KVKK Başvurusunda Kimlik Fotokopisi Vermek Zorunlu mu?

KVKK kapsamında veri sorumlusuna başvururken her durumda arkalı önlü kimlik fotokopisi vermeyi zorunlu kılan genel bir kural yoktur. Başvurunun belirli kimlik ve iletişim bilgilerini taşıması gerekir; şirket de veriyi yanlış kişiye açıklamamak için uygun kimlik doğrulaması yapmalıdır. Ancak doğrulama, gerekli olandan fazla kişisel veri toplama gerekçesine dönüşmemelidir.

Tebliğ hangi bilgileri ister?

Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ, başvuruda ad ve soyad, yazılı başvuruda imza, Türk vatandaşları için T.C. kimlik numarası, yabancılar için belirtilen kimlik bilgileri, tebligata esas adres ve talep konusunu düzenler. Varsa bildirime esas elektronik posta, telefon ve faks bilgileri de yer alır. Konuya ilişkin bilgi ve belgeler eklenir.

Bu sayımda her başvuru için kimlik kartının tam görüntüsünün mutlaka eklenmesi şeklinde genel bir şart bulunmaz. Bununla birlikte gereken başvuru bilgilerini hiç vermemek veya talebi kimin yaptığı anlaşılmadan bütün verilerin açıklanmasını istemek de doğru değildir. Biçimsel bilgi ile başvurana ilişkin gerçek güvenlik riski birlikte ele alınır.

Hangi başvuru kanalları kullanılabilir?

Tebliğ; yazılı başvurunun yanında kayıtlı elektronik posta, güvenli elektronik imza, mobil imza, daha önce veri sorumlusuna bildirilmiş ve sistemde kayıtlı elektronik posta adresi veya başvuru için geliştirilmiş yazılım ve uygulama gibi yöntemleri düzenler. Her şirketin yalnız noter aracılığıyla başvuru kabul edebileceği şeklinde genel bir kural yoktur.

Başvurunun şirketin açıkladığı uygun kanala yöneltilmesi ve ulaştığının belgelenmesi önemlidir. Herhangi bir sosyal medya hesabına yorum yazılmasıyla usulüne uygun hak başvurusu aynı değildir. Temsilci aracılığıyla yapılan başvuruda kişinin kimliği yanında temsil yetkisi de doğrulanabilir; bu ayrı bir inceleme konusudur.

Ek belge ne zaman anlamlı olabilir?

Talebin gerçekten ilgili kişiden gelip gelmediği konusunda somut tereddüt varsa ek doğrulama gerekebilir. Örneğin daha önce kayıtlı olmayan bir adresten hassas müşteri dosyasının tamamının istenmesiyle güvenli hesaptan iletişim adresi düzeltmesi yapılması aynı riskte değildir. Seçilecek yöntem, risk ve talebin kapsamıyla orantılı olmalıdır.

Mevcut kayıtlarla veya daha az veri içeren bir yöntemle doğrulama sağlanabiliyorsa bütün kimlik belgesinin kopyasını almak ayrıca gerekçelendirilmelidir. Kurulun 2019/294 sayılı kararındaki kimlik görüntüsü ve hatalı bilgilendirme olayı, güvenlik gerekçesiyle alınan belgenin nerede tutulduğunun da doğru açıklanması gerektiğini gösterir. Bu kararın konusu doğrudan bütün KVKK başvurularına genel fotokopi zorunluluğu değildir.

Fotokopi istenince ne sorulabilir?

Belgenin hangi tereddüdü gidermek için istendiği, başka doğrulama yönteminin bulunup bulunmadığı ve kopyanın ne kadar saklanacağı sorulabilir. Gerekli olmayan alanların gizlenmesi veya belgenin yalnız görülmesi gibi seçenekler somut olaya göre değerlendirilebilir. Şirketin doğrulama ihtiyacını tamamen yok saymadan daha sınırlı yöntem önerilmesi, uyuşmazlığı somutlaştırır.

Örneğin şirket daha önce güvenli hesabınız üzerinden kabul ettiği işlemlerden daha düşük riskli bir başvuru için tam kimlik görüntüsü istiyorsa bu farkın sebebi açıklanabilir. Buna karşılık hesabın ele geçirildiğine ilişkin somut belirti varsa ek kontrol haklı olabilir. Sonuç her başvuru kanalında aynı varsayımla kurulmaz.

Ek belge istemek süreyi otomatik uzatır mı?

KVKK, başvuruların en kısa sürede ve en geç otuz gün içinde sonuçlandırılmasını öngörür. Şirketin herhangi bir ek belge talep ederek bu süreyi sınırsız biçimde erteleyebildiği şeklinde genel bir kural yoktur. Başvurunun eksikliği, doğrulamanın gerekliliği ve verilen yanıt somut olayda değerlendirilir. İlk başvuru tarihi ve bütün cevaplar saklanmalıdır.

Yetersiz yanıt veya gereksiz koşullarla karşılaşıldığında KVKK Kuruluna şikâyet yolu değerlendirilebilir. Yeni belge yazışmalarının önceki süreleri mutlaka baştan başlatacağı varsayılmamalıdır. Talebin özü ile kimlik doğrulama tartışması aynı dosyada açıkça gösterilmelidir.

Gönderilmiş kopyanın güvenliği

Kimlik kopyası daha önce gönderildiyse kimlerin eriştiği, başka sağlayıcıya aktarılıp aktarılmadığı ve işleme şartları sona erdiğinde nasıl imha edileceği sorulabilir. Yetkisiz paylaşım veya kayıp iddiası varsa kişisel veri ihlali bildirimi konusu ayrıca gündeme gelir. Hak kullanmak için verilen belgenin kendisi de korunması gereken kişisel veridir; başvurunun tamamlanması bu yükümlülüğü ortadan kaldırmaz.

Hukuki kaynaklar

• 6698 sayılı Kişisel Verilerin Korunması Kanunu — m.4,11-14.
• Veri sorumlusuna başvuru usul ve esasları — başvuru yöntemleri ve Tebliğ m.5-6.
• KVKK mevzuat derlemesi — Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ m.5-6.
• KVKK kimlik görüntüsü ve hatalı cevap kararı — 2019/294, veri talebine doğru cevap ve kimlik görüntüsü.