Kişisel veri uyuşmazlıklarında sonucu belirleyen ilk şey ihlalin ağırlığı değil, başvurunun doğru sırayla ve doğru mercie yapılıp yapılmadığıdır. Aydınlatma metni eksik olduğu için doğrudan Kurula yazan ilgili kişi, çoğu zaman dosyasının usulden ele alınmadığını görür. Yurt dışına aktarım söz konusu olduğunda ise tartışma bir kat daha teknikleşir.
Zorunlu İlk Adım: Veri Sorumlusuna Başvuru
KVKK sisteminde ilgili kişi, talebini önce veri sorumlusuna iletmek zorundadır. Başvuru yazılı olarak veya Kurulun belirlediği yöntemlerle yapılır ve veri sorumlusunun en geç otuz gün içinde cevap vermesi gerekir. Bu aşama atlanırsa Kurula yapılan şikâyet, esası incelenmeden başvuru yolu tüketilmediği gerekçesiyle geri çevrilebilir. Başvurunun tarihini, iletildiği kanalı ve ulaştığını gösteren kaydı saklamak bu nedenle şeklî değil, esaslı bir gerekliliktir.
Aydınlatma Metninde Nelere Bakılır
- Veri sorumlusunun ve varsa temsilcisinin kimliği açıkça yazılmış mı?
- Verinin hangi amaçla işlendiği, soyut ifadelerle değil somut olarak belirtilmiş mi?
- Kimlere ve hangi amaçla aktarıldığı, yurt dışı aktarım ihtimali dahil olmak üzere gösterilmiş mi?
- Toplama yöntemi ve dayanılan hukuki sebep birbiriyle tutarlı mı?
- Aydınlatma, açık rıza metniyle iç içe geçirilerek rızayı zorunlu gösterir hale getirilmiş mi?
Yurt Dışı Aktarımda Ayrı Bir Hukuki Zemin Aranır
Verinin yurt dışındaki bir sunucuda tutulması ya da yurt dışındaki bir hizmet sağlayıcıyla paylaşılması, yurt içi işleme için var olan hukuki sebebin otomatik olarak devam ettiği anlamına gelmez. Aktarım için ayrıca öngörülen zeminlerden birinin bulunması gerekir. Uygulamada en sık karşılaşılan eksiklik, bulut hizmeti, analiz aracı veya müşteri ilişkileri yazılımı kullanılırken aktarımın hiç fark edilmemesi ve envanterde gösterilmemesidir. Aydınlatma metninde aktarımdan söz edilmemesi ile fiilen aktarım yapılması bir arada bulunuyorsa, ortada tek değil iki ayrı aykırılık vardır.
Cevap Gelmezse veya Yetersizse İzlenecek Yol
- Veri sorumlusunun cevabı beklenir; süre içinde yanıt verilmemesi de bir sonuçtur.
- Cevabın öğrenildiği tarihten itibaren ve her hâlde başvuru tarihinden itibaren yasada öngörülen süre içinde Kurula şikâyet edilir.
- Şikâyet dilekçesine ilk başvurunun kendisi, iletim kaydı ve alınan cevap eklenir.
- Maddi veya manevi zarar doğmuşsa tazminat talebi için adli yargıda ayrı dava yolu değerlendirilir.
- Kurulun verdiği karara karşı ise idari yargıda iptal davası gündeme gelir; bu, şikâyet yolundan farklı bir mecradır.
Veri Sorumlusu Tarafında Hazırlık
Şirket cephesinde tartışma çoğu zaman belge yokluğu üzerinden kaybedilir. İşleme envanterinin güncel tutulması, aydınlatma metinlerinin sürüm tarihleriyle arşivlenmesi ve hangi kullanıcıya hangi tarihte hangi metnin gösterildiğinin log kayıtlarıyla izlenebilmesi, sonradan üretilemeyecek türden delillerdir. Aynı şekilde 5651 sayılı Kanun kapsamındaki trafik kaydı yükümlülükleri ile KVKK saklama süreleri arasındaki gerilim baştan çözülmelidir.
Burada anlatılanlar genel çerçeveyi yansıtır. Sektör, veri kategorisi ve aktarım yapısı değiştikçe değerlendirme de değişeceğinden, somut süreçlerinizi belge düzeyinde bir hukuki incelemeden geçirmeniz uygun olur.