Kişisel veri ihlallerinde hukuki sürecin ritmini iki ayrı saat belirler: veri sorumlusunun bildirim yükümlülüğü ve ilgili kişinin başvuru takvimi. 6698 sayılı KVKK ile 5651 sayılı Kanun birlikte değerlendirildiğinde, aynı olay hem idari yaptırım hem de tazminat boyutuyla ele alınabilir. Bu rehber, süre ekseninde iki tarafın da yapması gerekenleri anlatır.
İhlal Bildiriminin Zaman Baskısı
Veri sorumlusu, işlenen kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi halinde durumu en kısa sürede ilgili kişiye ve Kurula bildirmekle yükümlüdür. Kurulun yerleşik uygulamasında bu "en kısa süre" yetmiş iki saat olarak somutlaşmıştır. Gecikmenin makul bir gerekçesi varsa, bunun bildirimde açıklanması gerekir. İhlalin kapsamı, etkilenen kişi sayısı ve alınan teknik tedbirler bildirimin çekirdeğini oluşturur.
İlgili Kişi Başvurusu ve Otuz Günlük Cevap Süresi
İlgili kişi, doğrudan Kurula gitmeden önce veri sorumlusuna başvurmak zorundadır. Veri sorumlusu talebi en geç otuz gün içinde sonuçlandırır. Başvurunun yazılı olması ve talebin açıkça belirtilmesi gerekir: verilerin silinmesi mi, aktarılan üçüncü kişilere bildirilmesi mi, yoksa işleme faaliyetinin dayanağının açıklanması mı isteniyor? Muğlak bir başvuru, verilecek cevabın da muğlak olmasına yol açar.
- Başvuru tarihinin ispatlanabilir olması sağlanır
- Talepler numaralandırılarak ayrı ayrı yazılır
- Kimlik doğrulama için istenen bilgiler eksiksiz sunulur
- Gelen cevap ve tarihi dosyada saklanır
Kurula Şikâyette Süre Hesabı
Başvuru reddedilir, verilen cevap yetersiz kalır veya süresinde cevap verilmezse Kurula şikâyet yolu açılır. Bu şikâyet, cevabın öğrenildiği tarihten itibaren otuz gün ve her hâlde veri sorumlusuna başvuru tarihinden itibaren altmış gün içinde yapılmalıdır. İki sürenin birlikte işlemesi, uygulamada en çok gözden kaçan noktadır: veri sorumlusu geç cevap verse dahi altmış günlük dış sınır işlemeye devam eder.
Tazminat Yolu ile Şikâyetin Birlikte Yürütülmesi
Kurula yapılan şikâyet idari yaptırıma yönelikken, kişilik hakkı ihlali nedeniyle uğranılan zarar için genel hükümlere göre tazminat talep edilebilir. Bu iki yol birbirinin alternatifi değildir. Kurul kararı, tazminat davasında delil değeri taşıyabileceği için, dosyaların birbirini besleyecek şekilde kurgulanması yerinde olur.
Kontrol Sırası
- İhlalin öğrenildiği tarih net olarak belirlenir
- Veri sorumlusuna başvuru geciktirilmeden yapılır
- Otuz ve altmış günlük süreler aynı takvime işlenir
- Zarar kalemleri belgeye dayalı olarak toplanır
- Gerekiyorsa içerik kaldırma talebi ayrıca değerlendirilir
Bu metin genel bilgilendirme amacıyla hazırlanmıştır; ihlalin niteliği ve veri kategorisi izlenecek yolu değiştirebilir. Süreler kısa olduğu için, ihlali öğrendiğiniz hafta içinde başvuru metnini hazırlamanız önerilir.