Bir veri ihlali bildirimi alındığında ilgili kişinin gündemine iki soru gelir: verilerim nerede kaldı ve nasıl sildirebilirim? 6698 sayılı Kişisel Verilerin Korunması Kanunu, silme ve yok etme talebi için önce veri sorumlusuna başvurmayı, sonra Kurula şikâyeti öngören kademeli bir yapı kurar. 5651 sayılı Kanun ise verinin internette yayılmış olması hâlinde ayrı bir hat açar. Bu rehber, bu kademelerin takvimini konu alır.
Kademe Atlanamaz: Önce Veri Sorumlusu
Doğrudan Kurula yapılan şikâyet, veri sorumlusuna başvurulmadığı gerekçesiyle sonuçsuz kalabilir. Bu nedenle ilk adım, veri sorumlusuna yazılı ya da kayıtlı elektronik yolla yapılan ve kimlik bilgilerini içeren bir başvurudur. Başvuru metninde talep açıkça yazılmalıdır: verilerin silinmesi mi, yok edilmesi mi, anonim hâle getirilmesi mi isteniyor; ayrıca aktarım yapılan üçüncü kişilere de bildirim yapılması talep edilmelidir.
Başvuru Metninde Bulunması Gerekenler
- İlgili kişinin kimliğini doğrulayan bilgiler ve tebligata esas adres
- Hangi veri kategorisinin, hangi işleme faaliyetine ilişkin olduğu
- İhlal bildiriminin alındığı tarih ve bildirim metninin ekte sunulması
- Verinin işlenmesini gerektiren sebeplerin ortadan kalktığına ilişkin açıklama
- Cevabın hangi kanaldan beklendiği
İki Ayrı Saat: Cevap Süresi ve Şikâyet Süresi
Veri sorumlusunun cevap vermesi için kanunda öngörülen bir süre vardır; bu süre dolduğunda ya da cevap yetersiz bulunduğunda Kurula şikâyet yolu açılır. Şikâyet için de kendi içinde işleyen bir süre bulunduğundan, veri sorumlusunun cevabının tebliğ tarihi mutlaka kayıt altına alınmalıdır. Cevap hiç verilmemişse, başvurunun ulaştığı tarihi kanıtlayan teslim belgesi dosyanın en kritik parçası hâline gelir.
Silme Talebi Her Zaman Kabul Edilir mi?
Veri sorumlusunun saklama yükümlülüğü bulunan hâllerde silme talebi tümüyle karşılanamayabilir. Örneğin mali mevzuat ya da başka bir kanun belirli kayıtların belirli bir süre saklanmasını zorunlu kılıyorsa, talep kısmen reddedilir. Bu durumda doğru strateji, silme yerine erişimin sınırlandırılması, işleme amacının daraltılması ve üçüncü kişilere aktarımın durdurulması yönünde talep kurmaktır.
Kurul Süreci ile Tazminat Davası Arasındaki Tercih
İdari süreç ihlalin tespitini sağlar, ancak kişisel zararın karşılanması ayrı bir yargılamayı gerektirir. Karar verirken zararın somut olarak gösterilebilirliği, verinin ne ölçüde yayıldığı ve veri sorumlusunun ihlal sonrası aldığı önlemler değerlendirilmelidir. Kurul sürecinde elde edilen tespitler, sonraki tazminat talebinin delil temelini güçlendirebilir.
Bilgilendirme Notu
Bu rehber genel çerçeve sunar; işlenen verinin niteliği ve veri sorumlusunun statüsü sonucu değiştirir. İhlal bildirimini aldığınızda başvuru metnini bir hukukçuyla birlikte hazırlamanız süreci hızlandırır.