İlgili kişi başvurusu, kişisel verisi işlenen gerçek kişinin KVKK kapsamındaki haklarını kullanmak için veri sorumlusuna yaptığı başvurudur. Şirketler açısından bu başvurular yalnızca hukuk biriminin cevaplayacağı basit dilekçeler değildir; müşteri ilişkileri, çağrı merkezi, insan kaynakları, bilgi işlem, operasyon ve arşiv süreçlerini birlikte ilgilendiren kurumsal bir takip mekanizması gerektirir.
Özellikle “verilerimi silin”, “beni sisteminizden çıkarın”, “hangi verilerimi işliyorsunuz?” veya “bilgilerimi kimlerle paylaştınız?” gibi talepler, doğru sınıflandırılmazsa 30 günlük yasal cevap süresi kaçırılabilir. Bu nedenle her şirketin ilgili kişi başvurularını almak, doğrulamak, değerlendirmek, cevaplamak ve kayıt altına almak için yazılı bir iç prosedür oluşturması gerekir.
İlgili kişi başvurusu, veri sorumlusunun en geç 30 gün içinde cevaplaması gereken KVKK talebidir. Başvuru yazılı olarak, KEP, güvenli elektronik imza, mobil imza, kayıtlı e-posta veya başvuruya özel sistemler üzerinden yapılabilir. “Verilerimi silin” talebi ise her zaman otomatik silme anlamına gelmez; önce verinin hangi hukuki sebeple işlendiği, saklama süresinin devam edip etmediği ve silme/yok etme/anonim hale getirme şartlarının oluşup oluşmadığı incelenmelidir.
İlgili kişi başvuruları için şirket içi cevap ve takip sistemi kurabiliriz.
İlgili Kişi Başvurusu Nedir?
İlgili kişi, kişisel verisi işlenen gerçek kişidir. Müşteri, çalışan, eski çalışan, iş başvurusu adayı, tedarikçi yetkilisi, ziyaretçi, çağrı merkeziyle görüşen kişi veya web formu dolduran kişi ilgili kişi olabilir.
İlgili kişi başvurusu ise bu kişinin KVKK kapsamındaki haklarını kullanmak amacıyla veri sorumlusuna başvurmasıdır. Bu başvuruda kişi, örneğin:
- kişisel verilerinin işlenip işlenmediğini öğrenmek,
- işlenen verileri hakkında bilgi almak,
- verilerin işlenme amacını öğrenmek,
- verilerin kimlere aktarıldığını öğrenmek,
- eksik veya yanlış verilerin düzeltilmesini istemek,
- şartları oluşmuşsa kişisel verilerinin silinmesini veya yok edilmesini talep etmek,
- hukuka aykırı işleme nedeniyle zararın giderilmesini istemek
isteyebilir.
Bu nedenle şirket içinde gelen her talep “müşteri şikâyeti” veya “operasyon talebi” olarak görülmemeli; KVKK başvurusu niteliği taşıyıp taşımadığı ayrıca değerlendirilmelidir.
Başvuru Kanalları Nelerdir?
İlgili kişi başvuruları şirketlere farklı kanallardan gelebilir. Mevzuata uygun başvuru kanalları genel olarak şunlardır:
- yazılı başvuru,
- kayıtlı elektronik posta adresi,
- güvenli elektronik imza,
- mobil imza,
- ilgili kişinin daha önce şirkete bildirdiği ve sistemde kayıtlı olan e-posta adresi,
- başvuru amacıyla oluşturulmuş yazılım, panel veya başvuru formu.
Uygulamada en çok hata, herhangi bir e-posta adresinden gelen taleplerin doğrudan geçerli başvuru gibi kabul edilmesinde ortaya çıkar. Bir e-posta başvurusunun sağlıklı değerlendirilebilmesi için e-posta adresinin ilgili kişi tarafından daha önce şirkete bildirilmiş ve şirket sisteminde kayıtlı olması önemlidir.
Çağrı merkezi, WhatsApp, sosyal medya mesajı veya sözlü talep üzerinden gelen başvurularda ise şirketin dikkatli davranması gerekir. Bu kanallar, başvuruyu fark etmek ve ilgili kişiyi doğru başvuru kanalına yönlendirmek için kullanılabilir; ancak kimlik doğrulama ve kayıt güvenliği sağlanmadan kişisel veri paylaşılmamalıdır.
30 Günlük Cevap Süresi Nasıl Takip Edilir?
Veri sorumlusu, ilgili kişi başvurusunu talebin niteliğine göre en kısa sürede ve en geç 30 gün içinde sonuçlandırmalıdır. Bu süre, başvurunun şirkete ulaştığı tarihten itibaren takip edilmelidir.
Şirket içinde sağlıklı bir takip için şu kayıtlar tutulmalıdır:
- başvurunun ulaştığı tarih,
- başvuru kanalı,
- başvuruyu yapan kişinin kimlik bilgileri,
- talep konusu,
- başvurunun hangi birimlere yönlendirildiği,
- yapılan inceleme,
- verilen cevap tarihi,
- cevabın gönderildiği kanal,
- talep kabul edildiyse yapılan işlem,
- talep reddedildiyse gerekçe.
30 günlük süre yalnızca cevap yazısının hazırlanması için değil, talebin değerlendirilmesi ve sonuçlandırılması için de önemlidir. Bu nedenle çağrı merkezi veya müşteri ilişkileri birimi başvuruyu geç fark eder, hukuk birimine geç iletir veya bilgi işlemden veri dökümü geç alınırsa şirket süre yönetimi bakımından risk yaşayabilir.
“Verilerimi Silin” Talebi Her Zaman Silme Anlamına Gelir mi?
Hayır. İlgili kişinin “verilerimi silin” talebi mutlaka dikkate alınmalıdır; ancak her talep otomatik olarak tüm verilerin silinmesi sonucunu doğurmaz.
Önce şu sorular değerlendirilmelidir:
- Bu kişiye ait hangi kişisel veriler işleniyor?
- Veriler hangi amaçlarla işleniyor?
- İşleme faaliyeti hangi hukuki sebebe dayanıyor?
- Yasal saklama süresi devam ediyor mu?
- Vergi, ticaret, iş hukuku, SGK, tüketici hukuku veya sözleşme kaynaklı saklama yükümlülüğü var mı?
- Veri hâlen aktif sistemlerde mi, arşivde mi, yedekte mi bulunuyor?
- Verinin silinmesi, yok edilmesi veya anonim hale getirilmesi teknik olarak hangi yöntemle yapılacak?
- Veri üçüncü kişilerle paylaşılmışsa bildirim gerekip gerekmediği değerlendirildi mi?
Örneğin eski bir müşterinin pazarlama listelerinden çıkarılması mümkün olabilir; ancak aynı kişiye ait fatura, sözleşme, ödeme veya muhasebe kayıtlarının yasal saklama süresi devam ediyorsa bu kayıtların hemen tamamen silinmesi mümkün olmayabilir. Böyle bir durumda başvuru cevabında hangi veriler bakımından işlem yapılabildiği, hangi verilerin hangi hukuki nedenle saklanmaya devam ettiği açık ve anlaşılır şekilde belirtilmelidir.
Bu konu hakkında ayrıca kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesi rehberimizi inceleyebilirsiniz.
Eksik Başvuru Nasıl Yönetilir?
Bazı başvurularda ad-soyad, imza, T.C. kimlik numarası, iletişim bilgisi, talep konusu veya kimlik doğrulama bilgileri eksik olabilir. Eksik başvuru doğrudan yok sayılmamalıdır.
Şirketin yaklaşımı şu olmalıdır:
- Başvurunun KVKK talebi olup olmadığı belirlenmelidir.
- Eksik bilgi varsa ilgili kişiden makul ölçüde tamamlaması istenmelidir.
- Kimlik doğrulanmadan kişisel veri paylaşılmamalıdır.
- Eksikliğin ne olduğu açıkça belirtilmelidir.
- Eksik başvuru ve yapılan yönlendirme kayıt altına alınmalıdır.
Burada temel denge şudur: Şirket, başvuru hakkını zorlaştırmamalı; fakat başka bir kişinin verilerinin yanlış kişiye açıklanmasına da izin vermemelidir.
Kimlik Doğrulama Neden Önemlidir?
İlgili kişi başvurularında kimlik doğrulama kritik bir güvenlik adımıdır. Çünkü başvuruya verilen cevapta kişinin verileri, işlem geçmişi, üyelik bilgileri, iletişim bilgileri veya aktarım bilgileri yer alabilir.
Kimlik doğrulama yapılmadan cevap verilmesi, üçüncü kişiye kişisel veri açıklanması sonucunu doğurabilir. Bu nedenle şirketler, başvuru türüne ve veri riskine göre ölçülü bir doğrulama mekanizması kurmalıdır.
Örneğin:
- kayıtlı e-posta adresinden gelen talepler ayrıca sistem kaydıyla eşleştirilebilir,
- yazılı başvurularda imza ve kimlik bilgisi kontrol edilebilir,
- vekil aracılığıyla yapılan başvurularda vekâletname aranabilir,
- çağrı merkezi üzerinden gelen taleplerde kişiye veri açıklamak yerine güvenli başvuru kanalına yönlendirme yapılabilir.
Kimlik doğrulama amacıyla gereğinden fazla veri talep edilmemelidir. Amaç yalnızca başvuruyu yapan kişinin gerçekten ilgili kişi veya yetkili temsilci olup olmadığını anlamaktır.
Şirket İçi Başvuru Yönetim Akışı Nasıl Kurulmalı?
İlgili kişi başvuruları için şirket içinde pratik bir iş akışı kurulmalıdır. Özellikle müşteri ilişkileri, çağrı merkezi, hukuk, insan kaynakları, bilgi işlem ve operasyon birimleri bulunan şirketlerde bu akış yazılı hale getirilmelidir.
Önerilen akış şu şekildedir:
- Başvurunun alınması ve kayıt numarası verilmesi.
- Başvuru kanalının ve başvuru tarihinin kaydedilmesi.
- Kimlik doğrulama kontrolünün yapılması.
- Talebin KVKK m. 11 kapsamındaki haklardan hangisine girdiğinin belirlenmesi.
- İlgili birimlerden veri ve işlem bilgisi toplanması.
- Silme, düzeltme, bilgi verme, itiraz veya aktarım bildirimi gerekip gerekmediğinin değerlendirilmesi.
- Hukuki gerekçeli cevap metninin hazırlanması.
- Cevabın süresi içinde ilgili kişiye gönderilmesi.
- Yapılan işlemin ve cevabın kayıt altına alınması.
- Gerekirse veri envanteri, saklama-imha politikası veya erişim yetkilerinin güncellenmesi.
Bu akışın yalnızca kâğıt üzerinde kalmaması gerekir. Başvurular için ortak bir takip tablosu, sorumlu kişi, yedek sorumlu, iç cevap süreleri ve eskalasyon mekanizması oluşturulmalıdır.
Cevap Şablonları Nasıl Hazırlanmalı?
Şirketler ilgili kişi başvurularında her talep için sıfırdan cevap yazmak yerine standart cevap şablonları kullanabilir. Ancak şablonlar otomatik ve ezbere kullanılmamalı; somut başvurunun içeriğine göre uyarlanmalıdır.
Başlıca cevap şablonları şunlar olabilir:
- başvurunun alındığına ilişkin kayıt cevabı,
- eksik bilgi tamamlama cevabı,
- kimlik doğrulama talebi cevabı,
- kişisel veri işlenip işlenmediğine ilişkin cevap,
- veri silme veya yok etme talebinin kabul cevabı,
- veri silme talebinin kısmen kabul/kısmen ret cevabı,
- saklama süresi devam ettiği için ret cevabı,
- yanlış veya eksik verinin düzeltilmesine ilişkin cevap,
- veri aktarımı yapılan üçüncü kişilere bildirim hakkında cevap,
- başvurunun KVKK kapsamına girmediğine ilişkin gerekçeli cevap.
Cevap metni açık, sade ve gerekçeli olmalıdır. Şirket, talebi reddediyorsa yalnızca “talebiniz uygun görülmemiştir” dememeli; hangi hukuki veya fiili nedenle reddedildiğini açıklamalıdır.
Birimlere Göre Görev Dağılımı
| Birim | Temel Görev | Dikkat Edilecek Nokta |
|---|---|---|
| Çağrı merkezi | Talebi fark etmek ve güvenli başvuru kanalına yönlendirmek | Kimlik doğrulanmadan veri açıklamamalıdır. |
| Müşteri ilişkileri | Müşteri taleplerini KVKK başvurusu ihtimaline göre ayırmak | Şikâyet ile ilgili kişi başvurusu karıştırılmamalıdır. |
| Hukuk birimi | Talebin hukuki niteliğini ve cevap gerekçesini belirlemek | 30 günlük süre ve Kurul kararları dikkate alınmalıdır. |
| Bilgi işlem | Sistemlerdeki veri kayıtlarını, logları ve silme imkânlarını incelemek | Yedekler, arşivler ve erişim yetkileri ayrıca değerlendirilmelidir. |
| İnsan kaynakları | Çalışan ve eski çalışan başvurularını değerlendirmek | İş Kanunu, SGK ve özlük dosyası saklama süreleri kontrol edilmelidir. |
| Operasyon | Fiili süreçlerde tutulan kayıtları kontrol etmek | Kargo, teslimat, çağrı kaydı, bayi ve saha kayıtları unutulmamalıdır. |
| Yönetim | Başvuru takip sisteminin kurulmasını ve denetlenmesini sağlamak | Sorumluluk yalnızca tek bir çalışana bırakılmamalıdır. |
Sık Yapılan Hatalar
İlgili kişi başvurularında en sık karşılaşılan hatalar şunlardır:
- Başvurunun müşteri şikâyeti sanılarak KVKK sürecine alınmaması.
- 30 günlük sürenin başlangıç tarihinin kaydedilmemesi.
- Kimlik doğrulanmadan kişisel veri paylaşılması.
- “Verilerimi silin” talebine otomatik ret cevabı verilmesi.
- Yasal saklama süresi devam eden kayıtlarla pazarlama kayıtlarının karıştırılması.
- Eksik başvurunun hiç cevaplanmaması.
- Cevap yazısının gerekçesiz hazırlanması.
- Veri silme işleminin bilgi işlem, hukuk ve operasyon koordinasyonu olmadan yapılması.
- Yapılan işlemin kayıt altına alınmaması.
- Üçüncü kişilere aktarılmış veriler bakımından bildirim gerekip gerekmediğinin değerlendirilmemesi.
Bu hataların önlenmesi için ilgili kişi başvuru prosedürü, veri envanteri, saklama-imha politikası ve teknik-idari tedbirler birlikte ele alınmalıdır.
Lilyum Danışmanlık Nasıl Destek Olur?
Lilyum Danışmanlık, şirketlerin ilgili kişi başvurularını mevzuata uygun, izlenebilir ve uygulanabilir bir sistemle yönetebilmesi için destek sağlar. Bu kapsamda:
- ilgili kişi başvuru prosedürü,
- başvuru kayıt ve takip tablosu,
- cevap şablonları,
- silme/yok etme talebi değerlendirme akışı,
- çağrı merkezi ve müşteri ilişkileri yönlendirme metinleri,
- kimlik doğrulama kontrol adımları,
- veri envanteri ve saklama-imha politikası bağlantısı,
- personel farkındalık eğitimi
hazırlanabilir.
İlgili kişi başvuruları için şirket içi cevap ve takip sistemi kurabiliriz.
KVKK danışmanlığı kapsamında başvuru yönetimi, saklama-imha süreci ve veri envanteri bağlantısını birlikte değerlendirebiliriz.
Sık Sorulan Sorular
İlgili kişi başvurusu kaç gün içinde cevaplanmalıdır?
Veri sorumlusu, ilgili kişi başvurusunu talebin niteliğine göre en kısa sürede ve en geç 30 gün içinde sonuçlandırmalıdır.
“Verilerimi silin” diyen kişinin tüm verileri hemen silinir mi?
Hayır. Önce verinin hangi amaçla ve hangi hukuki sebeple işlendiği, yasal saklama süresinin devam edip etmediği ve silme/yok etme şartlarının oluşup oluşmadığı değerlendirilmelidir.
Çağrı merkezine yapılan sözlü talep KVKK başvurusu sayılır mı?
Çağrı merkezi talebi fark etmeli ve kişiyi güvenli başvuru kanalına yönlendirmelidir. Kimlik doğrulanmadan kişisel veri paylaşılmamalıdır.
Eksik başvuruya cevap vermek gerekir mi?
Eksik başvuru tamamen yok sayılmamalıdır. Eksik bilgiler açıkça belirtilmeli ve ilgili kişiden başvuruyu tamamlaması istenmelidir.
Şirket cevap vermezse ne olur?
Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâllerinde ilgili kişi KVKK Kuruluna şikâyet yoluna gidebilir.
Resmî Kaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu
- Kişisel Verileri Koruma Kurumu — İlgili Kişinin Hakları
- Kişisel Verileri Koruma Kurumu — Başvuru Hakkı
- İlgili Kişiler Tarafından Yapılan Başvuruların Cevaplanması Yükümlülüğü
- Kişisel Verileri Koruma Kurumu — Tebliğler
- Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik
- Veri Sorumlusuna Başvuru ve Kurula Şikâyet Sürelerine İlişkin Kurul Kararı
Bilgilendirme Notu
Bu yazı genel bilgilendirme amacıyla hazırlanmıştır. İlgili kişi başvuruları, şirketin faaliyet alanı, işlenen veri kategorileri, saklama süreleri, veri aktarım ilişkileri ve sektörel mevzuat yükümlülüklerine göre ayrıca değerlendirilmelidir.
