Kişisel verilerin korunmasında en çok tartışılan iki başlık birbirine bağlıdır: veri sorumlusunun aydınlatma yükümlülüğü ve ilgili kişinin silme, yok etme veya anonim hâle getirme talebi. Aydınlatma metninin hangi işleme amacını, hangi hukuki sebebi ve hangi saklama süresini gösterdiği, sonradan gelen silme talebinin kaderini büyük ölçüde belirler. 6698 sayılı Kanun bakımından bu iki adım ayrı ayrı değil, tek bir belge zinciri olarak kurulmalıdır.
Silme Talebi Her Zaman Kabul Edilmek Zorunda Değildir
Kişisel verinin işlenmesini gerektiren sebepler ortadan kalkmışsa silme yükümlülüğü doğar. Buna karşılık veri, bir sözleşmenin ifası, bir hukuki yükümlülüğün yerine getirilmesi ya da bir hakkın tesisi ve korunması için hâlâ gerekliyse, talebin reddi gerekçeli olarak bildirilebilir. İlgili kişi açısından kritik nokta şudur: ret yanıtı, sürecin sonu değil, Kurula şikâyet yolunun başlangıcıdır.
Başvuru Metnini Kuran Dört Unsur
- Kimlik ve iletişim: Başvurunun ilgili kişiye ait olduğunun doğrulanabilmesi
- Verinin tanımı: Hangi veri kategorisi, hangi kanaldan, hangi tarihte elde edilmiş
- Talebin türü: Silme mi, yok etme mi, anonimleştirme mi, yoksa aktarılan üçüncü kişilere bildirim mi isteniyor
- Dayanak: İşleme şartının hangi nedenle ortadan kalktığının somut açıklaması
Genel ifadelerle yazılan başvurular, veri sorumlusuna kapsamı daraltarak yanıt verme imkânı tanır.
Veri Sorumlusu Tarafında Kanıtlanabilirlik
Kurum tarafında savunmayı ayakta tutan şey iyi niyet beyanı değil, kayıt düzenidir. Kişisel veri işleme envanteri, saklama ve imha politikası, periyodik imha kayıtları ve aydınlatma metninin hangi tarihte hangi sürümle sunulduğunu gösteren loglar birlikte anlam kazanır. Aydınlatmanın veri elde edilmesi sırasında yapılması gerektiği gözden kaçırıldığında, sonradan alınan açık rıza tek başına eksikliği gidermez. Ayrıca açık rıza ile diğer işleme şartlarının aynı metinde birbirine karıştırılması, denetimde en sık rastlanan zayıflıklardandır.
Şikâyet Yoluna Gitmek mi, Anlaşmayı Denemek mi?
Uygulamada ilgili kişi ile veri sorumlusu arasındaki uyuşmazlığın önemli bölümü, teknik bir düzeltmeyle çözülebilecek niteliktedir: yanlış eşleşen bir telefon numarası, kapatılmış bir hesabın pazarlama listesinden çıkarılmaması, arşivde unutulmuş bir kopya. Böyle hâllerde doğrudan yazışma, hem daha hızlıdır hem de Kurul sürecinin idari yaptırım riskini gündeme getirmez. Ancak veri güvenliği ihlali, hukuka aykırı aktarım veya özel nitelikli veri söz konusuysa, sorunu kurum içi yazışmayla kapatma çabası ilgili kişi bakımından zaman kaybına dönüşebilir. Ayrıca 5651 sayılı Kanun kapsamındaki içerik kaldırma talepleri ile kişisel veri mevzuatına dayalı silme talepleri farklı mercilerde yürütülür; ikisi tek dilekçede birleştirilmemelidir.
Zararın Tazmini Ayrı Bir Başlıktır
Kurula yapılan şikâyet, ilgili kişinin genel hükümlere göre tazminat isteme hakkını ortadan kaldırmaz. Maddi ve manevi zarar iddiası, ihlalin varlığından ayrı olarak ispat edilmesi gereken bir konudur; bu nedenle zararın somutlaştırıldığı belgeler baştan ayrı tutulmalıdır.
Bu metin genel bilgilendirme amacıyla hazırlanmıştır. Veri işleme faaliyetinin niteliği kurumdan kuruma değiştiği için, başvuru veya savunma stratejisi belirlenmeden önce envanter ve yazışmaların uzman değerlendirmesinden geçirilmesi uygun olur.