Veri ihlali bildirimleri son yıllarda sıradanlaştı, ancak ihlalin ardından hangi adımın hangi sırayla atılacağı çoğu zaman belirsiz kalıyor. Özellikle verilerin yurt dışındaki sunucularda tutulduğu ya da yurt dışına aktarıldığı hâllerde, hem ilgili kişinin hem de veri sorumlusunun yükümlülükleri farklı bir çerçeveye giriyor. Bu rehber, aktarım boyutu bulunan ihlallerde başvuru sırasını ele alıyor.
İlgili Kişi İçin Zorunlu İlk Basamak
6698 sayılı KVKK, Kurula şikâyette bulunulabilmesi için önce veri sorumlusuna başvurulmasını arar. Bu basamak atlandığında şikâyet usulden değerlendirilmez ve zaman kaybedilir. Başvuru yazılı olarak yapılmalı, hangi verinin işlendiği, aktarımın hangi ülkeye yapıldığı ve hangi hakkın kullanıldığı açıkça belirtilmelidir. Veri sorumlusunun cevabı ya da cevapsız geçen süre, Kurula şikâyet süresinin başlangıcını belirler; bu nedenle başvurunun gönderim tarihi mutlaka belgelenmelidir.
Aktarımın Hukuki Dayanağını Sorgulamak
Yurt dışına aktarım, yurt içi işlemeden ayrı bir hukuki temel gerektirir. Uygulamada sorgulanması gereken başlıklar şunlardır:
- Aktarımın yapıldığı ülke bakımından yeterlilik kararı bulunup bulunmadığı
- Yeterlilik kararı yoksa uygun güvencelerin sağlanıp sağlanmadığı
- Aktarımın istisnai hâllere dayandırılıp dayandırılmadığı ve bunun sürekliliği
- Açık rıza alınmışsa rızanın gerçekten özgür iradeyle ve aydınlatma sonrası verilip verilmediği
Hizmetin alınabilmesi için zorunlu tutulan bir onay kutusuna dayanan rıza, geçerlilik yönünden tartışmalıdır.
Veri Sorumlusu Tarafında İhlal Yönetimi
İhlal öğrenildiğinde bildirim yükümlülüğü gecikmeksizin işler. Bildirimin geç yapılması, ihlalin kendisinden bağımsız olarak ayrı bir yaptırım sebebi oluşturabilir. Bu nedenle ihlal tespit tarihi, alınan teknik tedbirler ve etkilenen kişi grubunun kapsamı ilk günden itibaren kayıt altına alınmalıdır. İnternet ortamındaki yayınlar bakımından 5651 sayılı Kanun kapsamındaki kaldırma yolları da paralel olarak işletilebilir.
Karara Karşı Ne Yapılabilir
Kurul kararlarına ve uygulanan idari yaptırımlara karşı yargı yoluna başvurulabilir. Burada dikkat edilmesi gereken nokta, dava açma süresinin kararın tebliğinden itibaren işlemesi ve tebligatın kurumsal adreslere yapıldığı hâllerde iç yazışma nedeniyle fiilen kısalabilmesidir. Dava dilekçesinde yalnızca sonuca değil, ihlalin ağırlığı değerlendirilirken hangi somut tedbirin dikkate alınmadığına odaklanılması gerekir.
Maddi Sonuçların Ayrı Takibi
Kurula yapılan şikâyet, ilgili kişinin uğradığı zararı kendiliğinden gidermez. Zarar doğmuşsa genel hükümlere göre tazminat talebi ayrıca ileri sürülmelidir. İki yolun takvimi birbirinden bağımsız işlediğinden, şikâyet sonucunu beklerken tazminat bakımından süre riskinin doğmadığından emin olunmalıdır.
Bu metin genel bilgilendirme amacıyla hazırlanmıştır. Verinin türü, aktarımın yapısı ve tarafların sıfatı sonuçları değiştirebileceğinden, somut olayda hukuki destek alınması uygun olacaktır.