Kişisel verilere ilişkin bir ihlal ortaya çıktığında süreç iki yönlü ilerler: ilgili kişi kendi hakkını arar, veri sorumlusu ise yükümlülüklerini yerine getirmek zorundadır. KVKK olarak anılan 6698 sayılı kanun bu iki hattı ayrı düzenler; içeriğin yayılması söz konusuysa 5651 sayılı kanun kapsamındaki talepler de tabloya eklenir. İdari para cezası aşamasında ise merci sorusu, uygulamada en çok tereddüt yaratan noktadır.
Önce Veri Sorumlusuna, Sonra Kurula
İlgili kişinin izleyeceği sıra bellidir: talep önce veri sorumlusuna yazılı olarak iletilir, cevap verilmez veya cevap yetersiz kalırsa Kurula şikayet yoluna gidilir. Bu sıra atlanarak doğrudan yapılan şikayet, başvuru şartı yerine getirilmediği gerekçesiyle sonuçsuz kalabilir. Veri sorumlusuna yapılan başvurunun tarihi ve iletim biçimi bu nedenle titizlikle belgelenmelidir.
Veri Sorumlusu Açısından İhlal Bildirimi
İhlalin öğrenilmesi halinde veri sorumlusunun bildirim yükümlülüğü doğar. Bildirimin gecikmesi, ihlalin kendisinden ayrı bir yaptırım sebebi oluşturabilir. Bu nedenle kurum içinde ihlal tespitinden bildirime kadar geçen sürecin yazılı bir akış şemasına bağlanması, sonradan yapılacak savunmanın temelini oluşturur. Kimlerin ne zaman bilgilendirildiği kayıt altına alınmalıdır.
İdari Yaptırım Kararına Karşı Hangi Yol
İdari para cezalarına karşı hangi yargı yerine başvurulacağı konusunda uygulamada tereddüt yaşanabilmektedir. Bu nedenle izlenecek en güvenli yöntem, tebliğ edilen karar metnindeki başvuru yolu ve süre bilgisini esas almak, tereddüt halinde süreyi kaçırmadan gösterilen mercie başvurmaktır. Süre geçtikten sonra doğru merciin bulunması, kararın kesinleşmiş olması nedeniyle sonuç doğurmaz.
Kesişen Talepleri Ayrıştırmak
- Verinin hukuka aykırı işlenmesine ilişkin şikayet ayrı bir başlık altında yürütülür
- İçeriğin yayından kaldırılmasına ilişkin talep kendi merciine yöneltilir
- Uğranılan zarar için açılacak tazminat davası genel hükümlere tabidir
- Suç oluşturan fiiller bakımından ayrıca ceza şikayeti gündeme gelir
Dosya Düzeni
Aydınlatma metinleri, açık rıza kayıtları, veri işleme envanteri ve saklama süreleri politikası güncel haliyle bir arada tutulmalıdır. İhlal anına ait sistem kayıtları, alınan teknik ve idari tedbirleri gösteren belgelerle birlikte sunulduğunda savunma somutlaşır. Soyut biçimde tedbir alındığının söylenmesi tek başına yeterli görülmez.
Bu metin veri koruma süreçlerinin genel işleyişini anlatır ve hukuki görüş yerine geçmez. Elinizdeki karar veya bildirim yazısı süre ve merci bakımından belirleyici olduğundan, tebliğ tarihinden itibaren gecikmeden değerlendirilmesini sağlamanız önemlidir.