KVKK Kapsamında İlgili Kişinin Hakları ve Başvuru Yolları

Kişisel verilerin korunması, kişinin kendisiyle ilgili bilgiler üzerinde denetim kurabilmesini amaçlar. Bu denetim, kanunun ilgili kişiye tanıdığı haklar ve bu hakların kullanılmasını sağlayan başvuru usulleri aracılığıyla işlerlik kazanır.

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kişisel verisi işlenen gerçek kişiyi “ilgili kişi”, veri işleme amaçlarını ve vasıtalarını belirleyen kişiyi ise “veri sorumlusu” olarak tanımlar.

Aşağıda ilgili kişinin hakları, veri sorumlusuna başvuru usulü, süreler, Kurula şikâyet yolu ve 2024 yılında yapılan değişiklikler genel hatlarıyla açıklanmaktadır.

Temel kavramlar

Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Ad, soyad, kimlik numarası, iletişim bilgileri, konum verisi ve çevrimiçi tanımlayıcılar bu kapsamdadır.

Özel nitelikli kişisel veriler ise kanunda sınırlı olarak sayılmıştır. Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri bu gruba girer.

Veri işleyen, veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen kişidir. İlgili kişinin talepleri kural olarak veri sorumlusuna yöneltilir.

İlgili kişinin hakları

KVKK m. 11 uyarınca herkes, veri sorumlusuna başvurarak kendisiyle ilgili olarak şu taleplerde bulunabilir:

• Kişisel verisinin işlenip işlenmediğini öğrenme,
• İşlenmişse buna ilişkin bilgi talep etme,
• İşlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme,
• Eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
• Kanunda öngörülen şartlar çerçevesinde verilerin silinmesini veya yok edilmesini isteme,
• Düzeltme, silme ve yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
• Kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme.

Bu haklar birbirinden bağımsız olarak kullanılabilir. Talebin hangi hakka dayandığının açıkça belirtilmesi, başvurunun değerlendirilmesini kolaylaştırır.

Veri sorumlusuna başvuru usulü

KVKK m. 13’e göre ilgili kişi, kanunun uygulanmasıyla ilgili taleplerini yazılı olarak veya Kurulun belirleyeceği diğer yöntemlerle veri sorumlusuna iletir. Usul ve esaslar, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’de ayrıntılı olarak düzenlenmiştir.

Tebliğ uyarınca başvuru; yazılı olarak, kayıtlı elektronik posta adresi, güvenli elektronik imza, mobil imza ya da ilgili kişi tarafından veri sorumlusuna daha önce bildirilen ve veri sorumlusunun sisteminde kayıtlı bulunan elektronik posta adresi kullanılmak suretiyle yapılabilir.

Başvuruda ilgili kişinin adı ve soyadı, yazılı başvurularda imzası, Türkiye Cumhuriyeti vatandaşları için kimlik numarası, tebligata esas yerleşim yeri veya iş yeri adresi, varsa bildirime esas elektronik posta adresi ile telefon numarası ve talep konusu yer almalıdır.

Başvuru kural olarak ücret alınmaksızın sonuçlandırılır. İşlemin ayrıca bir maliyeti gerektirmesi hâlinde, Kurulca belirlenen tarifedeki tutar istenebilir. Başvurunun veri sorumlusunun hatasından kaynaklanması hâlinde alınan tutar ilgili kişiye iade edilir.

Cevap süresi ve sonuçlandırma

Veri sorumlusu, başvuruda yer alan talepleri talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırır. Bu süre, usulüne uygun bir başvurunun veri sorumlusuna ulaştığı tarihte işlemeye başlar.

Veri sorumlusu talebi kabul eder veya gerekçesini açıklayarak reddeder. Cevap ilgili kişiye yazılı olarak ya da elektronik ortamda bildirilir. Talebin kabul edilmesi hâlinde gereği veri sorumlusunca yerine getirilir.

Başvurunun eksik bilgi içermesi hâlinde veri sorumlusunun eksikliği tamamlatması, sürenin işleyişi bakımından önem taşır. Bu nedenle başvurunun kanunda ve Tebliğ’de aranan unsurları taşıyacak biçimde hazırlanması gerekir.

Kurula şikâyet

KVKK m. 14, ilgili kişiye Kişisel Verileri Koruma Kuruluna şikâyet imkânı tanır. Şikâyet yoluna ancak belirli hâllerde gidilebilir: başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde başvuruya cevap verilmemesi.

Bu hâllerde ilgili kişi, veri sorumlusunun cevabını öğrendiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunabilir. Her iki sürenin birlikte gözetilmesi gerekir.

Kanun ayrıca bir ön şart öngörmüştür: 13. madde uyarınca başvuru yolu tüketilmeden şikâyet yoluna başvurulamaz. Doğrudan Kurula yapılan şikâyetler bu nedenle sonuçsuz kalabilir.

Şikâyet üzerine Kurul, talebi inceleyerek ilgililere cevap verir. Şikâyet tarihinden itibaren altmış gün içinde cevap verilmezse talep reddedilmiş sayılır ve idari yargı yolu açılır.

Tazminat hakkı saklıdır

KVKK m. 14’ün son fıkrasına göre, kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkı saklıdır. Bu hak, Kurula şikâyet yolundan bağımsızdır ve hukuk mahkemelerinde ileri sürülür. İnternet ortamındaki yayınlardan doğan talepler bakımından kişilik hakkı ihlaline ilişkin genel çerçeve ayrıca değerlendirilir.

2024 yılında yapılan değişiklikler

KVKK’da 7499 sayılı Kanunla yapılan ve 1 Haziran 2024 tarihinde yürürlüğe giren değişiklikler, üç başlıkta toplanabilir.

Birincisi, özel nitelikli kişisel verilerin işlenme şartlarını düzenleyen 6. madde yeniden yazılmıştır. Değişiklikle bu verilerin işlenebileceği hâller açık rıza dışında da sayılarak genişletilmiş, sağlık ve cinsel hayata ilişkin verilerin ayrıksı rejimi kaldırılmıştır.

İkincisi, kişisel verilerin yurt dışına aktarılmasını düzenleyen 9. madde değiştirilmiştir. Yeni düzenleme aktarımı; yeterlilik kararı, uygun güvencelerin sağlanması ve kanunda sayılan arızi hâller olmak üzere kademeli bir yapıya bağlamıştır. Uygun güvenceler arasında standart sözleşme, bağlayıcı şirket kuralları ve taahhütname yer alır. Maddenin önceki hâlinin geçiş döneminde bir süre daha uygulanması öngörülmüştür.

Üçüncüsü, Kurulca verilen idari yaptırım kararlarına karşı başvuru yolu değişmiştir. Önceki düzenlemede sulh ceza hâkimliğine itiraz öngörülürken, değişiklikle bu kararlara karşı idare mahkemesinde dava açılması benimsenmiştir. Değişiklik tarihinde sulh ceza hâkimliklerinde görülmekte olan dosyalar bakımından geçiş hükmü öngörülmüştür.

Suç oluşturan fiiller

Kişisel verilere ilişkin bazı fiiller ayrıca suç oluşturur. Türk Ceza Kanunu’nun 135. maddesi kişisel verilerin hukuka aykırı olarak kaydedilmesini, 136. maddesi ise bu verilerin hukuka aykırı olarak bir başkasına verilmesini, yayılmasını veya ele geçirilmesini cezalandırır.

Kanunların belirlediği sürelerin geçmiş olmasına karşın verileri sistem içinde yok etmekle yükümlü olanların bu görevi yerine getirmemesi de suç olarak düzenlenmiştir (TCK m. 138).

TCK m. 139 uyarınca, kişisel verilerin kaydedilmesi, verileri hukuka aykırı olarak verme veya ele geçirme ve verileri yok etmeme suçları şikâyete bağlı değildir. Bu suçlar bakımından Cumhuriyet başsavcılığına ihbarda bulunulması yeterlidir.

Sonuç

İlgili kişinin hakları, öncelikle veri sorumlusuna yapılacak usulüne uygun bir başvuru ile kullanılır. Veri sorumlusunun en geç otuz günlük süre içinde cevap vermesi, sonrasında ise otuz ve altmış günlük sürelerin gözetilmesi gerekir.

Kurula şikâyet yolu, idari nitelikte bir denetim sağlar; kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkı ise ayrıca saklıdır. Alanın genel çerçevesi için Bilişim Hukuku sayfası incelenebilir. Her somut olay kendi koşulları içinde ayrıca değerlendirilmelidir.

Sıkça Sorulan Sorular

Veri sorumlusu başvuruya ne kadar sürede cevap vermek zorundadır?

KVKK m. 13 uyarınca veri sorumlusu, başvuruda yer alan talepleri talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırır. Talebi kabul eder veya gerekçesini açıklayarak reddeder; cevabı yazılı olarak ya da elektronik ortamda bildirir.

Doğrudan Kişisel Verileri Koruma Kuruluna şikâyette bulunulabilir mi?

Kural olarak hayır. KVKK m. 14’e göre, 13. madde uyarınca veri sorumlusuna başvuru yolu tüketilmeden şikâyet yoluna başvurulamaz. Önce veri sorumlusuna başvurulması, ancak başvurunun reddi, cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde Kurula gidilmesi gerekir.

Kurula şikâyet süresi ne kadardır?

İlgili kişi, veri sorumlusunun cevabını öğrendiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunabilir. Bu iki sürenin birlikte gözetilmesi gerekir; altmış günlük süre dolduktan sonra şikâyet imkânı ortadan kalkar.

Başvuru için ücret ödenmesi gerekir mi?

Başvuru kural olarak ücret alınmaksızın sonuçlandırılır. Ancak işlemin ayrıca bir maliyeti gerektirmesi hâlinde, Kurulca belirlenen tarifedeki tutar istenebilir. Başvurunun veri sorumlusunun hatasından kaynaklanması hâlinde alınan tutar ilgili kişiye iade edilir.

Kurulun verdiği idari para cezasına karşı nereye başvurulur?

7499 sayılı Kanunla yapılan ve 1 Haziran 2024 tarihinde yürürlüğe giren değişiklikten sonra, Kurulca verilen idari yaptırım kararlarına karşı idare mahkemesinde dava açılır. Önceki düzenlemede sulh ceza hâkimliğine itiraz öngörülmekteydi; değişiklik tarihinde görülmekte olan dosyalar için geçiş hükmü bulunmaktadır.