Kişisel veri uyuşmazlıklarında en sık karşılaşılan sorun, aynı olayın hem idari denetim hem de özel hukuk boyutu doğurmasıdır. KVKK ve 6698 çerçevesinde ihlal bildirimi ayrı, ilgili kişinin başvurusu ayrı, tazminat istemi ayrı bir hatta ilerler. Verinin yurt dışına aktarıldığı hâllerde ise aktarımın hangi hukuki temele dayandığı belirleyici hâle gelir.
İlgili Kişinin Zorunlu İlk Adımı
Kurula şikâyette bulunulabilmesi için önce veri sorumlusuna başvurulması gerekir. Bu ön başvuru atlandığında şikâyet, esasa girilmeden değerlendirilmez. Başvuruda talebin açık yazılması önemlidir: verinin silinmesi mi, düzeltilmesi mi, aktarım yapılan üçüncü kişilere bildirilmesi mi isteniyor? Veri sorumlusunun cevap vermemesi de bir sonuçtur ve sürenin işlemeye başlaması bakımından kayıt altına alınmalıdır.
Yurt Dışı Aktarımda Denetlenen Noktalar
Aktarımın hukuka uygunluğu tartışılırken şu unsurlar incelenir:
- Aktarımın hangi işleme şartına ve hangi aktarım mekanizmasına dayandırıldığı.
- Açık rızaya dayanılıyorsa rızanın özgür iradeyle, bilgilendirmeye dayalı ve belirli bir konuya ilişkin alınıp alınmadığı.
- Aydınlatma metninde alıcı grubunun ve aktarım amacının gösterilip gösterilmediği.
- Bulut hizmeti kullanımında verinin fiilen nerede barındırıldığı.
- Taraflar arasındaki sözleşmesel güvencelerin ve gerekli izin süreçlerinin tamamlanmış olması.
Hizmetin yurt dışı merkezli bir sağlayıcıdan alınıyor olması tek başına hukuka aykırılık göstermez; eksiklik çoğu zaman belgelendirme ve şeffaflık tarafındadır.
İhlal Anında Veri Sorumlusunun Yükümlülüğü
İhlalin öğrenilmesiyle birlikte Kurula bildirim ve etkilenen ilgili kişilere haber verme yükümlülüğü doğar. Bu aşamada teknik müdahale kadar kayıt disiplini de önemlidir: ihlalin tespit anı, etkilenen veri kategorileri, kişi sayısı ve alınan önlemler tarihli biçimde belgelenmelidir. Sonradan üretilen açıklamalar denetimde ikna edici olmaz. Sızan içerik internet ortamında yayılmışsa 5651 kapsamındaki kaldırma yolları paralel işletilir.
Kurul Kararına Karşı Yargı Yolu ve Tazminat
Kurulun idari para cezası veya talebi reddeden kararı bir idari işlemdir; buna karşı iptal istemi idari yargıda ileri sürülür ve dava süresi işlemin tebliğinden itibaren işler. Buna karşılık ilgili kişinin uğradığı zararın giderilmesi istemi genel hükümlere tabidir ve adli yargıda, kural olarak asliye hukuk mahkemesinde açılır. İki yol birbirinin şartı değildir; Kurul kararı beklenmeden tazminat istemi ileri sürülebilir, ancak Kurulun tespitleri hukuk dosyasında güçlü bir dayanak oluşturur.
Yaptırım ile Uzlaşma Arasındaki Karar
Kurum tarafında karar verilirken, tek dosyanın cezası kadar aynı işleme faaliyetinden doğabilecek toplu talepler de hesaba katılmalıdır. Uyum eksikliğinin giderilmesi ve etkilenen kişilerle doğrudan çözüm üretilmesi, çoğu zaman uzun yargılamadan daha etkili bir risk yönetimidir. İlgili kişi açısından ise talebin veri temizliği mi yoksa parasal karşılık mı olduğu baştan netleştirilmelidir.
Bu metin genel bilgilendirme amaçlıdır. Veri işleme envanteri ve sözleşme yapısı her kurumda farklı olduğundan, ihlal sonrası adımların hukuki ve teknik ekiple birlikte planlanması gerekir.