KVKK Kapsamında Veri İhlali ve Tazminat Hakları

1. Giriş

Dijitalleşmenin hayatın hemen her alanına hâkim olmasıyla birlikte kişisel verilerin hukuka uygun biçimde işlenmesi ve güvenliğinin sağlanması temel bir hukuk meselesi hâline gelmiştir. Bankalar, hastaneler, e-ticaret şirketleri, işverenler, sigorta şirketleri, eğitim kurumları, kamu kurumları ve internet platformları günlük faaliyetleri sırasında çok sayıda kişisel veri işlemektedir. Bu nedenle kişisel verilerin yetkisiz kişiler tarafından ele geçirilmesi, üçüncü kişilerle izinsiz paylaşılması, yanlış kişilere gönderilmesi veya siber saldırı sonucunda açığa çıkması hem veri sorumlusu bakımından ciddi hukuki sonuçlar doğurmakta hem de veri sahibi kişilere çeşitli başvuru ve tazminat hakları sağlamaktadır.

Türkiye’de kişisel verilerin korunmasının temel hukuki dayanaklarından biri Anayasa’nın 20. maddesidir. Bunun yanında 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”), kişisel verilerin işlenmesine ilişkin esasları, veri sorumlularının yükümlülüklerini ve kişisel verisi ihlal edilen kişilerin başvurabileceği hukuki yolları ayrıntılı biçimde düzenlemektedir.

KVKK kapsamında veri güvenliğinin sağlanması yalnızca şirketlerin iç organizasyonunu ilgilendiren teknik bir konu değildir. Kişisel verilerin korunması, doğrudan doğruya özel hayatın gizliliği ve kişilik haklarıyla bağlantılı bir temel hak niteliğindedir. Bu nedenle veri ihlali meydana geldiğinde olayın şartlarına göre Kişisel Verileri Koruma Kurumu nezdinde idari süreç, hukuk mahkemelerinde tazminat davası ve bazı durumlarda ceza soruşturması aynı olay nedeniyle gündeme gelebilir.

2. Kişisel Veri Nedir?

KVKK kapsamında kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir.

Bu tanım oldukça geniştir. Bir kişinin yalnızca adı ve soyadı değil;

T.C. kimlik numarası, pasaport bilgileri, telefon numarası, e-posta adresi, ev veya iş adresi, banka hesap bilgileri, kredi kartı bilgileri, araç plakası, IP adresi, konum bilgileri, müşteri işlem kayıtları, fotoğraf ve görüntüler, ses kayıtları, özlük ve bordro bilgileri gibi kişinin kimliğini doğrudan veya dolaylı olarak belirlenebilir hâle getiren birçok veri kişisel veri niteliğinde olabilir.

Sağlık bilgileri, biyometrik ve genetik veriler gibi bazı veri türleri ise Kanun tarafından daha yüksek korumaya tabi tutulmaktadır. Kişisel Verileri Koruma Kurumu da özel nitelikli kişisel verilerin elde edilmesinin ilgili kişiler bakımından ayrımcılık veya başka ciddi mağduriyetler yaratabileceğini özellikle vurgulamaktadır.

Dolayısıyla bir veri ihlalinin hukuki ağırlığının değerlendirilmesinde yalnızca “veri sızdı mı?” sorusu değil, hangi tür verilerin açığa çıktığı da önem taşır.

3. KVKK Kapsamında Veri İhlali Nedir?

Veri ihlali denildiğinde çoğunlukla büyük ölçekli hacker saldırıları akla gelmektedir. Ancak KVKK bakımından veri güvenliği ihlali bundan çok daha geniş bir kapsama sahiptir.

Kişisel verilerin yetkisiz üçüncü kişiler tarafından elde edilmesi, veri tabanına hukuka aykırı erişim sağlanması, müşteri bilgilerinin yanlış kişiye gönderilmesi, çalışanların yetkisiz biçimde verilere ulaşması, veri içeren belgelerin kaybolması veya çalınması, veri tabanlarının internet üzerinden erişilebilir hâle gelmesi gibi olaylar veri güvenliği ihlali kapsamında değerlendirilebilir.

KVKK m.12 uyarınca veri sorumlusunun temel yükümlülüğü;

kişisel verilerin hukuka aykırı işlenmesini önlemek,

kişisel verilere hukuka aykırı erişilmesini önlemek,

kişisel verilerin muhafazasını sağlamak

amacıyla gerekli teknik ve idari tedbirleri almaktır. Kurumun veri ihlaline ilişkin uygulaması da bu yükümlülükler üzerine kuruludur.

Dolayısıyla bir şirketin “siber saldırıya uğradık, saldırıyı üçüncü kişi gerçekleştirdi” demesi tek başına sorumluluktan kurtulmasına yetmez. Ayrıca olay öncesinde alınması gereken makul teknik ve idari güvenlik tedbirlerinin alınıp alınmadığı değerlendirilmelidir.

4. Veri Sorumlusunun Veri Güvenliğini Sağlama Yükümlülüğü

KVKK sisteminde kişisel verilerin güvenliğini sağlama yükümlülüğünün temel muhatabı veri sorumlusudur.

Veri sorumlusu; kişisel verilerin hangi amaçla ve hangi yöntemle işleneceğini belirleyen, veri kayıt sisteminin kurulması ve yönetilmesinden sorumlu gerçek veya tüzel kişidir.

Örneğin müşterilerinin bilgilerini işleyen bir banka bakımından banka, çalışanların özlük bilgileri bakımından işveren, hastaların bilgileri bakımından hastane veya sağlık kuruluşu veri sorumlusu konumunda olabilir.

Veri sorumlularının güvenlik yükümlülüğü yalnızca antivirüs programı kurmak veya sisteme şifre koymakla sınırlı değildir.

Somut olayın niteliğine göre;

erişim yetkilerinin sınırlandırılması, güçlü kimlik doğrulama yöntemleri, log kayıtlarının tutulması, sistemlerin güncel tutulması, veri tabanlarının korunması, yetkisiz erişimlerin tespiti, çalışanların eğitilmesi, kişisel veriye erişim yetkilerinin görevle sınırlandırılması, veri işleyenlerle yapılan sözleşmelerde güvenlik hükümlerinin düzenlenmesi ve veri ihlali müdahale planlarının oluşturulması gibi tedbirler gündeme gelebilir.

Nitekim Kurumun yakın tarihli veri ihlali duyurularında saldırı yöntemlerinin son derece çeşitli olduğu görülmektedir. 2026 yılında ilan edilen ihlaller arasında çalışan hesabının sesli oltalama saldırısıyla ele geçirilmesi, fidye yazılımı saldırısı, yazılım açıklığı ve ele geçirilen kullanıcı hesabı üzerinden veri tabanına yetkisiz erişim gibi farklı olay türleri bulunmaktadır.

Bu durum veri güvenliği yükümlülüğünün statik değil, sürekli olarak güncellenmesi gereken bir yükümlülük olduğunu göstermektedir.

5. Veri İhlali Meydana Geldiğinde Bildirim Yükümlülüğü

KVKK m.12/5 uyarınca işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu bu durumu en kısa sürede ilgili kişiye ve Kişisel Verileri Koruma Kuruluna bildirmek zorundadır.

Kanunda “en kısa sürede” ifadesi kullanılmakla birlikte Kişisel Verileri Koruma Kurulu 24.01.2019 tarihli ve 2019/10 sayılı kararıyla bu süreyi somutlaştırmıştır.

Buna göre veri sorumlusu ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içerisinde Kurula bildirim yapmak zorundadır.

72 saat içerisinde bildirim yapılamaması hâlinde ise gecikmenin haklı gerekçeleri Kurula açıklanmalıdır.

İhlalden etkilenen kişilerin belirlenmesinin ardından ilgili kişilere de makul olan en kısa süre içerisinde bildirim yapılması gerekir.

İlgili kişinin iletişim bilgileri biliniyorsa bildirim doğrudan yapılabilir. Ulaşılamıyorsa şirketin internet sitesinde duyuru gibi uygun yöntemlere başvurulabilir.

6. İlgili Kişiye Yapılacak Bildirimde Neler Bulunmalıdır?

Veri ihlali bildirimi yalnızca “verileriniz sızmış olabilir” şeklinde soyut bir bildirimden ibaret olmamalıdır.

Kişisel Verileri Koruma Kurulunun 2019/271 sayılı kararına göre ilgili kişiye yapılacak bildirim açık ve sade bir dille hazırlanmalı ve asgari olarak;

ihlalin ne zaman meydana geldiği,

hangi kişisel veri kategorilerinin ihlalden etkilendiği,

ihlalin muhtemel sonuçları,

olumsuz etkilerin azaltılması amacıyla alınan veya alınması önerilen tedbirler,

ilgili kişinin ihlal hakkında bilgi alabileceği iletişim kanalları

konusunda bilgi içermelidir.

Bunun amacı ilgili kişinin kendi güvenliğini sağlayabilmesine imkân tanımaktır.

Örneğin kredi kartı bilgilerinin sızdığı bir kişinin kartını iptal ettirmesi, şifresi ele geçirilen kişinin şifresini değiştirmesi veya kimlik bilgilerinin ele geçirildiği kişinin dolandırıcılık ihtimaline karşı gerekli tedbirleri alması ancak ihlal hakkında zamanında bilgi sahibi olması hâlinde mümkündür.

7. Veri İhlalinin Geç Bildirilmesinin Sonuçları

Bildirim yükümlülüğünün zamanında yerine getirilmemesi ayrıca hukuki sorumluluk doğurabilir.

Kişisel Verileri Koruma Kurulunun uygulamasında ihlalin veri sorumlusu tarafından çok uzun süre sonra ilgililere veya Kurula bildirilmesi KVKK m.12/5 kapsamındaki yükümlülüğün ihlali olarak kabul edilmektedir.

Nitekim Kurum tarafından yayımlanan bir karar özetinde veri ihlalinin ilgili kişilere 17 ay, Kurula ise 10 ay gecikmeli bildirilmesi nedeniyle veri sorumlusu hakkında idari yaptırım uygulanmasına karar verilmiştir.

Bu nedenle şirketler açısından veri ihlalinin tespit edilmesinden sonraki ilk saatler hukuken son derece önemlidir.

8. Kişisel Verisi İhlal Edilen Kişinin KVKK Kapsamındaki Hakları

KVKK m.11 ilgili kişiye geniş kapsamlı haklar tanımaktadır.

İlgili kişi veri sorumlusuna başvurarak kendisi hakkında kişisel veri işlenip işlenmediğini öğrenebilir, işlenmişse buna ilişkin bilgi isteyebilir, verilerin hangi amaçla işlendiğini ve amaca uygun kullanılıp kullanılmadığını öğrenebilir.

Ayrıca verilerin yurt içinde veya yurt dışında hangi üçüncü kişilere aktarıldığını öğrenme hakkına sahiptir.

Eksik veya yanlış işlenen verilerin düzeltilmesini, kanunda öngörülen koşullarda verilerin silinmesini veya yok edilmesini ve yapılan işlemlerin verinin aktarıldığı üçüncü kişilere bildirilmesini talep edebilir.

En önemlisi KVKK m.11 kapsamında;

kişisel verilerin Kanuna aykırı olarak işlenmesi sebebiyle zarara uğranılması hâlinde zararın giderilmesi talep edilebilir.

Bu düzenleme veri ihlali mağdurlarının tazminat talep edebilmelerinin önemli dayanaklarından biridir.

9. Öncelikle Veri Sorumlusuna Başvuru

KVKK kapsamındaki hakların kullanılmasında kademeli bir başvuru mekanizması bulunmaktadır.

İlgili kişi öncelikle veri sorumlusuna başvurmalıdır.

Başvuruda örneğin;

hangi kişisel verilerin ihlalden etkilendiğinin açıklanması,

verilerin kimlere aktarıldığının bildirilmesi,

hukuka aykırı biçimde tutulan verilerin silinmesi veya yok edilmesi,

yanlış verilerin düzeltilmesi,

ihlalin kaynağı ve alınan tedbirlerin açıklanması,

zararın giderilmesi

talep edilebilir.

Kişisel Verileri Koruma Kurumu da KVKK kapsamındaki talepler bakımından öncelikle veri sorumlusuna başvurulmasının zorunlu olduğunu açıkça belirtmektedir.

Veri sorumlusunun başvuruyu en geç 30 gün içerisinde sonuçlandırması gerekir.

10. Kişisel Verileri Koruma Kuruluna Şikâyet

Veri sorumlusuna yapılan başvuru reddedilirse, verilen cevap yetersiz bulunursa veya süresi içerisinde cevap verilmezse ilgili kişi Kişisel Verileri Koruma Kuruluna şikâyette bulunabilir.

Şikâyet süresi;

veri sorumlusunun cevabının öğrenilmesinden itibaren 30 gün,

her hâlde veri sorumlusuna yapılan başvuru tarihinden itibaren 60 gündür.

Kurum ayrıca doğrudan Kurula şikâyet edilmeden önce veri sorumlusuna başvurulması gerektiğini açık biçimde belirtmektedir.

Bununla birlikte önemli bir ayrım bulunmaktadır:

Kurula şikâyet etmek ile tazminat davası açmak aynı şey değildir.

Kurul veri sorumlusunun KVKK’ya aykırı davranıp davranmadığını denetleyebilir ve gerekli şartlarda idari yaptırım uygulayabilir. Ancak kişiye ödenecek maddi veya manevi tazminatın miktarına genel olarak hukuk mahkemeleri karar verir.

11. Veri İhlali Nedeniyle Maddi Tazminat Talep Edilebilir mi?

Evet.

Kişisel veri ihlali nedeniyle kişinin malvarlığında somut bir azalma meydana gelmişse maddi tazminat gündeme gelebilir.

Örneğin veri ihlali sonucunda banka hesabından hukuka aykırı para transferi yapılması, kimlik bilgileri kullanılarak dolandırıcılık gerçekleştirilmesi, ticari sır niteliğindeki kişisel bilgilerin açığa çıkması nedeniyle ekonomik kayıp oluşması veya ihlalin giderilmesi için zorunlu masraflar yapılması durumlarında maddi zarar iddiası gündeme gelebilir.

Ancak tazminat hukukunun genel ilkeleri gereğince zarar ile hukuka aykırı fiil arasındaki uygun illiyet bağının ortaya konulması önemlidir.

Bu nedenle veri ihlali mağdurlarının;

banka kayıtları,

sahte işlemler,

SMS ve e-posta bildirimleri,

şirket tarafından gönderilen ihlal bildirimleri,

ekran görüntüleri,

hesap hareketleri,

Kurul kararları,

savcılık veya polis tutanakları

gibi delilleri muhafaza etmesi önem taşır.

12. Veri İhlali Nedeniyle Manevi Tazminat Talep Edilebilir mi?

Veri ihlallerinde en önemli hukuki taleplerden biri manevi tazminattır.

KVKK m.14/3 açık şekilde;

“Kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkı saklıdır.”

esasını kabul etmektedir.

Kişisel Verileri Koruma Kurulu da birçok kararında manevi tazminata kendisinin hükmetmediğini, bu taleplerin genel mahkemelerde ileri sürülmesi gerektiğini belirtmektedir.

Dolayısıyla bir kişinin özel hayatına ilişkin bilgilerin, sağlık bilgilerinin, ekonomik bilgilerinin veya diğer kişisel verilerinin hukuka aykırı şekilde üçüncü kişilerle paylaşılması hâlinde kişilik haklarının ihlali nedeniyle manevi tazminat gündeme gelebilir.

13. Manevi Tazminat Miktarı Nasıl Belirlenir?

KVKK kapsamında “her veri ihlali için şu kadar tazminat ödenir” şeklinde belirlenmiş sabit bir tarife bulunmamaktadır.

Mahkeme somut olayın bütün özelliklerini değerlendirir.

Özellikle;

ihlalin kapsamı,

hangi veri kategorilerinin açığa çıktığı,

özel nitelikli kişisel veri bulunup bulunmadığı,

verilerin kaç kişiye ulaştığı,

verilerin internette yayımlanıp yayımlanmadığı,

ihlalin devam ettiği süre,

veri sorumlusunun kusuru,

ihlalin öğrenilmesine rağmen gerekli tedbirlerin alınıp alınmadığı,

mağdurun sosyal ve kişisel hayatına etkisi,

verinin kötüye kullanılıp kullanılmadığı

gibi unsurlar önem taşıyabilir.

Örneğin yalnızca bir telefon numarasının yanlışlıkla üçüncü kişiye aktarılması ile kişinin psikiyatrik sağlık geçmişinin internet üzerinden yayımlanması aynı ağırlıkta değerlendirilemez.

Özel nitelikli kişisel veriler bakımından ihlalin mağdur üzerindeki etkisinin daha ağır olması mümkündür.

14. Anayasa Mahkemesinin Yaklaşımı

Kişisel verilerin korunması yalnızca KVKK kapsamında düzenlenen kanuni bir hak değildir.

Anayasa’nın 20. maddesi kapsamında anayasal güvenceye sahiptir.

Anayasa Mahkemesi de kişisel verilerin korunmasını isteme hakkını özel hayata saygı hakkının önemli bir unsuru olarak değerlendirmektedir.

Örneğin Anayasa Mahkemesi 17 Temmuz 2024 tarihli bir bireysel başvuru kararında kişisel verilerin korunmasını isteme hakkının ihlal edildiğine karar vermiş ve başvurucu lehine 30.000 TL manevi tazminata hükmetmiştir.

Benzer şekilde Anayasa Mahkemesi 20 Mart 2025 tarihli Cem Özberk kararında sağlık bilgilerinin hukuka aykırı şekilde ele geçirilmesi iddialarıyla ilgili ceza soruşturmasının etkili yürütülmemesini kişisel verilerin korunması hakkı bakımından değerlendirmiş ve ihlal kararı vermiştir.

Bu kararlar kişisel verilerin korunmasının yalnızca idari bir uyum meselesi değil, temel hak boyutu bulunan bir alan olduğunu göstermektedir.

15. Tazminat İçin Önceden KVKK Kurulunun Karar Vermesi Gerekir mi?

Uygulamada önemli sorulardan biri budur.

Bir kişi tazminat davası açabilmek için mutlaka önce Kişisel Verileri Koruma Kurulundan ihlal kararı almak zorunda değildir.

Kurumun açıklamasına göre veri sorumlusuna başvuru yolu zorunlu olmakla birlikte Kurula şikâyet yolu ihtiyaridir. Başvurusu açıkça veya zımnen reddedilen kişinin bir taraftan Kurula şikâyet etmesi, diğer taraftan yargı yoluna başvurması mümkündür.

Dolayısıyla Kurul süreci ile tazminat süreci birbirinden ayrılmalıdır.

Bununla birlikte somut olay hakkında alınmış bir KVKK Kurulu kararı, hukuk davasında önemli bir delil niteliği taşıyabilir.

16. KVKK Kurulu Tazminata Hükmedebilir mi?

Hayır.

Kişisel Verileri Koruma Kurulu, Kanun kapsamında idari denetim ve yaptırım yetkisine sahiptir. Ancak mağdur lehine doğrudan maddi veya manevi tazminata hükmeden merci değildir.

Kurumun banka tarafından kişinin verilerinin izinsiz olarak babasıyla paylaşılmasına ilişkin kararında da manevi tazminat talebinin KVKK m.14/3 kapsamında genel mahkemelerde ileri sürülmesi gerektiği açıkça belirtilmiştir.

Bu nedenle veri ihlaline uğrayan kişinin;

“KVKK’ya başvurdum, Kurul bana tazminat öder”

şeklindeki düşüncesi doğru değildir.

Kurulun idari para cezasına hükmetmesi hâlinde verilen para mağdura değil kamuya ödenir.

Mağdurun kendi zararının giderilmesi için ayrıca hukuki talepte bulunması gerekir.

17. Tazminat Davasının Hukuki Dayanakları

KVKK kapsamındaki veri ihlalleri nedeniyle açılacak tazminat davalarının hukuki temeli somut olayın özelliklerine göre belirlenir.

Başlıca dayanaklar;

Anayasa m.20,

KVKK m.11,

KVKK m.12,

KVKK m.14/3,

Türk Medeni Kanunu m.24 ve m.25,

Türk Borçlar Kanunu’nun haksız fiil ve kişilik hakkının ihlaline ilişkin hükümleri

olabilir.

TMK m.24 uyarınca hukuka aykırı olarak kişilik hakkına saldırılan kişi saldırıya karşı korunmasını isteyebilir.

TBK m.58 uyarınca ise kişilik hakkının zedelenmesinden zarar gören kişinin uğradığı manevi zarara karşılık manevi tazminat talep etmesi mümkündür.

Kişisel verilerin korunması hakkı özel hayat ve kişilik hakkının önemli parçalarından biri olduğundan hukuka aykırı veri işleme faaliyetleri bu hükümler kapsamında da değerlendirilir.

18. Veri İhlali Aynı Zamanda Suç Oluşturabilir mi?

Evet.

Kişisel veri ihlalleri yalnızca KVKK kapsamında idari veya hukuki sorumluluk doğurmaz.

Olayın özelliklerine göre Türk Ceza Kanunu kapsamında suç da oluşabilir.

Özellikle;

TCK m.135 kapsamında kişisel verilerin hukuka aykırı olarak kaydedilmesi,

TCK m.136 kapsamında kişisel verileri hukuka aykırı olarak verme, yayma veya ele geçirme,

TCK m.138 kapsamında verileri yok etmeme

suçları gündeme gelebilir.

Bunun yanında sisteme yetkisiz erişim söz konusuysa bilişim suçlarına ilişkin hükümler de ayrıca değerlendirilmelidir.

Bu nedenle aynı olay hakkında;

KVKK Kuruluna şikâyet,

savcılığa suç duyurusu,

maddi ve manevi tazminat davası

bir arada gündeme gelebilir.

Ancak her hukuki yolun amacı ve koşulları birbirinden farklıdır.

19. Özel Nitelikli Kişisel Verilerin İhlali

Sağlık bilgileri, biyometrik ve genetik veriler gibi özel nitelikli kişisel verilerin açığa çıkması özellikle ağır sonuçlar yaratabilir.

Örneğin bir kişinin hastalık geçmişinin, psikolojik tedavi bilgilerinin veya biyometrik bilgilerinin üçüncü kişilerin eline geçmesi sıradan iletişim bilgilerinin sızdırılmasına göre özel hayat üzerinde daha ciddi bir müdahale oluşturabilir.

Kişisel Verileri Koruma Kurulunun sağlık bilgilerinin basında yayımlanmasına ilişkin kararlarında da kamu yararı ile kişisel verilerin korunması hakkı arasında ölçülülük değerlendirmesi yapılması gerektiği, gereğinden fazla özel hayat detayının yayımlanmasının kişilik haklarını ihlal edebileceği kabul edilmektedir.

Bu nedenle tazminat değerlendirmesinde verinin hassasiyeti önemli bir faktördür.

20. Siber Saldırı Meydana Gelmesi Şirketi Otomatik Olarak Sorumluluktan Kurtarır mı?

Hayır.

Veri sorumluları bakımından uygulamada sık karşılaşılan savunmalardan biri ihlalin üçüncü kişinin gerçekleştirdiği siber saldırı nedeniyle meydana geldiğidir.

Ancak veri ihlalinin siber saldırı sonucunda gerçekleşmesi, veri sorumlusunun KVKK kapsamındaki güvenlik yükümlülüğünü ortadan kaldırmaz.

Asıl incelenmesi gereken;

saldırının gerçekleşmesini önleyebilecek makul güvenlik tedbirlerinin alınıp alınmadığı,

güvenlik açıklarının zamanında giderilip giderilmediği,

erişim yetkilerinin doğru yapılandırılıp yapılandırılmadığı,

sistemlerin düzenli denetlenip denetlenmediği,

ihlalin zamanında tespit edilip edilmediği

gibi hususlardır.

Nitekim 2026 yılı içerisinde Kurum tarafından yayımlanan veri ihlali duyuruları; sosyal mühendislik, kullanıcı hesabının ele geçirilmesi, yazılım açığı ve fidye yazılımı gibi yöntemlerin veri güvenliği bakımından güncel riskler olmaya devam ettiğini göstermektedir.

21. Veri İhlaline Uğrayan Kişi Ne Yapmalıdır?

Kişisel verilerinin sızdırıldığını veya yetkisiz kişiler tarafından elde edildiğini düşünen kişinin öncelikle delilleri koruması önemlidir.

Şirket tarafından gönderilen ihlal bildirimi, SMS veya e-postalar, ekran görüntüleri, bankacılık işlemleri ve diğer belgeler saklanmalıdır.

Ardından veri sorumlusuna KVKK kapsamında yazılı başvuru yapılarak;

hangi verilerin ihlal edildiği,

ihlalin tarihi,

verilerin kimler tarafından elde edildiği,

üçüncü kişilere aktarım yapılıp yapılmadığı,

alınan güvenlik tedbirleri

sorulabilir.

Ayrıca verilerin silinmesi, düzeltilmesi veya zarar meydana gelmişse zararın giderilmesi talep edilebilir.

Başvuruya verilen cevaba göre Kişisel Verileri Koruma Kuruluna şikâyet ve gerektiğinde hukuk mahkemelerinde tazminat davası gündeme gelebilir.

Suç şüphesi bulunması hâlinde Cumhuriyet Başsavcılığına suç duyurusunda bulunulması da ayrıca değerlendirilmelidir.

22. Veri İhlallerinde İspatın Önemi

Tazminat davalarının en önemli konularından biri ispat meselesidir.

Davacının yalnızca “verilerim çalındı” şeklindeki iddiası her durumda yeterli olmayabilir.

Bu nedenle;

veri ihlalinin meydana geldiği,

davacıya ait verilerin ihlal kapsamında bulunduğu,

veri sorumlusunun hukuka aykırı davranışı,

meydana gelen zarar,

zarar ile veri ihlali arasındaki illiyet bağı

somut olay özelinde ortaya konulmalıdır.

Özellikle maddi tazminat bakımından zararın miktarının belgelendirilebilmesi önem taşır.

Manevi tazminat bakımından ise verinin niteliği, ihlalin yaygınlığı ve kişinin özel hayatına etkisi öne çıkmaktadır.

23. Şirketler Bakımından Veri İhlalinin Hukuki Sonuçları

Veri ihlali şirketler açısından tek boyutlu bir yaptırım doğurmaz.

Aynı olay;

KVKK kapsamında idari para cezası,

Kurul tarafından veri işleme süreçlerinin değiştirilmesi yönünde talimat,

tazminat davaları,

ceza soruşturmaları,

ticari itibar kaybı,

müşterilerin sözleşmeleri sona erdirmesi,

sektörel düzenleyici kurumların yaptırımları

gibi çeşitli sonuçlar yaratabilir.

Bu nedenle KVKK uyumu yalnızca aydınlatma metni hazırlamak veya internet sitesine gizlilik politikası koymaktan ibaret görülmemelidir.

Veri güvenliği aktif ve sürekli bir süreçtir.

24. Sonuç

Kişisel verilerin güvenliğinin sağlanması günümüzde temel hakların korunmasının en önemli unsurlarından biridir. 6698 sayılı KVKK veri sorumlularına kişisel verilerin hukuka aykırı olarak işlenmesini ve kişisel verilere yetkisiz erişimi önleme konusunda önemli yükümlülükler yüklemektedir.

Kişisel verilerin kanuni olmayan yollarla üçüncü kişiler tarafından elde edilmesi hâlinde veri sorumlusu ihlali gecikmeksizin değerlendirmeli ve Kurul uygulaması doğrultusunda en geç 72 saat içerisinde Kişisel Verileri Koruma Kuruluna bildirmelidir.

İhlalden etkilenen kişilere de makul olan en kısa süre içinde gerekli bilgilendirmenin yapılması gerekir.

Kişisel verisi hukuka aykırı biçimde işlenen veya üçüncü kişilerin eline geçen kişi ise KVKK m.11 kapsamında veri sorumlusuna başvurabilir, gerekli şartların oluşması hâlinde Kişisel Verileri Koruma Kuruluna şikâyette bulunabilir ve kişilik hakları ihlal edilmişse genel hükümler çerçevesinde maddi ve manevi tazminat talep edebilir.

Özellikle sağlık verileri, finansal bilgiler, kimlik bilgileri, biyometrik veriler veya özel hayatın mahrem alanına ilişkin bilgilerin ihlali ciddi sonuçlar doğurabileceğinden olayın yalnızca KVKK bakımından değil; kişilik hakları, haksız fiil sorumluluğu ve ceza hukuku bakımından da birlikte değerlendirilmesi gerekir.

Sonuç olarak veri ihlali mağdurlarının sahip olduğu haklar yalnızca verilerinin silinmesini istemekten ibaret değildir. Hukuka aykırı veri işleme sonucunda somut zarar veya kişilik hakkı ihlali meydana gelmişse zarar gören kişinin şartları oluştuğu ölçüde maddi ve manevi tazminat talep etmesi de mümkündür.