Bir kurumun sistemlerinden kişisel verilerin sızması (veri ihlali), etkilenen kişiler için hem idari şikâyet hem tazminat boyutu doğurur. TCK'nın bilişim suçlarına ilişkin 243-245. maddeleri, 5651 sayılı Kanun ve KVKK ekseninde bu rehber, veri ihlali mağdurunun tazminat yolunu ele alır.
Veri İhlalinin İki Yüzü
Veri ihlali, hem verisi sızan kişiyi mağdur eder hem de veri sorumlusunun yükümlülüklerini gündeme getirir. Mağdur açısından ilk adım, sızıntının kendisini etkileyip etkilemediğini ve hangi verilerin açığa çıktığını belgelemektir. Bildirim yazıları, medyaya yansıyan duyurular ve kurumun açıklamaları bu tespiti destekler.
Veri Sorumlusunun Yükümlülüğü
KVKK kapsamında veri sorumlusu, verileri güvenli biçimde saklamak ve ihlal halinde ilgilileri ve Kurulu bilgilendirmekle yükümlüdür. Bu yükümlülüğün gereği gibi yerine getirilmemesi, tazminat talebinin dayanağını güçlendirir. Mağdur önce veri sorumlusuna başvurabilir, yanıt yetersizse Kurula şikâyet edebilir.
Tazminatta Zararın Gösterilmesi
Veri ihlalinde tazminat, çoğu kez ihlalin yarattığı somut sonuca dayanır. Talebin güçlenmesi için zararın ortaya konması gerekir:
- Sızan veriyle yapılan dolandırıcılık girişimleri veya hesap ele geçirme.
- Kimlik bilgilerinin kötüye kullanımından doğan mali kayıp.
- Özel nitelikli verinin ifşasının yol açtığı manevi zarar.
İdari Süreçle Tazminatın İlişkisi
Kurulun ihlale ilişkin tespitleri ve verdiği kararlar, tazminat davasında güçlü bir dayanak olabilir. Bu nedenle idari şikâyet ile tazminat davası çoğu kez birbirini besleyecek şekilde birlikte planlanır. İdari sürecin sonucu beklenirken tazminat için öngörülen sürelerin de gözden kaçırılmaması gerekir.
Değerlendirme
Veri ihlali dosyalarında en zor kısım, soyut bir mağduriyeti somut ve ölçülebilir bir zarara dönüştürmektir. Sızan verinin niteliği ve doğurduğu sonuç her kişide farklı olduğundan, hem idari şikâyet hem tazminat yolunun somut duruma göre değerlendirilmesi önerilir.