KVKK İlgili Kişi Başvurusu Nasıl Cevaplanır? 30 Gün, Ücret ve Cevap Yazısı

İlgili kişinin hakları (md. 11)

Md. 11/1'e göre herkes veri sorumlusuna başvurarak kendisiyle ilgili şu talepleri iletebilir:

• Kişisel veri işlenip işlenmediğini öğrenme ve işlenmişse buna ilişkin bilgi isteme (a, b).
• İşleme amacını ve verilerin amacına uygun kullanılıp kullanılmadığını öğrenme (c).
• Yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme (ç).
• Eksik veya yanlış işlenmiş verilerin düzeltilmesini isteme (d).
• Md. 7'deki şartlar çerçevesinde silme veya yok etme isteme (e).
• Düzeltme ve silme işlemlerinin, verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme (f).
• Münhasıran otomatik sistemlerle yapılan analiz sonucu aleyhine çıkan bir sonuca itiraz etme (g).
• Kanuna aykırı işleme nedeniyle uğradığı zararın giderilmesini talep etme (ğ).

Başvuru hangi yollarla gelebilir?

Kanun md. 13/1, başvurunun yazılı olarak veya Kurul'un belirleyeceği diğer yöntemlerle yapılacağını söyler. Başvuru Tebliği md. 5/1 bu yöntemleri sayar:

Tebliğ md. 4/2'ye göre ilgili kişiler başvurularını Türkçe yapmak kaydıyla bu haktan yararlanır. Aydınlatma metninizde başvuru için hangi adresleri kullanabileceğini açıkça yazmanız, sürecin size doğru kanaldan gelmesini kolaylaştırır. Aydınlatma metni rehberinde bu bölümün nasıl yazılacağına değindik.

Başvuruda bulunması gerekenler

Tebliğ md. 5/2'ye göre başvuruda şunların bulunması zorunludur:

• Ad, soyad ve başvuru yazılı ise imza.
• T.C. vatandaşları için T.C. kimlik numarası; yabancılar için uyruk, pasaport numarası veya varsa kimlik numarası.
• Tebligata esas yerleşim yeri veya iş yeri adresi.
• Varsa bildirime esas e-posta adresi, telefon ve faks numarası.
• Talep konusu.

Md. 5/3'e göre konuya ilişkin bilgi ve belgeler başvuruya eklenir. Gelen başvuruda bu bilgilerden biri eksikse, başvuruyu sessizce yok saymak yerine eksik bilgiyi yazılı olarak isteyin ve bu yazışmayı kayıt altına alın. Eksik bilginin 30 günlük süreye etkisi konusunda tereddüdünüz varsa bir hukukçuya danışın.

Süre, ücret ve cevabın biçimi (md. 13)

Tebliğ md. 6/1 ayrıca veri sorumlusunun başvuruları etkin, hukuka ve dürüstlük kuralına uygun sonuçlandırmak için gerekli idari ve teknik tedbirleri almasını ister. Yani başvuruları yönetmek için bir düzen kurmanız beklenir; her başvuruyu ayrı bir sürpriz gibi karşılamak yeterli değildir.

Silme talepleri için ek kural

Silme veya yok etme talebi geldiğinde Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik md. 12 devreye girer:

• İşleme şartlarının tamamı ortadan kalkmışsa veriler silinir, yok edilir veya anonim hâle getirilir; talep en geç 30 gün içinde sonuçlandırılır ve ilgili kişiye bilgi verilir (md. 12/1-a).
• Veriler üçüncü kişilere aktarılmışsa bu durum üçüncü kişiye bildirilir ve onların nezdinde de gerekli işlemlerin yapılması sağlanır (md. 12/1-b).
• İşleme şartlarının tamamı ortadan kalkmamışsa (örneğin fatura bilgisini başka bir kanuna göre saklamanız gerekiyorsa) talep gerekçesi açıklanarak reddedilebilir; ret en geç 30 gün içinde yazılı veya elektronik ortamda bildirilir (md. 12/1-c).

Silme işlemini yaptığınızda yedekleri, e-posta kutusundaki kopyaları ve bağlı servisleri de unutmayın. Yönetmelik md. 7/3'e göre silme, yok etme ve anonim hâle getirme işlemlerinin kayıtları en az üç yıl saklanır.

Cevap verilmezse: Kurul'a şikâyet (md. 14)

Md. 14/1'e göre başvuru reddedilirse, verilen cevap yetersiz bulunursa veya süresinde cevap verilmezse ilgili kişi, cevabı öğrendiği tarihten itibaren 30 gün ve her hâlde başvuru tarihinden itibaren 60 gün içinde Kurul'a şikâyette bulunabilir. Md. 14/2'ye göre önce veri sorumlusuna başvuru yolu tüketilmeden şikâyet yoluna gidilemez.

Şikâyet üzerine Kurul inceleme yapar; md. 15/3'e göre veri sorumlusu Kurul'un istediği bilgi ve belgeleri 15 gün içinde göndermek zorundadır. İhlal tespit edilirse Kurul'un giderilmesine karar verdiği hukuka aykırılıklar, md. 15/5'e göre tebliğden itibaren en geç 30 gün içinde yerine getirilir. Md. 18'de başvuruya cevap vermemek ayrı bir bent olarak sayılmaz; ancak Kurul kararlarını yerine getirmemek md. 18/1-c kapsamında idari para cezası gerektirir ve inceleme sırasında aydınlatma veya veri güvenliği eksiklikleri de ortaya çıkabilir. Güncel ceza tutarları için kvkk.gov.tr adresine bakın.

Küçük bir site için pratik iş akışı

Aşağıdaki akış Kanun veya Tebliğ'de birebir sayılan bir prosedür değildir; yukarıdaki kuralları uygulamak için önerilen bir düzendir. Kendi yapınıza uyarlayın.

• 1. Tanıma: Gelen mesajın md. 11 kapsamında bir talep olup olmadığını belirleyin. “Hakkımda ne biliyorsunuz”, “beni silin”, “bilgilerimi düzeltin” gibi ifadeler başvuru sayılabilir; mesajın “KVKK” kelimesini içermesi gerekmez.
• 2. Kayıt: Başvuruyu bir başvuru kayıt tablosuna işleyin ve başvuru tarihini Tebliğ md. 5/4-5'e göre belirleyin. 30 günlük sürenin bitiş tarihini hemen hesaplayıp takviminize ekleyin.
• 3. Kimlik doğrulama: Başvuru sistemde kayıtlı e-posta adresinden mi geldi, imzalı mı, KEP mi? Değilse kimliği doğrulamak için ölçülü bilgi isteyin. Doğrulama için gereğinden fazla veri istemeyin ve doğrulamada kullandığınız belgeyi amacına ulaştıktan sonra saklamayın.
• 4. Veriyi bulma: Kişinin verisini tüm kaynaklarda arayın: site veritabanı, form gönderimleri, e-posta kutusu, bülten aracı, muhasebe ve kargo kayıtları, yedekler.
• 5. Karar: Talebi kabul mü edeceksiniz, kısmen mi, gerekçeli olarak mı reddedeceksiniz? Saklama yükümlülüğü olan veriler için ret gerekçesini yazın.
• 6. Uygulama: Kabul edilen talebin gereğini yapın (düzeltme, silme, aktarılan üçüncü kişilere bildirim).
• 7. Cevap: Tebliğ md. 6/4'teki zorunlu unsurları içeren yazılı veya elektronik cevabı gönderin. Cevabı başvurunun geldiği güvenli kanala veya kişinin bildirdiği adrese gönderin; başka bir adrese kişisel veri göndermeyin.
• 8. Arşiv: Başvuruyu, yazışmaları ve cevabı kendi belirlediğiniz süre boyunca saklayın; olası bir Kurul incelemesinde süreyi ve içeriği ispat etmeniz gerekebilir.

Başvuru kayıt tablosu için örnek sütunlar:

Cevap yazısının yapısı (örnek)

Tebliğ md. 6/4, cevap yazısında şu unsurların bulunmasını zorunlu tutar: veri sorumlusu veya temsilcisine ait bilgiler; başvuru sahibinin adı soyadı, T.C. kimlik numarası (yabancılar için uyruk, pasaport veya kimlik numarası), tebligat adresi, varsa e-posta, telefon ve faks numarası; talep konusu ve veri sorumlusunun başvuruya ilişkin açıklamaları. Bunlara göre aşağıdaki başlık yapısı yalnızca bir örnektir; içeriği kendi durumunuza göre doldurun ve gerekiyorsa bir avukata inceletin:

1. Veri sorumlusu bilgileri
   (unvan, adres, iletişim; varsa temsilci)
2. Başvuru sahibi bilgileri
   (Tebliğ md. 6/4-b'de sayılan bilgiler)
3. Başvuru tarihi ve kanalı
4. Talep konusu
5. Değerlendirme ve açıklamalar
   5.1 İşlenen veri kategorileri ve işleme amaçları
   5.2 Aktarılan alıcı grupları (yurt içi / yurt dışı)
   5.3 Yapılan işlem (düzeltme, silme vb.) veya gerekçeli ret
6. Üçüncü kişilere yapılan bildirimler (varsa)
7. Kurul'a şikâyet hakkına ilişkin bilgi (md. 14)
8. Tarih ve yetkili kişi

Kurum'un 2026/347 sayılı İlke Kararı'na ilişkin duyurusu, başka veri sorumlularının metinlerinin olduğu gibi kopyalanmamasını ve metinlerin sade, açık ve kısa olmasını vurgular. Aynı yaklaşımı cevap yazılarınızda da uygulamak, hem ilgili kişi hem de olası bir inceleme açısından işinizi kolaylaştırır.

Sık Sorulan Sorular

Başvuru WhatsApp veya sosyal medya mesajıyla gelirse ne yapmalıyım?

Tebliğ md. 5/1'de bu kanallar ayrıca sayılmaz. Mesajı görmezden gelmek yerine kişiye Tebliğ'deki yöntemleri ve aydınlatma metninizde belirttiğiniz başvuru adresini nazikçe bildirin ve bu yazışmayı kaydedin. Somut bir uyuşmazlık ihtimali varsa bir hukukçuya danışın.

Başvuruya cevap vermek için ücret alabilir miyim?

Kural ücretsizliktir (md. 13/2). Tebliğ md. 7'ye göre yazılı cevap 10 sayfayı aşarsa aşan her sayfa için 1 TL, cevap bir kayıt ortamında verilirse en fazla o ortamın maliyeti kadar ücret alınabilir. E-posta ile verilen bir cevap için ücret istemenin bir dayanağı yoktur.

Silme talebini reddedebilir miyim?

Evet, işleme şartlarından biri hâlâ devam ediyorsa (örneğin başka bir kanunun saklama yükümlülüğü) talep gerekçesi açıklanarak reddedilebilir (Silme Yönetmeliği md. 12/1-c). Ret de 30 gün içinde yazılı veya elektronik ortamda bildirilmelidir. Kalan veriler ise yalnızca o yükümlülüğün gerektirdiği kadar saklanmalıdır.

30 gün iş günü mü, takvim günü mü?

Kanun md. 13/2 “otuz gün” der, “iş günü” demez. Güvenli tarafta kalmak için takvim günü olarak hesaplayın ve mümkünse çok daha önce cevap verin.

Adı geçen yazılım ve hizmet adları sahiplerine aittir. Bu yazı bağımsız bir rehberdir; Kişisel Verileri Koruma Kurumu veya adı geçen şirketlerle bir bağı bulunmaz.

İlgili içerikler: KVKK uyum kontrol listesi · Aydınlatma metni nasıl hazırlanır · İletişim formu ve KVKK · VERBİS kayıt zorunluluğu · Kişisel veri ihlali bildirimi · Veritabanı yedekleme stratejileri