Kişisel verilere ilişkin bir ihlalde en sık yapılan hata, olayın teknik boyutuna odaklanıp bildirim ve başvuru takvimini ihmal etmektir. 6698 sayılı KVKK, veri sorumlusuna ihlal halinde bildirim yükümlülüğü getirir; ilgili kişiye de veri sorumlusuna başvurma ve ardından Kurula şikâyet etme yolunu açar. Bu rehber, her iki taraf için de süre ve delil eksikliğini önleyecek bir kontrol düzeni sunuyor.
İlgili Kişi Açısından: Önce Veri Sorumlusuna Başvuru
Kanun, doğrudan Kurula gitmeden önce veri sorumlusuna başvurulmasını arar. Bu başvurunun yazılı olması ve tarihinin ispatlanabilir olması esastır. Başvuruda; talebin konusu, kimlik bilgileri ve varsa ihlale ilişkin somut veriler yer almalıdır. Veri sorumlusu kanunda öngörülen süre içinde cevap vermez ya da cevabı yetersiz kalırsa, bu andan itibaren Kurula şikâyet için ayrı bir süre işlemeye başlar. Bu nedenle başvurunun gönderim kaydı, alındı belgesi veya elektronik teyidi mutlaka saklanmalıdır.
Başvuru Dosyasında Bulunması Gerekenler
- İhlalin nasıl öğrenildiğini gösteren bildirim, e-posta ya da haber kaydı
- Verinin hangi kanaldan ve hangi amaçla paylaşıldığına ilişkin bilgi
- Varsa daha önce verilmiş açık rıza metni ve aydınlatma metninin örneği
- Veri sorumlusuna yapılan başvurunun tarihli örneği ve iletim kaydı
- İhlal nedeniyle uğranılan somut zarara ilişkin belgeler
Veri Sorumlusu Açısından: İhlal Anından İtibaren Kayıt
- İhlalin öğrenildiği an tespit edilir ve tutanağa bağlanır; bildirim süresi bu andan hesaplanır.
- Etkilenen veri kategorileri ve ilgili kişi sayısı belirlenir.
- Kurula bildirim en kısa sürede yapılır; bildirimin içeriği ve zamanı kayıt altına alınır.
- Etkilenen ilgili kişilere yapılacak bilgilendirmenin metni ve gönderim kaydı saklanır.
- Alınan teknik ve idari tedbirler, alınma tarihiyle birlikte belgelenir.
Delil Eksikliğinin En Pahalıya Mal Olduğu Noktalar
Veri sorumlusu için asıl risk, tedbir alınmamış olması değil; alınan tedbirin belgelenememesidir. Erişim yetkisi matrisi, log kayıtlarının saklama süresi, veri işleyenle yapılan sözleşme ve periyodik denetim raporları yoksa; savunma sözlü beyanla sınırlı kalır. İlgili kişi açısından ise en yaygın boşluk, verinin nereden sızdığını gösteren zincirin hiç kurulmaması ve zararın yalnızca genel ifadelerle anlatılmasıdır.
Paralel Yollar ve Sınırları
Kurula şikâyet, veriye hukuka aykırı erişimin aynı zamanda suç oluşturduğu hallerde ceza soruşturmasının yerine geçmez. İçerik internet ortamında yayılmışsa 5651 sayılı Kanun kapsamındaki kaldırma talepleri de ayrıca değerlendirilir. Bu yolların her biri kendi süresine ve merciine tabidir; birinin sonucu beklenirken diğerinin süresi işlemeye devam edebilir.
Bu metin genel bilgilendirme niteliğindedir; verinin türü, işleme şartı ve ihlalin kapsamı sonucu belirgin biçimde değiştirir. Başvuru takviminizi kendi olay kayıtlarınıza göre bir hukukçuyla doğrulamanız yerinde olur.