Kişisel veri süreçlerinde şikâyetlerin önemli bölümü, veri işlemenin esasından değil aydınlatma ve imha adımlarının kayıt altına alınmamasından doğuyor. Bu rehber, aydınlatma yükümlülüğü ile silme ve yok etme talebi arasındaki bağı kurar ve her iki tarafın da usulden kaybetmemesi için kontrol edilmesi gereken noktaları listeler.
Aydınlatma ile Açık Rızayı Ayırmak
6698 sayılı KVKK bakımından aydınlatma, veri işlemenin hukuki dayanağından bağımsız olarak yerine getirilmesi gereken bir yükümlülüktür. Açık rızaya dayanılmayan hallerde de aydınlatma yapılması zorunludur. Uygulamada en sık görülen kurgu hatası, aydınlatma metniyle rıza beyanının tek bir kutucukta birleştirilmesidir; bu, rızanın özgür iradeyle verilmediği eleştirisini ve aydınlatmanın ayrıca yapılmadığı sonucunu birlikte doğurur. İkinci sık hata, aydınlatmanın veri işlemeye başladıktan sonra yapılmasıdır.
Silme, Yok Etme ve Anonim Hale Getirme
İşlenmesini gerektiren sebepler ortadan kalktığında veri resen veya ilgili kişinin talebi üzerine silinir, yok edilir ya da anonim hale getirilir. Üç yöntem birbirinin yerine geçmez: silme, verinin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesidir; yok etme, verinin hiç kimse tarafından geri getirilemeyecek biçimde ortadan kaldırılmasıdır; anonim hale getirme ise verinin kimliği belirli bir kişiyle ilişkilendirilemeyecek duruma sokulmasıdır. Saklama ve imha politikası bulunan veri sorumluları için periyodik imha, mevzuatta öngörülen azami aralığı aşmayacak biçimde planlanmalı ve her imha işlemi tutanakla kayıt altına alınmalıdır.
Başvuru ve Şikâyet Zinciri
- İlgili kişi önce veri sorumlusuna başvurur; doğrudan Kurula yapılan şikâyet, başvuru yolu tüketilmediği gerekçesiyle işleme alınmayabilir.
- Veri sorumlusu talebi en geç otuz gün içinde sonuçlandırır.
- Talep reddedilir, yetersiz yanıt verilir veya süresinde yanıtlanmazsa Kurula şikâyet yolu açılır.
- Kurula şikâyet, yanıtın öğrenilmesinden itibaren otuz gün ve her halde veri sorumlusuna başvuru tarihinden itibaren altmış gün içinde yapılır.
Usulü Bozan Ayrıntılar
- Başvurunun kimliği doğrulanabilir bir yöntemle yapılmaması
- Talebin hangi veriye ilişkin olduğunun belirtilmemesi
- Veri sorumlusu yerine irtibat kişisine veya alakasız bir birime gönderim
- Yanıt tarihinin belgelenmemesi nedeniyle altmış günlük üst sınırın kaçırılması
- Yedek ortamlardaki kopyaların imha kapsamı dışında bırakılması
İnternet Ortamındaki Yayınlarda Kesişme
Veri silme talebi çoğu zaman internet ortamındaki bir yayının kaldırılmasıyla iç içe geçer. Bu durumda 5651 sayılı Kanun kapsamındaki içeriğin çıkarılması ve erişimin engellenmesi yolu ile KVKK başvurusu birbirinin alternatifi değil, farklı sonuçlar doğuran iki ayrı hattır. Arama sonuçlarından çıkarılma talebi ile kaynaktaki içeriğin silinmesi talebinin de ayrı ayrı yürütülmesi gerekir.
Veri envanteri, saklama süreleri ve imha yöntemleri her kuruluşta farklıdır. Somut bir başvuru ya da şikâyet karşısındaysanız, süreler işlemeye başladığından yanıt metnini hazırlamadan önce hukuki değerlendirme almanız yararlı olacaktır.