GDPR İlgili Dibaceler 1 dibace
Recital 66
To strengthen the right to be forgotten in the online environment, the right to erasure should also be extended in such a way that a controller who has made the personal data public should be obliged to inform the controllers which are processing such personal data to erase any links to, or copies or replications of those personal data. In doing so, that controller should take reasonable steps, taking into account available technology and the means available to the controller, including technical measures, to inform the controllers which are processing the personal data of the data subject's request.
Dibace 66
Çevrim içi ortamda "unutulma hakkını" güçlendirmek için, kalıcı olarak silme hakkı, kişisel verileri herkese açık hale getiren bir veri sorumlusunun, bu kişisel verilerin bağlantılarının ya da nüshalarının veya kopyalarının kalıcı olarak silinmesi için söz konusu kişisel verileri işleyen diğer veri sorumlularına bilgi vermekle de yükümlü olacağı şekilde genişletilebilmelidir. Veri sorumlusu, bu yükümlülüğü yerine getirirken, kişisel verileri işleyen veri sorumlularına veri öznesinin talebi hakkında bilgi vermek amacıyla, teknik tedbirler dâhil olmak üzere, mevcut teknoloji ve mevcut araçları dikkate alarak makul adımlar atmalıdır.
Alıcılara bildirim yükümlülüğü
Veri sorumlusu, GDPR m.16 uyarınca yaptığı düzeltmeyi, m.17/1 uyarınca yaptığı silmeyi ve m.18 uyarınca getirdiği sınırlamayı kişisel verilerin daha önce açıklandığı her alıcıya bildirmelidir.1 Bu yükümlülük için ilgili kişinin ayrıca talepte bulunması gerekmez.2
Bildirim, ilgili kişinin aynı talebi her alıcıya ayrı ayrı yöneltme yükünü azaltır.3 Ancak alıcı, bildirilen işlemi kendiliğinden ve aynen uygulamak zorunda değildir. Bildirimin alıcı bakımından doğuracağı sonuç, alıcının kendi işleme faaliyeti yönünden GDPR m.16, m.17 veya m.18'in şartlarının gerçekleşip gerçekleşmediğine göre belirlenecektir.4
GDPR m.19, kişisel verilerin belirli bir alıcıya daha önce açıklanmış olmasını gerektirir. Yalnız ileride veri alması düşünülen kişiler için bu hüküm uyarınca bildirim yükümlülüğü doğmaz.5
Alıcı kavramı ve bildirim kapsamı
GDPR m.4/9'daki alıcı kavramı, kişisel verilerin açıklandığı gerçek veya tüzel kişiyi, kamu makamını, kurumu ya da başka bir organı kapsar. Veri işleyen de kendisine kişisel veri açıklanmışsa m.19 bakımından alıcı sayılır.1 Buna karşılık Birlik veya üye devlet hukuku uyarınca belirli bir soruşturma kapsamında veri alan kamu makamları alıcı sayılmaz.2
GDPR m.19, bildirimin biçimini ve ayrıntı düzeyini belirlemez. Bununla birlikte alıcı, hangi düzeltmenin, silmenin veya sınırlamanın yapıldığını anlayabilmelidir.3 Bildirimin içeriği bu gereğin ötesine geçerek ilgili kişinin verilerini gereksiz ölçüde yeniden açıklamamalıdır.4
GDPR m.17/2'de kamuya açıklanmış kişisel veriler için düzenlenen bağlantı, kopya ve çoğaltma bildirimi m.19'dan ayrılır. İlk hüküm kamuya yayılmış verilerin çevrim içi dolaşımını, m.19 ise verinin açıklandığı alıcılara yapılan düzeltme, silme ve sınırlama bildirimini konu alır.5
İmkansızlık ve orantısız çaba
Alıcılara bildirim imkansızsa veya orantısız çaba gerektiriyorsa veri sorumlusunun bildirimde bulunması gerekmez.1 Bu istisnaya dayanan veri sorumlusu, imkansızlığı veya çabanın orantısızlığını somut olayın şartlarıyla açıklamalıdır. Alıcı sayısının fazla olması tek başına yeterli değildir.2
Alıcıların artık bilinmemesi bildirimi imkansız hale getirebilir. Teknik ve operasyonel güçlükler, alıcı sayısı ve bildirimin ilgili kişi bakımından doğurabileceği sonuçlar ise orantısız çaba değerlendirmesinde dikkate alınabilir.3
GDPR m.30/1-d, işleme faaliyetleri kaydında yalnız alıcı kategorilerinin tutulmasını öngörür. Bu nedenle GDPR m.19, bütün alıcıların kimliğinin sırf gelecekte bildirim yapılabilmesi için süresiz saklanmasını tek başına gerektirmez.4
İstisna yalnız alıcılara yapılacak bildirime ilişkindir. Bu istisna, veri sorumlusunun GDPR m.16 ila m.18 uyarınca kendi sisteminde yapması gereken düzeltme, silme veya sınırlama yükümlülüklerini ortadan kaldırmaz.5
Alıcı kimliklerinin açıklanması
İlgili kişi talep ederse veri sorumlusu m.19 kapsamındaki alıcılar hakkında bilgi vermelidir.1 Alıcı kimliklerinin bilinmesi, ilgili kişinin düzeltme, silme ve sınırlama haklarını verilerin açıklandığı kişiler karşısında etkili biçimde kullanabilmesine hizmet eder.2
ABAD, m.19'un ikinci cümlesini belirli alıcıların kimliğini öğrenme hakkını destekleyen hükümlerden biri olarak değerlendirmiştir. Bununla birlikte kararın hüküm fıkrası GDPR m.15/1-c'yi yorumlar. Bu nedenle kararda m.15 için belirlenen bütün istisnalar, ayrıca gerekçe kurulmadan m.19'a taşınamaz.3
GDPR m.19'daki “bu alıcılar” ifadesinin kapsamı tartışmalıdır. Dar yorum yalnız bildirimin fiilen yapıldığı alıcıları kapsar. Daha geniş görüş ise bildirimin imkansız veya orantısız olduğu alıcıların da ilgili kişiye açıklanmasını savunmaktadır.4 Bu görüş, ilgili kişinin bildirim yapılamayan alıcılarla kendisinin iletişime geçebilmesine dayanır.5
KVKK ile karşılaştırma
KVKK m.11/1-f, düzeltme ile silme veya yok etme işlemlerinin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme hakkı tanır.1 Hüküm, ilgili kişinin talebine bağlı bir hak biçiminde kurulmuştur. GDPR m.19 ise veri sorumlusunun alıcılara yönelik yükümlülüğünü ve ilgili kişinin alıcıları öğrenme hakkını aynı maddede düzenler.2
KVKK'daki üçüncü kişi kavramı ile GDPR'deki alıcı kavramı aynı kapsamda değildir. GDPR m.4/9, veri işleyen dahil olmak üzere verinin açıklandığı kişileri daha geniş bir kavram altında toplayabilir.3 KVKK m.11/1-f, işlemenin sınırlanmasına ilişkin bildirim hakkı içermez.4
GDPR m.19'daki imkansızlık veya orantısız çaba istisnası KVKK m.11/1-f metninde yer almaz. Bu nedenle istisna Türk hükmüne doğrudan eklenemez.5