KVKK kapsamında ilgili kişi başvurusunda kimlik doğrulama, veri sorumlusunun başvuruyu yapan kişinin gerçekten hak sahibi olduğunu teyit etmesi sürecidir. Veri sorumlusu, başvurunun ilgili kişiden geldiğini doğrulamakla yükümlüdür; ancak bu süreç, ilgili kişiye Kanun’da öngörülmeyen maddi külfetler yükleyemez veya başvuru hakkını engelleyecek şekilde zorlaştırılamaz. Kimlik doğrulama, veri minimizasyonu ilkesine uygun olarak, gereksiz veri toplamadan ve yeni güvenlik riskleri yaratmadan gerçekleştirilmelidir.
Başvuru Yöntemleri ve Kimlik Doğrulama İlişkisi
Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca, başvuruların kimlik doğrulaması yapılmış şekilde iletilmesi esastır. Veri sorumlusu, başvuru yöntemlerini belirlerken ilgili kişinin erişimini kolaylaştırmalıdır.
- Yazılı Başvuru: İmzalı dilekçenin elden, posta veya noter aracılığıyla iletilmesi.
- Elektronik Yöntemler: Kayıtlı elektronik posta (KEP) adresi, güvenli elektronik imza veya mobil imza kullanımı.
- Sistemde Kayıtlı E-posta: İlgili kişinin veri sorumlusuna daha önce bildirdiği ve sistemde kayıtlı olan e-posta adresi üzerinden yapılan başvurular.
- Özel Yazılım/Uygulama: Veri sorumlusunun başvuru amacına yönelik geliştirdiği, kimlik doğrulama ve güvenli veri iletimi sağlayan sistemler.
Veri Sorumlusunun Yükümlülükleri ve Ölçülülük Sınırı
Veri sorumlusu, başvuruları etkin, hukuka ve dürüstlük kurallarına uygun sonuçlandırmak için gerekli idari ve teknik tedbirleri almakla yükümlüdür. Ölçülülük ilkesi gereği, kimlik doğrulama amacıyla yalnızca noter kanalı veya e-imza gibi yöntemlerin zorunlu tutulması, ilgili kişiye haksız bir maddi külfet getirdiği gerekçesiyle hukuka aykırı bulunabilmektedir.
Başvuru sürecinde toplanan kimlik verileri, sadece doğrulama amacıyla kullanılmalı ve veri saklama planına uygun olarak imha edilmelidir. Veri sorumlusu, başvuru sahibinden kimlik doğrulaması için gereğinden fazla veri talep ederek yeni bir veri güvenliği riski oluşturmamalıdır.
“Av. Vedat Can SÜNERİN
İlgili kişi başvurusunda kimlik doğrulama süreci, veri sorumlusunun başvuranın kimliğini teyit etme zorunluluğu ile veri minimizasyonu ilkesi arasında hassas bir denge gerektirir. Veri sorumlusu, başvuru hakkını kısıtlayacak aşırı şekilci yöntemlerden kaçınmalı ve sadece doğrulama için gerekli olan veriyi işlemelidir. Başvuru sahibi ise, başvurunun geçerli sayılabilmesi için mevzuatta öngörülen asgari bilgileri eksiksiz sunmalı ve başvuru sürecindeki tebligat adreslerini doğru bildirmelidir. Sürelerin takibi ve başvurunun usulüne uygun iletilmesi, hak kaybı yaşanmaması adına kritik öneme sahiptir.”
Başvuruda Bulunması Gereken Asgari Bilgiler
Başvurunun geçerli sayılabilmesi ve kimlik doğrulamasının sağlıklı yapılabilmesi için mevzuatta belirtilen asgari unsurların bulunması zorunludur. Bu bilgiler, veri sorumlusunun başvuru sahibini sistemindeki kayıtlarla eşleştirmesine olanak tanır.
- Ad, soyad ve yazılı başvurularda imza.
- T.C. vatandaşları için T.C. kimlik numarası; yabancılar için uyruğu, pasaport numarası veya varsa kimlik numarası.
- Tebligata esas yerleşim yeri veya iş yeri adresi.
- Varsa bildirime esas elektronik posta adresi, telefon ve faks numarası.
- Talep konusu.
Uygulamada Sık Karşılaşılan Hatalar ve Riskler
Uygulamada en sık karşılaşılan hatalardan biri, veri sorumlularının aşırı şekilci davranarak sadece noter onaylı başvuru kabul etmesidir. Bu durum, ilgili kişinin başvuru hakkını engellediği kabul edilerek Kurul tarafından eleştirilmektedir. Ayrıca, başvuruda T.C. kimlik numarası veya tebligat adresi gibi zorunlu unsurların eksik olması, başvurunun usulden reddine veya ek bilgi istenmesine yol açabilir.
Sürelerin karıştırılması da bir diğer önemli risk alanıdır. Başvuruya cevap süresi ile şikâyet süresi arasındaki farkın gözetilmemesi, hak kayıplarına neden olabilir. İlgili kişi, başvuru sürecinde kullanılan yöntemlerin güvenliğini ve veri sorumlusunun bu verileri işleme amacını sorgulama hakkına sahiptir.
Vekâleten Başvurularda Yetki Belgesi ve Kimlik Doğrulama Kriterleri
İlgili kişi adına bir vekilin başvuru yapması durumunda, veri sorumlusu hem vekilin kimliğini hem de vekâlet ilişkisinin varlığını doğrulamakla yükümlüdür. Bu süreçte vekâletnamenin noter onaylı olması, vekilin temsil yetkisinin kapsamını ve geçerliliğini ispatlayan temel belgedir. Veri sorumlusu, vekâletnamede özel yetki aranıp aranmadığını, talep edilen verinin niteliğine göre değerlendirmelidir; zira bazı durumlarda genel vekâletname, kişisel verilerin talep edilmesi veya silinmesi gibi özel işlemler için yeterli görülmeyebilir.
Vekâletname sunulurken, belgenin güncel olup olmadığı ve temsil yetkisinin süresi mutlaka kontrol edilmelidir. Süresi dolmuş veya iptal edilmiş bir vekâletname ile yapılan başvurular, veri sorumlusu tarafından reddedilmeli ve ilgili kişiye eksiklik bildirilmelidir. Ayrıca, vekilin kimlik bilgileri ile vekâletnamede yer alan bilgilerin eşleşmesi, veri güvenliği açısından kritik bir adımdır. Veri sorumlusu, vekâletnameyi dosyalarken kişisel verilerin korunması ilkelerine uygun olarak, yalnızca yetkiyi teyit edecek kısımları saklamalı ve gereksiz veri kopyalamaktan kaçınmalıdır.
Dijital Platformlarda Kimlik Doğrulama ve Teknik Güvenlik Katmanları
Veri sorumlusunun kendi geliştirdiği dijital başvuru sistemlerinde kimlik doğrulama, kullanıcı adı ve şifre kombinasyonunun ötesinde, çok faktörlü doğrulama (MFA) yöntemleri ile desteklenmelidir. Bu yöntemler, ilgili kişinin sisteme kayıtlı telefon numarasına gönderilen tek kullanımlık şifre (OTP) veya e-posta doğrulama bağlantısı gibi araçları içerebilir. Teknik doğrulama süreçlerinde, sistemin log kayıtları tutulmalı; ancak bu loglar, ilgili kişinin başvuru içeriğiyle doğrudan ilişkilendirilerek veri minimizasyonu ilkesi çerçevesinde korunmalıdır.
Dijital kanallarda yapılan başvurularda, IP adresi veya cihaz kimliği gibi verilerin doğrulama amacıyla kullanılması, ilgili kişinin açık rızası veya veri sorumlusunun hukuki yükümlülüğü ile sınırlı olmalıdır. Eğer sistem, kimlik doğrulaması için ilgili kişiden ek bir kimlik belgesi yüklemesini talep ediyorsa, bu belgenin iletimi sırasında uçtan uca şifreleme yöntemleri kullanılmalıdır. Doğrulama işlemi tamamlandıktan sonra, yüklenen kimlik belgeleri sistemden derhal silinmeli veya erişimi kısıtlanmış güvenli bir alana taşınmalıdır. Bu teknik önlemler, başvuru sürecinde yaşanabilecek veri ihlallerini önlemek adına veri sorumlusunun sorumluluğundadır.
Başvuru Sürecinde İspat Yükü ve Belge Saklama Yükümlülüğü
İlgili kişi başvurusunda ispat yükü, başvurunun yapıldığını ve içeriğini kanıtlama noktasında başvuru sahibine, başvurunun alındığını ve kimlik doğrulamasının yapıldığını kanıtlama noktasında ise veri sorumlusuna aittir. Başvuru sahibi, gönderim kanıtı olarak kargo takip numarası, KEP iletim raporu veya sistem üzerinden alınan başvuru onay kodunu saklamalıdır. Veri sorumlusu ise, başvurunun ulaştığı tarihi ve kimlik doğrulama adımlarının hangi yöntemle gerçekleştirildiğini gösteren iç kayıtları, olası bir şikâyet durumunda Kurul’a sunmak üzere muhafaza etmelidir.
İspat yükümlülüğü kapsamında, veri sorumlusunun “başvuruyu almadım” veya “kimlik doğrulaması yapılamadı” şeklindeki savunmaları, somut delillerle desteklenmelidir. Örneğin, sistemde kayıtlı e-posta adresine gönderilen bir başvurunun, veri sorumlusunun sunucularına ulaştığına dair log kayıtları, başvurunun alındığının en güçlü delilidir. Eğer başvuru usulüne uygun değilse, veri sorumlusu bu durumu gerekçeleriyle birlikte ilgili kişiye bildirmeli ve eksikliklerin giderilmesi için makul bir süre tanımalıdır. Bu bildirim süreci, ileride yaşanabilecek uyuşmazlıklarda veri sorumlusunun iyi niyetli ve şeffaf davrandığını gösteren önemli bir hukuki belgedir.
Sık Sorulan Sorular
Telefonla yapılan başvurularda kimlik doğrulama yeterli midir?
Telefon görüşmesi, tek başına yazılı başvuru yöntemlerinin yerini tutmaz; genellikle sadece bilgi alma amacıyla kullanılabilir.
Başvuru formunu kullanmak zorunlu mudur?
Hayır, Tebliğ’de belirtilen zorunlu bilgileri içeren her türlü başvuru geçerlidir; özel bir formun kullanılması zorunlu değildir.
Başvurum reddedilirse ne yapabilirim?
Veri sorumlusunun cevabını öğrendiğiniz tarihten itibaren 30 gün ve her hâlde başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kurulu’na şikâyette bulunabilirsiniz.
Kimlik doğrulama için biyometrik veri istenebilir mi?
Biyometrik veri işlenmesi oldukça hassas bir konudur ve sadece kimlik doğrulama amacıyla orantısız şekilde talep edilmesi hukuka aykırılık riski taşır.