6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”), ilgili kişilere aşağıdaki hakları tanır:
1. Aydınlatılma hakkı
Veri işlemenin hukuki sebebi ne olursa olsun veri sorumluları, kişisel verilerin elde edilmesi sırasında ilgili kişileri asgari olarak aşağıdaki konularda aydınlatmakla yükümlüdür (Kanun m. 10):
- veri sorumlusunun ve varsa temsilcisinin kimliği;
- kişisel verilerin hangi amaçla işleneceği;
- kişisel verilerin kimlere ve hangi amaçla aktarılabileceği;
- kişisel veri toplamanın yöntemi ve hukuki sebebi ve
- ilgili kişinin Kanun’un 11. maddesinde sayılan hakları.
2. Erişim hakkı
İlgili kişiler, veri sorumlusundan aşağıdaki taleplerde bulunabilir (Kanun m. 11):
- kişisel verilerinin işlenip işlenmediğini öğrenme;
- kişisel verileri işlenmişse, bu verilere ve işleme faaliyetine ilişkin bilgi talep etme;
- kişisel verilerin işlenme amacını ve verilerin bu amaca uygun kullanılıp kullanılmadığını öğrenme;
- kişisel verilerin aktarıldığı gerçek veya tüzel kişilerin kimliğini öğrenme;
- kişisel verilerin düzeltilmesini, silinmesini veya yok edilmesini isteme;
- veriler aktarılmışsa; düzeltme, silme ve yok etme işlemlerinin, verilerin aktarıldığı alıcılara bildirilmesini isteme;
- verilerinin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhine ortaya çıkan sonuçlara itiraz etme ve
- kişisel verilerinin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme.
Kişisel Verileri Koruma Kurumu, veri sorumlusuna başvurunun usul ve esaslarını düzenleyen Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’i yayımlamıştır. Buna göre veri sorumluları, ilgili kişilerin başvurularını 30 gün içinde yanıtlamalıdır. Tebliğ ayrıca on sayfayı aşan yanıtlarda sayfa başına 1 TL işlem ücreti alınabileceğini; yanıtın ayrı bir kayıt ortamında verilmesi hâlinde ise kayıt ortamının maliyetinin talep edilebileceğini öngörmektedir.
Kişisel Verileri Koruma Kurulu (“Kurul”), veri sorumlusuna başvuru usulü ile Kurula şikâyet sürelerinin belirlenmesine ilişkin 2019/9 sayılı kararını yayımlamıştır (karara buradan ulaşabilirsiniz). Kurul bu kararla, Kurula şikâyet ve veri sorumlusuna başvuru sürelerini açıklığa kavuşturmuştur. Buna göre başvuru sürelerinin hesaplanmasında aşağıdaki ilkeler geçerlidir:
- veri sorumlusunun 30 gün içinde yanıt vermemesi hâlinde ilgili kişi, veri sorumlusuna başvurduğu tarihten itibaren 60 gün içinde Kurula şikâyette bulunabilir;
- veri sorumlusunun 30 gün içinde yanıt vermesi hâlinde ilgili kişi, bu yanıtı izleyen 30 gün içinde Kurula şikâyette bulunabilir ve
- veri sorumlusunun 30 günlük süre geçtikten sonra yanıt vermesi hâlinde ilgili kişi, veri sorumlusuna başvurduğu tarihten itibaren en geç 60 gün içinde Kurula şikâyette bulunabilir; bu şikâyet, veri sorumlusundan yanıt alınıp alınmadığına bakılmaksızın, 30 günlük sürenin dolmasıyla birlikte hemen yapılabilir.
3. Düzeltme hakkı
Kişisel verilerin doğru ve gerektiğinde güncel olması zorunludur (Kanun m. 4/2-b). Bu ilke doğrultusunda ilgili kişiler, aksi yönde bir uygulama hâlinde veri sorumlusundan verilerinin düzeltilmesini talep edebilir.
4. Silme hakkı
Veri sorumluları, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel verileri resen veya ilgili kişinin talebi üzerine silmek, yok etmek veya anonim hâle getirmekle yükümlüdür (Kanun m. 7).
5. İtiraz ve ret (opt-out) hakkı
Kanun, ilgili kişilere geniş kapsamlı bir itiraz hakkı tanımamaktadır. Veri işlemenin geçerli bir hukuki sebebe dayanması hâlinde itiraz hakkı, işleme faaliyetini durdurmak için tek başına yeterli olmaz. Ancak meşru menfaat gibi bir hukuki sebebin amacının aşılması hâlinde ilgili kişi, bu amacı aşan işleme faaliyetlerinin durdurulması için itiraz hakkını kullanabilir. Ayrıca ilgili kişi, açık rızasını her zaman geri alarak açık rızaya dayanan veri işleme faaliyetinin durdurulmasını sağlayabilir.
Kanun’daki bu yaklaşımın yanı sıra, elektronik ticaret alanında ilgili kişilerin itiraz/ret hakkını düzenleyen ayrı bir mevzuat bulunmaktadır. 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun uyarınca tüketiciden elde edilen kişisel veriler, ancak tüketicinin onayıyla kullanılabilir ve üçüncü kişilerle paylaşılabilir. Dolayısıyla kişisel verilerin pazarlama amacıyla kullanılabilmesi için, tüketici konumundaki ilgili kişinin onayının alınması gerekir.
Aynı mevzuat, tüketicilere/ilgili kişilere itiraz/ret (opt-out) hakkı tanımaktadır. Aynı zamanda hizmet sağlayıcı konumunda bulunan veri sorumluları, alıcıların ret hakkını kullanabilmesi için ticari elektronik iletilerde iletişim bilgilerine yer vermek zorundadır. Ret bildirimi imkânının, ticari elektronik iletinin alındığı iletişim kanalı üzerinden sunulması; bunun kolay ve ücretsiz olması gerekir. Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik (ve değişiklikleri) uyarınca ulusal ve merkezî bir ticari elektronik ileti yönetim sistemi kurulmuştur. Tüketiciler veya ilgili kişiler, ret haklarını bu sistem (veya ilgili hizmet sağlayıcının sunduğu sistem) üzerinden kullanabilir.
6. Veri taşınabilirliği hakkı
GDPR’dan farklı olarak Kanun, ilgili kişilere veri taşınabilirliği hakkı tanımamaktadır. Kanun kapsamında ilgili kişiler, kişisel verilerinin bir veri sorumlusundan diğerine doğrudan aktarılmasını talep edemez.
7. Otomatik karar verme süreçlerine tabi olmama hakkı
Kanun, otomatik karar verme sistemlerine karşı genel nitelikte bir hak öngörmemektedir. İşlemenin sınırları ve ilgili kişinin hakları; hukuki sebebin amacı gibi Kanun’daki diğer yükümlülükler ışığında değerlendirilmelidir. Bununla birlikte ilgili kişiler, Kanun’un 11/1-g maddesi uyarınca, verilerinin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhlerine ortaya çıkan sonuçlara itiraz etme hakkına sahiptir. Bu hakkın kullanılabilmesi için aleyhe bir sonucun doğmuş olması gerektiği unutulmamalıdır.
İlgili kişi başvurularının kurumsal tarafta yönetimi için KVKK & GDPR uyum programı hizmetimize, güncel düzenleme durumu için KVKK mevzuat kaydımıza göz atın.
