Kişisel verilerin hukuka aykırı biçimde işlendiğini veya sızdırıldığını düşünen kişinin önündeki yol iki aşamalıdır ve bu aşamaların sırası zorunludur. Doğrudan Kurula yapılan bir şikâyet, öncesinde veri sorumlusuna başvurulmamışsa incelenmeden geri çevrilebilir. 6698 sayılı Kanun ve 5651 sayılı Kanun ekseninde bu rehber, başvuru süreleri ile ihlalin ispatını birlikte ele alır.
Önce Veri Sorumlusu, Sonra Kurul
İlgili kişi taleplerini öncelikle veri sorumlusuna yöneltir. Veri sorumlusu, talebi niteliğine göre en geç otuz gün içinde sonuçlandırır. Talebin reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde Kurula şikâyet yolu açılır. Şikâyet, cevabın öğrenilmesinden itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde yapılır. Bu iki süre birlikte hesaplanmadığında, cevap beklerken şikâyet hakkı tükenebilir.
Başvuruyu Kayıt Altına Almak
- Başvurunun hangi tarihte ve hangi kanaldan yapıldığını gösteren belge.
- Veri sorumlusunun kayıtlı elektronik posta veya iletişim adresine ilişkin resmî kayıt.
- Başvuru metninin talep kalemlerini ayrı ayrı gösteren nüshası.
- Gelen cevabın tam metni ve ulaşma tarihi.
İhlali Nasıl Ortaya Koyarsınız?
İlgili kişiden beklenen, veri sorumlusunun iç sistemlerini çözmesi değildir; ancak somut bir belirti ortaya koyması gerekir. Uygulamada en çok işe yarayan belirtiler şunlardır:
- Yalnızca o kuruma verilmiş bir iletişim bilgisine gelen istenmeyen çağrı veya mesajlar.
- Kurumun kendi gönderdiği ihlal bildirimi veya duyurusu.
- Verinin üçüncü kişilerde bulunduğunu gösteren yazışmalar.
- Aynı dönemde çok sayıda kişinin benzer şikâyet bildirdiğini gösteren kamuya açık kayıtlar.
- Kurumun aydınlatma metni ile fiilî uygulaması arasındaki açık uyumsuzluk.
Talep Metnini Ölçülebilir Yazmak
Başvuruda yalnızca ihlalden şikâyet edilmesi yeterli değildir. Verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesi, aktarılan üçüncü kişilere bildirim yapılması, işlemenin sınırlandırılması gibi taleplerden hangisinin istendiği tek tek yazılmalıdır. Belirsiz bir talep, veri sorumlusunun genel bir cevapla süreci kapatmasına imkân verir ve sonraki aşamada tartışma zeminini daraltır.
Yayında Kalan İçerik Varsa
Kişisel veri içeren bir içerik internette erişilebilir durumdaysa, 5651 çerçevesinde içeriğin çıkarılması ve erişimin engellenmesi yolu, idari süreçten bağımsız olarak işletilebilir. Bu yolun ayrı ve daha hızlı işlemesi, zararın büyümesini durdurmak bakımından önemlidir.
Kurum Cevap Verdiğinde
Gelen cevapta ihlalin kabul edilmesi ve önlem alındığının bildirilmesi, tazminat talebini kendiliğinden ortadan kaldırmaz. Aynı şekilde idari sürecin sonuçlanması beklenmeden hukuk mahkemelerinde talep ileri sürülmesi de mümkündür. Hangi yolun önce işletileceği, zararın niteliğine ve delillerin durumuna göre belirlenmelidir.
Yukarıdaki açıklamalar genel bilgi vermek içindir. Verinin türü, veri sorumlusunun statüsü ve ihlalin kapsamı süre ve usul değerlendirmesini değiştirebileceğinden, başvuru öncesinde hukuki görüş alınması uygun olur.