SAR (Veri Sahibi Erişim Talebi) nedir?
Bir Veri Sahibi Erişim Talebi (SAR / DSAR), bir bireyin GDPR Madde 15 (ve KVKK Madde 11) kapsamındaki hakkını resmi olarak kullanarak kişisel verilerin işlenip işlenmediğini öğrenmesi, verilerin bir kopyasını ve ek bilgileri (amaçlar, kategoriler, alıcılar, saklama, kaynak, haklar, ADM mantığı) talep etmesidir. Hak, daha geniş veri sahibi hakları araç kutusuna açılan kapıdır.
Operasyonel SAR mekaniği
- Alındı ve onay: herhangi bir kanaldan — e-posta, posta, web formu. Madde 12 makul erişilebilirlik gerektirir.
- Kimlik doğrulama: orantılı; aşırı kanıt talep etmeyin.
- Yanıt süresi: GDPR’da bir ay (karmaşıklık için iki ay daha uzatılabilir); KVKK’da 30 gün.
- Maliyet: çoğu durumda ücretsiz; açıkça temelsiz/aşırı talepler makul ücret veya ret çekebilir.
- Format: elektronik talep edildiğinde makineyle okunabilir; açık, anlaşılır dil.
Yaygın SAR zorlukları
- Üçüncü taraf verisi: yanıt setinde görünen başkalarının kimlik bilgilerini maskeleyin.
- Gizli ticari bilgi: başkalarının haklarını olumsuz etkileyecekse alıkonulabilir.
- İmtiyazlı iletişimler: avukat-müvekkil gizliliği uygulanabilir.
- Hacim: dava bağlamında geniş kapsamlı SAR’lar kapsam belirleme ve makul yorum gerektirir.
KVKK kapsamında SAR
KVKK Madde 13, “Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ” çerçevesinde yazılı veya KEP, güvenli elektronik imza, mobil imza ya da Kurulun belirleyeceği yöntemlerle yapılır. Yanıt 30 gün içinde, ücretsiz; talep ek maliyet doğurursa Kurulun belirlediği tarifeye göre ücret alınabilir (mevcut tebliğ: 10 sayfanın üzerindeki her sayfa için 1 TL, CD/USB için maliyet bedeli). Reddedilen veya yanıtsız kalan talepler için veri sahibi 30 gün içinde KVKK Kurulu’na şikâyet edebilir.
Yapın: birden fazla kanallı net bir SAR süreci yayınlayın; ön cephe ekiplerini talepleri tanıma ve yönlendirme konusunda eğitin; SAR kayıt defteri tutun.
Yapmayın: oyalama, aşırı doğrulama veya genel ret uygulamayın — KVKK Kurulu ve AB DPA’ları yetersiz SAR yönetimini düzenli olarak cezalandırır.