Bir veri ihlali duyurusunun ardından ilgili kişinin karşısına iki ayrı süreç çıkar. Birincisi veri sorumlusunun kendi yükümlülüğü olan ihlal bildirimidir; ikincisi ise ilgili kişinin kendi verisinin silinmesini, yok edilmesini veya anonim hale getirilmesini talep etme hakkıdır. Bu ikisi karıştırıldığında, ihlalin duyurulmuş olmasının kişisel talebi kendiliğinden karşıladığı gibi yanlış bir varsayım doğar; oysa 6698 sayılı KVKK sisteminde silme talebi ayrıca ve usulüne uygun biçimde ileri sürülmelidir.
İhlal Bildirimi ile Kişisel Talep Arasındaki Fark
Veri ihlali gerçekleştiğinde bunu en kısa sürede Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere bildirme yükümlülüğü veri sorumlusuna aittir. Bu bildirim, kurumsal bir yükümlülüğün yerine getirilmesidir ve kişinin verisinin akıbetini belirlemez. İlgili kişi, ihlalden etkilenip etkilenmediğini, hangi veri kategorilerinin sızdığını ve verisinin hâlâ işlenip işlenmediğini ayrıca öğrenmek isterse, bunu kendi başvurusuyla talep etmek zorundadır.
Silme, Yok Etme ve Anonim Hale Getirme Ayrımı
Üç kavram aynı sonucu doğurmaz ve talebin hangisine yöneldiği dilekçede açıkça belirtilmelidir:
- Silme: verinin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi.
- Yok etme: verinin hiç kimse tarafından hiçbir şekilde erişilemez ve geri getirilemez hale getirilmesi.
- Anonim hale getirme: verinin başka verilerle eşleştirilse dahi kimliği belirli bir kişiyle ilişkilendirilemeyecek duruma getirilmesi.
Veri sorumlusunun saklama ve imha politikasında öngörülen süreler ile mevzuattan doğan saklama yükümlülükleri, bu taleplerin karşılanma biçimini doğrudan etkiler. Hukuki bir saklama yükümlülüğü varsa veri silinemeyebilir; bu durumda erişimin sınırlandırılması gündeme gelir.
Başvuru Zincirini Doğru Kurmak
Talep önce veri sorumlusuna yöneltilir. Başvuruda kimlik bilgileri, talebin konusu ve varsa ihlal duyurusuna atıf yer almalıdır. Veri sorumlusu kanunda öngörülen süre içinde cevap vermez, verdiği cevap yetersiz kalır ya da talep reddedilirse, ilgili kişi Kurul'a şikâyet yoluna gidebilir. Kurul'a şikâyet, veri sorumlusuna başvuru şartı tamamlanmadan yapılamaz; bu sıra atlandığında şikâyet esasa girilmeden değerlendirilir ve şikâyet için öngörülen süre bu arada işlemeye devam eder.
Tazminat ve Ceza Boyutu Farklı Kapılardadır
Kurul'a yapılan şikâyet idari nitelikte bir denetim başlatır; kişiye doğrudan tazminat sağlamaz. Uğranılan zararın giderilmesi talebi genel hükümler çerçevesinde hukuk mahkemesinde ileri sürülür. Verilerin hukuka aykırı olarak ele geçirilmesi ya da yayılması suç oluşturabilecek nitelikteyse, bu boyut Cumhuriyet başsavcılığına yapılacak şikâyetin konusudur. Aynı olayın idari, hukuki ve cezai ayakları eş zamanlı fakat ayrı ayrı yürütülür.
Başvuruyu Takip Edilebilir Kılmak
Başvurunun gönderim kanalı ve tarihi, veri sorumlusunun cevap yazısı, ihlal duyurusunun yayımlandığı tarih ve varsa kurumdan alınan referans numarası tek dosyada saklanmalıdır. Ret cevabı geldiğinde itiraz metni, ret gerekçesinde belirtilen saklama sebebinin somut olayda geçerli olmadığını göstermeye odaklanmalıdır.
Yukarıdaki açıklamalar genel bilgilendirme niteliğindedir. Verinin türü, işlenme amacı ve mevzuattan doğan saklama yükümlülükleri sonucu değiştirebileceğinden, başvuru metnini göndermeden önce dosyanın kendi koşullarına göre değerlendirilmesi yerinde olur.