KVKK Kurul Kararı Kaç Günde Yerine Getirilir?

Kişisel Verileri Koruma Kurulunun ihlalin giderilmesine ilişkin kararı, veri sorumlusuna tebliğinden itibaren gecikmeksizin ve en geç otuz gün içinde yerine getirilmelidir. Otuz gün, her işlemin son güne bırakılabileceği serbest bekleme dönemi değildir. Ayrıca Kurula yalnızca bir cevap yazısı gönderilmesi, kararda emredilen işlemler gerçekten yapılmadıysa yükümlülüğü ortadan kaldırmaz.

Hangi otuz günlük süre söz konusu?

İlgili kişinin şirkete ilk başvurusu ile Kurulun kararının uygulanması farklı aşamalardır. İlk aşamada kişi kendi verileri hakkında talepte bulunur. Uyuşmazlık Kurula taşınıp ihlal giderme kararı verildiğinde ise artık yerine getirilmesi gereken belirli bir karar vardır. Kurula şikâyet yolu için geçerli başvuru hesapları bu ikinci süreyle karıştırılmamalıdır.

Uygulama süresinin başlangıcında kararın internet sitesinde yayımlandığı tarih değil, ilgili veri sorumlusuna tebliğ edildiği tarih önemlidir. Kararın yalnızca özetini gören kişi, şirkete hangi tarihte tebliğ edildiğini bilmiyorsa kesin bir son gün varsaymamalıdır. Tebliğ belgesi, elektronik tebligat kaydı ve karar numarası birlikte değerlendirilir.

Kararın her bölümü ayrı kontrol edilir

Kurul bir dosyada verinin silinmesine, başka bir veri grubunun yalnız yasal saklama amacıyla tutulmasına ve yapılan işlemin kişiye bildirilmesine karar vermiş olabilir. Sadece bilgilendirme bölümünün yerine getirilmesi, diğer yükümlülüklerin de tamamlandığını göstermez. Buna karşılık karar farklı veri grupları için ayrı işlem öngörüyorsa bütün kayıtların aynı gün koşulsuz silinmesi gerektiği sonucu da çıkarılamaz.

Bu nedenle kararın gerekçesiyle sonuç bölümü birlikte okunmalıdır. Hangi veri, hangi sistem, hangi kullanım ve hangi muhatap hakkında işlem istendiği belirlenir. İlgili kişinin talep ettiği her şeyin Kurulca kabul edildiği varsayımıyla ek talepleri kararın zorunlu sonucu gibi sunmak doğru olmaz.

Uygulama nasıl belgelendirilir?

Veri sorumlusu açısından işlem kayıtları, erişim yetkisi değişiklikleri, alıcıya yapılan bildirimler ve kişiye gönderilen açıklama birbiriyle uyumlu olmalıdır. İlgili kişi ise kendisine ulaşan yazıyı, devam eden mesajları veya sistemde görünen kayıtları tarihleriyle saklayabilir. Başka kişilerin verilerini gereksiz yere toplamak yerine uyuşmazlığı gösteren sınırlı kanıt tercih edilmelidir.

“Gerekli işlemler yapılmıştır” biçimindeki genel ifade, hangi talimatın nasıl tamamlandığını her zaman açıklamaz. Kişi, kararın belirli bölümünü göstererek o bölümün uygulanıp uygulanmadığını sorabilir. KVKK başvurusuna cevap şekli konusundaki ayrım da burada önemlidir: telefonda verilen güvenceyle saklanabilir ve içeriği anlaşılır cevap aynı kanıt gücünü sağlamaz.

Geç veya eksik işlem sonuçsuz kalmaz

Kurulun 2018/118 sayılı kararında, tebliğ edilen kararın otuz günlük süre içinde yerine getirilmemesi ve bilgilendirme yazısının talimatları karşılamaması ayrıca değerlendirilmiştir. İncelenen veri sorumlusu kamu kuruluşu olarak ele alındığından karar, kamu görevlileri bakımından ilgili disiplin mekanizmasına dayanmıştır. Bu örnek, her dosyada aynı para cezasının otomatik uygulanacağı şeklinde okunmamalıdır.

Karara uyulmamasının yaptırımı, veri sorumlusunun niteliği ve somut eylem üzerinden belirlenir. Eski karar metnindeki para tutarlarını güncel ceza miktarı gibi kullanmak da yanlıştır. İlgili kişi, yerine getirilmeyen bölümü ve son durumun kanıtını açıkça göstererek Kuruma bildirebilir; karar numarasını yazmak dosyalar arasındaki bağlantıyı kolaylaştırır.

Somut örnek

Varsayımsal olarak Kurul, müşterinin reklam amaçlı kullanımının durdurulmasını ve yapılan işlemin bildirilmesini istemiş olsun. Şirket süresinde bir mektup gönderse de aynı reklam listesinde kullanıma devam ediyorsa cevap vermek tek başına yeterli değildir. Buna karşılık yalnız fatura saklama kaydının durması, reklam kullanımının sürdüğünü kendiliğinden kanıtlamaz. İnceleme, kararın hangi kullanım biçimini yasakladığına göre yapılır.

Başvuruda tarihler sıralanırken ilk talep, Kurul kararı, tebliğ ve devam eden işlem ayrı satırlara yazılabilir. Böylece yeni bir ihlal iddiasıyla eski kararın uygulanmaması birbirine karışmaz; istenen açıklama ve denetim daha somut hale gelir. Önceki yazışmaların tarih ve numaralarının korunması, hangi yükümlülüğün karşılanmadığını sonraki incelemede göstermek açısından önem taşır.

Hukuki kaynaklar

• KVKK — Kurul kararlarının yerine getirilmesi — 6698 sayılı Kanun m. 15/5.
• Kurulun 16 Ekim 2018 tarihli 2018/118 sayılı karar özeti — Kararın süresinde ve içeriğine uygun yerine getirilmemesi.