Kişisel verilerin hukuka aykırı biçimde üçüncü kişilerin eline geçmesi hâlinde ilgili kişinin önünde birden çok yol bulunur; ancak bu yolların sırası yanlış kurulduğunda başvuru esasa girilmeden reddedilebilir. KVKK ve 6698 sayılı Kanun ilgili kişinin haklarını ve şikâyet usulünü, 5651 sayılı Kanun ise içeriğin yayından çıkarılmasına ilişkin ayrı bir mekanizmayı düzenler. Bu rehber, ihlal sonrası sürecin sıralamasını ele alır.
Önce Veri Sorumlusuna Başvuru
Kural açıktır: veri sorumlusuna başvuru yolu tüketilmeden doğrudan Kurula şikâyette bulunulamaz. Başvuru yazılı olarak veya Kurulun belirlediği yöntemlerle yapılır ve kimliği tespit edici bilgileri içermelidir. Başvuruda talebin ne olduğu somut yazılmalıdır: verinin silinmesi mi, yok edilmesi mi, aktarıldığı üçüncü kişilere bildirim mi, yoksa işlemenin sınırlandırılması mı istenmektedir. Genel ifadelerle yapılan başvurular, cevabın da genel kalmasına yol açar ve sonraki aşamayı zayıflatır.
Şikâyet Aşamasına Geçiş
Veri sorumlusu başvuruyu kanunda öngörülen süre içinde sonuçlandırmazsa veya verilen cevap yetersizse, ilgili kişi Kurula şikâyet yoluna gidebilir. Burada iki takvim birlikte işler: cevabın öğrenildiği tarihten itibaren işleyen süre ile başvuru tarihinden itibaren işleyen azami süre. Cevap hiç verilmediğinde ikinci takvimin esas alınacağı unutulmamalıdır. Şikâyet dilekçesine başvuru yazısı, gönderim kaydı ve varsa cevap metni eksiksiz eklenmelidir.
İhlalin Kapsamını Belgelemek
- Sızan veri kategorileri ayrı ayrı listelenir; özel nitelikli veri varsa ayrıca vurgulanır.
- İhlalin öğrenildiği tarih ve öğrenme kanalı kaydedilir.
- Veri sorumlusunun yaptığı duyuru veya bildirim metni saklanır.
- Verinin kullanıldığı ikincil olaylar varsa bunlar zaman sırasıyla eşleştirilir.
- Zarar iddiası ileri sürülecekse bunun somut karşılığı belgelendirilir.
İdari Yol ile Tazminat Yolu Arasında
Kurul incelemesi, veri sorumlusu bakımından idari yaptırım ve düzeltici işlem sonucu doğurabilir; ancak ilgili kişinin uğradığı zararın karşılanması ayrı bir hukuk davasının konusudur. Bu iki hat birbirinin alternatifi değildir, birlikte de yürütülebilir. Veri sorumlusu görüşme talep ettiğinde ise anlaşma metninin kapsamı dikkatle okunmalıdır: verinin imhasını ve aktarım bildirimini içermeyen, yalnızca ödeme öngören bir metin, ihlalin sürmesini engellemez.
Bilgilendirme
Yukarıdaki çerçeve genel niteliktedir; ihlalin türü, veri sorumlusunun statüsü ve süreler somut olayda farklı sonuç doğurabilir. Başvuru dilekçenizi göndermeden önce içeriğini bir hukukçuyla gözden geçirmeniz yararlı olur.