Kişisel verilerin hukuka aykırı biçimde ele geçirilmesi hâlinde ilgili kişinin elinde iki ayrı zaman baskısı bulunur: ihlali öğrenme anı ve başvuru yolunun işletileceği süre. Veri ihlali dosyalarında en sık görülen kayıp, hakkın esasından değil, başvuru sürecinin geç veya yanlış sırayla işletilmesinden doğar. 6698 sayılı KVKK, ilgili kişiye önce veri sorumlusuna yönelme yükümlülüğü getiren kademeli bir yapı öngörür.
Sürenin Başladığı An Neye Göre Belirlenir?
İhlalin öğrenilmesi, çoğu zaman veri sorumlusunun gönderdiği bildirim e-postasıyla gerçekleşir. Ancak bazı olaylarda ilgili kişi durumu basından, üçüncü bir platformdan veya kendi hesabındaki anormal hareketten öğrenir. Bu nedenle öğrenme anının belgelenmesi başlı başına bir ispat meselesidir. Bildirim e-postasının başlık bilgisiyle birlikte saklanması, haber içeriğinin tarihli olarak arşivlenmesi ve varsa kurumun kamuya açık duyurusunun kaydedilmesi, sürenin başlangıcını tartışmadan çıkarır.
Kademeli Yapının Atlanması
Doğrudan üst mercie yapılan başvurular, veri sorumlusuna önceden yöneltilmemişse usulden değerlendirme dışı kalabilir. Bu nedenle sıralamanın korunması gerekir:
- Veri sorumlusuna yazılı ve kimliği doğrulanabilir biçimde başvuru yapılır.
- Başvurunun ulaştığı tarih, teslim veya gönderi kaydıyla belgelenir.
- Cevap verilmemesi ya da cevabın yetersiz olması hâlinde şikâyet yoluna geçilir.
- Şikâyet dilekçesine, önceki başvuru ve varsa cevap yazışması eksiksiz eklenir.
Delil Eksikliğinin En Kritik Noktası
Veri ihlali başvurularında ispat, iki farklı katmanda yürür. İlgili kişi, verisinin söz konusu ihlalden etkilendiğini ortaya koymak durumundadır; veri sorumlusu ise aldığı teknik ve idari tedbirleri göstermekle yükümlüdür. Bu ayrım gözden kaçtığında, başvuru dilekçesi kurumun yükümlülüğüne hiç değinmeden yalnızca zarar anlatımına dönüşür. Oysa dilekçede hangi veri kategorisinin sızdığı, bunun nasıl öğrenildiği ve kurumun bildirim yükümlülüğünü zamanında yerine getirip getirmediği ayrı ayrı işlenmelidir.
Erişim Engelleme ile Başvurunun Kesişimi
Sızan veriler bir internet sitesinde veya forumda yayımlanmışsa, KVKK kapsamındaki başvurudan bağımsız olarak 5651 sayılı Kanun çerçevesinde içeriğin kaldırılması ya da erişimin engellenmesi gündeme gelebilir. Bu iki yol birbirinin alternatifi değildir; içeriğin yayında kaldığı her gün zararı büyüttüğü için, yayının durdurulmasına yönelik talep genellikle daha acil biçimde işletilir. İçeriğin bulunduğu adresin tarih damgalı biçimde kayıt altına alınması, sonradan sayfa kaldırılsa dahi ispat imkânı sağlar.
Dosyayı Zayıflatan Alışkanlıklar
- Bildirim e-postasının silinmesi veya yalnızca ekran fotoğrafının saklanması
- Başvurunun kimlik doğrulaması yapılamayacak bir kanaldan gönderilmesi
- Zararın somutlaştırılmaması; hangi verinin nasıl bir sonuç doğurduğunun anlatılmaması
- Kurumun geciken cevabının süre içinde değerlendirilmeyip beklemeye alınması
Bu metin yalnızca yön göstermek amacıyla hazırlanmıştır. Veri ihlallerinde sürelerin hesabı, ihlalin türüne ve öğrenme biçimine göre değişebildiğinden, kendi başvurunuz için ayrı bir hukuki değerlendirme almanız önerilir.