Kişisel veri hakların

Açılış

Nilüfer Hanım dört yıl önce bir mobilya mağazasından bir koltuk almıştı. Teslimat için adını, telefonunu ve adresini vermişti. Koltuk geldi, iş bitti sandı.

Dört yıl sonra hâlâ bitmemişti. Haftada birkaç kez kısa mesaj geliyordu: kampanyalar, indirimler, yeni sezon. Geçen ay bir telefon da geldi; arayan kişi kendini başka bir şirketin, bir mutfak eşyası firmasının çalışanı olarak tanıttı ve Nilüfer Hanım'ın adını ve semtini biliyordu. "Mobilya mağazasının müşterilerine özel fiyatımız var," dedi.

Nilüfer Hanım telefonu kapattıktan sonra Ece'yi aradı ve üç soru sordu. Bu mağaza benim hakkımda ne tutuyor? Bilgilerimi kime verdi? Ve bunu durdurmanın bir yolu var mı, yoksa ömür boyu mesaj mı alacağım?

Ece'nin cevabı kısaydı: "Sormaya hakkın var. Hem de yazılı cevap almaya." Ama nereye, nasıl ve ne yazacaklarını ikisi de bilmiyordu.

Tek fikir

Senin hakkında veri işleyen her kurum, sana ne tuttuğunu, neden tuttuğunu ve kime verdiğini söylemek, yanlışı düzeltmek ve gereği kalmayanı silmek zorundadır. Bu hakkı kullanmanın yolu, yazılı ve izlenebilir bir başvurudur.

Nasıl çalışır

Sızıntı dersinde kurum sana haber veriyordu. Burada yön tersine dönüyor: hiçbir şey ters gitmemişken de soruyu sen soruyorsun.

Modül 1'de veri sorumlusunu tanımlamıştık: kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen kişi ya da kurum. Bu dersin öteki tarafı ise sensin.

Kanun'un on birinci maddesi, herkesin veri sorumlusuna başvurarak kendisiyle ilgili dokuz şeyi isteyebileceğini sayar. Bunları üç grupta düşünmek kolaylaştırır.

Öğrenme hakları: kişisel verinin işlenip işlenmediğini öğrenmek; işlenmişse buna ilişkin bilgi istemek; işlenme amacını ve verinin bu amaca uygun kullanılıp kullanılmadığını öğrenmek; yurt içinde ya da yurt dışında verinin aktarıldığı üçüncü kişileri bilmek. Nilüfer Hanım'ın ilk iki sorusu tam olarak bunlardır.

Düzeltme ve silme hakları: eksik ya da yanlış işlenen verinin düzeltilmesini istemek; Kanun'un yedinci maddesindeki şartlarla verinin silinmesini ya da yok edilmesini istemek; ve bu düzeltme ya da silmenin, verinin aktarıldığı üçüncü kişilere de bildirilmesini istemek. Yedinci madde şunu söyler: hukuka uygun işlenmiş olsa bile, işlenmesini gerektiren sebepler ortadan kalktığında veri silinir, yok edilir ya da anonim hâle getirilir. Ama aynı madde, başka kanunlardaki saklama hükümlerini de saklı tutar; bir kurum bazı verileri başka bir kanun gerektirdiği için tutmaya devam edebilir.

İtiraz ve tazmin hakları: verinin yalnız otomatik sistemlerle analiz edilmesi sonucunda kişinin aleyhine bir sonucun çıkmasına itiraz etmek; ve verinin Kanun'a aykırı işlenmesi yüzünden zarara uğranmışsa zararın giderilmesini istemek.

Bu hakların nereye götürüleceğini bulmanın yolu, kurumun aydınlatma metnidir.

Başvurunun biçimi ise bir tebliğle belirlenmiştir.

Başvurunun neden bu kadar biçimsel olduğunu, güvenlik açısından düşünmek kolaydır. Bir kurum, senin verini sana vermeden önce sen olduğundan emin olmak zorundadır; aksi hâlde başvuru hakkı, başkasının verisini ele geçirmek için bir bahaneye dönüşür. Kimlik bilgileri, imza ve sistemde kayıtlı e-posta adresi bu doğrulamanın parçalarıdır.

Cevabın da biçimi önemlidir, ve bu konuda Kurul yakın zamanda bir uyarı yaptı.

Cevap gelmezse ya da yetersizse, son adım Kurul'dur. Kanun'un on dördüncü maddesine göre başvurunun reddedilmesi, cevabın yetersiz bulunması ya da süresinde cevap verilmemesi hâlinde, ilgili kişi cevabı öğrendiği tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurul'a şikâyette bulunabilir. Ama önce veri sorumlusuna başvurmuş olmak gerekir; bu yol tüketilmeden şikâyet yapılamaz.

Sahada

Savunma

Kişisel veri hakları, savunmanın hem önleme hem müdahale tarafında işe yarar.

Önlemede, veri vermeden önce aydınlatma metnine bakmak, neye razı olduğunu bilmektir. Bir formdaki zorunlu olmayan alanlar boş bırakılır; pazarlama izni isteyen kutu, istemiyorsan işaretlenmez. Nilüfer Hanım'ın koltuğu için ad, telefon ve adres gerekiyordu; kampanya mesajları ve başka şirketlerle paylaşım ise ayrı bir konuydu.

Tespitte, beklemediğin bir yerden gelen arama ya da mesaj bir işarettir: biri verini birinden almıştır. Nilüfer Hanım'ı arayan mutfak eşyası firması, mobilya mağazasının adını kendisi andı. Böyle bir işaret, başvurunun nereye yapılacağını da gösterir.

Müdahalede başvuru, sırayla ve yazılı yürütülür. İlk başvuru veri sorumlusunadır: hangi verilerim işleniyor, hangi amaçla, kimlere aktarıldı; amacı kalmayan veriler silinsin ve bu silme aktarıldığı kişilere de bildirilsin. Başvurunun tarihi ve kanalı kayda alınır. Otuz gün içinde cevap gelmezse, ya da gelen cevap yetersizse, Kurul'a şikâyet süresi işlemeye başlar.

Bir kurum için ise savunma, başvuruyu bir güvenlik süreci olarak ele almaktır. Selin'in şirketinin gördüğü gibi, veri isteyen kişinin gerçekten ilgili kişi olduğu doğrulanmadan hiçbir veri verilmez; aksi hâlde başvuru kanalı, Modül 7'de gördüğümüz bahane kurmanın en resmî görünen hâline dönüşür. Cevap yazılı ve izlenebilir verilir; Kurul'un son duyurusu telefonla verilen cevabın yetmediğini açıkça söyler. Ve silme talepleri, başka kanunların saklama zorunluluklarıyla birlikte değerlendirilir; Defne Hanım'ın yaptığı gibi, neyin neden saklandığı açıkça yazılır.

Uygulama

Senin hakkında veri tutan bir kuruma, kendi verin için gerçek bir başvuru hazırlayacaksın.

Göndermesen bile taslak elinde kalır; bir sonraki istenmeyen aramada ne yapacağını bilirsin.

Defter: Gizlilik bölümüne başvuru kaydı: şirket, aydınlatma metnindeki dört bilgi, başvuru tarihi, kanal, otuzuncu gün ve cevabın özeti. Cevap gelmezse Kurul'a şikâyet için son tarih: cevabı öğrendiğin günden itibaren otuz, başvurudan itibaren en çok altmış gün.

Hata köşesi

Etik ve sınırlar

Başvuru hakkı yalnız kendi verin için vardır. Bir başkası adına, onun izni ve yetki belgesi olmadan başvurmak, onun kimliğine bürünmektir; bir kurumu kandırıp başkasının verisini almaya çalışmak ise Modül 7'deki sosyal mühendisliğin ta kendisidir ve kişisel verileri hukuka aykırı ele geçirmeyi suç sayan hükmün alanına girer. Ece, Nilüfer Hanım'ın başvurusunu onun adına yazmadı; birlikte oturup Nilüfer Hanım'ın kendi imzasıyla gönderilecek bir taslak hazırladılar. Kurum tarafında çalışıyorsan, bir başvuruya verilecek verinin doğru kişiye gittiğinden emin olmak senin sorumluluğundur; bu sorumluluk, başvuruyu geciktirmek ya da caydırmak için bir bahane olarak kullanılmaz.

Kapanış

1. İlgili kişi, verisi işlenen gerçek kişidir ve Kanun'un on birinci maddesi ona öğrenme, düzeltme ve silme, itiraz ve tazmin hakları verir; bu hakların nereye götürüleceğini kurumun aydınlatma metni gösterir.
2. Başvuru yazılı ya da Tebliğ'in saydığı elektronik yollarla, kimlik bilgileri ve talep konusuyla yapılır; veri sorumlusu en geç otuz gün içinde yazılı ya da elektronik ortamda cevap verir ve Kurul telefonla verilen cevabın yetmediğini duyurmuştur.
3. Cevap gelmez ya da yetersizse, önce veri sorumlusuna başvurmuş olmak şartıyla, cevabı öğrenmeden itibaren otuz ve başvurudan itibaren en çok altmış gün içinde Kurul'a şikâyet edilir; kurum tarafında ise başvuru, kimlik doğrulaması gerektiren bir güvenlik sürecidir.

Üç soru

1. Nilüfer Hanım'ın üç sorusu Kanun'un on birinci maddesindeki hangi haklara karşılık gelir?
2. Selin neden müşteriden gelen ilk e-postaya göre verileri dışa aktarmayı durdurdu?
3. Defne Hanım'ın bürosu eski müşterinin silme isteğini neden yalnız kısmen karşıladı ve bu neden Kanun'a aykırı değildi?

Yanıtlar

1. "Bu mağaza benim hakkımda ne tutuyor?" sorusu, verinin işlenip işlenmediğini öğrenme ve buna ilişkin bilgi isteme haklarına karşılık gelir. "Bilgilerimi kime verdi?" sorusu, verinin aktarıldığı üçüncü kişileri bilme hakkıdır. "Bunu durdurmanın yolu var mı?" sorusu ise amacı kalmayan verinin silinmesini isteme ve bu silmenin aktarıldığı kişilere bildirilmesini isteme haklarıyla karşılanır.
2. E-posta müşterinin sistemde kayıtlı adresinden gelmemişti ve içinde yalnız bir ad ile sipariş numarası vardı; bunları bilen herkes aynı e-postayı yazabilirdi. Doğrulanmadan verilen veriler, gerçek müşterinin değil bir dolandırıcının eline geçebilirdi. Selin'in şirketi bu yüzden Tebliğ'in saydığı yollardan biriyle yeniden başvurulmasını istedi.
3. Dosyaların bir kısmı mali mevzuatın belirlediği süre boyunca saklanmak zorundaydı. Kanun'un yedinci maddesi, işlenme sebebi kalmayan verinin silinmesini isterken başka kanunlardaki saklama hükümlerini saklı tutar. Büro gereği kalmayan kayıtları sildi ve sakladığı belgeleri hangi gerekçeyle ve ne zamana kadar tuttuğunu yazılı olarak açıkladı.

Sonraki derse köprü

Bu modül verinin kaybolabileceğini, ifşa olabileceğini ve başkalarının elinde durduğunu gördü; şimdi bunları bir evin ölçeğinde birleştirme zamanı. Aile yedek planı dersi, evdeki fotoğrafları, belgeleri ve hesapları kapsayan bir yedek düzeni kuruyor: kimin neyi yedeklediği, kopyaların nerede durduğu ve bir aile üyesinin yokluğunda bile verinin nasıl geri getirileceği.