Bir veri ihlali bildirimi elinize ulaştığında ilgili kişi bakımından iki ayrı saat aynı anda işlemeye başlar: veri sorumlusuna yapılacak başvurunun saati ve ardından Kişisel Verileri Koruma Kuruluna taşınacak şikâyetin saati. 6698 sayılı KVKK kural olarak doğrudan Kurula gitmeye izin vermez; önce veri sorumlusuna yazılı başvuru yapılması aranır. Bu metin, veri ihlali özelinde bu iki aşamanın nasıl sıralanacağını ve delil eksikliğinin süreci tam olarak nerede kilitlediğini ele alır.
İhlalin Öğrenildiği An Neden Belgelenmeli
Süre hesabının çıpası, ihlalin öğrenildiği andır. Bu an çoğu zaman veri sorumlusunun gönderdiği e-posta, SMS veya kamuya yaptığı duyuruyla oluşur. Bildirimin ekran görüntüsü yeterli görülmeyebilir; gönderen adres, tarih-saat başlığı ve mesajın tam metnini içeren kayıt saklanmalıdır. Kurumun ilan ettiği ihlal duyurusu üzerinden öğrenme söz konusuysa, duyurunun yayımlandığı tarih ayrıca not edilir.
Veri Sorumlusuna Başvuru Metninde Ne Bulunmalı
- Kimlik ve iletişim bilgileriyle birlikte başvurunun tebliğe elverişli bir adrese yapıldığının gösterilmesi
- Hangi kişisel veri kategorisinin ihlale konu olduğunun somutlaştırılması
- Verinin kime aktarıldığının, işleme amacının ve hukuki sebebinin sorulması
- Silme, yok etme veya üçüncü kişilere bildirim taleplerinin ayrı ayrı numaralandırılması
Talepler tek bir cümle içinde birleştirildiğinde, veri sorumlusunun kısmi cevabı bütün başvuruya cevap sayılabilir. Numaralandırılmış talep, eksik cevabı görünür kılar.
Otuz Gün ve Şikâyetin Zamanlaması
Veri sorumlusu, talebi en geç otuz gün içinde sonuçlandırmakla yükümlüdür. Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması ya da süresinde hiç cevap verilmemesi hâlinde ilgili kişi Kurula şikâyette bulunabilir. Şikâyet için cevabın öğrenildiği tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış günlük sınır esas alınır. Cevapsızlık hâlinde otuzuncu günün dolmasını beklemeden şikâyete geçmek, şikâyetin erken bulunmasına yol açabilir.
Delil Eksikliğinin Dosyayı Zayıflattığı Yerler
Uygulamada en sık düşen halka, başvurunun veri sorumlusuna ulaştığının kanıtlanamamasıdır. Basit bir e-posta gönderimi, karşı taraf inkâr ettiğinde tek başına yetersiz kalabilir. İkinci sık eksik, ihlalin kişiye somut olarak dokunduğunu gösteren bağlantının kurulamamasıdır: sızdırıldığı iddia edilen listeyle başvurucunun verisi arasındaki ilişki ortaya konmadığında şikâyet soyut kalır. Üçüncüsü, ihlal sonrası yaşanan somut sonuçların (tanımadığınız numaralardan gelen aramalar, hesap ele geçirme denemeleri) tarih sırasıyla kayda alınmamasıdır.
Zararın Tazmini Ayrı Yürür
Kurula şikâyet, idari yaptırım sürecini başlatır; uğranılan maddi veya manevi zararın karşılanması ise genel hükümlere göre ayrıca talep edilir. Bu iki yolun birbirini beklettiği yönündeki yaygın kanı, çoğu zaman zaman kaybına yol açar. Şikâyet dosyasında toplanan belgeler, tazminat talebinin de temelini oluşturacak biçimde arşivlenmelidir.
Burada anlatılanlar genel çerçeveyi tarif eder; ihlalin niteliği, veri sorumlusunun statüsü ve bildirim tarihleri sonucu değiştirebilir. Kendi dosyanız için başvuru öncesinde bir hukukçuyla süre hesabını birlikte gözden geçirmeniz yerinde olur.