KVKK ihlali, yalnızca bir veri tabanının siber saldırıyla ele geçirilmesi anlamına gelmez. Kişisel verinin hukuki sebep olmadan toplanması, amaç dışında kullanılması, yetkisiz kişilere açıklanması, gerekli güvenlik tedbirleri alınmadan saklanması veya saklama sebebi sona erdiği hâlde mevzuata aykırı biçimde tutulması da 6698 sayılı Kişisel Verilerin Korunması Kanunu bakımından sonuç doğurabilir. Ancak her rıza alınmayan işlem kendiliğinden hukuka aykırı değildir; Kanun’daki diğer işleme şartlarından biri bulunabilir. Doğru başvuru yolu, ihlalin türü ile başvuruyu yapan kişinin “ilgili kişi” mi yoksa “veri sorumlusu” mu olduğuna göre belirlenmelidir.
İki süreci karıştırmayın: Verisi işlenen kişi, haklarını kullanmak için önce veri sorumlusuna başvurur; cevaba göre Kişisel Verileri Koruma Kuruluna şikâyet edebilir. Kişisel verilerin kanuni olmayan yollarla başkalarınca elde edildiğini öğrenen veri sorumlusu ise ihlal bildirimi yükümlülüğünü yerine getirir.
KVKK’nın Doğuşu ve Dijital Dünyadaki Rolü
6698 sayılı Kişisel Verilerin Korunması Kanunu, kişisel veriler işlenirken özel hayatın gizliliği başta olmak üzere temel hak ve özgürlükleri korumayı; kişisel veri işleyen gerçek ve tüzel kişilerin yükümlülüklerini düzenlemeyi amaçlar. Kanun 7 Nisan 2016 tarihinde yürürlüğe girmiştir. Koruma, yalnız dijital kayıtlara özgü değildir: Tamamen veya kısmen otomatik yollarla işlenen veriler ile bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen veriler de kapsamdadır.
KVKK, “açık rıza metni imzalatmak” ile sınırlı bir düzenleme değildir. Hukuka ve dürüstlük kurallarına uygunluk, doğruluk ve güncellik, belirli ve meşru amaç, amaçla bağlantılı–sınırlı–ölçülü işleme ve gerekli süre kadar muhafaza temel ilkelerdir. Bir işleme faaliyeti için Kanun’un 5 veya 6. maddesindeki hukuki şartlardan biri bulunmalı; ayrıca aydınlatma, güvenlik, saklama ve başvuru yükümlülükleri yerine getirilmelidir.
Kişisel Veri Nedir?
Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Ad, soyad ve T.C. kimlik numarası gibi doğrudan tanımlayıcıların yanında; belirli bir kişiyle ilişkilendirilebilen telefon numarası, e-posta adresi, araç plakası, müşteri işlem kaydı, konum, görüntü, ses ve çevrim içi tanımlayıcılar da kişisel veri niteliği taşıyabilir. Değerlendirmede verinin tek başına değil, veri sorumlusunun makul şekilde erişebildiği diğer bilgilerle kişiyi belirlenebilir kılıp kılmadığına bakılır.
Neler Kişisel Veri Sayılır?
| Veri grubu | Örnekler | Dikkat edilmesi gereken nokta |
|---|---|---|
| Kimlik ve iletişim | Ad-soyad, kimlik numarası, adres, telefon, kişisel e-posta | İşleme amacı ve hukuki sebep açıkça belirlenmelidir. |
| Dijital ve işlem verileri | IP, cihaz kimliği, çerez kimliği, konum, sipariş ve kullanım geçmişi | Kişiyle ilişkilendirilebilirlik ve profil oluşturma riski değerlendirilir. |
| Görsel ve işitsel kayıt | Fotoğraf, kamera görüntüsü, ses kaydı, görüşme kaydı | Kaydın amacı, kapsamı, erişimi ve saklama süresi ölçülü olmalıdır. |
| Özel nitelikli veri | Sağlık, biyometrik/genetik veri, siyasi düşünce, sendika üyeliği | Kanun’un 6. maddesindeki sınırlı işleme şartları ve yeterli önlemler aranır. |
| Tüzel kişiye ait bilgi | Şirket unvanı, vergi numarası, kurumsal bilanço | Salt tüzel kişi verisi KVKK kapsamında değildir; belgede gerçek kişiyi belirleyen bilgi varsa o bölüm korunur. |
Anonimleştirilmiş veri ile takma ad kullanılmış veri aynı değildir. Veri başka bilgilerle yeniden gerçek kişiye bağlanabiliyorsa anonim hâle gelmiş sayılmaz. İsim yerine müşteri numarası kullanılması çoğu durumda güvenlik tedbiridir; veriyi KVKK kapsamından otomatik olarak çıkarmaz.
KVKK İhlali Sayılan Durumlar Nelerdir?
“KVKK ihlali” geniş bir üst kavramdır. Hukuki işleme şartı bulunmaması, temel ilkelere aykırılık, eksik aydınlatma, hukuka aykırı aktarım, veri güvenliği tedbirlerinin yetersizliği veya ilgili kişi başvurusunun usulüne uygun cevaplanmaması farklı yükümlülük ihlalleridir. Kanun’un 12. maddesindeki bildirim yükümlülüğünü doğuran kişisel veri ihlali ise işlenen verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâline ilişkindir.
Rızasız Paylaşım ve Hukuka Aykırı Aktarım
Kişisel verinin üçüncü kişiye açıklanması veya aktarılması için Kanun’da geçerli bir hukuki şart bulunmalıdır. Açık rıza bunlardan biridir ancak tek hukuki sebep değildir. Kanunlarda açıkça öngörülme, sözleşmenin kurulması veya ifası için zorunluluk ve hukuki yükümlülüğün yerine getirilmesi gibi başka şartlar da bulunabilir. Bu nedenle “rıza yoksa her paylaşım ihlaldir” sonucu doğru değildir; aktarımın amacı, dayanağı, kapsamı ve aydınlatma içeriği birlikte incelenir.
Veri Sızıntıları, Siber Saldırılar ve Hatalı Gönderimler
Fidye yazılımı saldırısı, ele geçirilen kullanıcı hesabı, yanlış alıcıya gönderilen e-posta, herkese açık bırakılan bulut klasörü, kaybolan şifresiz cihaz veya yetkisiz veri indirme kişisel veri ihlaline yol açabilir. Saldırının üçüncü kişi tarafından gerçekleştirilmiş olması, veri sorumlusunun güvenlik yükümlülüğünü kendiliğinden ortadan kaldırmaz. Alınması gereken teknik ve idari tedbirler; işlenen verinin niteliği, risk, sistem yapısı ve güncel güvenlik ihtiyaçlarına göre değerlendirilir.
Amacı Dışında veya Ölçüsüz Kullanım
Teslimat için alınan telefon numarasının kişisel iletişim amacıyla kullanılması, çalışan hakkında işin gerektirmediği ölçüde izleme yapılması veya hizmet için zorunlu olmayan verilerin toplanması amaçla bağlılık ve ölçülülük ilkeleri bakımından ihlal oluşturabilir. İşleme başlangıçta hukuka uygun olsa bile verinin yeni ve uyumsuz bir amaçla kullanılması ayrıca hukuki dayanak gerektirir.
Aydınlatma Yükümlülüğünün Yerine Getirilmemesi
Veri sorumlusu; kimliğini, işleme amaçlarını, aktarım yapılan tarafları ve amaçlarını, veri toplama yöntemini ve hukuki sebebi ile Kanun’un 11. maddesindeki hakları ilgili kişiye bildirmelidir. Aydınlatma ile açık rıza farklı yükümlülüklerdir. Metnin gösterilmesi her işleme faaliyetini hukuka uygun hâle getirmez; açık rıza gereken bir işlem varsa rızanın belirli, bilgilendirmeye dayalı ve özgür iradeyle açıklanmış olması gerekir.
Verilerin Gereğinden Uzun Saklanması
İşleme sebeplerinin tamamı ortadan kalktığında kişisel veriler resen veya ilgili kişinin talebi üzerine silinmeli, yok edilmeli ya da anonim hâle getirilmelidir. Bununla birlikte hesap kapatılması, her verinin aynı anda silinmesini zorunlu kılmaz; vergi, ticaret, tüketici, iş veya dava zamanaşımına ilişkin kanuni saklama yükümlülükleri devam edebilir. Hangi verinin hangi amaçla ne kadar tutulduğu ayrı ayrı gösterilmelidir.
Yetkisiz Kurum İçi Erişim
Veriye erişen kişinin aynı kurumda çalışması, erişimi otomatik olarak hukuka uygun kılmaz. Görevle ilgisi bulunmayan çalışanın müşteri, hasta veya personel kayıtlarını görüntülemesi; rol ve yetki yönetimi, erişim kayıtları ve denetim eksiklikleri bakımından ihlal oluşturabilir.
Veri İhlali Bildirimi ve 72 Saat Kuralı
Kişisel Verileri Koruma Kurulunun 24 Ocak 2019 tarihli ve 2019/10 sayılı kararı uyarınca veri sorumlusu, ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirim yapmalıdır. Yetkisiz elde etmeden etkilenen kişiler belirlendikten sonra ilgili kişilere de makul olan en kısa sürede uygun yöntemle bildirim yapılır. Yetkisiz elde etme veri işleyenin sisteminde gerçekleşmişse veri işleyen gecikmeden veri sorumlusunu bilgilendirmelidir.
72 saat, ilgili kişinin Kurula şikâyet süresi değildir; veri sorumlusunun ihlal bildirim süresidir. Bütün bilgiler henüz elde edilememişse mevcut bilgilerle bildirim yapılıp eksikler gecikmeden aşamalı şekilde tamamlanabilir. Süresinde bildirim yapılamazsa gecikmenin haklı nedeni de açıklanmalıdır. İhlalin etkileri, alınan önlemler ve bildirim süreci kayıt altına alınmalıdır.
| Yol | Kim kullanır? | Süre / ön koşul | Amaç |
|---|---|---|---|
| Kurula veri ihlali bildirimi | Veri sorumlusu | İhlalin öğrenilmesinden itibaren en geç 72 saat | Yetkisiz elde etmenin etkilerini ve alınan önlemleri bildirmek |
| Veri sorumlusuna başvuru | İlgili kişi | Kurula şikâyetten önce zorunlu; veri sorumlusu en geç 30 günde cevaplar | Bilgi, düzeltme, silme/yok etme veya zararın giderilmesini istemek |
| Kurula şikâyet | Başvurusu reddedilen, yetersiz cevap alan veya süresinde cevap alamayan ilgili kişi | Cevabı öğrenmeden itibaren 30; her hâlde başvurudan itibaren 60 gün | Kurulun idari inceleme yapmasını istemek |
| Dava / suç duyurusu | Hak veya suçtan etkilenen kişi | Talep, taraf ve hukuki sebebe göre değişir | Tazminat, ihlalin durdurulması veya ceza soruşturması |
Kişisel Verilerinizin İhlal Durumunda Haklarınız Nelerdir?
Kanun’un 11. maddesi ilgili kişiye; verisinin işlenip işlenmediğini öğrenme, işlenmişse bilgi isteme, amacı ve amaca uygun kullanımı öğrenme, aktarılan üçüncü kişileri bilme, eksik veya yanlış veriyi düzelttirme, şartları varsa silme veya yok etme, bu işlemlerin üçüncü kişilere bildirilmesini isteme, yalnız otomatik analizle aleyhe çıkan sonuca itiraz etme ve hukuka aykırı işleme nedeniyle zararın giderilmesini talep etme haklarını tanır. Kurumun ilgili kişi hakları açıklaması bu taleplerin resmî kapsamını gösterir.
Veri Sorumlusuna Başvuru Nasıl Yapılır?
Kurula şikâyet edebilmek için önce veri sorumlusuna başvurmak zorunludur. Başvuru; yazılı olarak veya Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’de açıklanan yöntemlerle yapılabilir. Kayıtlı elektronik posta, güvenli elektronik imza, mobil imza, ilgili kişinin daha önce veri sorumlusuna bildirdiği ve sistemde kayıtlı elektronik posta adresi veya başvuru amacıyla oluşturulmuş yazılım/uygulama kullanılabilir.
Başvuruda veri sorumlusunun doğru tüzel veya gerçek kişi unvanı belirlenmeli; başvuranın kimliği ve iletişim bilgileri, talebin konusu ve talebi destekleyen bilgi ve belgeler açıkça yazılmalıdır. “Tüm verilerimi silin” gibi soyut bir talep yerine, hangi süreçte hangi verinin işlendiği ve hangi hakkın kullanıldığı somutlaştırılmalıdır. Kimlik doğrulaması için gerekenin ötesinde yeni kişisel veri gönderilmemelidir.
Veri sorumlusu başvuruyu niteliğine göre en kısa sürede ve en geç 30 gün içinde sonuçlandırır. İşlem kural olarak ücretsizdir; ayrıca maliyet doğması hâlinde Kurulca belirlenen tarifedeki ücret istenebilir. Kabul edilen talebin gereği yerine getirilmeli, ret kararı ise gerekçeli biçimde bildirilmelidir.
Kişisel Verileri Koruma Kuruluna Şikâyet Süresi ve Yöntemi
Başvurunun reddedilmesi, cevabın yetersiz bulunması veya 30 gün içinde cevap verilmemesi hâlinde ilgili kişi; cevabı öğrendiği tarihten itibaren 30 gün ve her durumda veri sorumlusuna başvuru tarihinden itibaren 60 gün içinde Kurula şikâyet edebilir. İki süre birlikte gözetilmelidir. Kurumun şikâyet hakkı açıklaması ve Şikâyet Modülü güncel resmî başvuru kanallarıdır.
Şikâyete veri sorumlusuna gönderilen başvuru, tebliğ veya gönderim belgesi, verilen cevap, ekran görüntüsü, e-posta başlık bilgisi ve iddiayı destekleyen diğer belgeler eklenmelidir. Kurul tazminat mahkemesi değildir; hukuka aykırılığın giderilmesine, veri işlemenin veya yurt dışına aktarımın şartları varsa durdurulmasına karar verebilir ve idari yaptırım uygulayabilir. Kişinin tazminat talebi ise görevli yargı merciinde ayrıca ileri sürülür.
İhlal Fark Edildiğinde Deliller Nasıl Korunmalıdır?
- İhlali gösteren ekranın tamamı, URL ve tarih-saat bilgisiyle kaydedilmelidir.
- Şüpheli e-postanın yalnız görüntüsü değil, mümkünse üstbilgileri ve orijinal dosyası korunmalıdır.
- Veri sorumlusuna yapılan başvurunun içeriği ile teslim, KEP veya gönderim kayıtları saklanmalıdır.
- Yetkisiz işlem nedeniyle maddi zarar doğmuşsa ödeme, hesap hareketi ve bildirim belgeleri muhafaza edilmelidir.
- Hukuka aykırı erişim sürüyorsa parola değişikliği, oturum kapatma ve finansal hesap güvenliği gibi zararı azaltıcı önlemler gecikmeden alınmalıdır.
Başvuru sürenizi ve doğru muhatabı belirleyin. Veri sorumlusuna başvuru, Kurula şikâyet, tazminat ve ceza soruşturması birbirinden farklı yollar olduğundan somut olayın belgeleri birlikte incelenmelidir.
Kişisel Veri İhlallerinde Hangi Davalar Açılabilir?
Kişilik hakkına yönelik saldırının önlenmesi, sürüyorsa durdurulması, sona ermiş olsa da etkileri devam ediyorsa hukuka aykırılığın tespiti ve şartları varsa kararın yayımlanması veya üçüncü kişilere bildirilmesi talep edilebilir. Maddi zarar ile kişilik değerlerindeki zedelenme için tazminat gündeme gelebilir. Görevli mahkeme; veri sorumlusunun kamu veya özel kişi olması, taraflar arasındaki iş, tüketici, ticari ya da başka bir hukuki ilişkinin niteliği ve talebin dayanağına göre belirlenir.
Kurula şikâyet, tazminat davasının zorunlu ön şartı değildir. Kurumun resmî açıklamasına göre veri sorumlusuna ön başvuru, Kurula şikâyetten önce zorunludur; kişilik hakkı ihlali nedeniyle doğrudan yargı yoluna başvurmanın önünde ise bu sebeple bir engel bulunmaz. Bununla birlikte dava öncesinde doğru delil ve hukuki sebebin belirlenmesi önemlidir.
Kişisel verinin hukuka aykırı kaydedilmesi, ele geçirilmesi, bir başkasına verilmesi veya yayılması ayrıca ceza soruşturmasına konu olabilir. Her KVKK uyumsuzluğu otomatik olarak suç oluşturmaz; fiilin TCK 135–136 kapsamındaki kişisel veri suçlarının unsurlarını taşıyıp taşımadığı ayrıca değerlendirilir. Özel hayat alanına ilişkin görüntü veya seslerde özel hayatın gizliliğini ihlal suçu da gündeme gelebilir.
Kişisel Verilerin İhlalinde Tazminat Hakkı
Kanun’un 14. maddesi, kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkını saklı tutar. Tazminat otomatik değildir. Hukuka aykırı fiil, zarar, uygun illiyet bağı ve uygulanacak sorumluluk rejiminin koşulları somut olay üzerinden incelenir. Maddi zarar; yetkisiz işlem, dolandırıcılık, gelir kaybı veya zorunlu gider gibi kalemlerle belgelendirilebilir. Manevi tazminatta ihlalin ağırlığı, verinin niteliği, yayılma kapsamı, erişilebilirlik süresi ve kişi üzerindeki etkiler önem taşır.
Kurulun ihlal kararı önemli bir delil olabilir ancak mahkemenin tazminata hükmetmesi için her olayda zorunlu bir ön karar değildir. Aynı şekilde Kurulun idari para cezası vermesi, bu cezanın ilgili kişiye ödeneceği anlamına gelmez. Tazminat talebi ile idari yaptırım farklı amaç ve usullere sahiptir.
Özel Nitelikli (Hassas) Veriler
Kanun’un 6. maddesinde özel nitelikli kişisel veriler sınırlı olarak sayılmıştır: ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler bu kapsamdadır.
1 Haziran 2024’te yürürlüğe giren değişiklikle özel nitelikli verilerin işlenme şartları yeniden düzenlenmiştir. Açık rıza tek seçenek değildir; kanunda açıkça öngörülme, fiilî imkânsızlık, alenileştirme iradesine uygun kullanım ve iş, sosyal güvenlik, sağlık hizmeti veya hukuki hakların tesisi gibi Kanun’da sayılan şartlar somut olaya göre uygulanabilir. Bununla birlikte Kurulca belirlenen yeterli önlemlerin alınması zorunludur. Güncel çerçeve için Kurumun özel nitelikli kişisel verilerin işlenme şartları rehberi esas alınmalıdır.
Sosyal Medya ve İnternet Ortamında İhlaller
Bir kişinin fotoğrafı, videosu, sesi veya yazışmalarının internette paylaşılması; içeriğin kaynağı, paylaşım amacı, hukuki dayanak, kamusal ilgi, ifade özgürlüğü ve özel hayat beklentisi birlikte değerlendirilerek ele alınır. Fotoğrafta kişinin tanınabilir olması onu kişisel veri hâline getirebilir; ancak her izinsiz fotoğraf paylaşımının koşulları ve hukuki sonucu aynı değildir.
İçeriğin hızla yayılma riski varsa platform başvurusu, erişimin engellenmesi veya içeriğin çıkarılması yolları ile KVKK, kişilik hakkı ve ceza hukuku seçenekleri birlikte değerlendirilebilir. Paylaşım aynı zamanda hakaret içeriyorsa hakaret suçunda söz, bağlam ve delil ölçütleri farklı bir hukuki inceleme gerektirir.
Kişisel verinizin hukuka aykırı işlendiğini düşünüyorsanız; muhatabın kim olduğunu, verinin nereden elde edildiğini, hangi amaçla kullanıldığını ve elinizdeki delilleri belirleyerek Mefendizade Hukuk ve Danışmanlık iletişim sayfası üzerinden görüşme talebi oluşturabilirsiniz.
