Bir veri ihlalinden etkilendiğini düşünen kişinin doğrudan Kişisel Verileri Koruma Kurulu'na başvurması, çoğu zaman sonuçsuz kalır. 6698 sayılı Kanun, önce veri sorumlusuna başvurulmasını, ancak bundan sonra Kurul'a şikâyet yoluna gidilebilmesini öngören kademeli bir yapı kurmuştur. Bu rehber, o kademelerin süre ve içerik yönünden nasıl kurulacağını anlatır.
Önce Veri Sorumlusuna Başvuru
İlk adım, verinin işlendiği kurum ya da şirkete yazılı başvuru yapmaktır. Başvuruda talep açık olmalıdır: verilerin işlenip işlenmediğinin öğrenilmesi, aktarıldığı üçüncü kişilerin bildirilmesi, düzeltme, silme veya işlemenin sınırlandırılması taleplerinden hangisinin ileri sürüldüğü belirtilmelidir. Genel ifadelerle yapılan başvurular, hem cevabı zorlaştırır hem de sonraki aşamada talebin kapsamını tartışmalı hâle getirir.
Başvuruyu Kanıtlanabilir Kılmak
- Başvurunun tarihini ve muhatabını gösteren bir yolla iletilmesi.
- Kimlik doğrulamasına ilişkin istenen bilgilerin eksiksiz sunulması.
- İhlale ilişkin somut emarelerin eklenmesi: gelen bildirim mesajı, basına yansıyan duyuru, hesapta görülen anormal işlem.
- Cevap için tanınan sürenin takvime işlenmesi ve cevabın da aynı klasörde saklanması.
Şikâyet Penceresi Nasıl Hesaplanır
Veri sorumlusunun cevabı yetersiz bulunursa ya da kanunda öngörülen süre içinde hiç cevap verilmezse Kurul'a şikâyet yolu açılır. Bu aşamada iki ayrı süre birlikte işler: cevabın öğrenilmesinden itibaren işleyen süre ile başvuru tarihinden itibaren işleyen üst sınır. İki sürenin hangisinin önce dolduğunu görmek için, başvuru ve cevap tarihleri tek bir tabloda tutulmalıdır. Sürenin kaçırılması şikâyetin incelenmemesi sonucunu doğurabilir.
İhlal Bildirimi Hiç Yapılmadıysa
Veri sorumlusunun ihlali ilgili kişilere ve Kurul'a bildirme yükümlülüğü bulunur. Bildirim yapılmamışsa, bu durum başvurunun ayrı bir başlığı olarak ileri sürülmelidir. Ayrıca ihlalin bir internet ortamı üzerinden yayılması söz konusuysa, 5651 sayılı Kanun kapsamındaki içerik kaldırma yolu paralel olarak değerlendirilmelidir; idari süreç beklenirken zarar büyüyebilir.
Tazminat Talebi Ayrı Bir Yoldur
Kurul'a yapılan şikâyet idari bir denetim başlatır; kişisel zararın giderilmesi ise genel hükümlere göre açılacak ayrı bir davanın konusudur. Bu iki yolun birbirinin yerine geçmediği, zamanaşımı bakımından da bağımsız işlediği gözden kaçırılmamalıdır. Zararın ispatı için ihlalin somut sonucunu gösteren kayıtlar baştan toplanmalıdır.
Yukarıdaki bilgiler genel çerçeve sunar; işlenen verinin türü, veri sorumlusunun statüsü ve ihlalin kapsamı sürecin seyrini etkiler. Kademeli süre yapısı nedeniyle, başvuru yazısını göndermeden önce bir hukukçudan görüş alınması yerinde olacaktır.