Kişisel verilerinizle ilgili haklarınızı önce yazılı olarak veri sorumlusuna başvurarak kullanırsınız; veri sorumlusu en geç otuz gün içinde cevap verir, başvuru reddedilir, cevap yetersiz bulunur veya süresinde cevap gelmezse Kişisel Verileri Koruma Kurulu'na şikâyet edebilirsiniz (KVKK m. 11, 13, 14). Şikâyet süresi, veri sorumlusunun cevabını öğrendiğiniz tarihten itibaren otuz, her halde başvuru tarihinden itibaren altmış gündür.
Bu yazı KVKK kapsamındaki haklarınızı, başvurunun nasıl yapılacağını, Kurul'a şikâyetin koşullarını, Kurul'un yetkilerini, idari para cezalarını, tazminat ve ceza başvurusu yollarını ve arama motoru sonuçlarının kaldırılmasının ne anlama geldiğini anlatır.
Bu yazıda
- KVKK'nın size tanıdığı haklar
- Veri sorumlusuna başvuru nasıl yapılır?
- Silme, yok etme ve anonim hale getirme
- Kurul'a şikâyet: koşul ve süreler
- Kurul incelemeyi nasıl yapar, neye karar verebilir?
- İdari para cezaları
- Tazminat ve ceza şikâyeti
- Arama sonucundan kaldırma ve kaynaktaki içerik
- Kurul'un yapısı ve sınırlar
- Kaynaklar
KVKK'nın size tanıdığı haklar
Kısa cevap: Verinizin işlenip işlenmediğini öğrenme, bilgi talep etme, amacı ve amaca uygun kullanılıp kullanılmadığını öğrenme, aktarıldığı üçüncü kişileri bilme, düzeltme, silme, bunların üçüncü kişilere bildirilmesini isteme, otomatik analize itiraz ve zararın giderilmesini talep etme haklarına sahipsiniz.
Kanunun 11. maddesi bu hakları sayar. Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme hakkınız vardır; düzeltme veya silme işlemlerinin bu üçüncü kişilere bildirilmesini isteme hakkınız da ayrıdır, bu yüzden başvurunuzda bu talebi ayrıca ve açıkça belirtmeniz cevabın eksik kalmasını önler. Kredi başvurunuz yalnızca otomatik sistemle reddedildiyse, işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonuç ortaya çıkmasına itiraz edebilirsiniz; itirazınızı yazılı iletip kararın hangi verilere dayandığını sorun (m. 11). Verilerin kanuna aykırı işlenmesi nedeniyle zarara uğradıysanız zararın giderilmesini isteyebilirsiniz.
Veri sorumlusuna başvuru nasıl yapılır?
Kısa cevap: Talepler yazılı olarak veya Kurul'un belirleyeceği diğer yöntemlerle veri sorumlusuna iletilir; başvuru ücretsiz sonuçlandırılır ve en geç otuz gün içinde cevaplanır.
- Başvuruda hangi hakkı kullandığınızı ve hangi verilerinizle ilgili olduğunu net yazın; başvurunun ulaştığını gösteren bir kayıt alın.
- Hakkınızda veri tutulup tutulmadığını soruyorsanız kimliğinizi, verinin işlenip işlenmediğini öğrenmek ve işleniyorsa bilgi talep etmek istediğinizi yazın; kanun bu iki hakkı ayrı sayar. Amaçları ve verilerin amaca uygun kullanılıp kullanılmadığını da isteyebilirsiniz. Yanlış bir müşteri kaydının düzeltilmesini istiyorsanız hangi kaydın ne şekilde yanlış olduğunu gösterin.
- Veri sorumlusu talebi kabul eder veya gerekçesini açıklayarak reddeder ve cevabını size yazılı olarak veya elektronik ortamda bildirir (m. 13). Gerekçesiz veya yetersiz cevap, Kurul'a şikâyet bakımından bir dayanak olabilir.
- İşlem ayrıca bir maliyet gerektiriyorsa Kurulca belirlenen tarifedeki ücret alınabilir; başvurunun veri sorumlusunun hatasından kaynaklanması halinde alınan ücret size iade edilir.
- Başvuru tarihini ve cevabın size ulaştığı tarihi not edin; sonraki süreler bu tarihlere bağlıdır.
Silme, yok etme ve anonim hale getirme
Silme talebi kanunun 7. maddesindeki şartlar çerçevesinde değerlendirilir. Bu kanuna ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen işlenmesini gerektiren sebepler ortadan kalkmışsa kişisel veriler resen veya talep üzerine silinir, yok edilir veya anonim hale getirilir; diğer kanunlardaki saklama hükümleri saklıdır (m. 7). Kanun üç yöntemi ayrı sayar: silme, yok etme ve anonim hale getirme. Anonim halde veri, başka verilerle eşleştirilse bile kişiyle ilişkilendirilemez. Bu nedenle silme talebinin bütün kayıtların anında yok edilmesini garanti etmediğini, işleme sebepleri ve kanuni saklama yükümlülüklerinin incelendiğini bilin.
Kurul'a şikâyet: koşul ve süreler
Kısa cevap: Başvurunun reddedilmesi, cevabın yetersiz bulunması veya süresinde cevap verilmemesi hallerinde, cevabı öğrendiğiniz tarihten itibaren otuz, her halde başvuru tarihinden itibaren altmış gün içinde Kurul'a şikâyet edebilirsiniz.
Veri sorumlusuna başvuru yolu tüketilmeden şikâyet yoluna gidilemez (m. 14); yani doğrudan Kurul'a şikâyet etmek mümkün değildir, önce yazılı başvuru yapmalısınız. Kurul şikâyet üzerine veya ihlal iddiasını öğrenirse resen, görev alanına giren konularda gerekli incelemeyi yapar; Dilekçe Hakkının Kullanılmasına Dair Kanun'un aradığı şartları taşımayan ihbar veya şikâyetler incelemeye alınmaz, bu yüzden şikâyeti eksiksiz ve yazılı hazırlayın (m. 15). Kurul şikâyet tarihinden itibaren altmış gün içinde cevap vermezse talep reddedilmiş sayılır; bu durumda hukuki yollara başvurmak için süreleri ayrıca kontrol etmek gerekir.
Kurul incelemeyi nasıl yapar, neye karar verebilir?
- Veri sorumlusu, devlet sırrı niteliğindeki bilgi ve belgeler hariç, Kurul'un istediği bilgi ve belgeleri on beş gün içinde göndermek ve gerektiğinde yerinde inceleme yapılmasına imkân sağlamak zorundadır (m. 15).
- İhlal tespit edilirse Kurul, hukuka aykırılıkların giderilmesine karar verip ilgililere tebliğ eder; karar tebliğden itibaren gecikmeksizin ve en geç otuz gün içinde yerine getirilir (m. 15).
- İhlalin yaygın olduğu tespit edilirse Kurul ilke kararı alır ve yayımlar. Telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılık hallerinde veri işlenmesinin veya yurt dışına aktarılmasının durdurulmasına karar verebilir (m. 15). Kurul incelemede gerektiğinde geçici önlemler de alabilir (m. 15, 22).
- Kurul'a şikâyet etmeniz tazminat hakkınızı ortadan kaldırmaz: kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkı saklıdır (m. 14).
İdari para cezaları
Aydınlatma yükümlülüğünün, veri güvenliği yükümlülüklerinin ve Kurul kararlarının yerine getirilmemesi, Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırılık ile yurt dışı aktarımdaki bildirim yükümlülüğünün yerine getirilmemesi idari para cezası gerektirir; tutarlar her yıl değiştiği için güncel miktarları resmî kaynaktan kontrol edin (m. 18). Aydınlatma, veri güvenliği, Kurul kararı ve sicil yükümlülüklerine ilişkin cezalar veri sorumlusuna uygulanır. Kurulca verilen idari para cezalarına karşı idare mahkemelerinde dava açılabilir; tebliğ tarihini ve dava süresini karar üzerindeki başvuru yolu bilgisinden kontrol edin. Eylemler kamu kurumlarında işlenmişse Kurul'un bildirimi üzerine ilgili görevliler hakkında disiplin hükümlerine göre işlem yapılır.
Tazminat ve ceza şikâyeti
Kişisel verilerin kanuna aykırı işlenmesi kişilik haklarınızı zedeliyorsa, genel hükümlere göre tazminat hakkınız saklıdır; kişilik hakkının zedelenmesinden zarar gören manevi tazminat isteyebilir (TBK m. 58). Zararınızı ve hukuka aykırı işlemeyi gösteren belgeleri saklayın. Veri ihlali bir ceza suçu da oluşturuyorsa ihbar veya şikâyeti Cumhuriyet Başsavcılığına veya kolluk makamlarına yapabilirsiniz; Kurul'a şikâyet ise ayrı bir idari yoldur (m. 17). Kanunun amacına ve temel ilkelerine uygun ve orantılı olmak kaydıyla, suç işlenmesinin önlenmesi veya suç soruşturması için gerekli olan işlemelerde aydınlatma, ilgili kişinin hakları ve sicile kayıt hükümleri uygulanmaz; zararın giderilmesini talep hakkı bu istisnanın dışındadır (m. 28). Denetim yapan kamu kurumlarının görevleri bakımından da orantılı olmak kaydıyla bazı yükümlülükler uygulanmaz.
Arama sonucundan kaldırma ve kaynaktaki içerik
Kısa cevap: Arama sonucundan çıkarılmak, kaynak sitedeki haberin silinmesi demek değildir.
Arama görünürlüğü ile kaynaktaki yayın farklıdır. Hangi URL ve hangi sonuç için işlem istediğinizi belirleyin; veri ve kişilik hakkı taleplerini içerik kaynağıyla arama hizmeti açısından ayrı değerlendirin (m. 7, 11, 13). Bir içeriğin kaldırılması geçmiş zararı kendiliğinden gidermez; yayının durması ile tazminat veya ceza sorumluluğu farklıdır. Haber ve içerik kaldırma yolları için internet yayını ve içerik kaldırma yazımıza bakın.
Kurul'un yapısı ve sınırlar
Kurul görev ve yetkilerini kendi sorumluluğu altında, bağımsız olarak yerine getirir; görev alanına giren konularla ilgili olarak hiçbir organ, makam, merci veya kişi Kurul'a emir ve talimat veremez. Üyelerin görev süresi dört yıldır ve süresi biten üye yeniden seçilebilir (m. 21). Kurul kararları ve varsa karşı oy gerekçeleri karar tarihinden itibaren en geç on beş gün içinde yazılır; Kurul gerekli gördüğü kararları kamuoyuna duyurur, toplantıları ise aksi kararlaştırılmadıkça gizlidir (m. 23). İşyerinde yaşanan bir veri ihlali yalnızca teknik ekibi ilgilendirmez; güvenlik ve bildirim yükümlülükleri gündeme gelebilir, bu yüzden etkilenen veriyi, kişileri ve tespit zamanını belirleyin (m. 12).