İngiltere Kişisel Veri Erişim Talebi 2026: UK GDPR Article 15, Bir Ay ve SAR Hakkı
Kısa ve net cevap
2026’da İngiltere’deki şirketin işlediği kişisel veriler için UK GDPR Article 15 uyarınca Subject Access Request (SAR) yapılabilir; olağan cevap süresi Article 12A kapsamında bir takvim ayıdır. Kimlik doğrulama, karmaşık talepler ve makul açıklama ihtiyacı için ayrı kurallar vardır.
Bu yazıyla ilgili genel bir sorunuz mu var? Anonim soru sor
| Konu | Resmî dayanak | Uygulama |
|---|---|---|
| Kişisel veriye erişim | UK GDPR Article 15 | Ücretsiz temel erişim hakkı |
| Cevap süresi | UK GDPR Article 12A | Bir takvim ayı |
| Makul açıklama ihtiyacı | Article 12A(5) | Şartları varsa süre durabilir |
| Arama kapsamı | Article 15(1A) | Makul ve orantılı arama |
| Üçüncü kişilerin bilgisi | Article 15(4) | Somut koruma ve redaksiyon |
| Türkiye karşılaştırması | KVKK m.11, 13, 14 | Farklı kurum ve usul |
1. 2026’da subject access request hakkı neyi kapsar?
UK GDPR Article 15, kişinin veri sorumlusundan kendisine ilişkin kişisel verilerin işlenip işlenmediğini öğrenmesini, işlenen verilere erişmesini ve ilgili işlemeye ilişkin tamamlayıcı bilgileri almasını sağlar. Bu hak her şirket belgesinin aynen teslimi değildir; kişiyi tanımlayan veya onunla ilişkili verinin erişimidir. Şirket, talep sahibinin adı geçen bir belgeyi tamamen açıklamadan da kişisel veriyi anlamlı ve okunabilir biçimde sağlayabilir. Kararda kayıtların bağlamı, üçüncü kişilerin hakları ve açıklamanın anlaşılır olması birlikte değerlendirilir. Türk çalışan veya müşteri, talebini belirli dosyalarla sınırlandırmak zorunda değildir.
2. Veri sorumlusu ile veri işleyen şirket farkı
Başvurunun esas muhatabı kişisel verilerin hangi amaç ve araçlarla işlendiğini belirleyen controller’dır. Bir İngiliz şirketinin Türk yazılım hizmet sağlayıcısı yalnız processor konumundaysa erişim talebine esas cevap sorumluluğu genellikle İngiliz controller’a aittir; processor sözleşmesi gereği yardım eder. Ancak aynı kuruluş kendi personel verisi hakkında controller olabilir. Bu nedenle şirket adındaki ticari marka yerine hukuki şirket unvanı ve faaliyet rolü tespit edilmelidir. Kişinin Türkiye’de ikamet etmesi başvurunun İngiltere’deki controller’a yöneltilmesini engellemez; kapsam bağlantı ve uygulanan veri koruma hukukuna göre incelenir.
3. Talep hangi yolla yapılabilir?
ICO’nun güncel rehberi, subject access request için zorunlu bir başvuru formu bulunmadığını açıklar. Talep sözlü, e-posta, mektup veya şirketin iletişim kanalından yapılabilir; hatta sosyal medya üzerinden iletilen açık bir kişisel veri isteği geçerli olabilir. Kişinin UK GDPR Article 15 veya SAR ifadesini kullanması şart değildir. İşveren müşteri hizmetleri çalışanına ulaşan mesajı yalnız ‘hukuk birimine gelmedi’ diye görmezden gelemez. Şirketin bütün ekipleri talebi tanıyabilecek şekilde eğitilmeli; kim tarafından ne zaman alındığı kayıt altına alınmalıdır.
4. Bir aylık süre nasıl hesaplanır?
Data (Use and Access) Act 2025 section 76 ile UK GDPR’ye eklenen Article 12A’nın 5 Şubat 2026’da yürürlüğe giren hükümleri esas alınır. Olağan cevap süresi ilgili başlangıç anından itibaren bir takvim ayıdır; bu her olayda sabit 30 gün anlamına gelmez. ICO örneklerinde ayın aynı takvim gününe ulaşılması ve ilgili günün bulunmaması halinde ay sonunun esas alınması açıklanır. Son gün resmi tatil veya hafta sonuna rastlıyorsa rehberdeki sonraki iş günü kuralı dikkate alınır. Başvurunun alındığı ve cevaplandığı tarih kayıtlarla kanıtlanmalıdır.
5. Başlangıç anı niçin bazen değişir?
Article 12A kapsamında relevant time, talebin alınması, gerçekten gerekli kimlik doğrulama bilgilerinin alınması veya kanunen alınabilecek bir ücretin ödenmesi gibi tarihlere göre belirlenebilir. İşveren başvuruya birkaç hafta cevap vermeyip sonra keyfî kimlik belgesi istemek suretiyle süreyi sınırsız uzatamaz. İstenen bilgi gerçekten gerekli ve orantılı olmalıdır. Kişi zaten giriş yaptığı kurumsal sistem üzerinden doğrulanıyorsa tekrar pasaport kopyası istemenin gerekçesi sorgulanır. Her talep için istenen belgeler ve alınma tarihleri ayrı işlem kaydında gösterilmelidir.
6. Açıklama istemek saati otomatik durdurur mu?
Yeni Article 12A(5), veri sorumlusunun kişisel veri talebinin neye ilişkin olduğunu belirlemek için makul şekilde ek bilgiye ihtiyacı varsa cevap süresinin belirli günlerde durabilmesine izin verir. Bu hak bütün taleplerde rutin olarak kullanılan bir bekletme yöntemi değildir. Özellikle kişinin çok geniş veri geçmişi mevcutsa hangi işlem veya kayıtların arandığını açıklama ihtiyacı ortaya çıkabilir. İstenen açıklamanın tarihi, gerekçesi ve yanıt tarihi dosyalanmalıdır. Başka bir konuda, örneğin yalnızca PDF yerine Excel isteyip istemediğini sormak, aynı durdurma gerekçesi değildir.
7. Kişi talebini daraltmak zorunda mı?
Kişi kendi hakkının kapsamını belirler; veri sorumlusu aramayı kolaylaştırmak için hangi dönem veya hesapla ilgilendiğini sorabilir fakat kişiyi zorla daha az veriye razı edemez. Açıklama gelmese dahi şirketin Article 15(1A) kapsamındaki makul ve orantılı arama görevi ortadan kalkmış sayılmaz; somut süreç ve ICO rehberi dikkate alınır. Çalışan işten çıkarılma dosyasını aradığını söylerse arama planı hedeflenebilir; bu beyanın başka kişisel veri kümelerinin kendiliğinden hariç tutulduğu şeklinde yorumlanması için açıklık gerekir. Şirket iletişimi manipülatif olmamalıdır.
8. Süre iki ay daha uzatılabilir mi?
Article 12A, talebin karmaşıklığı veya aynı kişiden gelen taleplerin sayısı nedeniyle gerektiğinde normal bir aylık döneme ek iki ay uzatma olanağı sağlar. Bunun için organizasyonun ilk bir ay içinde talep sahibine uzatma ve nedenini açıklaması gerekir. Sadece şirketin yoğun olması veya personel eksikliği her olayda yeterli gerekçe sayılmaz. Büyük veri arşivleri, birden fazla yurtdışı sistem ve farklı istisna değerlendirmeleri karmaşıklığa katkı sağlayabilir. İşverenin ‘üç ayımız var’ diye ilk bildirim yapmadan beklemesi hukuka uygun bir yönetim planı değildir.
9. Reasonable and proportionate search standardı
Data (Use and Access) Act 2025 section 78 ile UK GDPR Article 15(1A)’da makul ve orantılı arama sınırı açıkça yazılıdır. Şirket tüm sunucularda sınırsız teknik tarama yapmak zorunda olmamakla birlikte işe yarayacak kaynakları keyfî dışlayamaz. İlgili e-posta kutuları, bordro sistemi, müşteri ilişkileri yazılımı, dosya paylaşım alanları ve meşru saklama sistemleri gözden geçirilmelidir. Arama planında kullanılan kimlik varyantları, çalışan numaraları, hesap tarihleri ve filtreler kayıtlı tutulmalıdır. Makul arama savunması yalnızca ‘veri bulamadık’ cümlesine dayanmaz.
10. Kişisel veri ile üçüncü kişinin bilgisi ayrımı
İstenen e-posta hem başvuru sahibini hem başka çalışanı içeriyorsa Article 15(4) ve Data Protection Act 2018’in ilgili düzenlemeleri gereğince üçüncü kişinin hak ve özgürlükleri korunmalıdır. Bu, belgenin tamamının otomatik gizleneceği anlamına gelmez; bazı bölümlerin karartılması veya kişisel verinin ayrı çıkarılması mümkün olabilir. İşveren farklı kişilerin sağlık, maaş, disiplin veya şikâyet kayıtlarını paylaşırken gereksiz ifşadan kaçınmalıdır. Üçüncü kişinin rızası olmadığında bütün içeriğin reddi yerine somut menfaat ve makullük değerlendirmesi yapılmalıdır. Redaksiyonun mantığı kayda geçirilmelidir.
11. Hangi tamamlayıcı bilgiler gerekir?
UK GDPR Article 15(1), işleme amaçları, kişisel veri kategorileri, alıcıların kimliği veya kategorileri, saklama süresi veya bunun belirlenme ölçütleri, düzeltme-silme-kısıtlama ve itiraz hakları, ICO’ya şikâyet hakkı ve otomatik karar verme gibi alanları kapsar. Veri sorumlusu yalnız dosya eki gönderip işlemenin hangi amaçla yapıldığını açıklamazsa eksik cevap gündeme gelebilir. Uluslararası aktarım yapılıyorsa ilgili güvenceler hakkında bilgi gerekebilir. Cevapta kişinin hangi işleme faaliyetine ilişkin bilgi aldığı, açık ve anlaşılır başlıklarla gösterilmelidir.
12. Her iç şirket belgesinin tamamı verilir mi?
Article 15(3), işlenen kişisel verilerin bir örneğinin sağlanmasını düzenler; bu hak kayıtların tamamını hiçbir sınırlama olmadan kopyalama yükümlülüğüyle özdeş değildir. Bir yönetim kurulunun şirket stratejisi tartışmaları kişisel veri içermiyorsa başvuruyla otomatik açılmaz. Bununla birlikte kişiyi değerlendiren notlar veya karar gerekçesinde geçen kişisel nitelendirmeler kapsam dışında diye kategorik reddedilemez. İşveren ilgili kişinin verisini anlaşılır kılmak için kimi zaman belge parçalarını birlikte sunmalıdır. Çıkarılan verinin anlamını değiştirecek ölçüde bağlam silinmemelidir.
13. İşten çıkarılan çalışanın personel dosyası
Türk çalışan işten çıkarılmadan önceki performans notları, disiplin yazışmaları ve kendisiyle ilişkili İK kayıtları için subject access request yöneltebilir. Ancak SAR, işe iade davasında bütün işveren belgelerini elde etmeye yarayan sınırsız bir discovery mekanizması değildir. İş sözleşmesi, whistleblowing bildirimi ve ücret uyuşmazlığına ilişkin ayrı hukuk yolları bulunabilir. Çalışan talebinde çalıştığı şirket, dönem ve kullanılan kurumsal e-posta gibi bilgileri doğru yazarsa arama kolaylaşır. İşveren de ilgili kişisel verilerin bir kopyasını verme göreviyle savunma stratejisini ayırmalıdır.
14. Çalışanlar arasındaki WhatsApp veya Teams kayıtları
İş ilişkisi kapsamında şirket sistemlerinde tutulan Teams mesajları, e-posta dizileri ve belirli iş grubu yazışmaları kişisel veri içerebilir. Ancak tüm mesajların kontrolsüz paylaşılması hem başka çalışanların verilerini hem ticari sırları açığa çıkarabilir. Şirket hangi hesap ve dönemlerin arandığını, saklama politikasını ve mevcut veri üzerinde fiili kontrolünü belgelemelidir. Kişisel özel telefon veya özel hesapta saklanan bilginin kurumsal erişim sorumluluğu farklı olgulara bağlıdır. Başvurucunun adı geçen her cümle otomatik olarak kişisel veri sayılmayacağı gibi doğrudan adı geçmeyen değerlendirmeler de kişiyi tanımlıyorsa kapsamda olabilir.
15. Müşteri ve e-ticaret verileri
İngiltere’deki Türk sermayeli e-ticaret şirketi, müşterinin hesap hareketleri, sipariş kayıtları, destek görüşmeleri ve veri profilinin erişim kapsamına girip girmediğini değerlendirmelidir. Müşterinin yalnız sipariş faturası istemesi her zaman SAR değildir; fakat kişisel veri kopyasını açıkça talep ediyorsa Article 15 değerlendirmesi gerekir. Çerez ve pazarlama profilleri birden çok sistemde tutuluyorsa arama alanı genişleyebilir. Şirket üçüncü taraf reklam hizmetleriyle ilişkili işlemci veya bağımsız veri sorumlusu rollerini ayırmalıdır. Sözleşmesel sipariş iadesi hakkı ile kişisel veriye erişim talebi birbirine karıştırılmamalıdır.
16. İngiltere’den Türkiye’ye aktarılmış veriler
UK GDPR subject access request, uygun durumda İngiltere’deki controller’ın Türkiye’de processor tarafından işlenen kişisel verileri hakkında da cevap hazırlamasını gerektirebilir. Bir veri akışının uluslararası olması yükümlülükten kendiliğinden muafiyet sağlamaz. Aktarımın UK GDPR Chapter V ve IDTA veya ilgili güvence şartları ayrı bir hukuki konudur; SAR kapsamında kişiye aktarım hakkında bilgi verilmesi başka bir yükümlülüktür. Türk hizmet sağlayıcı erişim ve veri çıkarma sürecine sözleşmesel olarak yardımcı olmalıdır. Teknik veri paylaşımı sırasında güvenli transfer kanalı ve kimlik doğrulama kullanılmalıdır.
17. Verinin silinmiş olması ne anlama gelir?
Veri sorumlusu meşru ve önceden uygulanan saklama politikası uyarınca artık elinde bulunmayan veriyi yeni baştan yaratmakla yükümlü değildir. Ancak talep geldiğinde mevcut verinin sırf erişim hakkını engellemek amacıyla silinmesi ciddi hukuki sorun yaratabilir. Şirket yedeklerin, arşivin, otomatik silme sürelerinin ve hukuki saklama yükümlülüklerinin ne olduğunu tespit etmelidir. ‘Sistemden silindi’ beyanı muhasebe, bordro veya dava saklama gerekliliklerini açıklamayabilir. Başvurucunun talebi nedeniyle veri yaşam döngüsünde yapılan değişiklikler ayrıca belgelenmelidir.
18. Talep için ücret istenebilir mi?
UK GDPR Article 12(5) uyarınca temel erişim talebi genel olarak ücretsiz karşılanır. Açıkça dayanaksız veya aşırı taleplerde makul ücret istenmesi ya da belirli şartlarda talebin reddi gündeme gelebilir; bunun gerekçesini ispat yükü veri sorumlusundadır. Tekrarlanan her başvuru otomatik olarak aşırı sayılmaz. Article 15(3) çerçevesinde ilave kopyalar için idari maliyete dayalı ücret düzeni de ayrı incelenir. Şirket başvuruyu işleme koymak için herkesten standart ‘SAR bedeli’ istememelidir. Makul ücretin hesabı ile meşru istisnanın temeli açıklanmalıdır.
19. Hukuki meslek sırrı ve dava belgeleri
Data Protection Act 2018 Schedule 2 kapsamındaki bazı istisnalar, hukuki meslek ayrıcalığı altında korunan iletişimler veya belirli hukuki süreçlerde kişisel verinin açıklanmasına sınır koyabilir. Ancak bir şirketin avukatıyla yazışıyor olması şirket içindeki bütün kayıtları otomatik olarak privileged hale getirmez. İçerik, yazışmanın amacı ve istisnanın uygulanacağı koşullar tespit edilmelidir. Talebin aynı anda iş mahkemesi davasıyla bağlantılı olması Article 15 hakkını otomatik ortadan kaldırmaz. İstisna kararı belge veya bilgi kategorisi özelinde kurulmalıdır.
20. Otomatik karar ve profil bilgileri
Article 15 kapsamında otomatik karar verme ve bazı profil çıkarma faaliyetleri hakkında bilgi talepleri gündeme gelebilir. İşveren aday değerlendirme yazılımı veya e-ticaret dolandırıcılık skorlaması kullanıyorsa kişinin hangi verilerinin işlendiği ve ilgili açıklama yükümlülükleri incelenir. Her yazılım çıktısı otomatik olarak yalnızca Article 22 kapsamındaki karar sayılmaz; insan müdahalesi ve işlemin kişi üzerindeki etkisi önemlidir. SAR cevabı, algoritmanın tüm kaynak kodunu açıklamakla aynı şey değildir. Şirket ticari sır korumasıyla verinin anlamlı açıklanması yükümlülüğünü dengeler.
21. E-posta adresi ve iletişim güvenliği
Kişi şirketin elinde özel kategoride sağlık verileri veya finans kayıtları bulunduğundan şüpheleniyorsa cevabın yanlış adrese gönderilmesi ikinci bir veri ihlali doğurabilir. Controller kimlik doğrulama ve güvenli iletim için uygun tedbir almalıdır. Ancak bu gerekçe makul olmayan pasaport taleplerini veya gereksiz bekletmeyi haklı çıkarmaz. Şifreli bağlantı, erişim sınırlaması, gönderim kaydı ve yetkili temsilci kontrolü kurumsal prosedürde bulunmalıdır. Türkçe talep gönderilmişse şirket kişiye anlaşılır şekilde yanıt hazırlamalı; kullanılan resmi dil gerekçesiyle erişim talebini görmezden gelmemelidir.
22. Başvurunun bir temsilci tarafından yapılması
Türk avukat veya yetkili kişi, başvurucu adına SAR iletebilir; veri sorumlusu temsil yetkisini makul belgelerle doğrulayabilir. Şirketin yetkisiz üçüncü kişiye hassas çalışan dosyasını göndermesi ciddi veri ihlali oluşturabilir. Bununla birlikte temsil yetkisi açık bir vekâlet veya doğrulanabilir yazışmayla ispatlanıyorsa gereksiz tekrar belgeleri istemek işlem süresini uzatabilir. Talebin alındığı ve gerekli yetki bilgisinin tamamlandığı tarihler ayrılmalıdır. UK GDPR Article 12A’nın süre hesabında bu doğrulama tarihleri önemli olabilir; Türk noter vekâleti her dosyada zorunlu şekil olarak ilan edilmemelidir.
23. Başvuruyu reddeden şirket nasıl gerekçe gösterir?
Veri sorumlusu bir istisnaya, aşırı talep iddiasına veya veri bulunmamasına dayanıyorsa bunu olgusal ve hukuki dayanakla açıklamalıdır. Şirketin gizlilik politikasında genel olarak ‘bilgi paylaşmayız’ yazması Article 15 hakkının yerine geçmez. Başvurucuya şikâyet yollarının bildirilmesi ve uygun hâllerde yargısal başvuru imkânları hakkında bilgi verilmesi gerekir. Reddin hangi veri kategorisine ilişkin olduğu ayrı listelenmelidir. Başka kişilere ait verinin korunması ile başvurucunun kendi kişisel verisinin erişimi arasında uygulanabilir ara çözümler değerlendirilmelidir.
24. ICO şikâyeti ve mahkeme süreci
Kişi önce veri sorumlusuyla yazışmalarını ve talebin tarihini saklamalıdır. Cevap yetersizse Information Commissioner’s Office’e şikâyet yapılabilir; ICO’nun düzenleyici rolü ile mahkemenin özel hukuk talebini karara bağlama rolü ayrıdır. Data Protection Act 2018 section 167 kapsamında belirli yargısal emir yolları; UK GDPR Article 82 ve DPA 2018 section 168 bakımından şartları oluşan maddi veya manevi zarar iddiaları ayrıca incelenebilir. ICO şikâyeti doğrudan tazminat ödemesi kararı değildir. Yalnız geç cevap verilmiş olması her başvurucuya sabit para ödeneceği anlamına gelmez.
25. İş mahkemesi delili ile SAR arasındaki fark
Employment Tribunal uyuşmazlığında tarafların dava yönetimi ve belge ibrazına ilişkin usulü, UK GDPR SAR hakkından farklıdır. SAR talebi dava açma süresini kendiliğinden durdurmaz. Çalışanın haksız fesih, ücret kesintisi veya ayrımcılık şikâyeti varsa Acas Early Conciliation ve tribunal sürelerini ayrıca kontrol etmesi gerekir. İşverene SAR gönderip aylarca sadece cevap beklemek iş davası hak kaybı oluşturabilir. Öte yandan dava içindeki delil açıklama emri, şirketin ayrı Article 15 yükümlülüğünü her durumda ortadan kaldırmaz.
26. Şirketin ilk gün oluşturacağı işlem kaydı
Türk sermayeli İngiliz şirketi her SAR için istek sahibini, başvurunun alındığı kanalı, tarihini, ilgili sistemleri ve sorumlu yöneticiyi belirten bir kayıt açmalıdır. Kimlik veya yetki doğrulaması istenecekse bunun gerekliliği belirtilmeli, dosya işleme alınır alınmaz arama planı hazırlanmalıdır. Clarification talebi ile cevap süresi uzatma kararı farklı işlemlerdir; tarihleri birbirine karıştırılmamalıdır. Hangi sistemde arama yapıldığı, kaç belge bulunduğu, üçüncü kişi karartmaları ve nihai cevabın ne zaman iletildiği yazılı olarak izlenmelidir.
27. Belgelerin delil niteliği ve ispatı
Şirket ve başvurucu uyuşmazlık çıkarsa e-posta üst bilgilerini, gönderim-alım kayıtlarını, bilgi talebinin tam metnini ve verilen yanıtları korumalıdır. Başvurucunun gönderdiği ekran görüntüsü talebi kanıtlamak için başlangıç olabilir; elektronik postanın iletim kaydı ve şirketin teyidi daha güçlü tarih bağlantısı sağlar. Denetimde yalnızca son PDF’nin saklanması, neden belirli kayıtların bulunamadığını açıklamayabilir. Şirket yaptığı makul aramayı ve hangi istisnaların uygulandığını sonradan gösterebilmelidir. Kayıtların orijinalliğinin korunması, çok sayıda kişi hakkında veri işlendiğinde özellikle önem kazanır.
28. KVKK madde 11 ile UK GDPR Article 15 karşılaştırması
Türkiye’de 6698 sayılı Kanun madde 11 ilgili kişinin bilgi talep etme, işleme amaçlarını öğrenme ve belirli diğer haklarını düzenler. Bu haklar UK GDPR Article 15’le ortak yönler taşır ancak başvuru süreleri, yetkili kurum ve istisna mimarisi bire bir aynı değildir. Türk şirketin Londra’daki şubesine gönderilen UK GDPR SAR’ına yalnız Türkiye’deki KVKK portalına yönlendirme yapılarak cevap verildiği varsayılmamalıdır. Veri işlemenin nerede ve hangi kuruluş tarafından yapıldığı tespit edilmelidir. Veri sorumlusu iki rejimin aynı anda uygulanabileceği durumları ayrıca hukukî olarak değerlendirmelidir.
29. KVKK madde 13–14 başvuru usulü farklıdır
Türkiye’de 6698 sayılı Kanun madde 13, veri sorumlusuna başvuru usulünü ve en geç otuz günlük cevap çerçevesini; madde 14 Kurula şikâyete ilişkin koşulları düzenler. İngiltere’de 2026 Article 12A’nın bir takvim ayı ve belirli clarifying pause mekanizması farklıdır. Türk başvurucunun iki ülkede farklı controller’a eş zamanlı başvuru yapması durumunda aynı takvimi iki hukuka da kopyalamak hata yaratabilir. Tarih ve yetki çizelgesi ayrı tutulmalıdır. Bir ülkedeki düzenleyiciye yapılan başvuru diğer ülkede her yargısal sürenin otomatik durması anlamına gelmez.
30. 2026 değişiklikleri ve 2027 yürürlük karışıklığı
Data (Use and Access) Act 2025 ile UK GDPR’de yapılan değişiklikler arasında Article 12A’nın 5 Şubat 2026’da başlaması ve Article 15(1A)’daki makul orantılı arama sınırının farklı yürürlük geçmişi bulunur. İşveren bugün bir yıllık arşiv politikasını değiştirirken henüz yürürlükte olmayan sonraki reformları mevcut kurallarmış gibi sunmamalıdır. Bu rehberin tarih kesiti 4 Kasım 2026’dır. Güncel mevzuatın belirli döneme uygulanmasında mevzuat sürümü, talep tarihi ve geçiş hükümleri birlikte kontrol edilir. 2026 öncesi talebe sonradan yürürlüğe giren süre kuralı otomatik uygulanmaz.
31. Sonuç ve avukatla kontrol edilecek maddeler
2026 yılında subject access request, Türk çalışan veya müşterinin İngiltere’deki şirkette tutulan kişisel veriye erişmesi için bağımsız bir hukuki haktır. Veri sorumlusu başvuru tarihini, kimlik doğrulamayı, makul aramayı ve istisnaları kayıt altına almalı, olağan bir aylık süreyi hukuken geçerli gerekçe olmadan aşmamalıdır. Eksik cevap iddiasında başvuru ve yanıt dosyası üzerinden ICO yolu ve gerektiğinde mahkeme talepleri incelenir. Bu süreç ne iş davasındaki belge ibrazının ne de Türkiye’deki KVKK başvurusunun kendisiyle tamamen aynıdır.
Resmî mevzuat ve ICO kaynakları
12 Sık Sorulan Soru
1. Subject access request (SAR) nedir?
UK GDPR Article 15 kapsamında kişinin kendisiyle ilgili kişisel veriye ve işlem bilgilerine erişim hakkıdır.
2. SAR için dilekçe veya özel form zorunlu mu?
Hayır. Kişisel veri erişim talebi sözlü ya da yazılı olarak yapılabilir; talebin açık olması yeterlidir.
3. İngiltere’de SAR kaç günde cevaplanır?
2026 Article 12A uyarınca olağan süre ilgili başlangıç tarihinden itibaren bir takvim ayıdır.
4. Şirket cevap süresini durdurabilir mi?
Yalnızca talebi belirlemek için makul açıklama gerekli ise Article 12A(5) kapsamında belirli günlerde durabilir.
5. Karmaşık talepte üç ay beklenebilir mi?
Şartları varsa iki ay uzatma yapılabilir; neden ve uzatma ilk ay içinde bildirilmelidir.
6. SAR için ücret alınır mı?
Temel talep normalde ücretsizdir; açıkça dayanaksız/aşırı talep ve bazı ilave kopyalar için istisnalar vardır.
7. Bütün şirkete ait e-postalar teslim edilir mi?
Hayır. Başvurucuya ilişkin kişisel veriler sağlanır; üçüncü kişilerin verileri ve hukuki istisnalar korunabilir.
8. Türkiye’deki veri işleyenin belgeleri de aranır mı?
İngiliz veri sorumlusunun kontrolü altındaki uygun kişisel veriler, Türkiye’deki processor sistemlerinde de aranabilir.
9. İşten çıkarılma davasının süresi SAR ile durur mu?
Hayır. Employment Tribunal ve Acas başvuru süreleri ayrıca izlenir.
10. Şirket verileri bulamadığını söylerse ne yapılır?
Makul ve orantılı aramanın kapsamı, kayıtlar ve cevap gerekçesi değerlendirilir; ICO şikâyeti gündeme gelebilir.
11. ICO tazminat öder mi?
ICO düzenleyici kurumdur; tazminat koşulları ayrıca mahkeme önünde değerlendirilir.
12. Türkiye’deki KVKK 30 günü aynı kural mı?
Hayır. KVKK madde 13 ile UK GDPR Article 12A’nın başlangıç ve usul kuralları farklıdır.
Mersin Ofis Haritası
İstanbul Ofisi – Polaris Plaza, Maslak / Sarıyer
Bakırcı & Keskin Hukuk Bürosu
Maslak Ahi Evran Caddesi, Polaris Plaza No:21, Kat:9, 34475 Sarıyer/İstanbul
İstanbul ve Mersin’deki fiziksel ofislerimizden Türkiye genelindeki dosyalar, görev ve yetki kuralları ile gerekli yerel işlemler dikkate alınarak koordine edilir. Yüz yüze görüşme için randevu sırasında tercih ettiğiniz ofisi belirtiniz.
İstanbul ofisini Google Haritalar’da açın · İletişim ve randevu
Hukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
BAKIRCI & KESKİN HUKUK BÜROSU sitesinden daha fazla şey keşfedin
Son gönderilerin e-postanıza gönderilmesi için abone olun.
