Kişisel verilerinizi işleyen şirkete yazılı olarak başvurarak verinizin işlenip işlenmediğini, nereden ve ne amaçla alındığını, kimlere aktarıldığını öğrenebilir; düzeltme ve koşulları varsa silme isteyebilirsiniz (KVKK m. 11 ve 13). Şirket en geç otuz gün içinde cevap vermek zorundadır; cevap alamazsanız veya ret cevabı yetersizse, cevabı öğrendiğiniz tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kişisel Verileri Koruma Kuruluna şikâyet edebilirsiniz (KVKK m. 14).
Bu yazı, ilgili kişi olarak sahip olduğunuz hakları, başvurunun nasıl yapılacağını, şirketin verilerinizi nereden aldığını açıklamak zorunda olup olmadığını, Kurula şikâyetten önce şirkete yazmanın şart olup olmadığını ve silme talebinin sınırlarını anlatır.
Bu yazıda
- İlgili kişi olarak hangi haklara sahipsiniz?
- Şirket verilerimi nereden aldığını açıklamak zorunda mı?
- Başvuru nasıl yapılır, şirketin süresi nedir?
- KVKK’ya şikâyetten önce şirkete yazmak gerekir mi?
- Kurula şikâyet süresi ve Kurulun incelemesi
- Verilerimin silinmesini istersem hepsi silinir mi?
- Düzeltme, otomatik analiz ve tazminat
- Sık yapılan hatalar
- Kaynaklar
İlgili kişi olarak hangi haklara sahipsiniz?
Kanunun 11. maddesine göre herkes veri sorumlusuna başvurarak kendisiyle ilgili şunları yapabilir:
- Kişisel veri işlenip işlenmediğini öğrenmek,
- İşlenmişse buna ilişkin bilgi talep etmek,
- İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenmek,
- Yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilmek,
- Eksik veya yanlış işlenmiş verilerin düzeltilmesini istemek,
- 7. maddede öngörülen şartlar çerçevesinde silinmesini veya yok edilmesini istemek,
- Düzeltme ve silme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini istemek,
- Verilerin yalnızca otomatik sistemlerle analiz edilmesi sonucunda aleyhinize bir sonuç çıkmasına itiraz etmek,
- Kanuna aykırı işleme nedeniyle zarara uğramanız hâlinde zararın giderilmesini talep etmek.
Şirket verilerimi nereden aldığını açıklamak zorunda mı?
Evet, ilgili kişi olarak veri işleme hakkında bilgi alma hakkınız vardır. “Verilerimi nereden aldınız?” sorusunu tek başına cümle olarak sormak yerine, kanundaki haklara karşılık gelen belirli sorular hâlinde yöneltmeniz sonuç almanızı kolaylaştırır: Hakkımda kişisel veri işleniyor mu? İşleniyorsa hangi veriler ve hangi amaçla? Bu veriler kimlere, yurt içinde veya yurt dışında aktarıldı? Amaca uygun kullanılıyor mu? Veri sorumlusu ayrıca verilerin elde edilmesi sırasında kimliğini, işleme amacını, aktarım yapılabilecek kişileri, toplama yöntemini ve hukuki sebebini bildirmekle yükümlüdür (KVKK m. 10); bu bilgilendirme yapılmamışsa başvurunuzda bunu da belirtebilirsiniz.
Başvurunuzun teslim kanıtını ve şirketin verdiği cevabı saklayın; sonraki aşamalarda ikisi de önem taşır.
Başvuru nasıl yapılır ve şirketin süresi nedir?
Başvuru yazılı olarak veya Kurulun belirleyeceği diğer yöntemlerle veri sorumlusuna iletilir (KVKK m. 13/1). Her e-postanın usulüne uygun bir başvuru olduğunu varsaymayın; şirketin internet sitesinde gösterdiği başvuru kanalını ve gerekiyorsa noter, iadeli taahhütlü posta veya kayıtlı elektronik posta gibi teslimi ispatlayan bir yolu tercih edin. Başvuruda kimliğinizi, hangi talepte bulunduğunuzu ve cevabın size hangi yolla iletilmesini istediğinizi açıkça yazın.
Veri sorumlusu başvurudaki talepleri, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırır. İşlemin ayrıca bir maliyeti gerektirmesi hâlinde Kurulca belirlenen tarifedeki ücret alınabilir. Veri sorumlusu talebi kabul eder veya gerekçesini açıklayarak reddeder ve cevabını size yazılı olarak veya elektronik ortamda bildirir. Başvurunun veri sorumlusunun hatasından kaynaklanması hâlinde alınan ücret iade edilir (KVKK m. 13).
KVKK’ya şikâyetten önce şirkete yazmalı mıyım?
Evet. Kanunun 14. maddesinin ikinci fıkrası, 13. madde uyarınca başvuru yolu tüketilmeden şikâyet yoluna başvurulamayacağını söyler. Önce veri sorumlusuna başvuracak, sonra gerekirse Kurula gideceksiniz. Başvuru ve cevabın tarihli kayıtlarını saklamak bu yüzden önemlidir. Kurula doğrudan şikâyet yeterli değildir; ayrıca Kurula şikâyet ile uğradığınız zarar için tazminat istemek aynı yol değildir. Kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkı saklıdır (KVKK m. 14/3).
Kurula şikâyet süreleri ve inceleme
Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâllerinde, veri sorumlusunun cevabını öğrendiğiniz tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunabilirsiniz (KVKK m. 14/1). İki süreyi birlikte takip edin: cevabı öğrendiğiniz tarihten başlayan otuz günlük süre ile başvuru tarihinden başlayan altmış günlük üst sınır ayrı ayrı kontrol edilmelidir.
Kurul şikâyeti inceler. Veri sorumlusu, Kurulun istediği bilgi ve belgeleri on beş gün içinde göndermek zorundadır. Şikâyet tarihinden itibaren altmış gün içinde cevap verilmezse talep reddedilmiş sayılır. İhlalin varlığı anlaşılırsa Kurul, hukuka aykırılıkların giderilmesine karar verir ve bu karar tebliğden itibaren gecikmeksizin ve en geç otuz gün içinde yerine getirilir (KVKK m. 15). Telafisi güç zararların doğması ve açıkça hukuka aykırılık hâlinde Kurul veri işlenmesinin durdurulmasına da karar verebilir.
Verilerimin silinmesini istediğimde hepsi silinmek zorunda mı?
Hayır, her durumda değil. Kanuna göre kişisel veriler, kanuna ve ilgili diğer kanunlara uygun olarak işlenmiş olsa bile işlenmesini gerektiren sebepler ortadan kalkarsa resen veya talep üzerine silinir, yok edilir veya anonim hâle getirilir (KVKK m. 7/1). Yani verinin hukuka uygun işlenmiş olması silme isteme hakkınızı ortadan kaldırmaz; ama işleme sebebi sürüyorsa silme gerekmez.
- Yasal saklama süreleri: Silmeye ilişkin diğer kanunlardaki hükümler saklıdır (KVKK m. 7/2). Başka bir kanun belirli bir süre saklamayı zorunlu kılıyorsa şirket bu süre dolmadan silmeyebilir; süre bitince silme talebinde bulunabilirsiniz.
- Rızayı geri çekmek: Rızanızı geri çekmek, kanuna dayalı saklama nedenlerini otomatik olarak kaldırmaz. Hangi verinin neden tutulduğunu şirkete sorun.
- Usul: Silme, yok etme veya anonim hâle getirmenin usul ve esasları yönetmelikle düzenlenir (KVKK m. 7/3).
Başvurunuzda şu çerçeveyi kullanabilirsiniz: “Hangi verilerimi, hangi amaçla ve hangi hukuki sebeple işliyorsunuz? Silinmesini istediğim veriler için işlemeyi gerektiren sebep devam ediyor mu? Saklamaya devam ettiğiniz verilerin dayanağı hangi mevzuat hükmü?”
Düzeltme, otomatik analiz ve tazminat
Hakkınızdaki yanlış bilginin güncellenmeden kalması, verilerin doğru ve gerektiğinde güncel olması ilkesine (KVKK m. 4) aykırıdır; düzeltme için yazılı başvurun ve doğru bilgiyi belgeyle gösterin. Düzeltme ve silme işlemlerinin verilerin aktarıldığı üçüncü kişilere de bildirilmesini isteyebilirsiniz. Verilerin yalnızca otomatik sistemlerle analiz edilmesi sonucu aleyhinize bir sonuç çıktıysa itiraz hakkınız vardır. Kanuna aykırı işleme nedeniyle zarara uğramışsanız zararın giderilmesini talep edebilirsiniz (KVKK m. 11).
Verilerinizin kötüye kullanıldığı olaylarda hesap güvenliği, delil saklama ve suç duyurusu adımları için veri sızıntısı ve hesap ele geçirilmesi yazımıza bakabilirsiniz.
Başvuru dilekçesinde neler bulunmalı?
Veri sorumlusuna yapacağınız başvuruyu kısa ve ölçülü tutun. Şu başlıklar yeterlidir: adınız, soyadınız ve şirketle ilişkiniz (müşteri, eski çalışan, aday, site ziyaretçisi); şirketin unvanı ve başvuru kanalı; kanunun 11. maddesinden hangi talepleri kullandığınız; cevabı hangi yolla almak istediğiniz; başvuru tarihi ve imza. Talepleri madde madde yazmak, şirketin cevabının eksik olup olmadığını sonradan değerlendirmenizi kolaylaştırır. Cevap geldiğinde hangi soruya karşılık gelen kısmın yanıtlandığını, hangi kısmın yanıtsız bırakıldığını işaretleyin; yetersiz cevap da Kurula şikâyet sebebidir.
Başvuruyu avukat aracılığıyla yapmak zorunda değilsiniz. Ancak karmaşık bir uyuşmazlıkta, örneğin şirketin verilerinizi çok sayıda kurumla paylaştığı veya zarar iddiasının da bulunduğu durumlarda, hangi yolun hangi amaca hizmet ettiğini birlikte değerlendirmek isteyebilirsiniz: veri sorumlusuna başvuru bilgi ve düzeltme içindir, Kurul şikâyeti idari denetim içindir, tazminat ise ayrı bir istemdir.
Sık yapılan hatalar
- Cevap gelmeden doğrudan Kurula şikâyet etmek.
- Süreleri takip etmemek; özellikle altmış günlük üst sınırı kaçırmak.
- Başvurunun şirkete ulaştığını gösteren kanıtı saklamamak.
- Belirsiz bir “verilerimi silin” cümlesiyle yetinip hangi verinin kastedildiğini yazmamak.
- Her silme talebinin otomatik kabul edileceğini varsaymak.