Bir veri ihlali bildiriminin ardından ilgili kişinin karşılaştığı ilk soru, verisinin nereye ulaştığıdır. Verinin yurt dışındaki bir sunucuya ya da grup şirketine aktarılmış olması, hem ihlalin sonuçlarını hem de başvurulacak yolu değiştirir. Aşağıda yurt dışı aktarımın belgeyle nasıl ortaya konacağı ve başvurunun doğru mercie yöneltilmesi ele alınmaktadır.
Aktarımın Varlığını Gösteren Kaynaklar
İlgili kişi çoğu zaman veri sorumlusunun iç kayıtlarına erişemez; bu nedenle kamuya açık ve talep edilebilir kaynaklardan yararlanılır.
- Veri sorumlusunun aydınlatma metni ve gizlilik politikasındaki aktarım başlığı
- Açık rıza alınırken sunulan metinlerin ekran görüntüleri
- Veri Sorumluları Sicilindeki kayıtlarda yer alan aktarım bilgisi
- Hizmet sağlayıcının bulut altyapısına ilişkin kamuya açık teknik açıklamaları
- Veri sorumlusuna yapılan başvuruya verilen cevap yazısı
Başvuru Cevabının Kendisi Bir Delildir
KVKK kapsamında ilgili kişi, verisinin aktarıldığı üçüncü kişiler hakkında bilgi talep edebilir. Bu talebe verilen cevabın içeriği kadar cevapsız bırakılması da sonuç doğurur. Bu nedenle başvuru mutlaka yazılı ve kayda geçen bir yöntemle yapılmalı, gönderim ile teslim kayıtları saklanmalıdır. Cevap yazısında aktarımın hangi hukuki sebebe dayandığı açıklanmamışsa, bu eksiklik sonraki aşamada ayrıca ileri sürülebilir.
İhlal Bildiriminin Değerlendirilmesi
Veri ihlali bildirimlerinde ihlalin başladığı tarih, fark edildiği tarih ve etkilenen veri kategorileri yer alır. Bu üç bilginin karşılaştırılması, ihlalin süresi ve kapsamı hakkında fikir verir. 6698 sayılı Kanun çerçevesinde veri güvenliğine ilişkin yükümlülüklerin yerine getirilip getirilmediği tartışılırken, bildirim metnindeki ifadeler önemli bir dayanak oluşturur. İhlal sonucu içerik internette yayılmışsa, erişimin engellenmesi bakımından 5651 sayılı Kanun çerçevesindeki usul ayrıca değerlendirilir.
Yanlış Mercie Başvurmanın Sonucu
Uygulamada en sık görülen hata, veri sorumlusuna başvurulmadan doğrudan Kurula şikâyette bulunulmasıdır. Kanunda öngörülen sıra izlenmediğinde şikâyet incelenmeden sonuçlanabilir ve süreç baştan başlar. Tazminat talebi ise idari başvurudan bağımsız olarak genel mahkemelerde ileri sürülür; idari yaptırım kararı ile tazminat davası birbirinin yerine geçmez. Suç niteliği taşıyan fiiller bakımından ise ceza şikâyeti ayrı bir yoldur. Üç yolun aynı anda ve doğru mercilere yöneltilmesi gerekir.
Dosyayı Kurma Sırası
- İhlal bildirimi ve tarihleri kayıt altına alınır.
- Veri sorumlusuna yazılı başvuru yapılır ve cevap süresi takip edilir.
- Aktarım iddiasını destekleyen kamuya açık kaynaklar dosyalanır.
- Uğranılan somut zarar kalemleri ayrı ayrı belgelenir.
- Şikâyet, tazminat ve erişim engeli talepleri için ayrı takvim kurulur.
Bu açıklamalar genel bilgilendirme amaçlıdır; veri kategorisi ve veri sorumlusunun yapısı sürecin işleyişini değiştirebilir. Başvuru sırasının doğru kurulması sonucu etkilediğinden, ilk adım atılmadan önce hukuki görüş alınması önerilir.