İlgili kişi başvurusuna 30 günde cevap: süreç nasıl kurulur?

Kişisel verilerin korunması mevzuatına uyum çalışmalarının çoğu içeriye dönüktür: envanter, politika, teknik tedbir. Oysa şirketin uyum düzeyini dışarıya karşı ilk gösteren şey, kapısına gelen bir ilgili kişi başvurusuna verdiği cevaptır. Süresinde ve usulüne uygun verilmeyen bir cevap, doğrudan Kurul'a şikâyet yolunu açar.

İlgili kişinin hakları

Kanun'un 11. maddesi, herkese kendi verisi üzerinde bir dizi hak tanır:

• Kişisel verisinin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme,
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme,
• Eksik veya yanlış işlenmişse düzeltilmesini isteme,
• Kanundaki şartlar çerçevesinde silinmesini veya yok edilmesini isteme,
• Düzeltme, silme ve yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• Münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhine bir sonuç ortaya çıkmasına itiraz etme,
• Hukuka aykırı işleme sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme.

Usulüne uygun başvuru nedir?

Süreler ancak usulüne uygun bir başvuruyla işlemeye başlar. Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ, başvurunun Türkçe ve yazılı olmasını; ad, soyad, imza, T.C. kimlik numarası (yabancılar için uyruk ve pasaport numarası), tebligata esas adres, varsa e-posta ve telefon ile talep konusunu içermesini arar.

Başvuru; yazılı olarak, kayıtlı elektronik posta (KEP) adresiyle, güvenli elektronik imza veya mobil imzayla ya da ilgili kişinin veri sorumlusuna daha önce bildirdiği ve sistemde kayıtlı bulunan elektronik posta adresi üzerinden yapılabilir.

Kritik nokta: Kurul'a şikâyet yoluna gidilebilmesi için önce veri sorumlusuna başvuru yolunun tüketilmiş olması zorunludur. Yani doğru işleyen bir başvuru süreci, şirket için ilk ve en ucuz savunma hattıdır.

30 günlük süre ne zaman başlar?

Kanun'un 13. maddesi açıktır: veri sorumlusu, talebi en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırır. Süre, başvurunun veri sorumlusuna ulaştığı tarihte başlar; şirket içinde ilgili birime iletildiği tarihte değil.

İşlemin ayrıca bir maliyet gerektirmesi hâlinde Kurulca belirlenen tarifedeki ücret alınabilir. Ancak ücret talebi, cevap süresini durdurmaz.

Uygulamada süreyi kaçıran şirketlerin ortak özelliği aynıdır: başvurunun kuruma ulaştığı an kayda geçmez. Genel bir "info@" kutusuna düşen talebin kaç gündür beklediğini kimse bilmez.

Cevap nasıl verilir?

Cevap yazılı olarak veya elektronik ortamda verilir. Talep kabul edilebilir ya da gerekçesi açıklanarak reddedilebilir — ama cevapsız bırakılamaz. Reddin gerekçesiz olması da başlı başına eksikliktir.

Talebin bir kısmı kabul edilip bir kısmı reddedilebilir; bu durumda hangi talebin hangi gerekçeyle reddedildiği ayrı ayrı yazılır.

Cevap verilmezse ne olur?

Kanun'un 14. maddesine göre başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde başvuruya cevap verilmemesi hâllerinde ilgili kişi, cevabı öğrendiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurul'a şikâyette bulunabilir.

Şikâyet, Kurumun şirkete bilgi ve belge talebiyle yazması anlamına gelir. Bu noktadan sonra incelenen yalnızca başvuru konusu değil, şirketin genel uyum düzeyidir: envanter var mı, aydınlatma yapılmış mı, çalışanlar eğitilmiş mi.

Sık yapılan hatalar

1. Başvuru kanalının belirsizliği. Aydınlatma metninde ve web sitesinde başvuru yolu gösterilmiyorsa talep rastgele kanallardan gelir ve kaybolur; sitede bulunması gereken belgeleri ayrı bir yazıda listeledik.
2. Ulaşma tarihinin kayda geçmemesi. Süre yönetilemiyorsa 30 gün kaçırılır; savunma imkânı da kalmaz.
3. Kimlik doğrulaması yapılmadan bilgi verilmesi. Başkasının verisini yanlış kişiye vermek, başlı başına bir veri ihlalidir — ihlal bildirimi yükümlülüğünü doğurabilir.
4. Sözlü cevap. Telefonla çözülen talebin ispatı yoktur.
5. Sürecin tek kişiye bağlı olması. O kişi izinliyken gelen başvuru bekler. Yedekli, yazılı bir akış gerekir.
6. Çalışanın başvuruyu tanımaması. Santralden veya mağazadan gelen bir talebin "KVKK başvurusu" olduğunu fark etmeyen çalışan, süreyi farkında olmadan tüketir. Bu, düzenli farkındalık eğitiminin doğrudan karşılığıdır.

Tek bir başvuru, tüm yapıyı yoklar

İlgili kişi başvurusunun şirketler için öğretici tarafı şudur: cevap verebilmek, uyum yapısının tamamının çalışıyor olmasını gerektirir.

"Verilerim işleniyor mu?" sorusuna cevap vermek için kişisel veri envanterine; "hangi amaçla?" sorusuna cevap vermek için aydınlatma metinlerine ve dayanılan hukuki sebebe; "kimlere aktarıldı?" sorusuna cevap vermek için aktarım kayıtlarına ve veri işleyen sözleşmelerine; "silin" talebine cevap vermek için saklama ve imha politikasına ihtiyaç duyarsınız. Silme talebi kabul edildiğinde ise değişikliğin verinin aktarıldığı üçüncü kişilere bildirilmesi ve gerekiyorsa VERBİS kaydının gözden geçirilmesi gerekir.

Yani bir başvuruya sağlıklı cevap verememek, çoğu zaman başvuru sürecinin değil, altındaki yapının eksikliğinin göstergesidir. Bu yapıyı kurarken — ve bir değişiklik yapıldığında tüm belgeleri birlikte gözden geçirirken — hukuki destek almanızı öneririz. Genç Partners bu süreci saha deneyimiyle kolaylaştırır; kisiselverilerim.com ise aydınlatma, açık rıza ve belge yayınını ispatlanabilir kayıtlarla tek panelde toplayarak başvuruya cevap verirken elinizin dolu olmasını sağlar.

Özet

• Başvuru, veri sorumlusuna ulaştığı tarihten itibaren en geç 30 gün içinde sonuçlandırılır.
• Usulüne uygun başvurunun şartları Tebliğ'de sayılmıştır; başvuru yolu aydınlatma metninde gösterilmelidir.
• Cevap yazılı veya elektronik olur; ret gerekçelendirilir, sessiz kalınamaz.
• Süresinde cevap verilmemesi Kurul'a şikâyet yolunu açar ve inceleme başvuru konusuyla sınırlı kalmaz.

Bu yazı bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Elinizdeki somut bir başvuru veya başvuru sürecinizin kurulması için hukuki destek alınız.