6698 sayılı Kişisel Verilerin Korunması Kanunu, kişisel verilerin işlenmesinde uyulacak ilkeleri, veri sorumlusunun yükümlülüklerini ve ilgili kişinin haklarını düzenler. Uygulamada hak kaybının en sık yaşandığı yer, hakkın var olup olmadığı değil, hakkın hangi mercie ve hangi süre içinde ileri sürüleceği meselesidir. Bu rehber sürecin işletilmesine odaklanmaktadır.
Veri İşlemenin Hukuki Dayanağı
Kanun, kişisel verinin kural olarak ilgili kişinin açık rızasıyla işlenebileceğini, ancak kanunda sayılan hallerde açık rıza aranmaksızın işleme yapılabileceğini öngörür. Özel nitelikli veriler için daha dar bir çerçeve geçerlidir. Bir işlemenin hukuka uygunluğunu değerlendirirken sırasıyla şu sorular sorulmalıdır: veri hangi amaçla toplandı, amaç için gerekli olandan fazlası işlendi mi, saklama süresi sona erdi mi, aydınlatma yapıldı mı.
İlgili Kişi Başvurusu Nasıl Yapılır?
İlgili kişi, verisine ilişkin taleplerini önce veri sorumlusuna iletmek zorundadır. Doğrudan Kurula yapılan şikayetler, bu ön aşama tamamlanmadığı gerekçesiyle sonuçsuz kalabilir. Başvuruda bulunması gereken asgari unsurlar:
- Başvuranın kimlik ve iletişim bilgileri ile ıslak imza veya güvenli elektronik imza
- Talebin konusu: bilgi talebi, düzeltme, silme, aktarım bilgisi veya zararın giderilmesi
- Talebi destekleyen bilgi ve belgeler
- Başvurunun tebliğ edildiğini kanıtlayan kayıt
Veri sorumlusunun talebi en geç otuz gün içinde sonuçlandırması gerekir.
Kurula Şikayet ve Sürenin Kaçırılması
Başvuru reddedilirse, verilen cevap yetersiz bulunursa veya süresinde cevap verilmezse Kurula şikayet yolu açılır. Şikayet, cevabın öğrenildiği tarihten itibaren otuz gün ve her halde veri sorumlusuna başvuru tarihinden itibaren altmış gün içinde yapılmalıdır. Bu iki sürenin birlikte işlediği gözden kaçırıldığında, cevap beklenirken altmış günlük dış sınır dolabilir ve şikayet hakkı kullanılamaz hale gelir.
Veri Sorumlusu Tarafında Uyum
Veri sorumluları açısından temel yükümlülükler aydınlatma, veri güvenliğine ilişkin idari ve teknik tedbirler, sicile kayıt yükümlülüğü kapsamdaysa bunun yerine getirilmesi ve veri ihlali halinde ilgili bildirimlerin gecikmeksizin yapılmasıdır. İhlal bildiriminin gecikmesi, ihlalin kendisinden ayrı bir aykırılık olarak değerlendirilebilir.
Bu metin genel bilgilendirme amacıyla hazırlanmıştır. Somut bir veri işleme faaliyetinin hukuka uygunluğu ve izlenecek başvuru yolu, veri türüne ve olayın koşullarına göre değişeceğinden ayrıca değerlendirilmelidir.