Kurul Kişisel Veri İşlemeyi Acilen Durdurabilir mi?

Kişisel Verileri Koruma Kurulu, telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılık bulunması halinde kişisel verinin işlenmesini ya da yurt dışına aktarılmasını durdurabilir. 6698 sayılı Kanunun 15. maddesindeki bu yetki için iki koşul birlikte aranır. Kuruma şikâyet verilmesi, veri işlemenin kendiliğinden durduğu anlamına gelmez.

Durdurma kararı neden ayrı bir korumadır?

Bazı uyuşmazlıklarda nihai karar verilinceye kadar işlemin devam etmesi, sonradan giderilmesi zor sonuçlar doğurabilir. Örneğin sınırlı sayıdaki görevlinin gördüğü bir kayıt ile herkesin erişimine açılmak üzere hazırlanan hassas dosya aynı risk düzeyinde değildir. Acil koruma değerlendirmesinde işlemin konusu kadar yayılma ihtimali, erişen kişiler ve geri alınabilirlik de önem taşır.

Durdurma, her olayda verinin kalıcı olarak silinmesiyle aynı anlama gelmez. Bir kullanımın geçici olarak kesilmesi, erişimin sınırlandırılması veya aktarımın durdurulması ile kayıtların tümden imhası farklı sonuçlardır. Talep yazılırken kişinin hangisini, hangi nedenle istediği açık olmalıdır. Kanunun kullandığı durdurma yetkisi, otomatik ve sınırsız bir silme hakkı şeklinde genişletilmemelidir.

İki koşul nasıl somutlaştırılır?

Açık hukuka aykırılık iddiası yalnız “rıza vermedim” cümlesine bırakılmamalıdır. Kişisel veri işleme, kanunda belirtilen başka şartlara da dayanabilir. Bu nedenle verinin türü, işleme amacı, ileri sürülen hukuki sebep ve işlemin kapsamı açıklanmalıdır. Örneğin belirli bir hizmet için tutulan kaydın ilgisiz bir kitleye açılması iddiasında, hizmetle yayının bağlantısı sorgulanabilir.

Zarar koşulu bakımından ise gerçekleşmiş para kaybı bulunması her zaman tek açıklama biçimi değildir. Verinin bir kez yayıldıktan sonra geri toplanamaması veya kişinin güvenliğini etkileyebilecek şekilde açıklanması gibi somut riskler anlatılabilir. Buna rağmen genel endişe ile olayın özelliklerinden çıkan telafisi güç tehlike aynı şey değildir. Kurul koşulların oluşup oluşmadığını dosya üzerinden değerlendirir.

Acil talepte hangi bilgiler bulunmalı?

Talepte işlem yapan kuruluş, söz konusu veri grubu, mevcut veya planlanan işlem ve aciliyetin sebebi belirtilmelidir. Yayının yapılacağı tarih biliniyorsa dayanağıyla gösterilmesi, belirsiz “yakında paylaşılacak” ifadesinden daha açıklayıcıdır. Ekran görüntüsü, bildirilen kampanya takvimi, erişim bağlantısı ve şirketin verdiği cevap olayın anlaşılmasına yardımcı olabilir.

Kanıt sunmak için hassas dosyayı herkese açık platformlarda yeniden yayımlamak gerekmez. Dosyanın tamamı yerine iddiayı göstermeye yeterli bölüm kullanılabilir; gereksiz üçüncü kişi bilgileri kapatılabilir. Hangi ekin hangi olguyu kanıtladığını açıklamak, çok sayıda ilgisiz belge eklemekten daha işlevseldir. Talep mümkün olduğunca işlemin somut kısmına yöneltilmelidir.

Olağan başvuru ile ihlal bildirimi karıştırılmamalı

İlgili kişinin KVKK şikâyet süreci kendi başvuru şartlarına tabidir. Acil durdurma istemek, bu şartların tamamının yok sayıldığı varsayımını haklı kılmaz. Kurulun resen inceleme yetkisi de bulunur; fakat kişinin gönderdiği her yazının mutlaka derhal tedbir kararıyla sonuçlanacağı söylenemez.

Veri sorumlusunun Kurula yaptığı kişisel veri ihlali bildirimi ise başka bir yükümlülüktür. Bir şirketin ihlali bildirmesi, devam eden riskin ortadan kalktığını veya durdurma kararına artık gerek bulunmadığını tek başına göstermez. Bildirim, güvenlik önlemi ve ilgili kişinin talebi ayrı işlevler taşır.

Varsayımsal örnek

Bir eğitim kuruluşunun öğrencilerin sağlık belgelerini ertesi gün herkese açık bir listede yayımlayacağını duyurduğunu düşünelim. Kişi yalnız rahatsızlığını bildirmek yerine duyuruyu, belgenin niteliğini, erişim kapsamını ve yayılmanın geri alınamayacağı riskini ortaya koyabilir. Yayımlama için hangi hukuki dayanağın ileri sürüldüğü de önemlidir. Sonuç, başvurunun başlığına değil koşulların dosyada desteklenmesine bağlıdır.

Kurulun vereceği kararın kapsamı ayrıca izlenmelidir. Belirli aktarımın durdurulması, aynı kuruluşun bütün işlemlerinin yasaklandığı anlamına gelmeyebilir. Kararın hangi veri grubunu ve hangi faaliyeti kapsadığına bakılmadan geniş sonuçlar çıkarılması, hem kişinin beklentisini hem kuruluşun uygulamasını yanlış yönlendirebilir. Kişi kararın yalnız başlığını paylaşmak yerine hüküm kısmını saklamalı, sonradan devam ettiğini söylediği işlemi de aynı kapsamla ilişkilendirmelidir. Karar dışındaki yeni faaliyet ayrıca açıklanmalıdır.

Hukuki kaynaklar

• KVKK — Şikâyet hakkı ve inceleme yetkileri — 6698 sayılı Kanun m. 15/7; inceleme sonuçlanmadan durdurma koşulları.