GDPR İlgili Dibaceler 1 dibace
Recital 65
A data subject should have the right to have personal data concerning him or her rectified and a ‘right to be forgotten’ where the retention of such data infringes this Regulation or Union or Member State law to which the controller is subject. In particular, a data subject should have the right to have his or her personal data erased and no longer processed where the personal data are no longer necessary in relation to the purposes for which they are collected or otherwise processed, where a data subject has withdrawn his or her consent or objects to the processing of personal data concerning him or her, or where the processing of his or her personal data does not otherwise comply with this Regulation. That right is relevant in particular where the data subject has given his or her consent as a child and is not fully aware of the risks involved by the processing, and later wants to remove such personal data, especially on the internet. The data subject should be able to exercise that right notwithstanding the fact that he or she is no longer a child. However, the further retention of the personal data should be lawful where it is necessary, for exercising the right of freedom of expression and information, for compliance with a legal obligation, for the performance of a task carried out in the public interest or in the exercise of official authority vested in the controller, on the grounds of public interest in the area of public health, for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes, or for the establishment, exercise or defence of legal claims.
Dibace 65
Veri öznesi, kendisi ile ilgili kişisel verilerin saklanmasının, bu Tüzük'e ya da veri sorumlusunun tabi olduğu Birlik veya Üye Devlet hukukuna aykırı olduğu durumlarda, bu verilerin düzeltilmesi hakkına ve "unutulma hakkına" sahip olmalıdır. Veri öznesinin kişisel verilerinin toplanması veya başka şekilde işlenmesi amaçları bakımından söz konusu kişisel verilerin artık gerekli olmaması, veri öznesinin rızasını geri alması veya kendisiyle ilgili kişisel verilerin işlenmesine itiraz etmesi ya da kişisel verilerinin işlenmesinin başka bir nedenle bu Tüzük ile uyumlu olmaması halinde, veri öznesi özellikle, kişisel verilerini kalıcı olarak sildirme ve daha fazla işlenmemesini talep etme hakkına sahip olmalıdır. Bu hak, özellikle veri öznesinin çocukken rızasını verdiği ve işleme faaliyetinden kaynaklanan risklerin tam olarak farkında olmadığı ve daha sonra bu tür kişisel verileri, özellikle internet ortamından kaldırmak istediği durumlarda kullanılır. Veri öznesi, artık çocuk olmasa bile, bu hakkı kullanabilmelidir. Bununla birlikte, ifade özgürlüğü ve bilgi edinme hakkının kullanılması, yasal bir yükümlülüğe uyulması, kamu yararına gerçekleştirilen bir görevin yerine getirilmesi veya veri sorumlusuna verilen resmi yetkinin kullanılması bakımından, halk sağlığı alanında kamu yararı sebebiyle, kamu yararına arşivleme amaçlarıyla, bilimsel veya tarihi araştırma amaçlarıyla veya istatistiki amaçlarla ya da hak taleplerinin oluşturulması, hakkın yerine getirilmesi veya savunulması açısından gerekli olduğu durumlarda, kişisel verilerin daha fazla saklanması hukuka uygun olmalıdır.
Düzeltme hakkı ve doğruluk ilkesi
İlgili kişi, kendisiyle ilgili yanlış kişisel verilerin gecikmeksizin düzeltilmesini isteyebilir.1 Bu hak, veri sorumlusunun doğruluğu sağlama yükümlülüğünün yalnız talep üzerine doğduğu anlamına gelmez. GDPR m.5/1-d, yanlış verilerin düzeltilmesi veya silinmesi için makul adımların kendiliğinden atılmasını da gerektirir.2
Erişim hakkı çoğu durumda yanlışlığın fark edilmesini sağlar, fakat düzeltme hakkı kullanılmadan önce GDPR m.15 uyarınca erişim talebinde bulunulması şart değildir.3 Veri sorumlusu, yanlışlığı kendi denetiminde veya başka güvenilir bir kaynaktan öğrendiğinde ilgili kişinin ayrıca talepte bulunmasını beklememelidir.4
Düzeltme ile silme farklı şartlara bağlı sonuçlardır. Hukuka uygun bir amaçla işlenen yanlış veri kural olarak düzeltilir. İşleme için hukuki sebep bulunmuyorsa veya amaç sona ermişse silme hakkının şartları ayrıca incelenecektir.5
Yanlış verinin belirlenmesi
Bir olgunun yanlış olup olmadığı gerçek durumla karşılaştırılarak belirlenir. Bununla birlikte verinin kullanıldığı bağlam ve işleme amacı da önem taşır. Tek başına doğru olan bir veri, yanıltıcı bir bütün içinde veya bağlamından koparılarak işlendiğinde düzeltme ya da tamamlama gerektirebilir.1
Belirli bir tarihteki durumu doğru biçimde kaydeden veri, kişinin durumunun sonradan değişmesi nedeniyle geçmişe dönük olarak yanlış hale gelmez. Güncel durumun ayrıca gösterilmesi gerekebilir. Geçmiş kaydın değiştirilmesi ise tarihsel doğruluğu bozabilir.2
Yanlışlığın önemsiz olduğu gerekçesiyle talep peşinen reddedilemez.3 Bununla birlikte talep, veri sorumlusunun hangi verinin neden yanlış olduğunu anlayabileceği ölçüde somutlaştırılmalıdır. Belirsiz bir başvuruda açıklama istenebilir, fakat ilgili kişiye Tüzükte bulunmayan ağır bir ispat yükü yüklenemez.4
Eksik verilerin tamamlanması
İlgili kişi, işleme amaçları dikkate alındığında eksik kalan kişisel verilerinin tamamlanmasını isteyebilir. Tamamlama, ek açıklama verilmesi yoluyla da yapılabilir. Aynı veri bir amaç bakımından yeterli, başka bir amaç bakımından eksik olabilir.1
Bu hak, veri sorumlusunun konu dışı yeni veri alanları oluşturmasını veya ilgili kişinin istediği her açıklamayı kayda eklemesini gerektirmez. Eklenecek bilgi, verinin doğruluğu ve tamlığı bakımından gerekli olmalıdır. Daha sınırlı bir düzeltme aynı sonucu sağlıyorsa uzun bir beyanın tamamının saklanmasının gerekip gerekmediği somut olayda değerlendirilecektir.2
Bir değerlendirme veya görüş, ilgili kişinin ona katılmaması nedeniyle yanlış kişisel veriye dönüşmez. Buna karşılık değerlendirme veya görüşün dayandığı olgular yanlış ya da eksikse bu olguların düzeltilmesi veya tamamlanması istenebilir.3
Geçmiş kayıtların güncelliği
Bir değerlendirmenin sonucu ile bu değerlendirmeye dayanak oluşturan olgular birbirinden ayrılmalıdır. İlgili kişi, yalnız sonuca katılmadığı için değerlendirmenin değiştirilmesini isteyemez. Buna karşılık değerlendirmeye dayanak oluşturan yanlış veya eksik olgular düzeltilebilir.1
ABAD, eski bir ceza soruşturmasına ilişkin arama sonuçlarının yargılamanın sonraki gelişmelerini yansıtmaması halinde sonuç listesinin güncel hukuki durumu gösterecek biçimde düzenlenmesi gerekebileceğini kabul etmiştir.2 Karar, GDPR m.16'yı doğrudan yorumlamaz. Bu nedenle yalnız güncel durumun geçmiş kayıtla birlikte gösterilmesi bakımından yardımcı olabilir.3
Bu değerlendirme, geçmişte doğru olan her kaydın sonradan silinmesini gerektirmez. İşleme amacı geçmiş olayı göstermekse tarihsel kayıt korunabilir. Güncel durumu gösterme amacı varsa yeni gelişmelerin eklenmesi veya sunum sırasının değiştirilmesi gerekebilir.4
Düzeltme talebinin sonuçlandırılması
Gecikmeksizin düzeltme yükümlülüğü, veri sorumlusunun ileri sürülen yeni bilginin doğruluğunu makul bir sürede incelemesine engel değildir. Düzeltme talebi kural olarak bir ay içinde sonuçlandırılmalıdır. Gerekli uzatma ve gerekçesi ilk ay içinde bildirilmelidir.1
Doğruluk incelemesi sürerken ilgili kişi GDPR m.18/1-a uyarınca işlemenin sınırlanmasını isteyebilir.2 Sınırlama, düzeltme talebinin kabul veya reddedildiği anlamına gelmez. Uyuşmazlık çözülene kadar kişisel verilerin kullanımını sınırlandıran geçici bir güvencedir.3
Düzeltme yapıldığında veri sorumlusu, kişisel verilerin açıklandığı alıcılara sonucu bildirmelidir. Bildirim imkansız veya orantısız çaba gerektiriyorsa GDPR m.19'daki istisna uygulanabilir. İlgili kişi talep ederse alıcılar kendisine açıklanacaktır.4
KVKK ile karşılaştırma
KVKK m.4/1-ç, kişisel verilerin doğru ve gerektiğinde güncel tutulmasını temel ilke olarak düzenler. KVKK m.11/1-d ise eksik veya yanlış işlenen kişisel verilerin düzeltilmesini isteme hakkı tanır.1 İki düzenlemede de doğruluk ilkesi, ilgili kişinin düzeltme hakkıyla tamamlanmıştır.2
GDPR m.16, eksikliğin işleme amacına göre değerlendirilmesini ve ek açıklama yoluyla tamamlamayı açıkça belirtir. KVKK m.11/1-d aynı ayrıntıyı içermez.3 Eksik verinin Türk hukukunda tamamlanıp tamamlanamayacağı, KVKK'daki doğruluk ve gerektiğinde güncellik ilkesi ile düzeltme hakkı birlikte değerlendirilerek belirlenecektir.4
KVKK m.11/1-f, düzeltmenin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme hakkını ayrıca düzenler. GDPR m.19 ise veri sorumlusunu, talep aranmaksızın bildirim yapmakla yükümlü tutar ve imkansızlık ya da orantısız çaba istisnası getirir. Bu istisna KVKK hükmüne eklenemez.5