Veri İhlalleri, Hukuki Denetim ve Yaptırımlar

Günümüzde teknolojinin hızla gelişmesiyle birlikte, kişisel verilerin hukuka aykırı olarak işlenmesi ve veri ihlalleri ciddi boyutlara ulaşmıştır. Hukuk sistemleri, bireylerin mahremiyetini güvence altına almak adına, veri sorumlularına karşı sıkı denetim mekanizmaları ve ağır yaptırımlar öngörmüştür. Hem Türk Hukukunda Kişisel Verilerin Korunması Kanunu çerçevesinde hem de Avrupa Birliği Genel Veri Koruma Tüzüğü çerçevesinde, hukuki denetim yolları titizlikle düzenlenmiştir. Bu kapsamda, bir ihlal meydana geldiğinde devreye giren başvuru usulleri, bağımsız denetim otoritelerinin yetkileri ve yargısal süreçler, hukuki güvenliğin sağlanmasında kilit bir rol oynamaktadır. Makalemizde, veri ihlalleri neticesinde işletilen yargı dışı ve yargısal denetim mekanizmaları ile veri sorumluları ve işleyenlere uygulanan idari ve cezai yaptırımlar detaylıca incelenecektir.

Türk Hukukunda İhlaller ve Yargı Dışı Denetim

Türk Hukukunda kişisel verilerin hukuka uygun işlenmesini denetlemek amacıyla bağımsız bir idari otorite olan Kişisel Verileri Koruma Kurumu kurulmuştur. Veri sahipleri, ihlal iddiaları karşısında kademeli bir başvuru yolunu izlemek zorundadır. Hak arama hürriyeti kapsamında, ilgili talepler öncelikle veri sorumlusuna başvuru yoluyla iletilmelidir. Veri sorumlusu, bu başvuruyu en geç otuz gün içerisinde sonuçlandırmakla mükelleftir. Başvurunun reddedilmesi, cevabın yetersiz bulunması veya yasal süre içinde cevap verilmemesi hallerinde veri sahibi, cevabı öğrendiği tarihten itibaren otuz ve her halükarda başvuru tarihinden itibaren altmış gün içinde Kurula şikayet yoluna gidebilir. Ayrıca Kurul, ihlal iddialarını öğrenmesi durumunda kendi yetki çerçevesinde resen inceleme yapma yetkisine de sahiptir. Kurulun ihlal tespit etmesi halinde veri sorumlusuna bu ihlalin giderilmesi talimatı verilir ve kararın en geç otuz gün içinde yerine getirilmesi zorunludur.

Avrupa Birliği Hukukunda Denetim Makamları ve Bildirimler

Avrupa Birliği nezdinde yürürlükte olan tüzük, her üye devlette tam bağımsız hareket eden denetçi makamların bulunmasını şart koşmuştur. Sınır ötesi veri işleme faaliyetlerinin mevcudiyeti halinde, baş denetçi makam yetkilendirilerek ülkeler arası işbirliği mekanizması işletilir. Getirilen en kritik düzenlemelerden biri, veri ihlallerinin bildirimine ilişkindir. Kişisel veri ihlali, gerçek kişilerin hakları açısından risk oluşturduğu takdirde, veri sorumlusu bu durumu ihlali fark etmesinden itibaren en fazla yetmiş iki saat içerisinde denetçi makama bildirmek mecburiyetindedir. İhlalin, veri sahibinin hakları bakımından yüksek risk teşkil etmesi durumunda ise veri sorumlusu, gecikmeksizin veri sahibine ihlali iletmekle yükümlüdür. Veri işleyenlerin de kendilerine yansıyan bir veri ihlalini fark ettiklerinde durumu veri sorumlusuna derhal haber verme zorunluluğu bulunmaktadır.

Veri İhlallerine Karşı Yargısal Denetim Hakkı

İdari ve yargı dışı başvuru süreçlerinin yanı sıra, veri ihlalleri söz konusu olduğunda mağduriyetlerin giderilmesi için yargısal denetim mekanizmaları devreye girmektedir. Avrupa Birliği düzenlemeleri kapsamında her gerçek ve tüzel kişi, bir denetçi makamın kendisi hakkında aldığı bağlayıcı kararlara karşı etkin adli yargı yoluna başvurma hakkını haizdir. Eğer denetçi makam, şikayeti işleme almaz veya şikayetin akıbeti hakkında üç ay içerisinde veri sahibini bilgilendirmezse yine mahkeme yolu açıktır. Buna ek olarak, kişisel verilerinin hukuka aykırı işlenmesi nedeniyle temel haklarının ihlal edildiğini düşünen veri sahipleri, doğrudan veri sorumlusuna veya veri işleyene karşı dava açabilir. Yargılamalar, veri sorumlusunun işletmesinin bulunduğu üye devlet mahkemelerinde veya veri sahibinin mutat ikametgahının bulunduğu ülke mahkemelerinde görülebilmektedir.

Hukuka Aykırılık Halinde Uygulanan Yaptırımlar ve Cezalar

Kişisel veri ihlallerinin gerçekleşmesi durumunda, hukuki güvenliğin yeniden tesisi amacıyla veri sorumlularına idari ve cezai boyutta yaptırımlar uygulanmaktadır. Denetim makamları; veri işleme faaliyetini geçici veya kalıcı olarak durdurma, verilerin silinmesi talimatını verme gibi düzeltici yetkilere sahiptir. İhlalden dolayı maddi veya manevi zarara uğrayan kişiler, veri sorumlusundan tazminat talep etme hakkına sahiptir. Türk Hukukunda Kişisel Verileri Koruma Kurulu, yüksek tutarlara varan idari para cezaları uygulayabilmekte, ek olarak Türk Ceza Kanunu kapsamında ihlale yol açan eylemler cezai yaptırımlara da tabi tutulabilmektedir. Avrupa Birliğinde ise idari para cezaları, ihlalin niteliğine ve ciddiyetine bağlı olarak kademeli bir şekilde uygulanmaktadır. Uygulanacak yaptırımların caydırıcılığı kapsamında cezalar şu şekilde belirlenmiştir:

• Yükümlülük ihlallerinde en fazla 10.000.000 Avro veya önceki mali yılın yıllık dünya çapındaki cirosunun yüzde ikisi oranında para cezası verilmektedir.
• Temel ilkelerin veya veri sahibi haklarının ihlali durumunda en fazla 20.000.000 Avro veya önceki mali yılın yıllık dünya çapındaki cirosunun yüzde dördü oranında idari yaptırım kesilmektedir.