Veri Sahibi Başvuru Süreçleri: KVKK Uyumlu Yönetim Rehberi

Veri Sahibi Başvuru Süreçleri Nedir?

KVKK (Kişisel Verilerin Korunması Kanunu) çerçevesinde veri sahibi başvuru süreçleri, kişilerin kendi kişisel verileri hakkında sahip olduğu yasal hakları kullanmalarının yönetim ve işletilmesi anlamına gelir. Kanunun 12. maddesi uyarınca, veri sahibi başvuru yönetimi, işletmelerin temel sorumluluklarından biridir.

Veri sahibi başvuru süreci, basit bir talep alışverişi değildir. Bu süreç, şirketin verilerini nasıl topladığı, işlediği ve sakladığı hakkında veri sahiplerine bilgi vermenin yasal bir yükümlülüğüdür. KVKK'nın amacı, bireylerin kişisel verilerine ilişkin hakların korunması ve bu hakların etkin bir şekilde kullanılabilmesidir.

KVKK m.12 kapsamında veri sahipleri, kişisel verilerine ilişkin olarak işletmelerden bilgi talep edebilir, verilerin düzeltilmesini, silinmesini veya kullanılmamasını isteyebilir.

Veri Sahibinin Sahip Olduğu Haklar

Bilgi Alma Hakkı

Veri sahibi, işletmelere başvurarak kişisel verilerinin işlenip işlenmediğini, işleniyorsa hangi verilerin işlendiğini, verilerine kimler tarafından erişildiğini öğrenebilir. Bu hak, KVKK m.12/a kapsamında yer almaktadır.

Örneğin, bir e-ticaret müşterisi, şirkete başvurarak kendisi hakkında hangi verilerin toplandığını, bunların nereye satıldığını veya kaç kez kullanıldığını sorabilir.

Düzeltme Hakkı

Veri sahibi, hatalı, eksik veya güncel olmayan kişisel verilerinin düzeltilmesini isteyebilir. KVKK m.12/b maddesi bu hakkı düzenlemektedir. İşletme, haklı bir nedeni olmadıkça bu talebi reddedemez.

Pratik örnek: Müşteri veritabanında adı yanlış yazılı olan bir kişi, şirkete başvurarak adının düzeltilmesini talep edebilir. Şirket 30 gün içinde bu düzeltmeyi yapmalıdır.

Silme Hakkı (Unutulma Hakkı)

KVKK m.12/c maddesi uyarınca, veri sahibi kişisel verilerinin silinmesini talep edebilir. Kanunun m.7'de belirtilen haller dışında işletme bu talebi reddedemez.

Silme hakkı talep edildiğinde, işletme belirtilen verileri 30 gün içinde sisteminden kaldırmalı ve bağlı olduğu diğer şirketlere de silme talimatı vermelidir.

İşlenmesine Karşı Çıkma Hakkı

Veri sahibi, meşru menfaatler temelinde işlenen verilerinin işlenmesine karşı çıkabilir. KVKK m.12/d bu hakkı tanımlamaktadır. Örneğin, pazarlama amaçlı veri işlenmesine karşı çıkabilir.

Veri Taşınabilirliği Hakkı

KVKK m.12/e maddesi veri taşınabilirliğini düzenlemektedir. Veri sahibi, kendisi hakkında işlenen kişisel verilerini yapılandırılmış, yaygın olarak kullanılan ve makine tarafından okunabilir biçimde isteyebilir.

Veri Sahibi Başvuru Süreci: Adım Adım Rehber

1. Başvurunun Kabulü ve Kaydedilmesi

Veri sahibi başvurusu, yazılı, elektronik veya sözlü olarak yapılabilir. Başvuru geldiğinde ilk adım, bu başvuruyu kayıt altına almaktır. KVKK m.12 uyarınca işletmenin 30 gün içinde cevap vermesi gerektiğinden, başvuru tarihi çok önemlidir.

Başvuru kaydında bulunması gereken bilgiler:

• Başvuru tarihi ve saati
• Başvuruyu yapan kişinin kimliği
• Başvurunun türü (bilgi, düzeltme, silme, itiraz vb.)
• Başvurunun içeriği
• Başvuruyu alan personelin adı
• Başvuruda istenen veriler

BumerangData gibi entegre sistemler, tüm bu bilgileri otomatik olarak kaydeder ve takip eder.

2. Kimlik Doğrulama

Başvuru yapan kişinin gerçekten söylediği kişi olduğunu doğrulamak gerekir. Kamu Denetleme Elemanı (KDE) kararlarında da bu konuya sıkça değinilmektedir. Kimlik doğrulama yöntemi olarak:

• Kimlik fotokopisi
• T.C. Kimlik No doğrulaması
• E-imza
• Video konferans üzerinden doğrulama
• Şirket müşteri veritabanından eşleştirme

Özellikle silme başvuruları için, yanlış kişiye ait verilerin silinmesini önlemek adına kimlik doğrulama kritiktir.

3. Başvurunun Değerlendirilmesi

Başvuru doğrulandıktan sonra, talep edilen işlem gerçekleştirilmeye hazırlanır. Bu aşamada:

• İlgili departmanlardan bilgi toplanır
• Gerekli veri tabanlarında aramalar yapılır
• Verilerin nerede saklandığı tespit edilir
• Başvurunun yasal gerekçesi kontrol edilir

4. İşlem Tamamlanması

Veri sahibi talebine göre işlem yapılır. Bilgi talebinde, istenen veriler düzenlenmiş şekilde sunulur. Düzeltme talebinde veriler güncellenir. Silme talebinde veriler sistemden kaldırılır.

5. Yanıt Verilmesi

İşletme, veri sahibine sonucu bildirmelidir. Yanıt yazısında:

• Başvurunun karşılanıp karşılanmadığı
• Karşılanmadıysa gerekçeler
• Başvuruya ilişkin ayrıntılar
• İtiraz hakkı hakkında bilgi

KVKK m.12 uyarınca 30 günlük cevap süresi kesindir. Zorunlu hallerde bu süre 30 gün daha uzatılabilir, ancak veri sahibi yazılı olarak bilgilendirilmelidir.

KVKK ve Kurul Kararlarında Veri Sahibi Başvuruları

KVKK m.12'nin Temel Yükümlülükleri

KVKK m.12'de v