SAR (Veri Sahibi Erişim Talebi) nedir?
Bir Veri Sahibi Erişim Talebi (SAR / DSAR), bir bireyin GDPR Madde 15 (ve KVKK Madde 11) kapsamındaki hakkını resmi olarak kullanarak kişisel verilerin işlenip işlenmediğini öğrenmesi, verilerin bir kopyasını ve ek bilgileri (amaçlar, kategoriler, alıcılar, saklama, kaynak, haklar, ADM mantığı) talep etmesidir. Hak, daha geniş veri sahibi hakları araç kutusuna açılan kapıdır.
Operasyonel SAR mekaniği
- Alındı ve onay: herhangi bir kanaldan: e-posta, posta, web formu. Madde 12 makul erişilebilirlik gerektirir.
- Kimlik doğrulama: orantılı; aşırı kanıt talep etmeyin.
- Yanıt süresi: GDPR’da bir ay (karmaşıklık için iki ay daha uzatılabilir); KVKK’da 30 gün.
- Maliyet: çoğu durumda ücretsiz; açıkça temelsiz/aşırı talepler makul ücret veya ret çekebilir.
- Format: elektronik talep edildiğinde yaygın olarak kullanılan elektronik formatta; açık, anlaşılır dil.
Yaygın SAR zorlukları
- Üçüncü taraf verisi: yanıt setinde görünen başkalarının kimlik bilgilerini maskeleyin.
- Gizli ticari bilgi: başkalarının haklarını olumsuz etkileyecekse alıkonulabilir.
- İmtiyazlı iletişimler: avukat-müvekkil gizliliği uygulanabilir.
- Hacim: dava bağlamında geniş kapsamlı SAR’lar kapsam belirleme ve makul yorum gerektirir.
KVKK kapsamında SAR
KVKK Madde 13, “Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ” çerçevesinde yazılı veya KEP, güvenli elektronik imza, mobil imza ya da Kurulun belirleyeceği yöntemlerle yapılır. Yanıt 30 gün içinde, ücretsiz; talep ek maliyet doğurursa Kurulun belirlediği tarifeye göre ücret alınabilir (mevcut tebliğ: 10 sayfanın üzerindeki her sayfa için 1 TL, CD/USB için maliyet bedeli). Başvurunun reddedilmesi, cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde veri sahibi, cevabı öğrendiği tarihten itibaren 30 ve her hâlde başvuru tarihinden itibaren 60 gün içinde KVKK Kurulu’na şikâyet edebilir (KVKK m. 14).
Yapın: birden fazla kanallı net bir SAR süreci yayınlayın; ön cephe ekiplerini talepleri tanıma ve yönlendirme konusunda eğitin; SAR kayıt defteri tutun.
Yapmayın: oyalama, aşırı doğrulama veya genel ret uygulamayın: AB DPA’ları yetersiz SAR yönetimini düzenli olarak cezalandırır; KVKK Kurulu ise ihlalin giderilmesine karar verir ve bu karara uyulmaması idari para cezasına tabidir (KVKK m. 15 ve 18).
Kaynak. (AB) 2016/679 sayılı Genel Veri Koruma Tüzüğü (GDPR); 6698 sayılı Kişisel Verilerin Korunması Kanunu. Kanun bağlantıları mevzuat.gov.tr üzerindeki güncel resmî metinlere gider.