Kişisel veri ihlallerinde tartışma iki ayrı cephede yürür. Veri sorumlusu açısından soru, ihlalin nasıl ve ne kadar sürede bildirileceğidir; ilgili kişi açısından ise hakkını hangi sıra ile arayacağıdır. Her iki tarafta da yapılan usul hataları, esasa ilişkin haklılığın önüne geçer. Aşağıda 6698 sayılı KVKK ve 5651 sayılı Kanun çerçevesinde izlenecek adımlar ele alınmaktadır.
Veri sorumlusunun bildirim takvimi
Kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edildiği öğrenildiğinde, veri sorumlusunun bu durumu en kısa sürede Kurula ve ilgili kişilere bildirmesi gerekir. Kurul, bu en kısa süreyi yetmiş iki saat olarak somutlaştırmıştır; gecikme hâlinde gerekçesinin ayrıca açıklanması beklenir. Bildirimin içeriğinde ihlalin ne zaman gerçekleştiği, hangi veri kategorilerini etkilediği, etkilenen kişi ve kayıt sayısı ile alınan tedbirlerin yer alması gerekir. Eksik bildirim, ihlalin kendisinden bağımsız olarak ayrı bir yaptırım konusu olabilir.
İlgili kişinin başvuru sırası
- Önce veri sorumlusuna yazılı olarak başvurun; doğrudan Kurula yapılan şikâyet bu adım tamamlanmadan incelenmez.
- Başvurunun veri sorumlusuna ulaştığı tarihi belgeleyin; cevap süresi bu tarihten işler.
- Cevap olumsuzsa ya da hiç verilmezse, öğrenme tarihinden itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunun.
- Kişilik haklarına saldırı da varsa 5651 kapsamındaki erişim engeli yolunu paralel olarak değerlendirin.
- Uğranılan zarar için genel hükümlere göre tazminat talebinin ayrı bir yol olduğunu dikkate alın.
Cezanın dayanağını okumak
İdari yaptırım kararında hangi yükümlülüğün ihlal edildiği açıkça gösterilmelidir. Aydınlatma yükümlülüğü, veri güvenliğine ilişkin tedbirler, sicile kayıt ve Kurul kararlarına uymama birbirinden farklı dayanaklardır. Savunma hazırlanırken her dayanağın ayrı ayrı ele alınması, tek bir genel itiraz metni yazılmasından çok daha etkili sonuç verir.
İtiraz merciini doğrulamak
Kurulun idari yaptırım kararlarına karşı başvurulacak merci konusunda mevzuatta değişiklik yapılmıştır. Bu nedenle itiraz yoluna gitmeden önce kararın tebliğ metnindeki kanun yolu açıklaması ile yürürlükteki düzenleme birlikte kontrol edilmelidir. Yanlış mercie yapılan başvuru, kısa olan itiraz süresinin işlemeye devam etmesi nedeniyle telafisi güç sonuç doğurabilir.
Sık görülen usul kusurları
- Veri sorumlusuna başvuru adımı atlanarak doğrudan şikâyette bulunulması
- Başvurunun kimlik doğrulaması yapılamayacak biçimde iletilmesi
- Tebliğ tarihinin dosyadan doğrulanmadan itiraz takvimi kurulması
- İhlalin kapsamına ilişkin teknik kayıtların loglama süresi dolmadan istenmemesi
- Savunmada teknik tedbirlerin belgeyle değil yalnızca beyanla anlatılması
Bu açıklamalar genel bilgilendirme amaçlıdır. İhlalin kapsamı, veri kategorileri ve kararın gerekçesi izlenecek yolu değiştirebileceğinden, süreç başlamadan önce hukuki değerlendirme alınması önerilir.