Ölen Kişinin Kişisel Verileri KVKK Kapsamında mı? Mirasçının Talep Hakkı ve Veraset İlamı
Ölen kişi KVKK'da ilgili kişi sayılmıyor, mirasçı 11. madde haklarını kullanamıyor. Sağlık verisindeki veraset ilamı istisnası ve şirketin doğru cevabı ne olmalı?
Kısa cevap: hayır. 6698 sayılı Kanun ölmüş kişilerin verilerine uygulanmıyor. Kanun'un 3. maddesi ilgili kişiyi 'kişisel verileri işlenen gerçek kişi' olarak tanımlıyor, 4721 sayılı Türk Medeni Kanunu'nun 28. maddesi de kişiliğin çocuğun sağ olarak tamamıyla doğduğu anda başladığını ve ölümle sona erdiğini söylüyor. İkisi birleşince tablo şu: vefat etmiş bir kişi Kanun anlamında ilgili kişi değil, mirasçısı da onun adına 11. maddedeki hakları kullanamaz. Buradan 'ölen kişinin verisi serbesttir' sonucu çıkmıyor. Sağlık verilerinde ayrı bir yönetmelik hükmü var, mirasçının kendi hukuki durumunu ilgilendiren bilgilerde tablo değişiyor, dosyanın içindeki yaşayan üçüncü kişiler bakımından ise Kanun eksiksiz uygulanıyor.
Kurul'un çizgisi 18 Eylül 2019 tarihli ve 2019/273 sayılı kararında görülüyor. Vefat eden kişinin eşi, yasal mirasçı sıfatıyla eşinin tedavi gördüğü klinikten tüm medikal bilgileri istemiş, talebini hem taahhütlü mektupla hem e-postayla iletmiş, klinikten cevap alamamıştı. Kurul, talep edilen verilerin başvurana ait olmadığını ve ölmüş kişiye ilişkin olduğunu belirterek bunun 11. madde kapsamında bir talep sayılamayacağına, dolayısıyla Kanun kapsamında yapılacak bir işlem bulunmadığına karar verdi. Kliniğin hiç cevap vermemiş olması da ayrıca yaptırıma bağlanmadı. Pratikte bu şu demek: mirasçının elinde ne otuz günlük cevap süresi var ne de Kurul'a şikâyet imkânı.
Tek net istisna sağlık verilerinde. 21 Haziran 2019 tarihli ve 30808 sayılı Resmî Gazete'de yayımlanan Kişisel Sağlık Verileri Hakkında Yönetmelik'in 11. maddesi 'Ölünün sağlık verilerine erişim' başlığını taşıyor ve tek cümleyle düzenliyor: ölmüş bir kimsenin sağlık verilerini almaya, veraset ilamını ibraz etmek suretiyle murisin yasal mirasçıları münferit olarak yetkilidir. Maddenin ikinci fıkrası bu verilerin en az yirmi yıl saklanmasını istiyor. Kurul 30 Haziran 2020 tarihli ve 2020/507 sayılı kararında ayrımı açıkça kurdu: babasının sağlık verilerini mirasçılık belgesiyle isteyen kişinin talebi 6698 kapsamında değerlendirilemez, ama Yönetmelik'in 11. maddesi uyarınca veraset ilamını sunarak bu verileri alma yetkisi vardır. 'Münferit olarak' ifadesi de gözden kaçmasın. Mirasçıların hep birlikte başvurması gerekmiyor, her biri tek başına yetkili.
Hastane, klinik ve laboratuvar tarafında en sık yapılan hata bu talebi KVKK gerekçesiyle geri çevirmek. 'Özel nitelikli kişisel veri, açık rıza yok' cevabı burada yanlış adres, çünkü ölen kişiden açık rıza alınamayacağı için Yönetmelik zaten ayrı bir yetkilendirme kurmuş. Doğru işleyiş üç adım. Sulh hukuk mahkemesinden ya da noterden alınmış mirasçılık belgesini istemek, başvuranın kimliğini doğrulamak, sonra dosyayı hazırlarken içindeki yaşayan kişilere ait bilgileri ayıklamak. Diyelim ki doğum sırasında yaşanan bir olaya ilişkin dosya isteniyor; aynı dosyada refakatçinin, kan bağışçısının ya da başka bir hastanın verisi bulunabiliyor. Onlar hayatta olduğu için Kanun onlar bakımından tam olarak işliyor.
İkinci kanal, talebin aslında mirasçının kendi hukuki durumunu ilgilendirdiği hâller. Kurul'un 18 Mart 2021 tarihli ve 2021/241 sayılı kararı buna örnek. Bir banka aracılığıyla yapılan grup hayat sigortası kapsamında sigortalanan kişi vefat etmiş, eşi iş kazası nedeniyle ödenecek tutarı belirleyebilmek için poliçe bilgilerini istemiş, sigorta şirketi talebi özel nitelikli veri ve açık rıza gerekçesiyle reddetmişti. Kurul kişiliğin ölümle sona erdiğini teyit etmekle birlikte Türk Medeni Kanunu'nun 599. maddesindeki külli halefiyet kuralına ve 601. maddesinin ikinci fıkrasına dayandı: mirasbırakanın ölümünde ödenecek bir sigorta alacağı kendisine vasiyet edilen kimse, sözleşmeden doğan istem hakkını doğrudan doğruya sigortacıya karşı kullanabilir. Şikâyet yine de reddedildi, çünkü Türk Ticaret Kanunu'nun 1496. maddesi uyarınca verilen poliçeyi özetler sertifika başvurana teslim edilmişti ve 11. maddedeki erişim hakkı bu yolla sağlanmış sayıldı. Alınacak ders şu: 'ölen kişinin verisi' etiketi, başvuranın kendi alacağını, lehdarlığını veya sözleşmesel konumunu gösteren bilgiyi vermemenin gerekçesi olamaz.
Şirketler için asıl risk başka yerde. Vefat eden bir kişinin dosyası, posta kutusu ya da müşteri kaydı neredeyse hiçbir zaman yalnızca ona ait değildir. Kurumsal e-posta hesabında müşterilerin, tedarikçilerin ve iş arkadaşlarının yazışmaları duruyor. Müşteri kaydında ikinci irtibat kişisi, kefil, acil durumda aranacak yakın var. Mirasçı 'ben külli halefim, hepsini istiyorum' dediğinde arşivin tamamını teslim etmek, ölen kişi bakımından değil ama o dosyada adı geçen yaşayan kişiler bakımından hukuka aykırı bir aktarım oluşturur. Veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi 2026'da 256.357 TL ile 17.092.242 TL arasında idari para cezasıyla karşılık buluyor ve bu cezayı doğuran şikâyeti ölen kişi değil, dosyadaki üçüncü kişi yapar.
Kapsam dışı kalmak, ölen kişi hakkında istenildiği gibi konuşulabileceği anlamına da gelmiyor. Türk Ceza Kanunu'nun 130. maddesi, bir kimsenin öldükten sonra hatırasına en az üç kişiyle ihtilat ederek hakaret etmeyi üç aydan iki yıla kadar hapis veya adli para cezasına bağlıyor. 131. maddenin ikinci fıkrası şikâyet hakkını ölenin ikinci dereceye kadar üstsoy ve altsoyuna, eşine ve kardeşlerine tanıyor. Yakınların kendi kişilik hakları da devrede. Bir işletmenin vefat etmiş müşterisinin hastalığını veya borcunu sosyal medyada anlatması Kurul'a şikâyet konusu olmasa bile, Türk Medeni Kanunu'nun 24 ve 25. maddeleri üzerinden tazminat davasına dönüşebiliyor. Ölen kişinin verisini yayımlamanın yaptırımsız olduğunu düşünmek pahalı bir yanılgı.
Vefat bilgisi şirkete ulaştığında yapılacak işlerin listesi kısa, ama çoğu yerde yazılı değil. Pazarlama listelerinden çıkarma ilk sırada olmalı; vefat etmiş bir müşteriye doğum günü kutlaması ya da kampanya mesajı gitmesi teknik olarak KVKK ihlali sayılmasa bile ailenin şikâyetiyle ve itibar kaybıyla sonuçlanıyor. Sonra CRM ve ERP kaydının kapatılması, kurumsal e-posta hesabının erişime kapatılıp gelen iletilerin yetkili bir adrese yönlendirilmesi, kart ve turnike yetkilerinin iptali, özlük dosyasının hangi süreyle saklanacağının belirlenmesi geliyor. Saklama ve imha politikanızda 'ilgili kişinin vefatı' ayrı bir satır olarak durmalı. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik periyodik imha aralığının altı ayı geçemeyeceğini söylüyor; vefat hâlinde ne yapılacağı tanımlı değilse kayıt yıllarca sistemde bekliyor.
Peki mirasçı yazılı talepte bulunduğunda ne cevap verilecek? Talep 13. madde kapsamında bir başvuru olmadığı için Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'deki otuz günlük süre ve devamındaki Kurul'a şikâyet yolu işlemiyor. Bu, dilekçeyi cevapsız bırakmayı meşru kılmıyor. Makul bir sürede yazılı cevap verin, talebi hangi hukuki çerçevede değerlendirdiğinizi açıklayın, sağlık verisi söz konusuysa veraset ilamı isteyin, değilse hangi belgenin hangi koşulla verilebileceğini yazın. Talep karşılanmıyorsa mirasçının önündeki yol Kurul değil mahkeme: dava ya da Hukuk Muhakemeleri Kanunu'nun 400. maddesindeki delil tespiti. Bunu baştan söylemek çoğu zaman gerilimi de düşürüyor.
Sağlık dışındaki alanlarda uygulama kurumdan kuruma değişiyor ve sebebi KVKK değil, o alanın kendi sır rejimi. Bankalar uygulamada veraset ilamı ile veraset ve intikal vergisi yönünden alınan ilişiksizlik yazısı karşılığında murisin ölüm tarihindeki bakiyesini paylaşıyor; ayrıntılı hesap hareketlerinin ne ölçüde verileceği ise 5411 sayılı Bankacılık Kanunu'nun 73. maddesindeki sır saklama yükümlülüğü ile mirasçıların külli halef sıfatı arasında tartışılıyor ve sıklıkla mahkeme kararıyla çözülüyor. Telekomünikasyon şirketlerinden istenen arama kayıtlarında da durum benzer. Bu kapıları 6698'e dayanarak zorlamanın faydası yok, çünkü Kurul kendini yetkili görmüyor.
Karşılaştırma tabloyu tamamlıyor. GDPR'ın 27 numaralı gerekçesi Tüzüğün ölmüş kişilerin verilerine uygulanmayacağını söylüyor ve üye devletlere kendi kurallarını koyma serbestisi tanıyor; bazı ülkeler bunu kullanıp kişiye, ölümünden sonra verilerine ne olacağına dair talimat bırakma imkânı verdi. Türkiye'de 6698'de böyle bir hüküm yok, boşluk sağlık mevzuatı ve miras hukuku üzerinden dolduruluyor. Dijital miras tarafında yerleşik bir içtihat da oluşmuş değil. E-posta kutuları, bulut arşivleri ve sosyal medya hesapları çoğunlukla platformların anma hesabı veya önceden belirlenmiş mirasçı kişi mekanizmalarıyla yönetiliyor, kullanıcı sözleşmelerindeki devredilmezlik kayıtlarıyla külli halefiyet ilkesi arasındaki gerilim ise açık bir soru olarak duruyor.
Bu konu şirkete genellikle tek bir dilekçeyle geliyor ve cevabı yazan kişi çoğu zaman hukukçu olmuyor. Vefat bildirimi ulaştığında kaydın ne olacağı, mirasçı talebine kimin hangi belgeyle cevap vereceği ve dosyadaki üçüncü kişi verilerinin nasıl ayıklanacağı yazılı değilse, bu üç soruyu tek sayfaya sığdırmak mümkün. KVKK Danışman'ın ücretsiz ön değerlendirmesinde mevcut sürecinize bakıp bu akışı birlikte çıkarabiliriz.