Kişisel Verileri Koruma Kurulu'na Şikâyet

Kurul'a şikâyet için hangi şartlar gerekir?

Kurul'a şikâyet, kişisel verileri koruma alanında kişinin elindeki en etkili idari yoldur; ancak kanun bu yolu belirli şartlara bağlamıştır.

Veri sorumlusuna başvuru şartı, ilgili kişinin hakkını doğrudan Kurul'dan isteme imkânını kaldırmaz; amaç, uyuşmazlığın önce taraflar arasında çözülebilmesidir. Bununla birlikte Kurul, ihbar veya kendi tespiti üzerine resen de inceleme başlatabilir (KVKK m. 15). Bu durumda ilgili kişinin önce veri sorumlusuna başvurması gerekmez; ancak ihbar eden kişi Kurul kararının tarafı sayılmaz.

Şikâyet nasıl yapılır?

1. Veri sorumlusuna başvurunun belgelenmesi: Başvuru dilekçesinin ve varsa veri sorumlusunun cevabının bir örneği hazırlanır. Başvurunun ne zaman yapıldığı ve cevabın ne zaman öğrenildiği tarihleriyle gösterilmelidir.
2. Şikâyet dilekçesi: Şikâyet Kişisel Verileri Koruma Kurumu'nun internet sitesindeki şikâyet sistemi üzerinden elektronik olarak veya Kurum'a yazılı dilekçeyle yapılır.
3. Şikâyetin içeriği: Şikâyet edenin kimlik ve iletişim bilgileri, veri sorumlusunun unvanı ve adresi, ihlalin ne olduğu, hangi kişisel verilerin etkilendiği ve talep açıkça yazılır.
4. Deliller: Ekran görüntüleri, e-posta ve mesaj kayıtları, sözleşmeler, aydınlatma metinleri, ticari ileti örnekleri ve veri sorumlusuyla yapılan yazışmalar eklenir.

Şikâyette hangi bilgiler yer almalı?

Hangi durumlarda Kurul'a şikâyet edilebilir?

Uygulamada Kurul'a en sık şikâyet edilen durumlar şunlardır:

• İzinsiz ticari ileti ve arama: Açık rıza veya ticari ileti onayı alınmadan gönderilen SMS, e-posta ve yapılan aramalar.
• Silme talebinin yerine getirilmemesi: Üyelik veya müşteri ilişkisi sona erdiği halde verilerin silinmemesi.
• Verilerin üçüncü kişilerle paylaşılması: Kişisel verilerin aydınlatma yapılmadan veya hukuki dayanak olmadan başka şirketlere aktarılması.
• İşyerinde aşırı izleme: Çalışanların e-postalarının, konumlarının veya kamera kayıtlarının ölçüsüz biçimde izlenmesi.
• Sağlık verilerinin paylaşılması: Hastane, laboratuvar veya işveren tarafından sağlık bilgilerinin yetkisiz kişilere açıklanması.
• Veri güvenliği eksiklikleri: Kişisel verilerin herkesin erişebileceği ortamlarda bırakılması veya ihlal sonrası gerekli bildirimlerin yapılmaması.
• Bilgi talebinin cevapsız bırakılması: İlgili kişinin verileri hakkında bilgi isteyen başvurusunun 30 gün içinde cevaplanmaması.

Şikâyet edilen davranışın kişisel veri işleme niteliğinde olması gerekir. Bir kişinin kendi ailesi veya yakın çevresiyle sınırlı faaliyetleri, resmî istatistik ve kamu güvenliği gibi bazı işlemler kanunun kapsamı dışındadır ya da kanunun bazı hükümlerinden muaftır (KVKK m. 28).

Kurul şikâyeti nasıl inceler?

Kurul, şikâyet üzerine veri sorumlusundan savunma ve ilgili belgeleri ister. Veri sorumlusu, Kurul'un talep ettiği bilgi ve belgeleri 15 gün içinde göndermek ve gerektiğinde yerinde inceleme yapılmasına imkân sağlamak zorundadır (KVKK m. 15/3). Kurul, şikâyeti kanunda öngörülen süre içinde cevaplamazsa şikâyet reddedilmiş sayılır. İnceleme sonunda Kurul;

• Hukuka aykırılık tespit ederse veri sorumlusuna ihlalin giderilmesi için talimat verir ve bu talimat tebliğten itibaren en geç 30 gün içinde yerine getirilir (KVKK m. 15/5).
• Şartları varsa veri sorumlusu hakkında idari para cezası uygular (KVKK m. 18).
• İhlalin yaygın olduğunu tespit ederse bu konuda ilke kararı alarak yayımlayabilir (KVKK m. 15/6).
• Telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılık olması halinde veri işlenmesinin veya verilerin yurt dışına aktarılmasının durdurulmasına karar verebilir (KVKK m. 15/7).

Kurul kararına karşı ne yapılabilir?

7499 sayılı Kanun'la yapılan ve 1 Haziran 2024'te yürürlüğe giren değişiklikten sonra, idari para cezaları dahil Kurul'un tüm kararlarına karşı idare mahkemesinde dava açılır. Bu yol hem şikâyeti reddedilen ilgili kişi hem de hakkında yaptırım kararı verilen veri sorumlusu için geçerlidir. Dava, kararın tebliğinden itibaren genel idari dava süresi olan 60 gün içinde açılmalıdır (İYÜK m. 7).

Kurul'a şikâyet ile tazminat davası arasındaki fark nedir?

Kurul'a şikâyet idari bir yoldur; sonucunda veri sorumlusuna talimat verilir veya idari para cezası uygulanır, ancak şikâyet edene tazminat ödenmez. Kişisel verilerinin hukuka aykırı işlenmesi nedeniyle maddi veya manevi zarara uğrayan kişi, tazminat için ayrıca genel hükümlere göre mahkemede dava açmalıdır (KVKK m. 11/1-ğ; TBK m. 49, 58). Verilerin hukuka aykırı olarak başkasına verilmesi veya ele geçirilmesi suç oluşturuyorsa savcılığa da şikâyette bulunulabilir (TCK m. 136). Bu üç yol birbirinden bağımsızdır ve birlikte kullanılabilir.