Kişisel verilerin izinsiz ifşa edilmesi, sızdırılması ya da hukuka aykırı işlenmesi bir veri ihlalidir ve ilgili kişiye başvuru hakkı doğurur. Bu rehber, ihlal karşısında Kişisel Verileri Koruma Kurulu'na şikâyet yolunu ve öncesindeki zorunlu aşamayı ele alıyor.
Önce Veri Sorumlusuna Başvuru
6698 sayılı KVKK, Kurul'a şikâyetten önce genellikle veri sorumlusuna başvuru yapılmasını öngörür. İlgili kişi; verisinin işlenip işlenmediğini, kime aktarıldığını ve düzeltilmesini ya da silinmesini yazılı olarak isteyebilir. Bu başvurunun tarihli ve ispatlanabilir biçimde yapılması, sonraki aşamanın dayanağını oluşturur.
Kurula Şikâyet Ne Zaman
Veri sorumlusu başvuruyu reddederse, eksik yanıtlarsa ya da yasal süre içinde cevap vermezse Kurul'a şikâyet yolu açılır. Bu aşamada dikkat edilmesi gerekenler:
- Veri sorumlusunun cevabının (veya cevapsızlığının) belgelenmesi.
- Şikâyet için tanınan süreye uyulması.
- İhlalin niteliğinin ve etkisinin somut biçimde ortaya konması.
İhlalin Kapsamını Belgelemek
Şikâyetin gücü, ihlalin somut biçimde gösterilmesine bağlıdır. Hangi verinin, ne zaman ve nasıl açığa çıktığı; bildirim yapılıp yapılmadığı ve ihlalden kimlerin etkilendiği kayda geçirilmelidir. 5651 sayılı kanun, verinin internet üzerinde yayılması halinde erişim boyutuyla sürece dahil olabilir.
Tazminat ve Ceza Ayrımı
Kurul'a şikâyet, idari denetim ve yaptırım sürecidir; uğranan zararın tazmini ise ayrı bir hukuki yoldur. İhlal nedeniyle maddi veya manevi zarar doğmuşsa, idari başvurunun yanında tazminat imkânı da değerlendirilmelidir. Bu iki yolun birlikte planlanması, delil kullanımı açısından tutarlılık sağlar.
Değerlendirme
Veri ihlali başvurularında sonuç, önce doğru mercie başvurulmasına ve ihlalin belgelenmesine bağlıdır. Her ihlalin kapsamı ve etkisi farklı olduğundan, şikâyet öncesinde olaya özgü hukuki değerlendirme almak yerinde olur.