Kişisel verilerinin hukuka aykırı işlendiğini düşünen kişilerin en sık yaptığı hata, doğrudan Kişisel Verileri Koruma Kurulu'na başvurmaktır. 6698 sayılı Kanun iki aşamalı bir yapı kurar ve bu sıraya uyulmaması, şikâyetin esasa girilmeden işlemden kaldırılmasına yol açar.
Önce Veri Sorumlusuna Başvuru Zorunludur
İlgili kişi, talebini önce veri sorumlusuna yazılı olarak ya da Kurulun belirlediği yöntemlerle iletmek zorundadır. Başvuruda kimliği doğrulanabilir biçimde ortaya koymak, talebi açıkça belirtmek ve iletişim bilgisini eksiksiz vermek gerekir. Veri sorumlusu talebi en geç otuz gün içinde sonuçlandırır. Bu ilk başvuru yapılmadan Kurula gidilmesi, şikâyetin usulden reddi sonucunu doğurur.
Kurula Şikâyette İki Ayrı Sürenin Birlikte İşlemesi
Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması ya da hiç cevap verilmemesi hâlinde ilgili kişi Kurula şikâyette bulunabilir. Burada iki süre birlikte işler: cevabı öğrenme tarihinden itibaren otuz gün ve her hâlde veri sorumlusuna başvuru tarihinden itibaren altmış gün. İkinci sürenin dolması, birinci süre henüz işliyor olsa bile şikâyet hakkını sona erdirir. Bu nedenle veri sorumlusundan cevap beklerken takvimin durduğu düşünülmemelidir.
Veri İhlali Bildirimi Ayrı Bir Yükümlülüktür
Bir sızıntı gerçekleştiğinde veri sorumlusunun Kurula ve ilgili kişilere bildirimde bulunma yükümlülüğü, ilgili kişinin şikâyet hakkından bağımsızdır. Şirket tarafında yürütülen çalışmada olayın tespiti, kapsam analizi, etkilenen veri kategorileri ve alınan teknik-idari tedbirlerin kayda geçirilmesi gerekir. Bildirim metninin eksik hazırlanması, idari yaptırım değerlendirmesinde ayrı bir başlık hâline gelebilir.
Kurul Kararına Karşı Hangi Mahkeme?
Kurulun verdiği kararlar idari nitelikte olduğundan, bunlara karşı idare mahkemesinde iptal davası açılır ve İYUK'taki dava açma süresi işler. Buna karşılık ihlalden doğan maddi ve manevi zararın tazmini için genel hükümler uyarınca adli yargıda dava açılır. İki yol birbirini beklemez; Kurul kararını beklemek tazminat davasında zamanaşımını durdurmaz.
Şikâyet Dosyasını Güçlendiren Belgeler
- Veri sorumlusuna yapılan başvurunun tarihli ve teyitli sureti
- Verilen cevap ya da cevapsızlığı gösteren kayıt
- Verinin nerede ve nasıl görüldüğüne dair ekran kayıtları
- Aydınlatma metni ve alınmışsa açık rıza kaydının hangi tarihte alındığı
- Zarar doğduysa buna ilişkin mali belgeler
Kısaca
Yukarıdaki akış tipik bir başvuru sürecini anlatır. İşlenen verinin niteliği ve veri sorumlusunun statüsü sonucu etkileyebilir; süreler kısa olduğundan başvuru öncesinde hukuki değerlendirme yaptırmanız yerinde olur.