Veri sorumlusuna iletilen kişisel veri taleplerine 30 gün içinde cevap verilmemesi veya talebin reddedilmesi halinde, ilgili kişi Kişisel Verileri Koruma Kuruluna (Kurul) şikâyet yoluna başvurabilir. Bu süreç, veri sorumlusunun yasal yükümlülüğünü yerine getirmemesi üzerine kurgulanmış bir denetim mekanizmasıdır. Şikâyet hakkının kullanılabilmesi için veri sorumlusuna yapılan ön başvurunun usulüne uygun şekilde tamamlanmış olması ve bu başvurunun teslim edildiğinin ispatlanması zorunludur. Söz konusu başvuru şartı, Kurul nezdindeki şikâyet süreci için bir ön koşul niteliğindedir.
Veri Sorumlusuna Başvuru ve 30 Günlük Cevap Süresi
Kişisel verilerin korunması mevzuatı, veri sorumlusuna iletilen taleplerin niteliğine göre en kısa sürede ve her halükarda en geç 30 gün içinde sonuçlandırılmasını öngörür. Bu süre, başvurunun veri sorumlusuna ulaştığı tarihten itibaren işlemeye başlar. Veri sorumlusunun bu süre zarfında herhangi bir yanıt vermemesi, talebin zımnen reddedildiği anlamına gelir.
Başvurunun usulüne uygun yapılması, şikâyet sürecinin temelini oluşturur. Yazılı olarak, kayıtlı elektronik posta (KEP) adresi üzerinden veya güvenli elektronik imza ile yapılan başvurular, ispat kolaylığı açısından tercih edilmelidir. Başvurunun ulaştığına dair tebligat mazbatası veya sistem kayıtları, ileride Kurul nezdinde yapılacak şikâyetlerde en kritik delil niteliğindedir.
Kurula Şikâyet İçin 60 Günlük Süre Sınırı
Veri sorumlusunun cevap vermemesi veya verilen cevabın yetersiz bulunması durumunda, ilgili kişinin Kurula şikâyette bulunma hakkı doğar. Bu şikâyet, veri sorumlusuna yapılan başvurunun sonuçsuz kaldığı tarihten itibaren veya 30 günlük cevap süresinin dolduğu tarihten itibaren 60 gün içinde gerçekleştirilmelidir.
Şikâyet süresinin kaçırılması, Kurulun başvuruyu süre aşımı nedeniyle reddetmesine yol açabilir. Bu nedenle, başvuru tarihinin ve veri sorumlusuna tebliğ anının net bir şekilde kronolojik olarak kaydedilmesi, hak kaybını önlemek adına gereklidir. Şikâyet başvurusu, Kişisel Verileri Koruma Kurumunun resmi kanalları üzerinden ücretsiz olarak yapılabilir.
“Av. Vedat Can SÜNERİN
Veri sorumlusuna yapılan başvurunun usulüne uygunluğu, Kurul nezdindeki şikâyet sürecinin kabul edilebilirliğini belirleyen en kritik unsurdur. Başvurunun teslim edildiğini kanıtlayan belgelerin saklanması, 30 günlük cevap süresinin takibi ve 60 günlük şikâyet süresinin kaçırılmaması, idari sürecin sağlıklı ilerlemesi için temel şarttır. Kurul şikâyeti ile genel mahkemelerdeki tazminat davası yollarının birbirinden bağımsız işlediğini ve her birinin farklı ispat kurallarına tabi olduğunu göz önünde bulundurmak, hukuki stratejinin doğru belirlenmesi açısından büyük önem taşır.”
Şikâyet Sürecinde İspat Yükü ve Gerekli Belgeler
İlgili kişi, Kurula yaptığı şikâyette iddialarını somut belgelerle desteklemekle yükümlüdür. İspat yükünün ilgili kişide olması nedeniyle, süreçte şu belgelerin bir dosya halinde sunulması tavsiye edilir:
- Veri sorumlusuna yapılan başvurunun tam metni ve içeriği.
- Başvurunun veri sorumlusuna ulaştığını gösteren teslim kanıtı (kargo takip, KEP iletim raporu vb.).
- Veri sorumlusunun varsa verdiği eksik veya hatalı cevap metni.
- İhlale konu olan kişisel verinin işlenmesine dair ekran görüntüleri veya dijital kayıtlar.
Kurul Şikâyeti ile Genel Mahkemelerdeki Tazminat Hakkı Ayrımı
Kurula şikâyet yolu, veri sorumlusunun idari denetimi ve yaptırım uygulanması için zorunlu bir yoldur. Ancak, kişisel verilerin hukuka aykırı işlenmesi nedeniyle uğranılan maddi veya manevi zararların tazmini için açılacak davalarda bu başvuru şartı aranmaz. Genel mahkemelerde tazminat davası açmak, Kurul şikâyetinden bağımsız bir hukuki haktır.
Kurulun şikâyet üzerine yaptığı inceleme sonucunda verdiği kararlar, idari niteliktedir. Kurulun şikâyet tarihinden itibaren 60 gün içinde cevap vermemesi durumunda, talep reddedilmiş sayılır ve bu tarihten itibaren idari yargı yolu açılır. İdari yargı sürecinde, Kurulun kararına veya zımni ret işlemine karşı iptal davası açılması mümkündür.
Veri Sorumlusunun Cevap Vermeme Durumunda Teknik İspat ve Dijital Kayıtların Korunması
Veri sorumlusunun başvurunuza yanıt vermemesi halinde, elinizdeki dijital delillerin bütünlüğünü korumak, ileride Kurul nezdinde yapılacak incelemelerde ispat gücünü artırır. Sadece ekran görüntüsü almak, verinin kaynağını ve zaman damgasını doğrulamak için çoğu zaman yetersiz kalabilir. Bu nedenle, ilgili verinin bulunduğu platformdaki işlem geçmişini, oturum kayıtlarını veya varsa sistem bildirimlerini, üzerinde değişiklik yapmadan bir bütün olarak yedeklemeniz gerekir. Dijital verilerin değiştirilmediğini kanıtlamak için dosya hash değerlerinin alınması veya güvenilir zaman damgalı kayıtların saklanması, veri sorumlusunun “böyle bir talep gelmedi” veya “verilerimiz sistemimizde bulunmuyor” şeklindeki savunmalarını çürütmek için kritik bir öneme sahiptir.
İspat sürecinde, başvurunun yapıldığı kanalın teknik özellikleri de belirleyicidir. KEP üzerinden yapılan başvurularda, iletim ve teslim raporları sistem tarafından otomatik oluşturulduğu için bu belgelerin çıktısını alarak saklamak, başvurunun ulaştığını ispat etmek adına en güçlü yöntemdir. Eğer başvuru web formu üzerinden yapılmışsa, formun gönderildiğine dair onay ekranının görüntüsü, formun içeriği ve gönderim saati ile birlikte bir tutanak haline getirilmelidir. Bu teknik belgeler, Kurulun veri sorumlusundan savunma istediği aşamada, başvurunun varlığını ve içeriğini doğrulamak için temel dayanak teşkil eder.
Başvuru İçeriğinin Kurul Şikâyetine Etkisi ve Talep Sınırları
Veri sorumlusuna yapılan ilk başvuruda yer alan taleplerin kapsamı, Kurula yapılacak şikâyetin sınırlarını belirler. Başvuruda açıkça belirtilmeyen veya talep edilmeyen bir hususun, doğrudan Kurul şikâyetine konu edilmesi, Kurul tarafından “ön başvuru şartının yerine getirilmediği” gerekçesiyle reddedilebilir. Örneğin, verilerinizin silinmesini talep ettiğiniz bir başvuruda, veri sorumlusu cevap vermezse şikâyetiniz silme talebiyle sınırlı kalmalıdır. Başvuruda yer almayan “tazminat” veya “idari para cezası” gibi taleplerin, Kurulun görev alanı dışında kaldığı ve bu tür taleplerin ancak genel mahkemelerde ileri sürülebileceği unutulmamalıdır.
Başvurunun içeriği oluşturulurken, talebin hangi kişisel veriye ilişkin olduğu, hangi veri işleme faaliyetinden kaynaklandığı ve hangi hukuki gerekçeye dayandırıldığı net bir şekilde ifade edilmelidir. Belirsiz veya genel ifadelerle yapılan başvurular, veri sorumlusunun “talebin anlaşılamadığı” gerekçesiyle ek bilgi istemesine veya süreci uzatmasına neden olabilir. Başvurunuzda, verilerinizin hangi amaçla işlendiğini bildiğinizi veya hangi verinin silinmesini istediğinizi somutlaştırmanız, veri sorumlusunun cevap verme yükümlülüğünü netleştirir. Bu açıklık, Kurul nezdindeki şikâyet dosyanızın incelenme hızını doğrudan etkileyen bir unsurdur.
Veri Sorumlusunun Cevap Vermeme Sürecinde İdari ve Hukuki Riskler
Veri sorumlusunun 30 günlük süre içinde cevap vermemesi, sadece bir idari şikâyet konusu değil, aynı zamanda veri sorumlusunun aydınlatma ve bilgilendirme yükümlülüğünü ihlal ettiğinin bir göstergesidir. Kurul, şikâyet incelemesi sırasında veri sorumlusunun başvuruya cevap vermeme nedenini sorgulayabilir ve bu durumun sistematik bir ihmal olup olmadığını değerlendirebilir. Eğer veri sorumlusu, başvuruyu teknik bir hata veya sistem arızası nedeniyle gözden kaçırdığını iddia ederse, bu durum sorumluluğu ortadan kaldırmaz; ancak Kurulun vereceği idari yaptırım kararının gerekçesinde dikkate alınabilir.
İlgili kişi olarak, veri sorumlusunun cevap vermemesi durumunda, Kurul şikâyeti dışında, verilerinizin işlenmeye devam etmesi nedeniyle oluşabilecek zararların önlenmesi için ihtiyati tedbir yolları da değerlendirilmelidir. Özellikle verilerin üçüncü kişilere aktarılması veya hukuka aykırı şekilde profillenmesi gibi durumlarda, genel mahkemelerden verilerin işlenmesinin durdurulmasına yönelik geçici koruma talep edilebilir. Bu yol, Kurulun idari incelemesinden bağımsız olarak, zararın büyümesini engellemek amacıyla başvurulabilecek hızlı bir hukuki mekanizmadır.
Sık Sorulan Sorular
Veri sorumlusuna başvurmadan doğrudan dava açabilir miyim?
Kurula şikâyet başvurusu yapabilmek için veri sorumlusuna ön başvuru zorunludur. Ancak tazminat davası gibi genel hukuk yolları için bu başvuru şartı aranmaz.
30 gün içinde cevap gelmezse ne yapmalıyım?
Başvurunuzun ulaştığını kanıtlayan belgelerle birlikte, 60 günlük şikâyet süresini geçirmeden Kişisel Verileri Koruma Kuruluna şikâyet başvurusunda bulunabilirsiniz.
Şikâyet başvurusu ücretli midir?
Hayır, Kişisel Verileri Koruma Kuruluna yapılan şikâyet başvuruları ücretsizdir.
Kurulun kararına itiraz edebilir miyim?
Evet, Kurul kararlarına karşı idari yargı mercilerinde iptal davası açma hakkınız bulunmaktadır.