Bir araştırma dosyası açtığınızda yalnızca karşı tarafın değil, sizin de verileriniz işlenmeye başlar: kimlik bilgileriniz, iletişim kanallarınız, anlattığınız aile veya iş ilişkileri, teslim edilen belgeler. 6698 sayılı Kanun bu işleme faaliyetini kurala bağlar ve size somut haklar tanır. Bu yazı, müvekkil tarafından bakıldığında neyin talep edilebileceğini anlatıyor.
Kim veri sorumlusu, kim veri işleyen?
Ayrım pratik sonuçlar doğurur. Araştırmayı kendi adına yürüten bir büro, topladığı veriler bakımından veri sorumlusudur; işlemenin hukuki dayanağını kurmak, güvenliği sağlamak ve imhayı yapmak onun yükümlülüğüdür.
Çalışma bir şirket adına yürütülüyorsa — örneğin işe alım doğrulaması veya kurumsal inceleme — tablo değişir: şirket veri sorumlusu, büro veri işleyen konumuna gelir. Bu durumda aralarında yazılı bir sözleşme bulunması gerekir ve nihai sorumluluk şirkette kalır. Kurumsal bir çalışma yaptırıyorsanız bu sözleşmenin varlığını sormanız gerekir.
İşlemenin bir dayanağı olmalı
Kanun'un 5. maddesi, kişisel verilerin kural olarak açık rıza ile işlenebileceğini söyledikten sonra rıza aranmayan halleri sayar. Araştırma dosyalarında en sık başvurulan dayanak, bir hakkın tesisi, kullanılması veya korunması için işlemenin zorunlu olmasıdır.
Buradaki kritik kelime "zorunluluk"tur. Somut bir hak talebine — açılmış ya da açılacak bir davaya, bir icra takibine, bir sözleşme ilişkisine — bağlanamayan bir araştırma bu kapsama girmez. Merak veya genel bir güvensizlik üzerine kurulmuş bir talep, hukuki dayanağı olmayan bir veri işleme faaliyeti doğurur ve bu, talebi yapan kişi bakımından da risk taşır.
Bürodan talep etmeniz gereken yedi güvence
Sözleşmede yazılı olması gerekenler
| Ölçüt | Karşılığı |
|---|---|
| İşleme dayanağı | Hangi hukuki sebebe dayanıldığı açıkça yazılmalı; "rıza aldık" demek çoğu dosyada doğru dayanak değildir. |
| Kapsam sınırı | Hangi veri kategorilerinin toplanacağı ve hangilerinin toplanmayacağı belirtilmeli. |
| Özel nitelikli veri yasağı | Sağlık, inanç, siyasi görüş, cinsel hayat gibi Kanun m.6 kapsamındaki verilerin toplanmayacağı yazılı olmalı. |
| Erişim çemberi | Dosyaya kaç kişinin erişeceği ve bu kişilerin gizlilikle bağlı olduğu tanımlı olmalı. |
| Saklama süresi | Belirli bir süre yazılmalı — "arşivde durur" bir süre değildir. |
| İmha yöntemi | Silme, yok etme veya anonimleştirmeden hangisinin uygulanacağı ve yedeklerin de kapsama dahil olduğu belirtilmeli. |
| İhlal bildirimi | Bir veri ihlali halinde size ne kadar sürede ve nasıl bildirileceği yazılı olmalı. |
Amaç dışı veri: raporda ne olmamalı
Bir saha çalışması sırasında, araştırılan vakıayla ilgisi olmayan bilgilerle karşılaşılması olağandır: kadraja giren üçüncü kişiler, konuyla ilgisiz özel yaşam ayrıntıları, sağlık durumuna dair izlenimler. Kanun'un amaçla bağlantılılık ve ölçülülük ilkeleri, bu bilgilerin toplanmamasını ve rapora taşınmamasını gerektirir.
Pratikte doğru davranış şudur: üçüncü kişilerin kimlikleri raporda maskelenir, dosyayla ilgisi kurulamayan gözlemler kayıt dışı bırakılır, özel nitelikli veriye rastlanırsa kayda geçirilmez. Bu yalnızca hukuki bir zorunluluk değil, raporun mahkemede itiraz almasını da zorlaştıran bir kalite unsurudur.
Saklama ve imha: dosya kapandığında
Kanun'un 7. maddesi, işlenmesini gerektiren sebepler ortadan kalktığında verilerin silinmesini, yok edilmesini veya anonim hale getirilmesini öngörür. Bir araştırma dosyasında tipik yaklaşım, yargılama süreci ve olası kanun yolları tamamlanana kadar saklamak, ardından imha etmektir.
İmhanın belgelenmesi de önemlidir: hangi veri kategorisinin, hangi tarihte, hangi yöntemle imha edildiği kayıt altına alınmalıdır. İmha edildiğini gösteremeyen bir veri sorumlusu, imha etmemiş sayılır. En sık atlanan nokta ise yedeklerdir; ana sistemden silinip yedekte kalan veri imha edilmiş olmaz.
Size tanınan haklar
Kanun'un 11. maddesi ilgili kişiye somut haklar tanır. Bunlar yalnızca karşı taraf için değil, müvekkil olarak sizin için de geçerlidir.
- Verilerinizin işlenip işlenmediğini öğrenme ve işlenmişse buna ilişkin bilgi talep etme.
- İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme.
- Verilerin aktarıldığı üçüncü kişileri bilme.
- Eksik veya yanlış işlenmişse düzeltilmesini isteme.
- İşlenmesini gerektiren sebepler ortadan kalktığında silinmesini veya yok edilmesini isteme.
- Düzeltme ve silme işlemlerinin aktarıldığı üçüncü kişilere bildirilmesini isteme.
- Hukuka aykırı işleme sebebiyle zarara uğramışsanız zararın giderilmesini talep etme.
Bu talepler veri sorumlusuna yazılı olarak iletilir ve Kanun'da öngörülen süre içinde sonuçlandırılması gerekir. Sonuç alınamazsa Kişisel Verileri Koruma Kurulu'na şikâyet yolu açıktır.
Veri ihlali olursa
Kanun'un 12. maddesi, işlenen verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde veri sorumlusunun bu durumu en kısa sürede ilgili kişiye ve Kurul'a bildirmesini öngörür. Kişisel Verileri Koruma Kurulu bu süreyi, ihlalin öğrenilmesinden itibaren 72 saat olarak uygulamaktadır.
Müvekkil olarak sizin için bunun anlamı şudur: bir sızıntı halinde haberdar edilme hakkınız vardır ve bu hakkın sözleşmede açıkça yer alması gerekir. "Bize bildirilir mi?" sorusunun cevabı belirsiz olan bir çalışmada, olası bir ihlali aylar sonra öğrenirsiniz.
Gizlilik bir prosedürdür
İlk görüşmede başka müvekkillerin dosyalarından somut örnekler anlatan bir yaklaşım, aynısını sizin dosyanıza da yapacağını göstermiş olur. Gizlilik bir sunum malzemesi değil, uygulanan bir düzendir: iletişim kanalının belirlenmesi, erişimin sınırlanması, belgelerin şifreli saklanması ve dosya kapanışında imha.
İstanbul Özel Dedektiflik olarak çalışma başlarken saklama süresini ve imha yöntemini yazılı olarak bildirir, erişim çemberini asgaride tutar ve amaç dışı kalan kişisel bilgileri rapora taşımayız. Bu yazı genel bilgilendirme amaçlıdır ve hukuki tavsiye yerine geçmez.
Sıkça sorulan sorular
Verilerimin ne kadar süre saklandığını öğrenebilir miyim?
Evet. Bu bilgi sözleşmede yazılı olmalıdır; ayrıca Kanun m.11 kapsamında yazılı olarak talep edebilirsiniz.
Dosyamın imha edildiğini nasıl doğrularım?
İmha kaydı talep edin: hangi veri kategorisinin, hangi tarihte, hangi yöntemle imha edildiği ve yedeklerin kapsama dahil olup olmadığı belirtilmelidir.
Büro verilerimi başka birine aktarabilir mi?
Aktarım ancak Kanun'un öngördüğü şartlarda ve sizin bilginiz dahilinde yapılabilir. Aktarılan üçüncü kişileri öğrenme hakkınız vardır.
Şirketim adına araştırma yaptırıyorum, sorumluluk kimde?
Bu halde şirketiniz veri sorumlusu, büro veri işleyen olur; aranızda yazılı bir sözleşme bulunması gerekir ve nihai sorumluluk şirkette kalır.
Karşı taraf benim hakkımda KVKK başvurusu yaparsa ne olur?
Veri sorumlusu, işlemenin hukuki dayanağını ve ölçülülüğünü gösterebilmelidir. Kapsamı yazılı, dayanağı tanımlı ve amaçla sınırlı yürütülmüş bir çalışmada bu savunma sağlamdır.
Özel nitelikli veriye rastlanırsa ne yapılır?
Sağlık, inanç, cinsel hayat gibi Kanun m.6 kapsamındaki veriler kayda geçirilmez ve rapora taşınmaz. Bunun sözleşmede yazılı olmasını isteyebilirsiniz.