Veri Sorumlusuna Başvuru, Kurula Şikâyet ve İdari Para Cezasına İtiraz

Kişisel veri uyuşmazlıklarında en sık yapılan usul hatası, sürelerin ve sıranın kaçırılmasıdır. Doğrudan Kurul'a yapılan şikâyet usulden reddedilir; veri sorumlusuna yapılan başvuruya süresinde cevap verilmemesi ayrı bir aykırılık doğurur; idari para cezasına karşı yanlış yerde açılan dava süre kaybına yol açar. Aşağıda süreç, ilgili kişi ve veri sorumlusu bakımından adım adım ele alınmaktadır.

Önce veri sorumlusuna başvuru

6698 sayılı Kanun'un 13. maddesi, ilgili kişinin bu Kanun'un uygulanmasıyla ilgili taleplerini yazılı olarak veya Kurul'un belirleyeceği diğer yöntemlerle veri sorumlusuna iletmesini öngörür. 14. maddenin ikinci fıkrası ise 13. maddedeki bu yolun tüketilmesini şart koşar:

Başvuru yolu tüketilmeden şikâyet yoluna başvurulamaz.

Bu, zorunlu bir ön başvuru şartıdır. Doğrudan Kurum'a yapılan şikâyet, veri sorumlusuna başvurulmadığı gerekçesiyle reddedilir. Kurum'un ilgili kişiyi veri sorumlusuna yönlendirmesi hâlinde süreler yeniden işlemeye başlar ve zaman kaybedilir.

İlgili kişinin talep edebileceği hususlar Kanun'un 11. maddesinde sayılmıştır:

• Kişisel verisinin işlenip işlenmediğini öğrenme
• İşlenmişse buna ilişkin bilgi talep etme
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme
• Yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme
• Eksik veya yanlış işlenmiş olması hâlinde düzeltilmesini isteme
• Kanun'un 7. maddesindeki şartlar çerçevesinde silinmesini veya yok edilmesini isteme
• Düzeltme, silme ve yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme
• Münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhe bir sonuç doğmasına itiraz etme
• Kanun'a aykırı işleme sebebiyle uğranılan zararın giderilmesini talep etme

Başvuru nasıl yapılır

Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ, 10 Mart 2018 tarihli ve 30356 sayılı Resmî Gazete'de yayımlanmıştır ve başvurunun şeklini, içeriğini ve ücretini düzenler. Tebliğ uyarınca başvurunun Türkçe yapılması gerekir.

Başvuru şu yollardan biriyle yapılabilir:

• Yazılı olarak; ıslak imzalı bir dilekçenin elden verilmesi, noter aracılığıyla ya da posta yoluyla gönderilmesi
• Kayıtlı elektronik posta adresi kullanılarak
• Güvenli elektronik imza veya mobil imza ile
• İlgili kişi tarafından veri sorumlusuna daha önce bildirilen ve veri sorumlusunun sisteminde kayıtlı bulunan elektronik posta adresi kullanılarak
• Başvuru amacına yönelik geliştirilmiş bir yazılım ya da uygulama vasıtasıyla

Dördüncü seçenek uygulamada sık yanlış anlaşılır. Herhangi bir e-posta adresinden gönderilen ileti geçerli bir başvuru sayılmayabilir; adresin veri sorumlusunun sisteminde kayıtlı olması aranır.

Başvuruda bulunması zorunlu bilgiler şunlardır: ad, soyad ve başvuru yazılı ise imza; Türkiye Cumhuriyeti vatandaşları için kimlik numarası, yabancılar için uyruğu, pasaport numarası veya varsa kimlik numarası; tebligata esas yerleşim yeri veya iş yeri adresi; varsa bildirime esas elektronik posta adresi, telefon ve faks numarası; talep konusu. Konuya ilişkin bilgi ve belgeler de başvuruya eklenir.

Başvuru tarihinin nasıl belirlendiği süre hesabı bakımından önemlidir. Yazılı başvurularda veri sorumlusuna veya temsilcisine evrakın tebliğ edildiği tarih, diğer yöntemlerle yapılan başvurularda ise başvurunun veri sorumlusuna ulaştığı tarih başvuru tarihidir.

Talebin somut ve anlaşılır olması sürecin sağlıklı işlemesi bakımından önemlidir. Hangi verinin, hangi tarih aralığında, hangi işleme faaliyetiyle ilgili olduğunun belirtilmesi, veri sorumlusunun cevabını da somutlaştırır.

Veri sorumlusunun 30 günü

Veri sorumlusu, başvuruda yer alan talepleri, talebin niteliğine göre en kısa sürede ve en geç 30 gün içinde ücretsiz olarak sonuçlandırır. Talep kabul edilir veya gerekçesi açıklanarak reddedilir. Cevap yazılı olarak ya da elektronik ortamda ilgili kişiye bildirilir. Talebin kabulü hâlinde gereğinin en kısa sürede yerine getirilmesi ve ilgili kişiye bilgi verilmesi de gerekir.

Cevap yazısının içeriği de belirlenmiştir. Yazıda veri sorumlusuna veya temsilcisine ait bilgiler; başvuru sahibinin adı, soyadı, kimlik veya pasaport numarası, tebligata esas adresi, varsa elektronik posta adresi, telefon ve faks numarası; talep konusu ve veri sorumlusunun başvuruya ilişkin açıklamaları bulunmalıdır.

Başvurunun reddedilmesi hâlinde gerekçenin gösterilmesi zorunludur. Gerekçesiz ret, süresinde cevap verilmemiş gibi sonuç doğurabilir. Talebin bir kısmının kabul, bir kısmının reddi hâlinde her bir talep bakımından ayrı ayrı değerlendirme yapılması beklenir.

Veri sorumlusu bakımından pratik bir gereklilik, başvuruların kaydedildiği bir kayıt düzeni kurulmasıdır. Başvurunun geldiği tarih, kime yönlendirildiği, ne zaman cevaplandığı ve cevabın nasıl tebliğ edildiği kayıt altına alınmalıdır. Kurul incelemelerinde bu kayıtlar sorulmaktadır. Başvuruların ulaşacağı kanalın aydınlatma metninde açıkça gösterilmesi de gecikmeleri önler.

Ücret alınabilir mi

Başvurunun cevaplanması kural olarak ücretsizdir. Ancak işlemin ayrıca bir maliyet gerektirmesi hâlinde Kurul'ca belirlenen tarifedeki ücret alınabilir.

Tebliğ'in 7. maddesine göre, cevabın yazılı olarak verilmesi hâlinde 10 sayfaya kadar ücret alınmaz; 10 sayfanın üzerindeki her sayfa için 1 Türk lirası işlem ücreti alınabilir. Cevabın CD veya taşınabilir bellek gibi bir kayıt ortamında verilmesi hâlinde ise talep edilebilecek ücret kayıt ortamının maliyetini geçemez.

Başvurunun veri sorumlusunun hatasından kaynaklanması hâlinde alınan ücret ilgili kişiye iade edilir. Ücret talebinin cevap süresini uzatmadığı da unutulmamalıdır; ücret istenmesi, 30 günlük süre içinde cevap verilmesi yükümlülüğünü askıya almaz.

Kurul'a şikâyet: 30 ve 60 günlük süreler

Kanun'un 14. maddesi iki süreyi birlikte öngörmüştür ve ikisi de aynı anda gözetilir.

Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâllerinde ilgili kişi, veri sorumlusunun cevabını öğrendiği tarihten itibaren 30 gün ve her hâlde başvuru tarihinden itibaren 60 gün içinde Kurul'a şikâyette bulunabilir.

İki sürenin ilişkisi şöyle kurulur. Cevap alınmışsa 30 günlük süre cevabın öğrenilmesiyle başlar; ancak bu süre, başvuru tarihinden itibaren 60 günlük azami süreyi aşacak biçimde uzayamaz. Cevap hiç verilmemişse 30 günlük cevap süresinin dolmasının ardından, başvuru tarihinden itibaren işleyen 60 günlük süre içinde şikâyet yoluna gidilir.

Uygulamada en sık yapılan hata, veri sorumlusunun geç verdiği cevabın beklenmesi sırasında 60 günlük azami sürenin dolmasıdır. Cevabın gecikmesi, azami süreyi uzatmaz. Bu nedenle 30 günlük cevap süresi dolduğunda başvuru sahibinin takvimini 60. güne göre kurması gerekir.

Şikâyet, Kurum'un şikâyet modülü üzerinden ya da yazılı olarak yapılabilir. Şikâyet dilekçesine veri sorumlusuna yapılan başvurunun ve varsa alınan cevabın da eklenmesi gerekir. Şikâyetin, 3071 sayılı Dilekçe Hakkının Kullanılmasına Dair Kanun'un 6. maddesindeki şartları taşıması aranır; bu şartları taşımayan ihbar veya şikâyetler incelemeye alınmaz.

Şikâyet ile ihbar arasındaki fark

İki kavram farklıdır. Şikâyet, ilgili kişinin kendi kişisel verisine ilişkin olarak, ön başvuru şartını yerine getirdikten sonra yaptığı başvurudur ve Kurul, şikâyeti sonuçlandırıp ilgiliye cevap vermek zorundadır.

İhbar ise herhangi bir kişinin, Kanun hükümlerine aykırı bir uygulama olduğunu Kurum'a bildirmesidir. İhbarda ön başvuru şartı aranmaz ve süre sınırı yoktur; ancak ihbarda bulunana cevap verilmesi zorunluluğu da bulunmaz. Kurul, ihbarı yerinde görürse Kanun'un 15. maddesi uyarınca resen inceleme başlatabilir.

Süre kaçırılmış bir olayda ihbar yolu değerlendirilebilir; ancak bu, ilgili kişiye şikâyetin sağladığı usuli güvenceleri vermez.

Kurul'un incelemesi ve verebileceği kararlar

Kurul, şikâyet üzerine veya ihlal iddiasını öğrenmesi hâlinde resen, görev alanına giren konularda gerekli incelemeyi yapar. İnceleme konusuyla ilgili istenen bilgi ve belgelerin 15 gün içinde gönderilmesi ve gerektiğinde yerinde inceleme yapılmasına imkân sağlanması zorunludur; devlet sırrı niteliğindeki bilgi ve belgeler bu kapsamın dışındadır.

İnceleme sonunda ihlalin varlığı anlaşılırsa Kurul, tespit ettiği hukuka aykırılıkların veri sorumlusu tarafından giderilmesine karar verir ve ilgililere tebliğ eder. Bu karar, tebliğden itibaren gecikmeksizin ve en geç 30 gün içinde yerine getirilir.

Telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılık olması hâlinde Kurul, veri işlenmesinin veya verinin yurt dışına aktarılmasının durdurulmasına da karar verebilir.

Şikâyet tarihinden itibaren 60 gün içinde cevap verilmezse talep reddedilmiş sayılır. Bu zımni ret, dava süresinin işlemeye başlaması bakımından önemlidir.

Ayrıca Kurul, ihlalin yaygın olduğunu tespit etmesi hâlinde bu konuda ilke kararı alır ve yayımlar. İlke kararları yalnızca şikâyete konu veri sorumlusunu değil, aynı durumdaki tüm veri sorumlularını ilgilendirir; bu nedenle uyum çalışmalarında yayımlanan ilke kararlarının izlenmesi gerekir.

Süreler bir arada

• Veri sorumlusunun cevap süresi: başvuru tarihinden itibaren en geç 30 gün
• Cevap üzerine şikâyet süresi: cevabın öğrenildiği tarihten itibaren 30 gün
• Şikâyet için azami süre: başvuru tarihinden itibaren 60 gün
• Kurul'un istediği bilgi ve belgelerin gönderilmesi: 15 gün
• Kurul'un şikâyeti cevaplama süresi: şikâyet tarihinden itibaren 60 gün, aksi hâlde zımni ret
• Kurul kararının yerine getirilmesi: tebliğden itibaren gecikmeksizin ve en geç 30 gün
• İdari yargıda dava açma süresi: tebliğden ya da zımni ret tarihinden itibaren 60 gün

2026 yılı idari para cezaları

Kanun'un 18. maddesindeki idari para cezaları, Kabahatler Kanunu uyarınca her takvim yılı başından geçerli olmak üzere yeniden değerleme oranında artırılır. 2026 yılı için uygulanan oran yüzde 25,49'dur ve tutarlar şöyledir:

• Aydınlatma yükümlülüğünün yerine getirilmemesi: 85.437 TL ile 1.709.200 TL
• Veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi: 256.357 TL ile 17.092.242 TL
• Kurul kararlarının yerine getirilmemesi: 427.263 TL ile 17.092.242 TL
• Sicil'e kayıt ve bildirim yükümlülüğüne aykırılık: 341.809 TL ile 17.092.242 TL
• Standart sözleşmeye ilişkin bildirim yükümlülüğünün yerine getirilmemesi: 90.308 TL ile 1.806.177 TL

Bu tutarlar her takvim yılı başında yeniden değerleme oranına göre güncellenir; bu nedenle uygulanacak tutarın fiilin işlendiği yıla göre kontrol edilmesi gerekir.

Cezaların muhatabı bakımından bir ayrım vardır. İlk dört kalemdeki cezalar veri sorumlusu hakkında uygulanırken, standart sözleşmeye ilişkin bildirim yükümlülüğüne ait ceza veri sorumlusu veya veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanır. Fiilin kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenmesi hâlinde ise idari para cezası yerine, Kurul'un bildirimi üzerine görevliler hakkında disiplin hükümlerine göre işlem yapılır ve sonucu Kurul'a bildirilir.

Ceza miktarı belirlenirken kabahatin haksızlık içeriği, failin kusuru ve ekonomik durumu birlikte değerlendirilir.

Karara ve cezaya karşı dava yolu

Bu konuda 1 Haziran 2024 tarihinde önemli bir değişiklik yürürlüğe girmiştir. Önceki dönemde idari para cezalarına karşı Kabahatler Kanunu uyarınca sulh ceza hâkimliğine başvurulması gerektiği yönünde uygulama bulunuyor, buna karşılık Kurul'un diğer kararlarına karşı idari yargıya gidiliyordu. Bu ikili yapı görev tartışmalarına yol açıyordu.

7499 sayılı Kanun'la Kanun'un 18. maddesine eklenen fıkrayla, Kurul'ca verilen idari para cezalarına karşı da idare mahkemelerinde dava açılacağı düzenlenmiştir. Böylece Kurul'un tüm kararları bakımından idari yargı yolu benimsenmiştir. Değişikliğin yürürlüğe girdiği tarih itibarıyla sulh ceza hâkimliklerinde görülmekte olan başvuruların ise bu hâkimliklerce görülmeye devam edeceği ayrıca düzenlenmiştir.

Dava süresi, 2577 sayılı İdari Yargılama Usulü Kanunu uyarınca kararın tebliğinden itibaren 60 gündür. Şikâyet başvurusunun zımnen reddi hâlinde ise 60 günlük zımni ret süresinin dolduğu tarihten itibaren yeniden 60 gün içinde dava açılabilir.

Yetki bakımından, dava konusu idari işlemi yapan merciin bulunduğu yer idare mahkemesi yetkilidir. Kişisel Verileri Koruma Kurumu Ankara'da bulunduğundan, davanın Ankara idare mahkemelerinde açılması gündeme gelir.

Dava açılması kural olarak işlemin yürütmesini kendiliğinden durdurmaz. Yürütmenin durdurulması talebinin dava dilekçesinde ayrıca ileri sürülmesi gerekir. Özellikle veri işlemenin durdurulmasına ilişkin kararlarda bu talebin önemi büyüktür.

Tazminat ve ceza sorumluluğu ayrıdır

Kanun'un 14. maddesinin üçüncü fıkrası, kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkının saklı olduğunu belirtir. Bu talep, Kurul'a şikâyetten bağımsızdır ve genel görev kurallarına göre hukuk mahkemelerinde ileri sürülür. Kurul'un ihlal tespit etmiş olması tazminat davasında önemli bir delil oluşturabilir; ancak zararın ve nedensellik bağının ayrıca ispatı gerekir. Maddi zararın yanında manevi tazminat da talep edilebilir.

Ayrıca Kanun'un 17. maddesi, kişisel verilere ilişkin suçlar bakımından Türk Ceza Kanunu'nun 135 ila 140. madde hükümlerinin uygulanacağını söyler. Bu maddelerde kişisel verilerin hukuka aykırı olarak kaydedilmesi, verilmesi, yayılması veya ele geçirilmesi ile verileri yok etmeme suç olarak düzenlenmiştir. Kanun'un 7. maddesine aykırı olarak kişisel verileri silmeyen veya anonim hâle getirmeyenlerin de Türk Ceza Kanunu'nun 138. maddesine göre cezalandırılacağı ayrıca hükme bağlanmıştır. Bu fiiller bakımından Cumhuriyet başsavcılığına suç duyurusunda bulunulabilir.

Üç yol birbirinden bağımsız işler. İdari para cezası verilmemiş olması tazminat talebini engellemez; tazminat davasının reddi ceza soruşturmasını etkilemez.

Sık yapılan hatalar

• Veri sorumlusuna başvurmadan doğrudan Kurul'a şikâyette bulunulması.
• Başvurunun, veri sorumlusunun sisteminde kayıtlı olmayan bir e-posta adresinden gönderilmesi.
• Başvuruda kimlik ve adres bilgilerinin eksik bırakılması ve talebin somutlaştırılmaması.
• Geç gelen cevabın beklenmesi sırasında 60 günlük azami şikâyet süresinin doldurulması.
• Veri sorumlusunun talebi gerekçe göstermeksizin reddetmesi.
• Ücret talep edilerek cevap süresinin uzadığının sanılması.
• Zımni ret tarihinin hesaplanmaması ve dava süresinin kaçırılması.
• İdari para cezasına karşı sulh ceza hâkimliğine başvurulması.
• Yürütmenin durdurulması talebinin dava dilekçesinde ileri sürülmemesi.