Kişisel Verilerin İzinsiz Paylaşılması: KVKK Başvurusu, Şikâyet ve Tazminat

Av.Abdulkadir Bolat
19 Ağu
4 dakikada okunur

Güncelleme tarihi: 20 Ağu

Telefon numarası, ev adresi, fotoğraf, müşteri bilgisi, IP adresi veya çalışan kaydı yanlış kişiye gönderilmiş ya da sosyal medyada paylaşılmış olabilir. Bir şirket müşteri listesini izinsiz reklam için kullanmış, eski çalışan verileri yanında götürmüş veya internet sitesindeki açık nedeniyle kişisel bilgiler üçüncü kişilerin eline geçmiş olabilir.

6698 sayılı Kişisel Verilerin Korunması Kanunu, kişisel verilerin işlenmesini ve ilgili kişinin başvuru yollarını düzenler. Ancak KVKK süreci yalnız “ceza yazdırmak” değildir; önce veri sorumlusuna başvuru, ardından koşulları varsa Kişisel Verileri Koruma Kuruluna şikâyet sistemi vardır.

Kişisel Veri Nedir?

Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi kişisel veri olabilir. Ad-soyad, telefon, e-posta, adres, fotoğraf, araç plakası, müşteri numarası veya konum verisi somut koşullarda kişisel veri niteliği taşıyabilir.

Sağlık, biyometrik, genetik ve ceza mahkûmiyeti gibi bazı veriler ise özel nitelikli kişisel veri olarak daha sıkı korunur.

Bir bilginin kişinin kendi sosyal medya hesabında daha önce paylaşılmış olması, o bilginin herkes tarafından sınırsız yeni amaçlarla kullanılabileceği anlamına gelmez.

Açık Rıza Yoksa Her İşleme Hukuka Aykırı mı?

Hayır. Açık rıza kişisel veri işleme şartlarından yalnız biridir. Kanunda sözleşmenin kurulması veya ifası, hukuki yükümlülük, hakkın tesisi-kullanılması-korunması ve meşru menfaat gibi başka hukuki sebepler de bulunmaktadır.

Bu nedenle “izin formu imzalatmadı, kesin KVKK ihlali var” demek de “şirketin elinde veri var, istediği gibi kullanabilir” demek de doğru değildir.

Her veri işleme faaliyetinde amaç, hukuki sebep, gereklilik ve ölçülülük ayrı incelenmelidir.

İlk Başvuru Nereye Yapılır?

KVKK m.13 uyarınca ilgili kişi öncelikle veri sorumlusuna başvurur. Başvuruda ne talep edildiği açık yazılmalıdır.

İlgili kişi verisinin işlenip işlenmediğini öğrenme, işlenmişse bilgi isteme, işleme amacını öğrenme, aktarılan üçüncü kişileri bilme, yanlış verinin düzeltilmesini isteme, şartları varsa silme veya yok etme ve hukuka aykırı işleme nedeniyle zararın giderilmesini isteme gibi haklara sahiptir.

Başvurunun KEP, noter, güvenli elektronik imza veya yönetmelikte kabul edilen başka ispatlanabilir yöntemle yapılması sonraki süreler açısından önemlidir.

Veri Sorumlusu Ne Kadar Sürede Cevap Vermeli?

Veri sorumlusu başvuruyu en kısa sürede ve en geç 30 gün içinde sonuçlandırmalıdır.

Başvurunun reddedilmesi, cevabın yetersiz bulunması veya hiç cevap verilmemesi hâlinde Kurula şikâyet gündeme gelebilir.

Bu nedenle başvuru ve cevap tarihleri kaydedilmelidir. E-posta zincirinin kaybolması, Kurula yapılacak şikâyette süre tartışması yaratabilir.

KVKK Kuruluna Şikâyet Süresi Nasıl Hesaplanır?

İlgili kişi, veri sorumlusunun cevabını öğrendiği tarihten itibaren 30 gün, her hâlde veri sorumlusuna başvuru tarihinden itibaren 60 gün içinde Kurula şikâyette bulunabilir.

Veri sorumlusu 30 gün içinde cevap vermezse, 30 günlük cevap süresinin bitiminden sonra kalan süre içinde şikâyet yapılmalıdır.

Kurula doğrudan başvurup veri sorumlusuna hiç başvurmamak kural olarak usul yönünden sorun yaratır.

Kurul Tazminata Karar Verir mi?

Kurul, veri sorumlusu hakkında inceleme yapabilir, hukuka aykırılığın giderilmesini isteyebilir ve kanundaki şartlarda idari para cezası uygulayabilir. Ancak kişinin maddi veya manevi tazminatının Kurul tarafından tahsil edilmesi farklı bir meseledir.

KVKK, kişilik hakları ihlal edilen kişinin genel hükümlere göre tazminat hakkını saklı tutar. Bu talep görevli yargı merciinde ileri sürülür.

Dolayısıyla “KVKK'ya şikâyet ettim, Kurul bana manevi tazminat verecek” şeklindeki beklenti doğru değildir.

Sosyal Medyada Telefon veya Adres Paylaşılması

Bir kişinin telefon numarasının, ev adresinin, özel mesajının veya fotoğrafının sosyal medyada yayınlanması yalnız KVKK meselesi olmayabilir. Kişilik haklarının korunması, içeriğin çıkarılması ve olayın niteliğine göre ceza hukuku hükümleri de gündeme gelebilir.

İçerik silinmeden önce ekran görüntüsü, profil bağlantısı, paylaşım URL'si ve tarih-saat bilgisi saklanmalıdır.

Veri İhlalinde Şirketlerin Sorumluluğu

Veri sorumluları yalnız veri işlemeye hukuki sebep bulmakla yükümlü değildir. Verilerin güvenliğini sağlamak için uygun teknik ve idari tedbirleri almak da zorundadır.

Eski çalışanın sistem erişiminin kapatılmaması, bütün personelin sağlık dosyalarına erişebilmesi, müşteri listesinin ortak mesaj grubunda paylaşılması veya güvenlik açığının uzun süre giderilmemesi veri güvenliği bakımından sorun yaratabilir.

Şirketin olaydan sonra hangi önlemleri aldığı da Kurul incelemesinde önem taşıyabilir.

Pratik Yol Haritası: KVKK Başvurusu Nasıl Kurulur?

Önce veri sorumlusunun kim olduğu belirlenmelidir. Bir çalışan yanlış paylaşımı yapmış olsa bile veri sorumlusu çoğu zaman şirket veya kurumdur. Hangi verinin, ne zaman, hangi amaçla işlendiği ya da kimlere aktarıldığı somutlaştırılır.

Veri sorumlusuna yapılacak başvuruda yalnız “verilerimi silin” demek yerine KVKK m.11'deki hangi hakkın kullanıldığı açıkça yazılmalıdır. Başvurunun teslim tarihi ispatlanabilir olmalı ve 30 günlük cevap süresi takip edilmelidir.

Cevap yetersizse veya hiç cevap verilmezse Kurula şikâyet için 30/60 günlük süreler hesaplanır. Kişilik hakkı zararı ve tazminat talebi varsa Kurul sürecinden ayrı yargısal yol planlanmalıdır.

Sık Yapılan Hatalar

Kurula doğrudan şikâyet etmek, veri sorumlusunu yanlış belirlemek ve yalnız açık rıza bulunup bulunmadığına odaklanmak sık hatalardır. Kurulun kişiye manevi tazminat vereceğini düşünmek ve sosyal medyada zaten bulunan verinin sınırsızca kullanılabileceğini varsaymak da güncel KVKK sistemini yanlış yorumlar.

Sık Sorulan Sorular

Telefon numaram izinsiz paylaşıldı. Ne yapabilirim? Veri sorumlusuna başvuru, Kurula şikâyet ve olayın niteliğine göre hukuk/ceza yolları birlikte değerlendirilebilir.

Kurula doğrudan şikâyet edebilir miyim? Kural olarak önce veri sorumlusuna başvurmak gerekir.

Veri sorumlusu kaç günde cevap verir? En geç 30 gün içinde.

KVKK bana tazminat öder mi? Kurulun idari yaptırım süreci ile tazminat davası ayrıdır.

Yayın Notu

Bu yazı genel bilgilendirme amacı taşır. KVKK başvurularında veri sorumlusunun doğru belirlenmesi, başvurunun ispatlanabilir yapılması ve 30/60 günlük şikâyet sürelerinin kaçırılmaması önemlidir.