Özel bir tıp merkezinde hastaların tüm tahlil ve ameliyat raporlarını dijital ortamda saklayan bir arşiv şirketi düşünün. Özel klinik, bu arşiv şirketine aylık sunucu ve yazılım kirası ödemeyi taahhüt etmiştir. Ancak klinik yönetimi 3 ay boyunca faturaları ödemez, yapılan uyarıları görmezden gelir. Arşiv şirketi sözleşmedeki tahliye maddesini işleterek sunuculardaki verileri siler ve diskleri formatlar. Ertesi gün kliniğin avukatları kapıya dayanır ve başhekim adli makamlara suç duyurusunda bulunur: "Siz Sağlık Bakanlığı Hasta Hakları Yönetmeliği ve Kişisel Sağlık Verileri Kanunu kapsamında bu verileri 20 yıl boyunca saklamakla yükümlüydünüz! Hastalarımın verilerini nasıl silersiniz?! Sizi hapse attıracağız!" Arşiv şirketinin avukatı ise sözleşmeyi masaya vurur: "Biz sizin tıbbi ortağınız değiliz; sadece disk alanı satan bir kiralama şirketiyiz. Faturayı ödemediniz, sözleşmenin 8. maddesine göre sildik!" Sağlık verisinin kutsallığı ile ticari sözleşmenin soğuk gerçekleri mahkeme salonunda çarpışır.
Türkiye'de 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) yürürlüğe girdiğinden beri hosting firmaları ile veri kaybı yaşayan müşteriler arasında yaşanan o meşhur hukuki düello tam olarak bu hastane-arşiv krizinin fotokopisidir.
"KVKK'ya Göre Silmeniz Yasak!" Çığlığı
Olay genellikle tipik bir fatura ihmaliyle başlar:
- Müşteri 300 TL'lik VDS faturasını 15 gün geciktirir.
- Sağlayıcının otomatik WHMCS sistemi 7. günde sunucuyu siler (Terminate).
- Tüm müşteri veritabanı, sipariş geçmişi ve muhasebe kayıtları buharlaşır.
- Kendi bağımsız yedeğini almadığını fark eden müşteri, panikle köşeye sıkışır.
Çaresizlik anında Türkiye'deki şirket yöneticilerinin başvurduğu ilk can simidi, son yıllarda herkesin diline pelesenk olan KVKK sopasını sallamaktır:
"Siz benim sunucumu silemezsiniz! İçeride 50.000 müşterimin kişisel verisi vardı. KVKK'nın 12. maddesi gereği veri güvenliğini sağlamak ve verilerin yok olmasını engellemek zorundasınız. Şirketimizi batırdınız. Sizi hem KVKK Kurumu'na şikayet edeceğiz (milyonluk ceza yiyeceksiniz) hem de savcılığa 'Verileri Hukuka Aykırı Olarak Yok Etme' (TCK Madde 138) suçundan suç duyurusunda bulunacağız!"
Hosting firmasının sahibi ve destek personeli soğuk terler dökmeye başlar: "Acaba gerçekten suçlu muyuz? KVKK bizi mi bağlıyor?"
Hukuki Düğüm: "Veri Sorumlusu" (Data Controller) Kimdir?
Bu kördüğümü çözmek için KVKK'nın kalbinde yer alan iki temel kavramı cerrahi bir neşterle birbirinden ayırmak gerekir:
+------------------------------------------------------------------------+
| VERİ SORUMLUSU (Data Controller) |
| |
| KİMDİR? : E-Ticaret Yapan Müşterinin Kendisi! |
| GÖREVİ : - Müşterilerden açık rıza alan, veriyi işleme amacını |
| belirleyen, verinin sahibidir. |
| - Verinin güvenliğini, yedeğini ve sürekliliğini sağlamak |
| kanunen BİZZAT ONUN SORUMLULUĞUNDADIR! |
+------------------------------------------------------------------------+
+------------------------------------------------------------------------+
| VERİ İŞLEYEN (Data Processor) |
| |
| KİMDİR? : Hosting Firması / Altyapı Sağlayıcı |
| GÖREVİ : - Veri sorumlusunun verdiği yetkiyle veriyi yalnızca |
| sunucuda barındıran teknik altyapıdır. |
| - Verinin içeriğini bilmez, bilemez (bilmemelidir!). |
| - Aradaki ilişki KVKK'dan önce TİCARİ BORÇLAR KANUNU'NA |
| ve HİZMET SÖZLEŞMESİNE (TOS) tabidir! |
+------------------------------------------------------------------------+
Müşteri kendi ihmalini (faturayı ödememek ve yedek almamak) KVKK'nın arkasına saklamaya çalışmaktadır. Kanun önünde verinin asıl muhafızı ve sorumlusu e-ticaret sitesinin sahibidir; hosting sağlayıcısı müşterinin ücretsiz ve zorunlu veri koruma kasası değildir.
Sözleşme (TOS) vs. Kanun: Mahkeme Salonundaki Savaş
Dava açıldığında mahkemede iki hukuk kuralı çarpışır:
1. Müşterinin Savunması:
"Hosting firması bir bilişim kuruluşudur. Basit bir fatura gecikmesi için geri dönüşsüz veri imhası yapmak 'Ölçülülük İlkesine' ve Türk Borçlar Kanunu'nun 'Dürüstlük Kuralına' (TMK Madde 2) aykırıdır. 15 günlük gecikme için 10 yıllık ticari verinin silinmesi telafisi imkansız zarardır."
2. Hosting Firmasının Savunması:
"Taraflar arasında akdedilen Mesafeli Hizmet Sözleşmesi'nin 8. maddesinde açıkça yazmaktadır: 'Vadesi geçen faturalarda 7 gün içinde ödeme yapılmaması halinde sunucu kaynakları sistemden kalıcı olarak silinir. Sağlayıcı yedek tutmakla yükümlü değildir.' Müşteri bu sözleşmeyi onaylayarak hizmet almıştır. Sağlayıcı faturası ödenmeyen bir hizmeti sonsuza kadar kendi maliyetiyle barındırmak zorunda bırakılamaz."
Emsal Kararlar ve Yargıtay Yaklaşımı: İki Tarafı da Yakan Sonuç
Türk yargısında bu davalar genellikle tek bir tarafın mutlak zaferiyle sonuçlanmaz:
- Sağlayıcı Açısından Risk:
Eğer hosting firması faturanın geciktiğini müşteriye ispatlanabilir yollarla (SMS, iadeli taahhütlü posta, kayıtlı telefon araması) bildirmeden, sadece müşterinin spam kutusuna düşen birnoreply@mailine güvenerek 48 saatte silme işlemi yaptıysa; mahkemeler sağlayıcıyı "Ağır Hizmet Kusuru" ve "Basiretsiz Tacir" ilan ederek tazminata mahkum edebilmektedir! - Müşteri Açısından Risk:
Müşteri KVKK Kurumu'na gittiğinde Kurul çoğu zaman şu cevabı verir: "Veri sorumlusu sizsiniz. Verilerinizi tek bir sağlayıcının yerel diskine emanet edip harici yedekleme almayarak 'Teknik ve İdari Tedbirleri' ihlal eden sizsiniz!" Müşteri haklı çıkmaya çalışırken KVKK'dan kendi şirketine yüz binlerce liralık "Yetersiz Veri Güvenliği Önlemi" cezası kestirebilir!
Kurumsal İmmünoloji: Hukuki Kalkan Nasıl İnşa Edilir?
Bu kabusla mahkeme kapılarında karşılaşmamak için her iki tarafın da alması gereken profesyonel tedbirler vardır:
Hosting Firmaları İçin Hukuki Zırh:
- Silme Süresini Makul Tutun: 3 gün veya 7 günde doğrudan veri imhası (Terminate) yapmak hukuken risklidir. Askıya alma (Suspend) süresini en az 15 ila 30 gün arasında tutun.
- Kademeli İletişim Protokolü: Sadece e-posta ile yetinmeyin. Silme işleminden 48 saat önce müşterinin profiline kayıtlı cep telefonuna SMS fırlatın ve çağrı merkezinden sesli arama kaydı oluşturun.
- Sözleşmeyi Güncelleyin: Sözleşmenize "Müşteri kendi verilerinin bağımsız yedeğini almakla münhasıran yükümlüdür. Sağlayıcı bir veri yedekleme garantisi taahhüt etmez" maddesini kalın puntolarla ekletin.
Müşteriler İçin Hayatta Kalma Kuralı:
- Hukuki zaferler silinen verilerinizi geri getirmez. Mahkemeyi 3 yıl sonra kazansanız ve tazminat alsanız bile şirketiniz o 3 yılda batmış olacaktır.
- Hukuka değil, soğuk mantığa ve bağımsız yedeklemeye güvenin. Başkasının sunucusunda duran verinin mülkiyeti sizde değildir; ancak kendi elinizdeki harici diskte duran veri sizindir.
Sonuç
Hastanenin tahlil faturasını ödemeyip hasta dosyaları silinince "Bakanlığa şikayet edeceğim" diyen yöneticinin tavrı ne kadar sorumsuzsa; faturası 3 gün gecikti diye 10 yıllık veriyi acımasızca imha eden sağlayıcının tavrı da o kadar basiretsizdir.
KVKK bir sihirli değnek veya ihmalleri örten bir af kanunu değildir; taraflara sorumluluk yükleyen katı bir çerçevedir. Hukuk metinleri kriz anında sizi tazminatla teselli edebilir; ancak silinen bir veritabanını hiçbir mahkeme kararı geri getiremez. Haklarınızı bilin; ama verinizin güvenliğini asla bir başkasının insafına ve sözleşme maddelerine terk etmeyin.