Kişisel veri uyuşmazlıklarında sonucu belirleyen şey çoğu zaman ihlalin ağırlığı değil, sürecin usulüne uygun yürütülüp yürütülmediğidir. 6698 sayılı KVKK ekseninde ilgili kişi için önce veri sorumlusuna başvuru, sonra Kurula şikâyet sırası geçerlidir; veri sorumlusu bakımından ise VERBİS kaydı ve envanter düzeni denetimin ilk durağıdır.
Kayıt Yükümlülüğü Bir Form Doldurma İşi Değildir
VERBİS kaydının, kurumun gerçek veri işleme faaliyetiyle örtüşmesi beklenir. Beyan edilen veri kategorileri ile fiilen toplanan veriler, saklama süreleri ile gerçek imha uygulaması arasındaki fark, denetimde ilk fark edilen tutarsızlıktır. Bu nedenle kayıt öncesinde veri envanteri, saklama ve imha politikası ile aydınlatma metinleri birbirine uygun hale getirilmelidir.
İlgili Kişi İçin İki Aşamalı Yol
Doğrudan Kurula yapılan şikâyetler, başvuru yolu tüketilmediği gerekçesiyle sonuçsuz kalabilir. Süreç şu sırayla yürütülmelidir:
- Veri sorumlusuna yazılı veya kayıtlı elektronik yolla başvuru yapılır ve talep açıkça belirtilir.
- Veri sorumlusunun otuz günlük cevap süresi beklenir.
- Cevap yetersizse ya da hiç verilmemişse Kurula şikâyet hazırlanır.
- Şikâyette başvuru tarihi, cevap tarihi ve talebin karşılanmayan kısmı ayrı ayrı gösterilir.
Şikâyet Süresini Kaçırmamak
Kurula şikâyet, cevabın öğrenilmesinden itibaren otuz gün ve her hâlde veri sorumlusuna başvuru tarihinden itibaren altmış gün içinde yapılmalıdır. Bu iki sürenin birlikte işlediği gözden kaçırıldığında, cevabı beklerken ikinci süre dolabilir. Bu nedenle başvuru günü takvime işlenmeli ve cevap gelmese dahi süre takip edilmelidir.
Başvurunun Ulaştığını Kanıtlamak
Tartışmaların önemli bir bölümü, başvurunun hiç yapılmadığı ya da geç ulaştığı iddiasından doğar. Kayıtlı elektronik posta, iadeli taahhütlü gönderi ya da kurumun ilan ettiği başvuru kanalı üzerinden yapılan bildirimlerde teslim kaydının saklanması gerekir. Kurumun ilan ettiği adresin güncel olmadığı hallerde bu durum da ayrıca belgelenmelidir.
İhlal Bildirimi ve İçerik Boyutu
Veri ihlali gerçekleşmişse veri sorumlusunun Kurula ve ilgili kişilere bildirim yükümlülüğü, Kurulun belirlediği kısa süre içinde yerine getirilmelidir. Sızan verinin internette yayılması hâlinde 5651 kapsamındaki içerik kaldırma yolları paralel olarak değerlendirilebilir.
Bu metin genel bilgilendirme amaçlıdır; veri işleme faaliyetinin niteliği ve tarafların sıfatı sonucu değiştirir. Süreler başvuru gününe bağlı işlediğinden, ilk yazışmayı yapmadan önce hukuki değerlendirme almak süreci kısaltır.