Kişisel veri ihlallerinde şikâyetlerin önemli bir kısmı esastan değil, sıranın ve sürenin kaçırılması nedeniyle reddedilir. 6698 sayılı KVKK ve 5651 sayılı Kanun ekseninde bu rehber, veri ihlali sonrası başvuru zincirini usule aykırı işlem riski açısından inceler.
Zincirin İlk Halkası: Veri Sorumlusuna Başvuru
Kurula doğrudan yapılan şikâyetler, önce veri sorumlusuna başvurulmadığı gerekçesiyle işleme alınmayabilir. Bu nedenle ilk adım, veri sorumlusuna yazılı veya Kurulun belirlediği yöntemlerle başvurmaktır. Başvuruda talebin ne olduğu açıkça yazılmalıdır: verinin silinmesi mi, düzeltilmesi mi, aktarıldığı üçüncü kişilere bildirim mi isteniyor? Veri sorumlusunun başvuruyu en geç otuz gün içinde sonuçlandırması beklenir; bu sürenin başlangıcı başvurunun ulaştığı tarihtir.
Kurula Şikâyet Penceresi
Veri sorumlusundan gelen cevap yetersizse ya da hiç cevap verilmemişse, Kurula şikâyet için iki ayrı süre birlikte işler: cevabın öğrenildiği tarihten itibaren otuz gün ve her hâlde ilk başvuru tarihinden itibaren altmış gün. İkinci süre, cevap hiç gelmediği hâllerde belirleyici olur ve pratikte en sık kaçırılan süredir. Cevabın tarihi tartışmalıysa, tebliğ zarfı veya elektronik posta başlık bilgisi dosyaya konulmalıdır.
İhlal Bildirimi Yükümlülüğü
- Veri sorumlusu, ihlali öğrendiğinde Kurula gecikmeksizin bildirim yapmakla yükümlüdür; Kurul düzenlemesinde bu süre yetmiş iki saat olarak belirlenmiştir
- Etkilenen ilgili kişilere de makul en kısa sürede bildirim yapılması gerekir
- Bildirimde ihlalin kapsamı, etkilenen veri kategorileri ve alınan önlemler yer almalıdır
- Bildirim yapılmaması, idari yaptırım riskini ayrıca büyütür
Usule Aykırı İşlem Riskini Büyüten Hatalar
- Şikâyetin, veri sorumlusu yerine hizmet sağlayıcıya ya da yanlış tüzel kişiye yöneltilmesi
- Talebin genel ifadelerle yazılıp hangi verinin hangi işleme konu olduğunun gösterilmemesi
- Başvurunun ispat edilebilir bir kanal kullanılmadan yapılması
- Ceza şikâyeti, tazminat davası ve Kurul şikâyetinin birbirinin yerine geçtiğinin sanılması
Dosya Kontrol Listesi
- İhlalin öğrenildiği tarih ve öğrenme biçimi kayda geçirildi mi?
- Veri sorumlusuna başvuru tarihi ile cevap tarihi aynı tabloda mı?
- Verinin nereden yayıldığına dair ekran ve bağlantı kayıtları saklandı mı?
- Zarar doğduysa, zararı gösteren belgeler ayrı bir başlıkta toplandı mı?
Bu içerik genel bilgi paylaşımıdır ve somut başvurunuzun yerini tutmaz. Veri işleme faaliyetinin yapısı ve sorumluluk dağılımı dosyadan dosyaya değiştiğinden, başvuru metnini hazırlamadan önce hukuki görüş almanız uygun olur.