Kişisel veri ihlallerinde ilgili kişinin en sık düştüğü hata, doğrudan Kişisel Verileri Koruma Kurulu'na şikâyette bulunup başvurunun usulden değerlendirilmemesidir. Bu rehber, 6698 sayılı KVKK ve 5651 çerçevesinde veri ihlali sonrası başvuru süresi yönetimini ve usule aykırı işlem riskini konu alır.
Zorunlu ilk adım: veri sorumlusuna başvuru
KVKK, Kurul'a şikâyetten önce veri sorumlusuna başvurulmasını öngörür. Veri sorumlusu, talebi en geç otuz gün içinde sonuçlandırmakla yükümlüdür. Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya hiç cevap verilmemesi hâlinde ilgili kişi, cevabı öğrendiği tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurul'a şikâyette bulunabilir. Bu iki süre birlikte hesaplanmadığında şikâyet hakkı fiilen kullanılamaz hâle gelir.
Başvuru dilekçesinde bulunması gerekenler
- İlgili kişinin kimlik ve iletişim bilgileri ile veri sorumlusunun tam unvanı
- Talebin konusu: bilgi talebi, silme, yok etme, aktarılan üçüncü kişilere bildirim veya zararın giderilmesi
- İhlalin öğrenildiği tarih ve öğrenme biçimi
- Varsa ihlal bildirimi metni, ekran görüntüsü veya kurumdan gelen yazı
- Başvurunun tebliğ edilebilir bir yolla iletildiğine dair kayıt
Süre hesabında karıştırılan noktalar
- Veri sorumlusunun bildirim yükümlülüğü ile ilgili kişinin başvuru süresi ayrı işler; kurumun geç bildirimi ilgili kişinin süresini uzatmaz.
- Otuz günlük cevap süresi, başvurunun veri sorumlusuna ulaştığı tarihten itibaren işlemeye başlar.
- Cevap verilmemesi hâlinde beklemek yerine, altmış günlük dış sınır esas alınarak şikâyet takvimi kurulmalıdır.
- Aynı olay için ceza şikâyeti ve tazminat talebi ayrı yollardır; Kurul'a şikâyet bunları kendiliğinden kapsamaz.
Arama motoru ve içerik boyutu
Sızan verinin internette yayımlanmış olması hâlinde, içeriğin çıkarılması ve arama sonuçlarından kaldırılması talepleri gündeme gelir. Bu talepler 5651 kapsamındaki usullerle ve KVKK kapsamındaki başvuruyla birlikte yürütülebilir; her iki yolun kendi süre ve merci düzeni bulunduğundan, tek dilekçeyle hepsinin karşılanacağı varsayımı hatalıdır.
Zarar doğmuşsa
İhlal sonucu maddi kayıp veya kişilik haklarına saldırı ortaya çıkmışsa, idari süreçten bağımsız olarak tazminat talebi değerlendirilebilir. Bu durumda zararın miktarını gösteren banka kayıtları, yazışmalar ve masraf belgeleri baştan ayrı bir klasörde toplanmalıdır.
Buradaki bilgiler yol gösterici niteliktedir. Veri sorumlusunun kimliği, ihlalin kapsamı ve öğrenme tarihi süreleri doğrudan etkilediğinden, başvuru metnini göndermeden önce hukuki değerlendirme yaptırmak yararlı olur.