Madde 13

Anayasa'nın 20. maddesinin üçüncü fıkrası, kişinin kendisiyle ilgili veriler hakkında bilgi edinme ve bu verilere erişme hakkının yanı sıra düzeltme ve silme taleplerini de kişisel verilerin korunması hakkına dahil etmektedir.1 KVKK m.11, ilgili kişinin hangi taleplerde bulunabileceğini düzenlemektedir. Kanunun 13. maddesi ise bu taleplerin veri sorumlusuna hangi usulle yöneltileceğini belirlemektedir.2

Başvuruya cevap verme yükümlülüğü, KVKK m.10'da düzenlenen aydınlatma yükümlülüğünden farklıdır.3 Aydınlatma, kişisel veriler elde edilirken veri sorumlusunca kendiliğinden yerine getirilir. Başvuru ise ilgili kişinin sonradan ileri sürdüğü belirli bir taleple başlamaktadır.4

Veri sorumlusu, başvuruları etkin, hukuka ve dürüstlük kuralına uygun biçimde sonuçlandırmak üzere gerekli idari ve teknik tedbirleri almakla yükümlüdür.5 Başvuru formu, özel elektronik posta adresi veya çevrim içi portal bu işleyişi kolaylaştırabilir. Ancak bu araçlar KVKK hükümlerinde ve Başvuru Tebliği'nde tanınan başvuru yöntemlerini daraltamaz.6

Kurula şikayette bulunulabilmesi için önce veri sorumlusuna başvurulması gerekir.7 Madde gerekçesinde, talebin önce veri sorumlusu tarafından incelenmesi ve uyuşmazlığın mümkünse bu aşamada giderilmesi amaçlanmıştır.8

Başvuru hakkı, kişisel verisi işlenen gerçek kişiye aittir.1 Talebin muhatabı ise başvuruya konu verilerin işlenme amaçlarını ve vasıtalarını belirleyen veri sorumlusudur.2

Kurul, bir tüzel kişinin kendi adına ilettiği talep ile gerçek kişinin kendi kişisel verileri hakkında yaptığı başvurunun birbirinden farklı olduğunu ve içerikleri benzer olsa bile ayrı ayrı cevaplandırılmaları gerektiğini kabul etmiştir.3

Kurul, genel vekaletnameyle yapılan başvurunun yalnız özel yetki bulunmadığı gerekçesiyle cevapsız bırakılmasını uygun bulmamıştır. Veri sorumlusu temsil yetkisini denetleyebilir, ancak özel yetki içeren bir vekaletnameyi mevzuatta öngörülmediği halde genel başvuru şartı olarak arayamaz.4

Kurul, ayırt etme gücüne sahip küçük ile velisinin iradelerinin örtüştüğü sağlık verisi uyuşmazlığında her ikisinin de başvuru ve şikayet yolunu kullanabileceğini kabul etmiştir. Bu sonuç, küçük ile velinin iradelerinin örtüştüğü somut uyuşmazlıkla sınırlıdır.5

Kurul, noter onaylı vekaletnameyle merkez şirket adına yetkilendirilen irtibat bürosu müdürüne yapılan tebligatı geçerli saymış ve başvurunun cevaplandırılması gerektiğini belirtmiştir. Değerlendirme, merkez şirket adına noter onaylı vekaletnameyle yetkilendirilen irtibat bürosu müdürüne yapılan tebligatla sınırlıdır.6

Başvuru, yazılı olarak, KEP adresiyle, güvenli elektronik imza veya mobil imzayla, veri sorumlusunun sisteminde kayıtlı elektronik posta adresiyle ya da bu amaçla geliştirilmiş bir yazılım veya uygulamayla yapılabilir. Başvurunun geçerliliği, kullanılan yöntem için Başvuru Tebliği'nde aranan şartların bulunmasına bağlıdır.1

Veri sorumlusu, başvuruyu yalnız noter veya güvenli elektronik imza gibi daha külfetli bir kanala bağlayamaz. Kurul, bu iki yöntem dışındaki başvuruları kabul etmeyen uygulamanın KVKK hükümlerinde ve Başvuru Tebliği'nde bulunmayan ek bir külfet doğurduğunu ve başvuru hakkını engellediğini tespit etmiştir.2 Veri sorumlusunun hazırladığı form veya portal da diğer başvuru yöntemlerinin yerine geçen zorunlu bir yol haline getirilemez.3

Kurul, kimliği belirlemeye elverişli bulunmayan ilk e-posta ile sonradan KEP üzerinden yapılan başvuruyu birbirinden ayırmış ve geçerli ikinci başvurunun ayrıca cevaplandırılması gerektiğini kabul etmiştir. Veri sorumlusunun sisteminde kayıtlı olmayan bir elektronik posta adresinden gönderilen talep, yalnız içeriğine bakılarak kayıtlı elektronik posta adresi üzerinden yapılmış bir başvuru sayılamaz.4

Başvuru Türkçe yapılmalıdır.1 Başvuruda ad ve soyad, yazılı başvuruda imza, vatandaşlık durumuna göre kimlik bilgisi, tebligat adresi, varsa diğer iletişim bilgileri ve talep konusu bulunmalıdır.2 Konuya ilişkin bilgi ve belgeler başvuruya eklenir.3

Talepte, hangi veri işleme faaliyeti hakkında ne istendiği açıkça belirtilmelidir.4 Bununla birlikte başvuranın kimliği ve talebi mevcut bilgilerden anlaşılıyorsa, önemsiz bir yazım yanlışı başvurunun cevapsız bırakılmasını haklı kılamaz. Kurul, diğer kimlik bilgileri doğru olan başvuruda addaki tek harflik yanlışlığı ret için yeterli görmemiştir.5

Başvuru, KVKK hükümlerinin uygulanmasına ilişkin olmalı ve KVKK m.11 kapsamında ileri sürülen talebi açıkça göstermelidir.6 KVKK m.28/2'deki koşullar somut olayda gerçekleşmişse, zararın giderilmesini isteme hakkı dışındaki KVKK m.11 hükümleri uygulanmaz.7 KVKK m.13/3'teki gerekçeli ret yükümlülüğü, böyle bir durumda uygulanan istisnanın ve bunun talebe etkisinin cevapta gösterilmesini gerektirir.8

Kimliğin doğrulanması, cevabın başkasına ait kişisel verileri açıklamasını önlemek için gerekli olabilir.1 Kimliğin doğrulanması için istenecek ek bilgiler, bu amaçla bağlantılı, sınırlı ve ölçülü olmalıdır.2 Veri sorumlusunun elindeki kayıtlar, başvuru kanalı ve talep edilen verinin niteliği, istenecek ek bilginin kapsamı belirlenirken dikkate alınmalıdır.3

Kurul, kullanıcı adı ve parola değişikliği talebinde kimlik belgesinin ön ve arka yüzünün istenmesini, daha az veriyle doğrulama yapılabilecek somut olayda ölçüsüz bulmuştur. Kurulun ölçülülük değerlendirmesi, kimlik doğrulamasının kendisine değil, bu amaç için gerekli olmayan verilerin de istenmesine yönelmiştir.4

Kurul, kimlik numarası bulunmayan yazılı başvuruda eksikliğin nasıl tamamlanacağı açıklanmadan talebin cevapsız bırakılmasını uygun bulmamış ve başvuranın yönlendirilmesi gerektiğine karar vermiştir.5 Eksikliğin tamamlanması için istenecek bilgi, başvurunun güvenli ve usulüne uygun biçimde sonuçlandırılması için gerekli olanla sınırlı tutulmalıdır.6

Otuz günlük cevap süresi, yazılı başvuruda evrakın veri sorumlusuna veya temsilcisine tebliğ edildiği, diğer yöntemlerde ise başvurunun veri sorumlusuna ulaştığı tarihte başlar.1

Veri sorumlusu, talebi niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırmakla yükümlüdür.2 KVKK m.13/2'de, talebin kapsamı, karmaşıklığı veya sayısı nedeniyle sürenin uzatılmasına imkan veren genel bir hüküm bulunmamaktadır.3

Danıştay Onuncu Dairesi, sağlık verilerinin düzeltilmesi için öngörülen kurum içi usulü oy çokluğuyla hukuka uygun bulmuştur. Kararda, Sağlık Bakanlığının bu kapsamdaki talepleri KVKK m.13 uyarınca en geç otuz gün içinde sonuçlandırması gerektiği belirtilmiştir.4 Kurum içi araştırma veya birimler arasındaki yazışmalar kanuni cevap süresini uzatamaz.5

Veri sorumlusunun cevabı ilgili kişiye yazılı olarak veya elektronik ortamda bildirilmelidir.1 Cevapta veri sorumlusu veya temsilcisi ile başvuru sahibinin bilgileri, talebin konusu ve veri sorumlusunun açıklamaları yer almalıdır.2

Kurul, başvuru sahibinin telefonla aranmasını yazılı veya elektronik ortamda verilen cevabın yerine geçerli saymamıştır.3

Kurul, kişisel verilerin silindiğinin bildirildiği bir olayda, aynı başvurudaki verilerin kaynağına ilişkin talep ile diğer bilgi taleplerinin cevapsız bırakıldığını tespit etmiştir. Bu nedenle yalnız silme işleminin bildirilmesini yeterli görmemiştir.4 Veri sorumlusu, cevabın gönderildiğini ve ilgili kişiye ulaştığını da güvenilir kayıtlarla kanıtlamalıdır.5

Cevap, yetkisiz kişilerin içeriğe erişmesini önleyecek ve gerektiğinde teslimi kanıtlanabilecek bir yöntemle gönderilmelidir.6 Kurul, adi posta yoluyla gönderildiği ileri sürülen cevabın tesliminin kanıtlanamamasını ve gönderim yönteminin veri güvenliği riskini birlikte değerlendirmiştir.7

Kurul, şifreye ölçüsüz bir külfet olmadan erişilebildiği somut olayda, şifreli dosyayla cevap verilmesini yeterli bulmuştur.8

Veri sorumlusu talebi kabul eder veya gerekçesini açıklayarak reddeder.1 Ret gerekçesinde, başvurudaki hangi talebin hangi hukuki veya maddi nedenle karşılanmadığı anlaşılır biçimde gösterilmelidir.2

Kurul, veri aktarımının hukuka uygun olduğunu kabul ettiği bir olayda dahi başvuru sahibine gönderilen ret yazısında gerekçe bulunmamasını ayrı bir eksiklik olarak değerlendirmiştir. Talebin esastan reddedilmesi, ret sebebinin açıklanması yükümlülüğünü ortadan kaldırmayacaktır.3

Talep kabul edilmişse gereği en kısa sürede yerine getirilecek ve işlem sonucu ilgili kişiye bildirilecektir.4 Kurul, kabul edilen silme talebinin periyodik imha tarihine kadar ertelenmesini uygun bulmamış ve işlemin otuz günlük süre içinde tamamlanması gerektiğine karar vermiştir.5

Üçüncü kişilerin hakları, kanuni saklama yükümlülüğü veya ticari sır iddiası bütün talebin kendiliğinden reddedilmesini gerektirmez.6 Bu durumda ret sebebinin talebin hangi bölümüne uygulandığı belirlenmeli ve paylaşılabilecek kısım ayrılmalıdır. Gerektiğinde üçüncü kişilere ait verilerin maskelenmesi gibi daha sınırlı yollar da değerlendirilmelidir.7 Talep hakkında karar verilirken, ilgili kişinin KVKK m.11 kapsamında kullandığı hak ile somut veri işleme faaliyetine uygulanacak diğer hükümler birlikte değerlendirilmelidir.8

Başvuru kural olarak ücretsiz sonuçlandırılır. İşlem ayrıca maliyet doğuruyorsa yalnız Kurulun belirlediği tarifedeki ücret alınabilir.1 Yazılı cevapta ilk on sayfa ücretsizdir ve sonraki her sayfa için tarifede gösterilen işlem ücreti istenebilir.2 Cevap CD veya taşınabilir bellek gibi bir kayıt ortamında verilecekse ücret ortamın maliyetini aşamaz.3 Başvuru veri sorumlusunun hatasından kaynaklanmışsa alınan ücret ilgili kişiye iade edilmelidir.4

Anayasa Mahkemesi, ayrıca maliyet doğması halinde tarifeye göre ücret alınmasını kişisel verilere erişim hakkına müdahale olarak incelemiştir.5 Mahkeme, ücretin gerçek maliyetle ve Kurulun belirlediği tarifeyle sınırlandırılmasını gözeterek iptal istemini reddetmiştir. İptal isteminin reddedilmiş olması, tarifeye dayanmayan veya gerçek maliyetle bağlantısı kurulamayan bir ücreti ölçülü hale getiremez.6 Doktrinde tarifede bir üst sınır bulunmaması ayrıca eleştirilmektedir.7

Başvuru hakkının açıkça kötüye kullanıldığı hallerde nasıl hareket edileceği doktrinde tartışmalıdır. Bir görüş, TMK m.2/2'nin koşulları gerçekleştiğinde talebe cevap verilmeyebileceğini kabul etmektedir.8 Başka bir görüş, hakkın kötüye kullanıldığı izlenimini veren başvurularda makul bir ücret alınmasını ve cevap verildikten sonra başvurunun gerçek bir menfaate dayandığı anlaşılırsa ücretin iade edilmesini önermektedir.9 Yürürlükteki KVKK ve Başvuru Tebliği, bu iki yaklaşımı açık bir ret veya ücret sebebi olarak düzenlememektedir.10

Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi halinde ilgili kişi Kurula şikayette bulunabilir.1 Şikayetin kapsamı, veri sorumlusuna yöneltilen talep ve bu talebe verilen cevap üzerinden belirlenir.2

KVKK m.14/1'e göre şikayet, cevabın öğrenildiği tarihten itibaren otuz ve her halde başvuru tarihinden itibaren altmış gün içinde yapılmalıdır.3 Kurulun 2019/9 sayılı kararında ise süresinde cevap verilen hallerde başvuru tarihinden itibaren altmış günlük sürenin uygulanmayacağı ve şikayetin cevabın öğrenilmesinden itibaren otuz gün içinde yapılabileceği açıklanmıştır.4 Kurulun bu yorumu, KVKK m.14/1'deki “her halde başvuru tarihinden itibaren altmış gün” ibaresinden ayrılmaktadır.5 Hiç cevap verilmemişse şikayet başvuru tarihinden itibaren altmış gün içinde yapılabilir.6 Cevap otuz günlük süreden sonra verilirse ilgili kişi gecikmiş cevabı beklemek zorunda değildir. Şikayet bu durumda başvuru tarihinden itibaren altmış gün içinde yapılabilir.7

Kurul, 2021/799 sayılı kararında veri sorumlusuna yapılan başvuruda ileri sürülmeyen yeni iddiaları şikayet aşamasında incelememiştir.8

Kanunun 14. maddesinin üçüncü fıkrası, kişilik hakkı ihlal edilenlerin genel hükümlere göre tazminat hakkını saklı tutmaktadır.9 Başvuru ve şikayet usulü, sözleşmeden veya kişilik hakkından doğan taleplerin maddi koşullarını ortadan kaldırmaz.10 Bununla birlikte bu hüküm, KVKK m.13'teki başvurunun tazminat davaları bakımından dava şartı olup olmadığı sorununu tek başına çözmeye yetmez.11

2008 tarihli Kanun Tasarısı, başvurunun yazılı yapılmasını ve veri kütüğü sahibinin talebi on beş iş günü içinde cevaplandırmasını öngörüyordu.1 Cevap verilmez, talep reddedilir veya verilen cevap yetersiz kalırsa Kurula yirmi gün içinde itiraz edilebilecekti.2

2014 tarihli Kanun Tasarısı, yazılı başvurunun yanında Kurulun belirleyeceği yöntemleri kabul etmiş ve azami süreyi otuz gün olarak belirlemişti.3 Bu metinde talebin kabulü veya gerekçeli reddi, başvurunun ücretsiz sonuçlandırılması ve ayrıca maliyet doğması halinde Kurulca uygun görülen ücretin alınması birlikte düzenlenmişti.4

1/541 sayılı Kanun Tasarısının ilk metni, kabul edilen talebin yerine getirilmesini ve veri sorumlusunun hatasından kaynaklanan başvuruda ücretin iadesini içeriyordu.5 Cevabın bildirim yöntemi belirtilmemiş, hükümde yalnız “ilgili kişiye bildirir” ifadesine yer verilmişti.6 Alt komisyon bu ifadeyi “yazıyla bildirir” biçiminde değiştirdi.7 Adalet Komisyonu, yazılı bildirimin yanına elektronik ortamı da ekleyerek yürürlükteki cevap biçimini kabul etti.8

Kanunlaşan metinde, 1/541 sayılı Kanun Tasarısındaki talebin yerine getirilmesine ve veri sorumlusunun hatasından kaynaklanan başvuruda alınan ücretin iadesine ilişkin hükümler korunmuştur.9 Kanunun 13. maddesinin 7 Nisan 2016'da yayımlanan ilk metni ile güncel konsolide metni aynıdır.10

GDPR m.12, veri sorumlusuna ilgili kişi haklarının kullanılmasını kolaylaştırma yükümlülüğü getirmektedir.1 Bilgi ve bildirimler kısa, şeffaf, anlaşılır ve kolay erişilebilir biçimde, açık ve sade bir dille sunulmalıdır.2

GDPR'da cevap süresi talebin alınmasından itibaren bir aydır.3 Talebin karmaşıklığı veya başvuruların sayısı bunu gerektiriyorsa bu süre iki ay daha uzatılabilir. Veri sorumlusu uzatmayı ve gecikmenin nedenini ilk ay içinde ilgili kişiye bildirmelidir.4

Talep hakkında işlem yapılmayacaksa bunun nedenleri ile denetim makamına şikayette bulunma ve yargı yoluna başvurma imkanları en geç bir ay içinde bildirilmelidir.5 Açıkça dayanaktan yoksun veya aşırı taleplerde makul ücret istenebilir ya da işlem yapılmayabilir.6 Talebin bu nitelikte olduğunu ispat yükü veri sorumlusundadır.7

Kimlik konusunda makul şüphe varsa yalnız doğrulama için gerekli ek bilgiler istenebilir.8 KVKK m.13'te azami cevap süresi otuz gündür ve bu sürenin uzatılması öngörülmemiştir.9 Ücret, yalnız işlemin ayrıca bir maliyet doğurması halinde alınabilir.10 Bu nedenle GDPR'daki süre uzatımı ile açıkça dayanaktan yoksun veya aşırı taleplere ilişkin hükümler, Türk hukukundaki cevap süresini uzatmak ya da başvuruyu reddetmek için tek başına kullanılamaz.11