Veri İhlali Bildirimi Alan Kişi Hangi Haklara Sahiptir?

Bir şirketten, hastaneden, okuldan, internet platformundan veya hizmet aldığınız bir kurumdan veri ihlali bildirimi aldıysanız, bu bildirim ciddiye alınmalıdır. Veri ihlali; kişisel verilerin yetkisiz kişiler tarafından ele geçirilmesi, görülmesi, kopyalanması, kaybolması veya hukuka aykırı şekilde paylaşılması anlamına gelebilir. Bu durum yalnızca teknik bir sorun değil, kişinin özel hayatı, mali güvenliği ve kimlik güvenliği açısından risk doğurabilecek bir olaydır.

Bu başlıkta son dönemde yürürlüğe giren tekil bir kanun değişikliğinden ziyade, 6698 sayılı Kişisel Verilerin Korunması Kanunundaki mevcut haklar ve KVKK'nın güncel ihlal bildirimi uygulaması önem taşır. Veri sorumlusu, kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde durumu en kısa sürede ilgili kişiye ve Kurula bildirmekle yükümlüdür. Bildirim alan kişinin ise hangi verilerinin etkilendiğini sorma, gerekli tedbirleri isteme ve şartları varsa Kurula şikayet etme hakkı vardır.

Bildirim aldığınızda önce hangi verilerinizin etkilenmiş olabileceğini anlamalısınız. Ad soyad, telefon, e-posta, adres, T.C. kimlik numarası, sağlık bilgisi, finansal bilgi, şifre, müşteri numarası veya işlem geçmişi gibi verilerden hangilerinin ihlale konu olduğu önemlidir. Sadece e-posta adresinin sızması ile kimlik ve banka bilgilerinin sızması aynı risk seviyesinde değildir.

İkinci adım, pratik güvenlik önlemleridir. İhlal edilen platformdaki şifre değiştirilmeli, aynı şifre başka yerlerde kullanılıyorsa oralarda da yeni şifre belirlenmelidir. İki aşamalı doğrulama açılmalıdır. Banka veya kart bilgileri risk altındaysa banka ile iletişime geçilmelidir. Şüpheli SMS, e-posta ve aramalara karşı dikkatli olunmalıdır; veri ihlalinden sonra dolandırıcılık girişimleri artabilir.

Hukuki açıdan ilgili kişi, veri sorumlusuna başvurarak verilerinin işlenip işlenmediğini, hangi amaçla işlendiğini, kimlere aktarıldığını, ihlalden hangi verilerinin etkilendiğini, hangi tedbirlerin alındığını ve verilerin silinmesi ya da düzeltilmesi gerekip gerekmediğini sorabilir. Bu başvuru yazılı veya veri sorumlusunun kabul ettiği elektronik yollarla yapılmalıdır.

Veri sorumlusu başvuruya cevap vermezse, cevabı yetersiz kalırsa veya hukuka aykırı işlem devam ederse Kişisel Verileri Koruma Kurumuna şikayet gündeme gelebilir. Genel usulde önce veri sorumlusuna başvuru yapılması gerekir. Başvuru reddedildiğinde, cevap yetersiz bulunduğunda veya süresinde cevap verilmediğinde Kurula şikayet edilebilir. Bu nedenle başvuru tarihi, cevap tarihi ve tüm yazışmalar saklanmalıdır.

Veri ihlali nedeniyle maddi veya manevi zarar ortaya çıkmışsa tazminat talebi de değerlendirilebilir. Örneğin kimlik bilgilerinin kullanılması, dolandırıcılık girişimi, banka hesabı hareketleri, sahte abonelik veya itibar kaybı gibi durumlarda yalnızca idari şikayet yeterli olmayabilir. Somut zararın belgelenmesi ve uygun yargı yolunun belirlenmesi gerekir.

Veri ihlali bildirimi alan kişi için en doğru hareket planı şudur: Bildirimi saklamak, hangi verilerin etkilendiğini netleştirmek, şifre ve hesap güvenliğini sağlamak, veri sorumlusuna yazılı başvuru yapmak, cevap yetersizse KVKK şikayet yolunu değerlendirmek ve zarar doğmuşsa tazminat ihtimalini incelemek.

Bu yazı genel hukuki bilgilendirme amacı taşır. Veri ihlallerinde süreler ve başvuru usulü önemlidir. Her olayda veri türü, ihlalin kapsamı ve zarar ihtimali ayrıca analiz edilmelidir.