Yurt dışındaki bir sunucuda veya hizmet sağlayıcıda yaşanan sızıntı, ilgili kişi bakımından tek bir dosya değil, birbirini besleyen iki ayrı hat açar: veri sorumlusuna yöneltilecek başvuru hattı ile Kişisel Verileri Koruma Kurumu nezdindeki şikâyet hattı. 6698 sayılı KVKK'nın kurduğu bu kademeli yapıda adımların hangi sırayla atıldığı, çoğu zaman itirazın esasından daha belirleyicidir.
İhlal Bildirimini Delil Gibi Okumak
Veri sorumlusundan gelen ihlal bildirimi, sonraki her adımın çıpasıdır. Bildirimde hangi veri kategorilerinin etkilendiği, ihlalin öğrenilme anı ve etkilenen kişi sayısı yer alıyorsa bunlar not edilmeli; yer almıyorsa eksiklik bizzat başvuru konusu yapılmalıdır. Bildirim e-postasının başlık bilgileri, ekran görüntüsü değil kaynak hâliyle saklandığında tarih tartışması baştan kapanır.
Veri Sorumlusuna Başvuruda Talebi Bölmek
KVKK, Kurula gitmeden önce veri sorumlusuna başvurmayı öngörür. Bu metnin tek bir genel talep etrafında kurulması yaygın bir hatadır. Talepler ayrıştırıldığında hem cevapsız kalan kalem netleşir hem de şikâyet aşamasında somut bir eksiklik gösterilebilir:
- Hangi kişisel verilerin işlendiğinin ve kimlere aktarıldığının bildirilmesi
- Yurt dışına aktarımın hangi hukuki zemine dayandığının açıklanması
- Aktarım yapılan ülke ve alıcı grubunun belirtilmesi
- İhlalden etkilenen kayıtların silinmesi veya güvenli hâle getirilmesi
- Aktarımın durdurulması talebinin ayrıca yazılması
Şikâyette Aktarım Zeminini Hedef Almak
Kuruma yapılacak şikâyette güçlü olan iddia, "veriler sızdı" cümlesi değil, aktarımın dayanağının kurulamadığının gösterilmesidir. Sözleşme metinleri, gizlilik politikası ve çerez bildirimi arasındaki çelişkiler bu noktada işlevseldir. Aynı hizmet için politikada bir ülke, sözleşmede başka bir alıcı görünüyorsa bu tutarsızlık dosyanın omurgası hâline gelir.
Uzlaşma mı, Dava mı: Karar Anını Erken Kurgulamak
Veri sorumlusu çoğu zaman şikâyet sürecinde iyileştirme önerir. Bu öneriyi değerlendirirken ölçüt duygusal değil ölçülebilir olmalıdır: aktarım fiilen durdu mu, kayıtlar imha edildi mi, imha tutanağı verildi mi. Tazminat talebi ayrı bir yargı kolunda ileri sürüleceği için, idari süreçte varılan mutabakatın maddi zararı kapsayıp kapsamadığı yazılı olarak netleştirilmelidir. Kurul kararına karşı yargı yolu ise ayrı bir takvim ve ayrı bir dilekçe düzeni gerektirir.
Süre Takvimi ve Belge Düzeni
Başvuru tarihi, cevap tarihi, cevapsız geçen süre ve şikâyet tarihi tek tabloda tutulduğunda hak kaybı riski büyük ölçüde azalır. Tebligatın gecikmeli ulaştığı hâllerde zarfın veya elektronik bildirim kaydının saklanması, sonradan yapılacak süre tartışmasında belirleyici olur.
Burada anlatılanlar genel çerçeveyi tarif eder; her sızıntının teknik yapısı ve aktarım zinciri farklıdır. Kendi dosyanızdaki adımları belirlemeden önce belgelerin bir hukukçu tarafından incelenmesinde yarar vardır.