KVKK ilgili kişi başvurusu, kişisel verisi işlenen birinin (çalışan, aday, müşteri, ziyaretçi) Kanun'un 11. maddesindeki haklarını kullanmak için veri sorumlusuna yaptığı taleptir. Şirket, başvuruyu en geç 30 gün içinde ücretsiz sonuçlandırmak zorundadır. Bunun için tanımlı bir başvuru kanalı, kimlik doğrulama adımı ve kişinin verisini tüm sistemlerden toplayan bir iş akışı gerekir.
İlgili kişi başvurusu masanıza nasıl gelir?
Başvuru çoğu zaman beklenmedik bir yerden gelir. İşten ayrılmış bir çalışan "hakkımda hangi kayıtları tutuyorsunuz?" diye genel e-posta adresine yazar.
Bir müşteri, pazarlama listesinden çıkarılmasını ve verilerinin silinmesini ister. Bir ziyaretçi, girişte kaydedilen kamera görüntüsünü talep eder. Mesaj ön büroya, satış temsilcisine ya da İK'ya düşer ve kimse "bu bir KVKK başvurusu" diye etiketlemez.
Sorun burada başlar: 30 günlük süre, başvurunun şirkete ulaştığı gün işlemeye başlar, doğru kişinin masasına ulaştığı gün değil. Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'e göre yazılı başvuruda başvuru tarihi evrakın veri sorumlusuna tebliğ edildiği, diğer yöntemlerde başvurunun veri sorumlusuna ulaştığı tarihtir.
Üstelik kişinin verisi tek yerde durmaz. ERP'deki cari kart, CRM'deki görüşme notları, bordro sistemi, PDKS kayıtları, e-posta kutuları, paylaşılan klasörlerdeki Excel dosyaları ve yedekler aynı kişiye ait parçaları taşır. Nereye bakılacağını bilmeyen ekip, eksik ya da gecikmiş bir yanıt verir.
Bu yazı başvuruyu operasyonel olarak nasıl karşılayacağınızı anlatır. Uyum programının bütününü KVKK uyum süreci rehberimizde, silme kurallarının politika tarafını ise saklama ve imha politikası yazımızda ele aldık.
Başvuruyu yönetememenin maliyeti
Başvurusu karşılıksız kalan kişi Kurul'a gider ve Kurum'un rakamları bu yolun sık kullanıldığını gösteriyor:
Kişisel Verileri Koruma Kurumu'na 2025'te ulaşan ihbar ve şikâyetlerin 689'u (yaklaşık %6) ilgili kişilerin taleplerinin veri sorumlusu tarafından yerine getirilmemesiyle ilgiliydi; verilerin silinmemesi, yok edilmemesi veya anonim hâle getirilmemesi 551, unutulma hakkı talepleri 53 başvuru oldu. (KVKK 2025 Yılı Faaliyet Raporu)
Aynı rapor ilginç bir ayrıntı da veriyor: 2025'te gelen 12.512 ihbar ve şikâyetin 7.677'si (%64) usul şartlarını sağlamadığı için reddedildi; rapor, ilgili kişinin haklarını kullanmak için önce veri sorumlusuna başvurmasının zorunlu olduğunu hatırlatıyor (KVKK 2025 Yılı Faaliyet Raporu). Yani usulüne uygun bir şikâyet dosyasında çoğu zaman sizin başvuruya verdiğiniz yanıt da yer alır. Bu yüzden yanıtınızı, bir gün Kurul'un okuyacağını varsayarak yazın.
İlgili kişiler şirketleri araştırmayı da biliyor. KVKK 2025 Yılı Faaliyet Raporu'na göre kamuya açık VERBİS sicilindeki sorgulama sayısı 31 Aralık 2025 itibarıyla 1.985.918'e ulaştı. Başvuru sahibi, sicildeki bildiriminizle yanıtınızı karşılaştırabilir; bu yüzden VERBİS kaydınız ile başvuru yanıtınızın aynı veri kategorilerini anlatması gerekir.
Süre de nettir. 6698 sayılı Kanun'un 13. maddesine göre başvuru en kısa sürede ve en geç 30 gün içinde ücretsiz sonuçlandırılır; işlem ayrıca bir maliyet gerektiriyorsa yalnızca Kurul'un belirlediği tarifedeki ücret istenebilir. Başvurunun reddedilmesi, yanıtın yetersiz bulunması ya da süresinde verilmemesi hâlinde kişi, 14. madde uyarınca yanıtı öğrendiği tarihten itibaren 30 gün ve her hâlde başvuru tarihinden itibaren 60 gün içinde Kurul'a şikâyet edebilir.
KVKK ilgili kişi başvurusunda hangi haklar talep edilir?
Kanun'un 11. maddesi dokuz hak sayar. Her hak farklı bir iş yükü doğurur; bazıları bir liste göndermekle karşılanır, bazıları ise sistemlerde değişiklik ister. Aşağıdaki tablo ekiplerin başvuruyu doğru yönlendirmesi için hazırlandı.
| Talep | Kişi ne ister? | Nereye bakılır? | Dikkat edilecek nokta |
|---|---|---|---|
| Öğrenme ve bilgi talebi | Verim işleniyor mu, hangi veriler? | Kişisel veri envanteri, ERP, CRM, İK, PDKS | Başka kişilerin verisini yanıta katmayın |
| Amaç ve kullanım | Neden işleniyor, amaca uygun mu? | Aydınlatma metni, envanterdeki amaç sütunu | Yanıt ile aydınlatma metni çelişmemeli |
| Aktarılan üçüncü kişiler | Verim kime, yurt içi mi dışı mı? | Veri işleyen sözleşmeleri, entegrasyonlar | Bulut ve e-posta sağlayıcılarını unutmayın |
| Düzeltme | Eksik ya da yanlış veri düzeltilsin | Kaynak sistem ve kopyaları | Düzeltmeyi aktarılan taraflara bildirin |
| Silme, yok etme | İşleme şartı kalmadıysa verim silinsin | Saklama-imha politikası, yedekler | Yasal saklama süresi varsa gerekçelendirin |
| Otomatik karara itiraz | Yalnızca otomatik analizle aleyhime sonuç çıktı | Puanlama, skor, filtre kuralları | Kararın hangi kurallarla oluştuğunu açıklamaya hazır olun |
| Zararın giderilmesi | Hukuka aykırı işlemeden doğan zarar | Hukuk birimi | Teknik yanıtla birlikte hukuki değerlendirme |
"Aktarılan üçüncü kişiler" sorusu çoğu şirketi hazırlıksız yakalar; yurt dışındaki bir hizmet sağlayıcı kullanıyorsanız yanıt, yurt dışına veri aktarımı kurallarıyla tutarlı olmalıdır. Kamera görüntüsü talebinde ise yanıtta diğer kişilerin maskelenmesi gerekir; ayrıntıları kamera kaydı ve KVKK yazımızda bulabilirsiniz.
KVKK ilgili kişi başvurusu yanıt süreci: 30 günde 7 adım
Başvuruyu kişilere değil sürece bağlamak, hem süreyi hem tutarlılığı korur. Aşağıdaki akış, ayrı bir KVKK ekibi olmayan orta ölçekli bir şirkette de uygulanabilecek sadeliktedir:
- Başvuru kanallarını tanımlayın ve duyurun. Tebliğ'e göre başvuru yazılı olarak ya da şu yöntemlerle yapılabilir: kayıtlı elektronik posta, güvenli elektronik imza, mobil imza, kişinin daha önce bildirdiği ve sistemde kayıtlı e-posta adresi ya da başvuru amacıyla geliştirilmiş bir yazılım veya uygulama. Kanalları aydınlatma metninizde yazın; KEP adresiniz varsa oraya gelen başvuruları da takibe alın.
- Her başvuruyu aynı gün kayda alın. Geliş tarihi, kanal, talep türü ve sorumlu kişiyle bir başvuru kaydı açın. Genel e-posta adresine, ön büroya ya da İK'ya düşen talepleri bu kayda yönlendiren kısa bir iç talimat yazın.
- Kimliği doğrulayın, ama ölçülü olun. Yanıtı yanlış kişiye göndermek, kişisel verinin yetkisiz birine açıklanması anlamına gelir ve bir veri ihlaline dönüşebilir. Tebliğ'in 5. maddesi başvuruda ad soyad (yazılı başvuruda imza), T.C. kimlik numarası (yabancılar için uyruk ile pasaport numarası ya da varsa kimlik numarası), tebligata esas yerleşim yeri veya iş yeri adresi, varsa bildirime esas e-posta, telefon ve faks numarası ile talep konusunun bulunmasını zorunlu tutar; bunları kayıtlarınızla eşleştirin. Kimlik fotokopisinin tamamını istemek çoğu zaman gereğinden fazladır.
- Talebi netleştirin. "Bütün verilerimi silin" gibi geniş taleplerde hangi ilişkiyi (müşteri, eski çalışan, aday) kastettiğini sorun. Belirsizliği erkenden gidermek, gereksiz arama yükünü azaltır.
- Veriyi sistemlerden toplayın. Kişisel veri envanterindeki her sistem için bir sorumlu belirleyin ve arama sonucunu tarihli olarak kayda ekletin. E-posta kutuları ve paylaşılan klasörler en sık atlanan yerlerdir; e-posta arşivleme ve KVKK yazımızda arşivde bu aramanın nasıl kolaylaştığını anlattık.
- Karar verin ve yanıtı yazın. Talebi kabul ediyorsanız ne yaptığınızı, reddediyorsanız hukuki gerekçeyi açıkça yazın. Tebliğ'e göre cevap yazısında veri sorumlusunun bilgileri, başvuru sahibinin kimlik ve iletişim bilgileri, talep konusu ve veri sorumlusunun açıklamaları bulunmalıdır. Şablon kullanın ama her başvuruya özel doldurun.
- Kanıtı saklayın ve süreci ölçün. Başvuru, yazışmalar, arama sonuçları ve gönderim kanıtı tek dosyada kalsın. Ayda bir kez ortalama yanıt süresini, süreyi aşan başvuruları ve en çok talep edilen hakları gözden geçirin.
Silme taleplerinde yedekler ayrı bir konu başlığıdır. Yedekten tek kayıt silmek çoğu zaman mümkün olmaz; bu durumda yedeğin erişime kapalı tutulduğunu ve saklama süresi dolduğunda imha edileceğini yanıtta açıklamak gerekir. Bu kural saklama-imha politikasında ve yedekleme prosedüründe yazılı değilse her silme talebinde aynı tartışma baştan yapılır.
Sık yapılan hatalar ve yanıt kontrol listesi
Başvuru yanıtlarındaki eksikler çoğunlukla aynı başlıklarda toplanır. Yanıt göndermeden önce şu kontrolleri yapın:
- Süre: Başvuru tarihi kayda başvurunun geldiği gün olarak mı girildi, 30 gün aşılmıyor mu?
- Kapsam: Envanterdeki tüm sistemler tarandı mı; e-posta ve paylaşılan klasörler dâhil mi?
- Üçüncü kişi verisi: Yanıtta başka çalışanların, müşterilerin ya da kamera görüntüsünde başka kişilerin verisi var mı?
- Tutarlılık: Yanıt, aydınlatma metni ve VERBİS bildirimiyle aynı amaçları ve alıcı gruplarını mı söylüyor?
- Gerekçe: Ret ya da kısmi kabul varsa hukuki dayanak açık mı?
- Güvenli iletim: Yanıt, doğrulanmış kanaldan ve gerekiyorsa şifreli olarak mı gidiyor?
İş akışı olmayan şirkette en büyük risk, başvurunun bir kişinin gelen kutusunda kaybolmasıdır. Veri tarafında ise sorun genellikle yönetişimdir: kimin hangi veriden sorumlu olduğu belli değilse arama da eksik kalır. Bu sahiplik modelini veri yönetişimi yazımızda ayrıntılı işledik.
Digital Bridge'de bu işi nasıl yapıyoruz?
İşe keşifle başlıyoruz. Son başvuruları, bugünkü kanalları ve kişisel veri taşıyan sistemleri birlikte çıkarıyoruz; envanter eksikse KVKK uyum danışmanlığı kapsamında önce onu tamamlıyoruz. Çıktı, her talep türü için hangi sistemde kimin arama yapacağını gösteren bir sorumluluk tablosu ve yanıt şablonlarıdır.
Ardından pilot yapıyoruz: bir veya iki geçmiş başvuruyu yeni akışla baştan işleyip süreyi ve eksikleri ölçüyoruz. Başvuru kaydını, belge ekleriyle ve işlem geçmişiyle tutmak için EBYS ve doküman yönetimi altyapısı kuruyoruz; böylece her başvurunun dosyası, süre sayacı ve yanıt kanıtı tek yerde kalır. Kâğıt ve e-posta arasında dağılan yazışmaların neden kaybolduğunu EBYS ve kâğıtsız ofis rehberinde anlattık.
Aramanın en sık atlanan iki yeri e-posta kutuları ve dosya arşivleridir. SmartFiles kurumsal dosya yönetimi, metni okunabilen belgelerde TC kimlik numarası, IBAN, telefon ve e-posta gibi değerleri arar ve hangi klasörde kişisel veri biriktiğini görünür kılar; SmartMail kurumsal e-posta ise bir kutudaki aramayı bütün klasörlerde birlikte yapar. Talep bir çalışana aitse Smart360 kurum panelinde belgelenmiş bir KVKK silme adımı vardır ve Smart360'ta silinen kişinin SmartPass'teki adı ile kişisel bilgileri de silinir, kartı iptal edilir.
Sonra entegrasyon geliyor. Web sitenize kimlik doğrulama adımı olan bir başvuru formu gerekiyorsa özel web yazılımı olarak geliştiriyor, ERP, CRM ve İK sistemlerinde kişiye göre arama yapan sorguları hazırlıyoruz. Yanıtların güvenli iletimi, erişim yetkileri ve işlem kayıtları için siber güvenlik ekibimiz aynı projede çalışır; temel teknik önlemler için KOBİ siber güvenlik kontrol listesi iyi bir başlangıçtır. Başvuru bir ihlal şüphesine dönüşürse izlenecek yolu KVKK veri ihlali 72 saat planıyla bağlıyoruz.
Tüm bu çalışmaların listesi için Siber Güvenlik ve KVKK konu sayfamıza da göz atabilirsiniz.
Sonraki adım
Son üç ayda size ulaşan başvuruları düşünün: hangi kanaldan geldi, kim yanıtladı, kaç günde kapandı? Bu sorulara net cevap veremiyorsanız süreç kişilere bağlı demektir. İletişim sayfamızdan bize yazın; mevcut başvuru akışınızı ve envanterinizi birlikte gözden geçirip size uygun bir yol haritası ve yazılı teklif hazırlayalım.