Madde 15

Erişim hakkı üç ayrı talebi bir araya getirir. İlgili kişi, kendisine ilişkin kişisel verilerin işlenip işlenmediğinin doğrulanmasını, işlenen verilere erişimi ve işleme faaliyeti hakkında GDPR m.15/1'de sayılan bilgileri isteyebilir.1 Veri sorumlusu, bu unsurlardan birini yerine getirerek diğerlerini cevapsız bırakamaz.2

Bu hak, ilgili kişinin verilerin doğruluğunu ve işleme faaliyetinin hukuka uygunluğunu denetleyebilmesine hizmet eder. Böylece ilgili kişi, düzeltme, silme, işlemenin sınırlandırılması ve itiraz haklarını kullanmak için gereken bilgileri edinir.3 Talebin geçerli olması, belirli bir hukuki menfaatin veya talep amacının açıklanmasına bağlı değildir.4

Erişim hakkının konusu kişisel verilerdir. Bu hak, kendiliğinden belge inceleme veya uyuşmazlıkta kullanılacak belgelerin ibrazını isteme hakkı vermez. Kişisel verilerin anlaşılması için bağlamın bilinmesi gerekiyorsa belgenin ilgili bölümlerinin kopyası erişim cevabına dahil edilmelidir.5 Belgenin hangi bölümlerinin verileceği, kopya hakkının kapsamı ile başkalarının hak ve özgürlükleri gözetilerek belirlenecektir.6

Erişim talebi belirli bir şekle bağlı değildir. Başvurunun içeriğinden erişim hakkının kullanılmak istendiği anlaşılıyorsa, başlıkta GDPR m.15'e yer verilmemesi ret sebebi olamaz.1 Talep elektronik yolla yapılmışsa cevap da ilgili kişi başka bir yol istemedikçe yaygın kullanılan elektronik bir biçimde verilmelidir.2

Veri sorumlusu, başvuruyu yapan kişinin kimliğine ilişkin makul şüphe duyarsa kimliğin doğrulanması için gerekli ek bilgileri isteyebilir.3 İstenecek bilgi, işlenen verilerin niteliği ve yetkisiz açıklama riskiyle orantılı olmalıdır. Her başvuruda kimlik belgesinin tam kopyasını istemek, doğrulama amacıyla ilgisi bulunmayan verilerin ayrıca toplanmasına yol açabilir.4

Temsilci aracılığıyla yapılan başvuruda temsil yetkisi, çocuk adına yapılan başvuruda ise temsil ilişkisi ve çocuğun hakkı bizzat kullanıp kullanamayacağı ayrıca incelenecektir.5 Kimlik veya temsil konusundaki belirsizlik giderilmeden kişisel verilerin açıklanması, erişim hakkını korumak yerine yeni bir veri güvenliği ihlaline yol açabilir.6

Erişim cevabında işleme amaçları, kişisel veri kategorileri, saklama süresi veya bu sürenin belirlenmesinde kullanılan ölçütler ve verilerin kaynağı açıklanmalıdır. İlgili kişinin düzeltme, silme, sınırlandırma, itiraz ve denetim makamına şikayet hakları da bildirilmelidir.1 Üçüncü ülkeye aktarım GDPR m.46'daki güvencelere dayanıyorsa ilgili kişi bu güvenceler hakkında bilgi isteyebilir.2

GDPR m.13 ve m.14 uyarınca yapılan bilgilendirme ile GDPR m.15 kapsamındaki erişim cevabı aynı işlevi görmez. İlk yükümlülük, işleme faaliyeti başlarken veya veriler başka kaynaktan elde edildiğinde talep aranmaksızın yerine getirilir. Erişim cevabı ise talep tarihinde mevcut olan ve ilgili kişiye özgü işleme faaliyetini göstermelidir.3

Bu nedenle yalnız gizlilik bildirimine bağlantı verilmesi veya genel veri kategorilerinin tekrarlanması yeterli olmayabilir. Cevap, ilgili kişinin hangi verilerinin hangi amaçlarla işlendiğini, ne kadar süreyle saklanacağını ve hangi kaynaklardan elde edildiğini anlayabileceği açıklıkta olmalıdır.4

GDPR m.15/1-c, kişisel verilerin açıklandığı veya açıklanacağı alıcıları ya da alıcı kategorilerini erişim kapsamına alır. ABAD, ilgili kişinin gerçek alıcıların kimliğini öğrenmeyi seçebileceğini kabul etmiştir.1 “Alıcılar veya alıcı kategorileri” ibaresi, veri sorumlusuna her durumda iki seçenek arasında serbestçe karar verme yetkisi vermez.2

Belirli alıcıların tespit edilmesi imkansızsa alıcı kategorileri açıklanabilir.3 Veri sorumlusu, talebin açıkça dayanaksız veya aşırı olduğunu GDPR m.12/5 uyarınca kanıtlarsa talebi reddedebilir veya makul bir ücret isteyebilir. İspat yükü veri sorumlusundadır.4 Veri sorumlusunun yetkisi altında hareket eden çalışanlar, sırf bu nedenle alıcı sayılmaz.5

Alıcı bilgisinin amacı, ilgili kişinin verilerin dolaşımını izlemesini ve haklarını gerektiğinde alıcılar karşısında da kullanmasını sağlamaktır. Henüz gerçekleşmemiş aktarımlar bakımından belirsiz bir iş ortağı listesinin sunulması bu amacı karşılamaz.6

Kişisel verilere hangi tarihlerde ve hangi amaçlarla erişildiğini gösteren kayıtlar, ilgili kişinin işlemenin hukuka uygunluğunu denetleyebilmesi için gerekli olduğunda erişim hakkının kapsamına girebilir.1 Bu sonuç, bütün teknik günlüklerin veya sistem kayıtlarının kendiliğinden verilmesi gerektiği anlamına gelmez. Açıklanacak kayıt ile erişim hakkının etkili kullanımı arasında somut bir bağlantı bulunmalıdır.2

Veri sorumlusunun yetkisi altında hareket eden çalışanların kimliği kural olarak erişim hakkının konusu değildir. Çalışanın kimliği, ilgili kişinin haklarını etkili biçimde kullanabilmesi için zorunluysa açıklanabilir. Bu durumda çalışanın hak ve özgürlükleri de gözetilmelidir.3

ABAD, GDPR yürürlüğe girdikten sonra yapılan bir talebin daha eski tarihte gerçekleşen erişim işlemlerine ilişkin kayıtları kapsayabileceğini kabul etmiştir.4 Bu kabul, GDPR'nin maddi işleme kurallarını yürürlük tarihinden önceki fiillere geriye doğru uygulamaz. Yalnız yürürlükten sonra kullanılan erişim hakkının kapsamını belirler.5

GDPR m.15/3'teki kopya, işlenen kişisel verilerin eksiksiz, aslına sadık ve anlaşılır biçimde ilgili kişiye sunulmasını gerektirir.1 Yalnız veri kategorilerinin veya genel bir özetin bildirilmesi yeterli değildir. Kopya hakkı, erişim hakkından bağımsız ikinci bir hak değil, kişisel verilere erişimin yerine getirilme biçimidir.2

Belgenin, veri tabanı bölümünün veya belgeden alınan parçanın kopyası, kişisel verilerin bağlamını ve anlamını kavramak için zorunlu olduğu ölçüde verilmelidir.3 Sağlık kayıtlarında da aynı ölçüt uygulanır. İlgili kişi, kişisel verilerinin tamamına ücretsiz ilk kopya yoluyla erişebilir, ancak her durumda tıbbi belgenin tamamını isteme hakkı bulunduğu söylenemez.4

Başkalarının hak ve özgürlükleri kopyanın hazırlanmasında korunacaktır. GDPR m.15/4, bu menfaatleri bütün talebi reddeden genel bir istisnaya dönüştürmez. Veri sorumlusu, karartma veya ayırma gibi daha sınırlı yöntemlerle iki tarafın haklarını birlikte koruyup koruyamayacağını önce değerlendirmelidir.5

Veri sorumlusu erişim talebini gecikmeksizin ve kural olarak bir ay içinde sonuçlandırmalıdır. Talebin karmaşıklığı veya talep sayısı iki aylık ek süreyi gerektiriyorsa uzatma ve gerekçesi ilk ay içinde ilgili kişiye bildirilmelidir.1 Sürenin uzatılması, cevabın belirsiz bir tarihe ertelenmesine imkan vermez.2

İlgili kişi, işlenen kişisel verilerinin ilk kopyasını ücretsiz alabilir. Kopyayı başka bir uyuşmazlıkta kullanma niyeti veya veri sorumlusunun ekonomik menfaati bu kuralı değiştirmez.3 Aynı verilere ilişkin sonraki kopyalar için idari maliyete dayalı makul bir ücret istenebilir.4

Talebin açıkça dayanaksız veya aşırı olduğu ileri sürülüyorsa bunu veri sorumlusu kanıtlamalıdır.5 Talebin tekrarlanma sıklığı tek başına yeterli değildir. Tekrarın zamanı, önceki cevabın kapsamı, verilerdeki değişiklik ve talebin veri sorumlusuna yüklediği somut külfet birlikte değerlendirilecektir.6

Otomatik karar verme veya profil oluşturma kapsamındaki erişim cevabı, kullanılan mantık hakkında anlamlı bilgi ile işlemenin ilgili kişi bakımından önemini ve öngörülen sonuçlarını içermelidir.1 Bu yükümlülük, teknik bir formül veya genel bir sistem tanımı verilerek yerine getirilmiş sayılamaz.2

ABAD'a göre açıklama, somut kararda uygulanan usulü ve temel ilkeleri ilgili kişinin anlayabileceği biçimde göstermelidir.3 Kullanılan girdilerin değiştirilmesi halinde sonucun nasıl değişeceğinin örneklenmesi, bu yükümlülüğün yerine getirilmesinde kullanılabilecek yöntemlerden biridir. Buna karşılık kaynak kodunun veya algoritmanın bütün teknik ayrıntılarının açıklanması her durumda zorunlu değildir.4

Ticari sırlar ve üçüncü kişilerin verileri açıklama kapsamının belirlenmesinde dikkate alınır. Bu menfaatler kategorik ret sebebi sayılamaz. Veri sorumlusu, korunan bilgiyi gerektiğinde denetim makamına veya mahkemeye sunmalıdır. Somut uyuşmazlıkta etkili erişim ile sırların korunması arasında denge kurulacaktır.5

KVKK m.11/1-a ve b, ilgili kişiye verilerinin işlenip işlenmediğini öğrenme ve işlenmişse buna ilişkin bilgi talep etme hakkı tanır. Maddenin devamında işleme amacı, amaca uygun kullanım ve verilerin aktarıldığı üçüncü kişiler hakkında bilgi isteme hakları düzenlenmiştir.1 GDPR m.15 ise veri kategorileri, saklama süresi, verilerin kaynağı, aktarım güvenceleri ve denetim makamına şikayet hakkı gibi unsurları daha ayrıntılı bir katalog içinde gösterir.2

KVKK m.11 ve m.13, GDPR m.15/3'teki biçimiyle işlenen kişisel verilerin kopyasını ve elektronik talebe yaygın kullanılan elektronik biçimde cevap verilmesini açıkça düzenlemez. KVKK kapsamındaki başvuru kural olarak en geç otuz gün içinde sonuçlandırılır. Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ, yazılı cevabın ilk on sayfasını ücretsiz kabul eder ve sonraki sayfalar ile ayrı kayıt ortamı için ücret alınmasına imkan tanır. GDPR'deki ücretsiz ilk kopya kuralı bu rejime aynen taşınamaz.3

KVKK m.11/1-ç'deki “üçüncü kişiler” ile GDPR m.15/1-c'deki “alıcılar veya alıcı kategorileri” aynı lafza sahip değildir. Bu nedenle C-154/21 sayılı kararda geliştirilen belirli alıcı ölçütü, Türk hukukuna doğrudan bir kural olarak aktarılamaz. Karar, bilgi talebinin verinin fiilen kimlere aktarıldığını gösterecek açıklıkta cevaplanması bakımından karşılaştırmalı bir gerekçe sunabilir.4