Kişisel verilerin işlenmesinde aydınlatma yükümlülüğü, rızadan bağımsız ve her hâlde yerine getirilmesi gereken bir yükümlülüktür. Buna rağmen Kişisel Verileri Koruma Kuruluna yapılan şikâyetlerin önemli bir bölümü esasa girilmeden usulden sonuçlanır. Nedeni çoğu zaman aynıdır: veri sorumlusuna başvuru basamağı atlanmış veya yanlış muhataba yöneltilmiştir. Bu rehber 6698 sayılı Kanun ekseninde o basamağı kurallı biçimde kurmaya odaklanır.
Şikâyetin Ön Şartı: Veri Sorumlusuna Başvuru
Kurula şikâyet, kural olarak doğrudan yapılamaz. Önce veri sorumlusuna yazılı başvurulur; veri sorumlusu talebi en geç otuz gün içinde sonuçlandırır. Başvuru reddedilir, verilen cevap yetersiz bulunur veya süresinde cevap verilmezse; cevabı öğrenme tarihinden itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyet yoluna gidilir. Bu iki sürenin birlikte işlediği gözden kaçtığında, cevapsız kalan başvurularda dış sınır sessizce dolabilir.
Muhatabı Belirlerken Yapılan Hatalar
- Veri işleyen ile veri sorumlusu karıştırılır; başvuru çağrı merkezi hizmeti veren tedarikçiye yöneltilir.
- Grup şirketlerinde tüzel kişilik ayrımı gözetilmez, başvuru farklı bir şirkete gider.
- İrtibat kişisi ile veri sorumlusu aynı sayılır; oysa irtibat kişisi başvuruyu karşılayan kişi değildir.
- Başvuru yalnızca sosyal medya mesajıyla yapılır; tebliğ ve tarih ispatı sağlanamaz.
- Talep konusu belirsiz bırakılır; hangi verinin hangi işleme faaliyetine ilişkin olduğu yazılmaz.
Aydınlatma İhlalini Somutlaştıran Unsurlar
Şikâyet dilekçesinin gücü, metnin uzunluğundan değil eşleştirmenin netliğinden gelir. Aydınlatma metninin hangi tarihte, hangi kanaldan sunulduğu; işleme amacının metinde nasıl tanımlandığı; aktarımın alıcı gruplarıyla birlikte gösterilip gösterilmediği ve saklama süresine yer verilip verilmediği ayrı ayrı ele alınmalıdır. Aydınlatmanın rıza metniyle iç içe geçirilmesi, verinin toplandığı anda değil sonradan bilgi verilmesi ve genel geçer ifadelerle amaç belirtilmesi sık rastlanan aykırılık başlıklarıdır. Ekran kayıtları tarih bilgisiyle birlikte saklanmalıdır.
Kurul Kararı Sonrası Yol Ayrımı
Kurulun idari yaptırım veya talebin reddi yönündeki kararı idari işlem niteliğindedir ve idari yargı denetimine tabidir. Buna karşılık kişilik hakları zedelenen ilgili kişinin maddi ve manevi tazminat talebi Kurul önünde çözülmez; bu talep genel hükümler çerçevesinde adli yargıda ileri sürülür. Veri ihlali bildirimi yapılmayan olaylarda ceza boyutunun da ayrıca değerlendirilmesi gerekebilir; bu yolların birbirinin yerine geçmediği unutulmamalıdır.
Yukarıdaki çerçeve genel bilgilendirme niteliğindedir. Veri işleme faaliyetinin türü, hukuki sebebi ve kurumsal yapı, izlenecek sırayı değiştirebileceğinden başvuru metnini kesinleştirmeden önce dosyanıza özgü bir değerlendirme yaptırmanız uygun olur.