Kişisel Verileri Koruma Kurumu (KVKK), 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında veri sorumlularına önemli bir uyarıda bulundu. Kurum, ilgili kişilerin kişisel verilerine ilişkin başvurularına telefon, yüz yüze görüşme veya benzeri sözlü iletişim yöntemleriyle verilen cevapların, kanunen geçerli bir cevap olarak kabul edilmeyeceğini duyurdu. Bu açıklama, veri sorumlularının yasal yükümlülüklerini yerine getirirken dikkat etmeleri gereken usul kurallarını netleştirmesi açısından kritik bir adım olarak değerlendiriliyor. KVKK, başvuruların yazılı olarak veya Kurul'un belirlediği diğer yöntemlerle yanıtlanması gerektiğini hatırlattı.
Yazılı Cevap Zorunluluğu ve 30 Günlük Süre
Kanun'un 13. maddesi uyarınca, veri sorumlusu, ilgili kişinin başvurusuna en kısa sürede ve en geç 30 gün içinde cevap vermekle yükümlü. Ancak KVKK, bu cevabın mutlaka yazılı veya elektronik ortamda yapılması gerektiğini vurguluyor. Sözlü iletişim yöntemleriyle verilen bilgiler, kanuni bir cevap yerine geçmiyor ve bu durum veri sorumlularını idari para cezalarıyla karşı karşıya bırakabiliyor. Kurum, özellikle çağrı merkezleri, müşteri hizmetleri ve insan kaynakları birimlerinin bu konuda gerekli tedbirleri alması gerektiğinin altını çiziyor.
KVKK'nın bu uyarısı, kişisel veri işleyen tüm gerçek ve tüzel kişileri kapsıyor. Veri sorumlusu sıfatıyla hareket eden şirketler, kamu kurumları, dernekler ve vakıflar, ilgili kişilerden gelen talepleri yazılı olarak yanıtlamak zorunda. Aksi halde, Kanun'un 18. maddesi kapsamında idari para cezası uygulanabilir. 2021 yılı için belirlenen ceza miktarı, veri sorumlusunun niteliğine göre 20.000 TL ile 1.000.000 TL arasında değişebiliyor. Bu cezalar her yıl yeniden değerleme oranında artırılıyor.
Başvuru Yöntemleri ve Veri Sorumlusunun Yükümlülükleri
İlgili kişiler, kişisel verilerine ilişkin taleplerini KVKK'nın belirlediği usullerle veri sorumlusuna iletebilir. Başvurular; yazılı olarak, kayıtlı elektronik posta (KEP) adresi, güvenli elektronik imza, mobil imza veya veri sorumlusunun belirlediği diğer yöntemlerle yapılabiliyor. Veri sorumlusu, başvuruyu aldıktan sonra talebin niteliğine göre en geç 30 gün içinde cevap vermek zorunda. Cevabın yazılı olması, hem ilgili kişinin hak arama süreçlerinde delil teşkil etmesi hem de veri sorumlusunun yasal yükümlülüğünü yerine getirdiğini ispatlaması açısından büyük önem taşıyor.
KVKK, sözlü cevap konusunda yaptığı uyarıda, telefonla veya yüz yüze yapılan görüşmelerin kayıt altına alınmasının da tek başına yeterli olmadığını belirtiyor. Yazılı cevap, ilgili kişinin talebine ilişkin net bir açıklama içermeli ve Kanun'da öngörülen unsurları barındırmalı. Örneğin, veri sorumlusu, başvuruyu reddettiyse gerekçesini yazılı olarak bildirmek zorunda. Ayrıca, cevapta başvuru sahibinin hangi haklara sahip olduğu ve izleyebileceği hukuki yollar konusunda bilgilendirme yapılması gerekiyor.
Uygulamada Karşılaşılan Sorunlar ve Öneriler
Kişisel veri koruma uzmanları, işletmelerin çoğunlukla başvurulara hızlı yanıt vermek için sözlü iletişimi tercih ettiğini, ancak bunun yasal riskler taşıdığını belirtiyor. Özellikle küçük ve orta ölçekli işletmeler, KVKK başvuru süreçlerini yönetecek yeterli personele veya bilgi birikimine sahip olmadığı için bu tür hatalara düşebiliyor. Uzmanlar, veri sorumlularının bir başvuru formu oluşturmasını, bu formu web sitelerinde yayımlamasını ve gelen talepleri sistematik bir şekilde kayıt altına almasını öneriyor. Ayrıca, başvuruya verilen cevabın mutlaka yazılı olarak ve ilgili kişinin erişebileceği bir kanalla iletilmesi gerekiyor.
KVKK'nın denetimlerinde, sözlü cevap verilen durumların tespit edilmesi halinde idari para cezası uygulanabiliyor. Kurum, son dönemde yaptığı denetimlerde bu tür ihlallere sıkça rastlandığını ve veri sorumlularının konuya gereken önemi göstermediğini gözlemliyor. Bu nedenle, KVKK'nın uyarısı, sektörde bir farkındalık oluşturmayı amaçlıyor. Veri sorumlularının, kişisel veri işleme süreçlerini gözden geçirmesi, çalışanlarını eğitmesi ve başvuru yönetim sistemlerini yazılı cevap verecek şekilde güncellemesi gerekiyor.
Kanuni Çerçeve ve Gelecek Dönemde Beklentiler
6698 sayılı Kanun, kişisel verilerin korunmasına ilişkin kapsamlı bir çerçeve sunuyor. Kanun'un 11. maddesi, ilgili kişilere verilerinin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme gibi haklar tanıyor. Bu hakların kullanılması için yapılan başvuruların usulüne uygun yanıtlanması, hukuk devleti ilkesinin bir gereği. KVKK'nın son uyarısı, bu hakların kullanımını güvence altına almayı ve veri sorumlularını yasal sorumlulukları konusunda bilinçlendirmeyi hedefliyor.
Önümüzdeki dönemde, KVKK'nın denetimlerini artırması ve özellikle sözlü cevap konusunda daha fazla idari para cezası kesmesi bekleniyor. Ayrıca, Avrupa Birliği'nin Genel Veri Koruma Tüzüğü (GDPR) ile uyum sürecinde, Türkiye'deki uygulamaların da yazılı cevap zorunluluğu gibi konularda uluslararası standartlara yaklaşması gerekiyor. Veri sorumlularının, bu uyarıyı ciddiye alarak süreçlerini gözden geçirmesi, hem cezai yaptırımlardan kaçınmak hem de kişisel verilerin korunması kültürünü yerleştirmek açısından hayati önem taşıyor.
