Kişisel veri, kimliği belirli veya belirlenebilir nitelikteki bir gerçek kişiye ilişkin her türlü veriyi ifade eder. 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 11. maddesi gereğince, verileri kanuna aykırı olarak işlenen ve bu sebeple zarara uğrayan ilgili kişiler uğradıkları zararın giderilmesini veri sorumlusundan talep etme hakkına sahiptir. Kanun'un 14. maddesinin üçüncü fıkrasında ise kişisel verilerin korunması kapsamındaki ihlaller neticesinde kişilik hakları zarara uğrayan kişilerin genel hükümler çerçevesinde tazminat davası açma haklarının saklı tutulduğu açıkça düzenlenmiştir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 11Kaynağı aç
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 14Kaynağı aç
Veri Sorumlusunun Güvenlik Tedbirleri ve Ortak Sorumluluğu
6698 sayılı Kanun'un 12. maddesinin birinci fıkrası uyarınca veri sorumlusu; kişisel verilerin hukuka aykırı işlenmesini ve bu verilere haksız erişimi önlemek, aynı zamanda verilerin güvenli muhafazasını temin etmek için uygun güvenlik düzeyini sağlayacak gerekli her türlü teknik ve idari tedbiri almak zorundadır. Verilerin veri sorumlusu adına farklı bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde de mevzuatta öngörülen güvenlik önlemlerinin eksiksiz yerine getirilmesinden veri sorumlusu ile söz konusu veri işleyen kişiler müştereken sorumludur. Ayrıca veri sorumluları ile veri işleyenler, öğrendikleri kişisel verileri kanuna aykırı şekilde açıklayamaz ve işleme amacı dışında kullanamaz; bu sır saklama yükümlülüğü ilgililerin görevlerinden ayrılmasından sonra da devam eder.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 12Kaynağı aç
Siber saldırının üçüncü kişi tarafından gerçekleştirilmiş olması tek başına veri sorumlusunu sorumluluktan kurtarmaya yetmeyebilir; bu tür olaylarda olay öncesinde alınması gereken makul teknik ve idari güvenlik tedbirlerinin alınıp alınmadığı değerlendirilir.
Veri İhlali Bildirim Süreçleri ve Şartları
İşlenmekte olan kişisel verilerin kanuni olmayan yöntemlerle başkaları tarafından elde edilmesi durumunda veri sorumlusu, bu durumu en kısa sürede hem ilgili kişiye hem de Kişisel Verileri Koruma Kuruluna bildirmekle yükümlüdür. Kişisel Verileri Koruma Kurulu tarafından alınan karar uyarınca, veri sorumlusunun ihlali öğrendiği andan itibaren gecikmeksizin ve en geç 72 saat içerisinde Kurula bildirim yapması esastır; bildirimin 72 saat içinde tamamlanamaması hâlinde ise gecikmeye dayanak teşkil eden haklı gerekçelerin Kurula sunulması gerekir.
İhlalden etkilenen ilgili kişilere yapılacak bildirim ise etkilenen kişilerin tespit edilmesinin ardından makul olan en kısa süre içerisinde gerçekleştirilmelidir. Kurul kararı doğrultusunda, veri sahibine iletilecek metnin açık ve sade bir üslupla kaleme alınması; ihlalin gerçekleştiği zamanı, hangi veri kategorilerinin ihlalden etkilendiğini, ortaya çıkabilecek olası sonuçları, olumsuzlukların giderilmesi amacıyla alınan veya önerilen güvenlik tedbirlerini ve ilgililerin ayrıntılı bilgi alabileceği iletişim kanallarını içermesi zorunludur.
Veri Sorumlusuna Başvuru ve Kurula Şikâyet Usulü
6698 sayılı Kanun'un 13. maddesi uyarınca veri sahibinin Kanun kapsamındaki taleplerini yazılı olarak veya Kurulun belirleyeceği yöntemlerle veri sorumlusuna iletmesi öngörülmüştür. Veri sorumlusu başvuruda yer alan talepleri, talebin niteliğine göre en kısa sürede ve en geç 30 gün içinde sonuçlandırır. Kanun'un 14. maddesinin ikinci fıkrası gereğince, veri sorumlusuna başvuru yolu tüketilmeden şikâyet yoluna başvurulamaz.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 13Kaynağı aç
Veri sorumlusuna sunulan talebin reddedilmesi, verilen yanıtın yetersiz görülmesi veya yasal 30 günlük süre içinde hiçbir cevap verilmemesi hâllerinde ilgili kişi, veri sorumlusunun cevabını öğrendiği tarihten itibaren 30 gün ve her hâlde başvuru tarihinden itibaren 60 gün içerisinde Kişisel Verileri Koruma Kuruluna şikâyette bulunabilir.
Kişisel Verileri Koruma Kurulu idari denetim ve yaptırım yetkisini haiz bir kamu otoritesidir; ihlal tespit ettiğinde idari para cezası uygulayabilir ancak doğrudan zarar gören kişi yararına maddi veya manevi tazminata hükmetme yetkisi bulunmamaktadır. Kurul tarafından kararlaştırılan idari para cezaları kamu bütçesine intikal eder. Uğranılan zararın giderilmesini isteyen mağdurun genel mahkemelerde bağımsız bir tazminat davası açması gerekir. Bu kapsamda tazminat davası açılabilmesi için önceden Kurul tarafından verilmiş bir ihlal kararının bulunması şart koşulmamıştır; veri sorumlusuna başvuru süreci tamamlandıktan sonra Kurula şikâyet ile adli yargı mercilerine başvurma yolları birbirini engellemeksizin ayrı ayrı yürütülebilir.
Genel Hükümler Çerçevesinde Tazminat ve Hukuki Koruma
4721 sayılı Türk Medeni Kanunu'nun 24. maddesi gereğince, hukuka aykırı biçimde kişilik hakkına saldırılan kimse hâkimden korunma talep edebilir. Zedelenen kişinin rızası, daha üstün nitelikte özel ya da kamusal bir yarar yahut kanunun verdiği yetkinin icrası bulunmadıkça kişilik haklarına yapılan her saldırı hukuka aykırılık teşkil eder. Kişisel verilerin hukuka aykırı şekilde elde edilmesi veya yayılması neticesinde kişilik hakkı zarar gören ilgili, 6098 sayılı Türk Borçlar Kanunu'nun 58. maddesi dayanağıyla manevi tazminat davası açabilir. Türk Borçlar Kanunu uyarınca hâkim, manevi zararın giderimi amacıyla bir miktar paranın ödenmesine karar verebileceği gibi tazminat yerine veya tazminata ilaveten saldırıyı kınayan bir karar verebilir ve bu kınama kararının yayımlanmasına da hükmedebilir.
4721 sayılı TÜRK MEDENİ KANUNU m. 24Kaynağı aç
6098 sayılı TÜRK BORÇLAR KANUNU m. 58Kaynağı aç
Kişisel Veri İhlallerinde Ceza Yaptırımları
Kişisel verilerin ihlali niteliğindeki bazı eylemler 5237 sayılı Türk Ceza Kanunu kapsamında suç olarak yaptırıma bağlanmıştır. Türk Ceza Kanunu'nun 135. maddesinin birinci fıkrası uyarınca kişisel verileri hukuka aykırı olarak kaydeden kimse hakkında bir yıldan üç yıla kadar hapis cezası öngörülmektedir. Kaydedilen bilginin siyasi, felsefi veya dini kanaatlere, ırki kökene, hukuka aykırı olarak ahlaki eğilimlere, cinsel yaşama, sağlık durumuna ya da sendikal aidiyete ilişkin olması durumunda verilecek ceza yarı oranında artırılmaktadır.
5237 sayılı TÜRK CEZA KANUNU m. 135Kaynağı aç
Kişisel verileri hukuka aykırı biçimde başkasına aktaran, yayan veya ele geçiren kimse Türk Ceza Kanunu'nun 136. maddesi gereğince iki yıldan dört yıla kadar hapis cezası ile cezalandırılır. Suç konusunun Ceza Muhakemesi Kanunu'nun 236. maddesinin beşinci ve altıncı fıkraları uyarınca kayda alınan beyan ve görüntüler olması hâlinde ceza bir kat artırılır. Aynı Kanun'un 138. maddesi uyarınca kanunların belirlediği sürelerin geçmiş olmasına karşın verileri sistem içinde yok etmekle yükümlü olanlara görevlerini yerine getirmediklerinde bir yıldan iki yıla kadar hapis cezası verilir; suç konusunun Ceza Muhakemesi Kanunu hükümlerine göre ortadan kaldırılması veya yok edilmesi gereken veri olması hâlinde verilecek ceza bir kat artırılır.
5237 sayılı TÜRK CEZA KANUNU m. 136Kaynağı aç
5237 sayılı TÜRK CEZA KANUNU m. 138Kaynağı aç
Veri ihlali nedeniyle tazminat davası açmak için Kurul kararı şart mıdır?
Tazminat davası açmak için önceden Kişisel Verileri Koruma Kurulundan bir ihlal kararı alınması zorunlu değildir. Kurulun tazminata hükmetme yetkisi bulunmadığından tazminat talepleri genel hükümlere göre mahkemeler önünde ileri sürülür ve yargı yolu Kurula şikâyet sürecinden bağımsız yürütülür.
Siber saldırıya uğrayan veri sorumlusu tazminat sorumluluğundan kurtulur mu?
Siber saldırının üçüncü bir şahıs tarafından yapılmış olması veri sorumlusunu kendiliğinden hukuki sorumluluktan kurtarmaz. Veri sorumlusunun olaydan evvel makul teknik ve idari güvenlik önlemlerini alıp almadığı incelenerek sorumluluk durumu belirlenir.
Veri ihlali Kurula ve ilgili kişiye hangi sürelerde bildirilmelidir?
6698 sayılı Kanun uyarınca veri sorumlusu kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul kararı doğrultusunda ise ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirim yapılması, bu sürenin aşılması hâlinde gerekçelerin açıklanması aranır. İhlalden etkilenen kişilere ise kimliklerinin belirlenmesinin ardından makul olan en kısa süre içinde bildirim yapılması öngörülür.
Kişisel Verileri Koruma Kurulunun verdiği para cezası kime ödenir?
Kurul tarafından kesilen idari para cezaları ihlal mağduruna değil kamuya ödenir. Zarara uğrayan kişinin manevi veya maddi kaybının karşılanabilmesi için genel mahkemelerde ayrıca tazminat davası açılması gerekir.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy