Kişisel Veri Silme Talebi Nasıl Yapılır?

Kişisel verilerinin silinmesini isteyen kişi, önce hangi veri sorumlusunun hangi kayıtları tuttuğunu ve bu kayıtların işlenmesi için halen geçerli bir sebep bulunup bulunmadığını belirlemelidir. Sözleşmenin sona ermesi tek başına bütün verilerin derhal silinmesini gerektirmez; kanuni saklama yükümlülüğü bulunan kayıtlarla işleme sebebi kalmayan kayıtlar ayrıştırılmalıdır. Talebin hangi veri kategorilerini kapsadığı ve veri sorumlusuna ne zaman ulaştığı belgelenmelidir.

Silme hakkı her veriyi derhal kaldırma hakkı değildir

6698 sayılı Kanun kapsamında kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi, işlemenin hukuki sebeplerinin tümünün ortadan kalkmasıyla gündeme gelir. Veri sahibi artık bir hizmeti kullanmadığı için talepte bulunabilir; ancak yasal saklama yükümlülüğü, devam eden uyuşmazlık veya başka geçerli işleme şartı bulunması halinde bütün kayıtların derhal kaldırılması gerekmeyebilir. Bir şirketteki müşteri profilinin kapatılmasıyla vergi belgesinin silinmesi aynı şey değildir. Başvuru önce hangi verilerin hangi amaçla tutulduğunu ayırmalıdır. Böylelikle talep hem veri sorumlusu tarafından değerlendirilebilir hale gelir hem de hukuken saklanması zorunlu kayıtlara ilişkin yanlış beklenti oluşmaz. Temel ayrım, verinin işlenmesini gerektiren sebebin halen bulunup bulunmadığıdır.

Silme, yok etme ve anonimleştirme ayrımı

Silme, ilgili kullanıcılar için kişisel verinin hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesini amaçlar. Yok etme, verinin hiç kimse tarafından erişilemez, geri getirilemez ve tekrar kullanılamaz hale gelmesine yönelik işlemdir. Anonim hale getirme ise verinin başka verilerle eşleştirilse bile belirli veya belirlenebilir kişiyle ilişkilendirilememesi sonucunu sağlamalıdır. Sadece ekranda adın gizlenmesi veya kullanıcı hesabının pasife alınması her durumda hukuken yeterli anonimleştirme değildir. İşlemenin türü, yedeklerin niteliği ve veri işleyenlere aktarılan kopyalar önemlidir. Veri sorumlusu hangi yöntemi kullandığını mevzuattaki usule uygun şekilde açıklamalıdır. İşleme dayanakları sona erdiğinde hangi yöntemin uygun olduğu somut veri seti üzerinden belirlenir.

İlk başvuru nereye ve nasıl yapılmalı?

İlgili kişi önce kişisel verilerini işleyen veri sorumlusunu belirlemelidir. İnternet sitesinin destek birimi ile hukuken veri sorumlusu olan tüzel kişi her zaman aynı adla görünmeyebilir. Başvuruda kimlik bilgileri, iletişim adresi, silinmesi talep edilen veri kategorileri ve işlemenin artık neden gerekli olmadığı açıklanmalıdır. Kişisel Veri Koruma Kurumunun başvuru usulüne ilişkin düzenlemesinde öngörülen yazılı veya elektronik kanallar kullanılabilir; elektronik posta bakımından kayıtlı adres koşulları ve doğrulama yöntemleri önemlidir. Başka birinin verisini sildirmek için yapılan başvuruda temsil yetkisi ayrıca gösterilmelidir. Hassas belgelerin güvensiz kanallarla gönderilmesi ikinci bir veri ihlali riskini doğurabileceğinden, veri sorumlusunun güvenli başvuru yöntemi tercih edilmelidir.

Otuz günlük cevap ve imha süreleri farklıdır

KVKK madde 13 çerçevesinde veri sorumlusu başvuruyu en kısa sürede ve en geç otuz gün içinde sonuçlandırmalıdır. Bu cevap süresini teknik imhanın bütün kayıtlar bakımından mutlaka aynı anda tamamlanacağı şeklinde yorumlamak doğru değildir. Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik, hukuki işleme şartlarının bulunup bulunmadığına ve belirli periyodik imha kurallarına göre ayrı hükümler öngörür. İlgili kişinin talebi üzerine bütün işleme şartları ortadan kalkmışsa talebin en geç otuz günde sonuçlandırılıp bilgi verilmesi gerekir; üçüncü kişilere aktarılan veri bakımından bildirim ve gerekli işlemlerin sağlanması ayrıca önemlidir. Başvuru tarihinde hangi verinin hangi sebeple saklandığı belge üzerinde gösterilmelidir.

Veri silme talebinin reddi ne zaman mümkün?

Yasal saklama süresi henüz sona ermemiş fatura, işlem güvenliği için tutulması gereken kayıt veya doğmuş bir hakkın tesisi, kullanılması ya da korunması için gerekli veri açısından reddin hukuki dayanağı incelenebilir. Fakat veri sorumlusu “sistemimiz böyle” diyerek hukuki sebep göstermeden belirsiz süreli saklamayı haklı kılamaz. Ret cevabı hangi verinin hangi mevzuat veya işleme şartı nedeniyle saklandığını açıklamalıdır. Pazarlama onayının geri alınması, esas hizmetin sunulması için zorunlu kayıtların silinmesiyle aynı mesele değildir. Kullanıcı reklam iletişiminin durdurulmasını isterken devam eden sözleşmesinin zorunlu verilerinin saklanmasına hukuken izin verilebilir. Ayrıntılı gerekçe, uyuşmazlığın daraltılmasına yardımcı olur.

KVKK Kuruluna şikayet yolu

Veri sorumlusuna yapılan başvuru reddedilirse, cevap yetersiz görülürse veya süresinde cevap verilmezse Kurula şikayet gündeme gelebilir. KVKK madde 14 uyarınca ilgili kişi cevabı öğrendiği tarihten itibaren otuz ve her halde başvuru tarihinden itibaren altmış gün içinde şikayet yolunu değerlendirmelidir. Bu süreler birbirinin yerine geçmez; cevap tarihi, başvuru tarihi ve tebliğ kaydı ayrı tutulmalıdır. Kurula doğrudan ilk müracaat yolunun olağan usul olmadığı unutulmamalıdır. Kurulun idari denetimi ile özel hukukta tazminat talebi de farklı süreçlerdir. Başvuru dosyasına veri sorumlusunun cevabı, gönderim kanıtı, talep edilen veri kategorisi ve iddia edilen ihlal eklenmelidir.

Üçüncü kişilere aktarılmış verilerin durumu

Verinin yalnız ilk veri sorumlusunun sisteminde bulunmaması mümkündür. Aynı veri müşteri ilişkileri yazılımında, kampanya hizmet sağlayıcısında ya da yetkili başka işleyende tutulmuş olabilir. Yönetmelik kapsamında veri sorumlusu talep edilen silme veya yok etme koşulları doğduğunda, aktarım yapılan üçüncü kişiler bakımından gerekli işlemlerin yapılmasını sağlamakla yükümlüdür. Bununla birlikte bağımsız başka bir veri sorumlusunun kendi yasal saklama sebebi varsa o kayıt için ayrıca değerlendirme gerekebilir. İlgili kişi başvurusunda aktarım yapılan alıcı gruplarının açıklanmasını ve gerekli bildirimlerin yerine getirilmesini isteyebilir. Her internet arama sonucunun otomatik olarak kaybolacağı varsayılmamalıdır; arama motoru sonuçları ve içerik kaynakları farklı hukuki talepler doğurabilir.

Örnek: alışveriş sitesindeki hesabı kapatan müşteri

Bir kişi alışveriş hesabını kapatmış, reklam iletilerinin kesilmesini ve profil bilgilerinin silinmesini istemiş olsun. Şirket profilin reklam amaçlı kullanımını sona erdirirken geçmiş satışlara ilişkin saklanması zorunlu verileri ayrı tutabilir. Talebin tamamını reddetmek yerine pazarlama, üyelik ve mali yükümlülükler bakımından veri kategorilerine göre gerekçeli cevap vermelidir. Müşteri de talep tarihini, gönderildiği adresi ve gelen yanıtı saklamalıdır. Şirket yalnız “hesap silindi” demesine rağmen aynı müşteriye önceki davranışlarına dayalı reklam göndermeye devam ediyorsa işleme amaçları ayrıca sorgulanabilir. Bu örnek, hesabı kapatma işleminin veri işleme hukukundaki bütün hakları karşılamayabileceğini gösterir.

Pratik başvuru kontrolü

Talep hazırlanmadan önce veri sorumlusunun unvanı, veri kategorileri, işleme amacı, varsa rızanın geri alınması ve hukuki saklama sebebinin sonlanması birlikte incelenmelidir. Başvuru sonucunun hangi adrese gönderilmesi gerektiği ve kimlik doğrulama yöntemi açıkça belirtilmelidir. Otuz günlük cevap süresi ve gerekirse Kurula şikayet süreleri takvimde ayrı izlenmelidir. Kullanıcı hesabının silinmesi, verilere erişimin kaldırılması ve üçüncü kişilere aktarılan kayıtların imhası talepleri birbirine karıştırılmamalıdır. Veri sorumlusu bakımından da ret veya kısmi kabul gerekçesinin veri bazında açıklanması, sırf genel politika linki gönderilmesinden daha doğru yaklaşımdır. Sonuçta istenen işlem kanuni şartlarla ve gerçek veri saklama pratiğiyle eşleştirilmelidir.

İlgili başvuru örneği

Hukuki kaynaklar

Birincil kaynaklar: KVKK imha yönetmeliği; KVKK resmi rehberi. İşlemin tarihindeki yürürlük hükümleri ve somut sözleşme ayrıca kontrol edilmelidir.