KVKK Şikayeti ve Suçları

Kişisel verilerinin işlenmesi, aktarılması ve KVKK şikayeti ile ilgili olarak 6698 sayılı Kişisel Verilerin Korunması Kanunu düzenlemeleri vardır. Bu kanun hem veri sorumlusuna hem de verilerin sahibi olan ilgili kişilere bir takım hak ve yükümlülükler tanıyor. İşte biz yazımızda ilgili kişinin haklarından KVKK şikayeti konusunu açıklayacağız.

Ticari ve sosyal hayatın işleyişi içinde insanların kişisel verileri bir şekilde kayıt altında tutuluyor. Buna kişisel verilerin işlenmesi denir. Çoğunlukla firmalar ve kamu kurumları; müşterilerin, çalışanların, ortakların veya diğer vatandaşların kişisel verilerini kaydetmektedir.

İşte bu kaydetme işleminin kanuna aykırı olması, kişilerin kişisel bilgilerini hukuka aykırı olarak ihlal etmeleri durumu, kanunda yaptırıma bağlanır. Bu durumda ilgili kişi KVKK şikayeti olarak adlandırdığımız prosedürü işletebilir.

Bu şekilde bir hukuki prosedür takip edecek olan kişi tecrübeli bir avukattan hukuki yardım almalıdır. Ancak bunun yanında konu hakkında yüzeysel de olsa bilgi sahibi de olmalıdır. İşte KVKK şikayeti başlıklı yazımızı bu amaçla sizler için hazırladık.

Yazımızda KVKK şikayetinin ne olduğu, veri sorumlusuna başvuru ve Kurula başvuru, Kurulun inceleme usulü, yeni getirilen şikayet modülü,  KVKK’da öngörülen suç ve cezalar, kabahat ve diğer hukuka aykırılıklar ile idari para cezaları gibi konuları inceleyeceğiz. Konu önemli olduğu için yazımızı dikkatlice okuyunuz.

KVKK Şikayeti Nedir?

KVKK şikayeti ile aslında Kişisel Verileri Koruma Kuruluna yapılan şikayet başvurusu kastedilmektedir. Ancak biz burada ilgili kişinin hak arama yöntemini size enine boyuna göstermek istiyoruz.

Kişisel Verilerin Korunması Kanunu, kişisel verilerin ilgilileri için kademeli bir hak arama yöntemi öngörüyor. Bu kapsamda ilgili kişiler öncelikle veri sorumlusuna karşı bir başvuru prosedürü takip edecek, bu prosedürün sonuçsuz kalması durumunda Kurula şikayet yöntemi izlenecektir.

Veri sorumlusu dediğimiz kişi; insanların kişisel verilerini belirli bir amaçla ve belirli bir yöntem izleyerek kaydeden sorumlu kişidir. Tüzel kişi veya gerçek kişi olabilir. İlgili kişi dediğimiz ise kişisel verilerin sahibidir. Bu kavramlar önemlidir çünkü KVKK şikayetinin ilk aşaması; ilgili kişinin veri sorumlusuna başvurmasıdır.

Veri sorumlusu, ilgili kişi, kişisel verilerin korunması, hak ve yükümlülükler ile ilgili önemli hususları ‘KVKK (Kişisel Verilerin Korunması)’ başlıklı yazımızda bulabilirsiniz. Şimdi konuya veri sorumlusuna başvuru hakkı ve bunun kullanılması ile ilgili ayrıntılarla devam ediyoruz.

Başvuru Hakkı ve Kullanılması

KVKK şikayeti ile ilgili prosedürün ilk ve zorunlu aşaması veri sorumlusuna yapılacak olan başvurudur. Bu başvuru KVKK madde 13’e göre yapılıyor. Ancak hem KVKK madde 11 hem de madde 13 düzenlemelerinde bir başvuru öngörülüyor.

KVKK madde 11 düzenlemesi uyarınca herkesin veri sorumlusuna başvurarak kendisi ile ilgili hangi verilerin ne şekilde işlendiğini öğrenme hakkı vardır. Bu madde uyarınca ilgili kişinin veri sorumlusuna şunları sorma hakkı vardır:

• Kişisel verinin işlenip işlenmediği
• Eğer kişisel veriler işlenmişse buna ilişkin ayrıntılı bilgi talebi
• Kişisel verilerin ne amaçla işlendiği
• Eğer bu amaç kanuna uygun ise kişisel verilerin bu amaca uygun kullanılıp kullanılmadığı
• Kişisel verilerin Türkiye içinde veya dışında kimlere aktarıldığı
• Kişisel veriler hatalı işlenmiş ise bunların değiştirilmesi talebi
• Kişisel verilerin silinmesi veya yok edilmesi talebi
• Kişisel verilerin bu şekilde düzeltildiği, silindiği veya yok edildiği durumlarda bu durumun, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini talep etme
• İşlenen kişisel verilerin münhasır olarak otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendi aleyhine olumsuz bir sonucun ortaya çıkmasına itiraz etme
• Kişisel verilerin KVKK ve diğer kanuni düzenlemelere aykırı olarak işlenmesi durumunda ortaya çıkan zararın giderilmesini talep etme

Bu saydıklarımız KVKK madde 11 düzenlemesi etrafında ilgili kişinin veri sorumlusuna karşı talep haklarıdır. KVKK şikayeti ise madde 13 kapsamında yapılır. Ancak bu başvurunun içeriği yukarıda saydığımız durumlara göre olacaktır. Buna göre veri sorumlusuna başvurunun aşamalarını şu şekilde açıklayabiliriz;

• İlgili kişi somut olayın özelliklerine göre yani KVKK şikayetinin ne ile ilgili olduğuna bağlı olarak yukarıda saydığımız soru ve taleplerini veri sorumlusuna ücretsiz olarak yöneltir.
• Veri sorumlusunun 30 günlük süre içerisinde cevaplandırabileceği en hızlı süre içerisinde bu talebe karşılık verme yükümlülüğü vardır. Yani en kısa süre içinde ama en geç 30 gün içinde soruya cevap verecek veya problemi çözecek.
• Veri sorumlusu kural olarak bu işlemi ücretsiz olarak gerçekleştirir. Ancak olağan dışı bir masraf ortaya çıktığı zaman Kurulun belirlediği ücret tarifesi üzerinden ücret talep edebilir.
• Veri sorumlusu, başvuran kişinin talebini kabul eder yahut gerekçelerini belirterek reddeder. Bu gerekçe ilgili kişiye yazılı olarak yahut elektronik ortamda bildirilir.
• Talep kabul edilirse gereği yerine getirilir. Eğer ortada veri sorumlusunun hatası veya ihmalinden kaynaklanan bir durum söz konusu ise ve başvurucu belirli başvurusunu yaparken ücret ödemişse bu ücret o kişiye iade edilir.

KVKK şikayetinin Kişisel Verileri Koruma Kuruluna taşınabilmesi için öncelikle yukarıda saydığımız prosedürün işletilmesi zorunludur. Yani kademeli bir prosedür söz konusudur.

Başvurunun Şekli: Veri sorumlusuna başvuru iki şekilde olabilir. Bunlardan birincisi yazılı bir bildirimdir. Islak imza içeren belge ile yazılı olarak başvuru yapılabilir. Bunun haricinde güvenli elektronik imza ile yapılan bir başvuru da geçerli olacaktır. Bunların haricinde Kurul, başka başvuru prosedürleri belirleme hakkına sahiptir.

Veri sorumlusuna başvurunun şekli ile ilgili olarak 30356 sayılı Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ düzenlemesi mevcuttur. Başvuru burada belirtilen ayrıntılara göre yapılır. Belirtmemiz gerekir ki bu mevzuat düzenlemeleri alternatif yollar belirler. Bunların hangisinin seçileceği somut olaya göre belirlenmelidir.

İlgili Kişinin Doğrudan Mahkemeye Başvurması

Kişisel verilerin ihlal edilmesi ile ilgili konular çoğu durumda kişilik hakkının ihlali anlamına geliyor. İşte kişilik hakkının ihlal edildiği durumlarda kanun başvuru ve Kurula şikayet prosedürlerinden ayrı olarak direkt mahkemeye başvurulabileceğini söylüyor. Yani genel hükümler kapsamında manevi tazminat davası açmak mümkün.

Belirtmemiz gerekir ki hangi hukuki prosedürün kişi lehine olacağını tespit etmek önemlidir. Zira bu, her sorum olayda farklı olabilir. Bunun için bir avukat yardımı almak önemlidir. Ayrıca her iki prosedürün takip edilmesi de mümkündür. Dediğimiz gibi bunun tespiti iyi yapılmalıdır ki hukuki süreç başarıya ulaşabilsin.

KVKK Şikayeti Hakkı ve Kullanılması

Veri sorumlusuna yukarıda anlattığımız şekilde başvuru yapıldıktan sonra veri sorumlusundan gelen şu cevaplara göre;

• Başvurunun ve talebin reddedilmesi
• Cevap verilmesi ama verilen cevabın yetersiz olması
• Süresi içerisinde cevap verilmemesi

hallerinde ilgili kişi 30 gün içerisinde Kişisel Verileri Koruma Kuruluna şikayette başvurabilir. Bu 30 günlük süre, ilgili kişinin gelen cevabı öğrendiği anda başlar. Eğer ilgili kişi cevabı öğrenememiş ise veri sorumlusunun cevap vermesinden itibaren 60 gün içerisinde bu hak her türlü sona erer.

Kurul, kendisine gelen şikayet üzerine gerekli incelemeyi yapmak için hazırlıklara başlar. Belirtmemiz gerekir ki Kurul bazı durumlarda şikayet olmaksızın re’sen inceleme başlatma yetkisine sahiptir.

Kurula Yapılacak Şikayetin Şekli: Kurula verilecek KVKK şikayet dilekçesinin özenle hazırlanması önemlidir. Çünkü 3071 sayılı Dilekçe Hakkının Kullanılmasına Dair Kanun düzenlemelerinde yer alan şartları taşımayan bir dilekçe Kurul tarafından incelemeye bile alınmaz.

Veri sorumlularının, Kurulun talep ettiği belgeleri 15 gün içerisinde Kurula gerektiği şekilde teslim etme yükümlülüğü vardır. Tabi belgenin Devlet sırrı niteliğinde olması durumu istisnadır. Bu daha çok bazı kamu kurumları için geçerli bir haldır.

Kurul, şikayet üzerine talebi inceler ve ilgililere bir cevap verir. Eğer ilgili şikayeti Kurul 60 gün içerisinde cevaplandırmazsa şikayetçinin talebini reddetmiş sayılır. Eğer Kurul inceleme sonucunda hak ihlali veya Kanuna aykırılık olduğu kanaatine varırsa, veri sorumlusuna bunun giderilmesi için talimat verir. Veri sorumlusunun bu kararı 30 gün içerisinde yerine getirme yükümlülüğü vardır.

Başvuru, eğer yaygın olan bir ihlal ile ilgili ise ve Kurul da buna kanaat getirmişse bu konuda herkesi ilgilendiren bir ilke kararı alır. Gerekiyorsa somut olayla ilgili başka kurum ve kuruluşlardan fikir alabilir.

Eğer telafisi güç veya imkansız bir zararın ortaya çıkması söz konusu ise ve açık bir hukuka aykırılık varsa Kurul veri işlemenin ve aktarımının durdurulmasına karar verebilir.

KVKK Şikayeti Modülü

KVKK şikayetinde Kurula başvuru aşaması yukarıda bahsettiğimiz şekilde yapılıyor. Ancak 09.01.2020 tarihi itibariyle artık yeni bir yöntemle daha başvuru yapmak mümkün hale geldi. Bunun adına ‘KVKK şikayet modülü’ deniliyor. Online ortamdan başvuru yapma imkanı sağlayan bu yol da kendine özel başvuru prosedürü içeriyor. Henüz yeni bir usül olsa da kısaca açıklamakta yarar görüyoruz.

Şikayet modülü kvkk.gov.tr adresinde şikayet bildirimi kısmında yer alıyor. Ayrıca e-Devlet sistemi üzerinden de şikayet modülüne ulaşmak mümkün. Bu sistem üzerinden veli/vasi işlemleri yapılamıyor. Yalnızca ilgili kişi kendi adına başvuruda bulunabiliyor.

Burada önemli olan bir husus ta bu süreçte gerekli tebligatların hangi kanallar ile sağlanacağını sistem üzerinde doğru bir şekilde belirtmektir. Kısacası artık şikayet oluşturma işlemi bu sistem üzerinden gerçekleştirilebiliyor.

Kurul Kararına Karşı Yargı Yolu

Kurul kararı nihayetinde bir idari işlem olduğu için bu karara idari yargıda iptal davası açmak mümkündür. İdarenin (Kişisel Verileri Koruma Kurulu dahil) her türlü eylem ve işlemine karşı iptal davası açmak mümkündür. Kurulun 60 günlük süreyi sessiz geçirmesi halinde de iptal davası açmak mümkündür.

Kurul kararına karşı iptal davası idari yargıda yani idare mahkemelerinde açılacaktır. Burada genel dava açma süresi olan 60 günlük dava açma süresi söz konusu olur. İdari yargıda verilen karara karşı somut olayın özelliklerine göre BİM’de (Bölge İdare Mahkemesinde) istinaf ve Danıştayda temyiz incelemeleri için başvurulabilir.

KVKK Şikayeti, Suçları ve Cezaları

Kişisel verilerle ilgili gerçekleştirilen fiiller bazen yukarıdaki gibi şikayete konu olurken bazı durumlarda adli vaka yani ceza mahkemesinde görülmesi gereken bir nitelik kazanır. Kişisel Verilerin Korunması Kanunu madde 17 düzenlemesine göre kişisel verilerle ilgili işlenen suçlar Türk Ceza Kanunu madde 135 – 140 aralığındaki hükümlere göre cezalandırılır. Bu suçları ve öngörülen cezaları şu şekilde izah etmemiz mümkündür:

• TCK 135 Kişisel Verilerin Kaydedilmesi Suçu → Kişisel verilerin KVKK hükümlerine göre kaydedilmesi gerektiğini söyledik. Kanuna aykırı şekilde kişisel veri işlemek TCK 135 hükmü uyarınca suç teşkil eder. Bu suç için kanunda öngörülen ceza; alt sınırı 1 yıl ve üst sınırı 3 yıl olan hapis cezasıdır. Eğer ki bu kişisel veriler; sşyasş, felsefi veya dini görüş, ırk köken bilgisi, ahlaki eğilimler, cinsel durum ve sağlık durumu veya sendikal bağlantı konularına ilişkin ise bu sefer verilecek olan ceza ½ oranında artırılarak alt sınırı 1,5 yıl ve üst sınırı 4,5 yıl olan hapis cezasına dönüşür. TCK 135 düzenlemesinde yer alan kişisel verileri kaydetme suçu özetle bu şekildedir.
• TCK 136 Kişisel Verileri Hukuka Aykırı Olarak Verme veya Ele Geçirme Suçu → Kişisel verilerin aktarılması meselesinin de KVKK hükümlerine uygun olarak yapılması gerekiyor. İşte kişisel verilerin hukuka aykırı olarak başkasına aktarılması veya yayılması yahut kişisel verilerin hukuka aykırı olarak ele geçirilmesi TCK 136 kapsamında suç teşkil eder. TCK 136 cezası ise alt sınırı 2 yıl ve üst sınırı 4 yıl olan hapis cezasıdır. TCK 136 düzenlemesinde yer alan kişisel verilerin aktarılması veya ele geçirilmesi suçu özetle bu şekildedir.

TCK 135 ve TCK 136 suçları ile ilgili olarak bazı nitelikli haller vardır ki bu hallerde ceza artırılır. Bu halleri şu şekilde sıralayabiliriz:

• TCK 135 ve TCK 136 suçlarının kamu görevlisi tarafından görevin verdiği yetkiyi kötüye kullanmak suretiyle işlenmesi
• Bu suçların belirli bir meslek veya sanatın verdiği kolaylıktan yararlanmak suretiyle işlenmesi

Bu hallerde verilecek olan ceza ½ oranında artırılır. Her somut olaya ayrı ayrı uygulama yapmak gerekir ancak bu durumlarda genel olarak 1,5 yıl ile 6 yıl arasında değişen hapis cezasından bahsetmiş oluruz.

• TCK 138 Kişisel Verileri Yok Etmeme Suçu → Gene KVKK kapsamında kişisel verilerin belirli süreler içerisinde belirli özelliklere sahip olanlarının yok edilmesi gerekiyor. Bu yükümlülüğe uymayarak kişisel verilerin yok edilmemesi TCK 138 anlamında suç teşkil ediyor. Bunun için öngörülen ceza ise alt sınırı 1 yıl ve üst sınırı 2 yıl olan hapis cezası.

Kişisel veri işleyen yani veri sorumlusu olan kişilerin tüzel kişiler olabileceğinden de bahsetmiştik. Yani yukarıda saydığımız suçlardan ötürü tüzel kişilerin yargılamada yer alması mümkündür. Ancak tüzel kişilerin suç işleme ve ceza alma ehliyeti olmadığı için bu kişilere karşı ancak belirli güvenlik tedbirlerine hükmedilebilir.

TCK 135, TCK 136 ve TCK 138 suçları, takibi şikayete bağlı olmayan suçlardandır. Yani bu suçlardan ötürü soruşturma yahut yargılama işlemlerinin yapılabilmesi için herhangi bir kişinin şikayetine gerek yoktur. Hatta bu suçların işlendiğine dair yetkili mercilere yapılan bildirimin hukuki niteliği şikayet değil ihbar olur. Bu nedenle TCK 135, TCK 136 ve TCK 138 suçlarından ötürü şikayetten vazgeçme gibi bir imkan da söz konusu olmaz.

Tablo 1: KVKK Suç ve Cezaları

Adli Cezaya İtiraz

TCK 135, 136 ve 138 suçlarından ötürü mahkemenin hükmettiği cezaya karşı itiraz ancak kararın istinaf edilmesi ile mümkün olur. Yani idari bir ceza olmadığı için bir üst derece mahkemesi olan Bölge Adliye Mahkemesine karar istinaf edilir. Burada yeniden bir inceleme yapılır. Ardından gerekirse karar Yargıtaya temyiz edilebilir.

TCK 135, 136 ve 138 suçları önemsenmesi gereken suçlardandır. Bu suçlardan ötürü herhangi bir cezai sürece muhatap olan kişinin KVKK ile ilgili konularda tecrübeli ceza avukatları ile çalışması gerekir. Türkiye’de ceza avukatlarının çalışma şekli ile ilgili bilgi edinmek için ‘ceza avukatı’ başlıklı yazımızı inceleyebilirsiniz.

KVKK Kabahatleri ve Cezalar

Yukarıda KVKK suçlarından bahsettik. Belirtmemiz gerekir ki hukuka aykırı her fiil suç teşkil edecek diye bir kural söz konusu değil. Bazı durumlarda veri sorumlusunun fiilleri kabahat teşkil edebilir. Hangi fiillerin kabahat olduğu ve öngörülen cezalar KVKK madde 18’de yer alıyor. Bunları şu şekilde sıralayabiliriz:

• KVKK madde 10 düzenlemesinde yer alan kurallara göre aydınlatma yükümlülüğünü yerine getirmeyen veri sorumlusuna 5 bin TL ile 1 milyon TL arasında bir idari para cezası yaptırımı uygulanır.
• KVKK madde 12 düzenlemesinde yer alan veri güvenliğine ilişkin kurallara aykırı aykırı hareket eden ve yükümlülüklere uymayanlar hakkında 15 bin TL ile 1 milyon TL arasında değişen idari para cezası yaptırımı uygulanır.
• KVKK madde 15 uyarınca Kişisel Verilerin Korunması Kurulunun aldığı kararları yerine getirmeyenler için 25 bin TL ile 1 milyon TL arasında değişen idari para cezasına hükmedilir.
• KVKK madde 16 düzenlemesinde yer alan VERBİS kaydı yükümlülüğünü kanuna uygun şekilde yerine getirmeyenler hakkında 20 bin TL ile 1 milyon TL arasında idari para cezası yaptırımı uygulanır.

Bu bahsettiğimiz idari para cezaları veri sorumlusu olan gerçek kişiler ve özel hukuk tüzel kişileri hakkında uygulanır. Yani tüzel kişiler hakkında cezaya hükmedilemiyordu ancak idari para cezasına hükmedilebilir.

Yukarıda saydığımız kabahat fiillerini kamu kurum ve kuruluşları işlediği zaman ne olacak? O zaman Kurulun yapacağı bildirim üzerine bu fiilleri işleyen kişiler hakkında disiplin hükümlerine göre işlem yapılacaktır.

Tablo 2: KVKK Kabahat ve Yaptırımları

İdari Para Cezasına İtiraz

Yukarıda saydığımız idari para cezaları kabahatler dolayısıyla hükmedildiği için bunlara karşı itiraz etmek mümkündür. Bu itiraz 5326 sayılı Kabahatler Kanunu hükümlerine göre yapılır. Buna göre eğer tek başına idari para cezası söz konusu olmuşsa Sulh Ceza Hakimliğine itiraz edilir. Ancak idari para cezası ile birlikte başka bir idari yaptırım da uygulanmışsa bu sefer idare mahkemesinde iptal davası açılır. Yani böyle bir durumda idari para cezası ayrı olarak itiraza konu olmaz.

Sadece idari para cezası söz konusu ise bununla ilgili olarak yapılacak olan itirazın 15 günlük süresi vardır. Yani idari para cezasına hükmedildikten sonra 15 gün içerisinde Sulh Ceza Hakimliğine itiraz edilmelidir. Ancak idari para cezası ile birlikte başka bir yaptırımın da uygulandığı durumlarda yani her iki işlemin de itiraza konu olduğu durumlarda 60 günlük süre içerisinde idare mahkemesinde iptal davası açmak gerekiyor.

KVKK Şikayeti Konusunda Sık Sorulan Sorular

Yukarıda KVKK şikayeti ile ilgili bilinmesi gereken temel meselelerden ve uygulamadaki işleyişten bahsettik. Bununla birlikte KVKK şikayeti ile ilgili sıkça karşılaştığımız bazı sorular vardır. Bu sorulara cevapları ile birlikte yer vermekte yarar görüyoruz.

KVKK Şikayeti ve Sonrasında Avukat Desteği

Yazımızda veri sorumlusuna başvuru, Kurula şikayet ve kanunda öngörülen suç ve kabahatlere değindik. Konu hakkında bilinmesi gereken önemli ayrıntıları size sunduk. Belirtmemiz gerekir ki bu bilgiler kanunda yer alan temel kurallardır. Genel olarak uygulamada karşılaşılan durumlardan da bahsetmiş olsak da her somut olay kendine has özellikler barındırır.

Her somut olayda mevzuatın farklı hükümlerine aykırılık, eksiklik vs. durumlar olabilir. Bu nedenle münferit benzer olaylara bakarak hukuki yardım almadan süreci takip etmek hak kaybına neden olur. Kişiyi haklı iken haksız duruma düşürür. KVKK ile ilgili ihlallerin hem tazminat hem de cezai yaptırım bakımından ciddi sonuçları vardır. Dolayısıyla hukuki süreç önemsenmeli, tecrübeli KVKK avukatlarına başvurulmalıdır.