Bir veri ihlali yaşandığında ilgili kişinin gündemi genellikle iki başlıkta toplanır: verinin nereye yayıldığını öğrenmek ve verinin ortadan kaldırılmasını sağlamak. 6698 sayılı KVKK, ikinci başlık için silme, yok etme ve anonim hâle getirme kavramlarını ayrı ayrı düzenler. Bu rehber, ihlal bildirimi ile silme talebinin nasıl birleştirileceğine odaklanmaktadır.
Üç Kavram Aynı Şey Değildir
Silme, verinin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hâle getirilmesidir. Yok etme, verinin hiç kimse tarafından geri getirilemeyecek biçimde ortadan kaldırılmasıdır. Anonim hâle getirme ise verinin kimliği belirli bir kişiyle ilişkilendirilemeyecek duruma sokulmasıdır. Talep dilekçesinde hangisinin istendiğinin açıkça yazılması gerekir; yalnızca verilerimi kaldırın denildiğinde veri sorumlusu en dar yorumu tercih edebilir ve yedeklerdeki kayıt yerinde kalabilir.
Başvuru Zincirinin İşleyişi
KVKK sistemi kademelidir. İlgili kişi önce veri sorumlusuna başvurur; veri sorumlusu talebi en geç otuz gün içinde sonuçlandırır. Talep reddedilir, verilen cevap yetersiz bulunur veya süresinde cevap verilmezse Kişisel Verileri Koruma Kurulu'na şikâyet yolu açılır. Bu şikâyet, cevabın öğrenildiği tarihten itibaren otuz gün ve her hâlde veri sorumlusuna başvuru tarihinden itibaren altmış gün içinde yapılmalıdır. Uygulamadaki en yaygın hata, veri sorumlusuna hiç başvurmadan doğrudan Kurul'a gidilmesi ve şikâyetin usulden dönmesidir; bu dönüş sırasında altmış günlük dış sınır tükenebilir.
İhlal Bildirimi ile Silme Talebinin Kesişimi
Veri ihlali gerçekleştiğinde veri sorumlusunun Kurul'a bildirim yükümlülüğü, ilgili kişinin silme talebinden bağımsızdır. Ancak ihlal bildiriminin varlığı, ilgili kişi bakımından güçlü bir dayanaktır: ihlalin kabul edildiği bir tabloda, verinin işlenmesini gerektiren şartların ortadan kalktığı iddiası çok daha somut hâle gelir. Bu nedenle başvuruya, varsa ihlal bildirimi duyurusu ve kendinize gelen bildirim mesajı eklenmelidir.
Veri Sorumlusunun Reddedebileceği Hâller
- Verinin saklanmasını zorunlu kılan başka bir kanun hükmünün bulunması.
- Bir hakkın tesisi veya korunması için verinin gerekli olması.
- Talebin, verinin hangi işleme faaliyetine ilişkin olduğunu belirtmeyecek kadar genel kalması.
İlk iki gerekçe meşru olabilir; ancak veri sorumlusunun bu gerekçeyi hangi kayıt bakımından ileri sürdüğünü açıklaması beklenir. Blok hâlinde verilen ret cevapları, şikâyet aşamasında ayrıntılı biçimde tartışılabilir.
Bilgilendirme
Burada anlatılanlar tipik bir sürecin çerçevesidir. İşlenen verinin niteliği, 5651 sayılı Kanun kapsamındaki içerik boyutu ve varsa yurt dışına aktarım unsuru süreci değiştirebilir; dosyanızı bir hukukçuyla birlikte kurgulamanız önerilir.