Kişisel verilerin hukuka aykırı olarak ele geçirilmesi ya da üçüncü kişilere açılması hâlinde ilgili kişinin elindeki en kritik kaynak süredir. 6698 sayılı KVKK, veri sorumlusuna başvuru ve Kişisel Verileri Koruma Kurulu'na şikâyet için ayrı ayrı süreler öngörür; 5651 sayılı Kanun kapsamındaki içerik ve erişim boyutu ise paralel bir yol açar. Bu rehber, veri ihlali iddiasında başvuru takviminin nasıl kurulacağını ve ispat dosyasının nasıl hazırlanacağını ele alır.
İhlalin "öğrenildiği an" neden belirleyici?
Süreler ihlalin gerçekleştiği tarihten değil, kural olarak ilgili kişinin durumu öğrendiği andan itibaren işlemeye başlar. Bu nedenle öğrenme anını gösteren delil, dosyanın temel taşıdır: veri sorumlusunun gönderdiği bildirim mesajı, Kurul tarafından yayımlanan ihlal duyurusunun görüldüğü tarih ya da verinin üçüncü bir mecrada tespit edildiği ekran kaydı. Öğrenme anı belgelenmediğinde, süre tartışması karşı tarafın lehine döner.
İki aşamalı başvuru takvimi
- Önce veri sorumlusuna yazılı başvuru yapılır; talep somut, tek tek ve cevaplanabilir maddeler hâlinde yazılır.
- Veri sorumlusunun cevap için kanunda öngörülen süresi beklenir; cevabın tebliğ tarihi kayda geçirilir.
- Cevap yetersizse ya da hiç verilmezse, kanunda belirtilen süre içinde Kurul'a şikâyet yoluna gidilir. Veri sorumlusuna başvurmadan doğrudan yapılan şikâyet, usulden reddedilme riski taşır.
- Maddi ve manevi zarar iddiası varsa, genel hükümlere göre açılacak tazminat davası ayrı bir takvimle planlanır.
İspat dosyasında ne bulunmalı?
- Başvurunun veri sorumlusuna ulaştığını gösteren gönderi kaydı (KEP, iadeli taahhütlü veya sistem kaydı).
- Sızan verinin hangi kategoriye girdiğini gösteren belge; özel nitelikli veri iddiası varsa bu ayrıca vurgulanmalıdır.
- Verinin nerede yayıldığına dair tarih ve adres içeren tespitler.
- Zararın somut karşılığı: dolandırıcılık girişimi bildirimleri, iş kaybı yazışmaları, tedavi belgeleri.
Şikâyet mi, uzlaşı mı, tazminat davası mı?
Kurul'a şikâyet idari yaptırıma yöneliktir ve kişisel zararın karşılanmasını doğrudan sağlamaz. Şirketin sunduğu telafi teklifi kabul edilecekse, metnin gelecekteki tüm talepleri kapsayan genel bir ibra hükmü içerip içermediği dikkatle okunmalıdır. Zararın kapsamı henüz netleşmemişken imzalanan geniş ibra metinleri, sonradan ortaya çıkan kimlik kötüye kullanımı zararlarının talep edilmesini güçleştirir.
Yukarıdaki bilgiler yönlendirici niteliktedir; her ihlalin kapsamı, veri kategorisi ve zarar tablosu farklıdır. Süreler kısa işlediğinden, başvuru metnini göndermeden önce hukuki destek almanız faydalı olacaktır.