Bir veri ihlalinin ardından atılacak adımlar teknik, idari ve hukuki başlıkların aynı anda yürütülmesini gerektirir. İhlalden etkilenen kişi bakımından ise asıl güçlük, zararın somutlaştırılmasıdır: verinin sızdığı bilinse bile bunun kişiye özgü sonuçları gösterilmediğinde talep soyut kalır. Bu rehber, veri ihlaline dayalı tazminat talebinin nasıl kurulacağını ve bildirimin geç ulaşmasının süre hesabına etkisini ele alır.
İhlalin Kapsamını Teknik Olarak Belgelemek
Talep hazırlığı, hangi verinin hangi tarihte ve hangi yolla üçüncü kişilerin erişimine açıldığının gösterilmesiyle başlar. Veri sorumlusunun yaptığı ihlal duyurusu, bu duyurudaki veri kategorileri ve etkilenen kişi grubu ilk dayanaktır. İnternet üzerinden gerçekleşen olaylarda 5651 sayılı Kanun kapsamında tutulan kayıtlar ile erişim ve işlem günlükleri, olayın zaman çizelgesini kurmakta kullanılır. TCK 243-245 kapsamındaki fiiller söz konusuysa, teknik incelemenin adli süreçle uyumlu yürütülmesi gerekir.
Paralel Yürütülecek Hukuki Yollar
Aynı olay birden fazla süreci aynı anda doğurabilir ve bunlar birbirini besler:
- Veri sorumlusuna KVKK kapsamında yazılı başvuru yapılması ve cevabın beklenmesi
- Cevap alınamaması veya yetersiz bulunması hâlinde idari makama şikâyet yoluna gidilmesi
- Fiil suç oluşturuyorsa savcılığa suç duyurusunda bulunulması
- Maddi ve manevi zarara ilişkin tazminat talebinin adli yargıda ileri sürülmesi
- Verinin yayılmaya devam ettiği hâllerde içeriğe yönelik koruyucu taleplerin değerlendirilmesi
Zararın Somutlaştırılması
Manevi zarar iddiasında, kişilik hakkının hangi yönüyle zedelendiği anlatılmalıdır; sağlık verisi, iletişim içeriği veya kimlik bilgisi gibi kategorilerin etkisi birbirinden farklıdır. Maddi zarar iddiasında ise sızan veri ile uğranılan kayıp arasındaki bağ kurulmalıdır: kimliğin kullanılarak açılan hesaplar, yetkisiz işlemler, bunları düzeltmek için yapılan giderler ve kaybedilen zamanın belgelenmesi bu bağı güçlendirir. Belge olmadan yapılan tahmini hesaplar, karşı tarafın ilk itirazında zayıflar.
Öğrenme Tarihi ve Bildirim Gecikmesi
İhlalin gerçekleştiği tarih ile ilgili kişinin bunu öğrendiği tarih çoğu dosyada aylarca ayrışır. Duyurunun yalnızca kurumsal internet sitesinde yayımlanması, elektronik posta bildiriminin istenmeyen klasörüne düşmesi ya da eski iletişim bilgilerine gönderilmesi, kişinin haberi olmadan hak arama takviminin işlemesine yol açar. Bu nedenle öğrenme anını gösteren her kayıt saklanmalıdır: bildirim iletisinin başlık bilgileri, duyuru sayfasının tarihli çıktısı, veri sorumlusuna gönderilen ilk başvuru ve alınan cevap.
Başvuru ve şikâyet aşamalarının kendine özgü süreleri bulunduğundan, yazışma trafiği tek bir tabloda tarihleriyle izlenmelidir.
Yukarıdaki açıklamalar genel niteliktedir. Sızan verinin türü, veri sorumlusunun konumu ve olayın kapsamı izlenecek yolu değiştirebileceğinden, talep hazırlanmadan önce bir hukukçudan değerlendirme alınması yerinde olur.