Kişisel Veri İhlalinden Sonra Hangi Haklar Kullanılabilir?

Kişisel veri ihlali bildirimi alan kişi, hangi verilerin etkilendiğini, ihlalin ne zaman gerçekleştiğini ve veri sorumlusunun aldığı önlemleri öğrenmeye odaklanmalıdır. Veri sorumlusuna yapılacak başvuruyla Kurula şikayet yolunun şartları birbirinden ayrılmalıdır.

Veri ihlali bildirimi alındığında ilk kontrol

Bir şirketin kişisel verilerinize yetkisiz erişildiğini bildirmesi, bütün bilgilerinizin kesin olarak ele geçirildiği anlamına gelmez. Önce hangi veri kategorilerinin etkilendiği, ihlalin hangi dönemde gerçekleştiği, erişimin doğrulanıp doğrulanmadığı ve veri sorumlusunun hangi koruyucu işlemleri uyguladığı açıklığa kavuşturulmalıdır. Parola, kimlik, adres, finansal bilgi ve sağlık bilgisi aynı riskleri doğurmaz. İhlal bildirimi, şirketin web duyurusu, gönderildiği e-posta ve başvuru kayıtları saklanmalıdır. Sahte ihlal mesajları da olabileceğinden, bağlantılara doğrudan tıklamak yerine kurumun resmi iletişim kanallarından bildirim doğrulanmalıdır. Çevrimiçi hesapların parolaları ve oturumları gerekiyorsa güvenli biçimde güncellenmelidir.

KVKK m. 11 kapsamında hangi haklar kullanılabilir?

6698 sayılı Kanun m. 11, ilgili kişiye kendisiyle ilgili verilerin işlenip işlenmediğini öğrenme, işlenmişse bilgi isteme, işlenme amacını ve amaca uygun kullanımı öğrenme, aktarım yapılan üçüncü kişileri bilme gibi haklar tanır. Şartları varsa düzeltme, silme veya yok etme ve yapılan işlemlerin üçüncü kişilere bildirilmesi talepleri gündeme gelebilir. Münhasıran otomatik sistemler ile analiz edilmesi nedeniyle aleyhe sonuç çıkmasına itiraz ve kanuna aykırı işleme yüzünden zararın giderilmesini talep hakları da ayrı değerlendirilir. Bu hakların her biri her veri için otomatik sonuç doğurmaz; örneğin hukuki saklama yükümlülüğü varsa silme talebinin kapsamı sınırlanabilir.

Veri sorumlusuna başvuru nasıl yapılır?

KVKK m. 13 uyarınca kural olarak ilk başvuru veri sorumlusuna yapılır. Başvuru, Kurulun belirlediği usule uygun biçimde kimlik ve iletişim bilgileriyle, somut talepler belirtilerek iletilmelidir. Başvuru metninde ihlal duyurusunun tarihi, etkilenen hesap veya üyelik, merak edilen veri kategorileri ve beklenen düzeltici tedbirler açıkça yer alabilir. Kurum, talebi niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırmak durumundadır. Yanıtın gönderildiği kanalı ve alındığı tarihi kaydetmek önemlidir. Veri sorumlusunun çağrı merkezine yapılan sıradan bir telefon görüşmesinin kanuni başvuru usulünü karşıladığı peşinen kabul edilmemelidir.

Kurula şikayet için süre hesabı

Veri sorumlusuna başvuru reddedilmişse, cevap yetersizse veya süresinde cevap verilmemişse Kişisel Verileri Koruma Kuruluna şikayet yolu açılabilir. KVKK m. 14 uyarınca cevap öğrenildikten itibaren otuz günlük ve başvurudan itibaren altmış günlük kurallar bulunur. Kişisel Verileri Koruma Kurulunun 2019/9 sayılı kararına göre otuz gün içinde yanıt verilmişse şikayet için bu cevaptan itibaren otuz gün; yanıt verilmemişse başvurudan itibaren altmış gün esas alınır. Otuz günden sonra gelen yanıt beklenerek altmış günlük süre uzatılamaz. Bu nedenle 'her zaman altmış gün vardır' veya 'her cevapta yeni otuz gün başlar' şeklindeki basit formüller hatalı sonuç verebilir. Başvuru ve tebliğ günleri somut takvimde işaretlenmelidir.

Tazminat, idari şikayet ve ceza boyutu ayrıdır

Kurulun incelemesi kişisel veri mevzuatına uygunluk ve uygulanabilecek idari tedbirler üzerinedir; Kurula verilen şikayet doğrudan kişiye manevi tazminat ödenmesini sağlayan bir dava değildir. Somut zarar iddiası için kişilik hakkı ihlali, hukuka aykırı veri işleme, zarar ve nedensellik bağı değerlendirilerek adli veya idari yargı imkanları araştırılır. Bir veri ihlalinin duyurulması tek başına bütün ilgili kişilere aynı tutarda tazminat hakkı kazandırmaz. Yetkisiz erişimde ayrıca suç şüphesi doğabilir; bu ihtimalin değerlendirilmesi idari şikayetin yapılmasına bağlı değildir. İhlale ilişkin delillerin korunması her yol açısından önem taşır.

Uygulama örneği: müşteri verilerinin sızması

Bir e-ticaret platformunun ad, telefon ve sipariş geçmişi verilerine yetkisiz erişim olduğunu duyurduğunu varsayalım. Müşteri önce resmi duyurunun kapsamını kontrol eder, hesabındaki olağandışı hareketleri inceler ve şirketten kendi verilerinin etkilenip etkilenmediğinin açıklanmasını ister. Kimlik avı mesajlarını, dolandırıcılık girişimlerini ve varsa mali kayıplarını tarih sırasına göre kaydeder. Veri sorumlusunun otuz günlük yanıt süresini takip eder; gerekirse Kurula şikayet ve ayrı tazminat yolunu değerlendirir. Öte yandan verilerin hangi güvenlik açığıyla dışarı çıktığına ilişkin teknik ayrıntıların tümü ilgili kişiye sınırsız biçimde açıklanmak zorunda olmayabilir. Talep, kendi verisi ve haklarıyla ilgili açıklığa odaklanmalıdır.

Sızan bilgiler arasında kimlik numarası, kimlik görüntüsü veya bankacılık hesabıyla bağlantılı iletişim verileri bulunuyorsa ilgili kişi yalnız KVKK şikayeti ile yetinmemelidir. Banka hesabında şüpheli işlem kontrolü yapılması, mümkün olan güvenlik ayarlarının güçlendirilmesi, aynı parolanın kullanıldığı hesaplarda parola yenileme ve iki aşamalı doğrulama etkinleştirme pratik önlemler arasındadır. Şüpheli kredi, alışveriş veya hesap işlemi görüldüğünde ilgili finans kuruluşuna derhal bildirim yapılması ve başvurunun kayıt altına alınması önem taşır. Zarar sonradan ortaya çıkabileceği için ihlal bildirimi ile risk gerçekleşmesi arasındaki zaman çizelgesi tutulmalıdır. Bununla birlikte bir ihlal bildirimi almak, ilgili kişinin adına gerçekten işlem yapıldığını kanıtlamaz; iddialar belgeyle doğrulanmalıdır.

Kimlik dolandırıcılığı riski varsa ne yapılmalı?

Süre hesabı için somut takvim ve başvuru örneği

Örneğin ilgili kişi 1 Nisan günü veri sorumlusuna usulüne uygun başvurmuş ve 17 Nisanda gerekçeli olumsuz cevap almışsa Kurula şikayet süresi bakımından cevap tarihini esas alan otuz günlük kural ve başvurudan itibaren işleyen mutlak altmış günlük üst sınır birlikte gözetilmelidir. Hiç cevap gelmezse başvuru tarihinden itibaren altmış günlük sınır dikkate alınır. Otuz günden sonra gelen cevabın her durumda yeni bir otuz günlük süre başlattığı şeklinde düşünülmemelidir. Kesin son gün, somut takvim ve usul hükümleriyle ayrı hesaplanmalıdır.

Başvurunun içeriği de sonuç kadar önemlidir. “Verilerim sızdı, işlem yapın” ifadesi yerine, kişiye ilişkin hangi veri kategorilerinin etkilenmiş olabileceği, aktarım yapılan alıcı grupları, alınan güvenlik önlemleri hakkında hangi bilginin istendiği ve gerekiyorsa düzeltme ya da silme talebinin hangi veri üzerinde kurulduğu açıklanmalıdır. Kurumun cevap vermesi ile bütün kişisel bilgilerin mutlaka silinmesi eş anlamlı değildir; yasal saklama yükümlülükleri ve işleme şartları farklı sonuçlara neden olabilir.

Kurul şikayetinde asıl başvurunun teslim kanıtı, cevabın tam metni ve tebliğ tarihi bulunmalıdır. Kimlik avı veya maddi kayıp iddiası varsa sahte mesajlar, işlem kayıtları ve banka bildirimleri ayrıca korunmalıdır. KVKK idari şikayeti kişinin zararını otomatik tazmin eden bir mekanizma değildir; tazminat ve olası ceza süreçleri ayrı hukuk yolları gerektirebilir. Kurulun resmi süre açıklamaları ve 2019/9 sayılı kararındaki hesap yöntemi birlikte dikkate alınmalıdır.

İlgili dilekçe ve başvuru

Hukuki kaynaklar

KVKK: Şikayet hakkı; KVKK Kurulunun 2019/9 sayılı süre kararı.