İngiltere Subject Access Request (SAR) Türk Mahkemesinde Delil Sağlar mı? UK GDPR 2026 ve HMK 199
Kısa ve net cevap
İngiltere’deki Subject Access Request (SAR), UK GDPR Article 15 uyarınca kişinin kendisiyle ilgili kişisel verilere erişim hakkıdır; Türk mahkemesinde elektronik kayıtların ileri sürülmesini destekleyebilir ancak dava öncesi sınırsız belge keşfi sağlamaz. HMK m.199 belgenin elektronik niteliğini kapsar; m.219–221 belge ibrazının ayrı usulüdür. İngiltere’de 5 Şubat 2026’da yürürlüğe giren Article 12A cevap süreleri ve ICO’nun 16 Temmuz 2026 rehberi özellikle önemlidir.
İnceleme tarihi: 1 Kasım 2026. Konu İngiltere ve Galler’de yaşayan Türk vatandaşlarının Türkiye’deki iş, ticaret, sağlık ve alacak davalarıyla ilgilidir.
| Konu | Sonuç | Hukukî dayanak |
|---|---|---|
| İngiltere erişim hakkı | Kişinin kendisine ilişkin veri ve tamamlayıcı bilgi | UK GDPR Art.15 |
| 2026 başvuru süresi | Kural olarak bir ay; şartlı uzatma ve açıklama | Art.12A; ICO |
| 2026 hukuki değişiklik | 5 Şubat 2026 itibarıyla yürürlük | DUAA 2025 s.76 |
| Dava için tüm belgeler? | Hayır; kişisel veri hakkı ile disclosure ayrı | UK GDPR / CPR 31.16 |
| Avukat gizliliği | Belirli koşullarda ayrıcalık istisnası | DPA 2018 Sch.2 para.19 |
| Türk mahkemesinde elektronik kayıt | Belge niteliği ve ispat değerlendirmesi | HMK 199 |
| Türk belge ibrazı | Taraf veya üçüncü kişi usulü | HMK 219–221 |
| Türkiye veri hakları | Veri sorumlusu ve şikâyet yolları | KVKK 11, 13, 14 |
İngiltere’deki kişisel verilere erişim hakkının konusu
İngiltere ve Galler’de yaşayan bir Türk vatandaşının İngiliz işvereni, hastanesi, bankası veya hizmet sağlayıcısıyla uyuşmazlığı bulunabilir. UK GDPR Article 15 kapsamındaki subject access request, yani SAR, kişinin kendisine ilişkin işlenen kişisel verileri ve belirli tamamlayıcı bilgileri öğrenmesini sağlar. Bu hakkın amacı bir şirketin bütün iç yazışmalarını, her ticari sırrını veya karşı tarafın dava stratejisini koşulsuz biçimde teslim etmesini sağlamak değildir. Başvuru kişisel veri esaslı olduğundan önce veri sorumlusunun kimliği, veri sahibinin kimliği ve hangi veri işleme faaliyetlerinin sorgulandığı belirlenir. Türkiye’deki davaya yarayabilecek kayıtlar çıkabilir; ancak başvurunun sonucu Türk mahkemesindeki bütün ispat sorunlarını otomatik çözmez.
UK GDPR Article 15: kopya ve bilgi hakkı
UK GDPR Article 15, kişinin kendisiyle ilgili kişisel veri işlenip işlenmediği konusunda bilgi ve işlenen verilere erişim hakkını tanır. İşleme amaçları, ilgili veri kategorileri, alıcılar, saklama süreleri ve başka haklara ilişkin tamamlayıcı bilgiler de maddenin kapsamındadır. Article 15(3) işlenen kişisel verilerin bir kopyasını edinme hakkına ilişkindir. Kopya hakkı, şirketin özgün fiziksel belgelerinin, ticari bütün defterlerinin veya başka kişilere ait bilgilerin sınırsız teslimi olarak yorumlanmamalıdır. Elektronik bordro, performans değerlendirmesi veya kişinin hakkında tutulan belirli notlar kişisel veri içerebilir; fakat her bir belgenin tamamının verilmesi yerine ilgili kişisel verilerin anlaşılır şekilde aktarılması yeterli olabilir.
SAR başvurusunun biçimi ve muhatabı
ICO’nun 16 Temmuz 2026 tarihinde güncellediği açıklamaya göre subject access request sözlü veya yazılı, hatta ilgili kuruma sosyal medya üzerinden yapılabilir. Bununla birlikte bir Türk vatandaşının hukuki süreçte kullanılmak üzere başvuru yapması halinde talebi yazılı sunması, gönderim tarihini saklaması ve hangi tüzel kişiliğe ulaştığını belgelemesi güvenlidir. Londra’daki merkez şirket ile Türkiye’deki iştirakin veri sorumlusu sıfatı aynı olmayabilir. Kurumun Data Protection Officer iletişim adresi varsa ilgili kişi bu kanalı kullanabilir; ancak başvurunun hukukça geçerliliği yalnız özel bir formun doldurulmasına bağlı değildir. Karşı tarafın doğru tüzel kişiliğe gönderilmesi ispat açısından önem taşır.
2026 değişikliği: Data (Use and Access) Act 2025
Birleşik Krallık’taki Data (Use and Access) Act 2025, 19 Haziran 2025’te kraliyet onayı almıştır. Bu Kanun’un Section 76 hükmünün veri sahibi başvurularına ilişkin zaman kuralları, 2026/82 sayılı yürürlük düzenlemesi ile 5 Şubat 2026’da yürürlüğe girmiştir. Yeni sistem UK GDPR Article 12A ile başvuruya cevap zamanını ayrıntılı düzenler. Bu tarih öncesinde alınan taleplerde geçiş hükümlerinin korunması söz konusu olabilir. Dolayısıyla 2026 yılında hazırlanmış eski bir rehberde yer alan yalnız tek cümlelik ‘başvurudan itibaren her zaman tam bir ay’ açıklaması eksik kalabilir. Başvurunun alınma zamanı ve kimlik veya açıklama talebinin meşruiyeti somut olayda belirlenmelidir.
Article 12A ve bir aylık cevap süresi
ICO güncel rehberi veri sorumlusunun kural olarak gereksiz gecikme olmadan ve bir aylık süre içinde yanıt vermesi gerektiğini açıklar. Yeni Article 12A açısından relevant time, başvurunun alınması, gerekli kimlik doğrulama bilgisinin gelmesi veya hukuken istenebilen ücretin ödenmesi gibi başlangıç koşullarıyla ilişkilidir. Bu sebeple tek bir iş günü veya her talep bakımından takvim ayından bağımsız sabit otuz gün hesabı yapmak doğru değildir. Başvuran için ilk gönderim günü, kurumun başvuruyu kayda aldığı tarih, kimlik talebinin iletilmesi ve yanıtı ayrı yazılı kanıtlarla saklanmalıdır. Süre ihtilafında resmî ICO rehberi ve yürürlükteki Article 12A birlikte incelenmelidir.
Karmaşık başvurularda iki aylık ek süre
ICO’ya göre başvurunun karmaşıklığı veya aynı kişinin çok sayıda talepte bulunması gerekli kılıyorsa cevap süresi iki ay daha uzatılabilir. Bu, kurumun her başvuruda otomatik üç ay süresi bulunduğu anlamına gelmez. Uzatma sebeplerinin başvurana normal bir aylık süre içinde bildirilmesi ve gerekçelendirilmesi gerekir. Çok sayıda e-postaya, işyeri kayıtlarına veya üçüncü kişi verilerine temas eden bir talepte makul inceleme süresi söz konusu olabilir. Ancak sırf kurum yoğun olduğunu söyledi diye her istisnanın uygulanacağı kabul edilmemelidir. İlgili kişi başvuru ve yanıt tarihlerinin kronolojisini çıkarmalı, varsa yazılı uzatma bildirimini ayrıca saklamalıdır.
Başvurunun açıklığa kavuşturulması ve saatin durması
UK GDPR Article 12A(5) kapsamında, veri sorumlusu kişisel veri başvurusunun neye ilişkin olduğunu belirlemek için gerçekten gerekli bazı açıklamaları isteyebilir. ICO’nun 2026 rehberi, bu tür makul açıklama talebi ile kişinin yanıtı arasında süre hesabının durabileceğini anlatır. Kurumun sırf cevap süresini uzatmak veya veri sahibini vazgeçirmek için son derece genel açıklamalar istemesi hukukça sınırsız hak sağlamaz. Bir şirket çok geniş arşiv tuttuğu ve ilgili kişinin hangi dönemi kastettiğini anlayamadığı takdirde daha belirli tarihler sorabilir; fakat kişiyi kapsamı daraltmaya zorlayamaz. Açıklama talebinin gerekçesi ve yazışmalar kaydedilmeli, bekleme döneminin kanuni şartları taşıyıp taşımadığı denetlenmelidir.
Veri aramasında makul ve orantılı yaklaşım
ICO, veri sorumlusunun talebe cevap verirken kendisiyle ilgili kayıtlar bakımından makul ve orantılı arama yapması gerektiğini vurgular. Bu yaklaşım başvuranın aklına gelebilecek her sunucunun fiziksel olarak inceleneceği güvencesi vermez. Elektronik posta kutuları, bordro sistemleri, müşteri hizmetleri kayıtları veya disiplin dosyaları konuya göre aranabilir. Kurumun bilgi mimarisi, kayıtların erişilebilirliği ve talebin kapsamı değerlendirilir. Başvuran belirli kişinin yazışmalarını, sınırlı tarih aralığını ve hukuka uygun işlem türünü belirtirse ne arandığının anlaşılması kolaylaşabilir. Ancak kapsamın gereksiz kısıtlanması sonucunda ilgili kişisel verilerin eksik verilmesine ilişkin şikâyet hakkı ayrı saklıdır.
Ücret alınması kuralı ve istisnalar
UK GDPR erişim taleplerinde genel kural ücretsiz yanıttır. ICO, başvurunun manifestly unfounded veya excessive olması ya da kişinin aynı bilginin ek kopyalarını istemesi gibi sınırlı durumlarda makul idari ücret gündeme gelebileceğini açıklar. Bütün personel dosyasının yüzlerce sayfa olması tek başına sınırsız ücret talebini haklı kılmaz. Kurum ücret istenmesinin hangi kanuni şarta dayandığını ve hesabını açıklamalıdır. Türk vatandaşı İngiltere’deki veri sorumlusuna karşı hak kullanırken Türkiye’deki 6698 sayılı Kanun m.13 ücret rejimini İngiliz şirketin UK GDPR yükümlülüğüyle karıştırmamalıdır. Farklı veri sorumluları ve ülkeler bakımından farklı kurallar uygulanabilir.
Kimlik ve vekâlet kontrolünün hukuki sınırı
İngiliz veri sorumlusu kişisel kayıtları yanlış kişiye göndermemek için başvuranın kimliğini belirlemekle yükümlüdür. ICO’nun güncel yaklaşımı, kimlik belgesi istenirken gereklilik ve orantılılığın gözetilmesini öngörür. Her başvuruda kimlik kartının her yüzünün veya tüm pasaport verilerinin açık e-postadan gönderilmesi istenmemelidir. Başkası adına başvuran avukat veya yetkili, temsil yetkisini belgelemek zorunda olabilir. Türkiye’de düzenlenmiş vekâletnamenin biçimi, kapsamı ve İngiliz muhatapça kabulü ayrıca araştırılır. Kimlik veya vekâlet belgesi paylaşılırken yalnız gerekli kısımlar iletilmeli, kimlik numarası ve hassas bilgilerin gereksiz yayılması önlenmelidir.
İşçi bordrosu ve değerlendirme kayıtları
İngiltere’de çalışan Türk vatandaşının maaş kesintisi, performans veya işten çıkarma uyuşmazlığında SAR yararlı olabilir. Çalışan hakkında işlenen bordro kalemleri, işe ilişkin notlar, özlük bilgilerinin belirli bölümleri ve kişisel veriyi içeren bazı yazışmalar erişim kapsamında değerlendirilebilir. Bununla birlikte şirket yöneticilerinin başka çalışanlara ilişkin bütün yazışmaları kişiye doğrudan açmak zorunda olduğu söylenemez. Ücret kesintisine dayalı Employment Rights Act 1996 Section 13 başvurusu için dava süresi ile SAR cevap süresi ayrı hesaplanmalıdır. Çalışan kişisel veri cevabını beklerken Acas veya Employment Tribunal başvurusu için gereken süreyi kaçırmamalıdır. SAR bir zamanaşımı durdurma aracı değildir.
Banka hareketleri ve kredi değerlendirmesi
Bir Türk vatandaşının İngiltere’deki banka veya finans kuruluşundan kendisine ilişkin hesap hareketleri, kimlik doğrulama kayıtları veya kredi değerlendirmesi verileri istemesi, UK GDPR Article 15 kapsamıyla bağlantılıdır. Ancak bankanın üçüncü kişilere ait hesapları, güvenlik sistemlerinin bütün altyapısını veya hukuken istisnaya tabi incelemeleri açıklamak zorunda olduğu varsayılamaz. Finansal suç veya düzenleyici gizlilik kuralları belirli bilgilerin verilmesini sınırlayabilir. Türkiye’deki alacak davasında kullanılacak banka kaydının delil değeri ayrıca HMK m.199 ve m.219–221 çerçevesinde incelenir. Bankanın cevabının bir kişisel veri kopyası olması, Türk mahkemesinin yetki sınırlarını veya uluslararası istinabe gereğini ortadan kaldırmaz.
Sağlık verisi ve NHS dosyası
Birleşik Krallık’ta sağlık hizmeti alan Türk vatandaşının kendisiyle ilgili tıbbi kayıtlarına erişimi, hassas kişisel verilerin güvenliği bakımından daha sıkı bir değerlendirme gerektirir. NHS veya ilgili sağlık kuruluşuna yapılan talepte kayıt sahibi, tedavi dönemi ve yetkili kişi açıkça belirlenmelidir. Sağlık verileriyle bağlantılı özel erişim sınırlamaları ve üçüncü kişi mahremiyeti göz önüne alınabilir. Türkiye’de açılacak tıbbi hata davası için yabancı sağlık belgeleri HMK m.199 anlamında elektronik belge niteliği taşıyabilir. Bununla birlikte hekim kusuru, illiyet bağı, zarar ve usulüne uygun bilirkişi incelemesi yalnız kayıt temin edildiği için ispatlanmış sayılmaz. Kişisel veri talebi ile tıbbi bilirkişilik iki farklı süreçtir.
Şirket içi disiplin ve şikâyet dosyası
İngiliz şirketteki personelin kendisi hakkında yürütülen disiplin soruşturmasına ilişkin kişisel kayıtlar Article 15 bakımından önem taşıyabilir. Ancak yönetimin hukuki görüşleri, başka kişilerin ifadeleri, gizli referanslar ve ayrıcalıklı iletişimler aynı şekilde koşulsuz teslim edilmez. Başvuranın amacı dava açmak olsa bile başvurunun kişisel veri niteliği ortadan kalkmaz; bunun karşılığında şirketin her ‘dava çıkabilir’ gerekçesiyle tüm kişisel verileri saklayabileceği de kabul edilemez. Veri sorumlusu ilgili istisnayı somut veri kalemleri bakımından gerekçelendirmelidir. Karşı tarafın cevap verdiği veya kısmen kararttığı belgeler tarihler ve konu bazında saklanmalıdır.
Üçüncü kişilerin bilgisi ve karartma
UK GDPR Article 15 kapsamında kişinin erişim hakkı, üçüncü kişilerin hak ve özgürlüklerine zarar vermeyecek şekilde uygulanır. Data Protection Act 2018 Schedule 2 içindeki ilgili istisnalar belirli üçüncü kişi verilerinin açıklanmasını sınırlayabilir. Bir e-postada hem başvuranın hem başka çalışanların verileri bulunabilir; kurum uygun karartmayla kişinin verisini paylaşabilir. Ancak tüm belgenin içeriğinin gizlenmesi için uygun gerekçe olup olmadığı ayrıca değerlendirilmelidir. Başvuru sahibi karartılan kısımların hangi gerekçeyle çıkarıldığını sorabilir. Mahkemeye sunulan çıktıların hiç değiştirilmemiş orijinal yanıt mı yoksa tarafın kendi hazırladığı seçilmiş ekran görüntüsü mü olduğu da delil tartışmasına etki eder.
Legal professional privilege istisnası
Data Protection Act 2018 Schedule 2 paragraph 19, legal professional privilege kapsamında korunabilecek bilgi ve avukatın müvekkiline karşı gizlilik borcu altında olduğu belirli veriler için erişim istisnası öngörür. Bu nedenle bir çalışan, bankanın avukatıyla yaptığı bütün hukukî yazışmaları subject access request yoluyla koşulsuz elde etmeyi beklememelidir. Buna karşılık şirketin sıradan operasyonel notlarına ‘legal’ etiketi vermesi tek başına bütün içeriği imtiyazlı hâle getirmez. Hukuki görüşün gerçekten kimler arasında ve hangi amaçla düzenlendiği, istisnanın şartlarını etkileyebilir. Türk mahkemesinde delil değerlendirmesi yapılırken de hukuka aykırı gizli belgelerin elde edilmesi ve açıklanması riski dikkate alınmalıdır.
SAR ile CPR 31.16 disclosure arasındaki fark
İngiltere CPR 31.16 uyarınca dava öncesi disclosure başvurusu, mahkemenin kendi kanuni koşulları ve usulî takdiri kapsamında belgelerin açıklanmasıyla ilgilidir. UK GDPR Article 15 kapsamında SAR ise veri sahibinin kişisel verilere erişim hakkıdır; mahkeme emri olmaksızın veri sorumlusuna yöneltilebilir. Bir şirketin bütün sözleşmelerini incelemek için SAR’ı genel delil keşfi yerine kullanmak hukuki sonucu yanlış kurar. CPR 31.16’nın muhtemel taraf ve standart disclosure unsurları ile SAR’ın veri kişisi kapsamı birbirinden ayrılmalıdır. Türkiye’deki HMK m.219–221 belge ibrazı da ayrı Türk usul hükümlerine tabidir. Aynı olayda farklı hakların gündeme gelebilmesi, bunların birbirine dönüşmesi anlamına gelmez.
HMK m.199 elektronik verinin belge niteliği
6100 sayılı Hukuk Muhakemeleri Kanunu m.199; yazılı veya basılı metinlerin yanında elektronik ortamdaki veriler, fotoğraf, ses ve görüntü kayıtları gibi bilgi taşıyıcılarını belge kavramına dahil eder. İngiliz veri sorumlusundan verilen e-posta dökümü, PDF veya elektronik kayıt Türk mahkemesinde belge olarak ileri sürülebilir. Ancak m.199 tek başına belgenin doğruluğunu, aidiyetini, içeriğinin tamamlığını ve hukuka uygun elde edildiğini kesinleştirmez. Üstveri, gönderim kaydı, tarih, kişi eşleştirmesi ve belgenin bağlamı önemlidir. Mahkeme belgeyi HMK’nın diğer ispat ve delil hükümleriyle birlikte değerlendirir. Gerekirse uzman incelemesi veya yabancı kurumdan resmî açıklama gündeme gelebilir.
HMK m.219–221 ile belge ibrazı
HMK m.219 tarafların ellerinde bulunan ve delil olarak dayanılan belgelerin ibrazına ilişkin yükümlülükleri, m.220 ibrazdan kaçınmanın sonuçlarını; m.221 ise üçüncü kişinin elindeki belgelere ilişkin usulü düzenler. Bir İngiliz şirketin Türkiye’deki davaya taraf olması veya sadece İngiltere’de veri sorumlusu olması, HMK hükümlerinin aynı şekilde ve doğrudan İngiliz ülkesi içinde zorla uygulanabileceği anlamına gelmez. Yabancı ülkede belge toplanması gerektiğinde yetki, istinabe ve ilgili uluslararası anlaşmalar ayrıca değerlendirilmelidir. SAR yanıtı delil dosyasına konulabilir; fakat davada karşı tarafın sunması gereken belgeler için Türk mahkemesinin ibraz kararını tamamen ikame etmez.
Türkiye KVKK m.11 ve m.13 ile farklar
6698 sayılı Kanun m.11, kişinin kendi verileri hakkındaki bilgi edinme, kullanım amacı, veri aktarılan alıcılar ve şartları gerçekleşmişse düzeltme veya silme taleplerini düzenler. Aynı Kanun m.13, veri sorumlusuna başvurunun yöntemini ve en geç otuz gün içinde sonuçlandırılması yükümlülüğünü içerir. Bunlar Türkiye’deki veri sorumlusuna uygulanabilecek kurallardır. İngiltere’de UK GDPR’ye tabi şirkete yöneltilen başvurunun cevap süresini Türkiye’deki otuz günlük rejimle otomatik birleştirmek doğru değildir. Türk kişisel verilerinin İngiliz şirkette işlenmesi halinde iki ülke kurallarının ülkesel kapsamı ve ilgili tüzel kişilerin sıfatı ayrıca araştırılır. Başvuru için doğru muhatap seçilmelidir.
Türkiye’de KVKK şikâyeti ve İngiliz ICO yolu
KVKK m.14, veri sorumlusunun cevabının öğrenilmesinden itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyet yolunu düzenler; m.13 başvurusunun tüketilmesi kuralı önem taşır. İngiltere’de ise ICO rehberindeki veri sahibinin kuruluşa şikâyet ve düzenleyici mercie başvuru yolları uygulanabilir. Bir Türk vatandaşının bir İngiliz veri sorumlusuna şikâyeti her durumda Türk Kişisel Verileri Koruma Kuruluna yöneltilebileceği varsayımı doğru değildir. İlgili şirketin hangi ülkede veri sorumlusu olduğu, işlemenin nerede yürütüldüğü ve iki rejimin uygulama alanları ayrı incelenmelidir. Kuruma şikâyet ile Türk hukuk davasının süreleri birbirinden bağımsız izlenir.
Eksik veya geciken yanıta karşı kayıt ve itiraz
İngiliz veri sorumlusu süre sonunda cevap vermezse veya erişim talebini reddederse, ICO rehberine uygun olarak başvuru ve cevap kayıtlarıyla önce kuruma şikâyet ve uygun durumda düzenleyici mercie başvuru değerlendirilebilir. Başvurunun alınma tarihini gösteren e-posta, kimlik doğrulama yazışması, makul açıklama talebi, uzatma bildirimi ve karşı tarafın son cevabı ayrı saklanmalıdır. Kurumdan gelen kısmi yanıt, hangi veri kategorilerinin açıklanmadığını not etmeye yarar. Ancak her reddin otomatik hukuka aykırı olduğu ileri sürülmemelidir; belirli istisnalar gerçek olayda uygulanabilir. İngiliz veri düzenleyicisine başvurulması, Türkiye’de yürütülen alacak veya tazminat davasının hak düşürücü sürelerini kendiliğinden korumaz.
Özel nitelikli veri ve güvenli paylaşım
Sağlık kayıtları, hassas işyeri bilgileri, çocuklara ait kayıtlar veya kimlik belgeleri gibi verilerin SAR yoluyla alınması, onların açık e-posta zincirlerine veya kamuya açık belgelere serbestçe aktarılması gerektiği anlamına gelmez. Türk mahkemesine sunulacak kayıtların somut uyuşmazlıkla bağlantılı kısmı seçilmeli; gereksiz kişisel veriler mümkünse güvenli kanallarla işlenmeli ve gerekli karartma uygulanmalıdır. Bir dava dilekçesine farklı kişilerin banka hesap numaralarını veya sağlık verilerini gereksiz biçimde eklemek hukuki risk doğurur. Başvuru yapan avukatın ilgili ülkenin meslek kurallarını, kişisel veri mevzuatını ve temsil yetkisini ayrıca gözetmesi gerekir. Veri güvenliği delil değeri kadar önemlidir.
Türk mahkemesinde yabancı kayıt ve tercüme
UK GDPR Article 15 yanıtının İngilizce olması, belgenin Türk mahkemesinde anlaşılır şekilde kullanılmasına yönelik tercüme veya doğrulama ihtiyacını doğurabilir. Belgenin resmî belge olup olmadığı, çıktının nasıl üretildiği, imzalı kurum yazısının bulunup bulunmadığı ve yabancı kayıtların doğrulanmasına duyulan ihtiyaç ayrı değerlendirilmelidir. Her elektronik veri dökümü otomatik olarak apostil konulabilen resmî belgedir denilemez. İngiliz şirketin hazırladığı sıradan elektronik kayıt ile resmî makamca düzenlenen belge farklı niteliktedir. Bir tanığın kendiliğinden hazırladığı açıklama ile şirketin düzenli sistem kayıtları arasında ispat farkı bulunabilir. Uygun tercüme ve kaynak kaydı hazırlanmalıdır.
Somut örnek: Manchester’da işten çıkarma
Manchester’da çalışan bir Türk vatandaşının performans gerekçesiyle işten çıkarıldığını ve hakkında tutulan bazı değerlendirme kayıtlarını görmek istediğini varsayalım. Kişi doğru İngiliz işverene UK GDPR Article 15 kapsamında veri başvurusu yapabilir; işçi statüsü ve işten çıkarma işleminin hukuki sonuçları ayrıca değerlendirilir. İşveren kişisel verileri makul biçimde arayıp kanuni istisnaları uygulayabilir; her yöneticinin yazışmasını koşulsuz teslim etmek zorunda olduğu varsayılamaz. Employment Tribunal başvuru süresinin ayrıca hesaplanması gerekir. Türkiye’deki başka bir iş ilişkisine ilişkin dava düşünülüyorsa MÖHUK m.27, HMK m.199 ve ilgili iş hukuku hükümleri ayrı incelenir. Bu örnek belirli bir davanın sonucunu temsil etmez.
Somut örnek: İngiliz bankasının Türk alacaklıya cevabı
İngiltere’deki banka, hesap sahibi Türk vatandaşı hakkında belirli işlem ve iletişim kayıtları tutuyor olabilir. Hesap sahibi SAR göndererek kendisine ait kişisel verilerin kopyasını isteyebilir. Buna karşılık Türkiye’de alacak davası açan başka bir kişi, sırf kendisi alacaklı diye borçlunun bütün İngiliz banka kayıtlarını Article 15 kapsamında isteyemez; bu hak esasen ilgili kişinin kendisine ilişkindir. Üçüncü kişi hesaplarına ilişkin delil ihtiyaçları ayrı mahkeme ve uluslararası istinabe yollarına tabi olabilir. Bankanın kişisel veri cevabının kapsamı, bilginin doğruluğu ve Türk mahkemesinde kullanılabilirliği birbirinden bağımsız sorulardır. Bu örnek herhangi bir mahkeme kararı içermez.
Dosya kontrol listesi ve sonuç
İngiltere’deki kişisel veri talebinden Türkiye’deki davaya uzanan süreçte önce ilgili kişi ve veri sorumlusu belirlenmeli; sonra istenen kişisel veri türleri, işleme dönemi ve amaç açıkça yazılmalıdır. 5 Şubat 2026 sonrasındaki UK GDPR Article 12A cevap rejimi, bir ay ve meşru açıklama talebinde durma olasılığı bakımından güncel ICO rehberi üzerinden takip edilmelidir. Gelen belgeler orijinal dosya biçimi, tarih ve üstveriyle güvenli şekilde saklanmalı; üçüncü kişi verileri gereksiz açıklanmamalıdır. Türkiye’de HMK m.199, 219–221, KVKK m.11 ve ilgili diğer usul hükümleri ayrı değerlendirilir. SAR’ın Türk davası için tüm delilleri getireceği veya dava süresini durduracağına dair garanti verilmemelidir.
İlgili hukuk rehberleri
Resmî mevzuat ve kurum kaynakları
- ICO: A guide to subject access (16 Temmuz 2026 güncellemesi)
- ICO: SAR response and time limits
- Data (Use and Access) Act 2025 s.76
- UK Statutory Instrument 2026/82 (5 Şubat yürürlüğü)
- Data Protection Act 2018 Schedule 2
- 6698 sayılı KVKK – Aile ve Sosyal Hizmetler Bakanlığı resmî metin
- 6100 sayılı HMK – mevzuat.gov.tr
SAR ve Türkiye’deki dava için altı somut adım
- Veri sorumlusunun kayıtlı unvanını ve size ait veri kategorilerini belirleyin; başvuruyu yazılı kaydedin.
- Talebin gönderilme ve alındığı tarihleri, kimlik teyidi ve açıklama istemlerini ayrı saklayın.
- 5 Şubat 2026 sonrası Article 12A süre hesabını ve hukuka uygun uzatma nedenlerini resmi ICO rehberiyle doğrulayın.
- Gelen PDF ve elektronik kayıtları orijinal format, tarih ve kaynak bilgisiyle koruyun; üçüncü kişi verilerini gereksiz yaymayın.
- Türk mahkemesindeki somut ispat konusu için HMK m.199 ve gerekiyorsa m.219–221 usulünü ayrı değerlendirin.
- Employment Tribunal, Türk mahkemesi veya diğer mercilerdeki süreleri SAR yanıtından bağımsız takvimde izleyin.
Bu aşamalar genel kontrol listesi olup başvurunun bütün kayıtlara erişim sağlayacağını veya davayı kazandıracağını garanti etmez.
Sık sorulan sorular
1. İngiltere Subject Access Request (SAR) nedir?
UK GDPR Article 15 uyarınca kişinin kendisine ait işlenen kişisel verilere ve belirli tamamlayıcı bilgilere erişim talebidir.
2. İngiltere’de SAR yanıt süresi 2026’da ne kadardır?
ICO’ya göre kural olarak bir ay; gerekli şartlarda iki ay daha uzatılabilir ve 5 Şubat 2026’dan beri bazı açıklama talepleri süreyi durdurabilir.
3. SAR gönderince işverenin tüm e-postaları çıkar mı?
Hayır. Erişim yalnız kişiye ait veri ve ilgili kapsamla sınırlıdır; üçüncü kişi hakları ve kanuni istisnalar da uygulanabilir.
4. UK GDPR Article 12A ne zaman yürürlüğe girdi?
Data (Use and Access) Act 2025 s.76’nın ilgili hükümleri 2026/82 sayılı düzenlemeyle 5 Şubat 2026’da yürürlüğe girdi.
5. Avukat İngiliz şirketine müvekkili adına SAR gönderebilir mi?
Evet; uygun temsil yetkisini belgelemek ve veri sorumlusunun makul kimlik doğrulama taleplerini karşılamak gerekebilir.
6. SAR için ücret istenebilir mi?
Genel kural ücretsiz yanıttır; açıkça dayanaksız veya aşırı talepler ve ek kopyalar gibi sınırlı koşullar değerlendirilebilir.
7. Hastane ve NHS kayıtları SAR kapsamında mı?
Kişinin sağlık kayıtlarına erişim hakkı bulunabilir; hassas veri, üçüncü kişi mahremiyeti ve kanuni istisnalar ayrıca değerlendirilir.
8. İngiliz SAR cevabı Türk mahkemesinde delil midir?
HMK m.199 kapsamında belge olarak ileri sürülebilir; doğruluğu, hukuka uygunluğu ve ispat değeri ayrıca değerlendirilir.
9. SAR ile CPR 31.16 aynı işlem midir?
Hayır. SAR kişisel verilere erişim hakkı, CPR 31.16 ise kanuni koşullara bağlı mahkeme denetimli dava öncesi belge açıklama yoludur.
10. Veri sorumlusu her belgeyi eksiksiz vermek zorunda mı?
Hayır. Article 15’in kişisel veri kapsamı, üçüncü kişi hakları ve Data Protection Act 2018 Schedule 2 istisnaları önemlidir.
11. Türkiye KVKK m.11 başvurusu İngiliz SAR yerine geçer mi?
Kendiliğinden geçmez. Farklı ülkenin veri sorumlusu ve kapsam şartları ayrı belirlenir.
12. SAR göndermek Türkiye’deki dava süresini durdurur mu?
Hayır. Kişisel veri başvurusu Türk hukukundaki dava veya başvuru süresini otomatik durdurmaz.
Bakırcı & Keskin Hukuk Bürosu Mersin ofisi
İstanbul Ofisi – Polaris Plaza, Maslak / Sarıyer
Bakırcı & Keskin Hukuk Bürosu
Maslak Ahi Evran Caddesi, Polaris Plaza No:21, Kat:9, 34475 Sarıyer/İstanbul
İstanbul ve Mersin’deki fiziksel ofislerimizden Türkiye genelindeki dosyalar, görev ve yetki kuralları ile gerekli yerel işlemler dikkate alınarak koordine edilir. Yüz yüze görüşme için randevu sırasında tercih ettiğiniz ofisi belirtiniz.
İstanbul ofisini Google Haritalar’da açın · İletişim ve randevu
Hukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
