19. Başvuru, şikâyet ve Kurul incelemesi

Bir veri koruma talebinin sonucu, yalnız ileri sürülen hakkın kapsamına değil, doğru muhataba ve uygun usulle yöneltilmesine de bağlıdır. Veri sorumlusuna başvuru, Kurula şikâyet ve resen inceleme farklı aşama ve işlevler taşır. Kurum ile karar organı Kurulun yapısı bu yolların kurumsal temelini; süreler, bilgi-belge araçları ve karar türleri ise işleyişini açıklar. Tazminat, ceza ve yargısal denetim taleplerinin bu düzen içindeki yerini ayırmak, aynı olayda hangi korumanın hangi yoldan istenebileceğini belirlemeyi sağlar.

19.1. Kurumun ve Kurulun yapısı, bağımsızlığı ve görevleri

Kişisel Verileri Koruma Kurumu ile Kişisel Verileri Koruma Kurulu aynı şeyi ifade etmez. Kurum, kamu tüzel kişiliğine sahip idari yapıdır; Kurul ise onun karar organıdır. Kanun’un 19. maddesi, Kurumun Kurul ve Başkanlıktan oluştuğunu belirtir. Başkanın yönetim ve temsil görevleriyle Başkanlığın hizmet ve sekretarya işleri, Kurulun karar alma görevinin kurumsal olarak yürütülmesini sağlar. Bu ayrım, bir başvurunun kuruma iletilmesi ile şikâyet veya inceleme sonunda yetkili organın karar vermesi arasındaki ilişkiyi anlamak bakımından önemlidir.¹

Kanun, Kuruma idari ve mali özerklik tanırken Kurulun görev ve yetkilerini kendi sorumluluğu altında, bağımsız olarak yerine getirmesini öngörür. 21. maddenin birinci fıkrasına göre görev alanına giren konularda Kurula emir ve talimat verilemez; tavsiye veya telkinde bulunulamaz. Bu güvence, örneğin belirli bir veri sorumlusuna ilişkin incelemenin sonucunun dışarıdan yönlendirilmesini önlemeye yöneliktir. Kanundaki bağımsızlık hükmü ile uygulamada bağımsızlığın hangi ölçüde gerçekleştiğine ilişkin değerlendirme ise farklıdır; ikinci mesele, yalnız kanunun adlandırmasından hareketle cevaplanamaz.²

Kurumun bir bakanla ilişkilendirilmiş olması da karar görevindeki bu güvenceyle birlikte okunmalıdır. 19. maddenin ikinci fıkrası, Kurumun Cumhurbaşkanının görevlendireceği bakanla ilişkisini düzenler. Bu hükmü, 21. maddenin açık yasağına rağmen bakana somut incelemenin sonucunu belirleme yetkisi veren bir düzenleme olarak okumak mümkün değildir. Buna karşılık özerklik, Kurumu hukuk düzeninin ve hesap verme yükümlülüklerinin dışına çıkaran bir nitelik de değildir. Kağıtcıoğlu’nun idare hukuku incelemesi, özerklik ile idarenin bütünlüğü arasındaki ilişkinin ve şeffaflık ihtiyacının birlikte değerlendirilmesini bu açıdan öne çıkarır.³

Kurul dokuz üyeden oluşur; beş üye Türkiye Büyük Millet Meclisi, dört üye Cumhurbaşkanı tarafından seçilir. 2018 değişikliğiyle, iki Cumhurbaşkanı ve iki Bakanlar Kurulu üyesinden oluşan eski dağılımın yerini dört Cumhurbaşkanı üyesi almıştır. Değişiklik, 703 sayılı Kanun Hükmünde Kararname’nin 163. maddesiyle yapılmıştır. Kurul, üyeleri arasından Başkan ve İkinci Başkanı seçer; Kurulun Başkanı aynı zamanda Kurumun da başkanıdır. Kanunda üyelik için bilgi ve deneyim, siyasi parti üyesi olmama ve öğrenim gibi koşulların bulunması, görevin kişisel tercihlerden ayrı bir hukuki statü içinde düzenlendiğini gösterir.⁴

Üyelerin görev süresi dört yıldır ve yeniden seçilmeleri mümkündür. Süre dolmadan keyfî biçimde görevden alınamama güvencesi, kanunda belirtilen hâllerde üyeliğin Kurul kararıyla sona erebilmesiyle birlikte düzenlenmiştir. Başka görev ve faaliyetlere ilişkin sınırlamalar, menfaat çatışmasını önleyen toplantıya katılma yasakları ve sır saklama yükümlülüğü de karar görevini koruyan unsurlardır. Kağıtcıoğlu, 2016 tarihli incelemesinde seçim usulü ve görev süresini özerkliğin yeterliliği bakımından eleştirmiştir. Bu eleştiri, kanuni güvencelerin varlığıyla onların tasarımının yeterli bulunmasının ayrı değerlendirmeler olduğunu gösterir; o tarihteki bütün teşkilat hükümlerinin bugün de aynı olduğu anlamına gelmez.⁵

Kurumun görevi yalnız şikâyet dosyalarını sonuçlandırmak değildir. 20. maddede uygulama ve mevzuat gelişmelerini izleme, araştırma, iş birliği ve uluslararası gelişmeleri değerlendirme görevleri de düzenlenir. Kurulun 22. maddedeki yetkileri ise bireysel şikâyeti karara bağlamanın yanında resen inceleme, geçici önlem, yeterli önlemleri belirleme, Sicilin tutulmasını sağlama, düzenleyici işlem ve idari yaptırım gibi farklı işlevleri kapsar. Bu nedenle Kurul hem belirli bir işleme faaliyetini inceleyen hem de kanunun verdiği sınırlar içinde genel uygulamayı yönlendiren kararlar alabilen bir organdır.⁶

Karar alma usulü de yetkinin kullanılmasının parçasıdır. Kurul, başkan dâhil en az altı üyeyle toplanır ve üye tam sayısının salt çoğunluğuyla karar alır; üyeler çekimser oy kullanamaz. Kendisini veya kanunda belirtilen yakınlarını ilgilendiren konularda toplantı ve oylamaya katılamama, tarafsızlığın somut bir güvencesidir. Görüşülen işler tutanağa bağlanır; karar ve varsa karşı oy gerekçeleri kanuni süre içinde yazılır. Toplantı görüşmelerinin kural olarak gizli olmasıyla gerekli görülen kararların kamuya duyurulması ayrı düzenlenmiştir. Gizlilik, kararın gerekçelendirilmesi ödevinin yerine geçmez.⁷

Bir Kurum belgesinin hukuki niteliği değerlendirilirken de bu görevler arasındaki fark gözetilmelidir. Kanunun verdiği yetkiye dayanılarak çıkarılan düzenleyici işlem, belirli dosyada verilen karar, ilke kararı ve uygulamayı açıklayan rehber aynı işlevi görmez. Kurulun görev alanında açıklama yapılması, açıklamadaki her tavsiyeyi kendiliğinden yeni bir kanuni yükümlülüğe dönüştürmez. Tersine, bireysel dosyaya ilişkin bir sonuç da olayın koşulları incelenmeden bütün veri sorumluları için değişmez kural gibi kullanılmamalıdır. Başvuru, şikâyet ve inceleme yollarını izlerken, hem yetkili organ hem de karşılaşılan işlemin niteliği bu nedenle belirlenmelidir.⁸

19.2. Veri sorumlusuna başvuru: yöntem, içerik, ücret ve cevap

Veri sorumlusuna başvuru, ilgili kişinin talebini veriyi işleyen muhatabına yönelterek karşılığını öğrenmesini ve gerektiğinde hukuka aykırılığın giderilmesini istemesini sağlar. Kurula şikâyetin öncesindeki bu aşama, yalnız dosyaya eklenecek bir belge üretmekten ibaret değildir. Talebin doğru anlaşılması, verinin hangi birimlerde ve kimler aracılığıyla işlendiğinin araştırılması ve somut bir cevap verilmesi gerekir. Başvurunun Kurula şikâyet bakımından taşıdığı önkoşul niteliği 19.3’te; talebin dayandığı maddi haklar ise 18. bölümde açıklanmaktadır.⁹

Başvuru Türkçe yapılır. Tebliğ, yazılı başvurunun yanında kayıtlı elektronik posta (KEP), güvenli elektronik imza, mobil imza, ilgili kişinin daha önce veri sorumlusuna bildirdiği ve onun sisteminde kayıtlı bulunan elektronik posta adresi ile başvuru amacıyla geliştirilmiş yazılım veya uygulama yöntemlerini düzenler. Bu nedenle sıradan bir e-posta adresinden gönderilen her mesaj ile Tebliğ’deki kayıtlı adres kullanılarak yapılmış başvuru aynı değildir. Öte yandan veri sorumlusunun kendi internet sitesinde bir form sunması, diğer kanuni yöntemlerin yerine yalnız o formu veya noter yolunu zorunlu tutabileceği anlamına gelmez.¹⁰

Başvuruda ad ve soyadı, yazılı başvuruda imza, Türkiye Cumhuriyeti vatandaşları için T.C. kimlik numarası; yabancılar için uyruğu, pasaport numarası veya varsa kimlik numarası bulunmalıdır. Tebligata esas yerleşim yeri veya iş yeri adresi ve talep konusu da zorunlu unsurlardır; varsa bildirime esas elektronik posta adresi, telefon ve faks numarası belirtilir. Konuyla ilgili bilgi ve belgeler başvuruya eklenir. Talebin, örneğin yalnız bir kaydın düzeltilmesini mi, işleme hakkında bilgi verilmesini mi yoksa belirli verilerin silinmesini mi amaçladığının anlaşılması, verilecek cevabın kapsamını da belirler. Gereksiz kişisel veri ve belge toplamakla başvuruyu değerlendirmeye yetecek bilgiyi istemek ise aynı şey değildir.¹¹

Kimlik doğrulama ile başvuruyu güçleştirme arasındaki sınır burada önem kazanır. Kurulun 2019/296 sayılı karar özetinde başvuranın zorunlu kimlik ve adres unsurlarını eksik bırakması ile şirketin yalnız noter veya elektronik imza yolunu göstererek ek külfet getirmesi ayrı ayrı değerlendirilmiştir. Böylece veri sorumlusunun hatalı yönlendirmesi eleştirilirken, eksik başvurunun usule uygun olduğu sonucu çıkarılmamıştır. Dülger de bu karar üzerinden, hakkın kullanılmasını kolaylaştırma gereği ile verinin yetkisiz kişiye açıklanmasını önleyecek kimlik kontrolünün birlikte düşünülmesini savunur. Bu denge, her durumda kimlik belgesinin bütün görüntüsünü istemeyi haklı kılmaz; temsil ve üçüncü kişilere ilişkin ayrıntılar 18.4’te ele alınmıştır.¹²

Başvuru tarihini doğru belirlemek, veri sorumlusunun cevap süresini hesaplamanın ilk koşuludur. Yazılı başvuruda evrakın veri sorumlusuna veya temsilcisine tebliğ edildiği tarih; diğer yöntemlerde başvurunun veri sorumlusuna ulaştığı tarih esas alınır. Dilekçenin hazırlanması veya postaya verilmesi ile muhatabına ulaşması bu nedenle birbirinden ayrılmalıdır. Gönderinin içeriğini ve ulaşma tarihini gösterebilen kayıtların korunması, daha sonra başvurunun yapılıp yapılmadığı ve cevabın süresinde verilip verilmediği tartışmasını çözmeye yarar.¹³

Veri sorumlusu talepleri niteliklerine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırır. Otuz gün, her başvuruda sonuna kadar beklenebilecek olağan bir cevap günü değil, kanuni üst sınırdır. Tebliğ’in etkin, hukuka ve dürüstlük kuralına uygun sonuçlandırma ödevi, talebin ilgili birimlere ulaştırılmasını ve cevabın somut kayıtlarla karşılaştırılmasını gerektirir. Kurulun 2019/294 sayılı karar özetinde, kimlik görüntüsünün tutulmadığı ve üçüncü kişilerle paylaşılmadığı cevabına rağmen görüntünün yazılım firmasının sunucularında bulunması, başvurunun yeterli araştırma yapılmadan cevaplanmasının sakıncasını göstermektedir. Veri sorumlusunun kendi çalışanlarıyla veri işleyen arasındaki bilgi eksikliği, ilgili kişiye yanlış cevap verilmesini haklı kılmaz.¹⁴

Sonuçlandırma, talebin kabulü veya gerekçeli reddiyle ve cevabın yazılı yahut elektronik ortamda bildirilmesiyle gerçekleşir. Cevap yazısında veri sorumlusu veya temsilcisinin bilgileri, başvuru sahibinin Tebliğ’de belirtilen bilgileri, talep konusu ve başvuruya ilişkin açıklamalar yer alır. Birden çok talebin bulunduğu başvuruda hangi talebin karşılandığı, hangisinin hangi nedenle reddedildiği anlaşılmalıdır. Kabul edilen talebin gereği de yerine getirilir ve ilgili kişiye bilgi verilir. Yalnız “başvurunuz alındı” mesajı, talebin ne olduğu ve nasıl sonuçlandığı konusunda cevap vermiş olmaz.¹⁵

Telefonla görüşmek, eksik bir açıklamayı tamamlamak veya başvurunun konusunu netleştirmek için yararlı olabilir. Bununla birlikte sözlü açıklama, kanunun istediği nihai cevabın yerine geçmez. Kurumun bildirim usulüne ilişkin kamuoyu duyurusu da telefon ve yüz yüze görüşmeyle sürece yardımcı olunabilmesi ile sonucun yazılı veya elektronik biçimde bildirilmesini ayırmaktadır. Bu biçim, talebin sonucu ve gerekçesi kadar cevabın hangi tarihte öğrenildiğinin de denetlenmesini sağlar; şikâyet süresinin hesabı bakımından bunun ayrıca önemi vardır.¹⁶

Başvurunun ücretsiz sonuçlandırılması esastır. İşlemin ayrıca bir maliyet gerektirmesi hâlinde alınabilecek ücret, veri sorumlusunun serbestçe belirleyeceği bir başvuru bedeli değil, Kurulun belirlediği tarifeyle sınırlıdır. Tebliğ yazılı cevaplarda sayfa esasını, CD veya flash bellek gibi kayıt ortamlarında ise ortamın maliyetini gözeten bir düzen kurmuştur. Bu çerçeve, bütün taleplere peşinen ücret bağlanması sonucunu doğurmaz. Başvuru veri sorumlusunun hatasından kaynaklanıyorsa alınmış ücret de ilgili kişiye iade edilir. Dolayısıyla hem ücretin alınmasının dayanağı hem de iade gerekip gerekmediği somut işlemle ilişkilendirilmelidir.¹⁷

19.3. Kurula şikâyet, süre hesabı ve önce başvuru koşulu

Kurula şikâyet, ilgili kişinin veri sorumlusuna yönelttiği talebin reddedilmesi, verilen cevabı yetersiz bulması veya süresinde cevap alamaması üzerine başvurabileceği idari denetim yoludur. Kanun’un 14. maddesi, 13. maddeye göre veri sorumlusuna başvuru yolu tüketilmeden şikâyete gidilemeyeceğini açıkça düzenler. Bu önkoşul, Kurulun her ihlal iddiasından ancak şikâyet üzerine haberdar olabileceği anlamına gelmez; resen incelemenin ayrı dayanağı ve işlevi 19.4’te açıklanmaktadır. Öksüzoğlu’nun da belirttiği gibi, veri sorumlusuna başvurunun şikâyet için gerekli olması ile şikâyetin ilgili kişi bakımından ihtiyari bir yol olması farklıdır.¹⁸

Başvurunun tüketilmesi, her durumda otuz günün sonuna kadar beklenmesini gerektirmez. Veri sorumlusu daha önce ret cevabı vermişse veya verilen cevap yetersiz bulunuyorsa, kanunda sayılan şikâyet sebeplerinden biri ortaya çıkmıştır. Buna karşılık henüz cevap verilmemişken otuz günlük cevap süresi dolmadan yalnız cevapsızlık gerekçesiyle şikâyet etmek, veri sorumlusunun süresinde cevap vermediği varsayımına dayanamaz. Bu ayrım, erken şikâyet ile zamanında alınan olumsuz cevaptan sonra yapılan şikâyeti birbirinden ayırır.¹⁹

Süre hesabında iki tarih birlikte izlenir: veri sorumlusuna başvuru tarihi ve onun cevabının öğrenildiği tarih. Kanun, cevabın öğrenilmesinden itibaren otuz gün ve her hâlde başvurudan itibaren altmış gün içinde şikâyet edilebileceğini belirtir. Kurulun 2019/9 sayılı kararı, ilk otuz gün içinde cevap verilen hâllerde cevaptan sonra otuz günlük şikâyet süresine uyulması gerektiğini açıklamıştır. Böyle bir cevap almış kişi, ilk başvurudan itibaren altmışıncı gün henüz gelmediği için daha kısa sürenin de devam ettiğini varsayamaz. Örneğin erken verilen ve aynı gün öğrenilen ret cevabı, şikâyet için otuz günlük sürenin de erken başlaması sonucunu doğurur.²⁰

Hiç cevap verilmemesinde ise veri sorumlusuna tanınan otuz günlük süre dolduktan sonra şikâyet edilebilir; altmış günlük üst sınır yine ilk başvuru tarihinden hesaplanır. Cevapsızlığın başladığı tarihten itibaren yeni bir altmış gün işlemez. Geç cevapta da ilgili kişi cevabı beklemek zorunda değildir. Kurulun aynı kararına göre, otuz günlük cevap süresinden sonra verilen cevap, öğrenildiği tarihten başlayan yeni bir otuz günlük süreyle ilk başvurudan itibaren altmış günlük sınırı ileri taşımaz.²¹

Aşağıdaki örnekler, usulüne uygun başvurunun ulaştığı tarihin “T” olduğu; cevabın verildiği ve öğrenildiği günün aynı olduğu varsayımıyla üç olay türünü karşılaştırır. Gösterim günlerin başlangıca eklenmesiyle yapılmıştır; farklı tebliğ ve öğrenme tarihleri ayrıca belirlenmelidir.

Bu ayrımlar 6698 sayılı Kanun’un 13 ve 14. maddeleriyle 2019/9 sayılı kararın birlikte uygulanmasına dayanır. Şikâyet dilekçesindeki tarihler, bir hesaplama sonucundan önce doğrulanması gereken olay bilgileridir.²²

Şikâyetin incelenebilmesi için yalnız süresinde yapılmış olması da yeterli değildir. Kanun’un 15/2. maddesinin 3071 sayılı Kanun’a yaptığı gönderme uyarınca dilekçenin konusu belirli olmalı ve gerekli kimlik, imza ve adres unsurlarını taşımalıdır. İleri sürülen ihlalin, veri sorumlusuna yapılan başvurunun ve karşılanmayan talebin birbiriyle bağlantısı açıklanmalıdır. Kurumun usul şartları duyurusu, ilk başvurunun, onun iletildiğini gösteren belgenin, varsa cevap ile öğrenme tarihine ilişkin belgelerin sunulmasını özellikle istemektedir. Böylece hem önce başvuru koşulu hem de süre hesabı somut belge üzerinden denetlenebilir.²³

Veri sorumlusuna başvuru kanallarıyla Kurula şikâyetin iletilme yolları birbirine karıştırılmamalıdır. Kurumun açıklamasında elden, posta veya kargoyla dilekçe iletilmesi yanında elektronik Şikâyet Modülü de gösterilmiştir. 27 Mart 2023’ten itibaren avukatların vekâleten şikâyetlerini modülden iletebilmesi de duyurulmuştur. Modül, şikâyetin iletilmesini ve takibini kolaylaştıran araçtır; önce başvuru, talebin açıklığı ve süre gibi kanuni koşulları ortadan kaldırmaz. Aynı şekilde veri sorumlusunun ihlal bildirimini yapması için kullanılan modül, ilgili kişinin şikâyet başvurusuyla aynı işlem değildir.²⁴

Şikâyet süresinin hesabı, Kurulun şikâyete cevap vermemesi hâlindeki süreyle de ayrılmalıdır. 14. maddedeki altmış gün, kişinin Kurula şikâyetini iletmesi için ilk başvuruya bağlı üst sınırdır. 15/4. maddede ise Kurula şikâyet tarihinden itibaren altmış gün içinde cevap verilmezse talebin reddedilmiş sayılacağı düzenlenir. İkinci süre, yapılmış şikâyetin ardından doğabilecek hukuki sonuca ilişkindir; ilk sürenin uzatılması değildir. Kurul işlemine karşı yargısal denetimin koşulları ve süreleri 20. bölümde ayrıca ele alınmaktadır.²⁵

19.4. İhbar ve resen inceleme; şikâyetten ayrılan yönler

Kişisel verilerin korunması, yalnız hakkı ihlal edilen kişinin şikâyetine bağlı bir denetim düzeni üzerine kurulmamıştır. Kanun’un 15/1. maddesi Kurulun, şikâyet üzerine olduğu gibi ihlal iddiasını öğrenmesi durumunda da görev alanına giren konularda resen gerekli incelemeyi yapmasını öngörür. Burada “resen”, incelemenin geçerli bir bireysel şikâyetin yapılmasına bağlı olmadan kamu makamının kendi görev ve yetkisine dayanarak yürütülmesini ifade eder. İhbar ise olası ihlale ilişkin bilginin makama iletilmesidir. Bir ihbarın bulunmasıyla Kurulun resen inceleme yürütmesi bu nedenle birbiriyle çelişmez.²⁶

İhbar ile şikâyeti ayıran nokta, yalnız dilekçenin başlığı değildir. Şikâyet, ilgili kişinin kendi verilerine ilişkin başvurusunun sonucu üzerinden kullandığı yoldur; 13 ve 14. maddelerdeki önkoşul ve süreler bu yol bakımından uygulanır. İhbar, bir işleme faaliyeti hakkında Kurulun bilgi edinmesini sağlayabilir; bildirimde bulunan kişinin o verilerin ilgili kişisi olması şartına dayanan aynı bireysel talep yapısını taşımaz. Bunun sonucu, başka bir kişinin verileri hakkında ihbarda bulunanın kendiliğinden o verilere erişme veya onun adına hak kullanma yetkisi kazanması değildir. Maddi hak ve temsil koşulları ile denetim makamına bilgi verilmesi ayrı kalır.²⁷

Bu ayrımın somut bir örneği 2021/850 sayılı karar özetinde görülür. Bir kişi, ablasına ait hattın taşınması sırasında kimlik görüntüsünün bayi çalışanının şahsî telefonuyla alınmasını Kuruma bildirmiştir. Resmî özet, bildirimi ihbar olarak nitelendirerek başlatılan süreci resen inceleme olarak açıklamaktadır. Veri sorumlusunun savunması alınmış; uygulamanın teknik işleyişinin aydınlatılması için operatörleri temsil eden dernekten de bilgi istenmiştir. Örnekte belirleyici olan, ihbarın başka kişiye ait veri işleme faaliyeti hakkında denetimi harekete geçirebilmesidir; bütün yakınların birbirinin kişisel verilerini istemeye yetkili olduğu sonucu değildir.²⁸

Aynı olay, incelemenin başlamasıyla ihlalin sabit olması arasındaki farkı da gösterir. Kurul, somut uygulamada teknik ve idari tedbirleri değerlendirerek 12. maddeye aykırılık bulmamış; buna karşılık kurumsal cihaz kullanımının hızlandırılması ve aydınlatma konusunda veri sorumlusunu talimatlandırmıştır. İhbar sahibinin risk değerlendirmesi, araştırmanın konusunu oluşturmuş; tek başına nihai hukuki tespit olarak alınmamıştır. Bu kararı her şahsî cihaz kullanımının güvenli olduğu veya her kimlik görüntüsünün alınabileceği biçiminde genellemek de doğru olmaz. Olayın teknik koşulları ve uygulandığı hukuk dönemi sonuç üzerinde etkili olmuştur.²⁸

İhbarın da usul bakımından bir çerçevesi vardır. 15/2. madde, 3071 sayılı Kanun’un 6. maddesindeki koşulları taşımayan ihbar veya şikâyetlerin incelemeye alınmayacağını düzenler. Konusu belirsiz veya gerekli kimlik, imza ve adres unsurlarından yoksun bir dilekçe bakımından bu hüküm göz ardı edilemez. Bununla birlikte dilekçenin usulüne ilişkin hüküm ile Kurulun ihlal iddiasını öğrenmesi üzerine sahip olduğu resen yetki, aynı meselenin iki farklı yönüdür. İlgili kişi bakımından şikâyet koşullarının oluşup oluşmadığı incelenirken, Kurulun kendi görev alanındaki faaliyeti başka bir öğrenme kaynağı üzerinden denetleyebilmesi tümden yok sayılmamalıdır.²⁹

Öte yandan şikâyet süresini kaçırmış bir kişinin dilekçesine “ihbar” adını vermesi, ona otomatik olarak süresinde yapılmış şikâyetin bütün usuli konumunu kazandırmaz. Bireysel şikâyetin kabul edilebilirliğiyle somut bilginin resen denetim bakımından taşıdığı anlamın ayrı gerekçelendirilmesi gerekir. Bu yaklaşım, hem 14. maddedeki süre ve önce başvuru düzenini hem de 15. maddenin resen denetim işlevini birlikte gözetir. Öksüzoğlu da şikâyet yolunun ihtiyariliğini açıklarken Kurulun şikâyet bulunmaksızın ihlal iddiasını öğrenmesi üzerine inceleme yapabileceğini ayrıca belirtmektedir.³⁰

İncelemenin resen yürütülmesi, Kurulun görev alanını da sınırsızlaştırmaz. Kanun, gerekli incelemeyi açıkça görev alanına giren konularla ilişkilendirir; incelemenin bilgi ve belge araçları ile sonuçları da kanundaki yetkilere dayanır. Ayrıca 15/4. maddedeki altmış günlük cevapsızlığa bağlanan ret sonucu “şikâyet üzerine” inceleme için düzenlenmiştir. Bireysel şikâyetin süreleri veya cevap verilmemesine bağlanan sonuçlar, dayanakları incelenmeden resen incelemeye aynen taşınamaz. Bundan, resen denetimin gerekçesiz veya hukuki sınır olmaksızın yürütülebileceği sonucu da çıkmaz; bilgi-belge taleplerinin konusu ve incelemenin gerektirdiği usul güvenceleri sonraki başlıkta ele alınmaktadır.³¹

19.5. Bilgi-belge talepleri, yerinde inceleme ve usuli güvenceler

Kurulun ihlal iddiasını değerlendirebilmesi, yalnız başvuruda anlatılanlarla yetinmeyip işlemenin gerçekte nasıl yürütüldüğünü belirleyebilmesine bağlıdır. Kanun’un 15/3. maddesi bu amaçla veri sorumlusuna iki yükümlülük getirir: inceleme konusuyla ilgili istenen bilgi ve belgeleri on beş gün içinde göndermek ve gerektiğinde yerinde incelemeye imkân sağlamak. Kurumun Mart 2026 tarihli kamu kurumlarına uyum rehberi de aynı yükümlülüğü kamu kurumları ve kamu kurumu niteliğindeki meslek kuruluşları bakımından açıklamaktadır. Muhatabın kamu kurumu olması, bu inceleme yükümlülüğünden genel bir muafiyet doğurmaz.³²

Bilgi isteme yetkisinin konusu, kanunda inceleme konusuyla bağlantı kurularak belirlenmiştir. Bu bağlantı, hangi işlemin, hangi kayıtların ve hangi dönemin araştırıldığının anlaşılmasını gerektirir. Veri sorumlusu bakımından da cevap, yalnız “mevzuata uyulmaktadır” şeklinde genel bir beyanla sınırlı kalmamalı; istenen olguyu gösteren kayıt ve açıklamaları karşılamalıdır. Örneğin verinin kimlere aktarıldığı soruluyorsa, yalnız kurum içi politikayı göndermek gerçek aktarımın muhatabını ve tarihini açıklamaz. Bu örnekte politika, düzenlenen işleyişi; aktarım kayıtları ise somut olayın gerçekleşme biçimini göstermeye yarar.

Bilgi ve belge gönderme ile yerinde incelemeye imkân sağlama farklı araçlardır. Birincisinde istenen bilgi Kurula iletilir; ikincisinde incelemenin ilgili yerde yürütülmesi mümkün kılınır. Kanundaki yerinde inceleme yükümlülüğü, inceleme yetkisinin konusu ve hukuki dayanağıyla birlikte okunmalıdır. Veri sorumlusunun işleyişi açıklayabilecek birimleri, kayıtların bulunduğu sistemleri ve erişim yetkilerini belirleyebilmesi, incelemeye fiilen imkân sağlayabilmesi bakımından önemlidir. Envanter ve görev dağılımı gibi 17. bölümde açıklanan yönetim araçları, burada yalnız saklanan belgeler olarak değil, somut kayıtların bulunmasını sağlayan düzenin parçaları olarak işlev görür.³²

Kanun’un 15/3. maddesi devlet sırrı niteliğindeki bilgi ve belgeleri açıkça istisna tutar. Bununla birlikte bir belgenin kurum içinde gizli olarak adlandırılması, devlet sırrı niteliğinde bulunduğunu tek başına açıklamaz. Bilginin hangi hukuki nedenle ve hangi kapsamda istisnaya girdiği meselesi, inceleme talebinin konusundan ayrılamaz. Diğer yandan bilgi gönderme yükümlülüğünün bulunması, belgenin herkesçe erişilebilir hâle getirileceği anlamına da gelmez. Kurul üyelerinin öğrendikleri sırları yetkili merciler dışında açıklayamaması ve kendi yararlarına kullanamaması, kanunda görevden ayrıldıktan sonra da süren bir yükümlülük olarak düzenlenmiştir. Mesleki sır gibi özel rejimlerin kendi hükümleriyle ilişkisi ise ayrıca değerlendirilmelidir.³³

İncelemenin olgusal temeli kurulurken savunmayla doğrulanmış tespit de birbirinden ayrılmalıdır. 2021/850 sayılı karar özetinde önce veri sorumlusunun savunması alınmış, sonra uygulamanın teknik yönlerini aydınlatmak için sektörel dernekten bilgi istenmiştir. Veri sorumlusunun uygulamanın güvenli olduğunu söylemesi ile Kurulun sunulan açıklama ve tedbirleri değerlendirdikten sonra sonuca ulaşması aynı aşama değildir. Ayrıca bir incelemede üçüncü kuruluştan bilgi alınmış olması, 15/3. maddedeki veri sorumlusuna yönelik yükümlülüğün her üçüncü kişiye aynı kapsamda ve kendiliğinden uygulanacağı sonucunu doğurmaz.³⁴

Usuli güvence, yalnız veri sorumlusundan açıklama alınmasından ibaret değildir. Kurul üyelerinin kendilerini ve kanunda sayılan yakınlarını ilgilendiren konuların toplantı ve oylamasına katılamaması tarafsızlığı; kararların ve varsa karşı oy gerekçelerinin yazılması ise sonucun gerekçeyle ilişkilendirilmesini sağlar. Kağıtcıoğlu, karar alma usulünü değerlendirirken gerekçe ve şeffaflığın önemini bu çerçevede ele alır. Belirli bir veri işleme uygulamasında hangi olgunun kabul edildiği ve bunun hangi kurala göre değerlendirildiği anlaşılmadan, kararın sonucu kadar hukuki denetimi de güçleşir.³⁵

Son olarak, inceleme sırasında bilgi-belge göndermekle ihlali gidermeye ilişkin kararı yerine getirmek ayrılmalıdır. Birincisinde kanunun öngördüğü on beş günlük gönderme yükümlülüğü söz konusudur. İkincisinde ise ihlal tespitinden sonra 15/5. maddeye göre verilen kararın tebliğden itibaren gecikmeksizin ve en geç otuz gün içinde yerine getirilmesi gerekir. Aynı dosyada art arda gerçekleşebilen bu işlemler, farklı konulara ve sürelere sahiptir. Bir belge istemine cevap verilmesi, henüz yerine getirilmemiş bir giderim kararının uygulanmış olduğu anlamına gelmez; giderim ve diğer karar türleri sonraki başlıkta açıklanmaktadır.³⁶

19.6. İhlalin giderilmesi, geçici önlem, ilke kararı ve kararın uygulanması

Kurul incelemesinin sonucu, tek bir karar türüyle açıklanamaz. Belirli işleme faaliyetindeki hukuka aykırılığın giderilmesi, yaygın ihlal karşısında genel uygulamayı yönlendiren ilke kararı alınması ve ağır zarar koşullarında işlemenin durdurulması farklı işlevler görür. Kanun’un 15. maddesinin son üç fıkrası bu yetkileri farklı koşullarla düzenlemiştir. Bir dosyada alınan kararın hukuki sonucu değerlendirilirken, hangi yetkinin kullanıldığı önce belirlenmelidir.

Tablodaki ayrım, giderim için her ihlalin önce yaygınlaşması gerektiği veya her ihlalin durdurma koşullarını da kendiliğinden taşıdığı anlamına gelmez. Öksüzoğlu da giderim ve durdurmayı kendi kanuni koşullarıyla ayrı ele almaktadır.³⁷

Giderim kararında, tespit edilen hukuka aykırılıkla istenen işlem arasında bağ bulunur. Örneğin belirli verilerin hukuka aykırı saklandığı tespit edilmişse, bu kayıtlarla ilgili giderim talimatının hangi verileri ve hangi işlemi kapsadığı anlaşılmalıdır. Karar ilgililere tebliğ edilir ve veri sorumlusu tarafından tebliğden itibaren gecikmeksizin, en geç otuz gün içinde yerine getirilir. “En geç” sınırı, daha önce uygulanabilecek bir kararı gerekçesiz biçimde otuzuncu güne bırakma izni vermez. Kurum rehberindeki imha örneği de yerine getirilen işlemin log kaydı veya tutanak gibi belgelerle ortaya konulmasının uygulamadaki önemini gösterir.³⁸

Geçici koruma işlevi gören durdurma yetkisinde ise iki koşul birlikte aranır: telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılık. Yalnız ilgili kişinin bir işleme faaliyetine karşı çıkması, bu iki koşulun yerine geçmez. Buna karşılık yetkinin işlevi, hukuka aykırı faaliyetin sürmesinin doğurduğu ağır zarara karşı işlemenin veya yurt dışına aktarımın devamına müdahale edebilmektir. Durdurma kararının konusu da bu nedenle hangi faaliyete yöneldiğiyle birlikte değerlendirilmelidir; tek bir aktarımın durdurulması ile veri sorumlusunun bütün faaliyetlerinin durdurulması aynı kapsam değildir.³⁹

İlke kararında belirleyici unsur, inceleme konusu ihlalin yaygınlığıdır. Bu araç, benzer faaliyeti yürütenlerin yalnız somut dosyanın sonucunu değil, genel uygulamada gözetilecek yaklaşımı da öğrenmesini sağlar. 2020/966 sayılı ilke kararı buna örnektir: farklı sektörlerde fatura, ekstre ve benzeri belgelerin yanlış beyan edilmiş iletişim adresleri üzerinden üçüncü kişilere gitmesi ele alınmış; iletişim bilgilerinin doğruluğunu teyit edecek mekanizmalar için gerekli teknik ve idari tedbirlerin alınması kararlaştırılmıştır. Kararda doğrulama kodu veya bağlantısı makul önlem örnekleri olarak anılır. Bundan, bütün veri sorumlularının her işlemde tek bir doğrulama tekniğini kullanmakla yükümlü olduğu sonucu çıkarılmamalıdır.⁴⁰

İlke kararının kapsamı da dayandığı norm, ele aldığı ihlal ve kararın sonuç bölümüyle birlikte okunur. Kanun’un 15/6. maddesi ilke kararının yayımlanmasını öngörürken, belirli dosyadaki giderim kararında ilgililere tebliği düzenler; 23/5. madde ise Kurulun gerekli gördüğü kararları kamuoyuna duyurmasını ayrıca öngörür. Dolayısıyla her kararın internet sitesinde yer almasıyla ilke kararı niteliği kazanması aynı şey değildir. Rehberdeki bir açıklama, yayımlanmış karar özeti ve 15/6. maddeye dayanılarak alınmış ilke kararı, kendi hukuki niteliği içinde değerlendirilmelidir.⁴¹

Kararın uygulanması da yalnız cevap yazısı göndermekle özdeş değildir. Karar belirli kayıtların imhasını veya bir uygulamanın değiştirilmesini gerektiriyorsa, istenen değişikliğin fiilen yapılması gerekir. Kurula sonucundan bilgi verilmesi istenmişse, sunulan açıklama ve belgeler de bu işlemi göstermelidir. Aynı şekilde bir hukuka aykırılığın giderilmesi talimatıyla kanunda öngörülen idari yaptırımın uygulanması ayrı işlevlerdir; yaptırım ve kararın uygulanmamasına bağlanan sonuçlar 20. bölümde incelenmektedir. İlgili kişinin zararının giderilmesi ise kendi koşullarıyla ayrıca değerlendirilir; giderim kararının varlığı tek başına belirli tutarda özel hukuk tazminatına hükmedildiği anlamına gelmez.⁴²

19.7. Kurul incelemesiyle diğer idari ve yargısal yolların ilişkisi

Aynı kişisel veri işleme faaliyeti farklı hukuki sorunlar doğurabilir. Verinin düzeltilmesi veya hukuka aykırı işlemenin giderilmesi, doğan zararın tazmini, bir fiilin suç oluşturup oluşturmadığının araştırılması ve Kurulun verdiği kararın yargısal denetimi farklı taleplerdir. Bu taleplerin hepsinin tek bir makama yöneltilmesi, her biri için gereken korumayı sağlamaz. Hangi davranışın inceleneceği kadar hangi sonucun istendiği de başvuru yolunu belirler.⁴³

Kanun’un 14/3. maddesi, kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkını saklı tutmuştur. Veri sorumlusuna başvurunun Kurula şikâyet için gerekli olması, bütün yargısal taleplerin öncesinde mutlaka 13 ve 14. maddelerin tüketilmesi gerektiği anlamına gelmez. Kurumun başvuru hakkı açıklaması da veri sorumlusuna başvuru zorunluluğunu Kurula şikâyetten önceki aşamayla ilişkilendirmektedir. Öksüzoğlu’nun şikâyetin ihtiyariliğine ilişkin değerlendirmesi bu ayrımı destekler. Bununla birlikte başvurulacak yargı yerinin ve dava koşullarının, talebin niteliğine göre kendi hükümleri uyarınca belirlenmesi gerekir; 14/3. madde bütün davalar için tek bir görev ve usul kuralı koymaz.⁴⁴

Örneğin bir şirketin kişisel veri içeren belgeyi yetkisiz bir kişiye gönderdiği varsayımında, ilgili kişinin aktarım hakkında bilgi istemesi ve tekrarını önleyecek tedbirlerin alınmasını talep etmesiyle uğradığı zararın tazminini istemesi farklı sonuçlara yönelir. Kurul, görev alanındaki işlemeyi ve yükümlülükleri inceler; tazminat talebi ise kendi hukuki dayanağı ve koşullarıyla değerlendirilir. Kurulun bir ihlal tespiti yapması, ilgili kişinin ileri sürdüğü bütün zarar kalemlerinin ve talep ettiği tutarın kendiliğinden kabul edildiği anlamına gelmez. Tersinden, belirli bir zarar talebinin ispatlanamaması da veri işlemenin bütün yönleriyle hukuka uygun olduğu sonucunu tek başına vermez.⁴⁴

Ceza yolu da ayrı bir işleve sahiptir. 6698 sayılı Kanun’un 17. maddesi, kişisel verilere ilişkin suçlar bakımından Türk Ceza Kanunu’nun 135–140. maddelerine gönderme yapar. İdari veri koruma yükümlülüğüne aykırılık tespit edilmesiyle belirli bir kişinin ceza sorumluluğunun doğması aynı değerlendirme değildir. Suçun unsurları ve ceza muhakemesinin koşulları ayrıca incelenir. Bu nedenle Kurula şikâyet, ceza makamlarına yapılacak başvurunun yerine geçen genel bir suç duyurusu olarak ele alınmamalıdır. Ceza hukuku korumasının kapsamı 22. bölümde açıklanmaktadır.⁴⁵

Kurulun veri işleme faaliyetini incelemesi ile kendi kararının mahkemece denetlenmesi de ayrılır. İkinci durumda incelenen hukuki işlem, Kurulun verdiği karardır. İdari para cezaları bakımından güncel 18/3. madde açıkça idare mahkemelerinde dava açılabileceğini düzenler. 7499 sayılı Kanun’la getirilen bu hükmün yanında, 1 Haziran 2024 itibarıyla sulh ceza hâkimliklerinde görülmekte olan başvuruların aynı hâkimliklerce görülmeye devam edeceği geçiş kuralı da korunmuştur. Dolayısıyla eski bir dosyanın sulh ceza hâkimliğinde sürmesiyle güncel idare mahkemesi hükmü birlikte açıklanabilir; her dosyanın yalnız karar tarihine bakılarak aynı yola tâbi tutulması yeterli değildir. Kararın türüne göre kanun yolu ve süre ayrıntıları 20. bölümün konusudur.⁴⁶

Kurul kararına karşı idari dava açılmasıyla onun uygulanmasının durması da aynı işlem değildir. İdari Yargılama Usulü Kanunu’nun 27/1. maddesindeki genel kurala göre, idari mahkemede dava açılması dava konusu idari işlemin yürütülmesini kendiliğinden durdurmaz. Yürütmenin durdurulması, kendi koşulları bulunan yargısal koruma aracıdır. Kurulun 15/7. maddeye dayanarak belirli veri işlemeyi durdurması ile mahkemenin Kurul kararının yürütülmesini durdurması, müdahalenin konusu ve yetkili makam bakımından farklıdır. Birincisinde veri işleme faaliyeti, ikincisinde dava edilen idari işlem söz konusudur.⁴⁷

Başka bir yargısal sürecin bulunması hâlinde de hangi talebin hangi mercinin görevine girdiği belirlenmelidir. Kanun’un 15/2. maddesinin gönderme yaptığı 3071 sayılı Kanun’un 6/b. maddesi, yargı mercilerinin görev alanındaki konulara ilişkin dilekçelerin incelenmemesini düzenler. Bu hüküm, Kurulun mahkemenin yerine geçerek onun görevindeki uyuşmazlığı çözmesini önleyen sınırla birlikte değerlendirilmelidir. Kurumun usul duyurusu, konunun yargıya taşındığı durumlarda buna ilişkin ayrıntılı bilgi ve belgelerin de sunulmasını istemektedir. Görev sınırı incelenmeden, aynı olaya değinen herhangi bir dava bulunduğu için her veri koruma talebinin aynı sonuçla reddedileceği varsayılmamalıdır.⁴⁸

Sektörel bir idari makamın da konuyla ilgilenmesi, veri koruma değerlendirmesiyle o makamın bütün görevlerinin birleştiği anlamına gelmez. Nitekim 2021/850 sayılı karar özetinde ihbar sahibinin önce Bilgi Teknolojileri ve İletişim Kurumuna başvurduğu belirtilmiş; Kurul kendi incelemesinde sektörel düzenlemeleri ve güvenlik tedbirlerini değerlendirmiştir. Bir alandaki teknik yükümlülük, başka bir alandaki yetki ve usulün yerine doğrudan geçirilmemiştir. Uygulamada başvuruların konusu, tarihi, istenen sonuç ve verilen kararların birlikte kaydedilmesi, farklı süreçlerin hangi soruna cevap verdiğini görmeyi sağlar.⁴⁹

Dipnotlar