Şirketinize KVKK başvurusu geldi: 30 gün içinde nasıl cevap verilir?

Şirketin genel e-posta adresine ya da KEP'ine bir gün şöyle bir yazı düşer: eski bir çalışan, bir müşteri ya da bir iş başvurusu sahibi, hakkında hangi verileri tuttuğunuzu sormakta, bunların kimlere aktarıldığını öğrenmek ya da silinmesini istemektedir. Bu bir "KVKK başvurusu"dur ve 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 13. maddesi gereği onu en geç otuz gün içinde sonuçlandırmanız gerekir. Çoğu şirkette bu yazı önce insan kaynaklarına, sonra muhasebeye, oradan avukata dolaşır ve süre bu arada akar. Oysa Kurulun bu konudaki kararları, cevapsız kalan ya da geç ve eksik cevaplanan başvurunun şirkete neye mal olduğunu açıkça gösteriyor.

Aşağıda başvurunun ne zaman geçerli sayıldığını, otuz günün nasıl hesaplandığını, kimlik ve vekaletname sorununu, cevabın içeriğini, hangi gerekçeyle reddedilebileceğini ve cevap verilmezse ne olduğunu Kanun, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ, Kurumun 2025 tarihli başvuru rehberi ve Kurul kararlarıyla anlatıyorum.

Hangi yazı KVKK başvurusu sayılır?

İlgili kişi Kanun'un 11. maddesindeki hakları için size başvurur: verisinin işlenip işlenmediğini öğrenme, işlenmişse bilgi isteme, amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme, aktarıldığı üçüncü kişileri bilme, eksik ya da yanlış verinin düzeltilmesini, şartları varsa silinmesini ya da yok edilmesini, bu işlemlerin aktarılan kişilere bildirilmesini isteme, yalnız otomatik sistemle analiz sonucu aleyhine çıkan sonuca itiraz etme ve zararının giderilmesini talep etme. Başvuru "KVKK başvurusu" başlığı taşımak zorunda değil; bu taleplerden birini içeren her yazı Kanun kapsamındadır.

Başvuru yazılı olarak ya da Kurulun belirlediği diğer yöntemlerle yapılır (KVKK m. 13/1). Tebliğ bu yöntemleri sayıyor: KEP adresi, güvenli elektronik imza, mobil imza, ilgili kişinin size daha önce bildirdiği ve sisteminizde kayıtlı bulunan e-posta adresi ya da başvuru için geliştirilmiş bir yazılım veya uygulama (Tebliğ m. 5/1). Yani müşterinizin üyelik kaydındaki e-posta adresinden gelen düz bir e-posta geçerli bir başvurudur. Kurumun başvuru rehberine göre sisteminizde kayıtlı olmayan bir adresten gelen e-posta Tebliğ'e uygun bir başvuru sayılmıyor; ama siz bu başvuruya esastan cevap verirseniz Kurul sonraki şikayeti esastan inceleyebiliyor. Kurul, başvuruları yalnız noter ya da e-imzayla kabul eden bir operatörün bu tutumunu Kanun'da ve Tebliğ'de öngörülmeyen maddi bir külfet yüklemek saydı ve şirketi Tebliğ'e azami özen göstermesi için talimatlandırdı; üstelik o dosyada ilgili kişinin müşteri hizmetleri formuyla yaptığı başvuru T.C. kimlik numarası ve adres içermediği için Tebliğ'e uygun değildi, Kurul talimatı buna rağmen verdi (2019/296). Başvurunun Türkçe yapılması gerekir (Tebliğ m. 4/2).

Başvuruda ad, soyad ve yazılıysa imza; T.C. kimlik numarası (yabancılar için uyruk ve pasaport numarası); tebligata esas yerleşim yeri ya da iş yeri adresi; varsa e-posta, telefon ve faks; ve talep konusu bulunmak zorunda (Tebliğ m. 5/2). Bu unsurlardan biri eksikse başvuruyu çöpe atamazsınız. Kurul, iadeli taahhütlü postayla gelen ve T.C. kimlik numarası bulunmayan başvuruyu cevapsız bırakan kargo şirketini, ilgili kişiyi eksikleri tamamlaması için yönlendirmediği gerekçesiyle Tebliğ'in 6. maddesine aykırı buldu ve eksikliklerin tamamlanması için adım atmasını istedi (2021/603). Başka bir dosyada banka, unsurları tam olan bir posta başvurusunu "zorunlu unsurlar eksik" diyerek geri çevirmiş, üstelik bu cevabı otuz gün geçtikten sonra adi postayla göndermişti; Kurul başvuruyu geçerli saydı, ilgili kişiye açıklayıcı ve ayrıntılı cevap verilmesini istedi ve bankayı uyardı (2022/863).

Otuz gün ne zaman başlar, ne zaman biter?

Kanun "talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde" diyor (m. 13/2). Başlangıcı Tebliğ belirliyor: yazılı başvurularda evrakın size ya da temsilcinize tebliğ edildiği tarih, diğer yöntemlerde başvurunun size ulaştığı tarih (m. 5/4-5). Tebliğ'deki yollardan biriyle, örneğin sisteminizde kayıtlı e-posta adresinden gönderilen ileti, genel kutuya düştüğü gün ulaşmış sayılır; kutunun bir hafta sonra okunması süreyi ertelemez. Kanun'da ve Tebliğ'de süreyi uzatan bir hüküm yok; talebin karmaşıklığı gerekçesiyle ek süre istemek gibi bir imkan tanınmamış.

Süre cevabınızı ilgili kişiye bildirmenizle kapanır. Veri sorumlusu cevabını "yazılı olarak veya elektronik ortamda" bildirir (m. 13/3; Tebliğ m. 6/3). Bildirdiğinizi ispatlayabilmeniz gerekir: 2022/863 sayılı kararda banka cevabı adi postayla gönderdiği için tebliğ edildiğini kanıtlayamadı ve Kurul hem bu yüzden şikayet yolunu açık saydı hem de kişisel bilgi içeren cevapların adi posta yerine daha güvenilir ve takip edilebilir bir yöntemle gönderilmesi için bankayı uyardı. Pratikte en güvenlisi, cevabı başvurunun geldiği kanaldan ya da KEP, iadeli taahhütlü posta gibi kayıt bırakan bir yolla göndermek ve gönderim kaydını dosyada saklamaktır.

Başvuranın gerçekten o kişi olduğundan nasıl emin olurum?

Kimlik doğrulaması meşru bir kaygıdır; yanlış kişiye verilen cevap kendisi bir veri ihlali olur. Ama Kurul doğrulama adına istenen veriyi de ölçülülük süzgecinden geçiriyor. Sadakat programı kullanıcısından şifre değişikliği için arkalı önlü kimlik görüntüsü isteyen havayolu şirketi hakkında Kurul, kimlik teyidi için ek bilgi istenmesini yerinde bulmakla birlikte, din ve kan grubu gibi özel nitelikli verileri de içeren kimlik görüntüsünü "işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma" ilkesine ve özel nitelikli verilere ilişkin 6. maddeye aykırı saydı; açık rıza olmadan işlenen ve silinmeyen görüntüler, ilgili kişiye verilen yanlış bilgi ve başvuru hakkına uyulmaması birlikte değerlendirilerek veri güvenliği yükümlülüğünün ihlalinden 100.000 TL idari para cezası verildi (2019/294). Başvuruda zaten T.C. kimlik numarası, adres ve imza bulunuyor; şüphe varsa sisteminizdeki kayıtlı telefon ya da e-posta üzerinden teyit, müşteri numarası gibi yalnız o kişinin bilebileceği bir bilgi ya da kayıtlı e-posta adresinden gönderim doğrulama için yeterli. Kimlik fotokopisi ya da görüntüsü istemek, hele saklamak, Kurulun ifadesiyle daha az veriyle doğrulama mümkünken ölçüsüz kalıyor.

Başvuruyu avukat yapmışsa vekaletnameyi nasıl incelerim?

Vekil aracılığıyla yapılan başvuruda vekaletname örneğinin size iletilmesi gerekir; Kurumun 2025 tarihli başvuru rehberine göre vekaletname örneği iletilmeyen başvuru usulüne uygun yapılmış sayılmıyor, vekaletname süreliyse başvuru tarihinde geçerli olması gerekiyor. Ama vekaletnamede "kişisel verilerle ilgili başvuru" gibi özel bir yetki arayamazsınız. Bir çalışanın vekilinin bilgi talebini vekaletnamede özel yetki bulunmadığı için cevapsız bırakan işveren hakkında Kurul, kişisel verilerin korunması mevzuatında vekaletnamede özel yetki gerektiğine ilişkin bir düzenleme bulunmadığını belirterek şirketi vekaletnamelerde özel yetki aramaması konusunda uyardı (2024/540). Aynı dosyada işveren çalışanla arasında derdest bir dava bulunduğunu da ileri sürmüştü; bu da cevap vermemeyi haklı kılmadı. Pratikte genel dava vekaletnamesi yeterli; süresine ve örneğin okunaklı olmasına bakın.

Cevap yazısında ne olmalı?

Cevap ya talebi kabul eder ya da gerekçesini açıklayarak reddeder (m. 13/3; Tebliğ m. 6/2). Tebliğ cevap yazısının asgari içeriğini de sayıyor: veri sorumlusunun ya da temsilcisinin bilgileri; başvuranın adı, soyadı, T.C. kimlik numarası, adresi ve varsa iletişim bilgileri; talep konusu; ve talebe ilişkin açıklamalarınız (m. 6/4). "Talebiniz ilgili birime iletilmiştir, en kısa sürede dönüş yapılacaktır" biçiminde bir ara yazı cevap değildir: 2022/863 sayılı dosyada banka tam da böyle bir e-posta göndermişti, Kurul yine de cevabın otuz günlük süreden sonra verildiğini tespit etti. Süre dolduğunda talep hala sonuçlanmamışsa başvuru cevapsız sayılır.

Bilgi talebinde cevap, ilgili kişinin sorduğu her başlık için somut olmalı: hangi veri kategorileri, hangi amaçla, hangi hukuki sebebe dayanarak işleniyor, kimlere aktarıldı. Bir e-ticaret müşterisi, süresinde gelen cevabı sitedeki gizlilik politikasıyla çeliştiği ve veri bazında bilgi içermediği için yetersiz bulup Kurula gitti; Kurul, genel "gizlilik politikası" metninin aydınlatma metni yerine geçemeyeceğini, aydınlatmanın sipariş ve üyelik sırasında, işlenen veri bazında ve genel, muğlak ifadelerden uzak yapılması gerektiğini belirterek şirkete hukuka aykırılığı giderme talimatı verdi (2021/85). Başvuru cevabınız ilgili kişinin elinde, aydınlatma metniniz ve VERBİS kaydınızla yan yana okunacak bir belgedir; üçü birbirini tutmalı.

Erişim talebinde kişinin kendi verisini vermek zorundasınız. Müşteri temsilcisiyle yapılan görüşmenin ses kaydı dökümünü isteyen müşteriye bankanın "banka sırrı" diyerek vermemesini Kurul kabul etmedi: sır saklama yükümlülüğü üçüncü kişilere karşı işler, kişinin kendisine karşı ileri sürülemez; erişim hakkı bilgi talep etme hakkını tamamlar. Kurul dökümün, varsa başkalarına ait kişisel veriler çıkarılarak ya da maskelenerek ilgili kişiye gönderilmesini istedi ve başvuruların gerekçeli ve süresinde sonuçlandırılması gerektiğini bankaya hatırlattı (2023/1050). Aynı ölçü kamera kaydı, çağrı kaydı ve yazışma dökümü için de geçerlidir: üçüncü kişilerin verisini maskeleyin, kişinin kendi verisini verin.

Talebi hangi gerekçeyle reddedebilirim?

Ret mümkün, ama gerekçesi Kanun'dan çıkmalı. Silme talebinde ölçü Kanun'un 7. maddesidir: veri, işlenmesini gerektiren sebepler ortadan kalkmışsa silinir ya da yok edilir; diğer kanunlardaki hükümler saklıdır (m. 7/2), yani başka bir kanunun saklanmasını emrettiği kayıtlar (ticari defter ve belgeler, bordro ve özlük kayıtları, vergi mevzuatının saklattığı belgeler) bu süre dolmadan silinmez ve cevapta hangi hükme göre ne kadar saklandığı yazılır. Kurul, kargo şirketinin pasife aldığı iş yeri adresinin silinmesi talebinde işlemeyi gerektiren sebeplerin ortadan kalkmadığını kabul ederek bu kısımda şirkete işlem yapmadı (2021/603); buna karşılık iş sözleşmesi biten kişinin tanıtım videosunu sitesinde tutmaya devam eden tıp merkezinde, görüntülerin işlenmesini gerektiren amaç ortadan kalktığı için silinmesi gerektiğine hükmetti (2020/379).

Kabul görmeyen gerekçeler de var. İlgili kişinin şirket yöneticisi aleyhine yaptığı suç şikayetiyle başlayan soruşturmanın sonucunu beklediği için başvurularına cevap vermeyen şirket hakkında Kurul, soruşturmanın Kanun ve Tebliğ hükümlerinin uygulanmayacağı anlamına gelmediğini, süresinde cevap vermemenin Tebliğ'in 6. maddesine aykırı olduğunu söyleyerek şirketi uyardı (2022/798). Bankacılık sırrı gerekçesi 2023/1050 sayılı kararda, derdest dava 2024/540 sayılı kararda tutmadı. Talep Kanun kapsamı dışında kalsa bile süresinde ve gerekçeli cevap gerekiyor: gazete arşivindeki haberin silinmesini isteyen kişilerin talebini Kurul basın özgürlüğü istisnası (m. 28/1-c) kapsamında gördü ve haber için işlem yapmadı, ama veri sorumlusuna başvuruların süresi içinde sonuçlandırılması gerektiğini hatırlattı (2023/2185). Aranızda dava ya da icra takibi olması, kişinin eski çalışan ya da şikayetçi olması, başvurunun "kötü niyetli" görünmesi cevap vermemeyi haklı kılmıyor; talebi reddedecekseniz bunu gerekçesiyle ve süresinde yazarsınız.

Ücret alabilir miyim?

Kural ücretsizliktir; yalnız işlem ayrıca bir maliyet gerektiriyorsa Kurulun belirlediği tarifedeki ücret alınabilir (m. 13/2). Tarife Tebliğ'de yazılı: yazılı cevap on sayfaya kadar ücretsiz, onuncu sayfadan sonraki her sayfa için 1 TL işlem ücreti alınabilir; cevabın CD ya da flash bellek gibi bir kayıt ortamında verilmesi halinde istenebilecek ücret kayıt ortamının maliyetini geçemez (Tebliğ m. 7). Başvuru sizin hatanızdan kaynaklanıyorsa alınan ücret iade edilir (m. 13/3). Tebliğ 10 Mart 2018'den beri yürürlükte ve bu yazının tarihi itibarıyla değiştirilmedi; uygulamada ücret istemek, şirket açısından çoğu zaman tartışmaya değmeyecek kadar küçük bir tutar için yeni bir uyuşmazlık konusu yaratıyor.

Cevap vermezsem ya da geç verirsem ne olur?

Başvurunun reddedilmesi, cevabın yetersiz bulunması ya da süresinde cevap verilmemesi halinde ilgili kişi, cevabı öğrendiği tarihten itibaren otuz ve her halde başvuru tarihinden itibaren altmış gün içinde Kurula şikayet edebilir (m. 14/1). Kurul bu süreleri 2019/9 sayılı kararıyla açıkladı: siz otuz gün içinde cevap verirseniz ilgili kişinin şikayet süresi cevabı öğrendiği tarihten itibaren otuz gün; hiç cevap vermezseniz ya da cevabı otuz günden sonra verirseniz ilgili kişi geç cevabı beklemek zorunda değil, süreniz dolduğu gün Kurula gidebilir ve şikayet süresi başvuru tarihinden itibaren altmış gündür. Size başvurmadan doğrudan Kurula gidemez (m. 14/2); bu yüzden sizin otuz gününüz aynı zamanda ilgili kişinin Kurula gitmeden önce beklemek zorunda olduğu süredir. Şikayet gelince Kurul sizden bilgi ve belge ister; bunları on beş gün içinde göndermek ve gerekirse yerinde incelemeye imkan vermek zorundasınız (m. 15/3). Kurul ihlal tespit ederse hukuka aykırılığın giderilmesine karar verir; karar tebliğden itibaren en geç otuz gün içinde yerine getirilir (m. 15/5), yerine getirilmezse ayrı bir idari para cezası gündeme gelir (m. 18/1-c).

Kanun'da başvuruya cevap vermemek için ayrı bir ceza bendi yok; Kurul cevapsızlığı Tebliğ'in 6. maddesine aykırılık olarak tespit ediyor ve incelediğim dosyalarda bunu uyarı, talimat ya da hatırlatmayla karşıladı (2019/296, 2021/603, 2022/798, 2022/863, 2023/1050, 2023/2185, 2024/540). Ama cevapsız bırakılan başvuru çoğu zaman asıl ihlali Kurulun önüne getiriyor. Eski çalışanının silme talebini otuz gün içinde cevaplamayan ve tanıtım videosunu yayında tutmaya devam eden tıp merkezine Kurul, işleme şartı kalmadığı halde görüntüleri kullanmaya devam ettiği için veri güvenliği yükümlülüğünün ihlalinden (m. 12/1) 75.000 TL idari para cezası verdi, ayrıca silme ve başvurulara gerekli özenle cevap verme talimatı verdi (2020/379). İş görüşmesi bilgisini adayın işverenine aktaran şirkete verilen 100.000 TL cezanın tutarını belirlerken de Kurul, başvurulara yasal süresi içinde cevap verilmediğini dikkate aldığını açıkça yazdı (2022/798). Yani cevapsızlık tek başına ceza bendi değil, ama Kurul önündeki her dosyada şirketin aleyhine bir tespit ve varsa cezanın ağırlaştırıcı sebebi oluyor. Cezaya karşı 2024'ten beri idare mahkemesinde dava açılıyor (m. 18/3; yukarıdaki kararların verildiği yıllarda yol sulh ceza hakimliğiydi); bu yolu KVKK cezası gelen şirketin ilk refleksi yazısında anlattım.

Ceza tutarları 18. maddede 2016 değerleriyle yazılı ve Kabahatler Kanunu m. 17/7 gereği her yıl yeniden değerleme oranında artıyor; yukarıdaki tutarlar kararların verildiği yıla aittir. Kurulun 2019, 2020 ve 2022'de verdiği rakamları bugünkü tarifeye değil, cezanın gerekçesine bakarak okumak gerekiyor.

Şirkette nasıl bir düzen kurmalı?

• Tek giriş noktası. KEP, bilgi@ ve müşteri hizmetleri kanallarına gelen her veri talebi aynı gün tek bir sorumluya yönlendirilsin; başvuru tarihi (tebliğ ya da ulaşma günü) kayda geçsin ve 30 günün son günü hesaplansın.
• Ön inceleme ilk hafta içinde. Başvuru Tebliğ'deki unsurları taşıyor mu, kimlik doğrulaması gerekiyor mu, vekaletname var mı? Eksik varsa reddetmek yerine ilgili kişiyi yazıyla tamamlamaya yönlendirin. Mevzuatta tamamlatma yazışmasının süreyi durduracağına dair bir hüküm yok; süreyi işliyor kabul edin ve yazışmayı erken yapın.
• Veri envanterinden cevap. Hangi veri hangi sistemde, hangi amaçla, hangi hukuki sebeple ve ne kadar süreyle tutuluyor, kimlere aktarılıyor? Bu bilgi VERBİS kaydınız ve aydınlatma metninizle tutarlı olmalı; cevap bu envanterden üretilir.
• Cevap şablonu. Tebliğ m. 6/4'teki asgari içerik; her talep kalemi için kabul ya da gerekçeli ret; silme talebinde saklama yükümlülüğünün dayandığı hüküm; erişim talebinde kişinin kendi verisi, üçüncü kişilerinki maskelenmiş olarak verilir.
• Kayıtlı gönderim. Cevap başvurunun geldiği kanaldan ya da KEP, iadeli taahhütlü posta gibi kayıt bırakan bir yolla gider; gönderim ve ulaşma belgesi başvuru dosyasında saklanır.
• Dosya. Başvuru, ön inceleme notu, cevap ve gönderim kaydı birlikte saklanır. Kurula şikayet gelirse on beş gün içinde istenecek belgeler bunlardır.

Bu yazı 9 Kasım 2026 itibarıyla durumu anlatıyor.

Süreç, süreler ve sık sorulanlar: Bilişim hukuku, siber güvenlik ve KVKK sayfası