Kişisel verilerinin hukuka aykırı biçimde işlendiğini veya bir ihlalden etkilendiğini öğrenen kişinin önünde birden fazla yol vardır; ancak bu yollar arasında bir sıra ve katı bir takvim bulunur. KVKK (6698) ile 5651 sayılı Kanun ekseninde bu rehber, başvuru süresi ekseninde merci analizini yapıyor.
Zorunlu İlk Aşama: Veri Sorumlusuna Başvuru
Kurula doğrudan şikâyet yolu kapalıdır. İlgili kişinin öncelikle veri sorumlusuna yazılı olarak veya Kurulun belirlediği yöntemlerle başvurması gerekir. Veri sorumlusu, talebi en kısa sürede ve en geç otuz gün içinde sonuçlandırmakla yükümlüdür. Başvuru sırasında talebin hangi hakka (bilgi talebi, düzeltme, silme, aktarılan üçüncü kişilere bildirim, zararın giderilmesi) ilişkin olduğunun açıkça yazılması gerekir; genel bir şikâyet metni, cevap yükümlülüğünü tetiklemeyebilir.
Kurula Şikâyet: İki Süre Birlikte İşler
Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde Kurula şikâyette bulunulabilir. Burada iki süre birlikte gözetilir: cevabı öğrenme tarihinden itibaren otuz gün ve her hâlde veri sorumlusuna başvuru tarihinden itibaren altmış gün. İkinci süre, birincisini de kapsayan bir üst sınırdır; veri sorumlusu hiç cevap vermediğinde otuz günlük bekleme süresinin dolmasıyla şikâyet hakkı doğar, ancak altmış günlük dış sınır işlemeye devam eder.
Kurul Kararına Karşı Hangi Yargı Yolu?
- Kurulun verdiği kararlar idari işlem niteliğindedir; bunlara karşı idare mahkemesinde iptal davası açılır.
- Kurulca uygulanan idari para cezalarına karşı başvurulacak merci ise farklıdır ve kabahatler rejimi çerçevesinde belirlenir; bu ayrımın karıştırılması süre kaybına yol açar.
- Kişilik hakları zedelenen ilgili kişinin maddi ve manevi tazminat talebi, Kurul sürecinden bağımsız olarak adli yargıda açılır.
- İnternet ortamındaki bir içerik söz konusuysa 5651 sayılı Kanun kapsamında erişimin engellenmesi veya içeriğin çıkarılması talebi ayrıca değerlendirilir.
Delil Eksikliği: Başvurunun Kendisi Nasıl İspatlanır?
Bu dosyalarda en sık düşülen boşluk, sürecin ilk adımının belgelenememesidir. Dikkat edilmesi gerekenler:
- Veri sorumlusuna başvuru; noter, KEP veya sistemde kayıtlı e-posta gibi tarih ve içerik ispatı sağlayan bir kanaldan yapılmalıdır. Çağrı merkezi görüşmesi tek başına yeterli olmaz.
- İhlalin varlığını gösteren ekran görüntüleri, bildirim e-postaları ve veri sorumlusunun kamuya yaptığı ihlal duyurusu arşivlenmelidir.
- Verinin hangi kanaldan sızdığına dair iddia varsa, aynı veriyi kullanan başka kaynakların bulunmadığı da gösterilmelidir; aksi hâlde nedensellik tartışmalı kalır.
- Zarar iddiası varsa (dolandırıcılık girişimi, itibar kaybı), bunun somut belgelerle ilişkilendirilmesi gerekir.
Aydınlatma ve Açık Rıza Kayıtları
Veri sorumlusu tarafında ise ispat yükü büyük ölçüde kendisindedir: aydınlatma yükümlülüğünün yerine getirildiği, işleme şartlarından hangisine dayanıldığı, açık rızanın özgür iradeyle ve bilgilendirmeye dayalı olarak alındığı kayıtlarla gösterilmelidir. Rıza metninin hizmet şartına bağlanmış olması, rızayı geçersiz kılabilir.
Yukarıdaki bilgiler genel niteliktedir; ihlalin kapsamı ve öğrenme tarihi süreleri doğrudan etkilediğinden, başvuru takviminizi bir hukukçuyla birlikte kurmanız yerinde olacaktır.