KVKK Başvurusu Nasıl Yapılır? Haklar, Usul ve Süre

KVKK başvurusu, kişisel verisi işlenen kişinin Kanunda tanınan haklarını kullanmak üzere veri sorumlusuna ilettiği taleptir. Kişi, kendisi hakkında veri işlenip işlenmediğini öğrenebilir, işlenen verileri hakkında bilgi isteyebilir ve yanlış bilgilerin düzeltilmesini talep edebilir. Silme veya yok etme talebi ise Kanunda öngörülen şartlara bağlıdır.

Başvuru Türkçe yapılır, Tebliğde sayılan kimlik ve iletişim bilgilerini taşımak zorundadır ve veri sorumlusu talebi en geç otuz gün içinde sonuçlandırmakla yükümlüdür. Cevap yazılı olarak on sayfayı geçmezse ücretsizdir.

Kurula şikâyet edebilmek için önce veri sorumlusuna başvuru yolu tüketilmelidir. Başvurunun reddedilmesi, cevabın yetersiz bulunması veya süresinde cevap verilmemesi, şikâyet aşamasına geçilmesinin koşullarıdır.

Başvurunun hangi bilgiye yönelik olduğu açıkça belirlenmelidir. Kimlik, iletişim ve kayıtlarla ilişkilendirilebilen bilgiler arasındaki ayrım kişisel veri örnekleri yazısında açıklanmıştır.

1. İlgili Kişi Kimdir?

İlgili kişi, kişisel verisi işlenen gerçek kişidir. Veri sorumlusuna başvuru hakkı bu kişiye aittir; Başvuru Tebliği uyarınca başvuru Türkçe yapılır.

Birincisi, hak yalnızca gerçek kişilere aittir. Bir şirket, kendi ticari verileri hakkında bu maddeye dayanarak başvuru yapamaz; şirketler bu Kanunda veri sorumlusu ya da veri işleyen tarafında konumlanır. Başvuru Tebliği bunu tekrar eder:

(1) Kişisel verisi işlenen gerçek kişiler, veri sorumlusuna başvuru hakkına sahiptir. (2) İlgili kişiler, başvurularını Türkçe olarak yapmak kaydıyla bu haktan yararlanabilir.

(Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ m.4)

Aynı hükmün ikinci fıkrası uyarınca başvuru Türkçe olmak zorundadır. Yabancı uyruklu bir ilgili kişi de bu hakkı kullanabilir, ancak başvurusunu Türkçe yapmak kaydıyla.

Hakkın muhatabı ise veri sorumlusudur. Kanun veri sorumlusunu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi olarak tanımlar. Kimin veri sorumlusu, kimin yalnızca veri işleyen olduğu ayrımı başvurunun doğru adrese ulaşması bakımından belirleyicidir; bu ayrımı veri sorumlusu ile veri işleyen farkını anlattığımız yazıda ayrıntılı ele aldık.

2. KVKK m.11: İlgili Kişinin Dokuz Hakkı

KVKK m.11, kişinin kendi verileri hakkında bilgi alma, düzeltme, silme ve diğer taleplerini düzenler. İlgili kişi, durumuna uygun talepleri aynı başvuruda birlikte ileri sürebilir:

MADDE 11- (1) Herkes, veri sorumlusuna başvurarak kendisiyle ilgili; a) Kişisel veri işlenip işlenmediğini öğrenme, b) Kişisel verileri işlenmişse buna ilişkin bilgi talep etme, c) Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme, ç) Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme, d) Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme, e) 7 nci maddede öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme, f) (d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme, g) İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme, ğ) Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme, haklarına sahiptir.

(6698 sayılı Kişisel Verilerin Korunması Kanunu m.11)

Bu dokuz hak tek bir dilekçede birlikte ileri sürülebilir. (a) ve (b) bentleri şu talepleri düzenler: veri işlenip işlenmediğini öğrenme ve işlenmişse buna ilişkin bilgi isteme. Numaranızı nereden bulduklarını sorduğunuz senaryonun hukuki karşılığı da budur.

İki bent özel dikkat gerektirir. (ç) bendi, verinin aktarıldığı üçüncü kişileri öğrenme hakkı verir; bu, yurt dışı aktarımlarında da geçerlidir. (g) bendi ise yalnızca insan müdahalesi olmaksızın, münhasıran otomatik sistemlerle yapılan analiz sonucu aleyhe bir sonuç doğduğunda itiraz hakkı tanır. İnsan değerlendirmesinin karıştığı kararlar bu bendin kapsamı dışında kalır; bu nedenle otomatik skorlamaya itirazda kararın gerçekten insan müdahalesi olmadan verilip verilmediği ayrıca sorulmalıdır.

(ğ) bendi bir talep hakkı verir, ancak zararın giderimi için tek yol bu değildir. Kanun, kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkının saklı olduğunu ayrıca belirtir; yani idari süreçten bağımsız olarak hukuk mahkemesinde dava açılabilir.

3. Veri Sorumlusuna KVKK Başvurusu Nasıl Yapılır?

Başvuru, veri sorumlusuna yazılı olarak veya Başvuru Tebliğinin kabul ettiği elektronik yöntemlerle iletilir. Normal e-posta kullanılacaksa gönderen adresin daha önce veri sorumlusuna bildirilmiş ve onun sisteminde kayıtlı olması gerekir. Tebliğ m.5, yöntemleri şöyle sayar:

(1) İlgili kişi, Kanunun 11 inci maddesinde belirtilen hakları kapsamında taleplerini, yazılı olarak veya kayıtlı elektronik posta (KEP) adresi, güvenli elektronik imza, mobil imza ya da ilgili kişi tarafından veri sorumlusuna daha önce bildirilen ve veri sorumlusunun sisteminde kayıtlı bulunan elektronik posta adresini kullanmak suretiyle veya başvuru amacına yönelik geliştirilmiş bir yazılım ya da uygulama vasıtasıyla veri sorumlusuna iletir.

(Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ m.5)

Listeye dikkatli bakmak gerekir. Sıradan bir e-posta adresinden gönderilen ileti, tek başına geçerli bir başvuru sayılmaz. Elektronik posta yolunun geçerli olması için kullanılan adresin daha önce veri sorumlusuna bildirilmiş ve onun sisteminde kayıtlı olması gerekir. Yani müşterisi olduğunuz bankaya, o bankada kayıtlı e-posta adresinizden yazabilirsiniz; hiç ilişkiniz olmayan bir şirkete rastgele bir adresten yazdığınız ileti bu şartı karşılamaz.

Bu durumda pratik olarak üç güvenli yol kalır: iadeli taahhütlü posta veya noter ihtarnamesi ile yazılı başvuru, KEP adresi üzerinden bildirim, ya da varsa veri sorumlusunun kendi başvuru formu/uygulaması. Yazılı yolun ek bir avantajı vardır: başvuru tarihi tebligat belgesiyle ispatlanabilir hâle gelir.

Başvurunun kime ulaştırılacağı da önemlidir. Sicile kayıtlı veri sorumlularının bildirdiği bir irtibat kişisi bulunur, ancak Sicil Yönetmeliği bu kişinin konumunu açıkça sınırlar: irtibat kişisi veri sorumlusunu Kanun ve Yönetmelik hükümlerine göre temsile yetkili değildir. Bu nedenle başvuru, irtibat kişisine gönderilen bir bilgi mesajıyla değil, veri sorumlusunun kendisine ya da temsilcisine yöneltilmelidir.

4. KVKK Başvurusunda Hangi Bilgiler Bulunmalıdır?

Tebliğ, başvurunun içeriğini bir liste hâlinde zorunlu tutar. Eksik başvuru, veri sorumlusuna talebi esastan incelemeden geri çevirme imkânı verir:

(2) Başvuruda; a) Ad, soyad ve başvuru yazılı ise imza, b) Türkiye Cumhuriyeti vatandaşları için T.C. kimlik numarası, yabancılar için uyruğu, pasaport numarası veya varsa kimlik numarası, c) Tebligata esas yerleşim yeri veya iş yeri adresi, ç) Varsa bildirime esas elektronik posta adresi, telefon ve faks numarası, d) Talep konusu, bulunması zorunludur. (3) Konuya ilişkin bilgi ve belgeler başvuruya eklenir.

(Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ m.5)

Listede T.C. kimlik numarası ve talep konusu da zorunlu unsurlar arasındadır. Kimlik numarası olmadan veri sorumlusu başvurucunun gerçekten ilgili kişi olduğunu doğrulayamaz; bu, kötü niyetli üçüncü kişilerin başkasının verisini talep etmesini önleyen bir güvenlik şartıdır. Talep konusunun ise Kanunun 11. maddesindeki hangi bende dayandığı belirtilerek yazılması, cevabın kapsamını netleştirir.

Veri sorumlusunun vereceği cevabın da zorunlu unsurları vardır. Tebliğ, cevap yazısının veri sorumlusuna ait bilgileri, başvuru sahibinin kimlik ve iletişim bilgilerini, talep konusunu ve veri sorumlusunun başvuruya ilişkin açıklamalarını içermesini şart koşar. Bu son kalem önemlidir: gerekçesiz, tek cümlelik bir ret yazısı Tebliğin aradığı içeriği taşımaz ve bu eksiklik şikâyet aşamasında ileri sürülebilir.

5. Başvuru Tarihi Ne Zaman Sayılır?

Başvuru tarihi, yazılı başvuruda tebliğ, diğer yöntemlerde ulaşma tarihidir; postaya verme tarihi değildir.

Başvuru tarihinin belgelenmesi gerekir; çünkü hem veri sorumlusunun otuz günü hem de ilgili kişinin şikâyet süresi bu tarihten hesaplanır. Tebliğ iki ayrı ölçüt koyar:

(4) Yazılı başvurularda, veri sorumlusuna veya temsilcisine evrakın tebliğ edildiği tarih, başvuru tarihidir. (5) Diğer yöntemlerle yapılan başvurularda; başvurunun veri sorumlusuna ulaştığı tarih, başvuru tarihidir.

(Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ m.5)

Yazılı başvuruda başlangıç postaya verme tarihi değil, tebliğ tarihidir. Elektronik yollarda ise ölçüt gönderim değil ulaşma tarihidir. Aradaki fark birkaç gün olsa da şikâyet süresinin son gününde bu fark belirleyici olabilir; bu nedenle tebligat belgesi ya da KEP teslim raporu dosyada saklanmalıdır.

6. KVKK Başvurusuna Cevap Süresi ve Başvuru Ücreti

Veri sorumlusu talebi en geç otuz gün içinde sonuçlandırır; yazılı cevap on sayfaya kadar ücretsizdir, sonrası sayfa başına 1 Türk Lirasıdır.

Kanun, veri sorumlusuna azami bir süre ve kural olarak ücretsizlik yükler:

MADDE 13- (1) İlgili kişi, bu Kanunun uygulanmasıyla ilgili taleplerini yazılı olarak veya Kurulun belirleyeceği diğer yöntemlerle veri sorumlusuna iletir. (2) Veri sorumlusu başvuruda yer alan talepleri, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırır. Ancak, işlemin ayrıca bir maliyeti gerektirmesi hâlinde, Kurulca belirlenen tarifedeki ücret alınabilir. (3) Veri sorumlusu talebi kabul eder veya gerekçesini açıklayarak reddeder ve cevabını ilgili kişiye yazılı olarak veya elektronik ortamda bildirir. Başvuruda yer alan talebin kabul edilmesi hâlinde veri sorumlusunca gereği yerine getirilir. Başvurunun veri sorumlusunun hatasından kaynaklanması hâlinde alınan ücret ilgiliye iade edilir.

(6698 sayılı Kişisel Verilerin Korunması Kanunu m.13)

Otuz gün bir azami süredir, standart süre değildir; madde önce “en kısa sürede” der. Talep basitse otuz günü beklemek Kanuna uygun bir gecikme sayılmaz.

Ücret konusunda Tebliğ somut rakam verir:

(1) İlgili kişinin başvurusuna yazılı olarak cevap verilecekse, on sayfaya kadar ücret alınmaz. On sayfanın üzerindeki her sayfa için 1 Türk Lirası işlem ücreti alınabilir. (2) Başvuruya cevabın CD, flash bellek gibi bir kayıt ortamında verilmesi halinde veri sorumlusu tarafından talep edilebilecek ücret kayıt ortamının maliyetini geçemez.

(Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ m.7)

Uygulamada karşılaşılan “başvuru ücreti” talepleri bu çerçevenin dışına çıkamaz. Başvurunun ön ödemeye bağlanması Tebliğde karşılığı olmayan bir uygulamadır; ücret ancak cevabın hacmine ya da kayıt ortamının maliyetine bağlı olarak, cevap aşamasında gündeme gelir. Ayrıca hata veri sorumlusundan kaynaklanıyorsa alınan ücret iade edilir.

7. Sadece “Verileriniz Silindi” Cevabı Yeterli mi?

Hayır. Başvuruda birden fazla soru veya talep varsa veri sorumlusu bunların her birini karşılamalı; yalnızca taleplerden birinin sonucunu bildirmekle yetinmemelidir. Kişisel Verileri Koruma Kurulunun 2022/861 sayılı kararında başvurucu, verilerin kaynağını sormuş ve silme talebinde bulunmuş; verilen cevap ise yalnız silme bilgisini içermiştir. Karardaki tespit birebir şöyledir:

Veri sorumlusu tarafından ilgili kişinin başvurusuna verilen cevapta sadece kişisel verilerinin silindiği yönünde bilgi verildiği ancak ilgili kişinin Kanun’un 11’inci maddesi kapsamındaki diğer bilgi taleplerinin yanıtsız bırakıldığının tespit edildiği,

(Kişisel Verileri Koruma Kurulu, 01.09.2022 tarihli ve 2022/861 sayılı karar)

Kurul, veri sorumlusunu açıklayıcı ve ayrıntılı cevap vermesi; cevabın ilgili kişiye ulaştığını gösteren KEP delili, e-posta ekran görüntüsü veya APS alındısı gibi bir belgeyi de sunması yönünde talimatlandırmıştır. Karar, cevabın yalnız süresinde verilmesinin yetmediğini gösterir: kapsam, gerekçe ve tebliğ ispatı birlikte değerlendirilir.

Aynı kararın ikinci tespiti, cevabın içeriğinin de ispata bağlı olduğunu gösterir. Veri sorumlusu silme işlemini gerçekleştirdiğini beyan etmiş, ancak bunu belgeleyememiştir:

Veri sorumlusunun ilgili kişiye ve Kuruma ilettiği cevap yazılarında ilgili kişiye ait ve sistemlerinde kayıtlı olan kişisel verilerin sistem kayıtlarından silindiğini beyan etmesine karşılık silmeye ilişkin tevsik edici herhangi bir belge ibraz etmediği

(Kişisel Verileri Koruma Kurulu, 01.09.2022 tarihli ve 2022/861 sayılı karar)

Buradan çıkan pratik kural şudur: silme talebine verilen cevapta işlemin yapıldığını beyan etmek yetmez, tevsik edici belge de saklanmalıdır. Kanun ispat yükünü veri sorumlusuna bıraktığı için, silme kayıtlarının imha tutanağı ya da sistem kaydı gibi bir belgeyle desteklenmesi gerekir.

8. Silme ve Yok Etme Talebinin Üç Olası Sonucu

Silme talebinin sonucu, verinin işlenmesini gerektiren şartların devam edip etmediğine bağlıdır. Şartların tamamı ortadan kalkmışsa silme, yok etme veya anonim hâle getirme gerekir; devam eden bir işleme şartı varsa talep gerekçe açıklanarak reddedilebilir. Verinin üçüncü kişilere aktarılması hâlinde bildirim ve gerekli işlemlerin yaptırılması da değerlendirilir. Yönetmelik m.12 bu durumları ayrı ayrı düzenler:

MADDE 12 – (1) İlgili kişi, Kanunun (Değişik ibare:RG-28/4/2019-30758) 11 inci ve 13 üncü maddelerine istinaden veri sorumlusuna başvurarak kendisine ait kişisel verilerin silinmesini veya yok edilmesini talep ettiğinde; a) Kişisel verileri işleme şartlarının tamamı ortadan kalkmışsa; veri sorumlusu talebe konu kişisel verileri siler, yok eder veya anonim hale getirir. Veri sorumlusu, ilgili kişinin talebini en geç otuz gün içinde sonuçlandırır ve ilgili kişiye bilgi verir. b) Kişisel verileri işleme şartlarının tamamı ortadan kalkmış ve talebe konu olan kişisel veriler üçüncü kişilere aktarılmışsa veri sorumlusu bu durumu üçüncü kişiye bildirir; üçüncü kişi nezdinde bu Yönetmelik kapsamında gerekli işlemlerin yapılmasını temin eder. c) Kişisel verileri işleme şartlarının tamamı ortadan kalkmamışsa, bu talep veri sorumlusunca Kanunun 13 üncü maddesinin üçüncü fıkrası uyarınca gerekçesi açıklanarak reddedilebilir ve ret cevabı ilgili kişiye en geç otuz gün içinde yazılı olarak ya da elektronik ortamda bildirilir.

(Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m.12)

Belirleyici ölçüt (a) ve (c) bentlerinin karşıtlığındadır: işleme şartlarının tamamı ortadan kalkmışsa silme zorunlu, bir işleme şartı devam ediyorsa talep gerekçe gösterilerek reddedilebilir. Bu nedenle bir bankanın ya da işverenin, saklama süresi kanunla belirlenmiş kayıtları silme talebini reddetmesi kural olarak hukuka aykırı değildir; reddin hukuka uygunluğu, dayandığı işleme şartının gerçekten devam edip etmediğine bağlıdır.

(b) bendi, üçüncü kişilere aktarılmış veriler için güvence sağlar: veri üçüncü kişilere aktarılmışsa veri sorumlusu durumu o üçüncü kişilere bildirmek ve onlar nezdinde gerekli işlemlerin yapılmasını temin etmekle yükümlüdür. Bu, Kanunun 11. maddesinin (f) bendindeki bildirim hakkının somutlaşmış hâlidir ve başvuru dilekçesinde açıkça istenmelidir.

İnternet üzerindeki içerik ve arama sonuçları bakımından silme talebi ayrı bir rejimle birleşir; bu konuyu internetten içerik kaldırma ve unutulma hakkı yazımızda ele aldık.

9. Başvuru Reddedilirse Ne Olur?

Başvurunun muhatabı Kurum değil veri sorumlusudur; Kurula şikâyet ancak bu yol tüketildikten sonra açılır.

Başvuru reddedilirse, cevap yetersizse ya da süresinde hiç cevap verilmezse sıradaki adım Kişisel Verileri Koruma Kuruluna şikâyettir. Kanun bu sırayı zorunlu tutar: başvuru yolu tüketilmeden şikâyet yoluna başvurulamaz.

Süreler bakımından Kanun iki ölçüt verir: veri sorumlusunun cevabını öğrenme tarihinden itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün. Bu iki sürenin nasıl birlikte uygulanacağı uygulamada farklı yorumlanmış, Kurul da bu farklılığı gidermek için 24.01.2019 tarihli ve 2019/9 sayılı Kararı ile üç senaryoyu ayırmıştır: cevap otuz gün içinde verilirse şikâyet süresi cevabı izleyen otuz gündür ve bu hâlde başvuru tarihinden itibaren altmış günlük bir süre yoktur; hiç cevap verilmezse süre başvuru tarihinden itibaren altmış gündür; cevap otuz günlük süre geçtikten sonra verilirse ilgili kişi geciken cevabı beklemekle yükümlü değildir ve süre, cevap tarihinden itibaren yeni bir otuz gün değil, başvuru tarihinden itibaren altmış gündür.

Geciken cevap yeni bir süre başlatmadığından, başvuru ve cevap tarihleri birlikte değerlendirilmelidir. Şikâyet aşamasının usulü, Kurul incelemesinin işleyişi ve Kurul kararına karşı dava yolu için KVKK Kuruluna şikâyet yazımıza bakabilirsiniz.

İlgili yazılar: KVKK Kuruluna Şikâyet: Süre, Usul ve Kurul Kararına İtiraz · Veri Sorumlusu Kimdir? Veri İşleyenden Farkı ve Yükümlülükleri · Veri İhlali Bildirimi: Kime, Ne Kadar Sürede Yapılır?