Bir veri ihlali bildirimi geldiğinde ilgili kişinin aklına gelen ilk soru genellikle kime başvurulacağıdır. 6698 sayılı KVKK, ilgili kişiye tanınan hakları ve bunların kullanılma sırasını belirler; yurt dışına aktarım söz konusu olduğunda ise değerlendirme ayrı bir hukuki zemine oturur. Yanlış mercie yapılan başvuru burada yalnızca gecikme değil, çoğu zaman incelemesiz ret anlamına gelir.
Önce Veri Sorumlusuna Başvuru
KVKK, Kurula şikâyetten önce veri sorumlusuna başvurulmasını şart koşar. Başvuruda talebin ne olduğu açık biçimde yazılmalıdır: bilgi talebi, silme talebi, aktarımın durdurulması talebi ya da ihlalin kapsamının öğrenilmesi. Veri sorumlusunun cevap vermemesi veya cevabın yetersiz olması hâlinde Kurula şikâyet yolu açılır ve bu aşamada süre, başvuru ile cevabın tarihlerine göre hesaplanır. Bu iki tarihi belgelemeyen ilgili kişi, şikâyet aşamasında zorlanır.
Yurt Dışı Aktarımda Değerlendirme Ölçütleri
- Aktarımın hangi hukuki zemine dayandırıldığının açıklanması
- Alıcı ülkedeki koruma düzeyine ilişkin yapılan değerlendirmenin belgelenmesi
- Aktarılan veri kategorilerinin ve saklama sürelerinin sınırlanması
- Aydınlatma metninde aktarımın açıkça yer alıp almadığının kontrolü
- Hizmet sağlayıcı zincirindeki alt işleyenlerin de kapsama alınması
İhlal Bildiriminin Zamanı
Veri ihlalinin öğrenilmesi hâlinde veri sorumlusunun Kurula ve etkilenen ilgili kişilere bildirim yükümlülüğü vardır. Bildirimin gecikmesi başlı başına bir ihlal değerlendirmesine konu olabilir. İlgili kişi bakımından ise bildirimin ulaştığı tarih, sonraki başvuruların süresi için başlangıç noktası oluşturur ve saklanmalıdır.
Kanun Yolu Karışıklığı
Kurulun şikâyet üzerine verdiği kararlar ile idari yaptırım kararlarına karşı izlenecek yol her zaman aynı değildir. Bu nedenle karar metninin sonundaki kanun yolu bildirimi esas alınmalı, genel bir varsayımla hareket edilmemelidir. Ayrıca kişisel verilerin hukuka aykırı işlenmesinden doğan zarar için tazminat talebi, Kurul sürecinden bağımsız olarak genel mahkemede ileri sürülür; bu iki yolun birbirinin yerine geçtiği düşüncesi yaygın bir yanılgıdır.
Kurum İçi Hazırlık
Veri sorumlusu tarafında ise en etkili savunma, olaydan önce oluşturulmuş kayıtlardır. İşleme envanteri, erişim yetkilendirme kayıtları ve olay müdahale prosedürünün tarihli sürümleri, incelemede yapılan açıklamaların doğrulanmasını sağlar. 5651 kapsamındaki yükümlülüklerle KVKK yükümlülüklerinin kesiştiği noktalar da ayrıca haritalanmalıdır.
Buradaki açıklamalar genel çerçeve sunar. Verinin türü, aktarımın yapısı ve ihlalin kapsamı izlenecek mercii ve süreleri değiştirebileceğinden, başvuru öncesinde somut duruma özgü değerlendirme yapılması önerilir.