılmamalıdır.
- Tazminat davası: Zararın ve sorumlunun öğrenilmesine bağlı süre işler; ihlalin suç oluşturduğu hâllerde daha uzun süre gündeme gelebilir.
İçeriğin Yayılmasını Durdurmak Ayrı Bir Başlıktır
Sızan verinin internette yayılması hâlinde erişimin engellenmesi ve içeriğin çıkarılması yolları, tazminat sürecinden bağımsız olarak ve çok daha hızlı işletilmelidir. Bu talepler tazminatın yerine geçmez; ancak zararın büyüklüğü tartışmasında "zararı azaltma" yönünde davranıldığını gösterir.
Zararı Somutlaştırmak
- Hangi veri kategorisinin sızdığı belirlenir; özel nitelikli veri varsa ayrıca vurgulanır.
- Verinin kaç kişiye ulaştığı, nerede yayımlandığı ve ne kadar süre erişilebilir kaldığı kayıt altına alınır.
- Doğrudan mali kayıp varsa (dolandırıcılık, hesap ele geçirme) banka ve operatör kayıtları toplanır.
- Manevi zarar iddiası, olayın kişinin çevresinde yarattığı somut sonuçlarla anlatılır.
Sürecin En Sık Kırıldığı Nokta
Uygulamada en çok görülen kayıp, veri sorumlusuyla yapılan uzun yazışmalar sırasında tazminat süresinin işlemeye devam ettiğinin fark edilmemesidir. İdari süreç ile özel hukuk süreci ayrı takvimlerde yürütülmeli, Kurumun vereceği karar dava açmak için beklenmemelidir.
Bu metin genel bir yol haritasıdır ve her ihlalin teknik yapısı farklıdır. Sızan verinin niteliği ve kayıtların durumu değerlendirilerek, dosyaya özgü bir strateji için hukuki destek alınması önerilir.