Kişisel verilerin hukuka aykırı işlendiğini fark eden ilgili kişilerin önemli bir kısmı doğrudan Kişisel Verileri Koruma Kuruluna başvurur ve bu başvurular usul yönünden değerlendirilmez. 6698 sayılı KVKK, şikâyetten önce zorunlu bir basamak öngörür. Bu rehber, veri ihlali hâlinde doğru sırayı ve doğru mercii ele alır.
Şikâyetten Önce Veri Sorumlusuna Başvuru
İlgili kişi, taleplerini önce veri sorumlusuna iletmek zorundadır. Başvuru yazılı olarak ya da Kurulun belirlediği diğer yöntemlerle yapılır ve şu unsurları içermelidir:
- Başvuranın kimlik ve iletişim bilgileri,
- Talebin konusu ve dayandığı olay,
- Varsa ihlali gösteren bilgi ve belgeler.
Veri sorumlusunun kim olduğu her zaman açık değildir; hizmet sağlayıcı ile veri sorumlusu farklı tüzel kişiler olabilir. Aydınlatma metinleri ve sicil kayıtları bu tespitte yol gösterir.
Süreler Nasıl İşler
Veri sorumlusu, başvuruyu talebin niteliğine göre en kısa sürede ve en geç kanunda öngörülen süre içinde sonuçlandırır. Başvuru reddedilir, verilen cevap yetersiz bulunur veya hiç cevap verilmezse ilgili kişi Kurula şikâyette bulunabilir. Şikâyet için hem cevabı öğrenme tarihinden itibaren işleyen bir süre hem de her hâlde başvuru tarihinden itibaren işleyen bir üst süre öngörülmüştür. Bu iki süre birlikte takip edilmelidir; yalnızca birine odaklanmak hak kaybı doğurabilir.
Kurul Kararına Karşı Hangi Mahkeme
Kurul bir idari otoritedir ve kararları idari işlem niteliğindedir. Bu nedenle Kurul kararlarına karşı iptal davası idari yargıda açılır; idare mahkemesi görevlidir ve İYUK'un süre ile yetki kuralları uygulanır. Kurul kararını adli yargıya taşımak, dosyanın yargı yolu bakımından reddine yol açar. İdari para cezalarına karşı kanun yolunun ayrıca kontrol edilmesi gerekir.
Tazminat Talebi Adli Yargının Alanındadır
KVKK, ilgili kişinin genel hükümlere göre tazminat isteme hakkını saklı tutar. Bu talep Kurul şikâyetinden bağımsızdır ve adli yargıda açılacak davanın konusudur. Kurul kararı tazminat davasında güçlü bir delil oluşturabilir; bu nedenle iki süreci sıralamak, tazminat davasının ispat yükünü hafifletebilir.
Veri İhlali Bildirimi Kimin Yükümlülüğü
Kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi hâlinde, bildirim yükümlülüğü veri sorumlusuna aittir. Veri sorumlusu, ihlali Kurula ve etkilenen ilgili kişilere Kurul düzenlemelerinde belirtilen kısa süre içinde bildirmekle yükümlüdür. İhlalin yayın veya barındırma boyutu varsa 5651 sayılı Kanun kapsamındaki içerik çıkarma ve erişim engelleme yolu ayrıca değerlendirilir; bu talep sulh ceza hâkimliğine yapılır ve KVKK sürecinden bağımsızdır.
Yukarıdaki açıklamalar genel niteliktedir; işlenen verinin türü, ihlalin kapsamı ve veri sorumlusunun cevabı izlenecek yolu değiştirir. Süreler kısa ve birbirine bağlı işlediğinden, başvuru metnini göndermeden önce hukuki görüş almak faydalı olacaktır.