Kişisel verilerin hukuka aykırı biçimde ele geçirilmesi hâlinde ilgili kişinin önünde belirli sırayla işleyen bir başvuru mekanizması vardır. 6698 sayılı Kişisel Verilerin Korunması Kanunu, doğrudan Kurula şikâyeti değil, önce veri sorumlusuna başvurmayı esas alır. Bu sıra atlandığında şikâyet usulden reddedilir ve bu arada süreler işlemeye devam eder. Bu rehber, veri ihlali sonrasındaki süre yapısını adım adım açıklar.
Zorunlu İlk Adım: Veri Sorumlusuna Başvuru
İlgili kişi taleplerini yazılı olarak veya Kurulun belirlediği diğer yöntemlerle veri sorumlusuna iletir. Veri sorumlusu, talebi niteliğine göre en geç otuz gün içinde sonuçlandırmak zorundadır. Başvuruda hangi verinin, hangi işleme faaliyeti bakımından sorgulandığı açıkça yazılmalıdır; genel ifadelerle yapılan başvurular hem cevabı geciktirir hem sonraki aşamada dosyayı zayıflatır.
- Başvurunun gönderim tarihi ve yöntemi belgelenir.
- Kimlik doğrulama için istenen bilgiler eksiksiz verilir; eksiklik süreyi yeniden başlatabilir.
- Talep başlıkları ayrı maddeler hâlinde yazılır.
Kurula Şikâyette İkili Süre
Başvuru reddedilirse, verilen cevap yetersiz bulunursa veya süresinde cevap verilmezse, ilgili kişi Kurula şikâyette bulunabilir. Burada iki süre birlikte işler: cevabı öğrenme tarihinden itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün. İkinci süre üst sınırdır; veri sorumlusunun sessiz kalması hâlinde beklemek, bu üst sınırın dolmasına yol açabilir. Bu nedenle takvime yalnızca cevap tarihi değil, başvuru tarihi de işlenmelidir.
Veri Sorumlusu Tarafında İhlal Bildirimi
Olayın diğer yüzünde veri sorumlusunun yükümlülükleri bulunur. İşlenen kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi hâlinde, durumun ilgili kişiye ve Kurula bildirilmesi gerekir. Kurul düzenlemelerinde bu bildirim için oldukça kısa bir süre öngörülmüştür ve ihlalin öğrenildiği andan itibaren işler. Bu nedenle kurumsal tarafta olay müdahale planı, teknik ekiple hukuk biriminin aynı anda devreye girmesini sağlayacak şekilde kurgulanmalıdır.
- İhlalin kapsamı, etkilenen kişi sayısı ve veri kategorileri tespit edilir.
- Bildirim metni hazırlanırken alınan teknik önlemler somut biçimde yazılır.
- İlgili kişilere yapılacak bildirimin yöntemi belirlenir.
- Olay kayıt altına alınır ve iç envanter güncellenir.
İçerik Yayılmışsa Ek Yol
Ele geçirilen veriler internet ortamında yayımlanmışsa, kişisel veri başvurusundan bağımsız olarak 5651 sayılı Kanun kapsamında içeriğin çıkarılması veya erişimin engellenmesi talep edilebilir. Bu yol daha hızlı sonuç verebildiği için, yayılma riski yüksek dosyalarda paralel yürütülmesi tercih edilir. İki sürecin karıştırılmaması, her birinin kendi belgeleriyle ayrı klasörde takip edilmesiyle sağlanır.
Tazminat Talebiyle İlişkisi
Kurula şikâyet, uğranılan zararın tazmini talebini ortadan kaldırmaz. Maddi ve manevi zarar, genel hükümlere göre ayrıca dava edilebilir. Ancak tazminat davasında zararın somutlaştırılması gerekir; bu nedenle ihlalin sonucunda doğan gider, gelir kaybı veya itibar zararına ilişkin kayıtlar baştan toplanmalıdır.
Bu içerik genel bilgilendirme amacıyla hazırlanmıştır. Süre başlangıcı başvurunun yöntemine ve cevabın niteliğine göre değişebildiğinden, ihlali fark ettiğiniz anda hukuki değerlendirme almanız süreç yönetimini kolaylaştırır.