Kişisel verilerinin hukuka aykırı biçimde işlendiğini ya da bir ihlalde açığa çıktığını öğrenen kişinin ilk hamlesi doğrudan Kurula şikâyet olmamalıdır. KVKK ve 6698 sayılı düzenlemenin kurduğu sistemde başvuru yolu kademelidir ve bu kademeleri atlamak şikâyetin usulden reddine yol açar. Bu rehber, 5651 kapsamındaki içerik boyutuna da değinerek başvuru takvimini adım adım kurar.
Önce Veri Sorumlusuna Başvuru Zorunluluğu
İlgili kişi, taleplerini önce veri sorumlusuna yazılı olarak veya Kurulun belirlediği yöntemlerle iletmek zorundadır. Başvuruda kimliği doğrulayan bilgiler, talebin konusu ve varsa dayanak belgeler yer almalıdır. Veri sorumlusu, talebi kanunda öngörülen otuz günlük süre içinde sonuçlandırır. Bu aşamada dikkat edilmesi gerekenler:
- Başvurunun tarihini ispat eden bir kanal kullanılması (KEP, noter, kayıtlı posta veya sistem üzerinden alınan başvuru numarası)
- Talebin somut yazılması: silme mi, düzeltme mi, bilgi mi, üçüncü kişilere bildirim mi isteniyor
- Veri sorumlusunun doğru tespit edilmesi; veri işleyen ile veri sorumlusunun karıştırılmaması
Kurula Şikâyet Penceresi
Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi halinde Kurula şikâyet yolu açılır. Şikâyet için iki süre birlikte işler: cevabın öğrenildiği tarihten itibaren otuz gün ve her hâlde veri sorumlusuna başvuru tarihinden itibaren altmış gün. İkinci süre çoğu dosyada gözden kaçar; veri sorumlusu hiç cevap vermediğinde beklemeye devam etmek, şikâyet hakkının süresinde kullanılmamasına yol açar.
İhlal Bildirimi Kimin Yükümlülüğü
Veri ihlalinde bildirim yükümlülüğü ilgili kişide değil, veri sorumlusundadır. Veri sorumlusu ihlali öğrendiğinde Kurula ve etkilenen ilgili kişilere en kısa sürede bildirim yapmakla yükümlüdür; Kurul kararlarıyla bu bildirimin niteliği ve içeriği ayrıntılı biçimde belirlenmiştir. İlgili kişi açısından bu bildirimin geç ya da eksik yapılması, şikâyetin bağımsız bir konusunu oluşturur. Bildirim metni, ihlalin kapsamını ve etkilenen veri kategorilerini gösterdiği için mutlaka saklanmalıdır.
Tazminat Yolu Ayrı İşler
Kurula şikâyet, idari yaptırım sürecini başlatır; kişinin uğradığı maddi ve manevi zararın giderilmesi ise genel hükümlere göre açılacak ayrı bir davanın konusudur. İki yol birbirinin alternatifi değildir ve farklı zamanaşımı kurallarına tabidir. Verilerin internette yayılması söz konusuysa, içeriğin çıkarılması ve erişimin engellenmesi talebi de paralel biçimde işletilebilir.
Kanıt Dosyasında Bulunması Gerekenler
- Veri sorumlusuna yapılan başvurunun tarihli örneği
- Alınan cevap veya cevapsızlığı gösteren teslim kaydı
- İhlal bildiriminin ekran görüntüsü veya e-posta örneği
- Verinin nerede, ne şekilde göründüğüne dair tarihli kayıtlar
- Zarara ilişkin belgeler (dolandırıcılık girişimi, hesap hareketi, yazışmalar)
Bu açıklamalar genel bilgilendirme amaçlıdır; veri kategorisi, işleme şartı ve veri sorumlusunun sıfatı sonucu değiştirebilir. Süreler kısa olduğundan, ihlali öğrendiğiniz gün başvuru zincirini başlatmanız ve gerekiyorsa hukuki görüş almanız yerinde olur.