Bir veri ihlali duyurusu geldiğinde ilgili kişinin elinde genellikle tek bir cümle bulunur: "verileriniz etkilenmiş olabilir." Oysa 6698 sayılı KVKK kapsamında yürütülecek bir şikâyet süreci, bu belirsizliğin somut olgulara dönüştürülmesini gerektirir. Bu rehber, ihlal sonrasında ispat dosyasının nasıl kurulacağına odaklanır.
İhlalin öğrenilmesi ve bildirim yükümlülüğü
Veri sorumlusu, işlenen kişisel verilerin hukuka aykırı olarak başkalarınca elde edilmesi hâlinde durumu ilgili kişiye ve Kurula bildirmekle yükümlüdür. Bildirimin içeriği, ihlalin kapsamını, hangi veri kategorilerinin etkilendiğini ve alınan tedbirleri göstermelidir. Size ulaşan bildirimin tarihi, gönderim kanalı ve tam metni dosyanın ilk belgesidir.
İlgili kişi olarak neyi göstermelisiniz?
- İlgili veri sorumlusuyla aranızdaki ilişkiyi kanıtlayan kayıt: üyelik, sözleşme, fatura veya yazışma.
- Hangi verilerinizin bu ilişki kapsamında paylaşıldığı.
- İhlal sonrası ortaya çıkan somut belirtiler: tanımadığınız girişimler, adınıza açılan hesaplar, artan dolandırıcılık girişimleri.
- Veri sorumlusuna yönelttiğiniz bilgi talebi ve alınan cevap.
Şikâyetten önce başvuru şarttır
Kurula şikâyet, doğrudan gidilebilecek bir yol değildir. Önce veri sorumlusuna yazılı başvurulmalı, talep açıkça ifade edilmeli ve cevap beklenmelidir. Cevabın yetersiz kalması veya hiç verilmemesi hâlinde Kurula şikâyet yolu açılır ve bu yol, cevabın öğrenilmesine ve her hâlde başvuru tarihine bağlı bir süreye tabidir. Başvurunun ulaştığını gösteren belge bulunmadığında, şikâyetin süresinde olduğunu ispat etmek güçleşir.
Şikâyet dilekçesinin iskeleti
- Taraflar ve aradaki veri işleme ilişkisinin özeti.
- İhlal olayının tarihe bağlı kronolojisi.
- İhlal edilen yükümlülüklerin ayrı başlıklar hâlinde gösterilmesi.
- Ekli belgelerin numaralandırılmış listesi ve her belgenin hangi iddiayı desteklediği.
Tazminat ve yayına dönüşen ihlaller
Kurul nezdindeki şikâyet süreci, uğranılan zararın giderilmesi talebini kendiliğinden karşılamaz; maddi ve manevi zarar iddiası genel hükümler çerçevesinde ayrıca ileri sürülür. Sızan verilerin internette yayımlanması hâlinde ise 5651 sayılı Kanun kapsamındaki içerik ve erişime ilişkin yollar paralel olarak değerlendirilebilir.
Veri ihlali dosyalarında güç, iddianın sertliğinden değil belgenin düzeninden gelir. Yukarıdaki çerçeve genel bilgilendirme amaçlıdır; etkilenen veri kategorisine ve veri sorumlusunun konumuna göre izlenecek yol değişir. Etkilendiğinizi düşündüğünüz anda kayıtları toplamaya başlamanız, sonraki her aşamayı kolaylaştırır.