Kişisel veri uyuşmazlıklarında ilgili kişinin en sık yaptığı hata, doğrudan Kişisel Verileri Koruma Kurulu'na şikâyette bulunmaktır. Oysa 6698 sayılı Kanun (KVKK), şikâyet yolunu ön başvuru şartına bağlamıştır. 5651 sayılı Kanun'un ilgili düzenlemeleriyle birlikte değerlendirildiğinde, sürecin doğru sırayla yürütülmesi sonucu doğrudan etkiler.
Açık Rıza mı, Başka Bir İşleme Şartı mı
Uygulamadaki en yaygın yanılgı, her veri işlemenin açık rızaya dayanması gerektiği düşüncesidir. KVKK, kanunlarda açıkça öngörülme, sözleşmenin kurulması veya ifası için gereklilik, hukuki yükümlülüğün yerine getirilmesi, bir hakkın tesisi ve meşru menfaat gibi başka işleme şartları da sayar. Bu şartlardan biri varsa ayrıca açık rıza aranmaz; hatta hem rıza alıp hem başka şarta dayanmak, işlemenin hukuki temelini belirsizleştirdiği için eleştirilir. Dolayısıyla bir itirazda ilk soru şudur: veri sorumlusu hangi şarta dayanıyor ve bunu aydınlatma metninde açıkça belirtmiş mi?
Rızanın Geçerliliğini Kim İspatlar
Açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir irade beyanıdır. Bu üç unsurdan biri eksikse rıza geçerli değildir. Hizmetin sunulmasını rıza vermeye bağlayan uygulamalar, rızanın özgür iradeyle verilmediği yönünde değerlendirilebilir. İspat yükü ilgili kişide değil, veri sorumlusundadır; bu nedenle itirazda rıza kaydının, alındığı tarih ve kapsam ile birlikte gösterilmesi istenmelidir. Önceden işaretlenmiş kutucuklar, birden çok işleme amacını tek onaya bağlayan metinler ve rızanın geri alınmasını zorlaştıran arayüzler bu bakımdan sorgulanacak noktalardır.
Önce Veri Sorumlusuna Başvuru
- Talep yazılı olarak veya Kurul'un belirlediği yöntemlerle veri sorumlusuna iletilir.
- Başvuruda kimlik bilgileri, talebin konusu ve varsa dayanak belgeler yer alır.
- Talep açık ve tek tek yazılır: verinin silinmesi, aktarımın durdurulması, düzeltme veya bilgi verilmesi.
- Gönderim yöntemi, tarih ispatı sağlayacak biçimde seçilir; kayıtlı elektronik posta veya noter tercih edilebilir.
Otuz ve Altmış Günlük Takvim
Veri sorumlusu, başvuruyu talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırmakla yükümlüdür. Başvuru reddedilir, verilen cevap yetersiz bulunur veya süresinde cevap verilmezse ilgili kişi Kurul'a şikâyette bulunabilir. Bu şikâyet için Kanun, cevabı öğrenme tarihinden itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün sınırını öngörür. Altmış günlük süre, cevap hiç gelmese dahi işlemeye devam eder; uygulamada hak kaybı çoğunlukla "cevap bekliyordum" denilerek bu sürenin geçirilmesinden doğar. Bu nedenle başvuru gönderildiği gün takvime iki ayrı kontrol tarihi işlenmelidir.
Şikâyetle Birlikte Yürüyen Diğer Yollar
Kurul'a şikâyet, kişinin genel hükümlere göre tazminat talep etme hakkını ortadan kaldırmaz. Ayrıca veri işlemenin niteliğine göre ceza hukuku boyutu doğabilir ve internet üzerinden yayılan içerikler bakımından 5651 sayılı Kanun kapsamındaki erişim engeli yolu ayrıca işletilebilir. Bu yolların birbirinden bağımsız süreleri olduğundan, hepsinin tek bir takvimde izlenmesi gerekir.
Buradaki açıklamalar genel bilgilendirme niteliğindedir; veri kategorisi, özel nitelikli veri bulunup bulunmadığı ve veri sorumlusunun konumu süreci değiştirir. Başvuru dilekçesi hazırlanırken kısa süreler nedeniyle hukuki görüş alınması yerinde olur.