Telefon numaranız bir WhatsApp grubuna, fotoğrafınız sosyal medyaya veya sağlık raporunuz ilgisiz kişilere gönderilmiş olabilir. Verinin izniniz dışında paylaşılması önemli bir ihlaldir; ancak "açık rızam yoktu" demek tek başına her durumda hukuka aykırılığı kanıtlamaz.
Kısa Cevap
Kişisel veriniz hukuki dayanak bulunmadan paylaşıldıysa önce paylaşımı, bağlantıyı, yazışmaları ve kimlerin eriştiğini belgeleyin. Bir şirket, hastane veya işveren söz konusuysa veri sorumlusuna yazılı başvuru yaparak verinin kaynağını, paylaşılma amacını, alıcılarını ve silinmesini talep edebilirsiniz. Cevap verilmez veya yetersiz kalırsa süresi içinde Kişisel Verileri Koruma Kuruluna şikâyet; ayrıca şartlarına göre savcılık ve tazminat yolları değerlendirilebilir.
Hangi Bilgiler Kişisel Veri Sayılır?
Kimliği belirli veya belirlenebilir bir kişiye ilişkin her türlü bilgi kişisel veri olabilir. Ad-soyad ve T.C. kimlik numarasının yanında telefon numarası, adres, fotoğraf, ses kaydı, araç plakası, konum, IP adresi ve müşteri bilgileri de bu kapsama girebilir.
Sağlık bilgileri, biyometrik veriler, siyasi düşünce, dinî inanç ve ceza mahkûmiyeti gibi bilgiler özel nitelikli kişisel veridir. Bunların açıklanması kişiyi ayrımcılığa veya ciddi mağduriyete açık hâle getirebileceğinden daha sıkı koruma uygulanır. KVKK da özel nitelikli verilerin ancak kanunda sayılan sınırlı şartlarla işlenebileceğini belirtmektedir.
Örneğin Melikgazi'deki bir işverenin çalışanın hastalık raporunu tüm personele göndermesi ile Talas'taki bir işletmenin müşterilerin telefon numaralarını reklam şirketine aktarması farklı olaylardır; fakat her ikisinde de veri işleme amacı ve hukuki dayanak incelenmelidir.
Açık Rıza Olmadan Veri İşlemek Her Zaman Yasak mı?
Hayır. Açık rıza, kişisel veri işleme şartlarından yalnızca biridir. Kanunda açıkça öngörülmesi, sözleşmenin kurulması veya yerine getirilmesi için gerekli olması, hukuki yükümlülüğün yerine getirilmesi ya da bir hakkın tesisi ve korunması gibi başka hukuki sebepler bulunabilir.
Buna karşılık verinin toplanmış olması, istenilen kişiye gönderilebileceği anlamına gelmez. İşleme belirli, açık ve meşru bir amaca dayanmalı; kullanılan veri bu amaçla bağlantılı, sınırlı ve ölçülü olmalıdır. Açık rıza gerekiyorsa rızanın belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilmesi gerekir.
İzinsiz Paylaşım Suç mu, KVKK İhlali mi?
Aynı olay birden fazla hukuki sonuç doğurabilir.
KVKK Kapsamındaki İdari Süreç
Bir şirket, hastane, işveren veya internet sitesi kişisel verileri hukuka aykırı şekilde işlemiş ya da gerekli güvenlik tedbirlerini almamışsa veri sorumlusuna başvuru ve ardından Kişisel Verileri Koruma Kuruluna şikâyet yolu kullanılabilir. Kurul, ihlalin giderilmesine yönelik karar verebilir ve şartları oluşmuşsa kanunda öngörülen idari yaptırımları uygulayabilir.
Ceza Soruşturması
Kişisel verilerin hukuka aykırı olarak başkasına verilmesi, yayılması veya ele geçirilmesi TCK m.136 kapsamında cezai sorumluluk doğurabilir. Özel yazışma, görüntü veya sağlık bilgisinin paylaşılması olayın niteliğine göre özel hayatın gizliliğinin ihlali gibi başka suçlar yönünden de değerlendirilebilir.
Kurula şikâyet idari denetim, savcılık başvurusu ise suçun araştırılması içindir. Biri diğerinin yerine geçmez.
Veri İhlalinde İlk Olarak Ne Yapılmalı?
İlk 24 Saat: Delilleri Koruyun
Paylaşım silinmeden önce:
- Ekran görüntüsü ve mümkünse ekran kaydı alın.
- İnternet adresini, profil adını, tarih ve saati kaydedin.
- E-posta, SMS ve WhatsApp yazışmalarını silmeyin.
- Veriyi gören veya kendisine gönderilen kişileri not edin.
- Paylaşımın ulaştığı grubu ve yaklaşık kişi sayısını belgeleyin.
Sadece kırpılmış görüntü yerine paylaşımın kaynağını ve bağlamını gösteren kayıtlar alınmalıdır.
İlk Hafta: Veri Sorumlusuna Başvurun
İhlal bir kurum veya işletmeden kaynaklanıyorsa önce veri sorumlusuna başvurularak:
- Verinin işlenip işlenmediği,
- Nereden elde edildiği,
- Hangi amaçla kullanıldığı,
- Kimlere aktarıldığı,
- Düzeltilmesi, silinmesi veya yok edilmesi
talep edilebilir. Başvurunun yazılı ve ispatlanabilir yöntemle yapılması, teslim veya gönderim kaydının saklanması önemlidir.
Kişisel Verileri Koruma Kuruluna Nasıl Şikâyet Edilir?
Kurula başvurmadan önce veri sorumlusuna müracaat edilmesi zorunludur. Doğrudan Kurula gönderilen şikâyet, bu ön başvuru yapılmadığı için incelenmeyebilir. Bu zorunluluk savcılığa veya mahkemeye başvuru bakımından geçerli değildir.
Veri sorumlusu başvuruyu en geç 30 gün içinde cevaplamalıdır. Cevap yetersizse veya başvuru reddedilmişse, cevabın öğrenilmesinden itibaren 30 gün ve her durumda veri sorumlusuna başvuru tarihinden itibaren 60 gün içinde Kurula şikâyet edilebilir. Cevap verilmezse başvuru tarihinden itibaren 60 günlük süre dikkate alınmalıdır.
Maddi ve Manevi Tazminat İstenebilir mi?
Hukuka aykırı veri paylaşımı nedeniyle itibar kaybı, psikolojik zarar, iş kaybı veya somut mali zarar oluşmuşsa maddi ve manevi tazminat talep edilebilir. Tazminat miktarı otomatik değildir; ihlalin ağırlığı, verinin niteliği, ulaştığı kişi sayısı, paylaşımın süresi ve mağdur üzerindeki etkisi değerlendirilir.
Kurul doğrudan manevi tazminata hükmeden bir mahkeme değildir. Tazminat için olayın taraflarına ve hukuki niteliğine göre görevli yargı merciine başvurulması gerekir.
Uygulamada En Sık Yapılan Hatalar
- Doğrudan Kurula şikâyet etmek: Önce veri sorumlusuna usulüne uygun başvuru yapılmalıdır.
- Yalnızca "verimi silin" demek: Verinin kaynağı, amacı, aktarıldığı kişiler ve hukuki sebebi de sorulmalıdır.
- Paylaşımı görünce hemen sildirmek: Önce delil alınmalı, ardından kaldırma talep edilmelidir.
- Her olayı sadece KVKK ihlali saymak: Verinin hukuka aykırı yayılması suç oluşturuyorsa savcılık yolu da değerlendirilmelidir.
Sık Sorulan Sorular
Telefon numaram WhatsApp grubunda paylaşılırsa şikâyet edebilir miyim?
Paylaşımın amacı, kapsamı ve hukuki dayanağı incelenir. Gereksiz ve izinsiz yayma hâlinde KVKK, ceza ve kişilik haklarının korunması yolları gündeme gelebilir.
Eski işverenim fotoğrafımı internet sitesinde tutabilir mi?
İşleme amacı ve hukuki dayanak sona ermişse fotoğrafın kaldırılması veya silinmesi talep edilebilir. Daha önce izin verilmiş olması süresiz kullanım hakkı anlamına gelmez.
Sağlık raporum iş arkadaşlarımla paylaşılabilir mi?
Sağlık verisi özel nitelikli kişisel veridir. İşverenin gerekli işlemleri yapabilmesi, raporun içeriğini ilgisiz çalışanlara açıklama yetkisi vermez.
Sosyal medyadaki paylaşım silinirse dava açılamaz mı?
Silinme, gerçekleşmiş ihlali kendiliğinden ortadan kaldırmaz. Önceden alınmış ekran görüntüleri, tanıklar ve platform kayıtları delil olabilir.
Sonuç
Veri ihlalinde doğru sıra önemlidir: Önce paylaşımı belgeleyin, veri sorumlusuna kapsamlı başvuru yapın ve süreleri kaçırmadan Kurul, savcılık veya tazminat yollarından uygun olanı seçin. Bir Kayseri bilişim avukatı veya KVKK avukatı Kayseri kapsamındaki olaylarda idari ve adli yolların birlikte değerlendirilmesine yardımcı olabilir.
Bu içerik Av. Cemal YILDIRIM ve Av. Mücahid İsa DAĞLI (YD Hukuk ve Danışmanlık – Kayseri) tarafından bilgilendirme amacıyla hazırlanmıştır. Her olayın kendine özgü koşulları vardır; kesin değerlendirme için bir avukata danışınız. YD Hukuk ve Danışmanlık, Kayseri'de faaliyet göstermektedir.
Bu yazı genel bilgilendirme niteliğindedir, hukuki tavsiye değildir.