Türkiye'de KVKK Kapsamında Veri Sahibi Taleplerini Yanıtlama

Şirketiniz Türkiye ile bağlantılı kişisel verileri işliyorsa, bireyler kendileri hakkında neleri tuttuğunuzu sorabilir ve bu konuda harekete geçmenizi talep edebilir. Türkiye'nin Kişisel Verilerin Korunması Kanunu (No. 6698 sayılı Kanun, "KVKKKVKK6698 sayılı Kişisel Verilerin Korunması KanunuTürkiye'nin veri koruma kanunu — kişisel verinin toplanması, saklanması ve aktarılmasına dair kurallar ile bunları uygulayan kurum.Sözlük →") kapsamında 11. madde, her veri sahibine (ilgili kişi) bir dizi hak tanır — verilerinin işlenip işlenmediğini öğrenme, bilgi ve kopya talep etme, düzeltme, silme isteme veya itiraz etme hakkı — ve 13. madde, veri sorumlusu (data controller) sıfatıyla sizi, başvurularını almakla ve kanunun belirlediği süre içinde yanıtlamakla yükümlü kılar. Bu rehber, şirketinizin yürütmesi gereken süreci, uymanız gereken süreyi ve kişinin konuyu Kişisel Verileri Koruma Kurulu'na taşıması halinde ne olacağını açıklar.

Veri sahibinin KVKK 11. madde kapsamındaki hakları nelerdir?

No. 6698 sayılı Kanun'un 11. maddesi, bir bireyin size karşı kullanabileceği hakları sıralar. Sade bir ifadeyle, verilerini işlediğiniz herhangi bir kişi sizden şunları talep edebilir:

• Verilerini işleyip işlemediğinizi öğrenme — basit bir evet ya da hayır.
• Verisi işleniyorsa, işleme amacını ve verilerin bu amaca uygun kullanılıp kullanılmadığını da içerecek şekilde bu işlemeye ilişkin bilgi talep etme.
• Alıcıları öğrenme — verilerin Türkiye içinde veya yurt dışında kimlere aktarıldığı.
• Veriler eksik veya yanlışsa düzeltme isteme ve verileri aktardığınız üçüncü kişilere bunu bildirmenizi talep etme.
• İşlemenin hukuki dayanağı ortadan kalktığında silinmesini veya yok edilmesini isteme, yine alıcılara bildirim yapılması talebiyle.
• Yalnızca otomatik analiz yoluyla aleyhine bir sonuç doğmasına itiraz etme.
• Hukuka aykırı işleme nedeniyle uğradığı zararın giderilmesini talep etme (bu kısım sizin iç birimimizden değil, mahkemeler yoluyla yürür).

"Veri sahibi" (ilgili kişi) ifadesi, verinin ait olduğu yaşayan bireyi anlatır — bir müşteri, bir çalışan, bir web sitesi ziyaretçisi, bir iş başvurusu sahibi. Bu haklar kişiye aittir, şirketinize değil; sözleşmeyle bunlardan vazgeçilmesini sağlayamazsınız.

Bir başvuru 13. madde uyarınca size nasıl ulaşır

Kanalı 13. madde belirler. Veri sahibi, veri sorumlusuna yazılı başvuru yapar — yani şirketinize — ya da kayıtlı veri sorumluları için Kurul'un onayladığı başka bir yöntemi kullanır. Kanun ve Kurul rehberliği başka biçimlere izin veriyorsa, talebin belirli bir biçimde olmasında ısrar edemezsiniz; önemli olan, kişiyi tanımlayabilmeniz ve ne istediğini anlayabilmenizdir.

İlk göreviniz kimlik doğrulamasıdır. Herhangi bir kişisel veriyi açıklamadan önce, başvuranın iddia ettiği kişi olduğunu teyit edin. Bir başkasının verisini bir sahtekâra teslim etmek başlı başına bir ihlaldir. Kimlik kontrolünüzü ölçülü tutun — emin olmaya yetecek kadar, ancak gerçek bir talebi engelleyecek ağırlıkta değil.

13. maddenin başvuruyu önce veri sorumlusuna yönlendirdiğini unutmayın. Bir veri sahibi normalde, size yanıt verme şansı tanımadan doğrudan Kurul'a gidemez. Bu da iç sürecinizi uyumun ön cephesi haline getirir.

Yanıt süresi — yasal süre içinde cevap verin

Şirketlerin en sık hata yaptığı kısım budur. 13. madde, talebi mümkün olan en kısa sürede ve en geç 30 gün içinde sonuçlandırmanızı, kural olarak ücretsiz şekilde gerektirir. Yanıt ayrı bir maliyet gerektiriyorsa, Kurul'un belirleyeceği bir tarife uyarınca ücret alınmasına izin verilebilir.

"Sonuçlandırmak", gerçek bir yanıt vermek anlamına gelir — talebi kabul edip gereğini yapmak ya da gerekçeleriyle reddetmek. Sessizlik bir seçenek değildir. Reddederseniz, reddin hukuki dayanağını yazılı olarak açıklamanız gerekir. Geç, muğlak veya gerekçesiz bir yanıt, büyük ölçüde hiç yanıt vermemiş gibi muamele görür ve sizi bir şikâyetle karşı karşıya bırakır.

Pratik öneri: geçerli başvurunun size ulaştığı tarihi kaydedin, süreyi derhal takvime işleyin ve süre dolmadan çok önce yanıt vermeyi hedefleyin. Kimlik kontrolleri ile verileri sistemlerden ve tedarikçilerden çekmek için zaman ayırın — bu adımlar çoğu zaman takvimi yer.

Her talep türünü pratikte nasıl ele almalı

Kullanılan hak, yanıtınızı şekillendirir:

Erişim ve bilgi talepleri

Sistemlerinizi tarayın, kişinin verisini tutup tutmadığınızı teyit edin ve amacı, hukuki dayanağı ve alıcıları (yurt içi ve yurt dışı) açıklayın. Bireyin kendi verisini açıklayın — ancak bu süreçte üçüncü kişilerin kişisel verilerini açığa çıkarmamaya dikkat edin.

Düzeltme talepleri

Talep haklıysa yanlış veya eksik veriyi düzeltin ve 11. maddenin gerektirdiği hallerde, daha önce paylaştığınız üçüncü kişilere bildirin.

Silme ve yok etme talepleri

İşleme için hâlâ hukuki bir dayanağın bulunup bulunmadığını değerlendirin. Bir dayanak kalmışsa — örneğin vergi, ticaret veya iş hukuku kapsamında yasal bir saklama yükümlülüğü — talebi hukuka uygun şekilde reddedebilir ve bunu gerekçeleriyle bildirmeniz gerekir. Hiçbir dayanak kalmamışsa, veriyi silin veya yok edin ve alıcılara bildirin.

Bir talep özel nitelikli verilere (sağlık, biyometri, din veya siyasi görüş bilgisi) dokunuyorsa veya sizden bir yurt dışı aktarımını teyit etmenizi istiyorsa, 2024 değişikliklerinden sonra analiz daha hassastır. Bunları rutin bir masa başı yanıtı değil, hukuki inceleme gerektiren vakalar olarak ele alın.

Veri sahibi Kurul'a şikâyette bulunduğunda

Talebi reddederseniz, süreyi kaçırırsanız veya yetersiz bir yanıt verirseniz, veri sahibinin sonraki adımı Kişisel Verileri Koruma Kurulu'na şikâyettir. Kanun, kişinin önce size başvurmasını ve ardından konuyu taşımasını öngörür — tipik olarak, yanıtınızdan (ya da yanıt vermeniz gereken andan) itibaren işleyen belirli süreler içinde. Kurul, şikâyeti inceleyebilir, sizden açıklama ve belge isteyebilir ve uyumlu olup olmadığınıza karar verebilir.

Kurul bir ihlal tespit ederse, bunu gidermenizi emredebilir ve idari para cezası uygulayabilir. Ceza aralıkları Kanun'da belirlenir ve düzenli olarak güncellenir.

Şirketiniz için ders önleyicidir: temiz, belgelenmiş ve zamanında verilen bir yanıt en iyi korumanızdır. Kurul bir şikâyeti incelediğinde, tarihli başvuru kaydınız, kimlik doğrulama adımlarınız ve yazılı gerekçeleriniz, 13. madde yükümlülüğünüzü yerine getirdiğinizin kanıtıdır.

Yabancı şirketlerin neleri hazır bulundurması gerekir

Türkiye dışında yerleşik olsanız bile, oradaki kişilerle bağlantılı verileri işliyorsanız KVKK'nın kapsamı dışında değilsiniz. Bir talep ulaşmadan önce şunları kurun:

• Veri sahibi başvuruları için, çalışma günlerinde izlenen belirli bir başvuru kanalı.
• Sıkı ama ölçülü bir kimlik doğrulama adımı.
• Başvuru alındığında süreyi başlatan ve yasal gün sınırını erkenden işaretleyen bir süre takip sistemi.
• Kabul, kısmi ve ret yanıtları için — her biri gerekçe içeren — yanıt şablonları.
• Kişinin verilerini sistemleriniz ve tedarikçileriniz genelinde gerçekten bulup getirebilmeniz için bir veri haritası.
• Özel nitelikli veri ve yurt dışına aktarım sorularını hukuki incelemeye yönlendiren bir yükseltme kuralı.

Kayıtlı veri sorumluları, daha geniş KVKK yükümlülüklerini de güncel tutmalıdır — aydınlatma metinleriniz, hukuki dayanaklarınız, aktarım mekanizmalarınız ve gerektiğinde Veri Sorumluları Sicili'ne (VERBİS) kaydınız. İşlemenizin herhangi bir kayıt eşiğini aşıp aşmadığı ve 2024 değişikliklerinden sonra güncel kuralların ne gerektirdiği, varsayılmak yerine bir Türk veri koruma avukatıyla teyit edilmelidir.

Sıkça sorulan sorular