18. İlgili kişinin hakları ve unutulma hakkı

Kişisel veriler üzerindeki koruma, yalnız veri sorumlusuna yüklenen görevlerden oluşmaz. İlgili kişinin işlemenin içeriğini öğrenebilmesi, yanlış veya gereksiz kayda müdahale isteyebilmesi ve kendisi hakkında çıkan belirli sonuçlara karşı hak arayabilmesi de gerekir. Bu bölüm, bilgi ve erişimden düzeltme, imha, itiraz ve zarar talebine uzanan hakları; bunların güvenli kullanımı ve başkalarının haklarıyla ilişkisi içinde ele almaktadır. Unutulma taleplerinde içerik, arama sonucu ve arşiv ayrımı kurulduktan sonra ifade özgürlüğüyle dengeleme incelenmekte; son olarak GDPR’daki farklı hak rejimleri Türk hukukuyla karşılaştırılmaktadır.

18.1. İşleme hakkında bilgi, erişim ve alıcıları öğrenme

Bir kişinin, alışveriş yaptığı şirketin kendisi hakkında hangi bilgileri tuttuğunu bilmediği varsayılsın. Kişi yalnız “bilgileriniz mevzuata uygun işlenmektedir” cevabıyla kendi durumunu değerlendiremez. Kanun’un 11. maddesi, veri işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi isteme, amacı ve bu amaca uygun kullanımı öğrenme, yurt içinde veya dışında verilerin aktarıldığı üçüncü kişileri bilme haklarını ayrı bentlerde düzenler. Bu haklar, kurumun genel politikasından kişinin kendisine ilişkin işleme faaliyetine geçilmesini sağlar.¹

İşleme bulunup bulunmadığının sorulması, hakkın ilk adımıdır; olumlu cevap verilmesiyle değerlendirme bitmez. Hangi kişisel verilerin hangi amaçla kullanıldığının ve yapılan işlemin bu amaçla ilişkisinin öğrenilebilmesi gerekir. Örneğin kişinin iletişim bilgisinin teslimat için kaydedildiğini bilmesiyle, aynı bilginin başka bir süreçte de kullanılıp kullanılmadığını öğrenmesi farklıdır. Böylece bilgi talebi, düzeltme veya silme gerekip gerekmediğinin değerlendirilmesine de zemin hazırlar. Verinin içeriği anlaşılmadan diğer hakların etkili kullanılması güçleşebilir.¹

Aydınlatma ile başvuru üzerine bilgi verme bu noktada birbirini tamamlar. Aydınlatma, 10. madde uyarınca verilerin elde edilmesi sırasında yerine getirilen görevdir; bilgi talebi ise kişinin kendisine ilişkin işleme hakkında soru sormasına imkân verir. Kurumun bütün müşterilerine yönelik açıklaması, somut kişinin verisinin gerçekten hangi işlemde kullanıldığı sorusunu her zaman cevaplamaz. Başvurunun yalnız genel politika bağlantısı gönderilerek sonuçlandırılması yerine, talep edilen hususun o kişinin verileriyle ilişkilendirilmesi gerekir. İlgili kişi de sorusunu belirli kayıt veya işlemle ilişkilendirdiğinde, talebin konusu daha açık hâle gelir.²

Kanun’un bilgi talep etme hakkı, Kurul uygulamasında kişisel veriye erişimi de kapsayacak biçimde yorumlanmaktadır. Kurulun 2020/13 sayılı karar özetinde, aracılık işlemleriyle bağlantılı telefon görüşmesi kayıtlarını isteyen kişinin, verilerinin içeriğini anlayabilmesine elverecek erişim hakkı kabul edilmiştir. Bununla birlikte kayıt ortamının kendisinin teslimiyle verinin içeriğine erişim ayrılmış; somut olayda görüşme dökümünün kişiye gönderilmesi yoluna gidilmiştir. Kuntoğlu da telefon kayıtları örneğinde, bilgi istemenin erişim boyutunu ve üçüncü kişilerin verilerinin korunmasıyla birlikte uygulanmasını vurgular. Buradan her başvuruda kurumun bütün kayıt ortamını teslim etmek zorunda olduğu sonucu çıkarılamaz.³

Üçüncü kişinin verisinin bulunması da talebi bütünüyle reddetmenin otomatik gerekçesi değildir. Kurul, 2023/1050 sayılı banka kararında, müşteri temsilcisiyle görüşmenin dökümünü isteyen kişinin talebini incelemiş; varsa başkalarına ait verilerin çıkarılması veya maskelenmesi gibi önlemlerle dökümün sağlanmasını istemiştir. Bankanın ileri sürdüğü sır saklama gerekçesi, kişinin kendi verisine erişimini ortadan kaldıran genel bir engel olarak kabul edilmemiştir. İnceleme, hangi verinin kime ilişkin olduğu ve hakkın uygun güvenlik tedbirleriyle nasıl kullandırılabileceği üzerinden yürütülmelidir.⁴

Erişimin yöntemi de somut talep bakımından değerlendirilir. Kurulun 2024/592 sayılı kararındaki başvuran banka müşterisi değil, müşteriyle yaptığı görüşmede kendisine hakaret edildiğini ileri süren banka çalışanıdır. Kurul, çalışanın hak arama amacıyla istediği kaydın, üçüncü kişinin müşteri sırrı niteliğindeki bankacılık işlem bilgileri maskelenerek yazılı döküm veya dijital ortamda sağlanmasını istemiştir. Bu örnek, önceki döküm kararlarını bütün ses kayıtları için değişmez tek bir yöntem zorunluluğuna dönüştürmemek gerektiğini gösterir. Talebin konusu, ilgili kişiye ait içerik ve korunacak üçüncü kişi menfaati birlikte ele alınır.⁵

Alıcıları öğrenme hakkı ise kişisel verinin kurumun dışındaki hareketini görünür kılar. 11. maddenin birinci fıkrasının (ç) bendi, yurt içindeki ve dışındaki üçüncü kişileri kapsar. Aydınlatmada yer alan genel alıcı gruplarıyla, başvuranın kendisine ait verilerin fiilen kimlere aktarıldığına ilişkin sorusu farklı düzeydedir. Muhtemel bütün alıcıların genel listesini bildirmek, somut aktarımı öğrenme talebini karşılamayabilir. Cevap, sorulan işlem ve kişisel veriyle ilişkilendirilmeli; kişinin daha sonra yanlış verinin düzeltilmesi veya imha işleminin alıcılara bildirilmesini istemesine elverişli olmalıdır.⁶

Veri sorumlusu talebi kabul eder veya gerekçesini açıklayarak reddeder; kabul hâlinde gereğini yerine getirir. Kanun’un 13. maddesindeki en kısa sürede ve en geç otuz gün içinde sonuçlandırma ödevi, bilgiye erişimin belirsiz süreye bırakılmasını önler. Hakların kullanımında kimlik, temsil, istisnalar ve üçüncü kişilerin korunması 18.4’te; başvuru ve şikâyetin ayrıntılı usulü 19. bölümde ele alınmaktadır. Bilgi ve erişimle ortaya çıkan yanlış veya gereksiz kayıtlar bakımından ise sıradaki soru, düzeltme ve imha taleplerinin koşullarıdır.⁷

18.2. Düzeltme, silme, yok etme ve alıcılara bildirim talepleri

Bir müşterinin kaydında yanlış telefon numarası bulunduğu ve bu nedenle bildirimlerin başka bir kişiye gittiği varsayılsın. Sorun yalnız müşterinin ulaşamaması değildir; başka kişinin veriyle ilişkilendirilmesi ve yanlış kullanımın sürmesi de söz konusudur. Kanun’un 11. maddesinin birinci fıkrasının (d) bendi, kişinin kendisiyle ilgili eksik veya yanlış işlenmiş verilerin düzeltilmesini istemesine imkân verir. Düzeltme, yanlış alanın değiştirilmesini kapsadığı gibi, kayıt amacının gerektirdiği eksik bilginin tamamlanmasını da gerektirebilir. Bu hak, verilerin doğru ve gerektiğinde güncel tutulması ilkesiyle birlikte değerlendirilir.⁸

Doğruluk incelemesinde kaydın hangi olguyu ve zamanı gösterdiği belirlenmelidir. Geçmişteki bir işlemin doğru kaydıyla, bugünkü iletişim için kullanılan güncel alan aynı değildir. Öksüzoğlu’nun aktardığı tartışmada, doğruluğun nesnel içerik üzerinden değerlendirilmesinin yanında, verinin işlenme amacı bakımından kişi hakkında yanıltıcı bir tablo oluşturup oluşturmadığını inceleyen işlevsel yaklaşım da yer alır. Bu ayrım, tek bir alanın harfiyen doğru olmasının bütün kaydın yanıltıcı kullanımı sorununu çözmeyebileceğini gösterir. Buna karşılık kişinin değerlendirmeye katılmaması, her durumda o değerlendirmenin maddi bir kayıt hatası olduğu sonucunu doğurmaz; olgusal temel, kaydın niteliği ve kullanım amacı birlikte incelenir.⁹

Silme veya yok etme talebi ise düzeltmeden farklı bir sonuca yönelir. 11. maddenin birinci fıkrasının (e) bendi, bu talebi 7. maddedeki şartlara bağlar. Veriyi işlemeyi gerektiren sebepler ortadan kalkmışsa, veri sorumlusu kendiliğinden veya talep üzerine imha ödevini yerine getirmelidir. İmha Yönetmeliği, 5. ve 6. maddelerdeki işleme şartlarının tamamının ortadan kalkmasını esas alır. Dolayısıyla ilk amacın sona ermesi veya açık rızanın geri alınması, aynı kaydın geçerli başka bir şart ve sınırlı amaç için tutulup tutulmadığı değerlendirilmeden bütün verilerin otomatik olarak silineceği anlamına gelmez. Devam eden sebep de gereksiz kullanımı ve süresiz saklamayı haklı kılmaz.¹⁰

Bu değerlendirme, talebi bölünmez bir “bütün kayıtları tut veya hepsini sil” seçimine dönüştürmemelidir. 14.2’de incelenen 2021/847 sayılı karar örneğinde, geçmiş faturadaki adresin saklanmasıyla aktif kullanıcı alanındaki eski adresin durumu ayrılmaktadır. Başvuruda hangi kaydın, hangi ortamda ve hangi kullanım bakımından konu edildiği açıklığa kavuşturulmalıdır. Bir belgenin saklanması için dayanak bulunması, o belgedeki bütün bilgilerin başka bir amaçla aktif kullanılmasına izin vermez. Talebin bir kısmı karşılanırken diğer kısmı bakımından devam eden hukuki sebep varsa, sonuç da bu ayrımı açıklamalıdır.¹¹

Talep üzerine imhada, re’sen periyodik imha takvimiyle başvuruya cevap süresi karıştırılmaz. İmha Yönetmeliği’nin 12. maddesi, şartlar ortadan kalkmışsa talebin en geç otuz gün içinde sonuçlandırılmasını ve kişiye bilgi verilmesini öngörür. Şartların tamamı kalkmamışsa gerekçeli ret de aynı süre içinde yazılı veya elektronik ortamda bildirilir. Kanun’un 11. maddesinde talep silme veya yok etme biçiminde ifade edilmiş olsa da Yönetmelik’in uygulanmasında uygun imha yönteminin seçimi ayrıca değerlendirilir; kişinin talebi hâlinde seçilen yöntemin gerekçesi açıklanır. Yalnız yöntemin adını değiştirmek, 2.6 ve 14.5’te açıklanan gerçek anonimleştirme koşullarını sağlamaz.¹²

Düzeltmenin veya imhanın yalnız ilk veri sorumlusundaki kayda uygulanması, yanlış ya da gereksiz bilginin alıcılarda kullanılmaya devam etmesi ihtimalini ortadan kaldırmaz. 11. maddenin birinci fıkrasının (f) bendi, düzeltme ile silme veya yok etme işlemlerinin, verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme hakkı tanır. İmha Yönetmeliği de şartların tamamı kalkmış ve veri üçüncü kişilere aktarılmışsa, veri sorumlusunun durumu üçüncü kişiye bildirmesini ve orada gerekli işlemlerin yapılmasını temin etmesini ister. Bu nedenle alıcıların bilinmesi, 18.1’deki bilgi hakkının uygulamada sonraki taleplere nasıl hizmet ettiğini de gösterir.¹³

Veri sorumlusunun cevabı, talebin hangi kısmının kabul edildiğini, hangi işlemin yapıldığını veya hangi sebeple yerine getirilmediğini anlaşılır biçimde ortaya koymalıdır. “Mevzuat gereği saklıyoruz” şeklindeki genel bir ifade, somut veri ve devam eden sebep açıklanmadığında ret gerekçesini anlamayı güçleştirir. Kanun’un 13. maddesindeki gerekçeli cevap ödevi, kişinin verilen sonucu değerlendirebilmesi ve gerekiyorsa şikâyet yoluna başvurabilmesi bakımından işlev taşır. Düzeltme ve imha talebi bu yönüyle yalnız teknik kayıt değişikliği değil, kaydın işlenmesinin hukuki sınırlarının yeniden değerlendirilmesini sağlayan bir haktır.¹⁴

18.3. Otomatik analiz sonucuna itiraz ve zararın giderilmesini isteme

Bir kredi başvurusunun, başvuranın kişisel verilerini değerlendiren sistem tarafından insan incelemesi olmadan reddedildiği varsayılsın. Başvuranın kayıtlardaki bir yanlışın düzeltilmesini istemesiyle, bu analizden çıkan aleyhe sonuca itiraz etmesi farklı taleplerdir. Kanun’un 11. maddesinin birinci fıkrasının (g) bendi, işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonuç ortaya çıkmasına itiraz hakkı tanır. Bu nedenle verilerin doğru olması, otomatik analiz sonucuna yönelik itirazı tek başına konusuz bırakmaz.¹⁵

Hükümdeki “münhasıran” sözcüğü, otomatik araç kullanılan her sürecin aynı kapsamda bulunmadığını gösterir. İnsan tarafından yürütülen bir değerlendirmede hesaplama aracından yararlanılmasıyla, sistem çıktısının kararın içeriğini belirlemesi ayrılmalıdır. Aksoy, insan müdahalesinin görünüşte kalmaması ve görevlinin sonucu gerçekten değiştirebilmesi gerektiğini belirtir. Bilir de algoritmik çıktıyı sorgulama veya değiştirme kapasitesi bulunmayan personelin sürece katılmasının itiraz hakkını bertaraf etmemesi gerektiğini savunur. Bu yorum bakımından belirleyici soru, ekranda bir onay düğmesine kimin bastığından çok, kişinin durumunun bağımsız olarak değerlendirilip değerlendirilmediğidir.¹⁶

İtirazın diğer unsuru, analiz ile kişinin aleyhine ortaya çıkan sonuç arasındaki bağlantıdır. Verinin yalnız elektronik ortamda saklanması bu bentteki analiz ve sonuç koşullarını karşılamaz. Öte yandan kanunda “aleyhe sonuç” yerine yalnız belirli bir zarar tutarı veya kesinleşmiş hak kaybı arayan bir ifade de bulunmamaktadır. Öğretide bu kavramın hukuki sonuçlarla birlikte kişiyi kayda değer biçimde etkileyen durumları kapsayacak şekilde yorumlanması savunulmaktadır. Bu, kanun metnindeki ifadenin yorumudur; GDPR’daki eşiğin Türk hükmünde aynı sözcüklerle yazılı olduğu anlamına gelmez. Somut başvuruda hangi sonucun doğduğu ve otomatik analizin bu sonuçtaki rolü açıklığa kavuşturulmalıdır.¹⁷

İtiraz hakkının kullanılabilmesi, kişinin hangi veriye ve hangi değerlendirmeye karşı çıktığını anlayabilmesiyle yakından ilgilidir. Aksoy, etkili itiraz bakımından açıklamanın gerekliliğini vurgular; Bilir ise otomatik karara özgü bilgilendirme ve açıklama hakkının açıkça düzenlenmesini önerir. Mevcut bilgi talep etme hakkı ve gerekçeli cevap ödeviyle, algoritmanın bütün teknik ayrıntılarının veya kaynak kodunun her başvurana teslim edileceği yönündeki iddia aynı değildir. Talebin konusu, kullanılan kişisel veriler, ortaya çıkan sonuç ve ileri sürülen itiraz arasındaki bağ kurulmalıdır. Genel bir “sistem böyle hesapladı” cevabı, bu soruların incelendiğini kendi başına göstermez.¹⁸

Türk hükmü, GDPR’ın 22. maddesindeki karara tabi olmama hakkının ve bu maddede düzenlenen istisna ve güvencelerin birebir karşılığı olarak okunmamalıdır. Kanun’un tercih ettiği ifade, aleyhe sonuca itirazdır. Buradan otomatik veri işlemenin bütün diğer şartlardan bağımsız biçimde serbest olduğu sonucu da çıkarılamaz: işleme sebebi, amaçla sınırlılık, doğruluk, ölçülülük ve güvenlik kuralları uygulanmaya devam eder. Türk hukukunda otomatik analize ilişkin özel itiraz ile işlemenin genel hukuka uygunluğu iki ayrı inceleme konusudur.¹⁹

Veri sorumlusu, itirazı Kanun’un 13. maddesindeki başvuru çerçevesinde değerlendirir; kabul ederse gereğini yerine getirir, reddederse gerekçesini açıklar. Sonucun yeniden incelenmesini istemek, başvuranın örneğin mutlaka kredi alacağı anlamına gelmez. Buna karşılık itirazın sadece aynı otomatik çıktının tekrar gönderilmesiyle karşılanması, kişinin ileri sürdüğü somut yanlış veya değerlendirme sorununu cevapsız bırakabilir. Hangi verinin kullanıldığına ilişkin talep, kayıt hatasının düzeltilmesi ve otomatik analiz sonucuna itiraz aynı başvuruda bulunabilir; her birinin konusu ve kabul veya ret gerekçesi ayrı değerlendirilmelidir.²⁰

Zararın giderilmesini isteme hakkı ise otomatik analize özgü değildir. 11. maddenin birinci fıkrasının (ğ) bendi, kişisel verilerin kanuna aykırı işlenmesi sebebiyle zarara uğranmasını esas alır. Dolayısıyla kişi otomatik bir sistem kullanılmadan yapılan hukuka aykırı açıklama veya aktarım nedeniyle de zarar talebinde bulunabilir. Aleyhe sonuca itiraz bakımından aranan koşullarla tazminatın koşullarını eşitlemek, iki hakkın farklı işlevlerini ortadan kaldırır. İtirazın kabul edilmesi de tek başına belirli bir tazminat miktarının doğduğunu göstermez.²¹

Özel hukukta haksız fiil sorumluluğu bakımından Türk Borçlar Kanunu’nun 49. maddesi, kusurlu ve hukuka aykırı fiille başkasına verilen zararın giderilmesini öngörür. Zararın bu fiilden doğduğunun ortaya konulması gerekir; 50. madde zarar ve kusurun ispatını, miktarın tam ispatlanamadığı durumda hâkimin değerlendirmesini düzenler. Kişilik hakkının zedelenmesi nedeniyle uğranılan manevi zarar için 58. madde ayrıca önem taşır. Bu hükümler, her veri koruma aykırılığında kendiliğinden aynı tutarda veya mutlaka manevi tazminat ödeneceği biçiminde okunamaz. Somut sorumluluk sebebi, zarar ve giderimin kapsamı birlikte belirlenir.²²

Kanun’un 14. maddesinin üçüncü fıkrası, kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkını saklı tutar. Bu nedenle veri sorumlusuna başvuru ve Kurula şikâyet ile zararın giderilmesine ilişkin talep aynı sonuca yönelen tek bir yol olarak düşünülmemelidir. Başvuru ve şikâyetin usulü 19. bölümde, özel hukuk sorumluluğunun koşulları ve taleplerin ilişkisi 21. bölümde incelenmektedir. İlgili kişinin hangi hakkı kullandığının belirlenmesi, hem istenecek işlemi hem de dayanılması gereken olguları açıklığa kavuşturur.²¹

18.4. Hakların kullanılması, kimlik doğrulama, temsil ve üçüncü kişilerin hakları

İlgili kişinin haklarını kullanması, kendisiyle ilgili veriye yönelen talebin doğru veri sorumlusuna ulaştırılmasını gerektirir. Başvuru Tebliği, bu hakkı kişisel verisi işlenen gerçek kişilere tanır ve başvurunun Türkçe yapılmasını öngörür. Kurumun müşteri veya çalışan için hazırladığı form, talebin anlaşılmasını kolaylaştırabilir; fakat hakkın kaynağı formun kendisi değildir. Başvuru, kanun ve Tebliğ’deki yöntem ve içerik koşulları bakımından değerlendirilmelidir. Talep edilen işlem de belirlenmelidir: “verilerimin korunmasını istiyorum” ifadesiyle hangi kaydın öğrenilmesinin, düzeltilmesinin veya imhasının istendiği her zaman anlaşılamaz.²³

Tebliğ’in 5. maddesi, yazılı başvuru yanında kayıtlı elektronik posta, güvenli elektronik imza, mobil imza, önceden bildirilmiş ve veri sorumlusunun sisteminde kayıtlı elektronik posta adresi ile başvuru için geliştirilmiş yazılım veya uygulama yollarını düzenler. Başvuruda ad ve soyad, yazılı başvuruda imza, kimlik bilgileri, tebligata esas adres ve talebin konusu gibi zorunlu unsurlar bulunur; konuyla ilgili bilgi ve belgeler eklenir. Bu seçeneklerin varlığı, her elektronik mesajın usulüne uygun olduğu anlamına gelmediği gibi, veri sorumlusunun bütün başvuruları yalnız noter kanalına yönlendirebileceği anlamına da gelmez.²⁴

Kurulun 2019/296 sayılı karar özeti, bu iki yönü birlikte göstermektedir. Somut olayda müşteri hizmetleri üzerinden yapılan başvuruda, Tebliğ bakımından gerekli kimlik ve adres bilgilerinin bulunmadığı değerlendirilmiştir. Bununla birlikte şirketin kişiyi yalnız noter veya elektronik imzayla başvuruya yönlendirerek mevzuatta öngörülmeyen maddi külfet getirmesi de hukuka uygunluk ve dürüstlük kuralıyla bağdaşır bulunmamıştır. Karar, kimlik teyidinin gereksiz olduğu veya eksik başvurunun koşulsuz kabul edileceği biçiminde okunamaz. Güvenli doğrulama ile hakkı kullanmayı gereksiz biçimde zorlaştırma ayrı sorunlardır.²⁵

Kimlik doğrulamanın amacı, kişisel verinin yanlış kişiye açıklanmasını önlemektir. Aynı adın yazılması veya bir dosyanın numarasının bilinmesi, talep sahibinin o kişi olduğunu her durumda göstermeyebilir. Buna karşılık doğrulama sırasında toplanan ek bilgiler de kişisel veridir; hangi bilginin neden gerekli olduğu açıklanabilmelidir. Tebliğ’de kimlik numarasının başvuru unsuru olarak sayılmasıyla, her durumda kimlik belgesinin bütün yüzlerinin kopyasının saklanması aynı işlem değildir. Doğrulama tedbiri, 4. maddedeki amaçla bağlantılılık, sınırlılık ve ölçülülük ile 12. maddedeki güvenlik ödevini birlikte karşılayacak biçimde kurulmalıdır.²⁶

Talebin bir temsilci aracılığıyla iletilmesi hâlinde ise kimlik doğrulamasının yanına temsil yetkisinin incelenmesi eklenir. Kurul, 2021/1262 sayılı sigorta kararında, vekâletnamede özel yetki bulunmadığı gerekçesiyle başvurunun cevapsız bırakılmasını kabul etmemiş; bu şartın şirketin başvuru ve diğer belgelerinden kaldırılmasını istemiştir. 2024/540 sayılı iş yeri kamerası kararında da ilgili kişinin vekili aracılığıyla usulüne uygun yaptığı başvuru bakımından özel yetki şartı aranmaması gerektiği belirtilmiştir. Bu sonuçlar, geçerli bir temsil yetkisinin hiç aranmaması veya temsilcinin her türlü veriye sınırsız erişmesi şeklinde genellenemez. İncelenecek mesele, temsilin kaynağı ve kapsamıyla istenen işlem arasındaki ilişkidir.²⁷

Sağlık verileri alanındaki tartışma, temsil sorununda norm döneminin önemini ayrıca gösterir. Kurt Konca ve Badur, 2023 tarihli çalışmalarında sağlık verilerine temsilci erişiminin taşıdığı riski ele almış; özel yetkinin kanunla düzenlenmesini savunurken o dönemdeki yönetmelik hükmünü normlar hiyerarşisi ve kapsam bakımından eleştirmiştir. Ancak avukatın sağlık verisine erişiminde genel vekâletnameyi yeterli görmeyen Yönetmelik’in 10. maddesi, 3 Aralık 2025 tarihli değişiklikle yürürlükten kaldırılmıştır. Bu sebeple eski hükmü veya onu açıklayan eseri bugünkü bütün başvurular için özel yetki şartının doğrudan dayanağı olarak kullanmak doğru olmaz. Temsil yetkisiyle sağlık verisinin işlenme ve aktarılma şartları da ayrı değerlendirilir; özel nitelikli veri olması bu ikinci incelemeyi ortadan kaldırmaz.²⁸

Talebe konu kaydın birden fazla kişiyi ilgilendirmesi, hakların kullanımındaki diğer temel sorundur. Örneğin görüşme kaydında başvuranın sözleriyle başka kişinin bankacılık bilgilerinin birlikte bulunması mümkündür. 18.1’de incelenen erişim kararlarında Kurul, üçüncü kişilerin verilerinin çıkarılması veya maskelenmesi gibi tedbirlerle başvuranın kendi verisine erişimini birlikte değerlendirmektedir. Burada iki uçtan kaçınmak gerekir: başkasına ait verinin bulunması talebin tamamını kendiliğinden hükümsüz kılmadığı gibi, kişinin kendi verisine erişimi de aynı kayıttaki bütün üçüncü kişi bilgilerinin açıklanmasını gerektirmez. Hangi kısmın paylaşılabileceği ve hangi tedbirin gerektiği somut kayda göre belirlenir.²⁹

Talebin karşılanması kadar cevabın doğru kişiye güvenli biçimde ulaştırılması da önemlidir. Veri sorumlusu başvuruyu kabul eder veya gerekçesiyle reddeder; cevabı yazılı veya elektronik ortamda bildirir. Kurumun cevapların bildirim usulüne ilişkin duyurusu, açıklığa kavuşturma amacıyla telefonla görüşülebileceğini, fakat bu görüşmenin mevzuatın aradığı nihai cevabın yerine geçmediğini vurgular. Böylece talebin hangi kısmının karşılandığı, neyin neden reddedildiği ve cevabın bildirildiği tarih izlenebilir hâle gelir. Cevap kanalı seçilirken de yanlış alıcıya açıklama riski gözetilmelidir.³⁰

Son olarak, hakkın sahibi veya temsilcisi tarafından usulüne uygun başvuru yapılması, her talebin maddi bakımdan kabulünü gerektirmez. Kanun’un 28. maddesindeki tam ve kısmi istisnalar, uygulanma koşullarıyla birlikte ayrıca değerlendirilir. Özellikle ikinci fıkrada, amaç ve temel ilkelere uygunluk ile orantılılık koşulu korunmuş; 11. maddenin uygulanmadığı sınırlı hâllerde zararın giderilmesini isteme hakkı hariç tutulmuştur. Başvurunun konusu ve ret dayanağı somutlaştırılmadan yalnız “istisna kapsamındayız” denilmesi bu ayrımı açıklamaz. İstisnaların genel çerçevesi 5. bölümde, başvuru ve şikâyetin ayrıntılı usulü ise 19. bölümde ele alınmaktadır.³¹

18.5. Unutulma hakkı; kaynak içerik, arama sonucu ve dijital arşiv ayrımı

Geçmişte yayımlanmış bir haberin, yıllar sonra kişinin adıyla yapılan her aramada yeniden karşısına çıkması ile o haberin bir arşivde korunması aynı hukuki sorun değildir. Unutulma talebini değerlendirirken önce hangi işleme ve hangi erişim biçimine karşı çıkıldığı belirlenmelidir. Kurul, 2020/481 sayılı kararında unutulma hakkını, silme veya anonimleştirmeden ibaret olmayan bir üst kavram olarak ele almış; somut olaya uygun araç seçimini esas almıştır. Böylece mesele, geçmişteki her olayın bütün kayıtlardan yok edilmesini isteme biçiminde kurulmamaktadır.³²

Kaynak içerik, haberin, yazının veya başka bir verinin yayımlandığı asıl sayfadır. Bu içeriğin kaldırılması talebi, yayını sürdüren kişinin işleme faaliyetini ve yayının devamına ilişkin hukuki gerekçeyi ilgilendirir. İşleme sebebinin ortadan kalkması, doğruluk, amaçla sınırlılık ve ilgili kişinin talepleri burada önem taşır. Bunun yanında ifade özgürlüğü kapsamında işleme iddiası varsa Kanun’un 28. maddesinin koşulları ayrıca incelenir. Haber niteliği, kişisel verilerin korunmasını kendiliğinden ortadan kaldıran bir sıfat olmadığı gibi, içeriğin kişisel veri içermesi de bütün yayının hukuka aykırı olduğu anlamına gelmez.³³

Arama sonucu ise kaynak sayfadan farklı bir işlemenin ürünüdür. Kurulun 2020/481 sayılı kararında, arama motorunun bilgiyi bulması, kaydetmesi, düzenlemesi ve sonuç listesi içinde sunması kişisel veri işleme faaliyeti olarak değerlendirilmiş; arama motoru, bu faaliyetin amaç ve vasıtalarını belirlemesi nedeniyle veri sorumlusu kabul edilmiştir. Dolayısıyla yayıncıya yöneltilecek taleple arama motoruna yöneltilecek talebin muhatabı ve konusu ayrılabilir. İlgili kişinin kendi adı ve soyadıyla yapılan aramalarda belirli bağlantılara ulaşılmamasını istemesi, kaynak sayfanın tamamının yayından kaldırılması talebiyle özdeş değildir.³⁴

İndeksten çıkarma yolunda hedef, talebe konu bağlantının kişinin adı ve soyadıyla ilişkilendirilen sonuçlarda gösterilmemesidir. Kaynak içerik yerinde kaldığında, bu tedbir onun metnini ortadan kaldırmaz. Bu nedenle bir arama sonucunun kaldırılmış olması, bütün internet kopyalarının silindiğini veya habere hiçbir yoldan ulaşılamayacağını göstermez. Tersinden, kaynağın yayında bulunması da arama motorunun kişiye ilişkin bağlantıyı aynı şekilde sunmayı her koşulda sürdürebileceği anlamına gelmez. Kurulun ayrı bir indeks işleme faaliyeti kabul etmesi, bu iki sonucun bağımsız değerlendirilmesine imkân verir.³⁴

Dijital arşiv bakımından korunacak menfaat ise yalnız yayıncının ticari çıkarı değildir. Geçmiş haberler, olayların izlenmesi, kamusal tartışmanın anlaşılması ve tarihsel araştırma için de değer taşıyabilir. Kurulun karar ekindeki ölçütler, internet arşivlerinin bu işleviyle kişinin özel hayatı ve itibarı arasında denge kurulmasını ister. Özüdoğru da araç seçiminin arşiv bütünlüğü ile kişinin korunması üzerindeki farklı etkilerine dikkat çeker. Arşivin korunmasıyla her haberin kişinin adı üzerinden sürekli aynı görünürlükte sunulması arasındaki ayrım, bu dengeyi kurmanın başlangıç noktalarından biridir.³⁵

Araç seçilirken yalnız kullanılan etiketle yetinilmemelidir. Haberden adın çıkarılması, adın baş harflerle yazılması, kaynak içeriğin kaldırılması ve belirli arama sonuçlarının gösterilmemesi farklı işlemlerdir. Örneğin adın baş harflerle değiştirilmesi, olayın diğer ayrıntıları kişiyi kolayca tanınır kılıyorsa 2.6’da açıklanan anlamda anonimleştirme sağlamayabilir. Buna karşılık bir kaydın arşivde tutulmasının haklı olması, hangi kimlik bilgilerinin hangi erişim biçimiyle sunulması gerektiği sorusunu cevaplamaz. Seçilen tedbirin hem talebin koruma amacına katkısı hem de ifade ve bilgiye erişim üzerindeki etkisi değerlendirilmelidir.³⁶

Unutulma hakkına yönelik öğretideki eleştiriler de bu araç ayrımıyla birlikte okunmalıdır. Yenice Ceylan, basının kamuyu bilgilendirme işlevi nedeniyle sansür ve ifade özgürlüğü kaygılarının bütünüyle göz ardı edilemeyeceğini, buna karşılık kişinin korunması gereğinin de somut olayda tartılması gerektiğini belirtir. Buradan ne bütün eski haberlerin korunacağı ne de rahatsız edici bulunan her içeriğin silineceği sonucu çıkar. Talebin belirli bir adla arama sonucuna mı, kaynaktaki kimlik bilgisine mi yoksa yayının tamamına mı yöneldiği, müdahalenin ağırlığını ve karşı menfaatin nasıl inceleneceğini etkiler.³⁷

Kurulun arama sonuçlarına ilişkin yaklaşımında ilgili kişi önce arama motoruna başvurur; karşılanmayan talep için kanundaki şikâyet çerçevesi uygulanır. Başvuruda kişinin adıyla yapılan arama, belirli bağlantılar ve bu bağlantılar yönünden ileri sürülen sebepler açıklığa kavuşturulmalıdır. Kaynakta başka bir işlem de isteniyorsa bunun ayrı konusu ve muhatabı gösterilir. Talep nesnesinin belirlenmesinden sonraki soru, ifade özgürlüğü ile kişinin korunması arasındaki dengenin hangi ölçütlerle kurulacağıdır.³⁸

18.6. İfade özgürlüğü, kamusal rol, doğruluk, güncellik ve geçen süre

Unutulma talebi, kişinin rahatsızlığının tespit edilmesiyle veya haberin bir zamanlar doğru olduğunun gösterilmesiyle kendiliğinden sonuçlanmaz. Korunmak istenen kişisel menfaat ile bilginin erişilebilir kalmasındaki kamusal menfaat birlikte gerekçelendirilmelidir. Kurulun 2020/481 sayılı kararında öngörülen denge testi bu iki yönü karşılaştırır; karar ekindeki ölçütler de sınırlı bir liste olarak sunulmaz. Bir ölçütün diğerlerinden koparılarak “tanınmış kişi”, “doğru haber” veya “eski olay” etiketiyle uygulanması, somut incelemenin yerini tutmaz.³⁹

İfade özgürlüğü bakımından mesele yalnız haberi yazanın konuşabilmesi değildir. Başkalarının bilgiye ulaşması, kamusal görevin eleştirilebilmesi ve geçmişteki olayların araştırılabilmesi de değerlendirmeye katılır. Yenice Ceylan’ın vurguladığı sansür kaygısı, kişinin korunması talebini baştan reddetmeyi değil, yapılacak müdahalenin bu işlevleri nasıl etkileyeceğinin açıklanmasını gerektirir. Bilginin arşivde korunması için gösterilen gerekçeyle kişinin adı üzerinden kolayca bulunabilmesi için gösterilen gerekçe de aynı olmayabilir. Böylece 18.5’teki araç ayrımı, dengelemenin içinde somut bir işlev kazanır.⁴⁰

Kamusal rol ölçütü, kişiyi bütün özel hayatıyla kamuya açık hâle getiren bir statü değildir. Kurulun ekinde, siyasetçiler ve belirli meslekleri icra eden kişiler hakkındaki bilgiye erişimde daha güçlü kamu yararı bulunabileceği belirtilirken, bu kişilerin özel hayatına ilişkin bilgilerin de arama sonuçlarından kaldırılabileceği kabul edilir. Bu nedenle haberin kişinin görevi, mesleki faaliyeti veya kamusal açıklamalarıyla ilişkisi ortaya konulmalıdır. İş yaşamına ilişkin bilgi değerlendirilirken kişinin aynı işi sürdürüp sürdürmediği ve yayımlanan ayrıntıların gerekli sınırı aşıp aşmadığı da önem taşır.⁴¹

Doğruluk ile güncellik farklı sorulardır. Bir olayın yaşandığı tarihte doğru aktarılması, bu olayla kişinin bugünkü durumu arasında kurulan her bağlantının doğru olduğu anlamına gelmez. Daha sonra gelişen olayların değerlendirmeye katılması gerekebilir. Öte yandan kişinin haberdeki yoruma katılmamasıyla olgusal bilginin yanlış olması da aynı değildir. Kurulun ölçütlerinde gerçeğin paylaşılması ile yorumlanması ayrılır; yanlışlık iddiasının dayanağı aranır. Talepte hangi ifadenin hangi sebeple yanlış veya yanıltıcı bulunduğunun gösterilmesi, hem doğruluk uyuşmazlığının hem de istenen müdahalenin kapsamını belirler.⁴²

Geçen süre, bilginin işlenme amacıyla ilişkisini ve kişi üzerindeki etkisini değiştirebilir; ancak belirli sayıda yılın dolması bütün haberler için otomatik kaldırma sebebi oluşturmaz. Kurulun güncellik ölçütü, tarihsel veya bilimsel değeri olan bilgi ile kamusal rol taşıyan kişiler bakımından zamanın etkisinin sınırlı olabileceğini de belirtir. Bu nedenle “haber artık yeni değil” ile “bilginin erişilebilir kalmasında hiçbir kamu yararı yok” önermeleri ayrılmalıdır. Özüdoğru’nun dikkat çektiği haberden tarihsel belgeye dönüşüm, zamanın kimi durumda koruma talebini güçlendirirken kimi durumda arşiv değerini devam ettirebilmesini açıklamaya yardımcı olur.⁴³

Kişinin korunma ihtiyacını artıran özellikler de bağımsız olarak incelenir. Kurul ölçütlerinde çocukların üstün yararı, özel nitelikli veriler, kimlik hırsızlığı veya takip edilme riski ve kanıtlanabilir önyargı etkisi yer alır. Bilginin kişi tarafından daha önce yayımlanmış olması ise tek başına bütün sonraki kullanımlara sınırsız izin verildiğini göstermez; rızanın geri alınabilmesi ve kaldırma talebine verilen karşılık da değerlendirmeye katılır. Bu unsurlar, genel sıfatlardan kişinin somut durumuna geçilmesini sağlar; her biri bütün talepler için değişmez bir kabul veya ret kuralına dönüştürülemez.⁴⁴

Kurulun 2020/927 sayılı karar özeti, ret yönündeki bir uygulamayı göstermektedir. Bir kamu üniversitesindeki öğretim üyesi, aile yakınının akademik kadroya alınmasına ilişkin usulsüzlük iddiaları hakkındaki haberlerin adı ve soyadıyla yapılan aramalarda gösterilmemesini istemiştir. Kurul; soruşturma açıldığı bilgisinin doğruluğunu, haberin sürmekte olan çalışma yaşamıyla bağlantısını, güncelliğini ve gazetecilik niteliğini diğer ölçütlerle birlikte değerlendirerek arama motorunun kaldırmama işlemini yerinde bulmuştur. Bu sonuç, isnat edilen usulsüzlüğün kesinleşmiş biçimde kanıtlandığı veya bütün akademik personel haberlerinin sürekli görünür kalacağı anlamına gelmez. Haber içeriğinin gerçeği yansıtmadığı iddiası bakımından kararda ayrıca yargı mercilerine işaret edilmiştir.⁴⁵

Değerlendirmenin sonucu, hangi menfaatin neden üstün geldiği ve hangi müdahalenin bunu karşılamaya elverişli olduğu açıklanarak kurulmalıdır. Kişi bakımından ciddi bir sorun bulunması, yayının tamamını kaldırmanın her durumda gerekli olduğunu göstermez; arşiv değeri de her kimlik unsurunun her erişim biçimiyle korunmasını zorunlu kılmaz. Ret hâlinde erişimin devamındaki gerekçe, kabul hâlinde ise seçilen tedbirin kapsamı belirgin olmalıdır. Böyle bir gerekçe, hem hakkın etkili kullanılmasını hem de ifade özgürlüğüne müdahalenin değerlendirilebilmesini sağlar.³⁹

18.7. GDPR’daki taşınabilirlik, kısıtlama ve itiraz rejimlerinin Türk hukukuyla karşılaştırılması

Veri koruma düzenlemelerinde benzer amaçlara hizmet eden haklar, aynı koşullara ve aynı sonuçlara sahip olmayabilir. GDPR’ın taşınabilirlik, işlemenin kısıtlanması ve işlemeye itiraz hükümleri bu bakımdan ayrı ayrı okunmalıdır. Dülger de bu hakları farklı başlıklar altında incelemekte ve özellikle işlemeye itirazı bütün işleme faaliyetlerine karşı sınırsız bir hak olarak nitelendirmemektedir. Türk hukukuyla karşılaştırmada, yabancı düzenlemenin adından değil talebin konusu, uygulanma şartı ve veri sorumlusunda doğurduğu sonuçtan hareket edilmelidir.⁴⁶

GDPR’ın 20. maddesindeki taşınabilirlik hakkı, kişinin kendisine ilişkin olup veri sorumlusuna sağladığı verileri yapılandırılmış, yaygın kullanılan ve makine tarafından okunabilir bir biçimde almasını; bunları diğer bir veri sorumlusuna engellenmeden iletebilmesini sağlar. Ancak bunun için işlemenin belirtilen rıza hükümlerine veya sözleşmeye dayanması ve otomatik yollarla yapılması koşulları birlikte aranır. Yalnız verinin bilgisayarda bulunması veya yalnız sözleşmeyle bir ilişki kurulmuş olması bu iki koşulun yerine geçmez. Kamusal görevin yerine getirilmesi veya kamu yetkisinin kullanılması için gerekli işleme bakımından maddenin ayrıca sınırı vardır; diğer kişilerin hak ve özgürlükleri de korunur.⁴⁷

Taşınabilirliğin işlevi, kişinin yalnız kayıt hakkında bilgi edinmesinden daha ileridir: verinin başka bir işlem ortamında kullanılabilmesine elverişli biçimde alınmasını hedefler. Teknik olarak mümkünse verilerin bir veri sorumlusundan diğerine doğrudan iletilmesini isteme hakkı da bulunur. Buna karşılık bu hakkın kullanılması, silme hakkının kendisi değildir; 20. madde, 17. maddenin uygulanmasını saklı tutar. Bir hizmetten verilerin alınmasıyla eski hizmetteki bütün kayıtların kendiliğinden silinmesi aynı sonuç olarak düşünülmemelidir. Türk hukukunda 18.1’de açıklanan bilgi ve erişim hakkından, ayrıca bir dayanak göstermeden 20. maddenin bütün format ve doğrudan aktarım ödevleri çıkarılamaz.⁴⁸

İşlemenin kısıtlanması ise verinin ortadan kaldırılması yerine belirli kullanımının sınırlandırılmasıdır. GDPR’ın 18. maddesinde dört durum düzenlenir: doğruluğa itiraz edildiğinde veri sorumlusunun doğrulama yapabileceği süre; hukuka aykırı işlemede kişinin silme yerine kullanımın kısıtlanmasını istemesi; veri sorumlusunun artık ihtiyaç duymadığı veriye kişinin hukuki talepleri için ihtiyaç duyması; 21. madde kapsamındaki itiraz üzerine üstün gerekçelerin incelendiği süre. Bu ayrım, örneğin uyuşmazlıkta gerekli bir kaydın korunmasıyla onun olağan faaliyetlerde kullanılmasının aynı mesele olmadığını gösterir.⁴⁹

Kısıtlanan veri bakımından saklama dışındaki işleme, 18. maddenin ikinci fıkrasındaki sebeplerle sınırlandırılır; kişinin rızası, hukuki talepler, başka kişilerin haklarının korunması veya önemli kamu yararı bu çerçevede düzenlenir. Kısıtlama kaldırılmadan önce kişiye bilgi verilmesi de gerekir. Dolayısıyla kısıtlama ne bütün verilerin silinmesi ne de hiçbir istisnası olmayan mutlak işlem yasağıdır. GDPR’ın 19. maddesi, ilgili düzeltme, silme veya kısıtlama işlemlerinin alıcılara bildirilmesini de kendi koşullarıyla düzenler. Bu sistemin sonucu, Türk hukukundaki düzeltme ve imha taleplerinin sonucuyla yalnız ad benzerliği üzerinden eşitlenemez.⁵⁰

GDPR’ın 21. maddesinin birinci fıkrasındaki itiraz, kişinin özel durumuyla ilgili gerekçelere dayanır ve 6. maddenin birinci fıkrasının (e) veya (f) bentlerine dayalı işlemleri, bu temeldeki profilleme dâhil, kapsar. Kamu yararına görev veya kamu yetkisi ile meşru menfaat dayanakları bu nedenle ayrı önem taşır. İtiraz üzerine veri sorumlusu, kişinin menfaat, hak ve özgürlüklerinden üstün gelen zorlayıcı meşru sebepleri veya hukuki taleplere ilişkin dayanağı ortaya koymadıkça işlemeyi sürdürmez. Bu rejim, her hukuki sebebe dayanan bütün işlemlere karşı genel bir veto değildir.⁵¹

Doğrudan pazarlama bakımından ise 21. maddenin ikinci ve üçüncü fıkraları farklı sonuç öngörür. Kişi bu amaçla işlemeye, onunla bağlantılı olduğu ölçüde profilleme dâhil, her zaman itiraz edebilir; itiraz üzerine veriler o amaçla artık işlenmez. Burada birinci fıkradaki gibi üstün meşru sebep tartışmasıyla doğrudan pazarlamayı sürdürme imkânı düzenlenmemiştir. Hakkın en geç kişiyle ilk iletişimde açıkça ve diğer bilgilerden ayrı sunulması da önemlidir. Böylece aynı maddede yer alan itiraz türlerinin dahi gerekçesi ve sonucu farklılaşır.⁵²

Türk Kanunu’nun 11. maddesinin birinci fıkrasının (g) bendi ise münhasıran otomatik analizden çıkan aleyhe sonuca yöneliktir; bunu GDPR m.21’deki özel durum veya doğrudan pazarlama itirazıyla özdeşleştirmek doğru değildir. Türk hukukunda rızanın geri alınması, işleme şartının bulunmaması, ölçüsüz kullanım veya gereksiz saklama bakımından ileri sürülebilecek talepler de kendi dayanaklarıyla değerlendirilir. Bunların varlığı, GDPR m.18,20 ve 21’in bütün düzeninin 11. maddede aynen bulunduğu anlamına gelmez. Tersinden, 11. maddedeki farktan hareketle diğer kanun veya sektör düzenlemelerinde hiçbir hak bulunmadığı sonucu da kurulamaz.⁵³

Karşılaştırmanın uygulamadaki ilk sorusu bu nedenle hangi hukuk düzeninin hangi işleme bakımından uygulandığıdır. Türk hukukuna tabi bir bilgi talebini sırf “taşınabilirlik” diye adlandırmak, tek başına GDPR’ın sonucunu yaratmaz; GDPR’a tabi bir işlemde de talebin yalnız Türk Kanunu’nun 11. maddesindeki listeye göre değerlendirilmesi yeterli olmaz. Talep, kullanılmak istenen hakka ve onun koşullarına bağlandığında, bilgi edinme, başka hizmete veri taşıma, kullanımın durdurulması ve belirli sonuca itiraz arasındaki fark görünür hâle gelir.⁵⁴

Dipnotlar