Kişisel Verilerin İzinsiz Paylaşılması: KVKK Başvurusu, Şikâyet ve Tazminat

Bir kişinin telefon numarası, adresi, fotoğrafı, kimlik bilgisi veya başka kişisel verisinin rıza ve hukuki dayanak olmaksızın paylaşılması yalnız 'mahremiyet ihlali' olarak değil, 6698 sayılı KVKK bakımından da değerlendirilir. İlk soru, paylaşımı kimin yaptığı ve bu kişinin veya kurumun veri sorumlusu sıfatı taşıyıp taşımadığıdır.

Her izinsiz paylaşım otomatik olarak aynı sonuca mı yol açar?

Hayır. Verinin niteliği, kim tarafından hangi amaçla paylaşıldığı, hukuki işleme şartı bulunup bulunmadığı ve paylaşımın kapsamı birlikte değerlendirilir. Açık rıza her zaman tek hukuki sebep değildir; ancak hiçbir işleme şartı yoksa paylaşım hukuka aykırı olabilir.

İlk başvuru kime yapılır?

KVKK m.13 uyarınca ilgili kişi taleplerini önce veri sorumlusuna iletir. Veri sorumlusu başvuruyu en kısa sürede ve en geç otuz gün içinde sonuçlandırmalıdır. Başvuru doğrudan Kurula yapılmadan önce bu yolun tüketilmesi gerekir.

Kurula şikâyet süresi nedir?

Veri sorumlusunun başvuruyu reddetmesi, cevabın yetersiz olması veya otuz gün içinde cevap verilmemesi hâlinde ilgili kişi, cevabı öğrendiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunabilir.

Başvuruda ne talep edilebilir?

Verinin işlenip işlenmediğini öğrenme, işlenmişse bilgi isteme, hukuka aykırı işlemenin giderilmesini, silme veya yok etme şartları oluşmuşsa bu işlemlerin yapılmasını ve üçüncü kişilere yapılan aktarımların bildirilmesini talep etmek somut olaya göre gündeme gelebilir.

Ekran görüntüsü yeterli mi?

Paylaşımın nerede, hangi hesap veya kurum tarafından, hangi tarihte ve kimlere açık biçimde yapıldığını gösteren ekran görüntüsü önemlidir; ancak mümkünse URL, tarih-saat, e-posta, mesaj kayıtları ve platform bildirimleri de saklanmalıdır. İçeriğin sonradan silinme ihtimali varsa delil hızlı korunmalıdır.

Tazminat istenebilir mi?

KVKK süreçleri ile kişilik hakkı ve tazminat yolları birbirinden farklıdır. Kişilik hakkı ihlali veya somut zarar varsa genel hükümlere göre tazminat talebi ayrıca değerlendirilebilir. Kurula şikâyet yapılmış olması her durumda tazminat için zorunlu ön şart değildir.

Ceza hukuku yönü olabilir mi?

Verinin niteliğine ve fiile göre TCK'daki kişisel veriler veya özel hayatla ilgili suçlar gündeme gelebilir. Ancak her KVKK ihlali otomatik olarak ceza suçu oluşturmaz; somut fiil ve kast ayrıca değerlendirilir.

Dosyada hangi belgeler toplanmalı?

Veri sorumlusuna yapılan başvuru, teslim veya KEP kaydı, verilen cevap, paylaşımın ekran görüntüsü, URL veya mesaj kayıtları, zararı gösteren belgeler ve varsa platform şikâyet kayıtları tek kronolojide tutulmalıdır.

KVKK başvurusu, Kurul şikâyeti ve tazminat aynı yol değildir

Kişisel verinin izinsiz paylaşılması halinde kullanılabilecek yollar aynı amaca hizmet etmez. Veri sorumlusuna başvuru, verinin hangi amaçla ve kimlere aktarıldığının açıklanması, hukuka aykırı işlemenin sona erdirilmesi, silme veya düzeltme gibi talepler için temel adımdır. Kişisel Verileri Koruma Kuruluna şikâyet ise idari denetim ve yaptırım boyutuna ilişkindir. Uğranılan maddi veya manevi zararın giderilmesi talebi ise ayrıca özel hukuk sorumluluğu kapsamında değerlendirilebilir; fiil aynı zamanda ceza normlarını ihlal ediyorsa ceza soruşturması da ayrı bir kulvardır. Dosyada paylaşımın ekran görüntüsü, alıcı bilgisi, tarih-saat, e-posta veya mesaj başlıkları, veri sorumlusunun cevabı ve verinin daha sonra yayılmaya devam edip etmediği korunmalıdır. Hangi yolun önce ve hangi süre içinde kullanılacağı somut olaya göre planlanmalıdır.

Verinin yayılmasının devam edip etmediği ayrıca izlenmeli

İlk paylaşım kaldırılmış olsa bile verinin başka hesaplara, gruplara veya üçüncü kişilere aktarılmış olması zararı sürdürebilir. Bu nedenle sadece ilk ekran görüntüsü değil, sonraki paylaşımlar ve erişim izleri de korunmalıdır. Başvuruda hangi verinin, kim tarafından, hangi kanalda ve hangi tarihlerde işlendiğinin mümkün olduğunca somut gösterilmesi değerlendirmeyi kolaylaştırır.