"Verilerimi silin", "hakkımda ne tutuyorsunuz?", "bu SMS'leri kim gönderiyor?" — bunların hepsi hukuken tek kapıdan geçer: veri sorumlusuna başvuru. Kurul'a şikâyet etmek için de önce bu kapıdan geçmek zorunludur.
Bu rehber iki tarafı da anlatır. İlgili kişi olarak nasıl başvurursunuz; işletme olarak gelen başvuruyu nasıl, ne sürede ve hangi içerikle cevaplarsınız.
Önemli: Genel bilgilendirmedir, hukuki danışmanlık değildir. Somut uyuşmazlıklarda bir avukata danışın.
Kısa cevap
Başvuru, 6698 sayılı Kanun'un 13. maddesine ve Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'e göre yapılır. Yazılı ya da Tebliğ'in saydığı elektronik yollarla iletilir. Veri sorumlusu en geç 30 gün içinde, kural olarak ücretsiz cevap verir. Cevap gelmez, yetersiz kalır veya talep reddedilirse Kurul'a şikâyet yolu açılır.
Hangi hakları kullanabilirsiniz? (KVKK md. 11)
Herkes veri sorumlusuna başvurarak kendisiyle ilgili şunları isteyebilir:
| Bent | Hak | Pratik örnek |
|---|---|---|
| a | Kişisel verisinin işlenip işlenmediğini öğrenme | "Sisteminizde kaydım var mı?" |
| b | İşlenmişse bilgi talep etme | "Hangi verilerimi tutuyorsunuz?" |
| c | İşleme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme | "Telefonumu neden pazarlamada kullanıyorsunuz?" |
| ç | Yurt içinde veya yurt dışında aktarılan üçüncü kişileri bilme | "Verim hangi firmalara gitti?" |
| d | Eksik veya yanlış işlenmişse düzeltilmesini isteme | "Adresim yanlış, düzeltin." |
| e | md. 7 şartları çerçevesinde silinmesini veya yok edilmesini isteme | "Üyeliğim bitti, verilerimi silin." |
| f | Düzeltme ve silme işlemlerinin aktarılan üçüncü kişilere bildirilmesini isteme | "Sildiğinizi kargo firmasına da iletin." |
| g | Münhasıran otomatik sistemlerle analiz sonucu aleyhe çıkan sonuca itiraz | "Kredi skorum otomatik reddedildi, itiraz ediyorum." |
| ğ | Kanuna aykırı işleme nedeniyle uğranan zararın giderilmesini talep | Tazminat talebi |
Silme hakkı mutlak değildir. Veri sorumlusunun yasal saklama yükümlülüğü varsa (örneğin fatura ve bordro kayıtları) o süre boyunca silme talebi reddedilebilir; ret gerekçeli olmalıdır.
İlgili kişi tarafı: başvuru adım adım
1. Doğru veri sorumlusunu bulun
Başvuru, verinizi işleyen şirketin kendisine yapılır; bayiye, kargo firmasına veya çağrı merkezi taşeronuna değil. Şirketin aydınlatma metninde veya VERBİS kaydında başvuru adresi genellikle yazar. VERBİS sorgulamasını VERBİS kaydı rehberimizde anlattık.
2. Yöntem seçin
Tebliğ md. 5'e göre başvuru şu yollarla yapılabilir:
- Yazılı (elden veya noter/posta yoluyla, ıslak imzalı)
- Kayıtlı elektronik posta (KEP) adresi
- Güvenli elektronik imza
- Mobil imza
- İlgili kişinin veri sorumlusuna daha önce bildirdiği ve sistemde kayıtlı e-posta adresi
- Veri sorumlusunun başvuru için geliştirdiği yazılım veya uygulama
Sıradan bir e-posta, yalnızca o adres veri sorumlusunun sisteminde sizin adınıza kayıtlıysa geçerli bir yöntemdir. Aksi hâlde kimlik doğrulanamadığı için başvuru işleme alınmayabilir.
3. Zorunlu unsurları eksiksiz yazın
Tebliğ md. 5/2 şu bilgileri zorunlu tutar:
- Ad, soyad ve yazılı başvuruda imza
- T.C. vatandaşları için T.C. kimlik numarası; yabancılar için uyruk, pasaport numarası veya varsa kimlik numarası
- Tebligata esas yerleşim yeri veya iş yeri adresi
- Varsa bildirime esas e-posta adresi, telefon ve faks numarası
- Talep konusu
Talep konusunu md. 11'deki bent üzerinden yazmak işi hızlandırır: "Kanun'un 11/1-e maddesi uyarınca … verilerimin silinmesini talep ediyorum."
4. Tarihi kayıt altına alın
Tebliğ, başvuru tarihini yazılı başvurularda tebliğ edildiği tarih, diğer yöntemlerde veri sorumlusuna ulaştığı tarih olarak belirler. 30 günlük süre bu tarihten işler; posta alındısını veya KEP delilini saklayın.
Veri sorumlusu tarafı: gelen başvuruyu yönetmek
Süre: en geç 30 gün, ücretsiz
Kanun md. 13/2: talepler, niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz sonuçlandırılır. Bu bir üst sınırdır; basit bir "kaydım var mı?" sorusunu 30. güne bırakmak, "en kısa sürede" ilkesine aykırı okunabilir.
Ücret alınabilir mi?
Sınırlı olarak. Tebliğ md. 7'ye göre cevabın yazılı verilmesi hâlinde on sayfaya kadar ücret alınmaz; on sayfanın üzerindeki her sayfa için 1 TL işlem ücreti alınabilir. Cevap CD veya flash bellek gibi bir kayıt ortamında verilirse ücret, o ortamın maliyetini geçemez. Başvuru veri sorumlusunun hatasından kaynaklanıyorsa alınan ücret iade edilir (Kanun md. 13/3).
Cevabın zorunlu içeriği
Tebliğ md. 6, cevap yazısında asgari şunların bulunmasını ister:
- Veri sorumlusuna ait bilgiler
- Başvuru sahibinin kimlik bilgileri
- Başvuru tarihi ve cevap tarihi
- Talep konusu
- Veri sorumlusunun başvuruya ilişkin açıklamaları
Talep kabul ediliyorsa gereği yerine getirilir; reddediliyorsa gerekçe yazılır. Cevap, ilgili kişiye yazılı veya elektronik ortamda bildirilir.
Kimlik teyidi ve cevabın gizliliği
İki nokta Kurul kararlarında öne çıkar. Birincisi, kimlik doğrulanamıyorsa ek bilgi istenebilir; ancak bunu gerekçe gösterip başvuruyu tümden reddetmek incelemeye konu olmuştur. İkincisi, cevabın yalnızca ilgili kişiye ulaşması gerekir. Cevabı kişinin çalıştığı birime resmî yazıyla göndermek, bir kararda 1.000.000 TL idari para cezasıyla sonuçlanmıştır (aşağıda).
İşletme için 6 adımlık iç süreç
- Tek giriş noktası belirleyin: başvurular için ayrılmış bir e-posta ve fiziksel adres; aydınlatma metninizde yazsın.
- Kayıt defteri tutun: başvuru tarihi, yöntem, talep türü, cevap tarihi, sonuç.
- Kimlik teyidi için ölçülü bir prosedür: kayıtlı bilgilerle karşılaştırma yeterliyse fazlasını istemeyin.
- Envantere bakın: hangi veriyi hangi sistemde tuttuğunuzu kişisel veri envanteri söyler; envanter yoksa 30 gün yetmez.
- Gerekçeli cevap şablonu hazırlayın; kabul ve ret için ayrı ayrı. Şablonu bir hukukçu kontrol etsin.
- Aktarım zinciri: silme veya düzeltme yaptıysanız veriyi aktardığınız üçüncü kişilere de bildirin (md. 11/1-f).
Bu süreç, KVKK Uyum Rehberindeki "başvuru yönetimi" adımının ayrıntısıdır. Belgelerinizi sıfırdan üretmek için KVKK sihirbazını kullanabilirsiniz; çıkan her belge yayın öncesi uzman kontrolü gerektirir.
Kurul'a şikâyet yolu (KVKK md. 14)
Şikâyet için önce veri sorumlusuna başvurmak zorunludur (md. 14/2). Sonrasında üç durumdan biri gerçekleşmelidir: başvuru reddedildi, cevap yetersiz bulundu veya süresinde cevap verilmedi.
| Süre | Ne zaman işler? | Kaynak |
|---|---|---|
| 30 gün | Veri sorumlusunun cevabını öğrendiğiniz tarihten itibaren | md. 14/1 |
| 60 gün | Her hâlde başvuru tarihinden itibaren | md. 14/1 |
| 60 gün | Kurul, şikâyet tarihinden itibaren cevap vermezse talep reddedilmiş sayılır | md. 15/4 |
| 15 gün | Kurul'un istediği bilgi ve belgeleri veri sorumlusunun gönderme süresi | md. 15/3 |
Şikâyet, Kurum'un çevrim içi şikâyet sistemi üzerinden veya yazılı olarak yapılabilir. Kişilik hakkı ihlal edilenlerin genel hükümlere göre tazminat hakkı ayrıca saklıdır (md. 14/3).
Kurul kararlarından üç örnek
Aşağıdaki kararlar, Kurum'un yayımladığı karar özetlerinden alınmıştır; bağlantılar kvkk.gov.tr'ye gider.
1. Cevap yazısının çalışılan birime gönderilmesi — 2020/336 (05.05.2020). İlgili kişiye iletilmesi gereken cevap yazısı, veri sorumlusu tarafından resmî yazı şeklinde kişinin çalıştığı birime gönderilmiştir. Karar özetinde 1.000.000 TL idari para cezası yer alır. Ders: başvuru cevabı da kişisel veri içerir; yalnızca ilgili kişiye ulaşmalıdır. Karar özeti
2. Kimlik teyidi gerekçesiyle ret — 2019/296 (01.10.2019). Bir operatör şirketi, ilgili kişinin internet sitesi üzerinden yaptığı başvuruyu kimlik teyidi yapamadığı gerekçesiyle reddetmiş; konu Kurul'a taşınmıştır. Ders: kimlik doğrulama ölçülü olmalı ve başvuru kanalı çalışır durumda tutulmalıdır. Karar özeti
3. Yetersiz cevap — 2021/85 (03.02.2021). İlgili kişinin md. 11 kapsamındaki başvurusuna veri sorumlusunun verdiği cevap yeterli bulunmamış ve şikâyet Kurul önüne gelmiştir. Ders: "talebiniz alındı" tarzı genel bir cevap, md. 11'deki her bir talebi karşılamaz. Karar özeti
Bir başka örnekte (2020/435) işten çıkarılan bir çalışanın özlük dosyasındaki verilerinin suretini talep etmesine hiç cevap verilmemesi şikâyet konusu olmuştur; çalışan verisi için ayrı bir dikkat gerekir. Kamera ve aydınlatma ekseninde başvuru hakkının nasıl değerlendirildiğini 2024/1361 kararı yazımızda okuyabilirsiniz.
Sık yapılan hatalar
- Sıradan e-postayla başvurup süreyi işletmeye çalışmak. Adres sistemde kayıtlı değilse yöntem geçersiz sayılabilir.
- T.C. kimlik numarası veya adres eksik bırakmak. Tebliğ'in zorunlu unsurları eksikse veri sorumlusu işleme almayabilir.
- İşletme tarafında başvuruyu "info@" kutusunda unutmak. 30 gün sessizlik, şikâyet yolunu açar.
- Cevabı üçüncü kişilere ulaşacak şekilde göndermek. 2020/336 kararı bunun bedelini gösterir.
- Ücret talep ederek başvuruyu caydırmak. On sayfaya kadar ücret alınamaz; üstü için sınır 1 TL/sayfa'dır.
- Silme talebini gerekçesiz reddetmek. Yasal saklama süresi varsa bunu maddesiyle yazın.
Pratik ipuçları
- Başvuru dilekçenize md. 11'in hangi bendine dayandığınızı yazın; cevap da o bent üzerinden gelir.
- İşletmeyseniz başvuru formunu web sitenize koyun ve aydınlatma metninizden ona bağlantı verin; Tebliğ "başvuru amacına yönelik uygulama"yı geçerli yöntem sayar.
- Cevap süresini takvime 25. gün uyarısıyla girin; posta ile gönderimde tebliğ süresini hesaba katın.
- Her başvuruyu ve cevabı kayıt defterine işleyin; Kurul md. 15/3 kapsamında belge isterse 15 gün içinde vermeniz gerekir.
- Ceza tutarlarının nasıl belirlendiğini ve güncel sınırları KVKK cezaları ne kadar? yazısında takip edin.
Sık sorulan sorular
Veri sorumlusu başvuruma kaç günde cevap vermek zorunda?
Kanun md. 13/2 uyarınca talebin niteliğine göre en kısa sürede ve en geç 30 gün içinde cevap verilmelidir. Süre, yazılı başvurularda tebliğ tarihinden, diğer yöntemlerde başvurunun veri sorumlusuna ulaştığı tarihten işler.
Başvuru ücretli mi?
Kural olarak ücretsizdir. Tebliğ md. 7'ye göre yazılı cevapta on sayfaya kadar ücret alınmaz; on sayfayı aşan her sayfa için 1 TL işlem ücreti alınabilir. Kayıt ortamında verilen cevaplarda ücret ortamın maliyetini geçemez.
Doğrudan Kurul'a şikâyet edebilir miyim?
Hayır. Kanun md. 14/2, veri sorumlusuna başvuru yolu tüketilmeden Kurul'a şikâyet edilemeyeceğini düzenler. Önce başvurur, ret, yetersiz cevap veya süresinde cevapsızlık hâlinde şikâyet edersiniz.
Kurul'a şikâyet süresi ne kadar?
Veri sorumlusunun cevabını öğrendiğiniz tarihten itibaren 30 gün, her hâlde başvuru tarihinden itibaren 60 gün içinde şikâyet edebilirsiniz (md. 14/1).
WhatsApp veya sosyal medya mesajıyla başvuru geçerli mi?
Tebliğ'in saydığı yöntemler arasında değildir. Veri sorumlusunun başvuru için geliştirdiği bir uygulama veya sistemde kayıtlı e-posta adresiniz yoksa yazılı, KEP, e-imza veya mobil imza yolunu kullanın.
Şirket olarak başvuru formu hazırlamak zorunda mıyım?
Kanun form zorunluluğu getirmez; ancak Tebliğ'in zorunlu unsurlarını içeren bir form, eksik başvuruları azaltır ve kimlik teyidini kolaylaştırır. Formu yayınlamadan önce bir hukukçuya kontrol ettirin.
Kaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu — tam metin (mevzuat.gov.tr) — md. 11, 13, 14, 15
- Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ — Resmî Gazete 10.03.2018 — md. 5, 6, 7
- KVKK Şikâyet Modülü
- Kişisel Verileri Koruma Kurumu — Kurul karar özetleri
Bu yazıdaki bilgiler yukarıdaki resmî kaynaklara dayandırılarak hazırlanmıştır. Mevzuat ve Kurul kararları değişebilir; güncel metinler için kaynakları esas alın.
