Bir kurumun sistemlerinden kişisel verilerin sızması, mağdur bakımından tek bir hukuki sonuç doğurmaz. Aynı olay; idari denetim, ceza soruşturması ve tazminat talebi olmak üzere birbirinden bağımsız üç hat yaratır. Bu rehber, veri ihlali sonrasında tazminat hattını fiilen işletirken atılacak adımları ve zaman kaybının tam olarak nerede başladığını konu alıyor.
İhlali Öğrendiğiniz Gün Yapılması Gereken Kayıtlar
Tazminat talebinin gücü, ihlalin öğrenildiği anda alınan kayıtlarla belirlenir. Sonradan toplanan belgeler çoğu zaman tarih bakımından tartışmalı hale gelir.
- Veri sorumlusundan gelen ihlal bildirim metninin tam hali ve geliş tarihi
- Kamuya yapılan duyuruların, basın açıklamalarının ekran görüntüsü
- Hangi veri kategorilerinin sızdığı: kimlik, iletişim, finans, sağlık, konum
- Sızıntının size ulaşan somut yansımaları: tanımadığınız giriş denemeleri, sahte arama kayıtları, hesap kurtarma e-postaları
Zararı Kalemlere Ayırmadan Talep Kurmayın
Uygulamada en sık görülen eksiklik, "veri sızdı, tazminat istiyorum" biçiminde kalem ayrımı yapılmamış bir taleptir. Maddi zarar ile manevi zarar ayrı ayrı temellendirilmelidir. Maddi kalemde; sızan bilgiyle gerçekleştirilen işlemler, hat veya hesap kurtarma için yapılan masraflar, itibar kaybının parasal karşılığı gösterilebiliyorsa belgeye bağlanır. Manevi kalemde ise verinin niteliği belirleyicidir; özel nitelikli veri içeren bir sızıntı ile yalnızca iletişim bilgisi içeren sızıntının etkisi aynı değildir.
Kurul Şikâyeti ile Tazminat Davası Aynı Yol Değildir
6698 sayılı KVKK sistemi, ilgili kişinin önce veri sorumlusuna başvurmasını, cevap alınamaması veya cevabın yetersiz olması halinde Kurul'a şikâyet yoluna gitmesini öngörür. Ancak Kurul idari yaptırım ve talimat mekanizmasıdır; kişisel tazminata hükmetmez. Tazminat talebi genel hükümler çerçevesinde adli yargıda ileri sürülür. Sistemlere hukuka aykırı erişim, veriyi ele geçirme veya yayma boyutu varsa TCK 243-245 kapsamındaki bilişim suçları yönünden ayrıca şikâyet hattı işletilir; içerik yayından kaldırma ve erişim engeli talepleri ise 5651 sayılı Kanun düzenlemesine dayanır. Bu üç hattın birbirini beklemesi gerekmez, birlikte yürütülebilir.
Süre Kaybının Doğduğu Tipik Anlar
- Veri sorumlusuna yapılan başvurunun tarihini kanıtlayan bir belge bırakılmaması
- Kurul cevabının beklenmesi sırasında adli yargıdaki tazminat takviminin unutulması
- Sızıntının medyada duyulduğu tarih ile kişiye bildirildiği tarihin karıştırılması
- Suç duyurusu ile tazminat talebinin aynı süreye tabi sanılması
Bu nedenle tek bir zaman çizelgesinde; öğrenme tarihi, başvuru tarihi, cevap tarihi ve zarar doğuran her işlemin tarihi birlikte tutulmalıdır. Sızıntının etkisi zamana yayılıyorsa her yeni zarar olayı ayrıca tarihlendirilmelidir.
Karşı Tarafın Savunma Kalıpları
Veri sorumlusu tarafında sık kullanılan savunmalar; ihlalin üçüncü bir tedarikçiden kaynaklandığı, gerekli teknik tedbirlerin alınmış olduğu ve zararla ihlal arasında nedensellik bulunmadığı yönündedir. Bu savunmalara karşı hazırlık, sızan veri kümesi ile size ulaşan somut zararın aynı bilgi setine dayandığını gösterebilmekten geçer.
Buradaki açıklamalar genel nitelikli bilgilendirmedir; sızan verinin türü, bildirim zinciri ve zararın oluşum biçimi her dosyada farklı sonuç üretir. Kendi olayınızda adım atmadan önce belgelerinizi bir hukukçuyla birlikte değerlendirmeniz yerinde olur.