KVKK Başvurusu ve Unutulma Hakkı: Kişisel Veri İhlalinde Hak Arama Rehberi

Telefon numaranız hiç üye olmadığınız şirketlerin elinde nasıl bitti? Yıllarca geride kalan bir haber linki iş görüşmelerini nasıl baltalıyor? Bu soruların cevabı 6698 sayılı Kişisel Verilerin Korunması Kanunu'nda (KVKK) ve onun tanıdığı güçlü haklarda saklı. Türkiye'de kişisel veriler üzerindeki haklar; veriyi düzelttirmek, tamamen sildirmek, üçüncü kişilere aktarımını durdurmak ve uğranılan zararın tazminini istemek gibi somut mekanizmalar içeriyor. Dahası bu haklar birbirini dışlamıyor: aynı anda hem idari şikayet hem tazminat davası hem de ceza başvurusu yürütülebiliyor.

Yanlış anlaşılan en önemli nokta şu: süreci başlatmak için avukat tutmak ya da mahkemeye gitmek zorunlu değil. Kanun, ilk adımı sizin doğrudan veri sorumlusuna yazacağınız bir dilekçeye bağlamış. Bu adım atlanmadan Kişisel Verileri Koruma Kuruluna başvurulamıyor. Ama bu ilk adım doğru atılırsa ardından gelen yaptırım mekanizmaları son derece etkili işleyebiliyor; Kurul milyonlarca liraya ulaşabilen idari para cezaları uygulayabiliyor, verilerin silinmesini emredebiliyor ve kararına karşı açılan idare mahkemesi davaları nihai kararı bağlayıcı hale getirebiliyor. Bu rehberde bu sürecin her adımını, gerçek hayattan beslenen bir vaka üzerinden ve sahada işe yarayan pratik bilgilerle ele alıyoruz.

Çifte İhlal: Selin'in İki Farklı Kabusuna Ne Oldu?

Selin Arslan (isimler temsilidir), 34 yaşında İstanbul'da kurumsal bir şirkette çalışan bir pazarlama uzmanıydı. Sorunu aslında iki farklı yönden geliyordu ve her ikisi de onu günlük hayatta doğrudan etkiliyor, dahası kariyer planlarını sekteye uğratıyordu.

Birinci sorun: Selin haftada ortalama beş-altı kez, hiçbir zaman iletişim bilgilerini vermediği kredi, sigorta ve kargo firmalarından arama alıyordu. Özellikle hafta sonları gelen bu aramalar hem bunaltıcı hem de anlamsızdı. Numara engellemek geçici çözüm oluyordu; birkaç gün sonra farklı bir numaradan devam ediyordu. SMS yağmuru ise özellikle akşam saatlerinde geliyordu. Selin ne bu firmalara üye olmuştu ne de herhangi bir kampanyaya onay vermişti.

İkinci sorun daha sinsi bir şekilde işliyordu. Yedi yıl önce Selin, çalıştığı bir şirkette yaşanan toplu işten çıkarmada ismini de içeren bir haber yayımlanmıştı. Haber tamamen taraflıydı, pek çok detay yanlıştı ve Selin zaten aynı yıl davayı kazanıp tazminatını almıştı. Ama haber oradan kalkmamıştı. Adını Google'a yazan herkes bu haberi ilk sayfada görüyordu. İş görüşmelerine gittiğinde zaman zaman "bu siz misiniz?" diye sorulduğunu, bir kez açıkça elenerek geri bildirim aldığını anlatıyordu: "Geçmişteki hukuki süreçleriniz nedeniyle ilerlemeye karar vermedik."

Bir hukuk bloğunda KVKK hakları hakkında makale okuyan Selin, bir İstanbul avukatıyla görüşme yaptı. Avukat Kerem Doğan (isimler temsilidir), iki sorunun da çözülebilir olduğunu ama birbirinden farklı yollar gerektirdiğini açıkladı. İzinsiz aramaları kesmek için KVKK başvurusu ve İYS şikayeti, haberi Google'dan kaldırmak için ise unutulma hakkı mekanizması devreye girecekti. Bu rehber, Selin'in izlediği yolu adım adım anlatıyor.

KVKK'nın Size Tanıdığı Haklar: m.11 Envanteri

6698 sayılı Kanun'un 11. maddesi, "ilgili kişi" yani verisi işlenen herkesin sahip olduğu hakları tek tek sıralıyor. Bu haklar soyut güvenceler değil; her biri ayrı bir başvuru kalemi olarak kullanılabiliyor. Şimdi bu envanteri bir tablo üzerinden görelim:

Bu haklardan birini kullanmak için mağdur olmak şart değil. Örneğin bir şirketin sizi kayıt altında tuttuğundan şüpheleniyorsanız öğrenme hakkını kullanarak dilekçe yazabilirsiniz; şirket yasal olarak cevap vermek zorunda. Öte yandan haklardan birkaçını aynı anda kullanmak da mümkün: Selin hem verilerin nereden geldiğini öğrenmek hem de silinmesini talep etmek için tek bir başvuru kaleme aldı.

Zorunlu İlk Adım: Veri Sorumlusuna Başvuru (30 Gün Kuralı)

KVKK sürecinde en kritik adım, doğrudan Kişisel Verileri Koruma Kuruluna gitmek değil, önce veri sorumlusuna yazılı başvuruda bulunmak. Bu adım yasal bir ön koşul; atlanırsa Kurul başvuruyu usul yönünden reddeder. Peki "veri sorumlusu" kim? Kişisel verilerinizi toplayan ve kullanan tüzel ya da gerçek kişi: kredi firması, eski işverenin şirketi, e-ticaret sitesi, haber portalı veya arama motoru Türkiye temsilciliği.

Başvuru nasıl yapılır sorusunun yasal yanıtı şu: ya yazılı olarak (iadeli taahhütlü mektup veya noter kanalıyla) ya da kayıtlı elektronik posta (KEP) adresiyle ya da şirketin daha önce bildirdiği başvuru kanalıyla gönderirsiniz. Şirketin web sitesinde "Kişisel Veri Başvuru Formu" diye bir bölüm varsa oradan da başvurabilirsiniz; bu durumda başvurunuz yine kayıt altında tutulur. E-posta veya telefon yeterli değil; somut bir iz bırakmanız gerekiyor çünkü ileride süre hesabı bu tarihten yapılacak.

Veri sorumlusu, başvurunuzu aldıktan sonra en geç 30 gün içinde size yanıt vermekle yükümlü. Bu süre başvurunun şirkete ulaştığı günden, yani teslim tarihinden başlıyor; dilekçeyi kaleme aldığınız günden değil. Yanıt yazılı veya elektronik ortamda gelebilir; başvurunuz nerede yapıldıysa aynı kanaldan cevap verilmesi esas.

Selin, izinsiz aramaları durdurmak için kredi firmasına iadeli taahhütlü mektup gönderdi. Mektupta verilerinin nereden elde edildiğini, kimlere aktarıldığını ve silinmesini talep ettiğini açıkça yazdı. 18. günde şirketten gelen yanıtta "talep işleme alındı, sistem kaydınız sonlandırıldı" yazıyordu. Ama bu her zaman böyle yürümüyor; yanıt gelmeyince ya da red gelince sıra Kurula başvurmaya geliyor.

Kurula Şikayet: 30/60 Gün Kuralı ve Yaptırımlar

Veri sorumlusu 30 gün içinde cevap vermezse ya da verdiği yanıt sizi tatmin etmezse (örneğin "verilerinizi silmek zorunda değiliz" derse) Kişisel Verileri Koruma Kuruluna şikayet hakkınız doğar. Bu şikayeti belirli süreler içinde yapmanız gerekiyor; süre geçince hakkınız düşebilir.

Süre Hesabı

Yanıt aldıysanız: cevabı öğrendiğiniz günden itibaren 30 gün içinde Kurula başvurmanız gerekiyor. Yanıt almadıysanız: başvuru tarihinden itibaren her halükarda 60 gün içinde şikayetinizi iletmeniz gerekiyor. Bu iki süre çakışıyor gibi görünse de pratikte önemli bir ayrım var: cevap geç gelirse (örneğin 28. günde) o günden itibaren yeni 30 günlük süreniz başlıyor. Süreleri takviminize not edin; aksi halde itiraz hakkınızı kaybedebilirsiniz.

Kurul Başvurusu Nasıl Yapılır?

Kişisel Verileri Koruma Kurumunun resmi web sitesi üzerinden çevrimiçi başvuru formu doldurabilirsiniz. Forma eklenecek belgeler: veri sorumlusuna yaptığınız başvurunun kopyası, teslim alındığına dair kanıt (posta alındısı, KEP kaydı), gelen yanıtın kopyası (ya da yanıt gelmediğine dair beyan) ve varsa destekleyici ekler (örneğin gelen aramaları gösteren telefon çıktısı, ekran görüntüsü).

Kurul Ne Yapabilir?

Kurul, şikayeti kabul ederse veri sorumlusuna karşı birden fazla yaptırım uygulayabiliyor: verilerin işlenmesinin durdurulması, verilerin silinmesi ya da yok edilmesi talimatı ve milyonlarca liraya ulaşabilen idari para cezaları. Kurulun kararı bağlayıcıdır; veri sorumlusu bu karara uymak zorunda. Eğer vermek isterse Kurul kararını açıklamaya da yetkisi var; bu durum şirketler için ciddi itibar riski oluşturuyor.

Unutulma Hakkı: Google'dan Silinmenin 3 Yolu

Unutulma hakkı, kişinin adıyla yapılan internet aramalarında çıkan ancak güncelliğini ya da kamu yararı niteliğini yitirmiş içerik bağlantılarının kaldırılmasını talep etme hakkıdır. Temel mantık şu: ilgili içeriğin internette kalmaya devam etmesi, o kişi için geçmişe kıyasla orantısız bir zarar yaratıyor olmalı. Eski bir küçük trafik cezası, ödenerek kapanmış bir borç davası ya da kamuoyundaki tartışma değerini yitirmiş bir haber bu kapsamda değerlendirilebilir. Selin'in durumu da tam buydu; yıllarca önceki haber artık ne güncel ne de kamusal yararı olan bir içerikti.

Bu hakkı uygulamak için üç farklı yol var ve bunların hangisini seçeceğiniz, içeriğin niteliğine ve ne kadar hızlı sonuç istediğinize göre değişiyor:

Yol 1 — Arama motorunun kendi başvuru formu: Google ve Bing, Türkiye'den gelen "kişisel bilgileri kaldırma" başvurularını kabul eden ayrı formlar sunuyor. Bu formu doldururken içeriğin neden kaldırılması gerektiğini, kamu yararını neden taşımadığını ve size nasıl zarar verdiğini yazılı olarak açıklıyorsunuz. Google başvurunuzu birkaç hafta içinde değerlendiriyor. Olumlu karar halinde bağlantı arama sonuçlarından kaldırılıyor ama içerik barındıran siteden silinmiyor; haber hâlâ var, yalnızca isminizi arayanlar onu görmüyor. Bu önemli bir fark.

Yol 2 — KVKK Kuruluna şikayet: Arama motoru başvurunuzu reddederse ya da makul sürede yanıt vermezse Kişisel Verileri Koruma Kuruluna şikayet edebilirsiniz. Kurul bu konuda daha önce bağlayıcı kararlar vermiş ve arama motorlarını belirli sonuçları kaldırmaya yükümlü kılmıştır. Bu yol Yol 1'e göre daha uzun sürüyor; ancak Kurul kararı bağlayıcı olduğu için ret riski daha düşük.

Yol 3 — 5651 m.9 kapsamında sulh ceza hakimliği: İçerik doğrudan kişilik hakkı ihlali boyutundaysa (örneğin yanlış bilgi içeriyorsa ya da onur kırıcı nitelikteyse) Sulh Ceza Hakimliğine başvurabilirsiniz. Bu yolda karar 24 saat içinde uygulanabiliyor; üstelik sadece arama motoru bağlantısı değil, içeriğin barındırıldığı site de kapsamda olabiliyor. Selin, avukatı Kerem ile birlikte her üç yolu da sırayla denemeye karar verdi: önce Google formu, reddedilirse Kurul şikayeti.

İçerik Kaldırma: 5651 Sulh Ceza Yolu

5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun'un 9. maddesi, kişilik haklarının ihlal edildiği durumlarda oldukça hızlı bir mekanizma sunuyor. Bu yol, KVKK'nın idari kanallarından farklı çalışıyor; burada bir hâkim kararı söz konusu ve yaptırım 24 saat içinde uygulanabiliyor.

Bu yolu kullanabilmek için içeriğin kişilik hakkınızı ihlal etmesi gerekiyor. Kişilik hakkı ihlali; şeref ve itibarı zedeleyici yanlış bilgi, özel yaşama müdahale, rızası alınmadan yayımlanan görüntü veya ses kayıtları ya da kişiyi küçük düşüren içerikler şeklinde tezahür edebilir. Salt "istemiyorum" gerekçesi yeterli değil; hukuki olarak korunan bir değerin zarara uğradığı gösterilmeli.

Süreç iki aşamalı ilerleyebiliyor: Önce içerik ya da yer sağlayıcıya doğrudan başvurabilirsiniz. Site Türkiye'de hizmet veriyorsa ve başvurunuza yanıt vermezse ya da içeriği kaldırmazsa Sulh Ceza Hakimliğine başvuruyorsunuz. Hâkim, talebi değerlendirip kararını genellikle 24 saat içinde veriyor. Karar, URL bazlı erişim engelleme ya da içeriğin tamamen kaldırılması şeklinde olabiliyor. Yurt dışı kaynaklı içeriklerde çoğunlukla URL bazlı engelleme uygulanıyor çünkü Türk mahkemelerinin yurt dışı sunuculara erişimi sınırlı; ama bu dahi ülke içinden habere ulaşmayı fiilen engelliyor.

Selin'in durumunda haber Türkiye'de yayın yapan bir portaldaydı. Avukatı, içerik sağlayıcıya önce ihtarname gönderdi; site 48 saat içinde yanıt vermedi. Ardından Sulh Ceza Hakimliğine başvuruldu. Hâkim, haberin güncelliğini yitirdiğini ve Selin'in şeref ve itibarını zedelediğini değerlendirerek 24 saat içinde erişim engeli kararı verdi. Google formu da eş zamanlı olarak işleme alındı.

Ceza ve Tazminat Boyutu: Paralel Silahlar

KVKK başvurusu ve Kurul şikayeti idari yollar; yani devletin idare fonksiyonu içinde çalışıyorlar. Ama kişisel veri ihlalleri aynı zamanda iki farklı hukuk dalında daha yaptırım doğurabiliyor: ceza hukuku ve özel hukuk tazminatı. Bu yollar birbirini dışlamıyor; aynı ihlal için üçü birden aynı anda yürütülebilir.

Ceza boyutu (TCK): Türk Ceza Kanunu, kişisel veri ihlallerini bağımsız suç olarak tanımlıyor. TCK m.135 verileri hukuka aykırı kaydetmeyi, m.136 bu verileri başkalarına vermeyi ya da ele geçirmeyi, m.138 ise yasal yükümlülük doğmasına karşın verileri yok etmemeyi suç olarak düzenliyor. Bu suçlar savcılığa suç duyurusu ile işletilen ceza davası konusu olabiliyor. Ağır ihlallerde (örneğin kurumsal düzeyde veri sızıntıları, sistematik veri satışı) bu yol hem caydırıcı hem de tazminat davasında güçlü bir zemin oluşturuyor.

Tazminat boyutu (özel hukuk): Kişisel veri ihlali nedeniyle maddi ya da manevi zarar gördüyseniz asliye hukuk mahkemesinde tazminat davası açabilirsiniz. Bu dava KVKK idari sürecinden tamamen bağımsız yürür; Kurula şikayet etmeden ya da Kurul kararını beklemeden dava açılabilir. Manevi tazminat özellikle itibar zararlarında sıkça başvurulan yol; mahkeme zararın somut miktarını hakim takdiriyle belirliyor. Maddi tazminat içinse ispat yükü daha ağır; gelir kaybı, kariyer zararı ya da doğrudan mali kayıp somut belgelerle ortaya konulmalı.

İzinsiz Arama ve SMS'ten Kurtulmanın Pratik Yolu

Türkiye'de izinsiz pazarlama aramaları ve SMS'ler hem KVKK hem de Elektronik Ticaret Kanunu kapsamında değerlendiriliyor. Çoğu kişi bu konuda ne yapacağını bilmiyor ya da "şikayet etmek işe yaramaz" diye vazgeçiyor. Oysa iki ayrı şikayet kanalı hem hızlı hem de etkili sonuçlar doğurabiliyor.

Kanal 1 — KVKK Kuruluna şikayet: İzinsiz arama yapan firmanın sizin iletişim bilgilerinize açık rızanız olmaksızın sahip olması ve bunları pazarlama amacıyla kullanması, doğrudan 6698 sayılı Kanun kapsamında bir ihlal. Önce firmaya yazılı başvuru yapıyorsunuz (yukarıdaki standart yol); yanıt vermezse ya da yanıtı tatmin etmezse Kurula şikayet. Kurul bu tür ihlallere verdiği cezalar, firmaları caydırma konusunda oldukça güçlü bir araç haline gelmiş durumda.

Kanal 2 — İYS (İleti Yönetim Sistemi) şikayeti: Ticaret Bakanlığı bünyesinde faaliyet gösteren İYS, ticari elektronik iletileri (SMS, e-posta, arama) yönetmek için kurulan bir sistem. Onaysız ticari arama aldığınızda İYS üzerinden şikayet yapabilirsiniz; bu şikayetler Bakanlık denetimine gidiyor. Aynı zamanda İYS üzerinden tüm ticari iletişim izinlerinizi görüp iptal edebiliyorsunuz. Bu kanal özellikle toplu pazarlama SMS'leri için oldukça pratik.

Selin, izinsiz aramaları alan kredi firmasına KVKK başvurusu yaptıktan sonra firmanın yanıt verdiğini ve kaydını sildiklerini öğrendi. Ama üç hafta sonra farklı bir şirket yine aramaya başladı. Bu sefer doğrudan İYS'ye şikayette bulundu ve aynı zamanda KVKK başvurusu yaptı. İkinci firma Kurul süreci başlamadan önce geri adım attı.

Pratik bir tavsiye: arama aldığınızda numarayı engellemeden önce ekran görüntüsü alın. Arama kaydı, SMS içeriği ve tarih-saat bilgisi, şikayetinizde somut delil olarak kullanılabilir. Aynı firmadan birden fazla izinsiz arama almak Kurul şikayetini daha güçlü kılıyor.

Sık Yapılan 7 Hata

KVKK süreçlerinde çok sayıda hak kaybı, ihlal olmadığı için değil, sürecin yanlış yürütülmesi nedeniyle yaşanıyor. En sık karşılaşılan yedi hatayı aşağıda sıraladık:

1. Doğrudan Kurula gitmek: Veri sorumlusuna başvuru zorunlu ön koşuldur. Bu adım atlanarak yapılan Kurul şikayetleri usul yönünden reddedilir. Kurul, önce veri sorumlusuna başvurduğunuzu gösteren belgeyi şikayetle birlikte talep eder.
2. Başvuruyu e-posta veya telefonla yapmak: E-posta ve telefon başvuruları için yasal güvence yok. İadeli taahhütlü mektup, KEP ya da şirketin bildirdiği resmi kanal kullanılmalı; aksi halde teslim tarihi ispat edilemiyor ve süreler işlemiyor sayılabilir.
3. Süreleri takip etmemek: 30 ve 60 günlük süreler katı. Veri sorumlusundan yanıt alındıktan sonra 30 günlük Kurul başvuru süresi çok kısa geçebiliyor. Bu süreyi takvime not etmek, hak kaybını önlemenin en basit yolu.
4. Somut delil toplamamak: "Beni aradılar" beyanı tek başına yeterli olmayabilir. Arama ekran görüntüsü, SMS metni, tarih ve firma bilgisi şikayetin gücünü artırıyor. Şikayet öncesinde elinizdeki delilleri dijital ortamda güvenli bir yere kaydedin.
5. Unutulma hakkını içerik silme ile karıştırmak: Arama motorundan bağlantının kaldırılması, içeriğin siteden silinmesi anlamına gelmiyor. İçeriğin kendisi hâlâ yayında; yalnızca arama motorunun endeksi güncelleniyor. İçeriğin siteden kaldırılması için ayrı başvuru ya da mahkeme kararı gerekiyor.
6. KVKK ve 5651 yolunu birbirini dışlayan alternatifler saymak: Bu iki yol birbirini tamamlıyor. KVKK yolu veri işleme ve silme için, 5651 yolu içerik kaldırma ve erişim engeli için işliyor. Çoğu durumda ikisi birlikte yürütülebilir, biri diğerinin yerine geçmiyor.
7. Sonuç alınınca izlemeyi kesmek: Veri sorumlusu "sildik" dese de denetlenmezse veri başka kanallardan yeniden işlenebilir. Başvurudan birkaç ay sonra aynı firmadan arama gelirse ya da Google aramalarında bağlantı tekrar çıkarsa süreci yeniden başlatmak gerekiyor. Belgeleri saklayın; geçmiş başvuru kayıtları yeni şikayeti güçlendiriyor.

Sonuç: Haklarınız Güçlü, Ama Süreç Doğru Yürütülmeli

Kişisel veri ihlalleri; izinsiz pazarlama aramalarından eski haberlerin kariyer üzerindeki gölgesine, veri sızıntılarından eski işverenin dosyalarınızı silmemesine kadar geniş bir yelpazede karşınıza çıkabiliyor. 6698 sayılı KVKK ve bunu destekleyen diğer mevzuat, bu sorunların tamamına pratik çözümler sunuyor. Ama bu çözümlerin işe yaraması için sürecin doğru adımlarla ve doğru sırayla yürütülmesi şart.

En önemli özet: önce veri sorumlusuna yazılı başvurun, cevabı olmayan ya da tatmin etmeyen her durumda Kurula şikayet edin, içerik kaldırmak için 5651 sulh ceza yolunu değerlendirin ve tazminat hakkınızı unutmayın. Bu adımlar sizi ne kadar karmaşık hissettirirse hissettirsin, uzman bir avukatla yapılacak tek bir görüşme genellikle hangi yolun sizin durumunuz için en verimli olduğunu netleştiriyor.

Selin'in hikayesi nasıl bitti? Google bağlantısı kaldırıldı, izinsiz aramalar durdu ve eski işten çıkarma haberini bulmak artık adını yazınca çıkan ilk sayfa sonucu olmaktan çıktı. Bir avukat desteğiyle yürütülen süreç yaklaşık üç ay sürdü. Burada anlatılan mekanizmaların tamamı gerçek hukuki araçlar; nasıl kullanacağınızı bilmek, en kritik adım.

Benzer bir durumdaysanız hukuki sorularınızı platformumuzda uzman avukatlara yöneltebilir ya da İstanbul'daki hukuk avukatları arasından durumunuza uygun bir uzmanla iletişime geçebilirsiniz. Kişilik hakkı ihlali ve internet içerikleriyle ilgili daha fazla bilgi için hakaret suçu ve sosyal medya başlıklı makalemize de göz atabilirsiniz.