Kişisel verilerin işlenmesi açık rızaya dayanıyorsa, rızanın geri alınmasıyla birlikte işlemenin hukuki dayanağı ortadan kalkar ve verilerin akıbeti gündeme gelir. 6698 sayılı KVKK ile 5651 sayılı Kanun ekseninde hazırlanan bu rehber, silme ve yok etme talebinin nasıl kurulacağını ve başvuru zincirindeki usul hatalarının nasıl önleneceğini ele alır.
Önce dayanağı tespit edin: her işleme rızaya dayanmaz
Uygulamadaki en yaygın yanılgı, tüm veri işleme faaliyetlerinin açık rızaya dayandığı varsayımıdır. Kanun, açık rıza dışında da işleme şartları düzenlemiştir: kanunda açıkça öngörülme, sözleşmenin ifası için zorunluluk, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi ve meşru menfaat gibi. Rızanızı geri aldığınızda, işleme başka bir şarta dayanıyorsa veri tümüyle silinmeyebilir. Bu nedenle başvuru dilekçesinde önce hangi faaliyet için hangi dayanağa dayanıldığının açıklanması talep edilmelidir. Bu bilgi gelmeden yazılan silme talebi çoğu zaman kısmi ve tatmin edici olmayan bir cevapla karşılanır.
Üç farklı sonuç: silme, yok etme, anonim hale getirme
- Silme: Verinin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi
- Yok etme: Verinin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi
- Anonim hale getirme: Verinin başka verilerle eşleştirilse dahi kimliği belirli veya belirlenebilir bir kişiyle ilişkilendirilemeyecek hale getirilmesi
Talep dilekçesinde bu üçünden hangisinin istendiğinin yazılması gerekir. Ayrıca verinin aktarıldığı üçüncü kişiler varsa, yapılan işlemin onlara da bildirilmesinin talep edilmesi çoğu zaman gözden kaçar.
Başvuru zinciri ve süreler
- Talep, öncelikle veri sorumlusuna yazılı olarak veya Kurulun belirlediği yöntemlerle iletilir. Kimlik tespitini sağlayacak bilgilerin eksiksiz olması gerekir.
- Veri sorumlusu, talebi niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırır.
- Başvuru reddedilir, yetersiz yanıtlanır veya süresinde cevap verilmezse, öğrenme tarihinden itibaren otuz gün ve her halde başvuru tarihinden itibaren altmış gün içinde Kişisel Verileri Koruma Kuruluna şikayette bulunulabilir.
- Kurul kararına karşı idari yargı yolu ayrıca değerlendirilir. Kişilik hakkı ihlali içeren içerikler bakımından 5651 sayılı Kanun kapsamındaki erişim engelleme yolu bu zincirden bağımsız olarak işletilebilir.
Veri sorumlusu tarafındaki yükümlülük
İşlemeyi gerektiren sebepler ortadan kalktığında verinin silinmesi, veri sorumlusunun kendiliğinden yerine getirmesi gereken bir yükümlülüktür; ilgili kişinin talebi beklenmez. Silme, yok etme ve anonim hale getirmeye ilişkin ikincil düzenleme, saklama ve imha politikası hazırlamakla yükümlü veri sorumluları için periyodik imha uygulamasını öngörür ve bu süre altı ayı aşamaz. Başvuruda bu politikanın varlığının sorulması, cevabın niteliğini yükseltir.
Sık karşılaşılan usul hataları
- Şikayetin, veri sorumlusuna hiç başvurulmadan doğrudan Kurula yapılması
- Başvuru ve cevap tarihlerinin belgelenmemesi nedeniyle şikayet süresinin ispat edilememesi
- Talebin hangi veri kategorisine ilişkin olduğunun belirtilmemesi
- Geri alınan rızanın, hangi tarihte ve hangi kanaldan iletildiğinin kayda geçirilmemesi
Bilgilendirme
Bu içerik genel bir çerçeve sunar; veri sorumlusunun faaliyeti, verinin türü ve saklama yükümlülükleri sonucu değiştirebilir. Başvuru ve şikayet süreleri birbirine bağlı işlediğinden, ilk dilekçeyi göndermeden önce hukuki değerlendirme almanız süreci kısaltır.