KVKK Başvurusu Nasıl Yapılır? Kişisel Verileri İhlal Edilen Kişilerin Hakları

Giriş

Kişisel verilerin korunması, günümüzde yalnızca şirketleri ilgilendiren teknik bir uyum alanı değildir. Her birey; adı, soyadı, telefon numarası, e-posta adresi, T.C. kimlik numarası, ev adresi, IP adresi, banka bilgileri, sağlık verileri, kamera görüntüleri, işyeri kayıtları, alışveriş geçmişi, borç bilgileri, sosyal medya verileri ve benzeri birçok kişisel verisi bakımından korunma hakkına sahiptir. Bu verilerin hukuka aykırı şekilde işlenmesi, üçüncü kişilerle paylaşılması, yanlış kaydedilmesi, gereğinden uzun süre saklanması, izinsiz reklam amacıyla kullanılması veya veri ihlali sonucu başkalarının eline geçmesi halinde ilgili kişinin başvurabileceği hukuki yollar vardır.

6698 sayılı Kişisel Verilerin Korunması Kanunu, kişisel verisi işlenen kişiye “ilgili kişi” sıfatıyla bazı haklar tanımıştır. İlgili kişi, veri sorumlusuna başvurarak kişisel verilerinin işlenip işlenmediğini öğrenebilir, işlenmişse buna ilişkin bilgi talep edebilir, verilerinin işlenme amacını sorabilir, verilerinin kimlere aktarıldığını öğrenebilir, yanlış veya eksik verilerin düzeltilmesini isteyebilir, şartları varsa verilerinin silinmesini veya yok edilmesini talep edebilir ve kişisel verilerin kanuna aykırı işlenmesi nedeniyle zarara uğramışsa zararın giderilmesini talep edebilir. KVKK Kurumu’nun şikâyet usul şartlarına ilişkin duyurusunda, Kanun’un 11. maddesinde ilgili kişiye tanınan bu haklar açıkça sayılmıştır.

Bu nedenle “KVKK başvurusu nasıl yapılır?” sorusu, kişisel verileri ihlal edilen herkes açısından önemlidir. Ancak burada dikkat edilmesi gereken temel nokta şudur: Kişisel Verileri Koruma Kurulu’na doğrudan şikâyet etmek her zaman doğru ilk adım değildir. Kural olarak önce veri sorumlusuna başvuru yapılmalı, veri sorumlusunun cevabı beklenmeli; başvurunun reddedilmesi, cevabın yetersiz bulunması veya süresinde cevap verilmemesi halinde Kurul’a şikâyet yoluna gidilmelidir. Veri sorumlusu, ilgili kişi başvurularını en geç otuz gün içinde sonuçlandırmakla yükümlüdür; cevap yetersizse veya hiç cevap verilmezse ilgili kişi, belirli süreler içinde Kurul’a şikâyet edebilir.

KVKK Kapsamında İlgili Kişi Kimdir?

KVKK kapsamında ilgili kişi, kişisel verisi işlenen gerçek kişidir. Bir şirket, dernek veya vakıf doğrudan ilgili kişi sayılmaz; ancak tüzel kişiye ait veriler bir gerçek kişiyi belirli veya belirlenebilir kılıyorsa, bu gerçek kişi bakımından KVKK koruması gündeme gelebilir. Örneğin bir şirket yetkilisinin adı, cep telefonu, e-posta adresi veya imza sirkülerindeki kimlik bilgileri kişisel veri niteliği taşıyabilir.

İlgili kişi sıfatı yalnızca müşteriyle sınırlı değildir. Bir çalışan, eski çalışan, iş başvurusu yapan aday, hasta, öğrenci, kiracı, site sakini, internet sitesi kullanıcısı, e-ticaret müşterisi, borçlu, alacaklı, tanık, mağdur, şüpheli veya davanın karşı tarafı da somut olayda ilgili kişi olabilir. Önemli olan, kişinin verisinin bir veri sorumlusu tarafından işlenmiş olmasıdır.

Örneğin bir hastanenin tahlil sonucunu yanlış kişiye göndermesi halinde hasta ilgili kişidir. Bir işverenin çalışanın sağlık raporunu diğer çalışanlarla paylaşması halinde çalışan ilgili kişidir. Bir e-ticaret sitesinin müşteriye izinsiz kampanya SMS’i göndermesi halinde müşteri ilgili kişidir. Bir apartman yönetiminin kamera görüntülerini WhatsApp grubunda paylaşması halinde görüntüsü paylaşılan kişi ilgili kişidir. Bir banka, sigorta şirketi, okul, otel, klinik, kargo firması, e-ticaret sitesi, işveren veya kamu kurumu ise somut olayda veri sorumlusu olabilir.

Hangi Durumlarda KVKK Başvurusu Yapılabilir?

KVKK başvurusu, kişisel verilerin hukuka aykırı işlendiği, eksik veya yanlış tutulduğu, gereksiz şekilde saklandığı, izinsiz paylaşıldığı, amacına aykırı kullanıldığı veya kişinin haklarını etkileyen bir veri işleme faaliyeti bulunduğu durumlarda yapılabilir.

Örneğin kişinin telefon numarasına izinsiz reklam mesajı gönderilmesi, müşteri bilgilerinin üçüncü kişilerle paylaşılması, borç bilgisinin aile üyelerine veya iş arkadaşlarına bildirilmesi, sağlık raporunun işyerinde yayılması, kamera görüntüsünün sosyal medyada paylaşılması, üyelik kapatıldığı halde verilerin silinmemesi, yanlış kredi veya borç kaydı tutulması, iş başvurusu için verilen CV’nin gereksiz süre saklanması, internet sitesinde çerezlerle açık rıza alınmadan takip yapılması veya veri ihlali sonucunda kişisel bilgilerin başkalarının eline geçmesi KVKK başvurusuna konu olabilir.

Kişisel verilerin hukuka aykırı işlenmesi her zaman büyük çaplı bir veri sızıntısı şeklinde gerçekleşmez. Bazen tek bir e-posta, tek bir SMS, tek bir kamera görüntüsü, tek bir kargo etiketi veya tek bir WhatsApp paylaşımı bile kişisel veri ihlali niteliği taşıyabilir. Önemli olan verinin kişinin kimliğini belirli veya belirlenebilir kılması ve bu verinin hukuki sebep olmadan veya amacına aykırı şekilde işlenmesidir.

KVKK başvurusu yalnızca “verilerimi silin” talebiyle sınırlı değildir. İlgili kişi, hangi verilerinin işlendiğini öğrenmek, işleme amacını sorgulamak, verilerinin kimlere aktarıldığını bilmek, yanlış verilerin düzeltilmesini istemek, hukuka aykırı işlenen verilerin silinmesini talep etmek veya uğradığı zararın giderilmesini istemek için başvuru yapabilir.

KVKK Başvurusu Kime Yapılır?

KVKK başvurusu öncelikle veri sorumlusuna yapılır. Veri sorumlusu, kişisel verilerin işleme amaçlarını ve araçlarını belirleyen gerçek veya tüzel kişidir. Bir hastane, klinik, banka, okul, işveren, e-ticaret sitesi, kargo şirketi, otel, sigorta şirketi, apartman yönetimi, dernek, vakıf, belediye veya kamu kurumu veri sorumlusu olabilir.

Örneğin izinsiz reklam SMS’i gönderen şirket veri sorumlusudur. Sağlık raporunu yanlış kişiye gönderen hastane veri sorumlusudur. Çalışanın kamera görüntüsünü işleyen işveren veri sorumlusudur. E-ticaret sitesinde kullanıcı verilerini işleyen şirket veri sorumlusudur. Bu nedenle başvuru yapılmadan önce doğru veri sorumlusu tespit edilmelidir.

Yanlış kişiye başvuru yapılması, sürecin uzamasına ve şikâyet süresinin kaçırılmasına neden olabilir. Örneğin kargo paketinde başka bir kişiye ait adres bilgisi görünüyorsa veri sorumlusu kargo şirketi olabileceği gibi, gönderici e-ticaret şirketinin de süreçte sorumluluğu bulunabilir. İşverenin kullandığı personel takip yazılımı üzerinden ihlal meydana geldiyse hem işveren hem yazılım sağlayıcı rol bakımından incelenmelidir. Bu nedenle somut olayda verinin kim tarafından, hangi amaçla ve hangi sistem üzerinden işlendiği dikkatle değerlendirilmelidir.

Veri Sorumlusuna Başvuru Nasıl Yapılır?

İlgili kişi, KVKK kapsamındaki taleplerini yazılı olarak veya Kurul’un belirlediği diğer yöntemlerle veri sorumlusuna iletebilir. Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’e göre başvuru; yazılı şekilde, KEP adresiyle, güvenli elektronik imza, mobil imza, ilgili kişinin daha önce veri sorumlusuna bildirdiği ve veri sorumlusu sisteminde kayıtlı e-posta adresiyle veya başvuru amacıyla geliştirilmiş yazılım ya da uygulama üzerinden yapılabilir. Kurum’un şikâyet usul şartlarına ilişkin duyurusunda da bu yöntemler ve başvuruda bulunması gereken zorunlu unsurlar açıklanmıştır.

Başvuruda şu bilgiler bulunmalıdır: Ad ve soyad, başvuru yazılı ise imza, T.C. kimlik numarası veya yabancılar için kimlik/pasaport bilgisi, tebligata esas yerleşim yeri veya işyeri adresi, varsa bildirime esas e-posta adresi, telefon veya faks numarası ve talep konusu. Talep konusu açık, somut ve anlaşılır olmalıdır. “KVKK kapsamında şikâyetçiyim” demek yerine, hangi verinin hangi işlem nedeniyle ihlal edildiği açıklanmalıdır.

Örneğin şu şekilde bir anlatım daha etkili olur: “Şirketiniz nezdinde kayıtlı telefon numarama açık rızam olmaksızın reklam SMS’i gönderilmektedir. Telefon numaramın hangi hukuki sebebe dayanarak işlendiğinin, hangi tarihte ve hangi yöntemle elde edildiğinin, ticari ileti iznimin bulunup bulunmadığının tarafıma bildirilmesini; reklam amaçlı veri işleme faaliyetinin durdurulmasını ve telefon numaramın pazarlama listelerinden silinmesini talep ederim.”

Başvuruda deliller de eklenmelidir. SMS ekran görüntüsü, e-posta çıktısı, çağrı kaydı, kargo etiketi, sosyal medya paylaşımı, kamera görüntüsünün paylaşıldığı mesaj, yanlış gönderilen belge, veri sorumlusuyla yapılan yazışmalar veya tanık bilgileri başvurunun etkisini artırır. Başvurunun ispatı bakımından noter, iadeli taahhütlü posta, KEP, güvenli elektronik imza veya kayıtlı e-posta gibi yöntemler tercih edilebilir.

Veri Sorumlusu Kaç Gün İçinde Cevap Vermelidir?

Veri sorumlusu, ilgili kişinin başvurusunu niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırmak zorundadır. Başvuru ücretsiz olarak sonuçlandırılır; ancak işlemin ayrıca bir maliyet gerektirmesi halinde Kurulca belirlenen tarifedeki ücret ilgili kişiden istenebilir. Veri sorumlusu talebi kabul ederse gereğini yerine getirmeli, reddederse gerekçesini açıklayarak yazılı veya elektronik ortamda ilgili kişiye bildirmelidir.

Otuz günlük süre, KVKK başvuru sürecinde son derece önemlidir. Veri sorumlusu bu süre içinde hiç cevap vermezse, ilgili kişi Kurul’a şikâyet yoluna başvurabilir. Veri sorumlusu cevap verse bile cevap yetersizse, eksikse, belirsizse veya talep haksız şekilde reddedilmişse yine Kurul’a şikâyet edilebilir.

Veri sorumlusunun cevabı somut olmalıdır. Örneğin “KVKK’ya uygun hareket etmekteyiz” veya “verileriniz mevzuata uygun işlenmektedir” şeklindeki genel cevaplar çoğu durumda yeterli değildir. Veri sorumlusu, hangi verilerin işlendiğini, hangi amaçla işlendiğini, hangi hukuki sebebe dayandığını, kimlere aktarıldığını ve talebin neden kabul veya reddedildiğini açıklamalıdır.

Kurul’a Şikâyet Ne Zaman Yapılır?

KVKK sisteminde Kurul’a şikâyet kural olarak veri sorumlusuna başvuru yolunun tüketilmesinden sonra yapılır. Veri sorumlusuna başvuru yapılmadan doğrudan Kurul’a gidilmesi halinde şikâyetin usulden reddedilmesi riski vardır. KVKK Kurumu’nun şikâyet usul şartlarına ilişkin duyurusunda, ilgili kişinin hak arama yöntemlerinin Kanun’un 13 ve 14. maddelerinde düzenlendiği; ilgili kişinin taleplerini öncelikle veri sorumlusuna iletmesi gerektiği açıklanmaktadır.

Veri sorumlusunun başvuruyu reddetmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi halinde ilgili kişi Kurul’a şikâyet edebilir. Burada süreler dikkatle takip edilmelidir. İlgili kişi, veri sorumlusunun cevabını öğrendiği tarihten itibaren otuz gün içinde ve her halde başvuru tarihinden itibaren altmış gün içinde Kurul’a şikâyette bulunmalıdır.

Örneğin kişi 1 Mart’ta veri sorumlusuna başvuru yaptıysa, veri sorumlusu 20 Mart’ta cevap vermişse ve cevap yetersizse, kişi cevabı öğrendiği tarihten itibaren otuz gün içinde Kurul’a şikâyet etmelidir. Veri sorumlusu hiç cevap vermezse, başvuru tarihinden itibaren otuz günlük cevap süresi geçtikten sonra ve her halde başvuru tarihinden itibaren altmış günlük üst süre içinde şikâyet yapılmalıdır. Bu sürelerin kaçırılması, hak arama sürecini zorlaştırabilir.

Kurul’a Şikâyet Nasıl Yapılır?

Kurul’a şikâyet, yazılı şekilde yapılabileceği gibi Kurum tarafından sunulan elektronik şikâyet modülü üzerinden de yapılabilir. KVKK Kurumu’nun duyurusunda, Kurul’a şikâyet başvurularının posta, kargo veya Kurumun şikâyet modülü aracılığıyla elektronik ortamda iletilebildiği açıklanmıştır.

Şikâyet dilekçesinde öncelikle veri sorumlusuna yapılan başvuru ve bu başvurunun sonucu anlatılmalıdır. Veri sorumlusuna başvuru yapılmış mı, hangi tarihte yapılmış, hangi talepler ileri sürülmüş, veri sorumlusu ne zaman ve nasıl cevap vermiş veya hiç cevap vermemiş mi? Bu hususlar Kurul’un usul incelemesi bakımından önemlidir.

Ardından ihlal iddiası somutlaştırılmalıdır. Hangi kişisel veri işlenmiştir? Bu veri hangi yöntemle elde edilmiştir? Hangi amaçla kullanılmıştır? Hukuka aykırılık nerede ortaya çıkmıştır? Veri üçüncü kişilere aktarılmış mıdır? Kişinin zararı veya riski nedir? Veri sorumlusunun cevabı neden yetersizdir? Tüm bu sorulara açık cevap verilmelidir.

Şikâyet ekine veri sorumlusuna yapılan başvuru dilekçesi, başvurunun veri sorumlusuna ulaştığını gösteren belge, veri sorumlusunun cevabı, deliller, ekran görüntüleri, e-postalar, SMS kayıtları, sosyal medya paylaşımları, kargo etiketi, fotoğraflar ve varsa tanık bilgileri eklenmelidir. Eksik delilli veya soyut şikâyetler, Kurul incelemesinde istenilen sonucu doğurmayabilir.

KVKK Başvurusunda Hangi Talepler İleri Sürülebilir?

KVKK başvurusunda ileri sürülebilecek talepler somut olaya göre değişir. İlgili kişi öncelikle verilerinin işlenip işlenmediğini öğrenmek isteyebilir. Bu talep özellikle kişinin bir şirket, hastane, işveren, banka veya internet sitesi nezdinde hangi verilerinin bulunduğunu bilmediği hallerde önemlidir.

İkinci olarak kişi, verileri işlenmişse buna ilişkin bilgi talep edebilir. Bu kapsamda veri kategorileri, işleme amacı, hukuki sebep, saklama süresi, veri toplama yöntemi ve aktarım yapılan kişi veya kuruluşlar sorulabilir. Üçüncü olarak kişi, verilerinin işlenme amacını ve bu amaca uygun kullanılıp kullanılmadığını öğrenebilir. Örneğin teslimat için verilen telefon numarasının reklam amacıyla kullanılması halinde amaca aykırılık iddiası gündeme gelebilir.

Dördüncü olarak kişi, verilerinin yurt içinde veya yurt dışında kimlere aktarıldığını öğrenmek isteyebilir. Bu talep özellikle çerezler, reklam teknolojileri, bulut hizmet sağlayıcıları, işverenin dış hizmet aldığı şirketler veya sağlık kuruluşlarının laboratuvar/sigorta paylaşımları bakımından önemlidir.

Beşinci olarak kişi, eksik veya yanlış işlenen verilerin düzeltilmesini isteyebilir. Örneğin yanlış borç kaydı, hatalı adres, yanlış sağlık bilgisi, yanlış üyelik bilgisi veya yanlış değerlendirme kaydı düzeltilmelidir. Altıncı olarak kişi, şartları oluşmuşsa kişisel verilerinin silinmesini veya yok edilmesini talep edebilir. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik, KVKK m.7 kapsamında verilerin silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin usul ve esasları düzenlemektedir.

Yedinci olarak kişi, verilerin düzeltilmesi veya silinmesi işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteyebilir. Sekizinci olarak kişi, işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi sonucu kendisi aleyhine sonuç doğmasına itiraz edebilir. Dokuzuncu olarak kişi, kişisel verilerinin kanuna aykırı işlenmesi nedeniyle zarara uğramışsa zararın giderilmesini talep edebilir. Bu haklar KVKK Kurumu’nun şikâyet usul şartlarına ilişkin duyurusunda Kanun’un 11. maddesi kapsamında açıkça sayılmıştır.

Kişisel Verilerin Silinmesi Talebi Her Zaman Kabul Edilir mi?

Kişisel verilerin silinmesi talebi önemli bir haktır; ancak her durumda otomatik olarak kabul edilmez. Veri sorumlusu, kişisel veriyi hâlâ hukuki bir yükümlülük nedeniyle saklamak zorundaysa veya verinin saklanması bir hakkın tesisi, kullanılması veya korunması için gerekli ise silme talebini kısmen veya tamamen reddedebilir. Ancak ret cevabı gerekçeli olmalıdır.

Örneğin bir e-ticaret şirketi, fatura kayıtlarını vergi mevzuatı nedeniyle belirli süre saklamak zorunda olabilir. Bir işveren, eski çalışana ait bazı özlük ve bordro kayıtlarını iş hukuku ve sosyal güvenlik yükümlülükleri nedeniyle saklayabilir. Bir hastane, tıbbi kayıtları sağlık mevzuatı ve olası hukuki uyuşmazlıklar nedeniyle belirli süre muhafaza edebilir. Buna karşılık pazarlama listesinde tutulmaya devam eden telefon numarası, üyelik kapandıktan sonra gereksiz şekilde saklanan profil verileri veya amaç dışı kullanılan kamera görüntüleri bakımından silme talebi daha güçlü olabilir.

Bu nedenle KVKK başvurusunda “tüm verilerimi silin” demek yerine, hangi verinin hangi nedenle silinmesi gerektiği açıklanmalıdır. Örneğin “tarafıma reklam SMS’i gönderilmesine dayanak oluşturduğu anlaşılan pazarlama izin kayıtlarımın ve telefon numaramın pazarlama veri tabanından silinmesini, ancak kanuni zorunluluk nedeniyle saklanması gereken fatura kayıtlarımın pazarlama amacıyla kullanılmamasını talep ederim” şeklindeki talep daha isabetli olabilir.

KVKK Başvurusu ile Tazminat Alınabilir mi?

KVKK başvurusunda zararın giderilmesi talep edilebilir; ancak Kişisel Verileri Koruma Kurulu doğrudan bir mahkeme gibi maddi veya manevi tazminata hükmeden merci değildir. Kurul, veri sorumlusu hakkında idari yaptırım uygulayabilir, hukuka aykırılığın giderilmesine karar verebilir, veri güvenliği tedbirlerinin alınmasını isteyebilir; fakat kişiye doğrudan tazminat ödenmesine karar verilmesi genel olarak adli yargının görev alanına girer.

Kişisel verileri hukuka aykırı işlenen kişi, maddi veya manevi zarara uğramışsa genel hükümlere göre tazminat davası açabilir. Örneğin sağlık verisinin ifşa edilmesi, borç bilgisinin işyerine bildirilmesi, adres bilgisinin tehdit amacıyla paylaşılması, özel görüntülerin yayılması veya yanlış veri nedeniyle kişinin kredi, iş veya sosyal hayatında zarar görmesi tazminat talebine konu olabilir.

Burada stratejik açıdan Kurul başvurusu ile tazminat davası birlikte planlanabilir. Kurul’un ihlal tespiti yaptığı bir karar, tazminat davasında güçlü delil niteliği taşıyabilir. Ancak tazminat için ayrıca zarar, hukuka aykırı işlem ve illiyet bağı ortaya konulmalıdır. Manevi tazminat bakımından kişinin özel hayatına müdahale, itibar kaybı, psikolojik etki, sosyal çevrede küçük düşme ve mahremiyet ihlalinin ağırlığı değerlendirilir.

Savcılığa Suç Duyurusu Yapılabilir mi?

Bazı kişisel veri ihlalleri yalnızca KVKK kapsamında idari başvuru konusu değil, aynı zamanda ceza hukuku bakımından suç niteliği taşıyabilir. Kişisel verilerin hukuka aykırı olarak kaydedilmesi, bir başkasına verilmesi, yayılması veya ele geçirilmesi Türk Ceza Kanunu kapsamında cezai sorumluluk doğurabilir. KVKK Kurumu’nun iş vaadi konulu kişisel veri ihlallerine ilişkin duyurusunda da hukuka aykırı olarak kişisel verileri kaydeden, kişisel verileri bir başkasına veren, yayan veya ele geçiren kişiler hakkında hapis cezası uygulanabileceği belirtilmiştir.

Örneğin kimlik fotoğrafının sahte işlemde kullanılması, kişisel verilerin dolandırıcılık amacıyla toplanması, özel görüntülerin paylaşılması, sağlık bilgilerinin ifşa edilmesi, adres bilgilerinin tehdit amacıyla yayılması veya sisteme yetkisiz girilerek veri ele geçirilmesi halinde Cumhuriyet Başsavcılığı’na suç duyurusu gündeme gelebilir.

Ancak Kurul ile savcılık farklı yetki alanlarına sahiptir. Kurul idari nitelikte inceleme yapar; suç isnadı ve ceza yargılaması ise adli makamların görev alanına girer. KVKK Kurumu, yargı mercilerinin görevine giren konularla ilgili başvuruların Kurum tarafından incelenemeyeceğini de kararlarında ve duyurularında belirtmektedir. Bu nedenle olay hem KVKK ihlali hem suç niteliği taşıyorsa, veri sorumlusuna başvuru, Kurul şikâyeti, suç duyurusu ve tazminat davası birlikte değerlendirilmelidir.

Delil Toplama Neden Önemlidir?

KVKK başvurusunun başarısı büyük ölçüde delillere bağlıdır. Kişisel veri ihlalleri çoğu zaman dijital ortamda gerçekleştiği için deliller hızlıca silinebilir veya değiştirilebilir. Bu nedenle ihlali fark eden kişi, başvuru yapmadan önce mümkün olduğunca delilleri güvence altına almalıdır.

İzinsiz SMS gönderildiyse ekran görüntüsü alınmalı, gönderen numara ve tarih görünmelidir. E-posta gönderildiyse tam e-posta başlığı, gönderen adres, tarih ve içerik saklanmalıdır. Sosyal medya paylaşımı varsa link, ekran görüntüsü ve tarih kaydedilmelidir. WhatsApp paylaşımı varsa mesaj akışı, gönderen kişi ve paylaşılan veri görünür şekilde saklanmalıdır. Kargo etiketi hatası varsa etiket ve paket fotoğraflanmalıdır. Yanlış kişiye gönderilen sağlık raporu veya belge varsa belge muhafaza edilmelidir.

Bazı hallerde noter tespiti, delil tespiti veya bilirkişi incelemesi gerekebilir. Özellikle internet sitelerinde yayımlanan kişisel veriler, sosyal medya ifşaları veya kısa sürede silinebilecek içerikler bakımından delilin güvence altına alınması önemlidir. Delilsiz başvurular soyut kalabilir ve veri sorumlusu ihlali inkâr edebilir.

KVKK Başvuru Dilekçesi Nasıl Yazılmalıdır?

KVKK başvuru dilekçesi sade, somut ve hukuki talepleri açık şekilde içermelidir. Dilekçenin başında başvurucunun kimlik ve iletişim bilgileri yer almalıdır. Ardından veri sorumlusu belirtilmeli, olay kısa ve kronolojik şekilde anlatılmalıdır.

Olay anlatımında gereksiz duygusal ifadelerden kaçınılmalı, ihlalin hangi kişisel veriye ilişkin olduğu açıkça yazılmalıdır. Örneğin “kişisel verilerim ihlal edildi” demek yerine “ad, soyad, telefon numarası ve borç bilgilerimin üçüncü kişi olan iş arkadaşıma SMS yoluyla aktarıldığını öğrendim” denilmelidir.

Daha sonra KVKK m.11 kapsamındaki talepler sıralanmalıdır. Hangi verilerin işlendiğinin bildirilmesi, verilerin hangi amaçla işlendiğinin açıklanması, hangi üçüncü kişilere aktarıldığının bildirilmesi, hukuka aykırı işlemenin durdurulması, yanlış verilerin düzeltilmesi, belirli verilerin silinmesi veya yok edilmesi, pazarlama listelerinden çıkarılma, üçüncü kişilere bildirim yapılması ve varsa zararın giderilmesi talep edilebilir.

Dilekçenin sonunda cevapların yazılı veya elektronik ortamda gönderilmesi istenmeli, deliller eklenmeli ve tarih-imza bulunmalıdır. Başvuru yöntemi ispatlanabilir şekilde seçilmelidir.

Kurul Şikâyetinde En Sık Yapılan Hatalar

Kurul şikâyetinde en sık yapılan hata, veri sorumlusuna başvuru yapılmadan doğrudan Kurul’a başvurulmasıdır. Kural olarak önce veri sorumlusuna başvuru yolu tüketilmelidir. Bu adım atlanırsa şikâyet usul yönünden sorun yaşayabilir.

İkinci hata, sürelerin kaçırılmasıdır. Veri sorumlusunun cevabını öğrendikten sonra otuz gün ve her halde başvuru tarihinden itibaren altmış gün içinde Kurul’a şikâyet edilmelidir. Bu sürelerin kaçırılması, Kurul nezdindeki hak arama yolunu zayıflatır.

Üçüncü hata, şikâyetin soyut yazılmasıdır. “Şirket KVKK’ya aykırı davranıyor” şeklindeki genel ifadeler yeterli değildir. Hangi veri, hangi işlem, hangi tarih, hangi delil ve hangi talep olduğu belirtilmelidir.

Dördüncü hata, tazminat beklentisiyle sadece Kurul’a başvurulmasıdır. Kurul idari yaptırım uygulayabilir; ancak maddi veya manevi tazminat için genel mahkemelerde dava açılması gerekebilir.

Beşinci hata, suç niteliği taşıyan olaylarda yalnızca KVKK başvurusu yapılmasıdır. Kişisel verilerin ele geçirilmesi, yayılması veya dolandırıcılık amacıyla kullanılması gibi durumlarda savcılık süreci ayrıca değerlendirilmelidir.

Sonuç

KVKK başvurusu, kişisel verileri ihlal edilen kişilerin kullanabileceği en önemli hukuki yollardan biridir. İlgili kişi, veri sorumlusuna başvurarak verilerinin işlenip işlenmediğini öğrenebilir, işlenmişse buna ilişkin bilgi talep edebilir, verilerinin hangi amaçla işlendiğini ve kimlere aktarıldığını sorabilir, yanlış verilerin düzeltilmesini, hukuka aykırı verilerin silinmesini veya yok edilmesini ve zarara uğramışsa zararın giderilmesini talep edebilir. Bu haklar KVKK m.11 kapsamında tanınmış olup Kurum duyurularında da açıkça belirtilmektedir.

Başvuru sürecinde ilk adım kural olarak veri sorumlusuna başvurudur. Veri sorumlusu başvuruyu en geç otuz gün içinde cevaplamalıdır. Başvurunun reddedilmesi, cevabın yetersiz bulunması veya süresinde cevap verilmemesi halinde ilgili kişi, veri sorumlusunun cevabını öğrendiği tarihten itibaren otuz gün ve her halde başvuru tarihinden itibaren altmış gün içinde Kişisel Verileri Koruma Kurulu’na şikâyet edebilir.

Ancak KVKK başvurusu tek başına her sorunu çözmeyebilir. Somut olayın niteliğine göre Kurul şikâyeti, savcılığa suç duyurusu, maddi-manevi tazminat davası, içeriğin kaldırılması, erişimin engellenmesi veya delil tespiti gibi yollar birlikte değerlendirilmelidir. Özellikle sağlık verisi, borç bilgisi, kimlik verisi, adres bilgisi, özel görüntüler, banka bilgileri veya çocuklara ait veriler gibi hassas alanlarda hızlı ve delile dayalı hareket etmek büyük önem taşır.

Sonuç olarak, kişisel verileri ihlal edilen kişi öncelikle olayı belgelemeli, doğru veri sorumlusunu tespit etmeli, taleplerini açıkça içeren bir KVKK başvurusu yapmalı, verilen cevabı dikkatle değerlendirmeli ve süreleri kaçırmadan Kurul’a şikâyet yoluna gitmelidir. Doğru hazırlanmış bir KVKK başvurusu, hukuka aykırı veri işleme faaliyetinin durdurulmasını, verilerin düzeltilmesini veya silinmesini, veri sorumlusunun sorumluluğunun ortaya konulmasını ve gerekli hallerde tazminat veya ceza sürecinin daha güçlü yürütülmesini sağlar.