Bir müşteri bilgi istiyor: otuz gün içinde ne vermeniz gerekir

KVKK m.11 her kişiye, hakkında veri işleyip işlemediğinizi ve işliyorsanız hangilerini işlediğinizi öğrenme hakkı verir. Türkiye'de bu hakkın kullanılışı, birçok ülkedekinden daha biçimseldir: başvuru yazılı olarak ya da kayıtlı elektronik posta, güvenli elektronik imza, mobil imza yahut kişinin size daha önce bildirdiği ve sisteminizde kayıtlı olan e-posta adresi üzerinden iletilir. Yani tezgâhta söylenen bir cümle henüz usulüne uygun bir başvuru değildir — ama onu görmezden gelmek de doğru değildir; kişiye başvuruyu nasıl yapacağını söylemek en ucuz yoldur.

Arkadaki emek hukuktan çok arşivinize bağlıdır. İçine girecek olanların listesi sınırlıdır ve bir saatte hazırlanır — verilerin nerede durduğunu biliyorsanız. Dört ayrı sistemde duruyorlarsa aynı saat bir hafta sonuna dönüşür. Bu yazı akışı anlatıyor; bir yön göstermedir ve tartışmalı tekil durumlara Kişisel Verileri Koruma Kurumu ya da bir hukukçu karar verir.

İki şey sıkça birbirine karıştırılır. Birincisi, hakkında hiç veri işlenip işlenmediğinin teyididir. İkincisi, işleniyorsa o verilere ve işlemenin kendisine ilişkin bilgidir. İkincisi şunları kapsar:

• hangi kişisel verilerin işlendiği,
• işlenme amacı ve verilerin amacına uygun kullanılıp kullanılmadığı,
• yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişiler,
• veriler kişinin kendisinden alınmadıysa kaynağı,
• öngörülen saklama süresi ya da süreyi belirleyen ölçütler,
• eksik veya yanlış işlenmişse düzeltilmesini isteme hakkı,
• silinmesini ya da yok edilmesini isteme hakkı ve bu işlemlerin aktarılan üçüncü kişilere bildirilmesini isteme hakkı,
• münhasıran otomatik sistemlerle yapılan bir analiz sonucu aleyhe bir sonuç doğup doğmadığı ve Kurul'a şikâyet yolu.

Bunların büyük bölümü küçük bir işletmede bütün başvurular için aynıdır — bir kez yazılır ve yeniden kullanılır. Kişiye göre değişen yalnızca verilerin kendisidir. Bir şablonun değmesinin nedeni de budur: sabit bölüm, değişen bölümden büyüktür.

Yanıt en kısa sürede ve en geç otuz gün içinde verilir ve kural olarak ücretsizdir. İşlemin ayrıca bir maliyeti gerektirmesi hâlinde Kurul'un belirlediği tarifedeki ücret istenebilir; tarife dışında kendi hesabınızı yapamazsınız. Başvuru elektronik ortamdan geldiyse yanıtı da elektronik ortamdan vermek yerindedir.

Süre m.13'te durur: en kısa sürede, her hâlükârda başvurunun size ulaşmasından itibaren otuz gün içinde. Otuz gün, başvurunun size ulaştığı anda işlemeye başlar; onu başvuru olarak fark ettiğiniz günde değil. Genel e-posta adresine düşen iletileri haftalarca bekletmemenin somut nedeni budur.

Ve burada, AB düzeniyle arasındaki en önemli farklardan biri durur: Türk hukukunda bu sürenin uzatılması diye bir mekanizma yoktur. GDPR bir aylık süreyi karmaşık başvurularda iki ay daha uzatmaya izin verirken, KVKK böyle bir imkân tanımaz. Başvuru karmaşık olduğu için gecikeceğini bildiren bir yazı, süreyi uzatmaz; yalnızca nezaket olur. Bu yüzden hazırlık — verilerin nerede durduğunu önceden bilmek — burada AB'dekinden daha ağır basar.

Bir başvuruya olumlu yanıt vermeyecekseniz iş sessizlikle bitmez. Talebi reddediyorsanız gerekçesini yazılı olarak ya da elektronik ortamda açıklamanız gerekir. Yani her hâlde bir yanıt vardır, olumsuz olan da.

Bu yüzden başvurunun size ulaştığı tarihi, tıpkı bir siparişin geliş tarihi gibi bir yere yazın. Otuz gün kısadır ve tatile, bayrama ya da hastalığa göre uzamaz; süreyi kaçırmanın en yaygın nedeni ihmal değil, başvurunun ne zaman geldiğinin sonradan bilinmemesidir.

Yanıtınızın ardından yol açık kalır: başvuru reddedilir, verilen yanıt yetersiz bulunur ya da süresinde yanıt verilmezse ilgili kişi, yanıtı öğrendiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurul'a şikâyette bulunabilir. Bu tarihleri bilmek işinize yarar, çünkü zamanında verilmiş sade bir yanıt, şikâyet yolunu en baştan gereksiz kılar.

Bilgi, ilgili kişiye gider — başka kimseye. Yanlış kişiye verilen bilgi başlı başına bir veri ihlalidir, üstelik kendi elinizle yol açtığınız bir ihlal. Bu yüzden kimlik doğrulaması yanıttan önce gelir.

Başvuru usulü burada işinizi kolaylaştırır: kişinin size daha önce bildirdiği ve sisteminizde kayıtlı olan e-posta adresinden gelen bir başvuru, kimliği zaten büyük ölçüde ortaya koyar. Buna karşılık bilinmeyen bir adresten gelen bir iletide durum başkadır. İki sınır önemlidir:

• Kuşkunun bir nedeni olmalı. Başvuru yıllardır kartelanızda duran adresten geliyorsa, kural olarak kimlik belgesi istemek için bir sebebiniz yoktur.
• Doğrulama bir veri toplamaya dönüşmemeli. Yalnızca olası başvuruları yanıtlayabilmek için veri biriktirmek, kuralın amacını tersine çevirir. Sonradan saklayacağınız bir kimlik fotokopisi, çözdüğünden fazla sorun yaratır.

Uygulamada basit bir yol taşır: kişinin sizde bilinen kanalı üzerinden yanıtlayın. Başvuru bilinmeyen bir adresten geldiyse, kayıtlı numara ya da adres üzerinden geri sorun. Bu bir eziyet değildir ve tek cümleyle açıklanabilir.

Biri başkası adına soruyorsa — yakını, bir hukuk bürosu, vasi — temsil yetkisinin belgelenmesi gerekir. Bu belge olmadan reddederek değil, sorarak yanıt verirsiniz, ve süre işlemeye devam eder.

En sık yapılan hata fazla kısa yanıt değil, fazla cömert yanıttır. Başkalarına ait kişisel verileri, kendi hukuki sebebiniz olmadan üçüncü bir kişiye açmak, kendi başına hukuka aykırı bir işleme olur. Buradan, göndermeden önce üzerinden geçtiğiniz bir istisna listesi çıkar.

İstisnanın yönü önemlidir: bir yerde yabancı bir ad geçiyor diye bilginin tamamını reddetmenize izin vermez. Yalnızca başkalarının haklarına dokunan kısmı tutmanıza izin verir. Gerisi çıkar.

Bir şey daha girmez: savunma. Yanıtın açık, anlaşılır ve sade bir dille verilmesi gerekir. Saklamanın neden gerekli olduğunu anlatan üç paragrafla başlayan bir yanıt, yalın bir dökümden daha kötü karşılar bu ölçüyü.

Şimdi asıl emeğe gelelim. Yanıt, kişi hakkında işlediğiniz bütün verileri kapsar — bir sistemdekileri değil. Tipik bir küçük işletmede bunlar en az dört yerde durur: randevu takviminde, müşteri kartelasında, faturalarda ve iletişimde, yani e-postalarda ve mesajlarda.

Buna sessiz yerler eklenir: bülten için tutulan tablo, web sitesindeki form, randevu aracı, mali müşavirin fatura programı, resepsiyondaki defter, işletme WhatsApp hattı. Bu yerlerin her biri tek başına zararsızdır. Birlikte, bir yanıtı asıl zahmetli kılan soruyu doğururlar: Hiçbirini unutmadığınızdan emin misiniz?

Randevuları, kartelayı ve faturaları tek bir sistemde tutmanın en dürüst gerekçesi buradadır — günlük zaman kazancı değil, bu sorunun yanıtlanabilir olması. Her şeyin tek yerde durduğu yerde yanıt bir dışa aktarımdır. Dağıldığı yerde, sonu belirsiz bir aramadır. Bir salon için bu birleştirmenin nasıl göründüğünü salon yazılımı, bir oto servis için oto servis programı gösteriyor.

Araçtan bağımsız olarak, önceden yazdığınız bir liste yardımcı olur: müşteri verisinin durduğu her yer için bir satır, yanında orada nasıl arandığına dair bir kelime. Aynı liste daha sonra bambaşka bir soruyu da yanıtlar: yazılım değiştirdiğinizde müşteri verilerinden gerçekte ne kadarının taşındığı. Listeyi yılda bir kez elden geçirmek yeter; ama yeni bir araç işe girdiğinde ya da biri kullanımdan kalktığında ilgili satırı aynı gün güncelleyin, çünkü bir başvurunun geldiği gün liste ya doğrudur ya da hiçbir işe yaramaz. Yanına ikinci bir sütun koymaya da değer: verinin o yerde ne kadar kaldığı. Otuz gün içinde yanıt yazarken bunu her seferinde yeniden aramak zorunda kalmazsınız. Bu liste zaten kişisel veri işleme envanterinizle neredeyse aynıdır — yani onu iki kez yazmıyorsunuz.