6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) tarafından belirlenmiş kuralların uygulanmasında meydana gelen tereddütleri gidermek amacıyla Kişisel Verileri Koruma Kurumu tarafından hazırlanan tebliğler 12.03.2018 tarihli Resmi Gazetede yayımlanarak yürürlüğe girdi.
Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ Tarafından Belirlenen Esaslar
Tebliğ, veri sorumlusuna başvuru yapacak kişiyi “kişisel verisi işlenen gerçek kişi” olarak tanımlamaktadır.
Tebliğ, kişisel verisi işlenen gerçek kişinin Başvuru Hakkından yaralanabilmesi için ilgili başvurusunu Türkçe olarak yapmasını şart koşmaktadır.
Tebliğ ilgili kişilerin, Başvuru Hakkı kapsamında kullanmak istediği taleplerini, yazılı olarak veya kayıtlı elektronik posta (KEP) adresi, güvenli elektronik imza, mobil imza ya da ilgili kişi tarafından veri sorumlusuna daha önce bildirilen ve veri sorumlusunun sisteminde kayıtlı bulunan elektronik posta adresini kullanmak suretiyle veya başvuru amacına yönelik geliştirilmiş bir yazılım ya da uygulama vasıtasıyla veri sorumlusuna iletilmesi gerektiğini öngörmektedir.
Tebliğ tarafından başvurunun şu bilgileri ihtiva etmesi zorunluluk olarak düzenlenmektedir:
a) Ad, soyad ve başvuru yazılı ise imza,
b) Türkiye Cumhuriyeti vatandaşları için T.C. kimlik numarası, yabancılar için uyruğu, pasaport numarası veya varsa kimlik numarası,
c) Tebligata esas yerleşim yeri veya iş yeri adresi,
ç) Varsa bildirime esas elektronik posta adresi, telefon ve faks numarası,
d) Talep konusu,
Tebliğ eğer mevcutsa başvurucunun elinde olan belgeleri de başvurusuna eklemesi gerektiğini belirtmektedir.
Başvuruya Cevap
Tebliğ, veri sorumlusunun Tebliğ kapsamında ilgili kişi tarafından yapılacak başvuruları etkin, hukuka ve dürüstlük kuralına uygun olarak sonuçlandırmak üzere gerekli her türlü idari ve teknik tedbirleri almakla yükümlü tutmaktadır.
Bu çerçevede veri sorumlusu ilgili başvuruyu ancak gerekçesini açıklamak suretiyle reddedebileceğini belirtmektedir.
Tebliğ, veri sorumlusunun başvuruda yer alan talepleri, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırması gerektiğini düzenlemekte ve böylelikle başvuruların sürüncemede kalmasını engellemeyi amaçlamaktadır.
Tebliğ, işlemin ayrıca bir maliyet gerektirmesi hâlinde gene tebliğde belirtilen ücretlerin alınabileceğini belirtmektedir. Ancak bu halde ilgili başvurunun, veri sorumlusunun hatası sebebiyle yapıldığının ortaya çıkması hâlinde alınan ücretin ilgiliye iade edilmesi gerektiğini düzenlemektedir.
Tebliğ çerçevesinde veri sorumlusu tarafından olan ücretin ilgili kişinin başvurusuna yazılı olarak cevap verilmesi halinde, on sayfaya kadar ücretsiz ve On sayfanın üzerindeki her sayfa için 1 Türk Lirası işlem ücreti talep edilebileceği belirtilmektedir. Başvuruya cevabın CD, flash bellek gibi bir kayıt ortamında verilmesi halinde ise veri sorumlusu tarafından talep edilebilecek ücretin kayıt ortamının maliyetini geçemeyeceği düzenlenmektedir.
Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ Tarafından Getirilen Esaslar
Tebliğ, aydınlatma yükümlülüğünün kapsamını kanunla paralel olarak düzenlemekte ve veri sorumluları veya yetkilendirdiği kişilerce yapılacak bilgilendirmenin asgari olarak şu konuları içermesi gerektiğini belirtmektedir:
a) Veri sorumlusunun ve varsa temsilcisinin kimliği,
b) Kişisel verilerin hangi amaçla işleneceği,
c) Kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
ç) Kişisel veri toplamanın yöntemi ve hukuki sebebi.
Tebliğ ayrıca, İlgili kişinin Kanunun 11. maddesinde sayılan diğer haklarının da bilgilendirmede yer alması gerektiğini düzenlemektedir. Kanunun 11.maddesinde yer alan haklar ise şunlardır:
a) Kişisel veri işlenip işlenmediğini öğrenme,
b) Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
c) Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
ç) Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
d) Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme
e) Öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme,
f) (d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
g) İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
ğ) Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme.
Yazılı, Ses Kaydı, Çağrı Merkezi Gibi Fiziksel Veya Elektronik Ortam Kullanılmak Suretiyle Aydınlatma Yükümlülüğünün Yerine Getirilmesi Esnasında Uyulması Gereken Usul Ve Esaslar
Tebliğ veri sorumlusu ya da yetkilendirdiği kişi tarafından sözlü, yazılı, ses kaydı, çağrı merkezi gibi fiziksel veya elektronik ortam kullanılmak suretiyle aydınlatma yükümlülüğünün yerine getirilmesi esnasında aşağıda sayılan usul ve esaslara uyulması gerektiğini düzenlemektedir:
a) İlgili kişinin açık rızasına veya Kanundaki diğer işleme şartlarına bağlı olarak kişisel veri işlendiği her durumda aydınlatma yükümlülüğü yerine getirilmelidir.
b) Kişisel veri işleme amacı değiştiğinde, veri işleme faaliyetinden önce bu amaç için aydınlatma yükümlülüğü ayrıca yerine getirilmelidir.
c) Veri sorumlusunun farklı birimlerinde kişisel veriler farklı amaçlarla işleniyorsa, aydınlatma yükümlülüğü her bir birim nezdinde ayrıca yerine getirilmelidir.
ç) Sicile kayıt yükümlülüğünün bulunması durumunda, aydınlatma yükümlülüğü çerçevesinde ilgili kişiye verilecek bilgiler, Sicile açıklanan bilgilerle uyumlu olmalıdır.
d) Aydınlatma yükümlülüğünün yerine getirilmesi, ilgili kişinin talebine bağlı değildir.
e) Aydınlatma yükümlülüğünün yerine getirildiğinin ispatı veri sorumlusuna aittir.
f) Kişisel veri işleme faaliyetinin açık rıza şartına dayalı olarak gerçekleştirilmesi halinde, aydınlatma yükümlülüğü ve açık rızanın alınması işlemlerinin ayrı ayrı yerine getirilmesi gerekmektedir.
g) Aydınlatma yükümlülüğü kapsamında açıklanacak kişisel veri işleme amacının belirli, açık ve meşru olması gerekir. Aydınlatma yükümlülüğü yerine getirilirken, genel nitelikte ve muğlak ifadelere yer verilmemelidir. Gündeme gelmesi muhtemel başka amaçlar için kişisel verilerin işlenebileceği kanaatini uyandıran ifadeler kullanılmamalıdır.
ğ) Aydınlatma yükümlülüğü kapsamında ilgili kişiye yapılacak bildirimin anlaşılır, açık ve sade bir dil kullanılarak gerçekleştirilmesi gerekmektedir.
h) Aydınlatma yükümlülüğünün yerine getirilmesi esnasında hukuki sebebin açıkça belirtilmesi gerekmektedir.
ı) Aydınlatma yükümlülüğü kapsamında, kişisel verilerin aktarılma amacı ve aktarılacak alıcı grupları belirtilmelidir.
i) Aydınlatma yükümlülüğü kapsamında kişisel verilerin, tamamen veya kısmen otomatik yollarla ya da veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yöntemlerden hangisiyle elde edildiği açık bir şekilde belirtilmelidir.
j) Aydınlatma yükümlülüğü yerine getirilirken eksik, ilgili kişileri yanıltıcı ve yanlış bilgilere yer verilmemelidir.
Kişisel Verilerin İlgili Kişiden Elde Edilmemesi Halinde Aydınlatma Yükümlülüğü
Tebliğ kişisel verilerin doğrudan ilgili kişiden değil de, bir başka üçüncü kişi vasıtasıyla elde edilmiş olması halinde aydınlatma yükümlüğünün ne zaman yerine getirilmesi gerektiği hususunu da düzenlemektedir. Buna göre,
a) Kişisel verilerin elde edilmesinden itibaren makul bir süre içerisinde,
b) Kişisel verilerin ilgili kişi ile iletişim amacıyla kullanılacak olması durumunda, ilk iletişim kurulması esnasında,
c) Kişisel verilerin aktarılacak olması halinde, en geç kişisel verilerin ilk kez aktarımının yapılacağı esnasında
ilgili kişiyi aydınlatma yükümlülüğünün yerine getirilmesi gerektiği belirtilmektedir.