İlgili kişi (veri sahibi) nedir?
İlgili kişi (uluslararası karşılığı: data subject), kişisel verisi işlenen, kimliği belirli veya belirlenebilir gerçek kişidir. KVKK (6698 sayılı Kanun) ve GDPR‘a göre veri sahibi, kişisel verisini işleyen şirketlere karşı hak sahibidir.
Kim ilgili kişi sayılır?
Yalnızca gerçek kişiler ilgili kişi olabilir; tüzel kişiler (şirket, dernek, vakıf) KVKK kapsamında ilgili kişi değildir. Belirlenebilirlik kavramı, doğrudan tanımlayıcılar (ad-soyad, TC kimlik, e-posta) ve dolaylı tanımlayıcıları (IP adresi, cihaz parmak izi, çerez kimliği) kapsar — bu veriler tek başına veya başka verilerle birleştirildiğinde bir bireyi ayırt edebiliyorsa.
KVKK Madde 11 — temel haklar
- Kişisel verilerinin işlenip işlenmediğini öğrenme
- İşleme yapılmışsa bilgi talep etme
- İşleme amacını ve amacına uygun kullanım kontrolü
- Yurtiçi/yurtdışında aktarılan üçüncü kişileri öğrenme
- Eksik veya yanlış veriyi düzelttirme
- Silinmesini/yok edilmesini isteme
- Otomatik sistemlerle aleyhine doğan karara itiraz
- Hukuka aykırı işleme nedeniyle uğranılan zararın giderilmesi
Founder için pratik etki
Türkiye’ye hizmet veren her ürün, erişilebilir bir aydınlatma metni yayımlamak ve 30 gün içinde yanıt verme yükümlülüğü olan veri sahibi başvuru (DSR) sürecini işletmek zorundadır. KVK Kurulu kararlarında DSR süreci belgelenmeyen şirketler düzenli olarak ceza almaktadır. Başvuru kanalı ([email protected]), ticketing ve veri ihlali için 7/24 nöbet kurun. Güncel kararlar için KVKK Tracker sayfamıza bakın.
Referanslar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu (Mevzuat)
- Kişisel Verileri Koruma Kurumu (KVKK)
- KVK Kurulu Kararları
- EU GDPR (Regülasyon 2016/679) — EUR-Lex
İlgili kişiye bağlanan haklar
İlgili kişi (veri sahibi), kişisel verinin ilişkili olduğu belirli veya belirlenebilir bireydir — ve veri koruma hukukunun tüm mimarisi bu kişiyi korumak için vardır. Hem GDPR hem KVKK, ilgili kişiye icra edilebilir bir haklar demeti tanır: işleme hakkında bilgilendirilme, verisine erişim, düzeltilmesi veya silinmesi, belirli işlemelere itiraz, işlemenin kısıtlanması ve (GDPR kapsamında) veri taşınabilirliği. Kuruluşlar için pratik sonuç operasyoneldir: ilgili kişi başvurularını almak ve yanıtlamak, başvuranın kimliğini doğrulamak ve yanıtı kayıt altına almak için tanımlı, süreye bağlı bir süreç bulunmalıdır. Bu hakları gerçek bir iş akışı yerine bir evrak işi gibi görmek, sık görülen bir şikâyet ve denetim bulgusu kaynağıdır.