Unutulma hakkı, kişisel verilerin silinmesi ve arama sonuçlarından çıkarılması taleplerinin kesiştiği noktada durur. Veri sorumlusu açısından bu talepler yalnızca bir müşteri ilişkisi meselesi değildir; usulüne uygun karşılanmayan her başvuru idari para cezası riskini doğurur. Bu rehber, 6698 sayılı KVKK ve 5651 sayılı Kanun çerçevesinde silme taleplerinin yönetimini ve ceza riskinin azaltılmasını konu alır.
Talep Geldiğinde İşleyen Saat
Kişisel verilerin silinmesi talebi doğrudan Kurula değil, önce veri sorumlusuna yapılır. Veri sorumlusunun talebi kanunda öngörülen süre içinde sonuçlandırması gerekir; bu süre içinde cevap verilmemesi ya da talebin reddedilmesi hâlinde ilgili kişi Kurula şikâyet yoluna gidebilir. Kurula başvuru için de kendi süresi işler ve bu süre geçtikten sonra yapılan şikâyet esasa girilmeden değerlendirilebilir. Veri sorumlusu tarafında en sık yapılan hata, talebin ilgili birime geç ulaşması nedeniyle sürenin farkında olmadan tüketilmesidir; bu nedenle başvuruların tek bir kayıt kanalında toplanması gerekir.
Silme Talebini Değerlendirme Sırası
- Başvurucunun kimliği doğrulanır; doğrulanmadan yapılan silme işlemi başka bir ihlal üretebilir.
- Verinin hangi hukuki sebeple işlendiği tespit edilir; işleme sebebi ortadan kalkmışsa silme yükümlülüğü doğar.
- Saklama zorunluluğu getiren başka bir mevzuat bulunup bulunmadığı kontrol edilir.
- Veri aktarılan üçüncü kişiler varsa, silme talebinin onlara bildirilmesi sağlanır.
- Karar gerekçesiyle birlikte yazılı olarak ilgili kişiye tebliğ edilir ve kayda geçirilir.
Arama Sonuçlarından Çıkarma Talebinin Farkı
Arama motoru sonuçlarından bağlantının kaldırılması, kaynak sitedeki içeriğin silinmesi anlamına gelmez. Bu iki talep ayrı ayrı yürütülür ve değerlendirme ölçütleri farklıdır: burada kişinin talebi ile toplumun bilgi edinme menfaati arasında bir denge kurulur. Kişinin kamusal rol üstlenip üstlenmediği, bilginin güncelliği ve içeriğin doğruluğu bu dengede belirleyici olur. Talep metninde bu unsurların neden kişi lehine sonuç doğurduğu somut biçimde açıklanmazsa, başvuru genel gerekçelerle reddedilebilir.
Ceza Riskini Azaltan Belgeler
- Başvuru kayıt defteri: her talebin geliş tarihi, cevap tarihi ve sonucu
- Kişisel veri işleme envanteri ve saklama-imha politikası
- Periyodik imha işlemlerine ilişkin tutanaklar
- Aydınlatma metinlerinin sürüm geçmişi ve yayımlandığı tarihler
- Veri aktarılan taraflarla yapılan sözleşmelerdeki gizlilik ve imha hükümleri
İhlal Bildirimi ile Silme Talebini Karıştırmamak
Veri ihlali bildirimi ile ilgili kişi başvurusu farklı yükümlülüklerdir ve farklı zaman baskısı taşır. Bir veri ihlali öğrenildiğinde Kurula bildirim yapılması ayrı bir sorumluluktur; silme talebine cevap verilmiş olması bu yükümlülüğü ortadan kaldırmaz. Kurumsal yapıda bu iki akışın ayrı prosedürlerle tanımlanması, gecikmeden doğan ceza riskini belirgin biçimde azaltır.
Yukarıdaki değerlendirmeler genel niteliktedir; işlenen verinin türü ve kurumun faaliyet alanı yükümlülükleri değiştirebileceğinden, uygulamaya geçmeden önce kurum içi süreçlerin bir hukukçuyla gözden geçirilmesi yerinde olur.