Bir veri ihlali yaşandığında iki farklı taraf için iki farklı saat işlemeye başlar. Veri sorumlusunun bildirim yükümlülüğü ile ilgili kişinin başvuru ve şikâyet hakkı aynı takvime tabi değildir. Bu rehber, 6698 sayılı KVKK çerçevesinde başvuru süresinin her iki taraf bakımından nasıl hesaplanacağını ele alır.
Veri Sorumlusunun Bildirim Saati
İşlenen kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi hâlinde veri sorumlusu, durumu ilgili kişiye ve Kurula bildirmekle yükümlüdür. Kurul, bu bildirimin gecikmeksizin ve yetmiş iki saati aşmayacak şekilde yapılmasına ilişkin bir çerçeve belirlemiştir. Süreyi başlatan an ihlalin gerçekleştiği an değil, veri sorumlusunun ihlali öğrendiği andır. Bu nedenle kurum içinde ihlal şüphesinin kime, nasıl raporlanacağının önceden yazılı hâle getirilmesi, süre yönetiminin ilk şartıdır. Bildirimin geç yapılması, ihlalin kendisinden bağımsız ayrı bir aykırılık olarak değerlendirilebilir.
Öğrenme Anını Belgelemek
Uygulamadaki en tartışmalı nokta, ihlalin ne zaman öğrenilmiş sayılacağıdır. Bir güvenlik uyarısının sisteme düşmesi, bir çalışanın durumu bildirmesi ya da dış kaynaklı bir ihbarın ulaşması farklı anlar yaratır. Bu nedenle olay kayıt defteri tutulmalı; uyarının alındığı saat, doğrulama çalışmasının başladığı saat ve etkilenen kayıt sayısının belirlendiği saat ayrı ayrı yazılmalıdır. Bu kayıt, hem bildirim süresinin doğru işletildiğini göstermek hem de alınan teknik ve idari tedbirleri ispatlamak bakımından değerlidir.
İlgili Kişinin Başvuru Penceresi
İhlalden etkilenen kişi bakımından yol ise basamaklıdır. Önce veri sorumlusuna yazılı başvuru yapılır. Veri sorumlusu talebi en geç otuz gün içinde sonuçlandırmakla yükümlüdür. Başvurunun reddedilmesi, verilen yanıtın yetersiz kalması veya süresinde yanıt verilmemesi hâlinde ilgili kişi, öğrenme tarihinden itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunabilir. Bu tarihlerin hesaplanabilmesi için ilk başvurunun tarihli ve ulaştığı ispatlanabilir bir kanaldan yapılması zorunludur.
Tazminat ve Diğer Hatlar Ayrı İşler
Kurul süreci, uğranılan zararın karşılanmasını doğrudan sağlamaz; maddi ve manevi tazminat talepleri genel hükümlere göre ayrıca ileri sürülür. Sızan verilerin internette yayılması hâlinde ise 5651 sayılı Kanun kapsamındaki içerik kaldırma yolu paralel biçimde işletilebilir. Üç hattın birbirini beslemesi için aynı olay kronolojisinin ve aynı belge setinin kullanılması, çelişkili anlatım riskini ortadan kaldırır.
Bu içerik genel bilgilendirme amaçlıdır. İhlalin kapsamı, verinin niteliği ve etkilenen kişi sayısı yükümlülükleri değiştirebileceğinden, süre işlemeye başladıktan sonra gecikmeden hukuki değerlendirme yapılması önerilir.