6698 sayılı Kişisel Verileri Koruma Kanunu’nun hayatımıza getirdiği yeniliklerden ve kolaylıklardan biri de kişisel verilerimizi işlediğini bildiğimiz veya düşündüğümüz kişi ve kuruluşlara yani veri sorumlularına başvuru hakkıdır. Bir başka deyişle, 3071 sayılı Dilekçe Hakkının Kullanılmasına Dair Kanunun da bir gereği olarak kişisel verilerimize 6698 sayılı Kanunun nasıl uygulandığını öğrenmek amacıyla kişisel verilerimizi işleyen, muhafaza eden, aktaran ve benzeri faaliyetlerde bulunan veri sorumlularına 6698 sayılı Kanunun 13. madde ve devamı maddelerince başvurma hakkımız bulunmaktadır.
Peki bu başvuruyu her zaman doğru kişi veya kuruluşlara yapabiliyor muyuz?
Zira, özellikle, müşterilerinin kişisel verilerinin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesine müsaade eden ve bu işleme faaliyeti nedeniyle kendileri adına verileri işleyen söz konusu gerçek veya tüzel kişilerle müştereken sorumlu olan veri sorumlularına yaptığımız başvuru sonucu Kişisel Verileri Koruma Kurulu’nun talimatlarını yerine getirmekle sorumlu olan kişi kim? Örneğin veri sorumlusuna yaptığımız başvuru olumlu sonuçlandı ve veri sorumlusu hakkımızda tuttuğu veriyi silmeyi kabul etti fakat bu silme işleminin uygulanması konusunda sorumlu olan ve veri sorumlusu adına veri işleyen gerçek ya da tüzel kişi veri sorumlusunun talebini yerine getirmiyor.
Örneğin bir elektronik ticaret sitesinden alışveriş yaptık ve kredi kartı bilgilerimizi siteye yükledik. Bu kredi kartı bilgilerimizin güvenliğini sağlamak konusunda gerekli idari ve teknik tedbirleri almakla yükümlü olan veri sorumlusu e-ticaret sitesi sahibi şirket söz konusu e-ticaret sitesinin siber güvenliğini sağlamakla yükümlü şirkete verdiği yetkiye dayanarak verilerimizi bu şirket ile paylaşmış vaziyette. Siber güvenlik şirketi ise Kurul kararına ve veri sorumlusu e-ticaret sitesinin talimatına rağmen silme işlemini yerine getirmiyor.
Bu durumda bir gerçek kişi olarak yükümlülüğünü yerine getirmeyen veri sorumlusuna karşı ani yaptırım gücümüz olmadığına göre ilgili otoritenin bu konuda alması gerekli önlemler ne olmalı?
Bu konu, geçtiğimiz ayın 26 Ağustos’unda Letonya Kişisel Verileri Koruma Müfettişliği tarafından değerlendirilerek, kişisel veri sahibi gerçek kişinin başvuru hakkını kullanması sonucu veri sorumlusuna Müfettişlik tarafından verilen talimatı yerine getirmeyen ve gerçek kişinin üst üste yaptığı başvuruya rağmen nezdinde tuttuğu kişisel verileri silmeyen online ticaret sitesi perakendeci aleyhine yaptırım uygulanmasına karar verildi. Cezanın uygulanma nedeni de online perakendecinin, veri sorumlusunun, kişisel veri sahibi gerçek kişinin kişisel verilerini silme talebini yerine getirmekteki yükümlülüğünü ihmal etmesi ve Kurul’un taleplerini yerine getirmek konusunda işbirliği içinde hareket edilmemiş olması olarak bildirildi.