Bir veri ihlali bildirimi geldiğinde ilgili kişinin ilk refleksi doğrudan Kurul'a şikâyet olmakta, oysa 6698 sayılı KVKK'nın kurduğu düzen kademeli bir yapıya dayanmaktadır. İhlalin yurt dışına aktarım boyutu bulunduğunda tablo daha da karmaşıklaşır: verinin nereye, hangi hukuki dayanakla ve hangi güvence altında aktarıldığı ayrı bir inceleme konusudur.
Kademeli Başvuru: Önce Veri Sorumlusu
KVKK, ilgili kişinin taleplerini öncelikle veri sorumlusuna yöneltmesini öngörür. Veri sorumlusunun cevap vermemesi veya cevabın yetersiz bulunması halinde Kurul'a şikâyet yolu açılır. Doğrudan Kurul'a yapılan başvuru, bu ön aşama tamamlanmadığı için değerlendirilmeyebilir. Bu nedenle başvurunun tarihi ve iletildiği kanal belgelenmelidir: kayıtlı elektronik posta, noter ihtarı veya veri sorumlusunun ilan ettiği başvuru kanalı.
Yurt Dışı Aktarımda Sorulacak Dört Soru
- Aktarımın dayanağı açık rıza mı, yoksa kanunda öngörülen diğer mekanizmalardan biri mi?
- Aktarılan veri kategorisi özel nitelikli veri içeriyor mu?
- Aktarım alıcısı hizmet sağlayıcı mı, grup şirketi mi, yoksa bağımsız bir veri sorumlusu mu?
- Aydınlatma metninde aktarımın amacı ve alıcı grupları açıkça gösterilmiş mi?
Aydınlatma yükümlülüğünün genel ifadelerle geçiştirilmesi, ihlal incelemesinde ayrı bir eksiklik olarak değerlendirilebilir. Bu nedenle ilgili kişi, başvurusunda yalnızca ihlalin sonucunu değil, aktarımın hukuki dayanağının gösterilmesini de talep etmelidir.
Bildirim Zinciri ve Kayıt Tutma
- İhlal bildiriminin metni, geliş tarihi ve hangi veri kategorilerini kapsadığı arşivlenir.
- Veri sorumlusundan; işlenen verilerin listesi, aktarım yapılan üçüncü kişiler ve saklama süresi talep edilir.
- Cevap süresi dolduğunda, şikâyet için tanınan süre başlar; bu iki tarih tek tabloda tutulur.
- İhlalden doğan somut zarar varsa (kimlik kullanımı, hesap açılışı, dolandırıcılık girişimi) buna ilişkin belgeler ayrı klasörlenir.
Kurul Kararından Sonraki Yol
Kurul'un verdiği karar, ilgili kişi bakımından sürecin sonu değildir. Karara karşı idari yargı yolu açıktır; ayrıca ihlalden doğan maddi ve manevi zararın tazmini için hukuk mahkemesinde ayrı dava açılabilir. 5651 sayılı Kanun kapsamında içerik yayılmışsa, erişimin engellenmesi talebi bu hatlardan bağımsız olarak yürütülür. Buradaki mercii hatası, tazminat talebinin Kurul'dan istenmesidir; Kurul tazminata hükmetmez.
Kapanış
Bu değerlendirme genel niteliktedir. Veri kategorisi, aktarımın yapısı ve veri sorumlusunun sektörü izlenecek adımları değiştirebilir; özellikle özel nitelikli veri içeren ihlallerde başvuru metninin içeriği sonucu etkilediğinden hukuki destek almak yararlı olur.