Madde 19

Veri sorumlusu, GDPR m.16 uyarınca yaptığı düzeltmeyi, m.17/1 uyarınca yaptığı silmeyi ve m.18 uyarınca getirdiği sınırlamayı kişisel verilerin daha önce açıklandığı her alıcıya bildirmelidir.1 Bu yükümlülük için ilgili kişinin ayrıca talepte bulunması gerekmez.2

Bildirim, ilgili kişinin aynı talebi her alıcıya ayrı ayrı yöneltme yükünü azaltır.3 Ancak alıcı, bildirilen işlemi kendiliğinden ve aynen uygulamak zorunda değildir. Bildirimin alıcı bakımından doğuracağı sonuç, alıcının kendi işleme faaliyeti yönünden GDPR m.16, m.17 veya m.18'in şartlarının gerçekleşip gerçekleşmediğine göre belirlenecektir.4

GDPR m.19, kişisel verilerin belirli bir alıcıya daha önce açıklanmış olmasını gerektirir. Yalnız ileride veri alması düşünülen kişiler için bu hüküm uyarınca bildirim yükümlülüğü doğmaz.5

GDPR m.4/9'daki alıcı kavramı, kişisel verilerin açıklandığı gerçek veya tüzel kişiyi, kamu makamını, kurumu ya da başka bir organı kapsar. Veri işleyen de kendisine kişisel veri açıklanmışsa m.19 bakımından alıcı sayılır.1 Buna karşılık Birlik veya üye devlet hukuku uyarınca belirli bir soruşturma kapsamında veri alan kamu makamları alıcı sayılmaz.2

GDPR m.19, bildirimin biçimini ve ayrıntı düzeyini belirlemez. Bununla birlikte alıcı, hangi düzeltmenin, silmenin veya sınırlamanın yapıldığını anlayabilmelidir.3 Bildirimin içeriği bu gereğin ötesine geçerek ilgili kişinin verilerini gereksiz ölçüde yeniden açıklamamalıdır.4

GDPR m.17/2'de kamuya açıklanmış kişisel veriler için düzenlenen bağlantı, kopya ve çoğaltma bildirimi m.19'dan ayrılır. İlk hüküm kamuya yayılmış verilerin çevrim içi dolaşımını, m.19 ise verinin açıklandığı alıcılara yapılan düzeltme, silme ve sınırlama bildirimini konu alır.5

Alıcılara bildirim imkansızsa veya orantısız çaba gerektiriyorsa veri sorumlusunun bildirimde bulunması gerekmez.1 Bu istisnaya dayanan veri sorumlusu, imkansızlığı veya çabanın orantısızlığını somut olayın şartlarıyla açıklamalıdır. Alıcı sayısının fazla olması tek başına yeterli değildir.2

Alıcıların artık bilinmemesi bildirimi imkansız hale getirebilir. Teknik ve operasyonel güçlükler, alıcı sayısı ve bildirimin ilgili kişi bakımından doğurabileceği sonuçlar ise orantısız çaba değerlendirmesinde dikkate alınabilir.3

GDPR m.30/1-d, işleme faaliyetleri kaydında yalnız alıcı kategorilerinin tutulmasını öngörür. Bu nedenle GDPR m.19, bütün alıcıların kimliğinin sırf gelecekte bildirim yapılabilmesi için süresiz saklanmasını tek başına gerektirmez.4

İstisna yalnız alıcılara yapılacak bildirime ilişkindir. Bu istisna, veri sorumlusunun GDPR m.16 ila m.18 uyarınca kendi sisteminde yapması gereken düzeltme, silme veya sınırlama yükümlülüklerini ortadan kaldırmaz.5

İlgili kişi talep ederse veri sorumlusu m.19 kapsamındaki alıcılar hakkında bilgi vermelidir.1 Alıcı kimliklerinin bilinmesi, ilgili kişinin düzeltme, silme ve sınırlama haklarını verilerin açıklandığı kişiler karşısında etkili biçimde kullanabilmesine hizmet eder.2

ABAD, m.19'un ikinci cümlesini belirli alıcıların kimliğini öğrenme hakkını destekleyen hükümlerden biri olarak değerlendirmiştir. Bununla birlikte kararın hüküm fıkrası GDPR m.15/1-c'yi yorumlar. Bu nedenle kararda m.15 için belirlenen bütün istisnalar, ayrıca gerekçe kurulmadan m.19'a taşınamaz.3

GDPR m.19'daki “bu alıcılar” ifadesinin kapsamı tartışmalıdır. Dar yorum yalnız bildirimin fiilen yapıldığı alıcıları kapsar. Daha geniş görüş ise bildirimin imkansız veya orantısız olduğu alıcıların da ilgili kişiye açıklanmasını savunmaktadır.4 Bu görüş, ilgili kişinin bildirim yapılamayan alıcılarla kendisinin iletişime geçebilmesine dayanır.5

KVKK m.11/1-f, düzeltme ile silme veya yok etme işlemlerinin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme hakkı tanır.1 Hüküm, ilgili kişinin talebine bağlı bir hak biçiminde kurulmuştur. GDPR m.19 ise veri sorumlusunun alıcılara yönelik yükümlülüğünü ve ilgili kişinin alıcıları öğrenme hakkını aynı maddede düzenler.2

KVKK'daki üçüncü kişi kavramı ile GDPR'deki alıcı kavramı aynı kapsamda değildir. GDPR m.4/9, veri işleyen dahil olmak üzere verinin açıklandığı kişileri daha geniş bir kavram altında toplayabilir.3 KVKK m.11/1-f, işlemenin sınırlanmasına ilişkin bildirim hakkı içermez.4

GDPR m.19'daki imkansızlık veya orantısız çaba istisnası KVKK m.11/1-f metninde yer almaz. Bu nedenle istisna Türk hükmüne doğrudan eklenemez.5