Kişisel verilerin hukuka aykırı biçimde işlendiğini veya ihlale uğradığını düşünen kişi için 6698 sayılı Kanun kademeli bir başvuru sistemi öngörür. Bu kademeler atlanamaz; doğrudan Kurula yapılan şikâyet, ön koşul tamamlanmadığı için sonuçsuz kalır.
Birinci Kademe: Veri Sorumlusuna Başvuru
İlgili kişi, taleplerini önce veri sorumlusuna yazılı olarak veya Kurulun belirlediği diğer yöntemlerle iletmek zorundadır. Veri sorumlusu, talebi niteliğine göre en geç otuz gün içinde sonuçlandırır. Başvuru dilekçesinde talebin türü açıkça yazılmalıdır: verinin silinmesi mi, düzeltilmesi mi, aktarıldığı üçüncü kişilere bildirim mi isteniyor? Genel ifadelerle yapılan başvuru, cevabın da genel olmasına yol açar ve sonraki aşamada işe yaramaz.
İkinci Kademe: Kurula Şikâyet ve Süreler
Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi halinde ilgili kişi Kurula şikâyette bulunabilir. Kanun bunun için iki süreyi birlikte işletir: cevabı öğrenme tarihinden itibaren otuz gün ve her hâlde veri sorumlusuna başvuru tarihinden itibaren altmış gün. İkinci süre, cevap hiç gelmediğinde de işlediğinden pratikte asıl belirleyici olan odur. Başvuru tarihini ispatlayan belge saklanmazsa bu hesap yapılamaz.
Kurul Kararına Karşı Hangi Mahkeme?
Kurul, bir idari otoritedir ve verdiği kararlar idari işlem niteliğindedir. Bu kararlara karşı iptal davası idare mahkemesinde açılır; genel dava açma süresi işler. Veri ihlali nedeniyle uğranılan maddi ve manevi zararın tazmini ise ayrı bir yoldur ve adli yargıda genel hükümlere göre istenir. İki yolun birbirinin yerine geçmediği, aynı olayda paralel yürütülebileceği gözden kaçırılmamalıdır. Ayrıca fiil suç oluşturuyorsa ceza şikâyeti üçüncü bir kanal olarak açıktır.
Delil Eksikliği: İhlali Kim İspatlar?
Veri ihlali başvurularının en zayıf yanı, ihlalin gerçekleştiğinin somut biçimde gösterilememesidir. Dosyayı ayakta tutan unsurlar:
- Başvuru ve cevabın tebliğ tarihini gösteren kayıt: iadeli taahhütlü posta, KEP, e-posta gönderim kaydı.
- Verinin nerede yayıldığını gösteren tarihli ekran görüntüleri ve bağlantı adresleri.
- Verinin kaynağının tespitine yarayan kayıtlar: sadece o kuruma verilmiş bir bilgi kombinasyonu, kuruma özel iletişim bilgisi.
- Zarar iddiası varsa; gelen çağrı kayıtları, dolandırıcılık girişimine dair belgeler, tedavi veya işten çıkma gibi somut sonuçlar.
Veri sorumlusunun aydınlatma yükümlülüğünü yerine getirdiğini ve açık rıza aldığını ispat yükü kendisindedir; bu nedenle ilgili kişinin "rıza vermedim" demesi yeterli olur, aksini kurumun belgelemesi gerekir. Bu dağılım bilindiğinde dilekçe gereksiz yere ağırlaştırılmaz.
Kapanış
Veri ihlalinde hak arama, kademeli başvuru sırasının korunması ve tarihlerin belgelenmesiyle ayakta durur. Bu metin genel bilgilendirme sunar; verinin türü, ihlalin kapsamı ve kurumun niteliği izlenecek yolu değiştirebileceğinden, altmış günlük süre işlemeye başladıysa yazışmalarınızla birlikte hukuki değerlendirme almanız uygun olacaktır.