Bir kişisel veri ihlali çoğu zaman gerçekleştiği anda değil; günler sonra, tanımadığınız bir numaradan gelen aramayla ya da şirketin gönderdiği kısa bir bilgilendirme mesajıyla fark edilir. 6698 sayılı KVKK kapsamında ilgili kişinin elindeki en etkili araçlardan biri Kişisel Verileri Koruma Kuruluna şikâyettir; ancak bu yol, birbirine bağlı ve kaçırıldığında yeniden canlanmayan sürelerle çevrilidir. Aşağıdaki rehber, ihlalin fark edilmesinden Kurul kararına kadar olan hattı süre riski merkezinde ele alıyor.
İhlalin Fotoğrafını Çekmek
Şikâyetin kaderini belirleyen ilk iş, teknik bir olayı hukuki iddiaya çevirmektir. Veri sorumlusunun gönderdiği bildirim mesajı, e-postanın başlık bilgileri, sızıntının yayımlandığı ortama ait ekran görüntüsü ve Kurumun internet sitesinde yayımlanan ihlal bildirimi duyurusu tek bir klasörde tarih sırasına dizilmelidir. Bu klasör aynı zamanda ihlali ne zaman öğrendiğinizi gösteren kayıt olur; süre tartışmasında en çok işe yarayan belge budur.
Zorunlu Ön Adım: Veri Sorumlusuna Başvuru
Doğrudan Kurula gidilmesi, dosyaların usulden takılmasının en sık sebebidir. Kanun, ilgili kişinin önce veri sorumlusuna başvurmasını arar. Başvuruda hangi verinin, hangi olayla, hangi talebe konu edildiği açıkça yazılmalıdır: verinin silinmesi mi, üçüncü kişilere bildirilmesi mi, işlemenin durdurulması mı istenmektedir? Veri sorumlusu talebi en geç otuz gün içinde sonuçlandırmakla yükümlüdür.
Şikâyette Süre Zinciri
- Verilen cevabın öğrenildiği tarihten itibaren otuz gün
- Her hâlde başvuru tarihinden itibaren altmış gün
- Hiç cevap verilmemesi hâlinde otuz günlük cevap süresinin dolmasıyla işlemeye başlayan süre
Bu iki süre birlikte işler; ikisinden biri dolduğunda şikâyet hakkı ortadan kalkar. Uygulamada en sık görülen hata, veri sorumlusuyla yazışmayı sürdürüp iyi niyetli bir çözüm beklerken altmış günün sessizce tükenmesidir. Bu nedenle başvuru gönderildiği gün, takvime iki ayrı hatırlatma işlenmelidir.
Şikâyet Dilekçesinde Somutlaşması Gerekenler
- İhlale konu veri kategorisi ve bunun özel nitelikli veri olup olmadığı
- Veri sorumlusunun kimliği ve varsa veri işleyenle ilişkisi
- Başvuru ve cevap tarihlerini gösteren belgeler
- Talep edilen sonucun ölçülebilir biçimde yazılması
Kurul Kararından Sonra Ne Olur
Kurulun verdiği karar, uğranılan zararın karşılanmasını kendiliğinden sağlamaz. İdari yaptırım uygulanması ayrı, uğranılan maddi ve manevi zararın genel hükümlere göre talep edilmesi ayrı bir hattır. Kararın aleyhe çıkması hâlinde idari yargı yolu gündeme gelir ve burada da yeni bir dava açma süresi işlemeye başlar; bu nedenle karar tebliğ edildiği gün dosya yeniden açılmalıdır.
Buradaki bilgiler genel nitelikte olup her ihlalin kapsamı, verinin niteliği ve tarafların sıfatı sonucu değiştirebilir. Kendi dosyanızdaki tarihleri ve belgeleri bir hukukçuyla birlikte gözden geçirmeniz yerinde olur.