Bir veri ihlalinden etkilendiğini öğrenen kişinin karşılaştığı ilk sorun hukuki değil, kronolojiktir: ihlalin öğrenildiği an ile başvurunun yapıldığı an arasında geçen her gün, hem ispat imkânını hem de başvuru hakkını aşındırır. 6698 sayılı KVKK, ilgili kişiye önce veri sorumlusuna yönelme, sonra Kurula şikâyet etme şeklinde kademeli bir yol öngörür. Bu rehber, o kademelerin pratikte nasıl kurulacağını ve delil eksikliğinin süreyi nasıl yaktığını ele alır.
İhlali Öğrenme Anını Sabitlemek
Başvuru süreleri, soyut bir olay tarihinden değil, ilgili kişinin ihlali öğrendiği andan işlemeye başlar. Bu nedenle ilk yapılacak iş, öğrenme anını belgelemektir: veri sorumlusundan gelen ihlal bildirimi e-postası, Kurumun kamuoyu duyurusunun görüntülendiği tarih, ya da kişisel verinin üçüncü kişide görüldüğü ekran kaydı. Öğrenme anı belgelenmediğinde, karşı taraf süresinde başvurulmadığı itirazını kolayca gündeme getirir ve esasa hiç girilmeden dosya kapanabilir.
Veri Sorumlusuna Başvuruda Metnin Kurgusu
Veri sorumlusuna yapılan başvuru, bir şikâyet mektubu değil, cevap verilebilir taleplerin listesidir. Metinde hangi verinin, hangi işleme faaliyetiyle, hangi tarihte ihlale konu olduğu ayrı ayrı gösterilmelidir. Talep kalemleri de somutlaştırılmalıdır: verinin silinmesi, aktarıldığı üçüncü kişilere bildirim yapılması, işlemenin durdurulması gibi. Belirsiz yazılmış bir talep, veri sorumlusunun genel bir cevabıyla karşılanır ve sonraki aşamada şikâyetin konusu daralır.
Delil Eksikliğinin Doğurduğu Tipik Kayıplar
- Başvurunun ulaştığını gösteren teslim kaydının bulunmaması
- Sızan verinin ilgili kişiyle bağını kuran eşleştirmenin yapılmaması
- İhlalin ekran görüntüsü alınmadan sayfanın kaldırılması
- Cevap yazısının saklanmaması nedeniyle şikâyet süresinin başlangıcının tartışmalı hale gelmesi
- Zarar iddiasını destekleyen banka, işveren veya abonelik kayıtlarının toplanmaması
Kuruma Şikâyet Aşamasına Geçiş
Veri sorumlusunun cevabı yetersiz kalırsa ya da yasal süre içinde hiç cevap verilmezse, sıra Kişisel Verileri Koruma Kurumuna şikâyete gelir. Bu aşamada dosyaya eklenecek belge seti bellidir: başvuru metni, gönderim kanıtı, alınan cevap ve ihlale ilişkin teknik kayıtlar. Şikâyet dilekçesinde veri sorumlusunun hangi yükümlülüğü ihlal ettiği ayrıca gerekçelendirilmeli; aynı olayda 5651 sayılı Kanun kapsamında içerik kaldırma yolu da işletilecekse bu iki süreç ayrı takvimlerde yürütülmelidir.
Tazminat ve Ceza Yolunun Ayrı Değerlendirilmesi
İdari süreç, uğranılan maddi ve manevi zararın tazmini için açılacak davanın yerini tutmaz. Aynı şekilde, verinin hukuka aykırı biçimde ele geçirilmesi TCK kapsamında ayrı bir suç oluşturabilir ve şikâyetin zamanında yapılması gerekir. Üç yolun süreleri birbirinden bağımsız işlediği için tek bir takvimde birlikte izlenmesi, en sık yapılan hatayı önler.
Buradaki açıklamalar genel nitelikte bilgilendirmedir; ihlalin türü, veri kategorisi ve tarafların sıfatı sonucu değiştirebileceğinden dosyanın kendi koşullarına göre hukuki değerlendirme alınması yerinde olur.