Bir veri ihlali yaşandığında iki ayrı taraf aynı anda harekete geçer: verisi ihlale konu olan ilgili kişi ve yaptırımla karşılaşma riski taşıyan veri sorumlusu. 6698 sayılı KVKK ile 5651 sayılı Kanun'un ilgili hükümleri ekseninde işleyen bu süreçte her iki taraf için de belirleyici olan soru aynıdır: hangi talep hangi mercie, hangi sırayla iletilecek?
İlgili Kişi Açısından Zorunlu Sıra
Kurula şikâyet, doğrudan başvurulabilecek bir ilk adım değildir. Kural olarak önce veri sorumlusuna başvurulması, ardından cevabın alınmaması veya yetersiz bulunması hâlinde Kurula şikâyet yoluna gidilmesi gerekir. Bu sıra atlanarak yapılan şikâyetler, esas incelenmeden veri sorumlusuna yönlendirilir ve süreç baştan başlar. Başvurunun tarihini kanıtlayan belge, sonraki tüm aşamaların dayanağıdır.
Veri Sorumlusu Açısından İhlal Sonrası Takvim
- İhlalin tespit edildiği an, iç kayıtta tarih ve saatiyle belgelenir.
- İhlalin kapsamı belirlenir: etkilenen kişi sayısı, veri kategorileri ve özel nitelikli veri bulunup bulunmadığı.
- Bildirim yükümlülüğünün kapsamı değerlendirilir; hem Kurula hem ilgili kişilere yönelik bildirimlerin içeriği farklıdır.
- Alınan teknik ve idari tedbirler, ihlal öncesi ve sonrası olarak ayrı ayrı belgelenir.
Yaptırım Kararına Karşı Kanun Yolu
İdari para cezasına karşı başvurulacak yargı yolu, uygulamada en çok hata yapılan noktadır. Mevzuatta bu konuda yapılan değişiklikler nedeniyle, cezanın verildiği tarihte yürürlükte olan hüküm ile kararın tebliğ evrakında gösterilen kanun yolu bilgisi birlikte okunmalıdır. Kararda gösterilen merci ve süre esas alınmadan yapılan başvuru, süresi içinde yapılmış sayılmayabilir. Bu nedenle karar eline ulaşır ulaşmaz yapılacak ilk iş, kanun yolu bölümünü ayrı bir not hâline getirmektir.
Savunma Dosyasını Güçlendiren Unsurlar
- Veri envanteri ve işleme faaliyetlerinin belgelenmiş hâli.
- Aydınlatma metinleri ile alınan açık rızaların tarihli kayıtları.
- Yetkilendirme ve erişim loglarının, ihlal dönemine ilişkin kısmı.
- İhlal sonrası alınan düzeltici tedbirlerin uygulanma tarihleri.
- Varsa üçüncü taraf hizmet sağlayıcılarla yapılan sözleşmelerdeki veri güvenliği hükümleri.
Ceza Boyutunun Ayrı Değerlendirilmesi
Kişisel verilerin hukuka aykırı biçimde ele geçirilmesi veya yayılması, idari yaptırımdan bağımsız olarak ceza soruşturmasına da konu olabilir. İdari sürecin devam ediyor olması, ceza yoluna başvurulmasını engellemez; iki süreç farklı mercilerde ve farklı ölçütlerle yürür.
Bu rehber genel bilgilendirme amacıyla hazırlanmıştır. İhlalin kapsamı, verilerin niteliği ve veri sorumlusunun yapısı sonucu etkileyebileceğinden, başvuru veya itiraz metnini hazırlamadan önce belgelerinizle birlikte hukuki değerlendirme almanız önerilir.