Kişisel verilerin hukuka aykırı biçimde ele geçirilmesi veya ifşa edilmesi hâlinde ilgili kişinin elindeki en etkili araçlardan biri Kişisel Verileri Koruma Kuruluna şikayettir. Ancak bu yol doğrudan açılan bir kapı değildir; kanun önce veri sorumlusuna başvuru aşamasını öngörür. Bu rehber, veri ihlali sonrasında şikayet zincirinin nasıl belgelendirileceğini ele alır.
Şikayetten Önce Zorunlu Adım: Veri Sorumlusuna Başvuru
6698 sayılı Kanun, ilgili kişinin taleplerini önce veri sorumlusuna yazılı olarak veya Kurulun belirlediği yöntemlerle iletmesini ister. Veri sorumlusuna tanınan otuz günlük cevap süresi dolmadan yapılan şikayet, esasa girilmeden usulden değerlendirilebilir. Bu nedenle başvurunun tarihi ve iletim biçimi, dosyanın en kritik belgesidir; kayıtlı elektronik posta, noter ya da veri sorumlusunun ilan ettiği başvuru kanalının çıktısı saklanmalıdır.
Başvuru Metninde Bulunması Gereken Unsurlar
- İlgili kişinin kimlik ve iletişim bilgileri ile veri sorumlusuyla ilişkinin niteliği
- İhlalin nasıl öğrenildiği ve hangi tarihte fark edildiği
- Hangi kategorideki verilerin etkilendiği: iletişim, finans, sağlık, konum gibi
- Talebin açıkça yazılması: bilgi verilmesi, silme, yok etme, üçüncü kişilere bildirim
- Varsa zarara ilişkin belgeler ve ihlalin doğurduğu somut sonuçlar
Kurula Şikayet Aşaması ve Süre Yönetimi
Veri sorumlusunun cevabı yetersizse ya da süresinde yanıt verilmemişse Kurula şikayet yolu açılır. Kanun, cevabın öğrenildiği tarihten itibaren işleyen bir süre ve her hâlde başvuru tarihinden itibaren işleyen daha uzun bir üst süre öngörür. Uygulamada en sık yapılan hata, veri sorumlusuyla yazışmayı uzatarak bu üst sürenin kaçırılmasıdır. Yazışmanın her turu tarihiyle birlikte tabloya işlenmeli, süre hesabı ilk başvuru tarihinden yürütülmelidir.
İhlal Bildirimi ile Şikayeti Karıştırmamak
Veri ihlali gerçekleştiğinde bildirim yükümlülüğü veri sorumlusuna aittir ve bu bildirim Kurula ve ilgili kişilere yönelir. İlgili kişinin şikayeti ise ayrı bir süreçtir. Veri sorumlusunun ihlali kamuoyuna duyurmuş olması, ilgili kişinin kendi başvurusunu yapmasını gereksiz kılmaz. İki süreç birbirinden bağımsız yürür ve delil bakımından da farklı belgelere dayanır.
Şikayet Dosyasını Güçlendiren Kayıtlar
- İhlalin duyurulduğu resmî açıklama veya basın metninin tarihli çıktısı
- Verinin nerede yayıldığına ilişkin ekran görüntüleri ve erişim tarihleri
- İhlal sonrası gelen olağandışı arama, mesaj ve işlem kayıtları
- Veri sorumlusuyla yapılan tüm yazışmaların kesintisiz kronolojisi
Ayrıca Değerlendirilecek Yollar
Kurula şikayet, idari yaptırım sürecini başlatır; ancak kişisel zararın tazmini için genel hükümlere göre ayrıca dava açılabilir. İçeriğin internette yayılması söz konusuysa erişimin engellenmesi talebi, verinin suç teşkil eden biçimde ele geçirilmesi hâlinde ise ceza şikayeti gündeme gelir. Bu üç yol birbirinin alternatifi değil, tamamlayıcısıdır.
Burada anlatılanlar genel bir yol haritasıdır. Veri kategorisi ve veri sorumlusunun yapısı süreci değiştirebileceğinden, başvuru öncesinde uzman görüşü almanızda yarar bulunur.