Bir müşteri, eski bir çalışan ya da iş başvurusu yapmış bir aday şirketinize yazıp kendisi hakkında hangi verileri tuttuğunuzu soruyor. Başvuru bir e-posta kutusuna, bir kargo zarfıyla santrale ya da çağrı merkezine düşüyor. Birkaç hafta sonra biri telefonla arayıp durumu sözlü olarak anlatıyor ve konu kapanmış sayılıyor.
Kişisel Verileri Koruma Kurumu, 1 Ekim 2026'da yayımladığı kamuoyu duyurusunda tam olarak bu uygulamaya dikkat çekti. Bu yazıda duyuruyu, dayandığı Kanun ve Tebliğ hükümlerini kaynaklarındaki ifadelerle özetliyor; ardından başvuru yanıtlama sürecinin nasıl izlenebilir ve kısmen otomatik bir iş akışına dönüştürülebileceğini ele alıyoruz. Yazı, kaynakların söylediklerini aktarır; hukuki danışmanlık yerine geçmez.
Duyuru ne diyor?
Kurum, şikâyetler üzerine yürüttüğü incelemelerde bazı veri sorumlularının ilgili kişi başvurularını yalnızca telefon, yüz yüze bilgilendirme ya da benzeri sözlü yöntemlerle cevapladığını gördüğünü belirtiyor. Duyuruya göre başvuru sürecinde ek bilgi veya belge istemek, başvuruyu netleştirmek ya da süreç hakkında bilgi vermek için ilgili kişiyle telefonda veya yüz yüze görüşmek mümkün. Ancak bu sözlü iletişim, mevzuatın aradığı cevap olarak kabul edilmiyor.
Duyuru, yazılı ya da elektronik cevabın neden önemli olduğunu da açıklıyor: talebin kabul edilip edilmediği, ret hâlinde gerekçeler, başvuru kapsamında yapılan işlemler ve cevabın hangi tarihte bildirildiği bu sayede açık, denetlenebilir ve ispatlanabilir hâle geliyor. Kurum bunu hem ilgili kişinin haklarını kullanabilmesi hem de şikâyet ve olası yargı süreçlerinde başvurunun belgelendirilebilmesi açısından önemli buluyor.
Duyurunun sonunda veri sorumlularından beklenenler dört başlıkta toplanıyor: başvuruları Kanun ve Tebliğ'deki usule uygun sonuçlandırmak, nihai cevabı yazılı veya elektronik ortamda bildirmek, sözlü yöntemlerin cevap sayılmayacağını gözetmek ve taleplerin hangi kapsamda karşılandığını açıkça, reddedilenlerin gerekçesini de anlaşılır biçimde yazmak.
Kanun ve Tebliğ'de süreler ve şartlar
Duyuru yeni bir kural koymuyor; mevcut hükümlere dikkat çekiyor. Bu hükümler şöyle:
Haklar (Kanun m.11). 6698 sayılı Kanun'un 11. maddesi, herkesin veri sorumlusuna başvurarak kişisel verisinin işlenip işlenmediğini öğrenme, işleme amacını sorma, verilerin aktarıldığı üçüncü kişileri bilme, eksik veya yanlış verinin düzeltilmesini ve şartları varsa silinmesini isteme, münhasıran otomatik sistemlerle yapılan analizin aleyhe sonucuna itiraz etme ve zararın giderilmesini talep etme gibi haklarını sayıyor.
Süre ve cevap (Kanun m.13). Kanun'a göre ilgili kişi taleplerini yazılı olarak veya Kurul'un belirleyeceği diğer yöntemlerle iletir. Veri sorumlusu talepleri, talebin niteliğine göre "en kısa sürede ve en geç otuz gün içinde" sonuçlandırır. Talebi kabul eder ya da gerekçesini açıklayarak reddeder ve cevabını yazılı olarak veya elektronik ortamda bildirir.
Başvuru kanalları ve tarihi (Tebliğ m.5). Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ, başvurunun yazılı olarak ya da kayıtlı elektronik posta (KEP), güvenli elektronik imza, mobil imza, veri sorumlusunun sisteminde kayıtlı e-posta adresi veya başvuru amacıyla geliştirilmiş bir yazılım ya da uygulama üzerinden iletilebileceğini sayıyor. Başvuruda ad-soyad (yazılıysa imza), kimlik numarası (yabancılar için uyruk ve pasaport numarası), tebligata esas adres, varsa bildirim için e-posta, telefon ve faks ile talep konusu bulunması zorunlu. Tebliğ'e göre yazılı başvurularda evrakın veri sorumlusuna veya temsilcisine tebliğ edildiği tarih, diğer yöntemlerde ise başvurunun veri sorumlusuna ulaştığı tarih başvuru tarihi sayılıyor.
Cevabın içeriği (Tebliğ m.6). Tebliğ, veri sorumlusunun başvuruları etkin, hukuka ve dürüstlük kuralına uygun sonuçlandırmak için gerekli idari ve teknik tedbirleri almakla yükümlü olduğunu belirtiyor. Cevap yazısında veri sorumlusu veya temsilcisinin bilgileri, başvuru sahibinin kimlik ve iletişim bilgileri, talep konusu ve veri sorumlusunun başvuruya ilişkin açıklamaları zorunlu unsurlar olarak sayılıyor. Talep kabul edilirse gereği en kısa sürede yerine getirilip ilgili kişiye bilgi veriliyor.
Sonraki adım (Kanun m.14). Başvuru reddedilir, cevap yetersiz bulunur ya da süresinde cevap verilmezse ilgili kişi, cevabı öğrendiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurul'a şikâyette bulunabiliyor. Kanun'a göre başvuru yolu tüketilmeden şikâyet yoluna gidilemiyor. Bu nedenle başvuru aşaması, olası bir incelemede ilk bakılacak kayıt hâline geliyor.
Neden bir süreç, neden otomasyon?
Orta ve büyük ölçekli bir şirkette başvurular tek bir kapıdan gelmez. Kurumsal e-posta, KEP adresi, şube veya genel merkez evrakı, web formu ve müşteri hizmetleri aynı anda giriş noktası olabilir. Duyurunun vurguladığı denetlenebilirlik ve ispatlanabilirlik, bu dağınık girişlerin tek bir kayıtta toplanmasını ve her adımın tarihli izinin tutulmasını gerektirir.
Bu iş tekrarlı, kuralları belli ve süreye bağlı. Bu da onu süreç otomasyonu için uygun bir aday yapıyor. Otomasyonun amacı karar vermek değil; başvuruyu kaybolmaktan, süreyi kaçırılmaktan ve cevabı eksik unsurla gönderilmekten korumak. Kabul ya da ret kararı ve gerekçesi, yetkili kişilerin değerlendirmesine kalır.
Genel bir iş akışı: altı adım
Aşağıdaki çerçeve, kaynaklardaki şartlardan türetilmiş genel bir iş akışıdır; belirli bir ürüne bağlı değildir ve her kurumun kendi yapısına uyarlanması gerekir.
- Tek kayıt. Tüm kanallardan gelen başvurular tek bir başvuru kaydına dönüşür. Her kayda benzersiz bir numara, giriş kanalı ve Tebliğ'deki tanıma göre başvuru tarihi işlenir. Fiziksel evrak taranarak aynı kayda bağlanır.
- Zorunlu alan ve kimlik kontrolü. Kayıt açılırken Tebliğ'in saydığı zorunlu bilgilerin bulunup bulunmadığı kontrol edilir. Başvuranın gerçekten ilgili kişi olduğunun teyidi için kurumun belirlediği yöntem uygulanır; eksik bilgi isteniyorsa bu talep ve tarihi kayda geçer. Duyuruya göre bu tür ek bilgi talepleri telefonla da yapılabilir, ancak görüşmenin notu kayda eklenmelidir.
- Süre takibi. Kayıt, başvuru tarihinden itibaren otuz günlük üst sınıra göre bir son tarih taşır. Ara uyarılar (örneğin sürenin yarısında ve son haftasında) sorumlu kişiye ve yöneticisine gider. Kanun'daki en kısa sürede ifadesi, son günü beklemeyen bir hedef süre belirlemeyi anlamlı kılar.
- Veri toplama ve yanıt şablonu. Talebin türüne göre (bilgi, düzeltme, silme, itiraz) ilgili sistem sahiplerinden bilgi istenir. Cevap, Tebliğ'in m.6/4'teki zorunlu unsurlarını içeren bir şablondan üretilir: veri sorumlusu bilgileri, başvuru sahibinin bilgileri, talep konusu ve açıklama. Şablonda kabul edilen ve reddedilen talepler ayrı bölümlerde, ret gerekçesi açık bir alanda yer alır.
- İnsan onayı. Cevap, gönderilmeden önce veri koruma sorumlusu veya hukuk biriminin onayından geçer. Silme ya da düzeltme gibi talepler kabul edildiyse, işlemin gerçekten yapıldığının kanıtı onay adımına eklenir.
- Bildirim ve arşiv. Cevap yazılı olarak veya elektronik ortamda gönderilir; gönderim tarihi ve kanalı kayda işlenir. Başvuru, ekleri, ara yazışmalar, onay ve cevap aynı dosyada arşivlenir. Bu dosya, duyurunun saydığı soruların (kabul mü ret mi, gerekçe ne, hangi işlem yapıldı, hangi tarihte bildirildi) tek yerden yanıtlanmasını sağlar.
Bu adımların bir kısmı, örneğin kanal toplama, son tarih hesaplama, uyarı ve şablon doldurma, yazılım robotları veya iş akışı araçlarıyla otomatikleştirilebilir. Kimlik teyidi, ret gerekçesi ve onay ise kurum içinde yetkilendirilmiş kişilerde kalmalıdır.
Sonuç
KVKK'nın 1 Ekim 2026 duyurusu yeni bir yükümlülük getirmiyor; mevcut kuralı netleştiriyor: başvuruya verilen cevap yazılı ya da elektronik olmalı, otuz günlük üst sınır içinde verilmeli ve kabul, ret ve gerekçeyi açıkça göstermeli. Bunu her seferinde elle hatırlamak yerine kayıt, süre takibi, şablon, onay ve arşivden oluşan bir akışa bağlamak hem riski azaltır hem de ekibin yükünü hafifletir.
Orient Global'in bakışıyla önerimiz basit: önce son birkaç ayın başvurularını hangi kanaldan geldiğine ve kaç günde yanıtlandığına göre listeleyin. Ardından tek kayıt ve süre takibi adımlarını kurun; otomasyonu bu iki adımın üzerine, onay noktalarını koruyarak ekleyin.
#interimmanagement #forwarddeployedengineering