KVKK Kapsamında Veri Sorumlusuna Başvuru: Haklarınız, Usul ve Süre

Kısa Cevap

Kişisel verisi işlenen herkes, verisini işleyen kuruluşa doğrudan başvurarak verisi hakkında bilgi alabilir, verisinin düzeltilmesini ya da silinmesini isteyebilir. Bu, dilekçe hakkının ötesinde, Kanunla tanınmış dokuz kalemlik somut bir taleptir ve muhatabı Kurum değil veri sorumlusunun kendisidir.

Başvuru Türkçe yapılır, kanunda sayılan kimlik ve iletişim bilgilerini taşımak zorundadır ve veri sorumlusu talebi en geç otuz gün içinde sonuçlandırmakla yükümlüdür. Cevap yazılı olarak on sayfayı geçmezse ücretsizdir.

Kritik nokta usuldedir: Kişisel Verileri Koruma Kuruluna doğrudan şikâyet edilemez. Kanun, önce veri sorumlusuna başvurulmasını ve bu yolun tüketilmesini şart koşar. Bu adım atlanırsa şikâyet usulden reddedilir ve süre kaybedilir.

Bu Durumda mısınız?

• Hiç üye olmadığınız bir siteden ya da hiç ilişkiniz olmayan bir şirketten tanıtım mesajı alıyorsunuz ve numaranızı nereden bulduklarını öğrenmek istiyorsunuz.
• Bir kuruluşta kaydınızın silinmesini istediniz, aylardır sonuç alamıyorsunuz.
• Eski işvereniniz ya da eski bir hizmet sağlayıcınız verilerinizi hâlâ tutuyor; hangi verileri, ne amaçla tuttuğunu bilmiyorsunuz.
• Bir şirketin sizinle ilgili kaydı yanlış ya da eksik; bu kayıt yüzünden hizmet alamıyorsunuz.
• Verilerinizin yurt dışındaki bir şirkete aktarıldığını öğrendiniz, kime aktarıldığını sormak istiyorsunuz.
• Kredi ya da sigorta başvurunuz tamamen otomatik bir skorlama sonucu reddedildi ve karara itiraz etmek istiyorsunuz.

Bu tabloların hepsinde başlangıç noktası aynıdır: veri sorumlusuna yazılı başvuru.

İlgili Kişi Kimdir?

Kanun, başvuru hakkının sahibini tanımlarken kısa bir ifade kullanır. Tanımlar maddesine göre ilgili kişi, kişisel verisi işlenen gerçek kişidir. Bu tanım iki sonucu birlikte doğurur.

Birincisi, hak yalnızca gerçek kişilere aittir. Bir şirket, kendi ticari verileri hakkında bu maddeye dayanarak başvuru yapamaz; şirketler bu Kanunda veri sorumlusu ya da veri işleyen tarafında konumlanır. Başvuru Tebliği bunu tekrar eder:

(1) Kişisel verisi işlenen gerçek kişiler, veri sorumlusuna başvuru hakkına sahiptir. (2) İlgili kişiler, başvurularını Türkçe olarak yapmak kaydıyla bu haktan yararlanabilir.

(Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ m.4)

İkincisi, aynı hükmün ikinci fıkrası pratikte gözden kaçan bir şart getirir: başvuru Türkçe olmak zorundadır. Yabancı uyruklu bir ilgili kişi de bu hakkı kullanabilir, ancak başvurusunu Türkçe yapmak kaydıyla.

Hakkın muhatabı ise veri sorumlusudur. Kanun veri sorumlusunu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi olarak tanımlar. Kimin veri sorumlusu, kimin yalnızca veri işleyen olduğu ayrımı başvurunun doğru adrese ulaşması bakımından belirleyicidir; bu ayrımı veri sorumlusu ile veri işleyen farkını anlattığımız yazıda ayrıntılı ele aldık.

KVKK m.11: İlgili Kişinin Dokuz Hakkı

Başvurunun içeriğini belirleyen hüküm Kanunun 11. maddesidir. Madde dokuz bent hâlinde sayar:

MADDE 11- (1) Herkes, veri sorumlusuna başvurarak kendisiyle ilgili; a) Kişisel veri işlenip işlenmediğini öğrenme, b) Kişisel verileri işlenmişse buna ilişkin bilgi talep etme, c) Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme, ç) Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme, d) Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme, e) 7 nci maddede öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme, f) (d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme, g) İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme, ğ) Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme, haklarına sahiptir.

(6698 sayılı Kişisel Verilerin Korunması Kanunu m.11)

Bu dokuz hak tek bir dilekçede birlikte ileri sürülebilir. Uygulamada en çok kullanılanlar (a) ve (b) bentleridir: veri işlenip işlenmediğini öğrenme ve işlenmişse buna ilişkin bilgi isteme. Numaranızı nereden bulduklarını sorduğunuz senaryonun hukuki karşılığı da budur.

İki bent özel dikkat gerektirir. (ç) bendi, verinin aktarıldığı üçüncü kişileri öğrenme hakkı verir; bu, yurt dışı aktarımlarında da geçerlidir. (g) bendi ise yalnızca insan müdahalesi olmaksızın, münhasıran otomatik sistemlerle yapılan analiz sonucu aleyhe bir sonuç doğduğunda itiraz hakkı tanır. İnsan değerlendirmesinin karıştığı kararlar bu bendin kapsamı dışında kalır; bu nedenle otomatik skorlamaya itirazda kararın gerçekten insan müdahalesi olmadan verilip verilmediği ayrıca sorulmalıdır.

(ğ) bendi bir talep hakkı verir, ancak zararın giderimi için tek yol bu değildir. Kanun, kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkının saklı olduğunu ayrıca belirtir; yani idari süreçten bağımsız olarak hukuk mahkemesinde dava açılabilir.

Başvuru Nasıl Yapılır? Kabul Edilen Yöntemler

Kanun, başvurunun yazılı olarak veya Kurulun belirleyeceği diğer yöntemlerle iletileceğini söyler. Bu diğer yöntemleri Başvuru Tebliği sayar:

(1) İlgili kişi, Kanunun 11 inci maddesinde belirtilen hakları kapsamında taleplerini, yazılı olarak veya kayıtlı elektronik posta (KEP) adresi, güvenli elektronik imza, mobil imza ya da ilgili kişi tarafından veri sorumlusuna daha önce bildirilen ve veri sorumlusunun sisteminde kayıtlı bulunan elektronik posta adresini kullanmak suretiyle veya başvuru amacına yönelik geliştirilmiş bir yazılım ya da uygulama vasıtasıyla veri sorumlusuna iletir.

(Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ m.5)

Listeye dikkatli bakmak gerekir. Sıradan bir e-posta adresinden gönderilen ileti, tek başına geçerli bir başvuru sayılmaz. Elektronik posta yolunun geçerli olması için kullanılan adresin daha önce veri sorumlusuna bildirilmiş ve onun sisteminde kayıtlı olması gerekir. Yani müşterisi olduğunuz bankaya, o bankada kayıtlı e-posta adresinizden yazabilirsiniz; hiç ilişkiniz olmayan bir şirkete rastgele bir adresten yazdığınız ileti bu şartı karşılamaz.

Bu durumda pratik olarak üç güvenli yol kalır: iadeli taahhütlü posta veya noter ihtarnamesi ile yazılı başvuru, KEP adresi üzerinden bildirim, ya da varsa veri sorumlusunun kendi başvuru formu/uygulaması. Yazılı yolun ek bir avantajı vardır: başvuru tarihi tebligat belgesiyle ispatlanabilir hâle gelir.

Başvurunun kime ulaştırılacağı da önemlidir. Sicile kayıtlı veri sorumlularının bildirdiği bir irtibat kişisi bulunur, ancak Sicil Yönetmeliği bu kişinin konumunu açıkça sınırlar: irtibat kişisi veri sorumlusunu Kanun ve Yönetmelik hükümlerine göre temsile yetkili değildir. Bu nedenle başvuru, irtibat kişisine gönderilen bir bilgi mesajıyla değil, veri sorumlusunun kendisine ya da temsilcisine yöneltilmelidir.

Başvuruda Bulunması Zorunlu Unsurlar

Tebliğ, başvurunun içeriğini bir liste hâlinde zorunlu tutar. Eksik başvuru, veri sorumlusuna talebi esastan incelemeden geri çevirme imkânı verir:

(2) Başvuruda; a) Ad, soyad ve başvuru yazılı ise imza, b) Türkiye Cumhuriyeti vatandaşları için T.C. kimlik numarası, yabancılar için uyruğu, pasaport numarası veya varsa kimlik numarası, c) Tebligata esas yerleşim yeri veya iş yeri adresi, ç) Varsa bildirime esas elektronik posta adresi, telefon ve faks numarası, d) Talep konusu, bulunması zorunludur. (3) Konuya ilişkin bilgi ve belgeler başvuruya eklenir.

(Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ m.5)

Bu listede en çok atlanan iki kalem T.C. kimlik numarası ve talep konusudur. Kimlik numarası olmadan veri sorumlusu başvurucunun gerçekten ilgili kişi olduğunu doğrulayamaz; bu, kötü niyetli üçüncü kişilerin başkasının verisini talep etmesini önleyen bir güvenlik şartıdır. Talep konusunun ise Kanunun 11. maddesindeki hangi bende dayandığı belirtilerek yazılması, cevabın kapsamını netleştirir.

Veri sorumlusunun vereceği cevabın da zorunlu unsurları vardır. Tebliğ, cevap yazısının veri sorumlusuna ait bilgileri, başvuru sahibinin kimlik ve iletişim bilgilerini, talep konusunu ve veri sorumlusunun başvuruya ilişkin açıklamalarını içermesini şart koşar. Bu son kalem önemlidir: gerekçesiz, tek cümlelik bir ret yazısı Tebliğin aradığı içeriği taşımaz ve bu eksiklik şikâyet aşamasında ileri sürülebilir.

Başvuru Tarihi Ne Zaman Sayılır?

Bu, dosyaların en çok süre kaybettiği noktadır; çünkü hem veri sorumlusunun otuz günü hem de ilgili kişinin şikâyet süresi bu tarihten hesaplanır. Tebliğ iki ayrı ölçüt koyar:

(4) Yazılı başvurularda, veri sorumlusuna veya temsilcisine evrakın tebliğ edildiği tarih, başvuru tarihidir. (5) Diğer yöntemlerle yapılan başvurularda; başvurunun veri sorumlusuna ulaştığı tarih, başvuru tarihidir.

(Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ m.5)

Yazılı başvuruda başlangıç postaya verme tarihi değil, tebliğ tarihidir. Elektronik yollarda ise ölçüt gönderim değil ulaşma tarihidir. Aradaki fark birkaç gün olsa da şikâyet süresinin son gününde bu fark belirleyici olabilir; bu nedenle tebligat belgesi ya da KEP teslim raporu dosyada saklanmalıdır.

Cevap Süresi ve Ücret

Kanun, veri sorumlusuna azami bir süre ve kural olarak ücretsizlik yükler:

MADDE 13- (1) İlgili kişi, bu Kanunun uygulanmasıyla ilgili taleplerini yazılı olarak veya Kurulun belirleyeceği diğer yöntemlerle veri sorumlusuna iletir. (2) Veri sorumlusu başvuruda yer alan talepleri, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırır. Ancak, işlemin ayrıca bir maliyeti gerektirmesi hâlinde, Kurulca belirlenen tarifedeki ücret alınabilir. (3) Veri sorumlusu talebi kabul eder veya gerekçesini açıklayarak reddeder ve cevabını ilgili kişiye yazılı olarak veya elektronik ortamda bildirir. Başvuruda yer alan talebin kabul edilmesi hâlinde veri sorumlusunca gereği yerine getirilir. Başvurunun veri sorumlusunun hatasından kaynaklanması hâlinde alınan ücret ilgiliye iade edilir.

(6698 sayılı Kişisel Verilerin Korunması Kanunu m.13)

Otuz gün bir azami süredir, standart süre değildir; madde önce “en kısa sürede” der. Talep basitse otuz günü beklemek Kanuna uygun bir gecikme sayılmaz.

Ücret konusunda Tebliğ somut rakam verir:

(1) İlgili kişinin başvurusuna yazılı olarak cevap verilecekse, on sayfaya kadar ücret alınmaz. On sayfanın üzerindeki her sayfa için 1 Türk Lirası işlem ücreti alınabilir. (2) Başvuruya cevabın CD, flash bellek gibi bir kayıt ortamında verilmesi halinde veri sorumlusu tarafından talep edilebilecek ücret kayıt ortamının maliyetini geçemez.

(Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ m.7)

Uygulamada karşılaşılan “başvuru ücreti” talepleri bu çerçevenin dışına çıkamaz. Başvurunun ön ödemeye bağlanması Tebliğde karşılığı olmayan bir uygulamadır; ücret ancak cevabın hacmine ya da kayıt ortamının maliyetine bağlı olarak, cevap aşamasında gündeme gelir. Ayrıca hata veri sorumlusundan kaynaklanıyorsa alınan ücret iade edilir.

Sadece “Verileriniz Silindi” Cevabı Yeterli mi?

Hayır. Başvuruda birden fazla soru veya talep varsa veri sorumlusu bunların her birini karşılamalı; yalnızca taleplerden birinin sonucunu bildirmekle yetinmemelidir. Kişisel Verileri Koruma Kurulunun 2022/861 sayılı kararında başvurucu, verilerin kaynağını sormuş ve silme talebinde bulunmuş; verilen cevap ise yalnız silme bilgisini içermiştir. Karardaki tespit birebir şöyledir:

Veri sorumlusu tarafından ilgili kişinin başvurusuna verilen cevapta sadece kişisel verilerinin silindiği yönünde bilgi verildiği ancak ilgili kişinin Kanun’un 11’inci maddesi kapsamındaki diğer bilgi taleplerinin yanıtsız bırakıldığının tespit edildiği,

(Kişisel Verileri Koruma Kurulu, 01.09.2022 tarihli ve 2022/861 sayılı karar)

Kurul, veri sorumlusunu açıklayıcı ve ayrıntılı cevap vermesi; cevabın ilgili kişiye ulaştığını gösteren KEP delili, e-posta ekran görüntüsü veya APS alındısı gibi bir belgeyi de sunması yönünde talimatlandırmıştır. Karar, cevabın yalnız süresinde verilmesinin yetmediğini gösterir: kapsam, gerekçe ve tebliğ ispatı birlikte değerlendirilir.

Aynı kararın ikinci tespiti, cevabın içeriğinin de ispata bağlı olduğunu gösterir. Veri sorumlusu silme işlemini gerçekleştirdiğini beyan etmiş, ancak bunu belgeleyememiştir:

Veri sorumlusunun ilgili kişiye ve Kuruma ilettiği cevap yazılarında ilgili kişiye ait ve sistemlerinde kayıtlı olan kişisel verilerin sistem kayıtlarından silindiğini beyan etmesine karşılık silmeye ilişkin tevsik edici herhangi bir belge ibraz etmediği

(Kişisel Verileri Koruma Kurulu, 01.09.2022 tarihli ve 2022/861 sayılı karar)

Buradan çıkan pratik kural şudur: silme talebine verilen cevapta işlemin yapıldığını beyan etmek yetmez, tevsik edici belge de saklanmalıdır. Kanun ispat yükünü veri sorumlusuna bıraktığı için, silme kayıtlarının imha tutanağı ya da sistem kaydı gibi bir belgeyle desteklenmesi gerekir.

Silme ve Yok Etme Talebinin Üç Olası Sonucu

Silme talebi, dokuz hak arasında en çok yanlış anlaşılanıdır; çünkü koşulsuz bir silme hakkı değildir. Kanun silmeyi, işlemeyi gerektiren sebeplerin ortadan kalkması şartına bağlar. Silme Yönetmeliği talebin üç olası sonucunu ayrı ayrı düzenler:

MADDE 12 – (1) İlgili kişi, Kanunun (Değişik ibare:RG-28/4/2019-30758) 11 inci ve 13 üncü maddelerine istinaden veri sorumlusuna başvurarak kendisine ait kişisel verilerin silinmesini veya yok edilmesini talep ettiğinde; a) Kişisel verileri işleme şartlarının tamamı ortadan kalkmışsa; veri sorumlusu talebe konu kişisel verileri siler, yok eder veya anonim hale getirir. Veri sorumlusu, ilgili kişinin talebini en geç otuz gün içinde sonuçlandırır ve ilgili kişiye bilgi verir. b) Kişisel verileri işleme şartlarının tamamı ortadan kalkmış ve talebe konu olan kişisel veriler üçüncü kişilere aktarılmışsa veri sorumlusu bu durumu üçüncü kişiye bildirir; üçüncü kişi nezdinde bu Yönetmelik kapsamında gerekli işlemlerin yapılmasını temin eder. c) Kişisel verileri işleme şartlarının tamamı ortadan kalkmamışsa, bu talep veri sorumlusunca Kanunun 13 üncü maddesinin üçüncü fıkrası uyarınca gerekçesi açıklanarak reddedilebilir ve ret cevabı ilgili kişiye en geç otuz gün içinde yazılı olarak ya da elektronik ortamda bildirilir.

(Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m.12)

Belirleyici ölçüt (a) ve (c) bentlerinin karşıtlığındadır: işleme şartlarının tamamı ortadan kalkmışsa silme zorunlu, biri bile ayakta ise talep gerekçe gösterilerek reddedilebilir. Bu nedenle bir bankanın ya da işverenin, saklama süresi kanunla belirlenmiş kayıtları silme talebini reddetmesi kural olarak hukuka aykırı değildir; reddin hukuka uygunluğu, dayandığı işleme şartının gerçekten devam edip etmediğine bağlıdır.

(b) bendi ise çoğu başvuruda hiç talep edilmeyen bir güvence sağlar: veri üçüncü kişilere aktarılmışsa veri sorumlusu durumu o üçüncü kişilere bildirmek ve onlar nezdinde gerekli işlemlerin yapılmasını temin etmekle yükümlüdür. Bu, Kanunun 11. maddesinin (f) bendindeki bildirim hakkının somutlaşmış hâlidir ve başvuru dilekçesinde açıkça istenmelidir.

İnternet üzerindeki içerik ve arama sonuçları bakımından silme talebi ayrı bir rejimle birleşir; bu konuyu internetten içerik kaldırma ve unutulma hakkı yazımızda ele aldık.

Başvuru Reddedilirse Ne Olur?

Başvuru reddedilirse, cevap yetersizse ya da süresinde hiç cevap verilmezse sıradaki adım Kişisel Verileri Koruma Kuruluna şikâyettir. Kanun bu sırayı zorunlu tutar: başvuru yolu tüketilmeden şikâyet yoluna başvurulamaz.

Süreler bakımından Kanun iki ölçüt verir: veri sorumlusunun cevabını öğrenme tarihinden itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün. Bu iki sürenin nasıl birlikte uygulanacağı uygulamada farklı yorumlanmış, Kurul da bu farklılığı gidermek için 24.01.2019 tarihli ve 2019/9 sayılı Kararı ile üç senaryoyu ayırmıştır: cevap otuz gün içinde verilirse şikâyet süresi cevabı izleyen otuz gündür ve bu hâlde başvuru tarihinden itibaren altmış günlük bir süre yoktur; hiç cevap verilmezse süre başvuru tarihinden itibaren altmış gündür; cevap otuz günlük süre geçtikten sonra verilirse ilgili kişi geciken cevabı beklemekle yükümlü değildir ve süre, cevap tarihinden itibaren yeni bir otuz gün değil, başvuru tarihinden itibaren altmış gündür.

Üçüncü senaryo, uygulamada en çok hak kaybına yol açan noktadır: geciken bir cevap yeni bir süre başlatmaz. Şikâyet aşamasının usulü, Kurul incelemesinin işleyişi ve Kurul kararına karşı dava yolu için KVKK Kuruluna şikâyet yazımıza bakabilirsiniz.

Sık Yapılan Hatalar

• Doğrudan Kuruma şikâyet etmek. Kanun başvuru yolunun tüketilmesini şart koşar; atlanırsa şikâyet usulden reddedilir ve arada süre işlemeye devam eder.
• Rastgele bir e-posta adresinden yazmak. Elektronik posta yolu, yalnızca veri sorumlusunun sisteminde kayıtlı olan adres için geçerlidir.
• Başvuruyu irtibat kişisine göndermek. İrtibat kişisi veri sorumlusunu temsile yetkili değildir.
• T.C. kimlik numarasını yazmamak. Tebliğ bunu zorunlu unsur sayar; eksikliği esasa girilmeden geri çevirme sebebi olur.
• Postaya verme tarihini başvuru tarihi saymak. Yazılı başvuruda ölçüt tebliğ tarihidir.
• Silmenin koşulsuz olduğunu varsaymak. İşleme şartlarından biri bile devam ediyorsa talep gerekçeyle reddedilebilir.
• Üçüncü kişilere bildirim istemeyi atlamak. Veri aktarılmışsa bu bildirim ayrıca talep edilmelidir.
• Geciken cevabın yeni süre başlattığını düşünmek. Kurul kararına göre bu hâlde süre, başvuru tarihinden itibaren altmış gündür.

Özet

• Başvurunun muhatabı Kurum değil veri sorumlusudur; Kurula şikâyet ancak bu yol tüketildikten sonra açılır.
• Hak sahibi yalnızca gerçek kişilerdir ve başvuru Türkçe yapılmak zorundadır.
• Kanunun 11. maddesi dokuz hak sayar; hepsi tek dilekçede birlikte ileri sürülebilir.
• Sıradan bir e-postadan yapılan başvuru geçerli değildir: elektronik posta yolu yalnızca veri sorumlusunun sisteminde kayıtlı adres için işler.
• Başvuru tarihi, yazılı başvuruda tebliğ, diğer yöntemlerde ulaşma tarihidir; postaya verme tarihi değildir.
• Veri sorumlusu talebi en geç otuz gün içinde sonuçlandırır; yazılı cevap on sayfaya kadar ücretsizdir, sonrası sayfa başına 1 Türk Lirasıdır.
• Silme koşulsuz bir hak değildir: işleme şartlarının tamamı ortadan kalkmışsa zorunlu, biri bile ayakta ise gerekçeyle reddedilebilir.
• Veri üçüncü kişilere aktarılmışsa onlara bildirim yapılması ayrıca talep edilmelidir.
• Başvuru irtibat kişisine değil, veri sorumlusuna ya da temsilcisine yöneltilir; irtibat kişisi temsile yetkili değildir.

İlgili yazılar: KVKK Kuruluna Şikâyet: Süre, Usul ve Kurul Kararına İtiraz · Veri Sorumlusu Kimdir? Veri İşleyenden Farkı ve Yükümlülükleri · Veri İhlali Bildirimi: Kime, Ne Kadar Sürede Yapılır?