Afra Nur BIYIK Kişisel Verilerin İzinsiz Paylaşılması: Hukuki Yollar
Afra Nur BIYIK Afra Nur BIYIK Ad, soyad, telefon numarası, adres, kimlik numarası, fotoğraf, sağlık bilgisi ve konum verisi gibi kimliği belirli veya belirlenebilir kılan her bilgi kişisel veridir. Bu verilerin rıza dışında paylaşılması, hem 6698 sayılı Kişisel Verilerin Korunması Kanunu hem de Türk Ceza Kanunu bakımından sonuç doğurur. Denizli'de kişisel verilerin izinsiz paylaşılması hâlinde idari, cezai ve hukuki yollar birlikte işletilebilir.
Kişisel verisi hukuka aykırı biçimde işlenen kişinin önünde birbirinden bağımsız üç yol vardır. Bu yollar aynı anda kullanılabilir:
Kanun, kademeli bir başvuru usulü öngörür. Doğrudan Kurula yapılan şikâyetler bu nedenle iade edilebilir.
Birinci aşama — veri sorumlusuna başvuru: İlgili kişi, KVKK m.11'de sayılan haklarını kullanmak üzere veri sorumlusuna yazılı olarak veya Kurulun belirlediği yöntemlerle başvurur. Bu haklar arasında; verinin işlenip işlenmediğini öğrenme, amacına uygun kullanılıp kullanılmadığını öğrenme, düzeltilmesini isteme, silinmesini veya yok edilmesini isteme ve aktarıldığı üçüncü kişilere bildirilmesini isteme yer alır.
Veri sorumlusu, talebi en geç otuz gün içinde ücretsiz olarak sonuçlandırmakla yükümlüdür.
İkinci aşama — Kurula şikâyet: Başvuru reddedilir, yetersiz cevap verilir veya süresinde cevap verilmezse; ilgili kişi cevabı öğrendiği tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilir.
Kademeli başvuru usulü uygulamada en sık atlanan noktadır. Veri sorumlusuna hiç başvurmadan doğrudan Kurula yapılan şikâyetler, esasa girilmeden iade edilmektedir. Başvurunun tarihli ve ispatlanabilir bir yöntemle yapılması gerekir.
Afra Nur BIYIK
Türk Ceza Kanunu, kişisel verilere ilişkin fiilleri ayrı bir bölümde suç olarak düzenlemiştir:
Bu suçlar resen takip edilir; şikâyete bağlı değildir. Suçun kamu görevlisi tarafından görevinin verdiği yetkiyi kötüye kullanmak suretiyle veya belli bir meslek ve sanatın sağladığı kolaylıktan yararlanarak işlenmesi hâlinde ceza artırılır.
Kişisel verilerin hukuka aykırı işlenmesi, aynı zamanda kişilik haklarına saldırı oluşturur. Bu nedenle Türk Medeni Kanunu ve Türk Borçlar Kanunu hükümlerine dayanarak manevi tazminat talep edilebilir. Veri ihlali nedeniyle somut bir mali kayıp doğmuşsa maddi tazminat da istenebilir.
KVKK m.14, ilgili kişilerin genel hükümlere göre tazminat hakkının saklı olduğunu açıkça belirtir. Yani idari süreç ve ceza yargılaması, tazminat talebini engellemez.
Veri ihlallerinde en kritik aşama delillendirmedir. Paylaşımın URL adresi, tarih ve saat bilgisi görünecek şekilde kaydedilmeli; mümkünse noter tespiti yaptırılmalıdır. İçeriğin kaldırılması için izlenecek yollar hakkında internetten içerik kaldırma yazımızı inceleyebilirsiniz.
Kişisel verilerin işlenmesinin temel hukuka uygunluk sebeplerinden biri açık rızadır. Ancak her onay geçerli sayılmaz. KVKK'ya göre açık rızanın üç unsuru birlikte bulunmalıdır:
Bu nedenle "üye olmak için tüm koşulları kabul ediyorum" biçimindeki tek kutucuklu onaylar, veri işlemeye açık rıza olarak kabul edilmez. Rıza her zaman geri alınabilir.
Her veri işleme için rıza aranmaz. Kanunlarda açıkça öngörülmesi, sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi, bir hakkın tesisi ve korunması için zorunlu olması gibi hâllerde rıza olmaksızın işleme yapılabilir.
Bu nedenle her veri işlemenin ihlal oluşturmadığı, somut olayın hukuki sebebe dayanıp dayanmadığının değerlendirilmesi gerektiği unutulmamalıdır.
Bazı veriler daha ağır korumaya tabidir: sağlık ve cinsel hayat, ırk, etnik köken, siyasi düşünce, felsefi inanç, din ve mezhep, kılık kıyafet, dernek-vakıf-sendika üyeliği, ceza mahkûmiyeti ve güvenlik tedbirleri ile biyometrik ve genetik veriler.
Bu verilerin ilgilinin açık rızası olmaksızın işlenmesi kural olarak yasaktır ve ihlali hâlinde hem idari yaptırımlar hem de ceza sorumluluğu ağırlaşır. Sağlık verilerinin işveren veya üçüncü kişilerle paylaşılması bu kapsamda ciddi bir ihlaldir.
Kişisel verilerin hukuka aykırı olarak başkaları tarafından ele geçirilmesi hâlinde veri sorumlusu, bu durumu ilgili kişiye ve Kurula bildirmekle yükümlüdür. Kurul, bildirimin en kısa sürede ve gecikmeksizin yapılmasını öngörmektedir.
Veri ihlali bildirimleri Kurulun internet sitesinde kamuya duyurulur. Bir şirketin veri tabanının sızdırıldığını öğrenen kişiler, bu bildirimlere dayanarak haklarını arayabilir.
KVKK, aydınlatma yükümlülüğünün yerine getirilmemesi, veri güvenliğine ilişkin yükümlülüklere aykırılık, Kurul kararlarının yerine getirilmemesi ve Veri Sorumluları Siciline kayıt yükümlülüğüne aykırılık hâlleri için idari para cezası öngörür. Ceza tutarları her yıl yeniden değerleme oranında güncellenir.
İdari para cezası veri sorumlusuna kesilir; bu, ihlalden zarar gören kişinin ayrıca tazminat isteme hakkını ortadan kaldırmaz.
Onay alınmaksızın gönderilen reklam amaçlı SMS, e-posta ve aramalar hem ticari iletişim mevzuatına hem de kişisel verilerin korunması hükümlerine aykırılık oluşturur. Bu tür iletiler İleti Yönetim Sistemi üzerinden reddedilebilir ve Ticaret Bakanlığı'na şikâyette bulunulabilir.
İletinin içeriğinde ret hakkının nasıl kullanılacağının açıkça gösterilmesi zorunludur.
Kişisel verilerin hukuka aykırı paylaşılması hâlinde Denizli'de üç ayrı yol birlikte kullanılabilir. Cezai yolda şikâyet Denizli Cumhuriyet Başsavcılığına yapılır; TCK m.135-140 kapsamındaki bu suçlar resen takip edilir ve şikâyete bağlı değildir.
İdari yolda ise kademeli başvuru usulü geçerlidir. Önce veri sorumlusuna yazılı başvuru yapılması, ardından Kişisel Verileri Koruma Kurulu'na şikâyette bulunulması gerekir. Denizli'den doğrudan Kurula yapılan şikâyetler, veri sorumlusuna başvurulmadığı gerekçesiyle iade edilmektedir.
Hukuki yolda ise kişilik haklarına saldırı nedeniyle Denizli'deki asliye hukuk mahkemelerinde manevi tazminat davası açılabilir. Veri ihlali nedeniyle somut bir mali kayıp doğmuşsa maddi tazminat da talep edilebilir.
Denizli'de faaliyet gösteren işletmeler bakımından da yükümlülükler bulunur: aydınlatma metni hazırlanması, veri güvenliği önlemlerinin alınması ve gerektiğinde Veri Sorumluları Siciline kayıt olunması. Bu yükümlülüklere aykırılık idari para cezası doğurur.
Evet. Türk Ceza Kanunu m.136 uyarınca kişisel verileri hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi hapis cezasıyla cezalandırılır. Bu suç resen takip edilir; şikâyete bağlı değildir.
Evet. KVKK m.13 uyarınca ilgili kişinin önce veri sorumlusuna yazılı olarak başvurması gerekir. Veri sorumlusu talebi en geç otuz gün içinde sonuçlandırır. Talep reddedilir veya cevap verilmezse Kişisel Verileri Koruma Kurulu'na şikâyette bulunulabilir.
Veri sorumlusunun cevabını öğrendiği tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunulmalıdır.
Telefon numarası kişisel veridir. İzinsiz paylaşılması hâlinde hem TCK m.136 kapsamında suç duyurusunda bulunabilir hem de kişilik haklarına saldırı nedeniyle manevi tazminat davası açabilirsiniz. İçeriğin kaldırılması için ayrıca başvuru yapılabilir.
Bu yazı genel bilgilendirme amaçlıdır; somut olayınıza ilişkin hukuki görüş yerine geçmez. Mevzuat ve içtihat zaman içinde değişebileceğinden, hak kaybı yaşamamak için sürecinizi bir avukatla değerlendirmeniz önerilir.
Veri ihlali, KVKK başvurusu ve tazminat süreçlerinde haklarınızı korumak için bizimle iletişime geçebilirsiniz.
