KVKK Veri Sorumlusuna Başvuru Dilekçesi Örneği

Bir şirketin kişisel verileri hangi amaçla tuttuğunu öğrenmek, eski bir iş yerinin artık gerekli olmayan kayıtları silmesini istemek, izin verilmeden gönderilen pazarlama mesajlarını durdurmak ya da yanlış kaydedilmiş bir bilgiyi düzelttirmek isteyen kişi, 6698 sayılı Kişisel Verilerin Korunması Kanunu’na dayanarak veri sorumlusuna başvurabilir. Bu başvuru aynı zamanda Kişisel Verileri Koruma Kuruluna şikâyetin ön şartıdır: veri sorumlusuna başvurulmadan Kurula şikâyette bulunulamaz. Başvurunun doğru yöntemle yapılması ve talebin açıkça yazılması, sonraki aşamada şikâyetin usulden reddedilmemesi için önemlidir.

Bu yazıda ilgili kişinin hakları, başvurunun yapılış yöntemleri, veri sorumlusunun cevap süresi, Kurula şikâyet ve bir başvuru dilekçesi örneği yer almaktadır.

Kanun metni

İlgili kişinin hakları

6698 sayılı Kanun m. 11, kişisel verisi işlenen kişiye şu hakları tanır:

• Kişisel verisinin işlenip işlenmediğini öğrenme,
• Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
• Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
• Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
• Kanunun 7. maddesindeki şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme,
• Düzeltme, silme ve yok etme işlemlerinin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin aleyhine bir sonucun ortaya çıkmasına itiraz etme,
• Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme.

Başvuru dilekçesinde bu haklardan hangilerinin kullanıldığı ayrı ayrı belirtilmelidir. Genel bir “verilerimin durumu hakkında bilgi verilmesi” talebi, veri sorumlusunun kısa ve yetersiz bir cevap vermesine yol açabilir.

Silme talebi ne zaman yerinde olur?

Kanunun 7. maddesine göre, kanuna uygun olarak işlenmiş olsa bile, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel veriler resen veya ilgili kişinin talebi üzerine silinir, yok edilir veya anonim hâle getirilir. Örneğin üyeliği sona eren bir müşterinin pazarlama amaçlı tutulan iletişim bilgileri silinmelidir. Buna karşılık vergi mevzuatı, iş mevzuatı veya sağlık mevzuatı gibi kanunlarda öngörülen saklama süreleri dolmadan veri sorumlusu bazı kayıtları silmek zorunda değildir. Bu durumda veri sorumlusunun, hangi kanuni yükümlülük nedeniyle veriyi sakladığını ve saklama süresini açıklaması istenebilir.

Başvurunun yöntemi ve içeriği

Kişisel Verileri Koruma Kurulunun Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliği, başvurunun yazılı olarak veya kayıtlı elektronik posta (KEP) adresi, güvenli elektronik imza, mobil imza ya da ilgili kişinin veri sorumlusuna daha önce bildirdiği ve veri sorumlusunun sisteminde kayıtlı bulunan elektronik posta adresi kullanılarak yapılabileceğini düzenler. Veri sorumlusunun bu amaçla geliştirdiği bir yazılım veya uygulama varsa başvuru bu yolla da yapılabilir.

Başvuruda şu bilgiler bulunmalıdır:

• Ad, soyad ve başvuru yazılı ise imza,
• Türkiye Cumhuriyeti vatandaşları için T.C. kimlik numarası, yabancılar için uyruğu ve pasaport numarası veya kimlik numarası,
• Tebligata esas yerleşim yeri veya iş yeri adresi,
• Varsa bildirime esas elektronik posta adresi, telefon ve faks numarası,
• Talep konusu.

Başvuruya, talebi destekleyen belgeler eklenebilir. Veri sorumlusu başvuranın kimliğini doğrulamak için ek bilgi isteyebilir; bu nedenle kimlik doğrulamasını kolaylaştıracak bilgiler, örneğin müşteri numarası veya sözleşme numarası, dilekçeye yazılmalıdır. Sıradan bir e-posta ile yapılan başvurular, gönderen adresi veri sorumlusunun sisteminde kayıtlı değilse usule uygun sayılmayabilir.

KVKK veri sorumlusuna başvuru dilekçesi örneği

⬇ Word olarak indir (.docx)

Veri sorumlusunun cevabı

Veri sorumlusu başvuruyu kabul eder veya gerekçesini açıklayarak reddeder ve cevabını ilgili kişiye yazılı olarak veya elektronik ortamda bildirir. Başvuru kabul edilirse gereği yerine getirilir. Başvuru veri sorumlusunun hatasından kaynaklanıyorsa, alınmış bir ücret varsa iade edilir. Cevap yazısında, başvurudaki her talebe ayrı ayrı yanıt verilip verilmediği kontrol edilmelidir. Veri sorumlusu yalnızca bazı taleplere yanıt vermişse, cevap yetersiz sayılır ve Kurula şikâyet yolu açılır.

Kurula şikâyet

Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde başvuruya cevap verilmemesi hâllerinde ilgili kişi, veri sorumlusunun cevabını öğrendiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kişisel Verileri Koruma Kuruluna şikâyette bulunabilir. Bu süreler Kurul uygulamasında hak düşürücü süre olarak değerlendirilmekte ve süresinde yapılmayan şikâyetler usulden reddedilebilmektedir. Şikâyet dilekçesine veri sorumlusuna yapılan başvurunun ve varsa cevabın örneği eklenmelidir.

Kurul, şikâyeti inceler ve bir ihlal tespit ederse hukuka aykırılıkların veri sorumlusunca giderilmesine karar verir. Ayrıca Kanunun 18. maddesindeki idari para cezalarını uygulayabilir. Kurul kararlarına karşı idari yargı yoluna başvurulabilir.

Kişilik hakları ihlal edilen kişinin genel hükümlere göre tazminat isteme hakkı saklıdır. Kişisel verilerin hukuka aykırı olarak kaydedilmesi, verilmesi veya ele geçirilmesi aynı zamanda suç da oluşturabilir. Bu suçlar “Kişisel Verilerin Kaydedilmesi (TCK 135)” ve “Kişisel Verileri Ele Geçirme ve Yayma” yazılarımızda anlatılmıştır.

Veri sorumlusu kimdir?

Veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir. Bankalar, telefon operatörleri, hastaneler, işverenler, e-ticaret siteleri ve apartman yönetimleri veri sorumlusu olabilir. Başvuru, verileri gerçekten işleyen ve işleme amacını belirleyen kişiye yapılmalıdır. Bir şirket adına çağrı merkezi hizmeti veren firma veri işleyendir; başvuru bu firmaya değil, hizmeti satın alan şirkete yöneltilmelidir. Veri sorumlularının çoğu, aydınlatma metinlerinde başvuru adresini ve KEP adresini belirtir. Veri Sorumluları Sicil Bilgi Sistemi (VERBİS) üzerinden de kayıtlı veri sorumlularının iletişim bilgilerine ulaşılabilir.

Sık görülen başvuru konuları

• İzin verilmeden gönderilen pazarlama mesajları ve aramalar,
• Eski işveren veya okul tarafından tutulan kayıtların silinmesi,
• Hastanede tutulan sağlık kayıtlarının bir örneğinin istenmesi,
• Banka veya operatörün verileri hangi üçüncü kişilere aktardığının öğrenilmesi,
• Kamera kayıtlarında kişinin görüntülerine erişim talebi,
• Yanlış kaydedilmiş adres, telefon veya kimlik bilgilerinin düzeltilmesi.

Sık yapılan hatalar

• Veri sorumlusuna başvurmadan doğrudan Kurula şikâyette bulunmak.
• Başvuruyu veri sorumlusunda kayıtlı olmayan bir e-posta adresinden göndermek.
• Talepleri genel ifadelerle yazmak ve hangi hakkın kullanıldığını belirtmemek.
• Kimlik doğrulaması için gerekli bilgileri, örneğin müşteri numarasını, yazmamak.
• Otuz ve altmış günlük şikâyet sürelerini kaçırmak.
• Kanuni saklama süresi dolmamış verilerin derhâl silinmesini beklemek.

Sıkça sorulan sorular

Sonraki adım

Kullanılacak haklar belirlenmeli, başvuru veri sorumlusuna yazılı olarak veya KEP gibi kabul edilen bir yöntemle yapılmalı ve başvuru tarihi saklanmalıdır. Otuz gün içinde cevap gelmezse veya cevap yetersizse, otuz ve altmış günlük süreler içinde Kişisel Verileri Koruma Kuruluna şikâyette bulunulmalıdır.

Mevzuat: 6698 sayılı Kişisel Verilerin Korunması Kanunu m. 7, 11, 13, 14, 15, 18; Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ (RG 10.3.2018).

Bu yazı genel bilgilendirme amaçlıdır; somut durum için hukuki destek alınmalıdır.