KVKK Veri İhlali: Başvuru, Şikâyet ve Süreler

“Verileriniz sızdırıldı” haberi çıktı ve içinde sizin bilgileriniz de var. Ya da bir şirket, izniniz olmadan verilerinizi kullanıyor. 6698 sayılı Kişisel Verilerin Korunması Kanunu, hem veri sorumlusuna hem ilgili kişiye ayrı ayrı süreler ve yükümlülükler getirir. Bu sürelerin kaçırılması, hakkın kullanılamaması anlamına gelir.

Veri ihlali nedir?

İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesidir. Hacklenme, veri tabanının sızdırılması, yetkisiz erişim, çalınan dizüstü bilgisayar, yanlış kişiye gönderilen e-posta ve fiziki dosyaların kaybı bu kapsamdadır.

Veri sorumlusunun yükümlülüğü: 72 saat

KVKK m.12/5 uyarınca veri sorumlusu, ihlali öğrendiği tarihten itibaren gecikmeksizin ve Kurul düzenlemesi uyarınca en geç 72 saat içinde Kişisel Verileri Koruma Kurulu’na bildirmek zorundadır. Ayrıca ilgili kişiye de, makul olan en kısa sürede bildirim yapılır.

Bildirimde ihlalin ne zaman gerçekleştiği, hangi veri kategorilerinin etkilendiği, olası sonuçları ve alınan tedbirler yer almalıdır. Kurul, ihlali kendi internet sitesinde ilan edebilir.

Bildirim yükümlülüğünün ihlali, ayrıca idari para cezası yaptırımına tabidir.

İlgili kişinin hakları (m.11)

Herkes, veri sorumlusuna başvurarak şunları isteyebilir:

• Kişisel verisinin işlenip işlenmediğini öğrenme ve işlenmişse buna ilişkin bilgi talep etme
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme
• Yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme
• Eksik veya yanlış işlenmiş verilerin düzeltilmesini isteme
• Kanundaki şartlar çerçevesinde silinmesini veya yok edilmesini isteme
• Düzeltme, silme ve yok etme işlemlerinin, verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme
• Münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhe bir sonucun ortaya çıkmasına itiraz etme
• Kanuna aykırı işleme sebebiyle zararın giderilmesini talep etme

Başvuru yolu ve süreler

1. Önce veri sorumlusuna başvuru zorunludur. Başvuru yazılı olarak veya Kurulun belirlediği yöntemlerle (kayıtlı elektronik posta, güvenli elektronik imza, sistemde kayıtlı e-posta adresi, başvuru yazılımı) yapılır.
2. Veri sorumlusu, talebi en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırır. İşlemin ayrıca maliyet gerektirmesi hâlinde Kurulca belirlenen tarifedeki ücret alınabilir.
3. Şikâyet. Başvuru reddedilir, verilen cevap yetersiz bulunur ya da süresinde cevap verilmezse; ilgili kişi cevabı öğrendiği tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunabilir.
4. Kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkı saklıdır; şikâyet yolu, hukuk mahkemesinde dava açmayı engellemez.

Bu iki süreye dikkat edilmelidir: başvuru olmadan doğrudan yapılan şikâyet usulden reddedilir.

Kurulun yaptırımları

Kurul, şikâyet üzerine veya resen inceleme yapar. İhlal tespit ederse:

• Hukuka aykırılığın giderilmesine karar verir ve ilgililere tebliğ eder; karar gecikmeksizin ve en geç otuz gün içinde yerine getirilir.
• Telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılık olması hâlinde veri işlenmesinin veya yurt dışına aktarımın durdurulmasına karar verebilir.
• İdari para cezası uygular. Ceza tutarları her yıl yeniden değerleme oranında güncellenir.

Suç boyutu

KVKK, bazı fiiller için Türk Ceza Kanunu’na atıf yapar. Kişisel verilerin hukuka aykırı olarak kaydedilmesi (TCK m.135), verilmesi, yayılması veya ele geçirilmesi (TCK m.136) ve yok edilmemesi (TCK m.138) suç oluşturur. Bu fiiller için cumhuriyet başsavcılığına ayrıca şikâyette bulunulabilir.

İhlalden etkilendiyseniz ne yapmalı?

1. Şifrelerinizi değiştirin ve iki adımlı doğrulamayı açın; aynı şifreyi kullandığınız tüm hesapları güncelleyin.
2. Bankanızı bilgilendirin; kart ve hesap hareketlerini yakından izleyin.
3. Kimlik bilgileriniz sızmışsa e-Devlet üzerinden adınıza açılan hat, şirket ve kredi sorgusu yapın.
4. Veri sorumlusuna KVKK m.11 başvurusu gönderin; hangi verilerinizin etkilendiğini sorun.
5. Cevap yetersizse 30/60 günlük süreler içinde Kurula şikâyette bulunun.
6. Somut zarar doğmuşsa tazminat davası açın; ihlal kararı, davada güçlü delildir.
7. Arama sonuçlarında çıkan içerikler için unutulma hakkı başvurusunu ayrıca değerlendirin.

Hesabınız ele geçirilmişse sosyal medya hesabının ele geçirilmesi, banka hesabınızdan izinsiz çekim yapılmışsa bankanın sorumluluğu yazımıza bakabilirsiniz. Alan bilgisi: Bilişim Hukuku.

Bu yazı genel bilgilendirme amacıyla hazırlanmıştır; hukuki danışmanlık yerine geçmez. İdari para cezası tutarları her yıl güncellenir.