Madde 12

GDPR m.12, m.13 ve m.14 uyarınca kendiliğinden verilecek bilgiler ile m.15 ila m.22 ve m.34 kapsamındaki iletişimlerin ortak usulünü düzenler. Bilgi kısa ve öz, şeffaf, anlaşılır, kolay erişilebilir, açık ve sade bir dille sunulmalıdır. İşlemenin karmaşık olması, açıklamanın da aynı ölçüde karmaşık olmasını haklı kılmaz.1

Bilginin anlaşılır olup olmadığı yalnız kelime seçimiyle belirlenemez. İlgili kişi, sunulan bilgilerden işlemenin kapsamını ve kendisi bakımından doğurabileceği sonuçları anlayabilmelidir. ABAD da erişim hakkı bağlamında, verilerin anlaşılır ve bağlamı görülebilir biçimde sunulmasını hakkın etkili biçimde kullanılabilmesi için gerekli görmüştür.2

Bilgi yazılı olarak veya başka araçlarla verilebilir. Uygun olduğu hallerde elektronik ortam da kullanılabilir. İlgili kişinin talebi üzerine, kimliği başka yollarla doğrulanmış olmak şartıyla sözlü açıklama da yapılabilir.1 Bilgi katmanlı metinler, simgeler veya bağlantılarla sunulabilir. Ancak temel bilgiye erişimi zorlaştıran bir tasarım GDPR m.12/1'deki açıklık ölçütlerini karşılayamaz.2

Bilgi özellikle çocuğa yönelikse anlatım, hedef yaş grubunun kavrayabileceği biçimde kurulmalıdır. Yalnız hukuki terimleri sadeleştirmek yeterli olmayabilir. İşlemenin amacı, kullanılacak veriler ve doğabilecek sonuçlar çocuğun anlayabileceği somutlukta açıklanmalıdır.3

Veri sorumlusu, GDPR m.15 ila m.22 kapsamındaki hakların kullanılmasını kolaylaştırmalıdır. Avrupa Veri Koruma Kurulunun (EDPB) erişim hakkına ilişkin nihai rehberine göre, veri sorumlusunun kendi sunduğu uygun kanallardan birine gelen erişim talebi, kuruluş içinde başka bir birime yönelmiş olması nedeniyle sonuçsuz bırakılamaz. Buna karşılık, veri sorumlusunun başvuru almak için sunmadığı ve konuyla açıkça ilgisiz bir adrese gönderilen talep somut koşullara göre ayrıca değerlendirilecektir.1 Veri sorumlusu, ilgili kişiyi belirleyemediğini GDPR m.11/2 uyarınca gösterebildiği haller dışında kimliğin belirlenemediği gerekçesiyle işlem yapmayı reddedemez.2

Talep üzerine yapılan işlem hakkında bilgi, gereksiz gecikme olmadan ve her halde bir ay içinde verilmelidir. Talebin karmaşıklığı veya taleplerin sayısı nedeniyle gerekliyse süre en fazla iki ay uzatılabilir. Uzatma ve gerekçesi ilk bir ay içinde bildirilmelidir. Veri sorumlusu işlem yapmayacaksa gerekçeyi, denetim makamına şikayet ve yargı yoluna başvurma imkanlarını yine bir ay içinde bildirmelidir. İşlem yapmama bildirimi için iki aylık uzatma öngörülmemiştir.3

GDPR m.13 ve m.14 uyarınca verilen bilgiler ile m.15 ila m.22 ve m.34 kapsamındaki iletişim ve işlemler kural olarak ücretsizdir. ABAD, erişim hakkı kapsamında verilecek ilk kopyanın ücretsiz olduğunu ve ilgili kişiden talebini belirli bir amaçla gerekçelendirmesinin istenemeyeceğini kabul etmiştir.1

Talep açıkça dayanaktan yoksun veya özellikle tekrarlayıcı niteliği nedeniyle aşırıysa veri sorumlusu makul bir ücret isteyebilir ya da işlem yapmayı reddedebilir. Bir talebin tekrarlanması tek başına ret sebebi değildir.2 Talebin açıkça dayanaktan yoksun veya aşırı olduğunu veri sorumlusu ispatlamalıdır.3

Veri sorumlusu, GDPR m.15 ila m.21 kapsamındaki talepte bulunan kişinin kimliği hakkında makul şüphe duyarsa kimliği doğrulamak için gerekli ek bilgileri isteyebilir.1 Şüphenin dayanağı ve istenecek bilgi, somut talebin niteliğine ve yanlış kişiye açıklama riskine göre belirlenmelidir.

Her talepte kimlik belgesi kopyası istemek, GDPR m.12/6 uyarınca somut olayda yapılması gereken değerlendirmenin yerine geçemez. Veri sorumlusu önce mevcut doğrulama yöntemlerini dikkate almalıdır. Daha fazla bilgi gerektiren bir yönteme ancak daha az veriyle doğrulama yapılamıyorsa başvurulabilir. İstenen bilgi yalnız doğrulama amacıyla ve gerekli süre boyunca işlenmelidir.2

GDPR m.13 ve m.14 kapsamında verilecek bilgiler, kolayca görülebilen ve anlaşılabilen bir özet sunmak amacıyla standart simgelerle desteklenebilir. Simge, işleme faaliyetinin temel özelliklerini hızlı biçimde göstermeye yarar. Ancak hükümde sayılan bilgi unsurlarını ortadan kaldıramaz ve tek başına bilgilendirme metninin yerine geçemez.1

Simgeler elektronik ortamda sunuluyorsa makine tarafından okunabilir olmalıdır. Komisyon, standart simgelerle sunulacak bilgileri ve bu simgelerin oluşturulmasına ilişkin usulleri yetki devrine dayalı işlemlerle belirleyebilir. Bu yetki, veri sorumlusunun kendi oluşturduğu her simge setinin Birlik çapında standart olduğunu göstermez.2

KVKK'da aydınlatma ile ilgili kişi başvurularının usulü ayrı düzenlemelere dağılmıştır. Aydınlatmanın içeriği KVKK m.10'da, yerine getiriliş usulü Aydınlatma Tebliğinde düzenlenmiştir. Veri sorumlusuna başvurunun usulü ise KVKK m.13 ve Başvuru Tebliğinde yer alır.1 GDPR m.12, bilgilendirme, iletişim ve hakların kullanılması için ortak bir usul çerçevesi kurar.

GDPR'da başvuruya cevap süresi bir ay olup belirli şartlarla iki ay daha uzatılabilir.2 KVKK'da talep en kısa sürede ve en geç otuz gün içinde sonuçlandırılır.3 Türk hukukundaki ücret düzeni de farklıdır. Başvuru kural olarak ücretsizdir, ancak ayrıca bir maliyet doğarsa Kurulca belirlenen tarife uygulanabilir. Başvuru Tebliği, yazılı cevapta on sayfaya kadar ücret alınmamasını öngörür.4