Zara Veri İhlali Davaları Avukatları

Bu rehber, Zara (Sivas) bölgesinde veri ihlali ve kişisel verilerin korunması uyuşmazlıklarını; ihlalin hukuki niteliği, Kişisel Verileri Koruma Kurulu'na şikâyet yolu, veri sorumlusuna başvuru, görevli ve yetkili mahkeme, maddi ve manevi tazminat, cezai boyut ve zamanaşımı yönleriyle ayrıntılı biçimde ele alır. Amaç, kişisel verilerinizin hukuka aykırı biçimde işlenmesi, sızdırılması veya paylaşılması hâlinde izlenecek yolu baştan doğru kurgulamanıza yardımcı olmak ve uyuşmazlığınıza uygun avukatı sayfadaki listeden bilinçli şekilde seçmenizi sağlamaktır. Kişisel verilerin korunması, yalnızca büyük şirketleri değil; internette alışveriş yapan, sosyal medya kullanan, bir kuruma üye olan her bireyi doğrudan ilgilendiren bir alandır.

Veri ihlali, en geniş anlamıyla kişisel verilerin hukuka aykırı biçimde açıklanması, üçüncü kişilere aktarılması, ele geçirilmesi, değiştirilmesi veya yok edilmesi ile bu verilerin güvenliğini sağlama yükümlülüğünün ihlal edilmesidir. Türk hukukunda kişisel verilerin korunması 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ile düzenlenmiştir; bu Kanun, verinin hangi şartlarda işlenebileceğini, ilgili kişinin haklarını ve veri sorumlusunun yükümlülüklerini belirler. Verinin hukuka aykırı işlenmesi hâlinde ise Türk Borçlar Kanunu haksız fiil ve Türk Medeni Kanunu kişilik haklarının korunması hükümleri tazminat zemininde devreye girer.

Kişisel veri, kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin her türlü bilgidir. Ad, soyad, kimlik numarası, telefon, adres, konum, sağlık bilgileri, banka hesap verileri ve hatta çevrimiçi tanımlayıcılar bu kapsamdadır. Verinin kim tarafından, hangi amaçla ve hangi hukuki sebeple işlendiği, ihlalin varlığını ve ağırlığını doğrudan etkiler. Bir işleme faaliyetinin hukuka uygun olması için kural olarak ilgilinin açık rızasına veya kanunda sayılan işleme şartlarından birine dayanması gerekir; bu şartlardan hiçbiri yoksa işleme hukuka aykırıdır. Bu nedenle bir ihlal iddiasında ilk sorulacak soru, verinin hangi hukuki sebeple işlendiğidir.

Kişisel verilerle ilgili uyuşmazlıklarda en kritik adım, olayı doğru hukuki zemine oturtmaktır: bu bir idari denetim konusu mu (Kurula şikâyet), özel hukuk tazminatı mı, yoksa cezai sorumluluk mu doğuruyor? Çoğu olay bu üç boyutun birden gündeme geldiği karma nitelik taşır. Kişisel verilerin korunması hakkı, Anayasa'da güvence altına alınmış temel bir hak olarak da değerlendirilir; bu da alanın yalnızca teknik bir uyum meselesi değil, temel hak ve özgürlükler boyutu bulunan bir alan olduğunu gösterir. Aşağıda en sık karşılaşılan ihlal biçimleri özetlenmiştir:

Kişisel verilerin korunması hukukunda uyuşmazlığın doğru kurulabilmesi için birkaç temel kavramın netleşmesi gerekir. Veri sorumlusu, kişisel verilerin işlenme amaç ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir. Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına veri işleyen taraftır. İlgili kişi, verisi işlenen gerçek kişidir. Bir ihlalde sorumluluğun kime yükleneceği, tarafların bu sıfatlarına göre belirlenir; çoğu zaman esas sorumluluk veri sorumlusundadır, ancak veri işleyenin de kendi kusurundan doğan bir sorumluluğu bulunabilir.

Uygulamada karşılaşılan başlıca ihlal biçimleri şunlardır:

• Yetkisiz erişim ve veri sızıntısı: Kötü niyetli üçüncü kişilerin sisteme sızarak veri tabanını ele geçirmesi; çoğu zaman yetersiz güvenlik tedbirinin işareti sayılır.
• İzinsiz aktarım: Verilerin, açık rıza veya kanuni şart olmaksızın başka bir şirkete, iş ortağına ya da yurt dışına aktarılması.
• Amaç dışı işleme: Verinin toplandığı amacın dışında, örneğin toplanma amacıyla bağdaşmayan pazarlama veya profilleme faaliyetlerinde kullanılması.
• Aydınlatma ve rıza eksikliği: İlgili kişinin usulüne uygun bilgilendirilmemesi veya geçerli bir açık rıza alınmadan verinin işlenmesi.
• İmha yükümlülüğünün ihlali: İşlenme amacı ortadan kalkan verilerin silinmemesi, yok edilmemesi veya anonimleştirilmemesi.
• İzinsiz ticari ileti: Onay alınmadan gönderilen SMS, e-posta, arama gibi elektronik ticari iletiler; bu alan ayrıca elektronik ticaret mevzuatıyla da ilgilidir.

Bu kavramların netleşmesi, uyuşmazlıkta kime, hangi mercie ve hangi taleple gidileceğini belirler. Örneğin verisi izinsiz paylaşılan bir kişi, hem paylaşımı yapan veri sorumlusuna hem de somut olayda kusuru bulunan veri işleyene karşı taleplerini yöneltebilir. Sorumluluğun paylaştırılması, tarafların olaydaki rolüne ve kusur derecesine göre değerlendirilir.

Kişisel veri işlemenin temelinde yer alan genel ilkeler de bir ihlalin varlığını değerlendirmede yol göstericidir. Verilerin hukuka ve dürüstlük kurallarına uygun işlenmesi, doğru ve gerektiğinde güncel tutulması, belirli ve meşru amaçlarla işlenmesi, amaçla bağlantılı ve ölçülü olması, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesi bu ilkeler arasındadır. Bu ilkelerden herhangi birine aykırılık, tek başına hukuka aykırı bir işleme olarak nitelendirilebilir. Örneğin toplanma amacı sona eren bir verinin gereğinden uzun süre saklanması, saklama süresi ilkesinin ihlali sayılır ve ihlal bildirimi ile tazminat sonucunu doğurabilir.

Günlük hayatta en çok karşılaşılan somut veri ihlali senaryoları ve öne çıkan hukuki noktalar aşağıda özetlenmiştir. Bu örnekler, soyut bir kavram olan veri ihlalinin gündelik yaşamda nasıl karşımıza çıktığını göstermesi bakımından önemlidir:

• E-ticaret ve üyelik sitelerinden veri çalınması: Müşteri ad, telefon, adres ve ödeme bilgilerinin sızması; hem tazminat hem idari yaptırım gündeme gelir.
• Banka ve finans verilerinin ifşası: Hesap ve kart bilgilerinin ele geçirilmesi; dolandırıcılık zararıyla birlikte maddi tazminat talebi doğar.
• Onaysız reklam mesajları: Hiç ilişki kurulmamış bir kişiye izin alınmadan gönderilen ticari ileti ve arama.
• Özel yazışma ve fotoğrafların yayılması: Kişilik haklarını ağır biçimde ihlal eden ifşa; manevi tazminatın ağırlaştığı hâllerdendir.
• Sağlık verilerinin sızması: Özel nitelikli veri olduğundan yaptırımı ve tazminatı ağırlaştıran ihlal türü.
• İşyeri ve eski çalışan verilerinin amaç dışı kullanımı: İş ilişkisi sona erdikten sonra verinin saklanması veya kullanılması.
• Kamera ve konum takibi: Aydınlatma ve hukuki sebep olmaksızın yapılan izleme faaliyetleri.

Bu senaryoların ortak yönü, çoğunun başlangıçta fark edilmesinin güç olmasıdır. Verilerin ne zaman ve nasıl ele geçirildiği çoğu kez ancak bir dolandırıcılık girişimi, beklenmedik bir bildirim ya da bir kurumun gecikmeli ihlal duyurusuyla ortaya çıkar. Bu nedenle şüpheli en küçük belirtide bile hesap hareketlerini yakından izlemek ve delilleri korumak, sonradan doğabilecek hak kayıplarının önüne geçer. Erken fark edilen bir ihlalde alınacak hızlı önlemler, zararın büyümesini büyük ölçüde engelleyebilir.

Veri ihlalinde birden çok başvuru yolu bulunduğundan, her talebin doğru mercie yöneltilmesi gerekir. Doğru forumun baştan seçilmesi görevsizlik ve süre kaybını önler:

Zara bölgesindeki uyuşmazlıklar, yer bakımından yetki kurallarına göre Sivas Adliyesi yargı çevresindeki ilgili mahkemede ele alınır. Tazminat davalarında davacı, kural olarak kendi yerleşim yeri mahkemesinde de dava açabildiğinden yetki bakımından uygun forumun belirlenmesi önemlidir. Kurula şikâyet ise fiziksel bir yargı çevresine bağlı olmaksızın merkezi olarak değerlendirilir; bu nedenle nerede yaşarsanız yaşayın Kurul'a başvurabilirsiniz.

Veri ihlali davalarında en kritik aşama, ihlalin ve zararın somut delillerle ortaya konmasıdır. Kural olarak ihlali ve uğranılan zararı ispat yükü davacı ilgili kişidedir; ancak veri sorumlusunun, işlemeyi hukuka uygun kılan bir sebebin varlığını ve gerekli güvenlik tedbirlerini aldığını ortaya koyması beklenir. Bu nedenle delillerin erken ve düzgün toplanması, davanın kaderini belirler. Dijital ortamda gerçekleşen ihlallerde delillerin bütünlüğü kolayca bozulabildiğinden, bu aşama özel bir titizlik gerektirir.

Başlıca delil türleri şunlardır:

• Ekran görüntüleri ve dijital kayıtlar: İzinsiz erişim, tanıtım mesajları, hesap hareketleri ve bildirimlerin tarih damgalı görüntüleri.
• Yazışmalar: Veri sorumlusuna yapılan başvuru ve alınan yanıtlar; e-posta ve resmi bildirimler.
• Kurul kararları: Aynı olaya ilişkin Kurul tarafından verilmiş ihlal tespiti, tazminat davasında güçlü bir delil oluşturabilir.
• Banka ve işlem kayıtları: Maddi zararın (örneğin dolandırıcılık kaynaklı kaybın) belgelenmesi.
• Bilirkişi ve teknik inceleme: Sistemdeki güvenlik açığının ve verinin nasıl ele geçirildiğinin teknik olarak ortaya konması.
• Tanık beyanları: İhlalin ve sonuçlarının somutlaştırılmasına yardımcı beyanlar.

Veri ihlali uyuşmazlıklarında ispat yükünün dağılımı, sonucu doğrudan etkileyen teknik bir konudur. Genel kural, iddiasını ileri süren tarafın onu ispatla yükümlü olmasıdır; dolayısıyla ilgili kişi, verilerinin işlendiğini, bu işlemenin kendisine zarar verdiğini ve zararın miktarını ortaya koymaya çalışır. Ancak kişisel verilerin korunması hukukunda bazı dengeleyici kurallar bulunur: işlemenin hukuka uygun bir sebebe dayandığını, gerekli aydınlatmanın yapıldığını ve açık rızanın usulüne uygun alındığını ispat yükü, bu bilgi ve belgelere hâkim olan veri sorumlusundadır.

Bu denge, uygulamada büyük önem taşır. Zira aydınlatma metninin okunaklı, anlaşılır ve müdahaleye özgü biçimde sunulduğu; açık rızanın özgür iradeyle, belirli bir konuya ilişkin ve bilgilendirmeye dayalı olarak alındığı, belge düzeninde ve kayıtlarında somut olarak gösterilemiyorsa, veri sorumlusu ispat yükünü yerine getirememiş sayılabilir. Matbu bir onay kutucuğunun işaretlenmiş olması, tek başına geçerli açık rızanın varlığı için çoğu zaman yeterli görülmez. Bu nedenle veri sorumlusu işletmeler açısından kayıt ve dokümantasyon düzeni, sadece bir uyum formalitesi değil, bir ihlal iddiasında en güçlü savunma aracıdır.

Açık rızanın geçerliliği için üç unsur birlikte aranır: rızanın belirli bir konuya ilişkin olması, bilgilendirmeye dayanması ve özgür iradeyle açıklanmış olması. Bir hizmetin sunulmasını, aslında o hizmet için gerekli olmayan bir veri işlemeye rıza gösterme şartına bağlamak, rızanın özgürlüğünü ortadan kaldırabilir ve bu tür rızayı geçersiz kılabilir. Örneğin bir uygulamanın çalışması için zorunlu olmayan pazarlama verilerinin işlenmesine rıza vermeyen kullanıcının hizmetten yararlanmasının engellenmesi, açık rızayı sakatlayan bir uygulama olarak değerlendirilebilir. Aydınlatma yükümlülüğü ise açık rızadan bağımsız olarak, verinin hangi hukuki sebeple işlendiğine bakılmaksızın her hâlde yerine getirilmesi gereken bir yükümlülüktür; bu iki kavramın karıştırılması, uygulamada sık rastlanan bir hatadır.

Kişisel verilerinizin ihlal edildiğini düşünüyorsanız, izlenecek başvuru yolları kademeli bir yapıya sahiptir. Bu kademeler doğru sırayla takip edildiğinde hem hak kaybı önlenir hem de sonraki aşamalar için sağlam bir zemin oluşur.

Tazminat sürecinin tipik akışı aşağıdaki gibidir. Süreler olayın niteliğine ve mahkemenin iş yüküne göre değişebilir; aşağıdaki süreler yaklaşık yönlendirme amaçlıdır ve somut olayda farklılık gösterebilir.

Veri ihlali nedeniyle uğranılan zararın giderilmesi için başlıca iki tazminat kalemi gündeme gelir; bunlar aynı davada birlikte istenebilir:

• Maddi tazminat: Parasal olarak hesaplanabilen somut kayıpları karşılar. Dolandırıcılık nedeniyle çekilen para, itibar kaybına bağlı ticari zarar, ihlali gidermek için yapılan masraflar, hesap güvenliğinin yeniden sağlanmasına ilişkin giderler bu kapsamdadır. Bu kalemin ispatı gerekir.
• Manevi tazminat: Kişilik haklarının ihlali nedeniyle duyulan üzüntü, endişe ve rahatsızlığın kısmen giderilmesine yöneliktir. Somut maddi kayıp ispat edilmese dahi, verilerin hukuka aykırı ifşası kişilik haklarına saldırı oluşturuyorsa hükmedilebilir; miktarı hâkim hakkaniyete göre takdir eder.

Bazı hâllerde, ihlalin durdurulması, verilerin düzeltilmesi veya silinmesi gibi tazminat dışı talepler de dava veya başvuru yoluyla ileri sürülebilir. Ayrıca kişilik haklarına saldırının önlenmesi ve devam eden ihlalin durdurulması için ayrı talepler de gündeme gelebilir. Talepler somut olayın özelliklerine göre şekillendirilir; hangi kalemlerin ne şekilde isteneceğinin baştan doğru belirlenmesi, dava sonucunu doğrudan etkiler.

Manevi tazminat miktarı önceden sabit bir tarifeyle belirlenmez; hâkim, olayın tüm koşullarını değerlendirerek hakkaniyete uygun bir miktar takdir eder. Bu takdirde etkili başlıca etkenler şunlardır:

Bu etkenlerin yanında tarafların ekonomik ve sosyal durumu, ihlalin süregelip gelmediği ve veri sorumlusunun ihlal sonrası gösterdiği tutum da değerlendirmeye dâhil edilir. Amaç, ilgili kişiyi zenginleştirmek değil; uğradığı manevi zararı hakkaniyet ölçüsünde gidermektir.

Maddi tazminatta ise zararın somut biçimde belgelenmesi belirleyicidir. İhlal nedeniyle yapılan masraflar, uğranılan gelir kaybı, güvenliğin yeniden sağlanması için katlanılan giderler ve varsa dolandırıcılık kaynaklı kayıplar dekont, fatura ve banka kayıtlarıyla ortaya konmalıdır. Zarar ile ihlal arasındaki nedensellik bağının kurulması, maddi tazminat talebinin kabulü için gereklidir; bu bağ kurulamadığında, zarar gerçek olsa dahi tazminata hükmedilmesi güçleşir. Bu nedenle maddi zarara ilişkin belgelerin baştan titizlikle toplanması önemlidir.

Veri ihlali uyuşmazlıklarında süreler yol seçimine göre değişir ve çoğu hak düşürücü nitelik taşıdığından geçirilmesi hak kaybına yol açar. Aşağıdaki tabloda başlıca süreler özetlenmiştir; kesin süreler için güncel mevzuat ve somut olay esas alınmalıdır.

Fiil aynı zamanda suç oluşturuyor ve ceza kanununda daha uzun bir zamanaşımı öngörülüyorsa, tazminat davasında da bu daha uzun ceza zamanaşımı süresi dikkate alınır. Bu nedenle sürelerin erkenden hesaplanması ve başvuruların vakit kaybetmeden yapılması büyük önem taşır. Özellikle Kurula şikâyet süreleri kısa olduğundan, ihlali öğrendikten sonra hızla hareket etmek gerekir.

Bazı ihlal türleri, taşıdıkları risk nedeniyle özel bir hukuki değerlendirme gerektirir:

• Özel nitelikli (hassas) veriler: Sağlık, cinsel hayat, din, etnik köken, biyometrik ve genetik veriler daha sıkı işleme şartlarına tabidir; ihlalinde yaptırım ve tazminat ağırlaşır.
• Çocuklara ilişkin veriler: Çocukların verileri özel bir hassasiyetle korunur; velayet ve rıza konularında ek dikkat gerektirir.
• Yurt dışına aktarım: Verilerin yurt dışına aktarılması, kanunda öngörülen özel şartlara bağlıdır; bu şartlar sağlanmadan yapılan aktarım başlı başına bir ihlal oluşturabilir.
• İşçi-işveren ilişkisi: İşyerinde çalışan verileri, kamera ve konum takibi, işe alım süreçleri ölçülülük ve aydınlatma yükümlülüğü çerçevesinde değerlendirilir.

Başvuru ve dava sürecinde hazır bulundurulması yararlı belgeler, hem sürecin hızlanmasını hem de ispatın güçlenmesini sağlar:

• Kimliğinizi tevsik eden belgeler ve iletişim bilgileriniz.
• İhlale ilişkin ekran görüntüleri, tarih içeren mesaj ve e-postalar.
• Veri sorumlusuna yapılan başvuru ve alınan yanıtların bir örneği.
• Varsa Kurul kararı veya yazışmaları.
• Maddi zararı belgeleyen banka/işlem kayıtları, dekontlar ve masraf belgeleri.
• İlgili kurumla ilişkinizi gösteren sözleşme, üyelik veya fatura kayıtları.
• Tanık bilgileri ve olayı somutlaştıran diğer destekleyici belgeler.

Doğru avukatı seçmek, sürecin sağlıklı yürümesi için belirleyicidir. Görüşme sırasında aşağıdaki soruları sormak, avukatın bu alandaki deneyimini ve yaklaşımını anlamanıza yardımcı olur:

• Kişisel verilerin korunması ve veri ihlali uyuşmazlıklarında daha önce hangi tür işleri yürüttünüz?
• Olayımda önce Kurula şikâyet mi, tazminat davası mı, yoksa ikisini birlikte mi önerirsiniz ve neden?
• Delillerimi güçlendirmek için şimdi hangi adımları atmalıyım?
• Sürecin tahmini süresi ve olası aşamaları nelerdir?
• Ücretlendirme nasıl yapılır; harç ve masraflar ayrıca mı istenir?
• Sürecin gelişimi hakkında bana nasıl ve hangi sıklıkta bilgi verirsiniz?

Avukatla yapılacak ilk görüşmede, olayı olabildiğince kronolojik ve belgeli biçimde anlatmak süreci hızlandırır. Ne zaman, hangi kanaldan ve hangi verilerin ihlal edildiğini; varsa uğranılan somut zararı ve bugüne kadar atılmış adımları özetleyen kısa bir kronoloji, avukatın durumu hızla değerlendirmesini kolaylaştırır. Ayrıca, hangi kurumla nasıl bir ilişkiniz olduğunu (üyelik, alışveriş, iş ilişkisi vb.) gösteren belgeleri hazır bulundurmak, doğru forumun ve stratejinin belirlenmesine yardımcı olur.

Veri ihlali uyuşmazlıklarında başvurulan başlıca yasal düzenlemeler:

• 6698 sayılı Kişisel Verilerin Korunması Kanunu

  Verinin işlenme şartları, ilgili kişinin hakları, veri sorumlusunun yükümlülükleri, idari yaptırımlar
• Türk Ceza Kanunu (kişisel verilere ilişkin suçlar)

  Verilerin hukuka aykırı kaydedilmesi, verilmesi, ele geçirilmesi ve yok edilmemesi
• Türk Borçlar Kanunu

  Haksız fiil sorumluluğu, maddi ve manevi tazminat esasları
• Türk Medeni Kanunu

  Kişilik haklarının korunması ve saldırının önlenmesi
• 6502 sayılı Tüketicinin Korunması Hakkında Kanun

  Tüketici işlemlerinde ayıplı hizmet ve görevli mahkeme
• İlgili Kurul kararları ve yönetmelikler

  İhlal bildirimi, veri güvenliği tedbirleri, aydınlatma yükümlülüğü uygulaması

Kişisel verilerin korunması alanında yargı uygulamasında öne çıkan bazı temel ilkeler:

İhlal gerçekleşmeden alınacak önlemler, hem ilgili kişiler hem de veri sorumlusu işletmeler için büyük önem taşır. İlgili kişiler açısından; güçlü ve farklı parolalar kullanmak, iki adımlı doğrulamayı etkinleştirmek, tanımadığınız bağlantı ve eklere karşı dikkatli olmak, paylaşılan kişisel bilgileri asgaride tutmak temel korunma yöntemleridir. Bir ihlal şüphesinde ise parolaların hızla değiştirilmesi ve hesap hareketlerinin izlenmesi zararın büyümesini engelleyebilir.

Veri sorumlusu işletmeler açısından ise hukuki yükümlülük daha kapsamlıdır. İşlenen verilerin güvenliğini sağlayacak teknik ve idari tedbirlerin alınması, erişim yetkilerinin sınırlandırılması, veri işleme envanterinin tutulması, aydınlatma metinlerinin usulüne uygun hazırlanması ve gerektiğinde Veri Sorumluları Siciline kayıt zorunludur. Bu tedbirlerin alınmamış olması, bir ihlal gerçekleştiğinde kusurun ağırlığını artırır ve idari para cezası ile tazminat sorumluluğunu doğrudan etkiler.

Veri sorumlusu sıfatı taşıyan işletmeler, bir veri ihlali öğrendiklerinde bunu en kısa sürede ve mevzuatın belirlediği çerçevede Kişisel Verileri Koruma Kurulu'na bildirmekle yükümlüdür. Ayrıca ihlalden etkilenen ilgili kişilerin de bilgilendirilmesi beklenir. Bu bildirim yükümlülüğünün geç veya hiç yerine getirilmemesi, başlı başına ayrı bir yaptırım sebebidir.

Bunun yanında işletmelerin; işledikleri veriler bakımından bir işleme envanteri oluşturması, saklama ve imha politikalarını belirlemesi, çalışanlarını veri güvenliği konusunda bilgilendirmesi ve iş ortaklarıyla veri işleme sözleşmeleri yapması beklenir. Bir ihlal anında hızlı ve doğru bir hukuki müdahale (bildirim, delil koruma, iç inceleme ve iletişim yönetimi), hem yaptırım riskini hem de tazminat yükünü sınırlamaya yardımcı olur. Kriz anında atılacak adımların önceden planlanmış olması, panik kaynaklı hatalı kararların önüne geçer.

Uyumun sürdürülebilir olması için işletmelerin düzenli aralıklarla veri işleme faaliyetlerini gözden geçirmesi, yeni başlayan işleme faaliyetleri için aydınlatma ve rıza süreçlerini baştan kurgulaması ve tedarikçi ile iş ortaklarıyla yapılan sözleşmelerde veri koruma hükümlerine yer vermesi beklenir. Özellikle çok sayıda kişisel veri işleyen, hassas veri işleyen ya da otomatik sistemlerle profilleme yapan işletmelerde risk daha yüksek olduğundan, bu işletmelerde iç denetim ve farkındalık eğitimlerinin süreklilik taşıması önem kazanır. İhlal sonrası atılan adımların belgelenmesi, hem Kurul incelemesinde hem de olası tazminat davasında işletmenin gerekli özeni gösterdiğini ortaya koyması bakımından değerlidir.

Veri ihlali uyuşmazlıklarında hak kaybına yol açan yaygın hatalar şunlardır:

• Delilleri geç toplamak veya silmek: İhlale ilişkin mesaj, e-posta ve ekran görüntülerinin kaybedilmesi ispatı zayıflatır.
• Veri sorumlusuna başvurmadan doğrudan hareket etmek: Kurula şikâyette çoğu hâlde ön başvuru şartı aranır; bu adım atlanınca şikâyet usulden reddedilebilir.
• Süreleri kaçırmak: Şikâyet ve tazminat süreleri hak düşürücü olduğundan gecikme telafisi güç sonuçlar doğurur.
• Yanlış mahkeme veya mercie başvurmak: Görevsizlik/yetkisizlik kararı zaman kaybına yol açar.
• Talepleri eksik kurmak: Maddi ve manevi tazminatın ya da durdurma/silme taleplerinin baştan doğru belirlenmemesi hak kaybına neden olabilir.

Kişisel Verileri Koruma Kurulu'na yapılan şikâyet ile hukuk mahkemesindeki tazminat davası birbirinin alternatifi değildir; ikisi de aynı olay için birlikte yürütülebilir. Kurul'un vereceği ihlal tespiti, tazminat davasında güçlü bir delil işlevi görebilir; çünkü aynı olaya ilişkin idari makamın hukuka aykırılık saptaması, mahkemenin değerlendirmesine ışık tutar. Bununla birlikte tazminat davası, Kurul kararı beklenmeden de açılabilir.

Bu iki yolun eşgüdümlü yürütülmesi, hem ihlalin resmî olarak tespit edilmesini hem de uğranılan zararın giderilmesini sağlar. Cezai boyut varsa, suç duyurusu da bu iki yoldan bağımsız olarak eş zamanlı sürdürülebilir. Sürecin bütüncül planlanması, hangi yolun ne zaman ve nasıl kullanılacağının baştan kararlaştırılmasını gerektirir; bu da alanında deneyimli bir avukatla çalışmanın önemini artırır. Yolların birbirini nasıl beslediğini bilmek, hem zaman hem de hak kaybının önüne geçilmesini sağlar.

Bir veri ihlali, çoğu zaman aynı anda hem idari hem de cezai sonuçlar doğurur. İdari boyutta Kişisel Verileri Koruma Kurulu devreye girerken, cezai boyutta Türk Ceza Kanunu'nun kişisel verilere ilişkin suçları uygulanır. Bu iki alan birbirini tamamlar ancak amaçları farklıdır: idari yaptırım, veri sorumlusunun yükümlülüklere uymasını sağlamaya ve ihlali gidermeye yönelikken; cezai yaptırım, fiili işleyen gerçek kişilerin kişisel cezai sorumluluğunu hedefler.

Kişisel verilerin hukuka aykırı olarak kaydedilmesi, bir başkasına verilmesi, yayılması veya ele geçirilmesi ile bu verilerin kanunun öngördüğü sürede yok edilmemesi ayrı suç tipleri olarak düzenlenmiştir. Bu suçların soruşturması Cumhuriyet Başsavcılığınca yürütülür ve kovuşturma ceza mahkemesinde görülür. Özel nitelikli (hassas) verilerin söz konusu olduğu hâllerde cezai sorumluluk ağırlaşabilir. Mağdur, ceza yargılamasına katılan sıfatıyla dâhil olabilir; ayrıca ceza davasında verilen mahkûmiyet kararı, hukuk mahkemesindeki tazminat davasında güçlü bir delil oluşturabilir. Bu nedenle olayı yalnızca idari veya yalnızca hukuki boyutuyla değil, üç boyutuyla birlikte değerlendirmek gerekir.

Kişisel verilerinin ihlal edildiğini düşünen bir bireyin, paniğe kapılmadan izlemesi gereken pratik bir sıralama vardır. İlk olarak, olayın ne zaman ve nasıl fark edildiğini not almak; hesap hareketleri, gelen mesajlar ve bildirimlere ilişkin tüm dijital izleri koruma altına almak gerekir. Bu aşamada hiçbir mesaj veya e-posta silinmemeli, aksine tarih bilgisiyle birlikte saklanmalıdır.

İkinci olarak, güvenlik önlemleri hızla güçlendirilmeli; ilgili hesapların parolaları değiştirilmeli ve mümkünse iki adımlı doğrulama etkinleştirilmelidir. Üçüncü olarak, verisi işlenen kuruma yazılı başvuru yaparak durumun açıklığa kavuşturulması istenmelidir. Bu başvurudan tatmin edici bir yanıt alınamazsa, dördüncü aşamada Kurula şikâyet ve gerekirse tazminat davası gündeme gelir. Bu adımların sırasıyla ve süreleri gözetilerek atılması, hakkın korunmasında belirleyici olur. Sürecin herhangi bir aşamasında hukuki desteğe ihtiyaç duyulursa, bu sayfadaki listeden Zara bölgesinde bu alanda hizmet veren avukatlara ulaşılabilir.