KVKK Kapsamında Kişisel Veri İhlali: Başvuru ve Şikayet Yolları

Kişisel verilerinizin hukuka aykırı biçimde işlendiğini, izinsiz paylaşıldığını veya güvenliğinin ihlal edildiğini düşünüyorsanız, izlemeniz gereken yol kural olarak iki aşamalıdır: önce ilgili veri sorumlusuna doğrudan başvurmanız, verdiği yanıtı yetersiz bulmanız veya süresinde yanıt alamamanız halinde ise Kişisel Verileri Koruma Kurulu’na şikayette bulunmanız gerekir. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), bu iki basamağı ve bunlara ilişkin süreleri açıkça düzenlemektedir. Bu yazıda kişisel veri ihlali kavramını, başvuru ve şikayet sürecini, dikkat edilmesi gereken süreleri ve hukuki hakları bilgilendirme amacıyla ele alıyoruz.

Kişisel Veri ve Veri İhlali Nedir?

Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Ad, soyad, kimlik numarası, telefon, e posta, adres, konum, sağlık bilgileri, banka ve alışveriş kayıtları bu kapsamdadır. Sağlık, cinsel hayat, din, siyasi görüş, biyometrik ve genetik veriler gibi bilgiler ise özel nitelikli kişisel veri sayılır ve daha sıkı korumaya tabidir.

Kişisel verilerin korunması, bu verilerin hukuka uygun, belirli ve meşru amaçlarla, açık rıza ya da kanunda öngörülen diğer işleme şartlarına dayanılarak işlenmesini gerektirir. Verilerin izinsiz toplanması, amaç dışı kullanılması, yetkisiz üçüncü kişilere aktarılması ya da yeterli güvenlik önlemi alınmadığı için çalınması veya sızması kişisel veri ihlali olarak değerlendirilir.

Veri Sorumlusu ve İlgili Kişi Kimdir?

KVKK’da iki temel taraf yer alır. Veri sorumlusu, kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir; bir banka, hastane, e ticaret şirketi ya da işvereniniz veri sorumlusu olabilir. İlgili kişi ise kişisel verisi işlenen gerçek kişi, yani sizsiniz.

Veri ihlalinde hakkınızı ararken muhatabınız kural olarak veri sorumlusudur. Bu nedenle başvurunuzu doğru muhataba yöneltmek sürecin sağlıklı ilerlemesi açısından önemlidir.

İlgili Kişinin KVKK Kapsamındaki Hakları

Kanun, her ilgili kişiye veri sorumlusuna karşı ileri sürebileceği bir dizi hak tanımaktadır. Bu haklar özetle şunlardır:

• Kişisel verisinin işlenip işlenmediğini öğrenme,
• İşlenmişse buna ilişkin bilgi talep etme,
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme,
• Eksik veya yanlış işlenmiş verilerin düzeltilmesini isteme,
• Kanunda öngörülen şartlar çerçevesinde verilerin silinmesini veya yok edilmesini isteme,
• Düzeltme, silme veya yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• İşlenen verilerin münhasıran otomatik sistemlerle analiz edilmesi sonucu aleyhe bir sonuç doğmasına itiraz etme,
• Verilerin kanuna aykırı işlenmesi sebebiyle zarara uğraması halinde zararın giderilmesini talep etme.

Birinci Aşama: Veri Sorumlusuna Başvuru

KVKK, ilgili kişinin haklarını kullanabilmesi için öncelikle veri sorumlusuna yazılı olarak veya Kurul’un belirlediği diğer yöntemlerle başvurmasını öngörür. Başvurunun usul ve esasları, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ ile ayrıntılı biçimde düzenlenmiştir.

Başvuruda aşağıdaki hususların bulunması önerilir:

• Ad, soyad ve başvuru yazılı ise imza,
• Türkiye Cumhuriyeti vatandaşları için T.C. kimlik numarası, yabancılar için uyruk ve pasaport numarası,
• Tebligata esas yerleşim yeri veya iş yeri adresi,
• Varsa bildirime esas elektronik posta adresi, telefon ve faks numarası,
• Talebin konusunun açık ve anlaşılır biçimde ifade edilmesi.

Başvuru; ıslak imzalı yazılı belge, kayıtlı elektronik posta (KEP) adresi, güvenli elektronik imza, mobil imza ya da veri sorumlusuna daha önce bildirilmiş ve sistemine kayıtlı elektronik posta adresi üzerinden yapılabilir. Veri sorumlusu, talebi niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırmakla yükümlüdür. İşlemin ayrıca bir maliyet gerektirmesi halinde Kurul’un belirlediği tarife uygulanabilir.

İkinci Aşama: Kişisel Verileri Koruma Kurulu’na Şikayet

Veri sorumlusu başvurunuzu reddederse, verdiği yanıtı yetersiz bulursanız veya süresi içinde hiç yanıt vermezse Kişisel Verileri Koruma Kurulu’na şikayette bulunabilirsiniz. Kanun burada da bir süre öngörür: şikayet, veri sorumlusunun cevabını öğrendiğiniz tarihten itibaren otuz gün ve her halde başvuru tarihinden itibaren altmış gün içinde yapılmalıdır. Bu süreler hak kaybı yaşamamak için titizlikle takip edilmelidir.

Kurul’a şikayet, veri sorumlusuna başvuru yolunun tüketilmiş olması şartına bağlıdır. Yani doğrudan Kurul’a başvurmadan önce, kural olarak veri sorumlusuyla iletişime geçmiş olmanız gerekir. Bunun yanında, Kurul kendisine intikal eden ihlal iddialarını resen (kendiliğinden) de inceleyebilir. Kurul, inceleme sonucunda ihlalin varlığını tespit ederse veri sorumlusuna aykırılığın giderilmesini emredebilir ve kanunda öngörülen idari yaptırımlara hükmedebilir.

Veri Güvenliği İhlallerinde Bildirim Yükümlülüğü

KVKK, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından ele geçirilmesi halinde veri sorumlusuna bir bildirim yükümlülüğü getirir. Veri sorumlusu, bu durumu en kısa sürede ilgili kişiye ve Kurul’a bildirmekle yükümlüdür. Bu nedenle bir şirketten “verilerinizin güvenliğine ilişkin bir ihlal yaşandı” içerikli bir bildirim aldıysanız, bu bildirim haklarınızı kullanmak için önemli bir başlangıç noktasıdır.

Cezai ve Hukuki Boyut

Kişisel veri ihlalinin sonuçları yalnızca idari yaptırımlarla sınırlı değildir. Kişisel verilerin hukuka aykırı biçimde kaydedilmesi, ele geçirilmesi, yayılması veya yok edilmemesi Türk Ceza Kanunu kapsamında ayrı suçlar oluşturabilir. Bu nedenle bir ihlal, hem KVKK kapsamında Kurul’a şikayet hem de savcılığa ceza şikayeti yapılmasını gerektirebilir. Ayrıca verilerinizin izinsiz işlenmesi nedeniyle bir zarara uğradıysanız, genel hükümler çerçevesinde maddi ve manevi tazminat talep etme yolunuz da saklıdır.

Özellikle sosyal medya ortamında verilerinizin izinsiz paylaşılması, fotoğraf ya da yazışmalarınızın ifşa edilmesi gibi durumlar sıklıkla hem kişisel veri ihlali hem de bilişim suçu boyutu taşır. Bu tür durumlarda izlenebilecek adımlar için sosyal medyada hakaret ve bilişim suçlarına karşı haklarınız başlıklı yazımız da yol gösterici olacaktır.

Süreçte Dikkat Edilmesi Gereken Noktalar

Kişisel veri ihlali başvuru ve şikayet sürecinde en sık yaşanan hak kayıpları, sürelerin kaçırılması ve delillerin zamanında toplanmamasından kaynaklanır. Bu nedenle:

• İhlale ilişkin ekran görüntüsü, e posta, mesaj ve belgeleri erken aşamada saklayın,
• Veri sorumlusuna yaptığınız başvurunun tarihini ve gönderim biçimini kanıtlayabilecek şekilde ilerleyin,
• Aldığınız yanıtı ve yanıt tarihini dikkatle kayıt altına alın,
• Otuz ve altmış günlük şikayet sürelerini takip edin.

Sürecin doğru yürütülmesi, hem Kurul nezdindeki şikayetin hem de olası tazminat ve ceza yollarının sağlıklı sonuçlanması bakımından belirleyicidir. Bilişim hukuku alanında deneyimli bir avukatla çalışmak, başvuru dilekçesinin doğru hazırlanması, delillerin usulüne uygun sunulması ve sürelerin takibi açısından önemli katkı sağlar. Çınar Hukuk Bürosu, kişisel verilerin korunması ve bilişim hukuku alanındaki uyuşmazlıklarda bireysel ve kurumsal müvekkillere hukuki danışmanlık ve dava takibi hizmeti sunmaktadır.

Not: Bu içerik yalnızca genel bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Somut durumunuza ilişkin olarak alanında tecrübeli bir avukattan destek almanız önerilir.