İlgili kişinin başvuru hakkı ve Kurula şikâyet

Kişisel verilerin korunması mevzuatı, ilgili kişiye doğrudan kullanabileceği bir dizi hak tanır. Bu hakların kullanımı iki aşamalıdır: önce veri sorumlusuna başvuru, sonra gerekirse Kurula şikâyet. Bu sıra zorunludur ve atlanması şikâyetin reddine yol açar.

İlgili kişinin hakları

KVKK m.11/1: herkes, veri sorumlusuna başvurarak kendisiyle ilgili;

• a) Kişisel veri işlenip işlenmediğini öğrenme,
• b) Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
• c) Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
• ç) Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
• d) Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
• e) 7 nci maddede öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme

ve devamındaki hakları kullanabilir. Sayım ayrıca, düzeltme ve silme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme, işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhe bir sonucun ortaya çıkmasına itiraz etme ve verilerin kanuna aykırı işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme haklarını içerir.

Bu haklar herkese tanınmıştır; ilgili kişinin bir sözleşme ilişkisi içinde olması gerekmez.

(ç) bendi özellikle değerlidir: ilgili kişi, verilerinin kimlere aktarıldığını öğrenme hakkına sahiptir. Bu, aktarım zincirinin izlenmesini sağlar.

(e) bendi, m.7'ye atıf yapar: bu Kanun ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel veriler silinir, yok edilir veya anonim hâle getirilir. Yani silme talebi, işlemeyi gerektiren sebebin ortadan kalkmış olmasına bağlıdır.

Veri sorumlusuna başvuru

KVKK m.13/1: ilgili kişi, bu Kanunun uygulanmasıyla ilgili taleplerini yazılı olarak veya Kurulun belirleyeceği diğer yöntemlerle veri sorumlusuna iletir.

Başvuru yazılı olmalı veya Kurulun belirlediği yöntemlerden biriyle yapılmalıdır. Başvurunun tarihi, sonraki sürelerin hesabında esas alınacağından, tebliğ veya kayıt tarihinin ispatlanabilir olması önemlidir.

m.13/2: veri sorumlusu başvuruda yer alan talepleri, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırır. Ancak, işlemin ayrıca bir maliyeti gerektirmesi hâlinde, Kurulca belirlenen tarifedeki ücret alınabilir.

İki kural vardır:

• Cevap süresi en geç otuz gündür; "en kısa sürede" ifadesi, talebin niteliğine göre daha kısa sürede cevap verilmesini gerektirebilir.
• Başvuru kural olarak ücretsizdir; ancak işlem ayrıca bir maliyet gerektiriyorsa Kurulca belirlenen tarifedeki ücret alınabilir.

m.13/3: veri sorumlusu talebi kabul eder veya gerekçesini açıklayarak reddeder ve cevabını ilgili kişiye yazılı olarak veya elektronik ortamda bildirir. Talebin kabulü hâlinde gereği yerine getirilir. Başvurunun veri sorumlusunun hatasından kaynaklanması hâlinde alınan ücret ilgiliye iade edilir.

Bu fıkradan üç yükümlülük çıkar:

• Ret hâlinde gerekçe açıklanmalıdır. Gerekçesiz ret, sonraki şikâyet aşamasında aleyhe değerlendirilir.
• Cevap yazılı veya elektronik ortamda bildirilmelidir.
• Başvuru veri sorumlusunun hatasından kaynaklanıyorsa alınan ücret iade edilir.

Kurula şikâyet

KVKK m.14/1: başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde başvuruya cevap verilmemesi hâllerinde; ilgili kişi, veri sorumlusunun cevabını öğrendiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunabilir.

Üç şikâyet sebebi sayılmıştır:

• Başvurunun reddedilmesi,
• Verilen cevabın yetersiz bulunması,
• Süresinde başvuruya cevap verilmemesi.

İkinci sebep önemlidir: cevap verilmiş olsa dahi, yetersiz bulunuyorsa şikâyet yolu açıktır.

İki ayrı süre birlikte işler:

• Cevabı öğrenme tarihinden itibaren otuz gün,
• Her hâlde başvuru tarihinden itibaren altmış gün.

İkinci süre mutlaktır: veri sorumlusu hiç cevap vermese dahi, başvurudan itibaren altmış gün geçtikten sonra şikâyet edilemez.

Bu nedenle başvuru tarihi takvime işlenmeli ve otuz günlük cevap süresinin dolmasının ardından, kalan otuz gün içinde şikâyet yoluna gidilmelidir.

Başvuru yolunun tüketilmesi zorunluluğu

KVKK m.14/2: 13 üncü madde uyarınca başvuru yolu tüketilmeden şikâyet yoluna başvurulamaz.

Bu, mutlak bir usul kuralıdır. Doğrudan Kurula yapılan şikâyet, başvuru yolu tüketilmediği gerekçesiyle sonuçsuz kalır.

Uygulamada en sık yapılan hata budur: ilgili kişiler, veri sorumlusuna başvurmadan doğrudan Kurula şikâyette bulunmakta ve süre kaybetmektedir.

Doğru sıra şudur:

1. Veri sorumlusuna yazılı başvuru (m.13/1),
2. Otuz günlük cevap süresinin beklenmesi (m.13/2),
3. Ret, yetersiz cevap veya cevapsızlık hâlinde Kurula şikâyet (m.14/1).

Tazminat hakkının saklılığı

KVKK m.14/3: kişilik hakları ihlal edilenlerin, genel hükümlere göre tazminat hakkı saklıdır.

Bu fıkra iki şey söyler:

• Kurula şikâyet yolu, tazminat davası açma hakkını ortadan kaldırmaz.
• Tazminat, genel hükümlere göre istenir.

Dolayısıyla idari ve yargısal yollar paralel yürütülebilir. Kurul kararı, tazminat davasında delil olarak kullanılabilir.

Ayrıca m.11'in son bendi uyarınca ilgili kişi, kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme hakkına sahiptir; bu talep veri sorumlusuna doğrudan yöneltilebilir.

Veri sorumlusunun hazırlığı

Veri sorumlusu bakımından, m.13'teki otuz günlük süre bir süreç kurulmasını gerektirir:

• Başvuru kanalı. Başvuruların hangi adrese ve hangi yöntemlerle yapılacağı aydınlatma metinlerinde gösterilmelidir.
• Kayıt. Gelen başvurular tarihiyle birlikte kayda alınmalı; otuz günlük süre takip edilmelidir.
• Kimlik doğrulama. Başvuranın ilgili kişi olduğunun doğrulanması gerekir; aksi hâlde üçüncü kişiye veri açıklanması riski doğar.
• Veri envanteri. m.11'deki talepleri karşılayabilmek için hangi verinin nerede tutulduğu bilinmelidir. Envanteri bulunmayan bir kuruluş, "hangi verileriniz işleniyor" sorusuna süresinde cevap veremez.
• Gerekçeli ret şablonu. m.13/3 uyarınca ret gerekçeli olmalıdır.
• Aktarım kayıtları. m.11/1-ç uyarınca verilerin aktarıldığı üçüncü kişiler bildirilebilmelidir.

Bu hazırlık yapılmadığında otuz günlük süre fiilen kaçırılır ve m.14/1 uyarınca şikâyet yolu açılır.

Örnek senaryo

Bir kişi, bir şirketten hizmet almayı bırakmasına rağmen tanıtım mesajları almaya devam etmektedir. Şirkete yazılı başvurarak verilerinin silinmesini ve hangi üçüncü kişilere aktarıldığını sormuştur. Şirket kırk beş gün sonra, gerekçe göstermeksizin talebi reddetmiştir.

Değerlendirme:

1. Talep dayanakları. Silme talebi m.11/1-e ve m.7; aktarım bilgisi talebi m.11/1-ç kapsamındadır.
2. Cevap süresi aşımı. m.13/2 uyarınca cevap en geç otuz gün içinde verilmelidir. Kırk beş günlük cevap bu süreyi aşmıştır ve tek başına şikâyet sebebidir (m.14/1).
3. Gerekçesiz ret. m.13/3 uyarınca ret gerekçesi açıklanarak yapılmalıdır. Gerekçesiz ret bu hükme aykırıdır.
4. Şikâyet süreleri. m.14/1 uyarınca cevabı öğrenme tarihinden itibaren otuz gün, her hâlde başvuru tarihinden itibaren altmış gün içinde şikâyet edilmelidir.
5. Kritik hesap. Cevap kırk beşinci günde geldiğinden, altmış günlük mutlak sürenin dolmasına on beş gün kalmıştır. Şikâyet bu süre içinde yapılmalıdır; aksi hâlde otuz günlük süre dolmamış olsa dahi hak düşer.
6. Başvuru yolunun tüketilmesi. m.14/2 uyarınca başvuru yapılmış olduğundan bu koşul sağlanmıştır.
7. Silme talebinin esası. m.7/1 uyarınca işlemeyi gerektiren sebeplerin ortadan kalkıp kalkmadığı değerlendirilir. Hizmet ilişkisi sona ermişse ve saklamayı gerektiren bir mevzuat hükmü yoksa silme yükümlülüğü doğar.
8. Tazminat. m.14/3 uyarınca kişilik hakları ihlal edilmişse genel hükümlere göre tazminat hakkı saklıdır.

Sık yapılan hatalar

• Doğrudan Kurula şikâyet edilmesi. m.14/2 uyarınca önce veri sorumlusuna başvurulmalıdır.
• Altmış günlük mutlak sürenin gözden kaçırılması. Veri sorumlusu geç cevap verdiğinde bu süre kritik hâle gelir.
• Başvuru tarihinin ispatlanamaması. Tüm süreler bu tarihe bağlıdır.
• Gerekçesiz ret verilmesi. m.13/3 gerekçe arar; gerekçesizlik şikâyette aleyhe değerlendirilir.
• Otuz günlük cevap süresinin aşılması. Tek başına şikâyet sebebidir.
• Kimlik doğrulamasının yapılmaması. Üçüncü kişiye veri açıklanması riski doğurur.
• Veri envanteri bulunmaması. m.11'deki taleplere süresinde cevap verilmesini imkânsız kılar.
• Tazminat hakkının şikâyetle tükendiğinin sanılması. m.14/3 bu hakkı saklı tutar.