Kısa cevap
Bir şirket GDPR talebinizi — verilerinizin bir kopyasını, silme işlemini, açıklamadığı bir veri ihlalini — yok sayar ya da reddederse, 77. madde uyarınca bir veri koruma otoritesine ücretsiz şikâyette bulunabilirsiniz; bu genellikle yaşadığınız veya çalıştığınız ülkenin otoritesidir. Meta, Google veya TikTok için İrlanda’ya gitmeniz gerekmez: kendi otoriteniz şikâyeti alır ve GDPR’ın tek durak mekanizması uyarınca şirketin AB ana kuruluşunun bulunduğu ülkedeki öncü otoriteyle çalışır. Önce şirkete fırsat verin: bir ay içinde yanıt vermek zorundadır, karmaşık taleplerde iki ay uzatabilir; İrlanda Veri Koruma Komisyonu da konuyu önce kuruma iletmiş olmanızı ister. Otorite üç ay içinde şikâyetinizin durumunu bildirmezse mahkemeye gidebilirsiniz. Türkiye’de yaşıyorsanız KVKK ve Kişisel Verileri Koruma Kurulu geçerlidir.
Şikâyetten önce: şirkete başvurun
Veri koruma otoriteleri önce şirkete başvurmuş olmanızı bekler. İrlanda Veri Koruma Komisyonu (DPC) konuyu doğrudan kuruma iletmiş olmanızı şart koşar; Birleşik Krallık’taki ICO çoğu durumda bunu önerir. 12. maddeye göre şirket talebinizi bir ay içinde karşılamalıdır. Karmaşık veya çok sayıda talepte süreyi iki ay daha uzatabilir, ancak bunu ilk ay içinde ve gerekçesiyle bildirmek zorundadır.
Talebi yazılı olarak, şirketin gizlilik politikasında belirtilen gizlilik iletişim kanalından gönderin ve kanıt saklayın: tarih, gönderdiğinizin kopyası, varsa referans numarası. Verilerinizi istiyorsanız GDPR erişim talebi nasıl yapılır, silme için silme hakkı rehberine bakın.
Hangi otorite: Meta, Google veya TikTok için bile kendi ülkenizinki
Yaşadığınız, çalıştığınız veya ihlalin gerçekleştiği ülkenin otoritesine şikâyet edebilirsiniz. Sınır ötesi dosyalarda GDPR’ın tek durak mekanizması, şirketin AB ana kuruluşunun bulunduğu ülkenin otoritesini öncü otorite yapar; Meta, Google ve TikTok’un ana kuruluşları İrlanda’dadır, dolayısıyla öncülüğü DPC üstlenir. Siz yine kendi otoritenizle, kendi dilinizde muhatap olursunuz; o da öncü otoriteyle işbirliği yapar. Avrupa Veri Koruma Kurulu üye listesini yayımlar:
| Ülke | Otorite | Web sitesi |
|---|---|---|
| İrlanda | Veri Koruma Komisyonu (DPC) | dataprotection.ie |
| Almanya | Yaşadığınız eyaletin veri koruma otoritesi; federal BfDI hepsini listeler | bfdi.bund.de |
| Avusturya | Datenschutzbehörde (DSB) | dsb.gv.at |
| Fransa | CNIL | cnil.fr |
| Belçika | Veri Koruma Otoritesi (APD/GBA) | autoriteprotectiondonnees.be |
| Hollanda | Autoriteit Persoonsgegevens | autoriteitpersoonsgegevens.nl |
| Lüksemburg | CNPD | cnpd.lu |
| İtalya | Garante per la protezione dei dati personali | garanteprivacy.it |
| İspanya | AEPD | aepd.es |
| Portekiz | CNPD | cnpd.pt |
| Polonya | UODO | uodo.gov.pl |
| İsveç | IMY | imy.se |
| Norveç (AEA) | Datatilsynet | datatilsynet.no |
| Birleşik Krallık | Bilgi Komiserliği (ICO), UK GDPR kapsamında | ico.org.uk · 0303 123 1113 |
| İsviçre | Federal Veri Koruma ve Bilgi Komiseri (FDPIC), İsviçre FADP kapsamında | edoeb.admin.ch |
| Türkiye | Kişisel Verileri Koruma Kurulu, KVKK kapsamında (GDPR değil) | kvkk.gov.tr |
Güçlü bir şikâyet nasıl yapılır?
- Otoritenin çevrim içi formunu kullanın; DPC’ninki forms.dataprotection.ie/contact adresindedir. Avukat gerekmez, ücret yoktur.
- Ne istediğinizi ve ne zaman istediğinizi yazın: “2 Eylül’de gönderilen 15. madde kapsamındaki erişim talebi”.
- Ne yanıt geldiğini gösterin: yanıt yok, ret, eksik dosya, şablon cevap.
- Söz konusu hakkı adlandırın: erişim (15. madde), silme (17. madde), itiraz, ihlal sonrası işleme güvenliği.
- DPC’nin istediği kanıtları ekleyin: talebiniz, yanıtlar, ekran görüntüleri, referans numaraları.
- Ne istediğinizi söyleyin: veriler, silme, açıklama. Otorite istemedikçe kimlik belgesi göndermeyin.
Sonra ne olur ve süreler
| Adım | Süre |
|---|---|
| Şirket talebinizi yanıtlar | Bir ay; ilk ay içinde bildirirse karmaşık taleplerde iki ay daha (12. madde) |
| Otorite şikâyetiniz hakkında bilgi verir | Üç ay içinde; vermezse otoriteye karşı mahkemeye gidebilirsiniz (78. madde) |
| DPC’nin kendi taahhüdü | Üç ay içinde ara bilgi veya sonuç raporu, ardından düzenli güncellemeler |
| Şirkete karşı dava | Her zaman mümkün, tazminat dâhil (79 ve 82. maddeler) |
DPC önce konunun yetki alanında olup olmadığını kontrol eder, ardından sonuç vermesi muhtemelse dostane çözüm arar. Olmazsa şikâyeti reddedebilir veya düşürebilir, tavsiyede bulunabilir, uygulama bildirimi verebilir ya da soruşturma açabilir; soruşturmalar genellikle ciddi veya sistemik ihlallere ayrılır. Sınır ötesi dosyalar, otoriteler işbirliği yapmak zorunda olduğundan daha uzun sürer.
Hack’lenen veya yasaklanan hesaptan sonra tipik şikâyetler
- Ele geçirmeden sonra giriş geçmişiniz, cihazlarınız ve IP adresleriniz için yaptığınız erişim talebine yanıt verilmemesi.
- Kapattığınız ya da adınıza açılmış bir hesabın verilerini silmeyi reddetme.
- Şirketin açıklamadığı bir veri ihlali; bkz. veri ihlalinden sonra ne yapmalı.
- Bir sitenin veya arama motorunun kaldırmadığı arama sonuçlarındaki kişisel veriler; bkz. kişisel bilgileri kaldırmak.
Veri koruma otoritesi askıya alınmış bir hesabı geri açamaz: bu bir içerik denetimi kararıdır ve platform ile DSA yollarıyla itiraz edilir. Ama bir şirketin verilerinizi teslim etmesini veya silmesini sağlayabilir. Bu iki yolu sonuç kaldırma ve gizlilik çalışmamızda birlikte yürütüyoruz.
Sık sorulan sorular
Meta veya TikTok için İrlanda’daki otoriteye mi şikâyet etmeliyim?
Hayır. Kendi otoritenize, kendi dilinizde şikâyet edin. Tek durak mekanizması uyarınca o, AB ana kuruluşu İrlanda’da olan şirketlerin dosyalarına öncülük eden İrlanda Veri Koruma Komisyonu ile işbirliği yapar.
GDPR şikâyeti ücretli mi?
Hayır. Veri koruma otoritelerine şikâyet ücretsizdir ve avukat gerekmez.
Ne kadar sürer?
Otorite üç ay içinde şikâyetinizin durumunu bildirmek zorundadır. Basit dosyalar daha erken bitebilir; sınır ötesi dosyalar çoğu zaman daha uzun sürer.
Türkiye’de yaşıyorum. GDPR bana uygulanır mı?
Doğrudan değil; Türkiye’de KVKK geçerlidir. Önce veri sorumlusuna başvurursunuz; 30 gün içinde yanıt gelmez ya da yanıt yetersizse Kişisel Verileri Koruma Kurulu’na şikâyet edebilirsiniz. AB’de yaşayan Türk vatandaşları ise GDPR’dan yararlanır.
Kaynaklar: Genel Veri Koruma Tüzüğü — (AB) 2016/679 sayılı Tüzük, 12, 15, 17, 56 ve 77–82. maddeler, Avrupa Veri Koruma Kurulu — üyeler (ulusal otoriteler), Veri Koruma Komisyonu (İrlanda) — bireyler için şikâyet süreci, ICO — veri koruma şikâyetleri (Birleşik Krallık)