İşçinin şahsi KEP adresinden e-imzasız gönderdiği KVKK m. 11 başvurusunu şirket 'güvenli elektronik imza yokluğu' nedeniyle usulden reddedebilir mi?
3 Cevap
Şirketinizin hukuk biriminin benimsediği yaklaşım, Kişisel Verileri Koruma Kurulu'nun (KVKK) yerleşik ilke kararları ve ilgili tebliğ hükümlerinin lafzı karşısında ciddi bir hukuki yanılgı içermektedir ve şirketinizi idari para cezası yaptırımıyla karşı karşıya bırakabilir. Şahsi KEP adresinden yapılan başvuru, e-imza taşımıyor olsa dahi hukuken tamamen geçerlidir.
Konunun mevzuat dayanakları ve Kurul uygulamaları şu şekildedir:
- Tebliğ m. 5/2 Hükmünün Açık Lafzı: Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'in 5. maddesinin 2. fıkrası başvuru yöntemlerini sayarken şu ifadeyi kullanır: "Başvuru; yazılı olarak veya kayıtlı elektronik posta (KEP) adresi, güvenli elektronik imza, mobil imza ya da ilgili kişi tarafından veri sorumlusuna daha önce bildirilen ve veri sorumlusunun sisteminde kayıtlı bulunan elektronik posta adresini kullanmak suretiyle... yapılır." Dikkat edilirse maddede KEP adresi, güvenli elektronik imza ve mobil imza seçimlik (alternatif) yollar olarak sayılmıştır; KEP üzerinden yapılan başvuruda ayrıca güvenli elektronik imza zorunluluğu öngörülmemiştir.
- KEP Altyapısının Doğal Kimlik Doğrulama Gücü: KEP sistemi, Bilgi Teknolojileri ve İletişim Kurumu (BTK) mevzuatı gereğince gerçek kişilere sadece yüz yüze kimlik tespiti, e-Devlet kapısı kimlik doğrulaması veya Nitelikli Elektronik Sertifika ile tahsis edilir. Dolayısıyla şahsi KEP adresinin maliki olan gerçek kişinin kimliği zaten resmi KEPHS ve devlet otoriteleri tarafından kesin olarak doğrulanmıştır. KEP sistemi üzerinden üretilen "Gönderi Delili" ve gönderici KEP adresi, HMK m. 199 anlamında başvuru sahibinin kimliğini tereddütsüz teyit eder.
- Kurul Kararları ve Şekilcilik Yasağı: Kişisel Verileri Koruma Kurulu'nun emsal kararlarında (örneğin 2019/296 ve müteakip ilke kararları), veri sorumlusunun hak arama özgürlüğünü zorlaştırıcı aşırı şekilci engeller çıkarması "dürüstlük kuralına aykırılık" ve Kanun'un 12. maddesindeki yükümlülüklerin ihlali olarak değerlendirilmektedir. Kişi kendi doğrulanmış KEP adresinden başvurmuşken "e-imzan yok" denilerek başvurunun reddedilmesi durumunda, Kurul şirkete KVKK m. 18 uyarınca veri güvenliği ve başvuru hakkını engelleme gerekçesiyle idari para cezası uygulayabilir.
Sonuç olarak; şirketin bu başvuruyu esastan incelemesi, 30 gün içinde gerekçeli cevabını yine KEP üzerinden ilgili kişiye iletmesi yasal zorunluluktur. Usulden ret yoluna gidilmesi halinde ilgili kişinin Kurul'a şikâyet hakkı doğacak ve şirketiniz aleyhine yaptırım uygulanacaktır.
Uygulamada şirketlerin en sık ceza yediği konulardan biridir. Tebliğdeki "veya" bağlacı alternatif yöntemleri gösterir, kümülatif değildir.
Şirket içi risk yönetim tavsiyem: Eğer personelin kimliğinden şüphe ediliyorsa başvuruyu usulden reddetmek yerine, Tebliğ m. 6 uyarınca KEP üzerinden ek bilgi ve teyit talep edebilirsiniz. Ancak KEP göndericisinin T.C. kimlik numarası KEP delil paketinde zaten kayıtlıdır. Bu nedenle süreleri durdurmadan 30 gün içinde silme işlemini yapıp veya gerekçeli ret cevabınızı hazırlayıp KEP üzerinden resmi cevabınızı veriniz.
Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ m. 5 uyarınca, ilgili kişi başvurusunu 'kayıtlı elektronik posta (KEP) adresi, güvenli elektronik imza, mobil imza ya da ilgili kişi tarafından veri sorumlusuna daha önce bildirilen ve veri sorumlusunun sisteminde kayıtlı bulunan elektronik posta adresini kullanmak suretiyle' yapabilir. Tebliğ metninde 'KEP adresi' tek başına alternatif bir başvuru yolu olarak sayılmıştır; KEP zaten kimlik doğrulamalı bir kanal olduğundan e-imzasız dahi olsa şirket başvuruyu usulden reddedemez, esastan yanıtlamak zorundadır.