Madde 11

Anayasa m.20/3, kişisel verilerin korunmasını isteme hakkı kapsamında kişinin kendisiyle ilgili veriler hakkında bilgilendirilmesini, bu verilere erişmesini, bunların düzeltilmesini veya silinmesini istemesini ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmesini güvence altına alır.1

Bu anayasal güvence, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 11. maddesinde veri sorumlusuna yöneltilebilen taleplerle somutlaşır.2 İlgili kişinin bu talepleri ileri sürebilmesi için önce hukuka aykırı bir işleme yapıldığını kanıtlaması gerekmez. Başvuruyla edinilen bilgi, kişinin kendi verileri üzerinde yürütülen işlemleri denetlemesini sağlar.3 Başvurunun cevaplandırılması veya talebin yerine getirilmesi ise işleme faaliyetini kendiliğinden hukuka uygun hale getirmez. Faaliyetin hukuka uygunluğu genel ilkeler ve ilgili işleme şartları uyarınca ayrıca belirlenecektir.4

2008 Tasarısının 12. maddesi, veri kaynağının açıklanması, doğrudan pazarlamaya itiraz ve otomatik işlemenin açıklanması gibi bugün m.11'de yer almayan ayrıntılar içeriyordu.5 2014 Tasarısının 10. maddesinde ise yürürlükteki m.11'in bent yapısı büyük ölçüde benimsenmişti.6 Yürürlükteki hükme alınmayan talepler, yalnız tasarı metninden hareketle m.11'in kapsamına eklenemez.7

İlgili kişi, KVKK m.11'deki haklarını veri sorumlusuna başvurarak kullanabilir. KVKK m.11 başvuruyla ileri sürülebilecek talepleri, m.13 ise başvurunun nasıl yapılacağını ve cevaplandırılacağını düzenler.1 Başvurunun hangi yöntemle yapılacağı, ne kadar sürede cevaplandırılacağı, hangi hallerde ücret alınabileceği ve kabul ya da ret cevabında hangi hususlara yer verileceği KVKK m.13 ile Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'de düzenlenmiştir.2

Veriyi fiilen elinde bulunduran kişi, yalnız bu nedenle KVKK m.11 kapsamındaki başvurunun muhatabı sayılamaz. Veri sorumlusu talebi sonuçlandırırken veri işleyenden yardım alabilir. İlgili kişiye cevap verme yükümlülüğü yine veri sorumlusuna aittir.3 Bir hizmet sağlayıcı işleme amacını veya temel araçları bağımsız olarak belirliyorsa, sözleşmede kullanılan adlandırma değil KVKK'daki tanım esas alınarak veri sorumlusu sayılıp sayılmadığı belirlenecektir.4

İlgili kişinin, verinin hangi sunucuda tutulduğunu veya veri sorumlusunun hangi hizmet sağlayıcıyla çalıştığını bilmesi beklenemez. Başvuru veri sorumlusuna ulaştığında, kaydın veri işleyenin sisteminde bulunması talebin başka bir şirkete yöneltilmesine gerekçe oluşturamaz. Veri sorumlusu, kaydı veri işleyenden temin edip başvuruyu kendi adına sonuçlandırmalıdır.5 Hizmet sağlayıcı veriyi kendi amacı için de kullanıyorsa, bu ayrı işleme faaliyeti bakımından ona ayrıca başvurulması gerekebilir.

Erişim süreci, ilgili kişi hakkında veri işlenip işlenmediğinin açıklanmasıyla başlar.1 KVKK'daki işleme kavramı, verinin elde edilmesi ve kaydedilmesinin yanı sıra saklanması, değiştirilmesi, açıklanması, aktarılması ve erişilebilir hale getirilmesi gibi işlemleri de kapsar.2 Veri sorumlusu başvuran hakkında herhangi bir veri işlemiyorsa bunu açıkça bildirmelidir.3

İşleme varsa cevap, ilgili kişinin hangi verilerinin hangi bağlamda işlendiğini anlayabileceği açıklıkta verilmelidir.4 Yalnız veri işlendiğini bildiren soyut bir cevap, verinin doğruluğunu denetleme ve diğer hakları kullanma imkanı sağlamaz.5 Kişisel Verileri Koruma Kurulu, 2020/435 sayılı kararda başvurucunun savunma ve istifa dilekçelerinin suretlerinin verilmesini bu çerçevede değerlendirmiştir.6

Erişim hakkı, verinin tutulduğu sistemin veya kayıt ortamının her başvuruda teslim edilmesini gerektirmez.7 Kurul, 2020/13 sayılı kararda çağrı kaydının dökümünü somut olay bakımından yeterli bulmuştur.8 Kurul, 2020/746 ve 2023/1050 sayılı kararlarda görüşme içeriğinin döküm yoluyla verilmesini, başkalarına ait verilerin çıkarılması veya maskelenmesi şartıyla uygun bulmuştur.9 Kurul, 2021/470 sayılı kararda ise kişisel verileri içeren dosyanın şifrelenerek gönderilmesini ve şifrenin ayrı kanaldan iletilmesini, erişimi engellemeyen bir güvenlik tedbiri olarak değerlendirmiştir.10

Kurul, 2022/653 sayılı kararda aynı kaydın birden fazla kişiye ilişkin olabileceğini kabul etmiştir. Başvurucunun hesabı üzerinden verilen bir siparişte kullanılan telefon numarası üçüncü kişiye ait olsa da numaranın başvurucuyla ilişkili olduğunu belirtmiş ve ilgili kişilerin haklarının dengelenmesini istemiştir. Buna karşılık başka bir kişinin hesabındaki sipariş bilgilerini başvurucunun erişim hakkı kapsamında görmemiştir.11

Anayasa Mahkemesi, Fatma Çiğdem Tenker Köksal kararında özlük dosyasındaki sicil ve değerlendirme notlarının başvurucunun kişisel verileri olduğunu kabul etmiştir. Mahkeme, üçüncü kişilere yapılacak açıklamaları sınırlayan hükümlerin kişinin kendi verilerine erişim talebinin bütünüyle reddedilmesine dayanak oluşturamayacağı sonucuna varmıştır. Bununla birlikte üçüncü kişilere ait verilerin nasıl ayıklanacağına veya dosyanın hangi biçimde teslim edileceğine ilişkin bir hüküm kurmamıştır.12

Anayasa Mahkemesi, Sadık Benli kararında kişisel verilerin kim tarafından, ne zaman ve nasıl işlendiğini öğrenmek isteyen başvurucunun talebini incelemiştir. Talebin, başvurucuya vasi atanmadığı gerekçesiyle esastan incelenmemesini kişisel verilerin korunmasını isteme hakkıyla bağlantılı etkili başvuru hakkına aykırı bulmuştur. Mahkeme, başvurucunun talep ettiği bilgilerin açıklanması yönünde hüküm kurmamıştır.13

Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) m.15/3, işlenen kişisel verilerin bir kopyasının verilmesini ayrıca düzenler.14 Avrupa Birliği Adalet Divanı, C-487/21 sayılı kararda kopyanın verileri aslına uygun ve anlaşılır biçimde yansıtması gerektiğini belirtmiştir. Divan, erişim hakkının etkili biçimde kullanılabilmesi için gerekliyse ilgili belge veya veri tabanı kesitlerinin de kopyaya dahil edilebileceğini kabul etmiştir. Kopyanın kapsamı belirlenirken başkalarının hak ve özgürlükleri gözetilmelidir.15 KVKK m.11'de aynı kapsamda açık bir kopya hükmü bulunmadığından C-487/21 kararı, Türk hukukunda böyle bir talebe doğrudan dayanak oluşturamaz.16

Erişimin biçimi, talebin hangi veriyi denetlemeye yöneldiğine göre seçilmelidir. Bir telefon görüşmesinde söylenen sözler tartışılıyorsa anlaşılır ve eksiksiz bir döküm talebi karşılayabilir. Kayıt üzerinde yapılan değişiklik, ses tonu veya zaman bilgisi uyuşmazlık bakımından belirleyiciyse yalnız döküm verilmesi yeterli olmayabilir. Veri sorumlusu, seçtiği biçimin başvurudaki hukuki denetimi neden karşılayabildiğini açıklamalıdır.17

Bu hak, yalnız veri sorumlusunun açıkladığı amacı değil, verinin fiilen o amaç doğrultusunda kullanılıp kullanılmadığını da denetlemeye yöneliktir.1 Bu nedenle cevapta genel bir faaliyet alanının belirtilmesi yeterli olmaz. Başvurana ait verinin hangi işleme faaliyetinde ve hangi amaçla kullanıldığı anlaşılabilmelidir.2

Kişisel veriler elde edilirken yapılacak aydınlatma, o tarihteki işleme amacını açıklar.3 KVKK m.11/1-c kapsamındaki başvuru ise sonraki fiili kullanımın açıklanan amaçla uyuşup uyuşmadığını da konu alır. Başlangıçta verilen bilgi sonraki kullanımı göstermiyorsa bu başvurunun yerine geçemez.4

Veri sorumlusunun bir amaç belirtmesi, işlemenin hukuka uygunluğu için yeterli değildir. Verinin o amaçla işlenebilmesi için geçerli bir işleme şartı bulunmalıdır. İşleme faaliyeti de amaçla bağlantılı, sınırlı ve ölçülü yürütülmelidir.5

Avrupa Birliği Adalet Divanı, C-579/21 sayılı kararda GDPR kapsamındaki erişim hakkının kişisel verilere hangi tarihlerde ve hangi amaçlarla erişildiği bilgisini de kapsadığını belirtmiştir. Divan, verilere erişen çalışanların kimliklerinin ancak bu bilginin hakkın etkili kullanımı için zorunlu olması ve çalışanların haklarının gözetilmesi halinde açıklanabileceğini kabul etmiştir.6 KVKK m.11/1-c, erişim tarihlerini veya çalışanların kimliklerini açıkça düzenlememektedir. Bu nedenle C-579/21 kararından, Türk hukukunda bütün erişim kayıtlarını ve çalışan kimliklerini kapsayan genel bir açıklama yükümlülüğü çıkarılamaz.7

Aktarım hakkındaki talebin konusu, veri sorumlusunun genel iş ortakları değil, başvurana ait verilerin fiilen gönderildiği üçüncü kişilerdir.1 İlgili kişi bu alıcıların yurt içinde veya yurt dışında bulunmasına bakılmaksızın kim olduklarını öğrenebilir.2

Veriler elde edilirken yapılan aydınlatmada, kimlere ve hangi amaçla aktarım yapılabileceği açıklanır.3 KVKK m.11/1-ç kapsamındaki başvuru ise gerçekleşmiş aktarımı konu alır.4 Bu nedenle aydınlatma metnindeki genel alıcı grupları, fiili aktarımın alıcısını açıklayan somut bilginin yerine geçemez.5

Kişisel Verileri Koruma Kurulu, 2020/108 sayılı kararda eski çalışanın verilerinin belirli tarihler arasında aktarılıp aktarılmadığının açıklanmasını istemiştir. Aktarım yapılmışsa aktarımın amacı ve içeriği ile aktaranın ve alıcının kimliklerinin açıklanmasına, ilgili belgenin bir örneğinin de başvurana sunulmasına karar vermiştir.6

GDPR m.15/1-c, alıcıları veya alıcı kategorilerini erişim hakkı kapsamında sayar.7 Avrupa Birliği Adalet Divanı, C-154/21 sayılı kararda veri aktarılmışsa kural olarak verilerin fiilen aktarıldığı alıcıların kimliklerinin açıklanması gerektiğini kabul etmiştir. Divan, yalnız alıcıların belirlenemediği durumlarda veya talep açıkça dayanaktan yoksun ya da aşırı olduğunda istisnaya izin verilebileceğini belirtmiştir.8 KVKK m.11/1-ç ise alıcı kategorilerinden söz etmeyip verilerin aktarıldığı üçüncü kişileri öğrenme hakkını düzenler. C-154/21'de GDPR bakımından kabul edilen istisnalar, Türk hukukunda ayrı bir dayanak bulunmadıkça KVKK m.11/1-ç'e aktarılamaz.9

Düzeltme hakkının hangi sonucu doğuracağı, kayıttaki sorunun yanlışlık mı yoksa eksiklik mi olduğuna göre değişir.1 Bu hak, verilerin doğru ve gerektiğinde güncel tutulmasını öngören KVKK m.4/2-b ile birlikte uygulanır.2 Yanlış kayıt gerçeğe uygun hale getirilmeli, eksik kayıt ise işleme amacı için gerekli bilgilerle tamamlanmalıdır.3

Bir kaydın doğruluğu değerlendirilirken, olgusal bilgi ile görüş veya değerlendirme arasında ayrım yapılmalıdır. Bu ayrım uyarınca ilgili kişinin kayıttaki değerlendirmeye katılmaması, tek başına kaydın yanlış olduğunu göstermeye yetmez. Buna karşılık değerlendirme yanlış olgulara veya öncüllere dayanıyorsa ya da kayıt, işleme amacı dikkate alındığında kişi hakkında yanıltıcı bir görünüm oluşturuyorsa düzeltme istenebilir.4

Kişisel Verileri Koruma Kurulu, 2020/66 sayılı kararda başvurana ait telefon numarasının kendisine ait olmayan aboneliklerle ilişkilendirilmesini yanlış veri işleme olarak değerlendirmiştir. Kurul, başvurunun gereğinin yerine getirilmesini istemiştir.5 Kurul, 2020/93 sayılı kararda sağlık verilerinin düzeltilmesi için Kişisel Sağlık Verileri Hakkında Yönetmelik'te öngörülen başvuru yolunu göstermiştir. Silme talepleri yönünden ise veriyi işlemeyi gerektiren sebeplerin devam ettiğini belirtmiştir.6 Kurul, 2021/1107 sayılı kararda finansal veri sonradan düzeltilmiş olsa da önceki yanlış işlemeyi ayrıca incelemiştir.7

Anayasa Mahkemesi, K.B.A. kararında hakkında şikayet bulunmadığı halde Ulusal Yargı Ağı Bilişim Sistemi'nde (UYAP) şikayet edilen kişi olarak kayıtlı tutulan başvurucunun düzeltme ve silme talebini incelemiştir. Talebin esastan incelenmemesi nedeniyle kişisel verilerin korunmasını isteme hakkının ihlal edildiğine karar vermiştir. Mahkeme, kaydın düzeltilmesine veya silinmesine doğrudan hükmetmemiş, talebin etkili ve gerekçeli biçimde incelenmesini istemiştir.8

Silme veya yok etme isteminde belirleyici olan, verinin başlangıçta hukuka uygun elde edilip edilmediği değil, işlemeyi sürdürmek için hukuki bir sebebin kalıp kalmadığıdır. İşlemeyi gerektiren sebepler sonradan ortadan kalkmışsa kişisel veriler resen veya ilgili kişinin talebi üzerine silinir, yok edilir ya da anonim hale getirilir.1 Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmeliğe (İmha Yönetmeliği) göre bunun için KVKK m.5 ve m.6'daki işleme şartlarının tamamının ortadan kalkması gerekir.2

Silme işleminde veri, ilgili kullanıcılar için erişilemez ve tekrar kullanılamaz hale getirilir. Yok etme, verinin hiç kimse tarafından erişilememesini, geri getirilememesini ve tekrar kullanılamamasını gerektirir. Anonim hale getirilen veri ise başka verilerle eşleştirilse bile belirli veya belirlenebilir bir kişiyle ilişkilendirilememelidir.3 Kurul tarafından aksine bir karar verilmedikçe veri sorumlusu, bu yöntemlerden somut duruma uygun olanı seçer. İlgili kişinin talepte bulunduğu hallerde veri sorumlusu, seçtiği imha yönteminin gerekçesini de açıklamalıdır.4

İşleme faaliyeti yalnız açık rızaya dayanıyorsa, rızanın geri alınmasıyla bu işleme şartı sona erer. Doktrinde, veri sorumlusunun başlangıçta açık rızaya dayandırdığı işleme faaliyetine, rıza geri alındıktan sonra başka bir işleme şartına dayanarak devam edemeyeceği yönünde bir görüş bulunmaktadır.5 Veri sorumlusu başlangıçtan beri başka bir işleme şartının da mevcut olduğunu ileri sürüyorsa, bu şartın somut faaliyetin sürdürülmesi ve verinin saklanması için yeterli olup olmadığı ayrıca incelenmelidir. Kişisel veriler farklı sistemlerde veya farklı amaçlarla tutuluyorsa her işleme faaliyeti için hangi işleme şartının geçerli olduğu ayrı ayrı belirlenmelidir.6

Periyodik imha süresi, veri sorumlusunun resen yapacağı imhanın zamanını belirler. İlgili kişinin silme veya yok etme başvurusu ise en geç otuz gün içinde sonuçlandırılmalıdır.7 Kişisel Verileri Koruma Kurulu, 2021/670 sayılı kararda bireysel silme talebinin ilk periyodik imha tarihine ertelenmesini uygun bulmamıştır.8

Kurul, 2018/142 ve 2021/358 sayılı kararlarda bankacılık mevzuatındaki saklama yükümlülüğü devam ettiği için silme taleplerini reddetmiştir.9 Buna karşılık 2021/847 sayılı kararda faturanın kanuni süre boyunca saklanması ile eski adresin güncel kullanıcı profilinde tutulmasını ayrı işleme faaliyetleri olarak ele almıştır. Bir verinin belirli bir kayıt için saklanmasının gerekmesi, aynı verinin artık ihtiyaç bulunmayan başka bir sistemde tutulmasına dayanak oluşturamaz.10

Anayasa Mahkemesi, Özge Kahraman kararında güvenlik soruşturması sonucunda oluşturulan bilgi notunun silinmesi talebinin yargısal denetim dışında bırakılmasını incelemiştir. Mahkeme, notun başvurucu hakkında tesis edilen idari işleme doğrudan dayanak olduğunu ve gelecekte de sonuç doğurabileceğini belirtmiştir. Bu gerekçeyle kişisel verilerin korunmasını isteme hakkıyla bağlantılı etkili başvuru hakkının ihlal edildiği sonucuna varmıştır.11 Mahkeme, bilgi notunun hukuka uygun olup olmadığına veya silinmesi gerekip gerekmediğine karar vermemiş, bu hususların yeniden yargılamada incelenmesini istemiştir.12

KVKK m.11/1-f, ilgili kişiye düzeltme, silme veya yok etme işleminin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme hakkı tanır.1 Bildirimin konusu, veri sorumlusunun m.11/1-d veya m.11/1-e uyarınca yaptığı düzeltme, silme ya da yok etme işlemidir.2

İlgili kişinin silme veya yok etme başvurusu üzerine işleme şartlarının tamamının ortadan kalktığı anlaşılırsa, veri sorumlusu bu durumu verinin aktarıldığı üçüncü kişilere bildirir ve Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik kapsamındaki gerekli işlemlerin yapılmasını sağlar.3

GDPR m.19 uyarınca veri sorumlusu, düzeltme, silme veya işlemenin kısıtlanmasına ilişkin her işlemi, verinin açıklandığı alıcılara kural olarak bildirmekle yükümlüdür. Bildirim, yalnız bunun imkansız olması veya orantısız çaba gerektirmesi halinde yapılmayabilir.4 Buna karşılık KVKK m.11/1-f'de bildirim, ilgili kişinin talebine bağlanmıştır.5

KVKK m.11, çevrim içi içeriklere ilişkin talepleri unutulma hakkı adıyla ayrı bir bentte düzenlememiştir. Bu alanda kişisel verilerin korunmasını isteme hakkı ile ifade özgürlüğü somut olayın koşullarına göre dengelenmeli, ilgili işleme faaliyeti KVKK m.4, m.7 ve m.11 uyarınca değerlendirilmelidir.1 Müdahalenin kapsamı ise talebin kaynak içeriğin kaldırılmasına mı, yoksa kişinin adı ve soyadıyla yapılan aramada belirli bir sonucun listeden çıkarılmasına mı yöneldiğine göre değişir.2

Kişisel Verileri Koruma Kurulu, 2020/481 sayılı kararda arama motoru işleticisini, sonuç listesini oluştururken yürüttüğü kişisel veri işleme faaliyeti bakımından veri sorumlusu kabul etmiştir. Kurul, ad ve soyadla yapılan arama sonuçlarından çıkarma taleplerinde kişinin kamusal rolü, bilginin doğruluğu ve güncelliği, verinin niteliği, yayının amacı, gazetecilik faaliyeti ve kamunun bilgi edinme menfaati gibi ölçütlerin dikkate alınmasını istemiştir. Her talep, bu ölçütler esas alınarak kendi koşulları içinde değerlendirilmelidir.3

Kişisel Verileri Koruma Kurulu, 2020/927 sayılı kararında bir öğretim üyesi hakkındaki güncel ve gazetecilik faaliyeti kapsamındaki haberlerin listeden çıkarılması talebini reddetmiştir.4 Kurul, 2022/1201 sayılı kararda ise yirmi yılı aşkın süre önce ilanen tebligat amacıyla yayımlanan ve ilgili yargılama beraatle sonuçlandığı halde erişilebilir kalan bir kaydın güncelliğini ve mevcut kamu yararını yitirdiği sonucuna ulaşmıştır. Kurul, arama motoruna kaynağı silmeden ilgili sonucu ad ve soyadla ilişkilendirmeye son vermesi yönünde talimat vermiştir.5 Bu iki karar, yayının güncel işlevi ile ilgili kişi üzerindeki etkisinin birlikte değerlendirilmesi gerektiğini göstermektedir.6

Anayasa Mahkemesi, N.B.B. kararında ulusal ölçekte yayımlanan arşiv haberinin erişilebilir tutulmasını incelemiştir.7 Yargıtay 4. Hukuk Dairesinin E. 2023/12295, K. 2025/14577 sayılı kararı ise kaynak haberin kaldırılması talebine ilişkindir.8 Bu uyuşmazlıkların konusu, arama motorunun sonuç listesinden çıkarma talebinden farklı olarak kaynak içeriğin kendisidir. Kaynak içerik ile arama sonucu arasındaki ayrım, müdahalenin kapsamı belirlenirken ve çatışan haklar dengelenirken gözetilmelidir.

İtiraz hakkının doğması için kişisel verilerin yalnız otomatik sistemlerle analiz edilmesi ve bu analizin ilgili kişi aleyhine bir sonuç doğurması birlikte gerekir.1 Doktrinde de otomatik analiz ile aleyhe sonucun aynı olayda bulunması gerektiği kabul edilmektedir.2

Bir karar sürecinde otomatik sistem kullanılması, analizin bütünüyle otomatik yürütüldüğü anlamına gelmez. Doktrinde, görevlinin otomatik sonucu gerçekten inceleyip gerektiğinde değiştirebilmesi, anlamlı bir insan müdahalesinin varlığı için gerekli kabul edilmektedir. Otomatik sonucun bir görevlinin biçimsel onayından geçirilmesi ise anlamlı bir insan müdahalesi sayılmayabilir.3

Kişisel Verileri Koruma Kurulu, 2021/1303 sayılı kararda araç kiralama sistemine müşteri hakkında kayıt girilmesini kısmen otomatik bir işleme olarak değerlendirmiştir. Kurul, kaydın otomatik olarak hizmet reddine yol açması halinde münhasıran otomatik analiz ve aleyhe sonuç şartlarının gündeme gelebileceğini belirtmiştir. Kurul, sisteme veri girilmesi ile sistemin kişi hakkında sonuç üretmesini ayrı süreçler olarak ele almıştır.4 Bu nedenle somut olayda itiraz hakkının bulunup bulunmadığı belirlenirken otomatik sonucun nasıl oluştuğu ve ilgili kişi üzerinde ne tür bir etki doğurduğu incelenmelidir.5

GDPR m.22, kişiye yalnız otomatik işlemeye dayanan ve hukuki ya da benzer ölçüde önemli etki doğuran bir karara tabi olmama hakkı tanır. KVKK m.11/1-g ise aleyhe sonuç ortaya çıktıktan sonra bu sonuca itiraz edilmesini düzenler.6 Avrupa Birliği Adalet Divanı, C-634/21 sayılı kararda üçüncü kişinin kredi ilişkisine ilişkin kararını büyük ölçüde belirleyen otomatik kredi puanını GDPR m.22 kapsamında bir karar saymıştır.7 Divan, C-203/22 sayılı kararda da otomatik sonuca ulaşılırken fiilen uygulanan usul ve ilkelerin ilgili kişiye özlü, saydam ve anlaşılır biçimde açıklanması gerektiğini belirtmiştir.8

Otomatik puanın karar üzerindeki ağırlığı, aynı sistemin iki farklı kullanımında değişebilir. Puan, görevlinin dosyadaki diğer bilgileri inceleyip gerekçeli biçimde değiştirebildiği yardımcı bir veri ise sonuç yalnız otomatik analize dayanmayabilir. Sistem puana bağlı olarak hizmeti doğrudan reddediyor ve görevli sonucu değiştiremiyorsa, sonradan eklenen biçimsel onay otomatik niteliği ortadan kaldırmaya yetmeyebilir.9 İncelemede sistemin nasıl adlandırıldığı değil, otomatik çıktının nihai sonucu fiilen belirleyip belirlemediği esas alınmalıdır.

Zarar gören ilgili kişi iki dayanağa başvurabilir. KVKK m.11/1-ğ, KVKK'ye aykırı kişisel veri işleme nedeniyle uğranılan zararın giderilmesini isteme hakkı tanır. KVKK m.14/3 ise kişilik hakkı ihlal edilen kişinin genel hükümlere göre tazminat isteme hakkını saklı tutar.1

Kişisel verilerin hukuka aykırı işlenmesi kişilik hakkına saldırı oluşturduğunda, zarar gören kişi Türk Medeni Kanunu m.24 ve m.25 uyarınca saldırının önlenmesini, durdurulmasını veya hukuka aykırılığın tespitini isteyebilir.2 Maddi tazminat istemi haksız fiil hükümlerine dayanıyorsa Türk Borçlar Kanunu (TBK) m.49 uygulanır. Zararın ve kusurun ispatında TBK m.50 uygulanır. Kişilik hakkının zedelenmesinden doğan manevi zarar için TBK m.58 uyarınca manevi tazminat istenebilir.3

KVKK m.11/1-ğ, sorumluluğun kusura bağlı olup olmadığı ve zararın nasıl hesaplanacağı hakkında bir düzenleme içermez.4 Doktrinde sorumluluğun hukuki niteliği konusunda farklı görüşler bulunmaktadır. Sorumluluğun hangi hükme tabi olduğu, taraflar arasındaki hukuki ilişki ve ihlal edilen yükümlülük dikkate alınarak belirlenecektir.5 Kişisel verilerin işlenmesiyle sözleşmeden doğan bir borç da ihlal edilmişse, sözleşmeye aykırılıktan doğan sorumluluk hükümleri uygulanabilir.6

Kişisel Verileri Koruma Kurulu, 2020/41 sayılı kararda önündeki başvurunun KVKK m.11 kapsamında bir talep içermediğini tespit etmiş ve tazminat isteminin bu başvuru bakımından genel mahkemelerde ileri sürülmesi gerektiğini belirtmiştir.7

KVKK m.28'deki iki istisna grubu, m.11'deki hakları aynı ölçüde sınırlandırmaz. Birinci fıkrada sayılan işleme faaliyetlerine KVKK hükümleri uygulanmaz. İkinci fıkra ise KVKK'nin 10. ve 16. maddeleriyle birlikte, zararın giderilmesini isteme hakkı dışındaki m.11 haklarını uygulama dışında bırakır.1

KVKK m.28/2'deki istisna, işleme faaliyetinin maddede sayılan dört halden birine girmesi, KVKK'nin amacına ve temel ilkelerine uygun olması ve orantılılık şartını karşılaması halinde uygulanabilir. Faaliyetin bir kamu kurumu tarafından yürütülmesi, istisnanın uygulanması için tek başına yeterli değildir.2 Denetleme, düzenleme veya disiplin faaliyetine ilişkin istisna, işlemenin kanunla görevli ve yetkili kılınan kurumun bu görevi yerine getirebilmesi için gerekli olması halinde uygulanabilir.3

Anayasa Mahkemesinin E. 2018/137, K. 2022/86 sayılı kararı KVKK m.28/2'yi doğrudan yorumlamamıştır. Mahkeme, bu kararda Milli İstihbarat Teşkilatının Bilgi Edinme Hakkı Kanunu kapsamından bütünüyle çıkarılmasını incelemiştir. Milli güvenliğin korunmasındaki gizlilik ihtiyacını kabul etmiş, ancak istihbarat niteliğinde olmayan veya kişinin çalışma hayatı ile meslek onurunu etkileyen bilgilere erişimin kategorik biçimde kapatılmasını ölçüsüz bulmuştur.4 Bu ölçülülük değerlendirmesinden, kamu güvenliği veya gizlilik gerekçesiyle erişim sınırlandırılırken somut bilginin niteliği ile korunmak istenen yararın birlikte değerlendirilmesi gerektiği sonucu çıkarılabilir.5