Kişisel verilerin işlenmesine ilişkin şikâyetlerde en sık karşılaşılan sonuç, esasa girilmeden verilen usul kararlarıdır. Sebep basittir: 6698 sayılı Kanun, ilgili kişiye sıralı bir başvuru yolu öngörür ve bu sıra atlandığında Kurul şikâyeti incelenmeksizin reddedilir.
Açık Rıza Gerçekten Gerekli mi?
Uyuşmazlığın ilk sorusu, işlemenin dayanağının ne olduğudur. Kanun, açık rıza dışında da işleme sebepleri düzenler; kanunlarda açıkça öngörülme, sözleşmenin kurulması veya ifası ile veri sorumlusunun meşru menfaati bunlardan bazılarıdır. Geçerli bir açık rızanın ise üç unsuru vardır: belirli bir konuya ilişkin olması, bilgilendirmeye dayanması ve özgür iradeyle açıklanması. Hizmetin verilmesini rızaya bağlayan, yani reddedildiğinde hizmetin sunulmadığı yapılar bu nedenle tartışmalıdır.
Başvuru Sırası ve Süreler
- İlgili kişi, talebini önce veri sorumlusuna yazılı olarak veya Kurulun belirlediği yöntemlerle iletir.
- Veri sorumlusu, talebi en geç otuz gün içinde sonuçlandırır.
- Talep reddedilir, verilen cevap yetersiz bulunur veya süresinde cevap verilmezse Kurula şikâyet yolu açılır.
- Şikâyet, cevabın öğrenildiği tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde yapılır.
Kurulun Yetkisi Nerede Biter?
Kurul, hukuka aykırılığı tespit edip verinin silinmesi, yok edilmesi veya işlemenin durdurulması yönünde karar verebilir ve idari yaptırım uygulayabilir. Buna karşılık Kurul tazminata hükmedemez. İhlal nedeniyle uğranılan maddi ve manevi zararın karşılanması talebi genel hükümlere göre hukuk mahkemelerinde ileri sürülür. Kurul kararlarına karşı ise idari yargı yolu işletilir. Bu üç kanalın ayrı ayrı kurgulanması, dosyanın en temel risk azaltıcı adımıdır.
Dosyayı Güçlendiren Kayıtlar
- Rıza metninin ekran görüntüsü ve onay anına ilişkin sistem kaydı.
- Aydınlatma metninin veri kategorileri ve saklama sürelerini gösteren hâli.
- Veri sorumlusuna yapılan başvurunun gönderim ve tebliğ kaydı.
- Verinin üçüncü kişilere veya yurt dışına aktarıldığına ilişkin bilgi ve yazışmalar.
Kısa Uyarı
Kişisel veri uyuşmazlıklarında ilk adımın doğru mercie yapılması, sonraki tüm aşamaların ön koşuludur. Yukarıdaki bilgiler genel çerçeve sunar; işlemenin dayanağı ve veri kategorisi değerlendirmeyi tümüyle değiştirebileceğinden, şikâyet öncesinde dosyaya özgü inceleme yapılması uygundur.