Bir müşteri, kişisel verilerinin hangi amaçla kullanıldığını soruyor. Şirketin müşteri temsilcisi telefonla arayıp açıklama yapıyor ve başvuruyu kapatıyor. Peki, bu görüşme KVKK kapsamındaki cevap verme yükümlülüğünü yerine getirir mi?
Kişisel Verileri Koruma Kurumunun 1 Ekim 2026 tarihli kamuoyu duyurusu, uygulamada sık karşılaşılan bu soruyu açıklığa kavuşturuyor: Telefonla veya yüz yüze yapılan bilgilendirme, mevzuatın aradığı nihai cevabın yerini tutmuyor. [1]
KVKK kapsamında kim kimdir?
Başvuru ve cevap sürecini anlamak için kişisel verilerin korunması hukukunun temel süjelerini, yani hak ve yükümlülük sahiplerini ayırt etmek gerekir.
İlgili kişi: Kişisel verisi işlenen gerçek kişidir. Müşteri, çalışan, iş başvurusu yapan aday veya internet sitesi ziyaretçisi, kendisine ilişkin veriler işlendiğinde ilgili kişi olabilir. Tüzel kişiler bu sıfatı taşımaz; ancak bir şirkete ait kayıtlarda belirli veya belirlenebilir bir gerçek kişiye ilişkin bilgiler bulunması hâlinde bu bilgiler KVKK kapsamında korunabilir. [4]
Veri sorumlusu: Kişisel verilerin hangi amaçlarla ve hangi vasıtalarla işleneceğini belirleyen, veri kayıt sisteminin kurulması ve yönetiminden sorumlu gerçek veya tüzel kişidir. Örneğin çalışanların özlük verilerinin işlenmesinde işveren şirket veri sorumlusu olabilir. Şirketin insan kaynakları birimi veya başvuruyu cevaplayan çalışan, yalnızca bu görevleri nedeniyle ayrı bir veri sorumlusu hâline gelmez. [5]
Veri işleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişidir. Şirket adına ve onun talimatlarıyla hizmet veren dış çağrı merkezi, ilgili faaliyet bakımından veri işleyen olabilir. Bir hizmet sağlayıcının bu sıfatı taşıyıp taşımadığı, somut veri işleme faaliyetindeki rolüne göre belirlenir. [5]
Aynı kuruluş, farklı faaliyetlerde farklı sıfatlar taşıyabilir. Örneğin dış çağrı merkezi, müşterisi olan şirket adına yürüttüğü işlemlerde veri işleyenken kendi çalışanlarının özlük verileri bakımından veri sorumlusu olabilir. Bu nedenle her veri işleyen, kendisine ulaşan bütün talepler bakımından otomatik olarak veri sorumlusu kabul edilmez. [5]
Kişisel Verileri Koruma Kurumu ve Kurul: Kurum, Kanunla kurulmuş, idari ve mali özerkliğe sahip kamu tüzel kişisidir. Kişisel Verileri Koruma Kurulu ise Kurumun karar organıdır; görev alanındaki şikâyetleri karara bağlar ve kişisel verilerin hukuka uygun işlenip işlenmediğini inceler. Kurum ile Kurul aynı kavram değildir. [6]
Başvurunun muhatabı kimdir? Bu yazıda ele alınan Kanun’un 13’üncü maddesi kapsamındaki talep, ilgili veri işleme faaliyeti bakımından veri sorumlusuna yöneltilir. Başvurunun operasyonel olarak bir çalışan veya hizmet sağlayıcı aracılığıyla ele alınması, veri sorumlusunun cevap verme yükümlülüğünü ortadan kaldırmaz. Kurula şikâyet ise veri sorumlusuna başvurudan sonraki ayrı hak arama yoludur. [3]
Yeni bir zorunluluk mu getirildi?
Cevabın yazılı olarak veya elektronik ortamda bildirilmesi, zaten 6698 sayılı Kanun’un 13’üncü maddesi ve Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’in 6’ncı maddesinde düzenleniyor. Güncel duyuru, mevcut yükümlülüğün sözlü iletişimle yerine getirilmiş sayılamayacağını vurguluyor. [1]
Telefonla iletişim kurmak yasak mı?
Hayır. Başvuruyu açıklığa kavuşturmak, ek bilgi veya belge istemek ya da süreç hakkında bilgi vermek için telefonla veya yüz yüze iletişim kurulabilir. Ancak başvurunun sonucunu bildiren cevap ayrıca yazılı olarak veya elektronik ortamda iletilmelidir. Kurum, bu yöntemin talebin sonucunu, ret gerekçesini ve bildirim tarihini denetlenebilir hâle getirdiğini belirtiyor. [1]
Bu açıklamadan çıkan pratik sonuç şudur: Görüşme yapıldığına ilişkin çağrı kaydı veya şirket içi not, başvuru sahibine mevzuata uygun cevap bildirildiğini tek başına göstermez.
Cevap hangi sürede ve nasıl verilmeli?
Başvurular, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırılmalıdır. Otuz gün, her başvuru için son güne kadar bekleme hakkı olarak değerlendirilmemelidir. Talep kabul edilmeli veya gerekçesi açıklanarak reddedilmelidir. [2]
Tebliğ uyarınca cevap yazısı; veri sorumlusu veya temsilcisinin bilgilerini, başvuru sahibine ilişkin zorunlu kimlik ve iletişim bilgilerini, talep konusunu ve başvuruya ilişkin açıklamaları içermelidir. Yalnızca başvurunun alındığını bildiren otomatik mesaj, talebi sonuçlandıran açıklamalar içermiyorsa nihai cevap olarak değerlendirilmemelidir. [2]
Şirketler açısından uygulama nasıl kurulmalı?
Hukuki değerlendirmemiz, başvuruların genel müşteri şikâyetlerinden ayırt edilerek takip edilmesi gerektiği yönündedir. Başvurunun ulaştığı tarih kaydedilmeli; talepler ilgili birimlere yönlendirilmeli; her talep için sonuç ve gerekçe hazırlanmalı; cevap bildiriminin kaydı saklanmalıdır.
Örneğin bir başvuruda hem verilerin kaynağı sorulmuş hem de silinmesi istenmişse, yalnızca silme talebine cevap verilmesi diğer sorunun da karşılandığını göstermez. Cevap hazırlanırken başvurudaki talepler ayrı ayrı kontrol edilmelidir. Bu yaklaşım, sonradan yapılacak incelemede hangi talebin nasıl ele alındığını ortaya koymayı kolaylaştırır.
Sadece sözlü cevap alan kişi ne yapabilir?
Önce veri sorumlusuna usulüne uygun başvuru yapılmış olması gerekir. Başvuru reddedilmişse, cevap yetersizse veya otuz gün içinde cevap verilmemişse Kurula şikâyet yolu kullanılabilir. Genel süre kuralı, cevabın öğrenilmesinden itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gündür. [3]
Sözlü görüşme üzerine yeniden yazılı cevap istemek, önceki başvuruya ilişkin şikâyet sürelerinin yeniden başladığı varsayımına dayanak yapılmamalıdır. Başvuru metni, teslim veya ulaşma kaydı, varsa cevap ve görüşme bilgileri birlikte saklanmalı; süre hesabı somut tarihler üzerinden yapılmalıdır.
Hukuki değerlendirme
KVKK başvurusunun yönetiminde, talebin incelenmesi kadar sonucun doğru biçimde bildirilmesi de önemlidir. Şirketlerin telefon görüşmesi sonunda dosyayı kapatması yerine, gerekçeli ve izlenebilir bir cevap süreci kurması gerekir. Başvuru sahipleri açısından ise sözlü açıklamayla yetinmeden başvuru ve bildirim kayıtlarını korumak, hak arama sürecinin sağlıklı yürütülmesine katkı sağlar.
Bu yazı, 3 Ekim 2026 itibarıyla genel hukuki bilgilendirme amacıyla hazırlanmıştır.
Kaynaklar
[1] KVKK: İlgili kişilerin başvurularına verilecek cevabın bildirim usulüne ilişkin kamuoyu duyurusu
[2] Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ, özellikle m. 5–6
[3] KVKK: Şikâyet hakkı