Bir veri ihlali öğrenildiğinde ilgili kişinin ilk refleksi çoğunlukla verilerim hemen silinsin talebidir. Oysa 6698 sayılı KVKK sisteminde silme, yok etme ve anonim hale getirme birbirinden farklı sonuçlar doğurur; talebin hangi kapıya iletildiği ise sonucun ne kadar sürede alınacağını doğrudan etkiler. Aşağıdaki kontrol listesi, ihlal sonrası imha talebini merci hatası yapmadan yürütmeye odaklanır.
İhlalin İlk Saatlerinde Sabitlenmesi Gereken Kayıtlar
İmha talebinin gücü, ihlalin kapsamının ne kadar net gösterilebildiğine bağlıdır. Bu nedenle ilk aşamada ekran görüntüleri, bildirim e-postaları, sızan veri kümesine ilişkin duyurular ve kendi hesabınıza gelen şüpheli erişim uyarıları tarih damgasıyla arşivlenmelidir. Hangi veri kategorisinin (kimlik, iletişim, finans, sağlık) etkilendiği belirlenmeden yapılan genel bir talep, veri sorumlusunun soyut cevap vermesine zemin hazırlar.
Silme, Yok Etme ve Anonim Hale Getirme Aynı Şey Değildir
Silme, verinin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesini; yok etme, veriyi barındıran ortamın kullanılamaz duruma sokulmasını; anonim hale getirme ise verinin kimliği belirli bir kişiyle ilişkilendirilemeyecek biçime dönüştürülmesini ifade eder. Talep dilekçesinde bunlardan hangisinin istendiği açıkça yazılmazsa, veri sorumlusu en kolay olanı seçer ve yedek ortamlardaki kopyalar tartışma dışında kalır.
Merci Haritası: Yanlış Kapı En Sık Buradan Açılıyor
- Veri sorumlusu: Kural olarak ilk durak burasıdır; doğrudan Kurula yapılan şikâyet, ön başvuru tamamlanmadığı için değerlendirilmeyebilir.
- Kişisel Verileri Koruma Kurulu: Başvuruya cevap verilmemesi veya cevabın yetersiz bulunması halinde şikâyet yolu açılır.
- Sulh ceza hâkimliği: İnternet ortamındaki içerik 5651 sayılı Kanun kapsamında değerlendiriliyorsa erişimin engellenmesi veya içeriğin çıkarılması talebi buraya yöneltilir.
- Genel mahkemeler: Maddi ve manevi tazminat istemleri idari başvuru yolundan ayrı yürür; Kurula yapılan şikâyet tazminat talebinin yerini tutmaz.
Başvuru Öncesi Kontrol Listesi
- Veri sorumlusunun kim olduğu, sicil kayıtları ve aydınlatma metni üzerinden doğrulandı mı?
- Talep, veri kategorisi ve işleme faaliyeti bazında ayrı ayrı numaralandırıldı mı?
- Silme mi yok etme mi istendiği, yedekler ve aktarılan üçüncü taraflar açısından ayrıca belirtildi mi?
- Başvurunun ulaştığı tarih, kayıtlı elektronik posta veya iadeli taahhütlü gönderi ile ispatlanabilir durumda mı?
- Cevap süresi için takvim kuruldu ve cevapsızlık ihtimaline karşı şikâyet metni önceden taslaklandı mı?
Talep Reddedilirse
Ret gerekçesi çoğunlukla verinin bir hukuki yükümlülük nedeniyle saklandığıdır. Bu durumda tartışma, verinin tamamı yerine saklama amacını aşan alanlara odaklanmalıdır: örneğin mali mevzuat gereği tutulan bir kayıtta pazarlama izinleri ve konum geçmişi aynı gerekçeyle korunamaz. Talebin bu şekilde daraltılması, hem cevabı somutlaştırır hem de sonraki aşamada denetimi kolaylaştırır.
Buradaki açıklamalar genel bilgilendirme niteliğindedir. İhlalin kapsamı, verinin türü ve veri sorumlusunun konumu değiştiğinde izlenecek yol da değişir; kendi dosyanız için bir hukukçuyla birlikte değerlendirme yapmanız yerinde olur.