KVKK Veri İhlali ve Veri Sızıntısında Haklar

Veri ihlali; kişisel verilerin hukuka aykırı biçimde elde edilmesi, açıklanması, değiştirilmesi, kaybolması veya erişilemez hâle gelmesi gibi olayları kapsayabilir. Bir sızıntı bildirimi alındığında önce hangi verilerin etkilendiği ve olayın devam edip etmediği belirlenmeli; hesap güvenliği ile hukuki başvuru adımları birlikte planlanmalıdır.

Veri ihlali öğrenildiğinde ilk adımlar

1. Veri sorumlusunun bildirimini, olay tarihini ve açıklanan veri kategorilerini saklayın.

2. Etkilenen hesabın parolasını değiştirin; aynı parola kullanılan diğer hesapları da güvene alın.

3. Kimlik, finans veya iletişim verisi sızdıysa olağan dışı işlem ve mesajları takip edin.

4. Veri sorumlusundan olayın kapsamı, alınan tedbirler ve haklarınız hakkında yazılı bilgi isteyin.

5. Zarar, kimlik kötüye kullanımı veya suç şüphesi varsa ilgili kayıtları koruyarak diğer hukuki yolları değerlendirin.

Veri sorumlusunun yükümlülükleri

KVKK m.12 uyarınca veri sorumlusu; kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, verilerin muhafazasını sağlamak amacıyla gerekli teknik ve idari tedbirleri almakla yükümlüdür. İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde durumun en kısa sürede ilgili kişiye ve Kişisel Verileri Koruma Kuruluna bildirilmesi gerekir.

Bildirim yapılması tek başına bütün yükümlülüklerin yerine getirildiği anlamına gelmez. İhlalin kaynağının belirlenmesi, etkisinin sınırlandırılması, delillerin ve kayıtların korunması, etkilenen kişilere anlaşılır bilgi verilmesi ve benzer olayların önlenmesine yönelik tedbirler ayrıca önem taşır.

72 saatlik bildirim süresi ne anlama gelir?

Kişisel Verileri Koruma Kurulunun 24.01.2019 tarihli ve 2019/10 sayılı kararı, KVKK m.12/5'teki “en kısa sürede” ifadesini veri sorumlusunun ihlali öğrendiği tarihten itibaren en geç yetmiş iki saat olarak yorumlamıştır. Kurula bildirim bu süre içinde yapılmalı; haklı bir nedenle gecikme varsa gerekçesi de bildirimle açıklanmalıdır.

Karara göre etkilenen kişilere de ihlalin öğrenilmesinden sonra makul olan en kısa sürede bildirim yapılması gerekir. Yetmiş iki saat, ilgili kişinin başvuru süresi değil; veri sorumlusunun Kurula bildirim yükümlülüğüne ilişkin ölçüdür.

Dosya hazırlığı ve ilk değerlendirme

İlgili kişi önce veri sorumlusuna başvurur; cevabın yetersizliği veya süresinde cevap verilmemesi hâlinde Kişisel Verileri Koruma Kuruluna şikâyet yolu değerlendirilir. Başvuruya başlamadan önce görev, yetki ve talep sonucu netleştirilmelidir. Aynı olay birden fazla hukuki yol doğurabiliyorsa, bu yolların süreleri ve birbirleri üzerindeki etkisi birlikte değerlendirilir. Böylece yanlış mercie başvuru, eksik talep veya süre kaybı riski azaltılır.

İhlal bildirimi, veri sorumlusu aydınlatması, e-posta başlıkları, erişim kayıtları, ekran görüntüleri, kimlik avı mesajları, maddi zarar belgeleri ve yapılan başvurular saklanır. Belgeler yalnız toplanmamalı; tarih, kaynak ve hangi iddiayı kanıtladığı belirtilerek düzenlenmelidir. Asıllar güvenli biçimde korunmalı, başvuru için okunaklı kopyalar hazırlanmalı ve sonradan temin edilecek kayıtlar dilekçede açıkça gösterilmelidir.

Süre ve başvuru takvimi nasıl yönetilir?

İhlalin öğrenilmesi, veri sorumlusunun bildirimi, başvuru, cevap ve Kurula şikâyet tarihleri ayrı tutulur; kanuni süreler başvuru ve öğrenme tarihine göre hesaplanır. Tebliğ veya öğrenme tarihine bağlı bir süre varsa zarf, elektronik tebligat kaydı, tutanak ya da ekran çıktısı saklanmalıdır. Son gün beklenmeden hazırlık yapılması, eksik belgenin tamamlanması ve gerektiğinde alternatif başvuru yolunun korunması bakımından önemlidir.

Takvim hazırlanırken hafta sonu ve resmî tatil kuralları, başvurunun hangi anda yapılmış sayılacağı ve elektronik sistemde yaşanabilecek teknik sorunlar da hesaba katılır. Süre konusunda tereddüt varsa en erken muhtemel başlangıç tarihi esas alınarak hareket etmek hak kaybı riskini azaltır.

Adım adım uygulama planı

Hangi verinin, hangi amaçla ve kimlerce işlendiği sorulur; erişim, düzeltme, silme veya yok etme ve zararın giderilmesi talepleri somutlaştırılır. Dilekçede olaylar kronolojik ve kısa cümlelerle anlatılır; her hukuki iddia onu destekleyen belgeyle eşleştirilir. Talep bölümünde ise mahkemeden veya idareden tam olarak hangi kararın istendiği tereddüde yer bırakmayacak biçimde yazılır.

1. Dosyanın hukuki niteliğini, görevli mercii ve süreyi belirleyin.

2. Olay kronolojisini ve belge listesini hazırlayın; eksik kayıtları ilgili kurumdan isteyin.

3. Asıl talep ile varsa tedbir, durdurma, tespit veya bilgi istemlerini ayrı başlıklarla kurun.

4. Başvuru numarasını ve tebliğleri izleyin; sonraki aşama için yeni süreyi aynı gün kaydedin.

İspat ve delillerin değerlendirilmesi

Bir belgenin varlığı kadar güvenilirliği ve olayla bağlantısı da önemlidir. Tarihsiz, kaynağı belirsiz veya yalnız bir bölümü görünen kayıtlar karşı tarafça tartışılabilir. Bu nedenle belgenin tamamı, düzenleyen kurum, tebliğ veya oluşturulma tarihi ve dosyayla ilişkisi açıklanmalıdır. Dijital kayıtlar değiştirilmeden korunmalı; gerekirse asıllarının kurumdan getirtilmesi veya bilirkişi incelemesi istenmelidir.

Tanık anlatımı kullanılacaksa tanığın hangi olayı doğrudan gördüğü belirtilmeli, belgeyle kanıtlanabilecek konular yalnız tanığa bırakılmamalıdır. Karşı tarafın elindeki veya resmî kurumda bulunan deliller de mümkün olduğunca açık tarif edilerek celbi talep edilmelidir.

Sık yapılan hatalar

• Veri sorumlusuna başvurmadan doğrudan şikâyet etmek.

• Yalnız genel bir sızıntı haberiyle kişisel etkilenmeyi açıklamamak.

• Parola ve hesap güvenliği önlemlerini geciktirmek.

Bunlara ek olarak, internetten alınan örnek dilekçenin somut olaya uyarlanmadan kullanılması önemli bir risktir. Örnek metin; taraf bilgileri, tarihler, deliller, görevli merci ve talep sonucu bakımından dosyaya uygun değilse başvuruyu güçlendirmek yerine belirsizleştirebilir.

Dilekçe ve ekler için son kontrol listesi

Başvuru metni imzalanmadan önce taraf adları, kimlik veya vergi numaraları, adresler, dosya ve karar numaraları ile bütün tarihler dayanak belgelerden yeniden kontrol edilmelidir. Olay anlatımı ile sonuç ve istem bölümü birbiriyle uyumlu olmalı; gerekçede tartışılmayan yeni bir talep sonuç bölümüne eklenmemelidir. Her ek okunaklı olmalı, ek listesinde sıra numarasıyla gösterilmeli ve metinde ilgili iddiadan sonra bu numaraya atıf yapılmalıdır.

Fizikî başvuruda sunulan nüsha sayısı ve harç-gider avansı; elektronik başvuruda dosya biçimi, boyutu ve güvenli elektronik imza kontrol edilir. Başvuru tamamlanınca evrak kayıt numarası veya UYAP gönderim sonucu saklanır. Sonradan sunulacak belge ya da cevabı beklenecek kurum yazısı varsa, bunun için ayrıca takip tarihi oluşturulur. Bu basit kontrol, esasa ilişkin güçlü bir dosyanın biçimsel eksiklik yüzünden gecikmesini önler.

Dosyanın bir kopyası, sunulan son hâliyle ve kişisel veriler korunarak arşivlenmelidir. Yeni bir tebligat geldiğinde önceki metin üzerinde dağınık değişiklik yapmak yerine, tebliğ tarihi ve yeni yükümlülük ayrı bir takip notuna işlenmelidir. Böylece dosyayı daha sonra inceleyen kişi hangi işlemin ne zaman ve hangi belgeye dayanarak yapıldığını açıkça görebilir.

Başvuru veya karar sonrasında takip

Kurul incelemesi idari yükümlülükleri ele alır; maddi veya manevi tazminat talebi için genel mahkemelerde ayrıca dava gerekebilir. Kararın tebliğiyle başlayabilecek itiraz, istinaf, ödeme veya yerine getirme süreleri aynı gün kayda alınmalıdır. Kabul kararı verilmesi her zaman işlemin kendiliğinden tamamlandığı anlamına gelmez; ilgili kurum, banka, sicil veya icra birimi nezdinde ek uygulama adımları gerekebilir.

Ret veya kısmi kabul hâlinde gerekçe dikkatle okunmalı; eksik belge, yanlış hukuki nitelendirme veya delillerin değerlendirilmemesi gibi hususlar kanun yolu dilekçesinde somutlaştırılmalıdır. Bu açıklamalar genel bilgilendirme amaçlıdır; süre ve yöntem somut dosyanın belgeleri üzerinden belirlenir.

İlgili kişinin KVKK m.11 kapsamındaki hakları

• Kişisel verilerinin işlenip işlenmediğini öğrenme,

• işlenmişse buna ilişkin bilgi talep etme,

• işlenme amacı ile amacına uygun kullanılıp kullanılmadığını öğrenme,

• verilerin aktarıldığı yurt içi veya yurt dışındaki üçüncü kişileri bilme,

• eksik veya yanlış işlenen verilerin düzeltilmesini isteme,

• kanuni şartları varsa silme veya yok etme talep etme,

• bu işlemlerin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,

• kanuna aykırı işleme sebebiyle zarara uğranması hâlinde giderim talep etme.

Veri sorumlusuna başvuru nasıl yapılır?

KVKK m.13 uyarınca ilgili kişi taleplerini önce veri sorumlusuna iletir. Başvuruda kimlik ve iletişim bilgileri, talebin konusu, ihlalle bağlantı ve istenen sonuç açıkça belirtilmelidir. Veri sorumlusu başvuruyu en kısa sürede ve en geç otuz gün içinde ücretsiz sonuçlandırır; işlemin ayrıca maliyet gerektirmesi hâlinde Kurulca belirlenen tarifedeki ücret gündeme gelebilir.

Başvuruya cevap verilmemesi, cevabın yetersiz bulunması veya başvurunun reddedilmesi hâlinde KVKK'daki süre ve usul şartlarına göre Kurula şikâyet yolu değerlendirilebilir. Ceza şikâyeti, tazminat veya sözleşmesel talepler ise olayın niteliğine göre ayrıca gündeme gelebilir.

Hangi kayıtlar korunmalı?

• Veri ihlali bildiriminin aslı, e-posta üstbilgileri ve tarih-saat kayıtları,

• veri sorumlusuna yapılan başvuru ve teslim/ileti kayıtları,

• hesap giriş uyarıları, parola sıfırlama ve şüpheli işlem bildirimleri,

• kimlik veya finans verisinin kötüye kullanıldığını gösteren mesaj, işlem ve başvurular,

• Kurul veya diğer kurumlarla yapılan yazışmalar.

Dijital kayıtların değiştirilmeden ve bağlamıyla korunması için dijital delilin korunması ve mahkemeye sunulması rehberini inceleyebilirsiniz.

Sık yapılan hatalar

• Yetmiş iki saati ilgili kişinin başvuru süresi sanmak,

• başvuruyu veri sorumlusu yerine ilgisiz bir birime göndermek,

• hangi verinin ve hangi talebin söz konusu olduğunu açıklamamak,

• bildirim e-postasını ve teslim kayıtlarını silmek,

• yalnız parola değiştirip kimlik veya finans verisinin kötüye kullanım riskini izlememek.

Emsal Kurul kararı neden önemlidir?

Kişisel Verileri Koruma Kurulunun 2019/10 sayılı kararı; Kurula bildirim için yetmiş iki saatlik ölçüyü, ilgili kişilere makul olan en kısa sürede bildirim yapılmasını, gecikme gerekçesinin açıklanmasını ve veri ihlallerine ilişkin kayıt ile müdahale planı tutulmasını ortaya koyar. Somut olayda bildirim zamanı ve içeriği bu ölçütlerle birlikte değerlendirilir.

Resmî kaynaklar ve ilgili hizmet

İlgili kişinin hakları bakımından 6698 sayılı Kişisel Verilerin Korunması Kanunu m.11; veri güvenliği ve ihlal bildirimi bakımından m.12; veri sorumlusuna başvuru bakımından m.13 esas alınır. Somut olayın veri, ceza ve tazminat boyutlarının değerlendirilmesi için Bilişim Hukuku hizmeti sayfasına bakabilirsiniz.

İhlalin nedeni bir hesabın ele geçirilmesi ise sosyal medya hesabı ele geçirildiğinde yapılması gerekenleri de inceleyebilirsiniz.