Kişisel Veri İhlali Başvurusu Nasıl Yapılır?

Kişisel veri ihlali nedir?

Kişisel veri ihlali; kişisel verilerin yetkisiz kişilerce ele geçirilmesi, açıklanması, değiştirilmesi, silinmesi veya erişilemez hâle gelmesi gibi veri güvenliğini bozan olayları ifade eder. Ad-soyad, telefon numarası, adres, müşteri bilgileri, sağlık bilgileri, finansal bilgiler ve çevrim içi hesap verileri kişisel veri olabilir (KVKK md. 3).

Bir şirketin sistemine sızılması, çalışan listesinin yanlış kişiye gönderilmesi, müşteri bilgilerinin internet ortamında yayımlanması veya bir hesabın ele geçirilmesi ihlal şüphesi doğurabilir. Olayın gerçekten ihlal sayılıp sayılmayacağı, verilerin niteliğine ve yetkisiz erişimin gerçekleşip gerçekleşmediğine göre değerlendirilir.

İlk başvuru nereye yapılır?

Kişisel verileri işleyen şirket, kamu kurumu veya başka bir kuruluşun belirlenebildiği durumlarda ilk başvuru veri sorumlusuna yapılır. Veri sorumlusu, kişisel verilerin hangi amaçla ve hangi yöntemle işleneceğine karar veren gerçek veya tüzel kişidir (KVKK md. 3). Örneğin bir bankadaki müşteri bilgileri bakımından genellikle banka; bir alışveriş sitesindeki hesap bilgileri bakımından ise ilgili şirket veri sorumlusu olabilir.

Veri sorumlusuna başvurmadan doğrudan Kişisel Verileri Koruma Kuruluna şikâyet etmek, kural olarak izlenmesi gereken ilk yol değildir. Başvurunuzda olayın açıklanmasını, hangi verilerinizin etkilendiğinin bildirilmesini, gerekli güvenlik önlemlerinin alınmasını ve kanuni haklarınızdan uygun olanların yerine getirilmesini isteyebilirsiniz (KVKK md. 13).

Başvuruda hangi bilgiler yer almalı?

Başvurunuz açık, anlaşılır ve mümkün olduğunca somut olmalıdır. Kimliğinizi ve iletişim bilgilerinizi, ihlali ne zaman ve nasıl öğrendiğinizi, hangi kuruluşla ilgili başvuru yaptığınızı ve hangi verilerinizin etkilenmiş olabileceğini yazın. İhlal bildirimi, ekran görüntüsü, e-posta, mesaj, internet adresi veya kurumdan gelen açıklama gibi kanıtları da ekleyebilirsiniz.

Talebinizi de açıkça belirtin. Örneğin olayın kapsamının açıklanmasını, verilerinizin hangi kişilere veya kuruluşlara aktarıldığının bildirilmesini, yanlış verilerin düzeltilmesini, hukuka aykırı işlenen verilerin silinmesini ya da imha edilmesini isteyebilirsiniz. Veri sorumlusunun talebinizi karşılamaması hâlinde bunun gerekçesini açıklamasını da talep edebilirsiniz (KVKK md. 11).

Veri sorumlusu ne kadar sürede yanıt vermelidir?

Veri sorumlusu, başvuruyu mümkün olan en kısa sürede ve en geç 30 gün içinde sonuçlandırmalıdır. İşlemin ayrıca bir maliyet gerektirmesi hâlinde kanunda belirtilen koşullar uygulanabilir; güncel ücret bilgileri için resmî kaynaklar kontrol edilmelidir (KVKK md. 13).

Kurula ne zaman şikâyet edilir?

Veri sorumlusu talebinizi reddederse, yanıtı yetersiz kalırsa veya süresinde yanıt vermezse Kişisel Verileri Koruma Kuruluna şikâyet edebilirsiniz. Şikâyette, önce veri sorumlusuna yaptığınız başvuruyu ve verilen yanıtı göstermeniz gerekir. Başvurunun kanunda belirtilen süre içinde yapılması önemlidir (KVKK md. 14).

Kurul, kendisine yapılan şikâyet veya resen öğrenme üzerine inceleme yapabilir. İnceleme sırasında veri sorumlusundan bilgi ve belge istenebilir. Kurulun görev ve yetkileri kapsamında veri güvenliği yükümlülüklerinin yerine getirilip getirilmediği değerlendirilebilir (KVKK md. 15).

Veri sorumlusunun ihlal bildirme yükümlülüğü

Veri güvenliğini sağlama yükümlülüğü veri sorumlusuna aittir. Veri sorumlusu; kişisel verilerin hukuka aykırı işlenmesini veya erişilmesini önlemek, verileri muhafaza etmek ve gerekli denetimleri yapmak için uygun teknik ve idari tedbirleri almak zorundadır (KVKK md. 12).

Bir veri ihlali gerçekleştiğinde veri sorumlusunun Kurula bildirim yapması ve riskin niteliğine göre ilgili kişileri bilgilendirmesi gerekebilir (KVKK md. 12). Bu yükümlülük, kişinin kendi başvurusunu yapmasına engel değildir. İlgili kişi ayrıca hangi verilerinin etkilendiğini, alınan önlemleri ve kendi haklarını öğrenmek için veri sorumlusuna başvurabilir.

Kurgusal örnek olay

Örneğin, Ayşe Hanım bir alışveriş şirketinden, müşteri hesaplarının yetkisiz kişilerce görüntülenmiş olabileceğine dair e-posta alıyor. Ayşe Hanım önce şirkete başvurarak hangi bilgilerinin etkilendiğini, olayın tarihini, alınan güvenlik önlemlerini ve verilerinin başka kişilere aktarılıp aktarılmadığını soruyor. Şirket 30 gün içinde yanıt vermez veya yalnızca genel bir açıklama yaparsa Ayşe Hanım, ilk başvurusuna ilişkin kanıtları ekleyerek Kurula şikâyet yolunu değerlendirebilir (KVKK md. 13; KVKK md. 14).

Hangi belgeleri saklamalısınız?

Başvuru formunun veya e-postanın bir kopyasını, gönderim tarihini gösteren kayıtları, şirketin yanıtını, ihlal bildiriminin ekran görüntüsünü ve ilgili internet adreslerini saklayın. Başvuru metninde gereksiz kişisel verileri paylaşmayın; yalnızca kimliğinizin ve olayın incelenmesi için gerekli bilgileri kullanın.

İhlal nedeniyle maddi veya manevi zarar doğduğunu düşünüyorsanız, Kurula yapılan başvurunun zararların otomatik olarak karşılanacağı anlamına gelmediğini bilmelisiniz. Tazminat veya başka hukuki yollar bakımından olayın özellikleri ayrıca değerlendirilir. Süreler ve görevli merciler somut olaya göre değişebileceğinden bir avukata danışabilirsiniz. Ücreti karşılayamayan kişiler baronun Adli Yardım Bürosuna başvurabilir.