Madde 11

Kişi, kendisi hakkında hangi verilerin işlendiğini bilmiyorsa kaydın doğruluğunu ve verinin hangi amaçla kullanıldığını denetleyemez. Anayasa'nın 20. maddesinin üçüncü fıkrası, bilgilendirilme ve erişim haklarını düzeltme ile silme istemleriyle birlikte güvence altına alır.1 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 11. maddesi, bu güvenceyi veri sorumlusuna yöneltilecek talepler halinde düzenler.2

İlgili kişi, cevap sayesinde kendisi hakkındaki işlemenin kapsamını öğrenir ve gerekli olursa diğer haklarını kullanır.3 Başvuru için işlemenin hukuka aykırı olduğunun önceden kanıtlanması aranmaz. Veri sorumlusunun cevap vermesi de işleme faaliyetini hukuka uygun hale getirmez. Hukuka uygunluk, KVKK m.4 ila m.9'daki kurallara göre ayrıca belirlenecektir.4

Hakların bugünkü sıralaması hazırlık çalışmalarında tek seferde ortaya çıkmamıştır. 2008 Tasarısı, veri kaynağının bildirilmesi, doğrudan pazarlamaya itiraz ve otomatik işlemenin açıklanması gibi daha ayrıntılı taleplere yer vermiştir.5 2014 Tasarısı ise yürürlükteki m.11'in bent yapısına büyük ölçüde yaklaşmıştır.6 Kabul edilen metinde yer almayan bir talep, tasarıdaki varlığına dayanılarak KVKK m.11 kapsamına alınamaz.7

KVKK m.11, ilgili kişinin ileri sürebileceği talepleri belirler. KVKK m.13 ise bu taleplerin veri sorumlusuna iletilmesini ve cevaplandırılmasını düzenler.1 Başvuru yöntemi, cevap süresi, ücret ile kabul veya ret cevabının içeriği bu usulün içindedir.2 Usule uygun başvuru talebin kabulünü garanti etmez. Talebin esası da başvuru yolunu gereksiz kılmaz.

Başvurunun muhatabı, veriyi teknik olarak saklayan kişi değil, ilgili işleme faaliyeti bakımından veri sorumlusu olan kişidir. Veri işleyen kayıtları tutabilir ve cevabın hazırlanmasına yardımcı olabilir. İlgili kişiye karşı cevap verme yükümlülüğü veri sorumlusunda kalır.3 İlgili kişinin veri altyapısının hangi şirketlerce işletildiğini araştırması beklenmez.

Kayıt bir bulut hizmeti sağlayıcısının sistemindeyse veri sorumlusu başvuruyu bu şirkete yönlendirmekle yetinemez. Kaydı temin eder ve talebi kendi adına sonuçlandırır.4 Hizmet sağlayıcının veriyi kendi amacıyla kullanması veya işlemenin temel araçlarını bağımsız belirlemesi halinde ise sıfatı o faaliyet bakımından ayrıca incelenecektir. Sözleşmedeki ad değil, somut faaliyetteki karar yetkisi belirleyicidir.5

Erişim talebinin ilk sorusu, ilgili kişi hakkında veri işlenip işlenmediğidir.1 İşleme, verinin yalnız elde edilmesini kapsamaz. Saklama, değiştirme, açıklama, aktarma ve erişilebilir hale getirme de işleme sayılır.2 Veri sorumlusu işleme bulunmadığını ileri sürüyorsa bunu açıkça bildirmelidir.3

İşleme bulunduğu bilgisi erişimin sonu değildir. İlgili kişi, hangi verisinin hangi işlem içinde yer aldığını anlayamıyorsa kaydın doğruluğunu sınayamaz ve diğer haklarını kullanamaz.4 Cevap bu nedenle işlenen kişisel veriyi anlaşılır biçimde ortaya koymalıdır.5 Kurul, 2020/435 sayılı kararda savunma ve istifa dilekçelerinin başvurucuya ait kişisel veriler içermesi nedeniyle bunların suretlerini erişim talebi kapsamında değerlendirmiştir.6

Talepte denetlenmek istenen husus, cevabın biçimini de belirler. Erişim hakkı her başvuruda veri tabanının, özgün kayıt ortamının veya bütün dosyanın teslimini gerektirmez.7 Kurul, 2020/13 sayılı kararda çağrı kaydının dökümünü somut talep için yeterli bulmuştur.8 2020/746 ve 2023/1050 sayılı kararlarda görüşme içeriği dökümle verilmiş, üçüncü kişilere ait bilgiler ise çıkarılmış veya maskelenmiştir.9 2021/470 sayılı kararda şifreli dosyanın parolası ayrı kanaldan gönderildiği için erişimin engellendiği kabul edilmemiştir.10

Uyuşmazlık görüşmede söylenen sözlere ilişkinse eksiksiz döküm yeterli olabilir. Ses tonu, zaman bilgisi veya kayıt üzerinde sonradan değişiklik yapılıp yapılmadığı tartışılıyorsa aynı döküm denetimi sağlamayabilir. Cevabın sunuluş biçimi, talepte belirtilen hususun etkili biçimde denetlenmesine elverişli olmalıdır.11

Aynı kayıt başka kişilere ait bilgi de taşıyabilir. Kurul, 2022/653 sayılı kararda başvurucunun hesabından verilen siparişte kullanılan üçüncü kişiye ait telefon numarasını başvurucuyla da ilişkili görmüştür. Başka bir kişinin hesabındaki sipariş bilgilerini ise başvurucunun erişim hakkı kapsamında saymamıştır.12 Bu ayrım, kaydın bütünüyle verilmesini veya tümden saklanmasını değil, başvurucuya ait veri ile korunacak üçüncü kişi verisinin ayrıştırılmasını gerektirir.

Anayasa Mahkemesi, Fatma Çiğdem Tenker Köksal kararında özlük dosyasındaki sicil ve değerlendirme notlarını başvurucunun kişisel verisi saymıştır. Üçüncü kişilere açıklamayı sınırlayan kuralların kişinin kendi verisine erişimini bütünüyle engelleyemeyeceğine karar vermiştir.13 Mahkeme, üçüncü kişi verisinin nasıl ayıklanacağını veya dosyanın hangi biçimde verileceğini belirlememiştir. Sadık Benli kararında talebin başvurucuya vasi atanmadığı gerekçesiyle esastan incelenmemesi etkili başvuru hakkını ihlal etmiştir. Mahkeme istenen bilgilerin doğrudan açıklanmasına hükmetmemiştir.14

GDPR m.15/3, işlenen kişisel verilerin bir kopyasının verilmesini ayrıca düzenler.15 Avrupa Birliği Adalet Divanı, C-487/21 sayılı kararda hakkın etkili kullanımı zorunlu kılıyorsa kopyanın belge veya veri tabanı kesiti biçiminde verilebileceğini belirtmiştir.16 KVKK m.11'de aynı kapsamda açık bir kopya hükmü yoktur. Bu karar, Türk hukukunda her başvurana belge kopyası verilmesinin doğrudan dayanağı değildir.17

Erişim talebinde üçüncü kişiye ait bilgi bulunması, talebin tamamının reddini zorunlu kılmaz. Kurul, banka görüşme kayıtlarının üçüncü kişiye ait müşteri sırrı niteliğindeki veriler maskelenerek yazılı döküm veya dijital aktarım yoluyla ilgili kişiye verilmesini istemiştir. Çalışan verilerini konu alan başka bir kararda da ilgili kişinin kendi verilerine erişim talebinin karşılanmasına karar vermiştir.18

İşleme amacını öğrenme hakkı, aydınlatma metnindeki genel ifadeyi yinelemekle karşılanmaz. Veri sorumlusu, başvurucuya ait verinin hangi faaliyet için kullanıldığını açıklamalıdır.1 İlgili kişi ancak bu bilgiyle bildirilen amaç ile fiili kullanım arasındaki ilişkiyi denetleyebilir.2

Aydınlatma yükümlülüğü ile KVKK m.11/1-c kapsamındaki talep aynı soruya farklı zamanlarda cevap verir. Aydınlatma, veri elde edilirken öngörülen amacı açıklar.3 Başvuru hakkı ise verinin daha sonra hangi faaliyetlerde kullanıldığını sorar. Başlangıçtaki bilgi sonraki faaliyeti göstermiyorsa eski aydınlatma metnine gönderme yapmak yeterli değildir.4

Amaç bilgisinin verilmesi işleme faaliyetini hukuka uygun hale getirmez. Açıklanan amaç için geçerli bir işleme şartı bulunmalı, veri o amaçla bağlantılı, sınırlı ve ölçülü işlenmelidir.5 KVKK m.11/1-c bilgi edinmeyi, KVKK m.4 ila m.6 ise açıklanan faaliyetin hukuka uygunluğunu ilgilendirir.

Erişim kayıtlarında veri sorumlusu, kişisel verilere hangi tarihlerde ve hangi amaçlarla erişildiği sorusuyla karşılaşabilir. Avrupa Birliği Adalet Divanı, C-579/21 sayılı kararda GDPR kapsamındaki erişimin bu bilgileri de kapsadığını kabul etmiştir. Çalışanın kimliği, hakkın etkili kullanımı için zorunlu olduğunda ve çalışanın hakları gözetildiğinde açıklanabilecektir.6 KVKK m.11/1-c erişim tarihlerini veya çalışan kimliklerini açıkça saymaz. Bu karar, Türk hukukunda bütün erişim günlüklerinin ve çalışan adlarının açıklanacağı yönünde genel bir sonuç vermez.7

İlgili kişi, veri sorumlusunun çalışabileceği muhtemel kuruluşları değil, kendi verisinin fiilen aktarıldığı üçüncü kişileri öğrenebilir.1 Alıcının yurt içinde veya yurt dışında bulunması bu hakkın kapsamını değiştirmez.2

Aydınlatma yükümlülüğü ile bu talep arasındaki fark zaman ve konudadır. Veri sorumlusu aydınlatma sırasında verilerin kimlere ve hangi amaçla aktarılabileceğini bildirir.3 KVKK m.11/1-ç kapsamındaki başvuru ise gerçekleşmiş aktarımı sorar.4 Muhtemel alıcı gruplarını sayan eski aydınlatma metni, başvurucuya ait veriyi gerçekte kimin aldığı sorusuna cevap vermez.5

Kurul, 2020/108 sayılı kararda eski çalışanın verilerinin belirli tarihlerde aktarılıp aktarılmadığının açıklanmasını istemiştir. Aktarım yapılmışsa amaç ve içerikle birlikte aktaran ile alıcının kimliklerinin de bildirilmesine karar vermiştir.6

GDPR m.15/1-c, alıcıların yanında alıcı kategorilerini de düzenler.7 Avrupa Birliği Adalet Divanı, C-154/21 sayılı kararda aktarım gerçekleşmişse kural olarak fiili alıcıların kimliklerinin açıklanmasını aramıştır.8 KVKK m.11/1-ç alıcı kategorisini değil, verilerin aktarıldığı üçüncü kişileri düzenler. Bu lafız somut alıcı bilgisini destekler. Divanın GDPR'daki açıkça dayanaksız veya aşırı talebe ilişkin istisnaları, iç hukukta ayrı bir dayanak kurulmadan KVKK'ye taşınamaz.9

Düzeltme istemi, kaydın yanlış veya eksik olmasına göre farklı sonuç doğurur.1 Yanlış bilgi gerçeğe uygun hale getirilecek, eksik bilgi ise işleme amacının gerektirdiği ölçüde tamamlanacaktır.2 Bu sonuçlar, kişisel verilerin doğru ve gerektiğinde güncel tutulması ilkesinin ilgili kişi tarafından harekete geçirilmesidir.3

Her uyuşmazlık olgusal yanlışlık değildir. Tarih, adres veya abonelik bilgisi kanıtla sınanabilir. Bir değerlendirme veya kanaat, ilgili kişinin ona katılmamasıyla yanlış hale gelmez. Değerlendirme yanlış olguya dayanıyorsa veya kayıt kişi hakkında işleme amacı bakımından yanıltıcı bir görünüm yaratıyorsa düzeltme istemi gündeme gelebilir.4

Kurul, 2020/66 sayılı kararda başvurucuya ait telefon numarasının başka aboneliklerle ilişkilendirilmesini yanlış olgu bağlantısı olarak ele almış ve başvurunun yerine getirilmesini istemiştir.5 2020/93 sayılı karar, sağlık kaydının özel düzeltme usulünü konu almıştır. Veriyi saklama sebepleri sürdüğü için silme talebi aynı sonuca bağlanmamıştır.6 2021/1107 sayılı kararda finansal verinin sonradan düzeltilmesi, önceki yanlış işlemenin ayrıca incelenmesini engellememiştir.7

K.B.A. kararında başvurucu, hakkında şikayet bulunmadığı halde Ulusal Yargı Ağı Bilişim Sistemi'nde şikayet edilen kişi olarak görünmüştür. Anayasa Mahkemesi, talebin esastan incelenmemesini hak ihlali saymıştır. Kaydın doğrudan düzeltilmesine veya silinmesine hükmetmemiştir. Doğruluk iddiası, ilgili ve yeterli gerekçeyle ele alınmalıdır.8

Silme veya yok etme istemi yalnız verinin başlangıçta hukuka aykırı elde edildiği hallerle sınırlı değildir. Başlangıçta hukuka uygun olan işlemenin dayanağı sonradan kalkabilir. Bu halde veri sorumlusu, kişisel verileri resen veya talep üzerine siler, yok eder ya da anonim hale getirir.1 İmha Yönetmeliği, bu sonucu KVKK m.5 ve m.6'daki işleme şartlarının tamamının ortadan kalkmasına bağlar.2

İşleme sebebinin kalmadığı belirlendikten sonra seçilecek yöntem önem kazanır. Silme, veriyi ilgili kullanıcıların erişimine ve yeniden kullanımına kapatır. Yok etme, hiç kimsenin veriye erişememesini ve verinin geri getirilememesini gerektirir. Anonim hale getirmede veri, başka bilgilerle eşleştirilse bile belirli veya belirlenebilir kişiyle ilişkilendirilememelidir.3 Veri sorumlusu somut duruma uygun yöntemi seçebilir. Talep üzerine yaptığı seçimin gerekçesini de açıklamalıdır.4

İşleme yalnız açık rızaya dayanıyorsa rızanın geri alınmasıyla bu şart sona erer. Doktrinde, başlangıçta açık rızaya dayandırılan faaliyetin sonradan başka bir işleme şartına geçirilerek sürdürülemeyeceği görüşü bulunmaktadır.5 Başka işleme şartının baştan beri var olduğu ileri sürülüyorsa o şartın hem somut faaliyeti hem de devam eden saklamayı gerçekten karşılayıp karşılamadığı incelenmelidir. Aynı veri farklı sistemlerde farklı amaçlarla tutuluyorsa inceleme her faaliyet için ayrı yapılacaktır.6

Periyodik imha süresi veri sorumlusunun kendiliğinden yapacağı işlemi planlar. İlgili kişinin başvurusu ise en geç otuz gün içinde sonuçlandırılır.7 Kurul, 2021/670 sayılı kararda bireysel talebin ilk periyodik imha tarihine bırakılmasını kabul etmemiştir.8

Saklama yükümlülüğü silme talebini yalnız ilgili kayıt ve amaç bakımından karşılar. Kurul, bankacılık mevzuatındaki saklama süresi sürdüğü için bazı talepleri reddetmiştir.9 2021/847 sayılı kararda ise faturanın kanuni süre boyunca saklanması ile eski adresin güncel kullanıcı profilinde tutulmasını ayırmıştır.10 Arşivde tutulması gereken verinin güncel işlem sisteminde kullanılmaya devam etmesi ayrıca gerekçelendirilmelidir.

Özge Kahraman kararında güvenlik soruşturması bilgi notu idari işleme dayanak olmuş ve gelecekte sonuç doğurma ihtimalini korumuştur. Silme talebinin yargısal denetim dışında bırakılması etkili başvuru hakkını ihlal etmiştir.11 Anayasa Mahkemesi, notun mutlaka silinmesine karar vermemiştir. Hukuka uygunluk ile saklama gereğinin yeniden yargılamada incelenmesini istemiştir.12

Veri sorumlusunun kaydındaki düzeltme veya imha, aktarılmış verinin başka yerde kullanılmasını kendiliğinden önlemez. KVKK m.11/1-f, ilgili kişiye bu işlemin verinin aktarıldığı üçüncü kişilere bildirilmesini isteme hakkı verir.1 Bildirim, yeni ve bağımsız bir silme talebi değildir. Veri sorumlusunun KVKK m.11/1-d veya e uyarınca yaptığı işlemi üçüncü kişilere bildirir.2

İşleme şartlarının tamamı ortadan kalkmışsa veri sorumlusu, durumu üçüncü kişilere bildirir ve İmha Yönetmeliği kapsamındaki gerekli işlemlerin yapılmasını sağlar. Bildirim, üçüncü kişilerin ellerindeki aktarılan kopyalar bakımından da gerekli imha işlemlerinin yapılmasını hedefler.3

GDPR m.19'da düzeltme, silme veya kısıtlama işlemi kural olarak verinin açıklandığı alıcılara bildirilir. İmkansızlık veya orantısız çaba halinde istisna uygulanabilir.4 KVKK m.11/1-f ise bildirim hakkını ilgili kişinin istemine bağlar.5

KVKK m.11, unutulma hakkını ayrı bir bent olarak adlandırmaz. Çevrim içi kayda ilişkin talep, KVKK m.4, m.7 ve m.11 ile kişisel verilerin korunmasını isteme hakkı üzerinden kurulurken ifade özgürlüğü de gözetilecektir.1 Dengeleme yapılmadan önce talebin hedefi belirlenmelidir. Kaynak içeriğin kaldırılması ile kişinin adı ve soyadıyla yapılan aramada sonucun listeden çıkarılması aynı müdahale değildir.2

Arama sonucundan çıkarma talebinde kaynak içerik yerinde kalır. İçerik, kişinin adı ve soyadıyla yapılan aramada listelenmez. Kurul, 2020/481 sayılı kararda arama motorunu sonuç listesini oluşturduğu faaliyet bakımından veri sorumlusu saymıştır. Kişinin kamusal rolü, bilginin doğruluğu ve güncelliği, verinin niteliği, yayının amacı, gazetecilik faaliyeti ve kamunun bilgi edinme menfaatini birlikte incelemiştir.3 Bu ölçütlerden biri tek başına sonucu belirlemez.

Kurul, 2020/927 sayılı kararda öğretim üyesi hakkındaki güncel ve gazetecilik faaliyeti kapsamındaki haberlerin listeden çıkarılmasını reddetmiştir.4 2022/1201 sayılı kararda yirmi yılı aşkın süre önce ilanen tebligat için yayımlanan ve beraatle sonuçlanan yargılamaya ilişkin kayıtta güncel kamu yararının kalmadığını kabul etmiştir. Kaynağı silmeden, ad ve soyadla ilişkilendirmenin sona erdirilmesini istemiştir.5 İçeriğin yaşı tek başına belirleyici değildir. Yayının bugünkü işlevi ile kişi üzerindeki devam eden etkisi birlikte değerlendirilmelidir.6

Kaynak içeriğin kaldırılması, arama sonucundan çıkarılmasına göre daha yoğun müdahale doğurur. Çünkü arama sonucundan çıkarma kaynak kaydı yerinde bırakırken kaldırma talebi o kayda erişimi doğrudan hedef alır. Anayasa Mahkemesi, N.B.B. kararında 1998 ve 1999 yıllarındaki ceza yargılamasına ilişkin arşiv haberlerini incelemiştir. Mahkeme, haberlerin tamamen silinmesi yerine internet ortamında kolay erişimi sınırlayan yöntemlerin de dikkate alınabileceğini belirtmiş, eski ve güncelliğini yitirmiş haberler bakımından başvurucunun itibarı ile basın özgürlüğü ve halkın habere erişimi arasında denge aramıştır.7 Yargıtay 4. Hukuk Dairesi de E. 2023/12295, K. 2025/14577 sayılı kararda beraatle sonuçlanan yargılamaya dair eski haberin güncelliğini ve kamu yararını yitirdiğini kabul ederek haberin kaldırılmasına ilişkin hükmü onamıştır.8 Kaynak üzerindeki talepte, arşivin ve kamunun bilgiye erişim menfaati ile içeriğin kişi üzerindeki güncel etkisi birlikte tartılacaktır.

Gazete arşivindeki kaynak içerik ile ad ve soyadla ulaşılan arama sonucu yine ayrı değerlendirilmelidir. Kurul, basın hürriyeti istisnası içinde kalan arşiv haberinin imhası hakkında işlem yapmamıştır. Buna karşılık arama sonucundan çıkarma talebinin önce arama motoruna yöneltilmesi gerektiğini belirtmiştir.9

KVKK m.11/1-g kapsamındaki itiraz için kişisel veriler münhasıran otomatik sistemlerle analiz edilmeli ve bu analiz kişi aleyhine sonuç doğurmalıdır.1 Yalnız otomasyon kullanılması veya yalnız olumsuz karar verilmesi yeterli değildir.2

İnsan müdahalesi bu değerlendirmede önem taşır. Görevlinin otomatik çıktıyı ekranda görüp onaylaması, kararın insan tarafından alındığını tek başına göstermez. Görevli çıktının dayanaklarını inceleyebiliyor, başka bilgileri değerlendirebiliyor ve sonucu gerçekten değiştirebiliyorsa anlamlı insan müdahalesinden söz edilebilir.3

Kurul, 2021/1303 sayılı kararda araç kiralama sistemine müşteri hakkında kayıt girilmesini kısmen otomatik işleme olarak değerlendirmiştir. Bu kaydın hizmetin otomatik reddine yol açması halinde KVKK m.11/1-g'deki şartların gündeme gelebileceğini belirtmiştir.4 Sisteme veri girişi ile sistemin kişi hakkında bağlayıcı sonuç üretmesi aynı işlem değildir. İtiraz değerlendirilirken çıktının nasıl oluştuğu ve kişi üzerindeki etkisi birlikte incelenmelidir.5

GDPR m.22, kişiye yalnız otomatik işlemeye dayanan ve hukuki veya benzer ölçüde önemli etki doğuran karara tabi olmama hakkı tanır. KVKK ise aleyhe sonuç doğduktan sonra itiraz imkanı sağlar.6 Avrupa Birliği Adalet Divanı, C-634/21 sayılı kararda kredi ilişkisindeki kararı büyük ölçüde belirleyen otomatik puanı GDPR m.22 kapsamında karar saymıştır.7 C-203/22 sayılı kararda ise otomatik sonuca ulaşılırken fiilen kullanılan usul ve ilkelerin özlü, saydam ve anlaşılır biçimde açıklanmasını aramıştır.8 Bu kararlar KVKK'daki itiraz hakkının yerine geçmez.

Puan, görevlinin diğer verilerle birlikte değerlendirdiği ve gerekçeyle değiştirebildiği yardımcı unsur olduğunda sonuç münhasıran otomatik analize dayanmayabilir. Puan hizmeti doğrudan reddediyor ve görevli yalnız sonucu onaylıyorsa biçimsel insan teması otomatik niteliği ortadan kaldırmayabilir.9 Sistemin adı değil, çıktının nihai kararı fiilen belirleyip belirlemediği incelenecektir.

KVKK m.11/1-ğ, kanuna aykırı kişisel veri işleme nedeniyle zarar gören ilgili kişiye zararın giderilmesini isteme hakkı verir. KVKK m.14/3, kişilik hakkı ihlal edilen kişinin genel hükümlere göre tazminat talebini saklı tutar.1 Uygulanacak sorumluluk rejimi, ihlal edilen yükümlülük ile taraflar arasındaki ilişkiye göre belirlenecektir.2

Hukuka aykırı işleme kişilik hakkına saldırı da oluşturuyorsa Türk Medeni Kanunu m.24 ve m.25'teki önleme, durdurma ve tespit yolları gündeme gelir.3 Haksız fiile dayanan maddi tazminatta Türk Borçlar Kanunu (TBK) m.49, zararın ve kusurun ispatında m.50, kişilik hakkının zedelenmesinden doğan manevi zararda m.58 uygulanacaktır.4

KVKK m.11/1-ğ, sorumluluğun kusura bağlı olup olmadığını veya zararın nasıl hesaplanacağını ayrıca düzenlemez.5 Veri işleme sırasında sözleşmeden doğan bir borç da ihlal edilmişse sözleşmesel sorumluluk hükümleri ayrıca uygulanabilir.6

Kurul, 2020/41 sayılı kararda önündeki başvurunun KVKK m.11 kapsamında bir talep içermediğini tespit etmiştir. Tazminat isteminin bu başvuru bakımından genel mahkemelerde ileri sürülmesi gerektiğini belirtmiştir.7 Zararın miktarı ile özel hukuk sorumluluğu genel mahkemede çözülecektir.

KVKK m.28'deki istisnalar, m.11 haklarını aynı biçimde etkilemez. Birinci fıkradaki faaliyetlerde kanun hükümleri bütünüyle uygulanmaz. İkinci fıkra ise KVKK m.10 ve m.16 ile zararın giderilmesini isteme hakkı dışındaki m.11 haklarını kapsam dışında bırakır.1 Önce istisnanın hangi fıkraya dayandığı belirlenmelidir.

İkinci fıkradaki kısmi istisna, kurumun adıyla veya faaliyetin kamusal niteliğiyle doğmaz. İşleme, maddede sayılan hallerden birine girmeli, kanunun amacı ve temel ilkeleriyle bağdaşmalı ve orantılı olmalıdır.2 Denetleme, düzenleme veya disiplin faaliyeti bakımından kurumun kanunla görevli ve yetkili olması, işlemenin de görevin yerine getirilmesi için gerekli bulunması gerekir.3

Anayasa Mahkemesi, E. 2018/137, K. 2022/86 sayılı kararda Bilgi Edinme Hakkı Kanunu'nun Milli İstihbarat Teşkilatını bütünüyle kapsam dışında bırakan hükmünü incelemiştir. Milli güvenlik, bazı bilgilerin gizli tutulmasını gerektirebilir. Mahkeme bu korunma ihtiyacını kabul etmiştir. İstihbarat niteliği taşımayan veya kişinin çalışma hayatı ile meslek onuru üzerinde sonuç doğuran bilgilere erişimin kategorik olarak kapatılmasını ise ölçüsüz bulmuştur. Erişim yasağı, korunması gereken gizli bilgi ile kişiyi doğrudan etkileyen bilgiyi ayırmamıştır.4

Bu karar KVKK m.28/2'yi doğrudan yorumlamaz. Karardan, gizlilik gerekçesiyle m.11 hakkı sınırlandırılırken bilginin niteliğinin, açıklamanın doğuracağı riskin ve ilgili kişinin hakkını kullanma menfaatinin birlikte değerlendirilmesi gerektiği sonucu ihtiyatla çıkarılabilir. Bu değerlendirme, korunması gereken bilgiler ayrıştırılmadan bütün dosyanın erişime kapatılmasını tek başına haklı göstermez.5