Kişisel Veri İhlali: Bildirim, Başvuru ve Yaptırımlar

Veri sorumlusunun güvenlik ve bildirim görevi

KVKK m.12, hukuka aykırı işleme ve erişimi önlemek, verinin muhafazasını sağlamak için gerekli teknik ve idari tedbirlerin alınmasını öngörür. İşlenen verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde bildirim yükümlülüğü ayrıca gündeme gelir.

Kurulun 2019/10 sayılı kararına göre veri sorumlusu, ihlali öğrenmesinden itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirim yapmalıdır. Etkilenen kişiler belirlendikten sonra onlara da makul olan en kısa sürede uygun yöntemle bilgi verilmelidir. Kurula bildirim süresi ile ilgili kişilere yapılacak bildirim aynı takvim kuralı olarak yazılmamalıdır. Gecikmenin gerekçesi açıklanır; bilgiler henüz tamamlanmamışsa aşamalı bildirim olanağı değerlendirilir.

Şüpheli erişimi sınırlandırmak, olayın öğrenilme zamanını ve etkilenen veri türlerini kaydetmek, kayıtları korumak ve sağlayıcıdan bilgi istemek olay yönetiminin parçalarıdır. Delil niteliğindeki kayıtları gelişigüzel silmek veya ihlali kanıtlamak için başka kişilerin verilerini sosyal medyada yayımlamak yeni sorunlar doğurabilir.

İlgili kişinin başvurusu farklıdır

Veri ihlali bildirim formu veri sorumlusunun bildirimi içindir. Kişisel verisi etkilenen kişinin başvuru ve şikâyet yolu KVKK m.11, 13 ve 14 çerçevesinde yürütülür. Önce veri sorumlusuna başvuru; cevap, cevapsızlık veya yetersiz cevap durumuna göre Kurula şikâyet koşulları değerlendirilir. Genel cevap süresi otuz gündür. Şikâyette cevabı öğrenmeden itibaren otuz gün ve her hâlde başvurudan itibaren altmış günlük sınır gözetilir.

Başvuruya yalnız ilgili ve gerekli belgeler eklenmeli; ulaşma ve cevap tarihleri saklanmalıdır. Tazminat veya ceza yoluna başvurmanın koşulları ayrıca incelenir. Kurula şikâyet için öngörülen ön başvuru şartı bütün yargı yollarının ön şartı olarak genellenemez.

İdari para cezası ile hapis cezası aynı değildir

KVKK m.18'de aydınlatma, veri güvenliği, Kurul kararları, sicil ve belirli aktarım bildirimlerine ilişkin kabahatler düzenlenir. Uygulanabilecek yaptırım, ihlal edilen yükümlülüğe ve kişinin sıfatına bağlıdır. İdari para cezaları yıllık yeniden değerlemeye tabidir; kanun metnindeki ilk tutarı güncel ceza olarak kullanmak yanıltıcıdır. Güncel tutarlar kaynakçadaki Kurum tablosundan, ilgili yıl için kontrol edilmelidir.

KVKK m.17, kişisel verilere ilişkin suçlarda TCK m.135-140'a atıf yapar. TCK m.135'te hukuka aykırı kaydetme için temel ceza bir yıldan üç yıla; m.136'da hukuka aykırı verme, yayma veya ele geçirme için iki yıldan dört yıla kadar hapistir. Nitelikli hâller, diğer kanuni koşullar ve somut fiil ayrıca değerlendirilir. Bir güvenlik açığının bulunması, her çalışan veya avukatın bu suçları işlediği anlamına gelmez; ceza sorumluluğu şahsidir ve suçun unsurları aranır.

Tazminat ve mesleki sorumluluk

KVKK m.11/1-ğ, kişisel verilerin kanuna aykırı işlenmesi sebebiyle zarara uğrayan kişinin zararın giderilmesini talep edebilmesini düzenler. Tazminat için ilgili hukuki ilişkinin şartları, zarar ve nedensellik ayrıca incelenir. Kurulun para cezası vermesi, bu paranın ilgili kişiye tazminat olarak ödenmesi demek değildir.

Avukatlık faaliyetinde sır saklama ve özen yükümlülüklerine aykırılık mesleki disiplin bakımından da değerlendirme gerektirebilir. Yazılım sağlayıcısının sorumluluğu ile aracı seçen veya veriyi aktaran kişinin sorumluluğu birlikte araştırılabilir; 'uygulama yaptı' açıklaması kendi başına sorumluluğu kaldırmaz. Buna karşılık her olayda ve bütün taraflara karşı otomatik kişisel sorumluluk doğduğu da söylenemez.