Kişisel verilerin hukuka aykırı olarak işlendiğini veya sızdırıldığını öğrenen ilgili kişinin izleyeceği yol, 6698 sayılı KVKK'da kademeli olarak kurgulanmıştır. Kurula doğrudan gitmek kural değildir; önce veri sorumlusuna başvurulması gerekir. Bu rehber, başvuru ve şikâyet arasındaki süre eşiklerini ve bildirimlerin gecikmesi halinde doğan riski ele alır.
Önce Veri Sorumlusuna Başvuru
İlgili kişi, taleplerini yazılı olarak veya Kurulun belirlediği diğer yöntemlerle veri sorumlusuna iletir. Veri sorumlusu, talebi en geç otuz gün içinde sonuçlandırmakla yükümlüdür. Başvurunun içeriği, sonraki aşamanın kapsamını belirler: dilekçede yalnızca genel bir şikâyet dile getirilmişse, Kurul aşamasında yeni taleplerin ileri sürülmesi tartışmalı hale gelir. Bu nedenle başvuruda hangi verinin, hangi işlemeye konu olduğu ve talebin niteliği açıkça yazılmalıdır.
Kurula Şikâyette İki Ayrı Eşik
Kanun, şikâyet için iki eşiği birlikte arar: veri sorumlusunun cevabının öğrenildiği tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün. Cevap hiç verilmediğinde ikinci eşik belirleyici olur; bu durumda otuz günlük cevap süresinin dolmasını beklemek gerekir, ancak altmış günlük dış sınır unutulmamalıdır. Uygulamada en sık yapılan hata, cevabın gelmesini beklerken altmış günün geçirilmesidir.
Bildirimin Ulaşmadığı Hâller
- Veri sorumlusunun cevabını, artık kullanılmayan bir e-posta adresine göndermesi
- Başvuruda iletişim bilgisinin eksik veya hatalı yazılması
- Cevabın posta yoluyla gönderilip adreste tebliğ edilememesi
- Kurumsal başvuru formlarında talebin kayda alındığına dair belge verilmemesi
Bu risklere karşı başvurunun gönderim kaydı, referans numarası ve varsa otomatik teyit mesajı saklanmalıdır. Şikâyet dilekçesinde cevabın öğrenilme tarihi ayrıca gerekçelendirilir.
İhlal Bildirimi ve Veri Sorumlusunun Yükümlülüğü
Veri sorumlusu, işlenen kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi hâlinde bunu ilgili kişiye ve Kurula bildirmekle yükümlüdür. Bildirimin gecikmesi, ilgili kişinin zararını büyütmenin yanında idari yaptırım riskini de doğurur. İhlalden etkilenenler açısından bildirim tarihi, öğrenme tarihinin ispatı bakımından değer taşır. Sızan verilerin internette yayımlandığı hallerde 5651 kapsamındaki kaldırma ve erişim engelleme yollarının paralel işletilmesi gerekir.
Şikâyetle Yetinmemek: Tazminat ve Ceza Boyutu
Kurula şikâyet, ilgili kişinin uğradığı zararın tazminini talep hakkını ortadan kaldırmaz. Manevi ve maddi zarar iddiası ayrı bir dava konusudur ve kendi zamanaşımına tabidir. Ayrıca verilerin hukuka aykırı olarak ele geçirilmesi eylemi, ceza hükümleri kapsamında ayrıca değerlendirilebilir. Bu üç yolun takvimi baştan birlikte kurulmalıdır.
Yukarıdaki bilgiler genel niteliktedir. İhlalin kapsamı, veri kategorisi ve veri sorumlusunun konumu süreci değiştirebileceğinden, başvuru metninin hazırlanmasında hukuki görüş alınması önerilir.