Kişisel verilerinin hukuka aykırı işlendiğini öğrenen kişilerin sık yaptığı hata, doğrudan Kurula başvurmaktır. KVKK, veri ihlali hâlinde iki aşamalı bir yol öngörür: önce veri sorumlusuna başvuru, ardından koşulları oluşursa Kurula şikayet. Bu sıralama atlandığında şikayet başvurusu esasa girilmeden değerlendirilebilir. Aşağıdaki plan, 6698 sistematiğine göre takvimi kurar.
Birinci Aşama: Veri Sorumlusuna Yazılı Başvuru
Başvuru, talebin konusu açıkça yazılmış biçimde veri sorumlusuna iletilir. Kanun, veri sorumlusuna talebi en kısa sürede ve her hâlde otuz gün içinde sonuçlandırma yükümlülüğü getirir. Bu aşamada başvurunun hangi tarihte ulaştığının belgelenmesi kritik önemdedir; çünkü ikinci aşamanın süresi bu tarihe bağlı olarak işler.
Başvuru Dilekçesinde Bulunması Gerekenler
- Başvuranın kimlik ve iletişim bilgileri ile tebligata esas adres
- Hangi verinin, hangi tarihte ve hangi kanalla işlendiğinin belirtilmesi
- Talebin somut olarak yazılması: bilgi verilmesi, düzeltme, silme veya yok edilme
- Aktarım yapılan üçüncü kişilere bildirim talebi
- Varsa zararın doğduğunu gösteren belgeler
İkinci Aşama: Kurula Şikayet
Veri sorumlusu başvuruyu reddederse, verdiği cevabı yetersiz bulan ilgili kişi cevabı öğrendiği tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikayette bulunabilir. Hiç cevap verilmemesi hâlinde de aynı üst süre işlemeye devam eder. Bu iki sürenin birlikte hesaplanması gerekir; yalnızca birine bakmak hak kaybına yol açabilir.
Delil Eksikliğinin Şikayet Dosyasındaki Karşılığı
- Başvurunun gönderildiği ve ulaştığı tarihi gösteren kayıt saklanır.
- Veri sorumlusunun cevabı, tarih bilgisiyle birlikte dosyaya konur.
- Verinin nereden sızdığına dair belirti varsa yazışma ve bildirimler eklenir.
- İçerik internette yayılmışsa 5651 kapsamındaki kaldırma yolu ayrıca değerlendirilir.
- Maddi ve manevi zarar için genel mahkemede dava yolunun ayrı olduğu not edilir.
Veri Sorumlusu Tarafındaki Yükümlülük
İhlalin öğrenilmesi hâlinde veri sorumlusunun ilgili kişilere ve Kurula gecikmeksizin bildirimde bulunması, envanter ile teknik ve idari tedbirleri belgeleyebilmesi beklenir. Bu kayıtların bulunmaması, sonraki incelemede savunmayı doğrudan zayıflatır. Bu nedenle bildirim ve tedbir dosyasının olay öncesinde hazır tutulması gerekir.
Buradaki açıklamalar genel bilgi niteliğindedir. Verinin türü ve işleme amacı sonucu etkileyebileceğinden, süre işlemeye başlamışken hukuki değerlendirme alınması yerinde olacaktır.