Veri Sorumlusuna Başvuru

İlgili kişi hangi talepleri ileri sürebilir?

Başvuru nasıl yapılır?

Başvuru; veri sorumlusuna yazılı olarak, kayıtlı elektronik posta (KEP) adresiyle, güvenli elektronik imza veya mobil imzayla ya da ilgili kişinin veri sorumlusuna daha önce bildirdiği ve sistemde kayıtlı e-posta adresinden yapılabilir. Veri sorumlusu başvuruyu kabul eder veya gerekçesini açıklayarak reddeder. Cevap kural olarak ücretsizdir; ancak işlemin ayrıca bir maliyet gerektirmesi halinde Kurul'un belirlediği tarifedeki ücret alınabilir.

Kurul'a şikâyet nasıl işler?

Kurul'a şikâyet Kişisel Verileri Koruma Kurumu'nun internet sitesindeki başvuru sistemi üzerinden veya yazılı olarak yapılır. Şikâyete veri sorumlusuna yapılan başvurunun ve varsa cevabın örneği eklenir. Kurul şikâyeti inceleyerek ihlal tespit ederse veri sorumlusuna ihlalin giderilmesi talimatı verir ve şartları varsa idari para cezası uygular (KVKK m. 15, 18). Kurul, şikâyeti kanunda öngörülen süre içinde cevaplamazsa başvuru reddedilmiş sayılır. Kurul kararlarına karşı idare mahkemesinde dava açılabilir.

Veri sorumlusu kimdir ve nasıl bulunur?

Başvuru, kişisel verileri işleyen şirkete veya kuruma, yani veri sorumlusuna yapılır. Veri sorumlusunun unvanı ve adresi, aydınlatma metninde yer almak zorundadır; ayrıca VERBİS'e kayıtlı veri sorumluları Kurum'un internet sitesindeki sicilde sorgulanabilir. Verileri bir hizmet sağlayıcı aracılığıyla işleyen şirketlerde başvuru yine veri sorumlusuna yapılmalıdır; örneğin bir mağazanın müşteri verilerini işleyen yazılım şirketine değil, mağazanın kendisine başvurulur. Yurt dışında yerleşik olup Türkiye'deki kişilerin verilerini işleyen şirketler için Türkiye'deki veri sorumlusu temsilcisine başvurulabilir.

Veri sorumlusu başvuruyu nasıl değerlendirir?

Veri sorumlusu, başvuruyu talebin niteliğine göre en kısa sürede ve en geç 30 gün içinde sonuçlandırmak zorundadır. Başvurunun kabulü halinde gereği yerine getirilir; örneğin silme talebinde veriler silinir ve bu durum ilgili kişiye bildirilir. Başvuru, veri sorumlusunun hatasından kaynaklanıyorsa alınan ücret iade edilir. Veri sorumlusu, başvurunun ilgili kişiye ait olup olmadığını teyit etmek için ek bilgi isteyebilir; ancak bu talep başvuruyu zorlaştıracak düzeyde olmamalıdır. Talebin reddedilmesi halinde ret gerekçesinin açıkça ve yazılı olarak bildirilmesi gerekir.

Hangi durumlarda başvuru reddedilebilir?

Veri sorumlusu, bazı durumlarda ilgili kişinin talebini kısmen veya tamamen reddedebilir. Örneğin verilerin işlenmesi kanunda açıkça öngörülmüşse veya bir dava ya da soruşturma için gerekliyse silme talebi reddedilebilir. Vergi ve ticaret mevzuatındaki zorunlu saklama süreleri dolmadan fatura ve muhasebe kayıtlarının silinmesi de mümkün değildir. Ret gerekçesinin hukuka uygun olmadığı düşünülüyorsa, cevabın öğrenilmesinden itibaren 30 gün içinde Kurul'a şikâyette bulunulabilir. KVKK m. 28'de sayılan bazı hallerde ise ilgili kişinin hakları kanunen sınırlandırılmıştır; örneğin suç soruşturması kapsamındaki işlemler.

Başvuruda hangi talepler en sık yapılır?

• Pazarlama iletilerinin durdurulması: Rıza geri alınarak SMS, e-posta ve aramaların sonlandırılması.
• Üyelik sona erdikten sonra verilerin silinmesi: Hesap kapatıldığı halde verilerin saklanmaya devam edilmesine karşı.
• Verilerin kimlerle paylaşıldığının öğrenilmesi: Özellikle tanınmayan şirketlerden ileti alındığında.
• Kamera kayıtlarının bir örneğinin istenmesi: İşyeri veya mağazada yaşanan bir olayla ilgili.
• Hatalı kredi kaydı veya müşteri bilgisinin düzeltilmesi: Yanlış bilgilerin yol açtığı mağduriyetin giderilmesi.

Açık rıza nasıl geri alınır?

İlgili kişi, daha önce verdiği açık rızayı her zaman geri alabilir. Rızanın geri alınması, geri alma tarihinden sonraki işlemleri hukuka aykırı hale getirir; geçmişte rızaya dayanarak yapılan işlemlerin hukuka uygunluğunu ise etkilemez. Pazarlama iletileri için rıza geri alındığında veri sorumlusu ileti göndermeyi durdurmalı, ticari elektronik ileti onayı da ayrıca geri alınmışsa İleti Yönetim Sistemi (İYS) üzerinden ret kaydı yapılmalıdır. Rızanın geri alınması için başvuruda hangi işleme faaliyetine ilişkin rızanın geri alındığı açıkça belirtilmelidir. Veri sorumlusu, rızanın geri alınmasını rızanın verilmesinden daha zor hale getirecek yöntemler öngöremez.

Başvuru sürecinde nelere dikkat edilmeli?

Başvurunun ispatı, Kurul'a şikâyet aşamasında belirleyici olur. Bu nedenle başvurunun tarihi ve içeriği belgelenmeli, iadeli taahhütlü mektup, KEP veya noter gibi ispat edilebilir yollar tercih edilmelidir. Veri sorumlusunun web sitesindeki başvuru formu kullanılıyorsa, gönderim onayı veya ekran görüntüsü saklanmalıdır. 30 günlük cevap süresi ile Kurul'a şikâyet için 30 ve 60 günlük süreler takvime işlenmelidir. Veri sorumlusunun cevabı, yetersiz bulunsa bile şikâyete eklenmek üzere saklanmalıdır.