İlgili Kişi
İlgili kişi, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında “kişisel verisi işlenen gerçek kişi” olarak tanımlanmıştır. Dolayısıyla, ilgili kişi kapsamına yalnızca gerçek kişiler girmekte ve tüzel kişiler kapsam dışında bırakılmaktadır. Kişisel verilerin işlenmesi ise, “kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem” olarak ifade edilmiştir. Buna göre, kişisel verileri elde edilerek, kaydedilerek, aktarılarak ya da kanunda sayılan diğer fillerle işlenen bütün gerçek kişiler, Kişisel Verilerin Korunması Kanunu kapsamında ilgili kişi olarak kabul edilecektir.
Veri Sorumlusu
Veri sorumlusu, Kişisel Verilerin Korunması Kanunu’nun 3’üncü maddesinde “kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi” olarak tanımlanmıştır. Buna göre, ilgili kişilerin kişisel verilerinin işlenmesinden sorumlu olan, kişisel verilerin işlenme usul, esas ve amaçlarını belirleyen ve kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemini kuran ve yöneten kişiler veri sorumlusudur. İlgili kişinin aksine, veri sorumluları hem gerçek kişi hem de tüzel kişi olabilmektedir. Buna göre, Türk mevzuatına göre kurulan ve Türk Medeni Kanunu uyarınca tüzel kişi olarak kabul edilen bir limited şirket ya da bir vakıf veri sorumlusu olabilecekken, tüzel kişi olması sebebiyle ilgili kişi olarak kabul edilmeyecektir.
İlgili Kişinin Hakları
Kişisel Verilerin Korunması Kanunu’nun amaçlarından bir tanesi, kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korunmasıdır. Bu amacın gerçekleştirilmesi için, Kişisel Verilerin Korunması Kanunu kapsamında ilgili kişilere belirli haklar tanınmış ve bu haklar kanunun 11’inci maddesinde sayılmıştır.
- İlgili kişi, kişisel verilerinin işlenip işlenmediğini veri sorumlusuna başvurarak öğrenebilir.
- İlgili kişi, kişisel verileri işlenmişse veri sorumlusundan buna ilişkin bilgi talep edebilir.
- İlgili kişi, kişisel verilerinin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını veri sorumlusuna başvurarak öğrenebilir.
- İlgili kişi, yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri veri sorumlusuna başvurarak öğrenebilir.
- İlgili kişi, kişisel verilerinin eksik veya yanlış işlenmiş olması hâlinde veri sorumlusundan bunların düzeltilmesini talep edebilir.
- İlgili kişi, kişisel verileri Kişisel Verilerin Korunması Kanunu ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, bunların işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde, veri sorumlusundan kişisel verilerinin silinmesini, yok edilmesini veya anonim hâle getirilmesini talep edebilir.
- İlgili kişi, kişisel verilerinin veri sorumlusu tarafından düzeltilmesi, silinmesi, yok edilmesi veya anonim hâle getirilmesi durumunda, bu işlemlerin kişisel verilerinin aktarıldığı üçüncü kişilere bildirilmesini talep edebilir.
- İlgili kişi, kişisel verilerinin yalnızca otomatik sistemler aracılığıyla analiz edilmesi sonucunda, kendi aleyhine bir sonuç ortaya çıkması durumuna itiraz edebilir.
- İlgili kişi, kişisel verilerinin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde veri sorumlusundan zararının giderilmesini talep edebilir.
İlgili kişi, Kişisel Verilerin Korunması Kanunu kapsamında yer alan ve yukarıda sayılan haklarını, temel olarak veri sorumlusuna başvurarak kullanacaktır. Bu başvurunun usul ve esasları Kişisel Verilerin Korunması Kanunu’nun 13’üncü maddesinde ve 10 Mart 2018 tarihinde yayımlanan Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ kapsamında belirtilmiştir.
Veri Sorumlusuna Başvuru
Veri sorumlusuna yapılan başvuru, yazılı ya da Kişisel Verileri Koruma Kurulu tarafından belirlenecek diğer yöntemlerle ücretsiz olarak yapılabilmektedir. Ancak, veri sorumlusunun başvuruya yazılı olarak verdiği cevabın on sayfayı geçmesi ya da cevabın USB bellek veya CD gibi ortamlarda verilmesi durumunda ilgili kişiden ücret talep edilebilecektir. Başvurunun veri sorumlusunun hatasından kaynaklanması hâlinde alınan ücret iade edilecektir.
10 Mart 2018 tarihinde Kişisel Verilerin Korunması Kurumu tarafından veri sorumlusuna başvuru usul ve esasları hakkında bir tebliğ yayımlanmıştır. Tebliğ kapsamında, başvuru usulü ve başvuruda bulunması gereken bilgiler belirtilmiştir. Dolayısıyla, ilgili başvuru:
- Yazılı olarak,
- Kayıtlı elektronik posta (KEP) adresi, güvenli elektronik imza, mobil imza ya da ilgili kişi tarafından veri sorumlusuna daha önce bildirilen ve veri sorumlusunun sisteminde kayıtlı bulunan elektronik posta adresi aracılığıyla ya da
- Başvuru amacına yönelik geliştirilmiş bir yazılım ya da uygulama vasıtasıyla veri sorumlusuna yapılabilmektedir.
İlgili kişi, başvuruyu Türkçe olarak yapmakla yükümlüdür. Başvuruda, ad, soyad ve eğer başvuru yazılı ise imza, tebligata esas yerleşim yeri veya iş yeri adresi, varsa bildirime esas elektronik posta adresi, telefon ve faks numarası, Türkiye Cumhuriyeti vatandaşları için T.C. kimlik numarası, yabancılar için uyruğu, pasaport numarası veya varsa kimlik numarası ile talep konusu bulunması zorunludur. Ayrıca, konuya ilişkin bilgi ve belgeler başvuruya eklenmelidir.
Veri sorumlusu, başvuruda yer alan talepleri otuz günü geçmeyecek şekilde en kısa sürede sonuçlandırmakta yükümlüdür. Başvuru tarihi, yazılı başvurularda başvuru evrakının veri sorumlusuna tebliğ edildiği; diğer başvurularda ise, başvurunun veri sorumlusuna iletildiği tarihtir.
Veri sorumlusu, talebi kabul edebilir ya da gerekçelerini açıklayarak reddedebilir. Cevap yazısı, ilgili kişiye yazılı ya da elektronik ortamda gönderilecektir. Cevap yazısında, başvuranın adı ve soyadı, tebligata esas yerleşim yeri veya iş yeri adresi, varsa bildirime esas elektronik posta adresi, telefon ve faks numarası, Türkiye Cumhuriyeti vatandaşları için T.C. kimlik numarası, yabancılar için uyruğu, pasaport numarası veya varsa kimlik numarası, talep konusu ile veri sorumlusunun başvuruya ilişkin açıklamaları ve veri sorumlusu ya da temsilcisine ait bilgilerin yer alması zorunludur.
Kişisel Verileri Koruma Kuruluna Şikâyet
İlgili kişinin veri sorumlusuna yaptığı başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde başvuruya cevap verilmemesi durumunda, veri sorumlusunun cevabını öğrendiği tarihten itibaren otuz ve her hâlükârda başvuru tarihinden itibaren altmış gün içinde Kişisel Verilerin Korunması Kuruluna şikâyette bulunabilir. Şikâyette bulunmak için, öncelikle veri sorumlusuna başvuru yapmak gereklidir. Aksi takdirde, yapılan şikâyet Kişisel Verilerin Korunması Kurulu tarafından reddedilecektir.
Kişisel Verilerin Korunması Kuruluna şikâyet yazılı ve elektronik olarak iki farklı şekilde yapılabilmektedir. Bununla birlikte, vâsi ve vekillerin elektronik olarak şikâyette bulunmasına olanak tanınmamıştır. Dolayısıyla, vâsi ve vekiller şikâyetlerini yazılı olarak yapacaklardır.
Yazılı şikâyet, Dilekçe Hakkının Kullanılmasına Dair Kanuna tabidir ve dolayısıyla şikâyette ilgili kişinin adı-soyadı, imzası, işyeri veya ikametgâh adresi ile şikâyet konusunun bulunması gerekmektedir. Bu bilgilerde eksiklik olması durumunda yapılan şikâyet işleme alınmayacaktır.
Elektronik şikâyet, https://sikayet.kvkk.gov.tr/ adresinden erişilebilen KVKK Şikâyet Modülü aracılığıyla yapılmaktadır. Şikâyet Modülünü kullanabilmek için, öncelikle e-Devlet Kapısı Kimlik Doğrulama Sistemi aracılığıyla bir kullanıcı oluşturulması ve daha sonrasında kullanıcı bilgilerinin eksiksiz bir şekilde doldurulması gerekmektedir. Kullanıcı bilgileri tamamlandıktan sonra, modül aracılıyla şikâyet oluşturulabilecektir.
Kişisel Verileri Koruma Kurulu, şikâyet üzerine talebi inceleyerek ilgililere bir cevap verecektir. Bununla birlikte, şikâyet tarihinden itibaren altmış gün içinde cevap verilmezse talep reddedilmiş sayılacaktır. Şikâyet üzerine yapılan inceleme sonucunda, bir ihlal tespit edilmesi hâlinde, tespit edilen hukuka aykırılıkların veri sorumlusu tarafından giderilmesine karar verilecek ve bu karar ilgililere tebliğ edilecektir. Bu karar, tebliğden itibaren veri sorumlusu tarafından gecikmeksizin ve en geç otuz gün içinde yerine getirilecektir.
Tazminat Hakkı ve Diğer Talepler
Kişisel Verilerin Korunması Kanunu’nun 14’üncü maddesinin 3’üncü fıkrasında, kişisel hakları ihlal edilenlerin genel hükümlere göre tazminat haklarının saklı olduğu ifade edilmiştir. 6098 sayılı Borçlar Kanunu’nun 58’inci maddesinin 1’inci fıkrasında “Kişilik hakkının zedelenmesinden zarar gören, uğradığı manevi zarara karşılık manevi tazminat adı altında bir miktar para ödenmesini isteyebilir.” hükmü yer alma almaktadır. Benzer bir şekilde, 4721 sayılı Türk Medeni Kanunu’nun 25’inci maddesinin 3’üncü fıkrasına göre hukuka aykırı olarak kişilik hakkı ihlal edilen kişinin “maddî ve manevî tazminat istemleri ile hukuka aykırı saldırı dolayısıyla elde edilmiş olan kazancın vekâletsiz iş görme hükümlerine göre kendisine verilmesine ilişkin istemde bulunma hakkı saklıdır.” Dolayısıyla kişisel verilerinin korunması hakkı ve diğer kişilik hakları zarar gören ilgili kişi, veri sorumlusundan maddi tazminat ve manevi tazminat talep edebilir.
İlgili kişi, veri sorumlusunun kamu kurum ve kuruluşu olması durumunda idare mahkemelerinde; veri sorumlusunun gerçek kişi ya da özel hukuk tüzel kişisi olması durumunda hukuk mahkemelerinde açacağı dava ile maddi ve manevi tazminat talebinde bulunabilecektir. Kişisel Verilerin Korunması Kanunu kapsamında düzenlenen şikâyet yöntemi ile tazminat talep edilememektedir. Bu husus, Kişisel Verileri Koruma Kurulunun 16/01/2020 tarihli ve 2020/43 sayılı kararında, “İlgili kişinin başvurusunda manevi zarara uğradığı yönünde bir iddia ve buna ilişkin bir tazminat talebinin söz konusu olduğu dikkate alınarak, … söz konusu talebini genel mahkemeler huzurunda kullanması gerektiğinden, bu hususta Kanun kapsamında Kurul tarafından tesis edilecek bir işlem bulunmadığına, … karar verilmiştir.” şeklinde ifade edilmiştir.
Tazminat isteminin yanı sıra, kişisel verileri korunması ile hakları zarar gören ilgili kişi, Türk Medeni Kanunu’nun 24’üncü ve 25’inci maddeleri uyarınca, mahkemeden saldırı tehlikesinin önlenmesini, sürmekte olan saldırıya son verilmesini, sona ermiş olsa bile etkileri devam eden saldırının hukuka aykırılığının tespitini isteyebilir. Ayrıca, ilgili kişi düzeltmenin veya kararın üçüncü kişilere bildirilmesi ya da yayımlanması isteminde de bulunabilir.
Kişisel Verilerin Korunması Kanunu kapsamında düzenlenen Kişisel Verileri Koruma Kuruluna şikâyet yolunun aksine, tazminat ya da diğer taleplerle mahkemeye başvurulabilmesi için veri sorumlusuna başvuru yapılması gerekmemektedir. Örneğin, kişisel verilerinizin sizden habersiz olarak elde edilmesi ve kullanılması durumunda, doğrudan veri sorumlusuna başvurarak kişisel verilerinizin kullanımına son verilmesini ve kişisel verilerinizin silinmesini, yok edilmesini veya anonim hâle getirilmesini talep edebileceğiniz gibi, Türk Medeni Kanunu’nun 25’inci maddesi uyarınca mahkemeye başvurarak kişisel verilerinizin kullanımına son verilmesini mahkemeden talep edebilirsiniz.
