Kurul'dan Şikâyet veya Bilgi Talebi Yazısı Geldi: İlk 30 Günde Yapılması Gerekenler

Yazı Geldiğinde İlk Soru

Kişisel Verileri Koruma Kurumu'ndan gelen bir yazı, çoğu şirkette ilk kez karşılaşılan bir durumdur. Yazı genellikle kısa ve resmîdir; ne istendiği açık olsa da neden istendiği, hangi sürecin başladığı ve yanıtın hangi riskleri taşıdığı ilk okumada anlaşılmayabilir. KVKK Kurul yazısına cevap verirken yapılan ilk hatalar, sonraki aşamaları da belirler.

Bu rehberde yazının türünü anlamayı, ilk 48 saatte yapılacakları, iç inceleme ve kanıt toplamayı, savunma yazısının yapısını, sık yapılan hataları ve karar sonrası süreci ele alıyoruz. Kurul kararlarında yaptırımların en sık hangi senaryolarda geldiğini KVKK cezası alan şirketler, bir denetim raporundaki bulguların nasıl önceliklendirileceğini ise KVKK denetim raporu yazılarımızda anlattık.

Yazının türünü anlamak: şikâyet, ihbar, re'sen inceleme, bilgi talebi

KVKK md. 15/1'e göre Kurul, şikâyet üzerine veya ihlal iddiasını öğrenmesi durumunda re'sen, görev alanına giren konularda gerekli incelemeyi yapar. Yazının hangi yoldan geldiği, savunmanın odağını değiştirir. Yazının metninde genellikle bir dosya numarası, inceleme konusu ve istenen belgeler yer alır; bunlar türü anlamak için ilk ipuçlarıdır.

Şikâyet yolunun bir ön şartı vardır: KVKK md. 14/2'ye göre md. 13 uyarınca veri sorumlusuna başvuru yolu tüketilmeden şikâyet yoluna başvurulamaz. İlgili kişi, veri sorumlusunun cevabını öğrendiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde şikâyette bulunabilir. Bu nedenle şikâyet yazısı geldiğinde ilk kontrol, ilgili kişinin şirkete daha önce başvurup başvurmadığı ve bu başvurunun nasıl yanıtlandığıdır. Ancak bu ön şart yalnızca şikâyet yolu için geçerlidir; Kurul aynı konuyu re'sen de inceleyebilir.

Kurul Yazısının Türleri

Tablo bilgilendirme amaçlıdır; yazının türü ve kapsamı her dosyada ayrıca değerlendirilmelidir.

İlk 48 saat: sorumlu ekip, belge dondurma ve süre takibi

KVKK md. 15/3, devlet sırrı niteliğindeki bilgi ve belgeler hariç, veri sorumlusunun Kurul'un inceleme konusuyla ilgili istediği bilgi ve belgeleri on beş gün içinde göndermesini ve gerektiğinde yerinde inceleme yapılmasına imkân sağlamasını zorunlu tutar. Bu rehberin başlığındaki “ilk 30 gün” ifadesi bu nedenle bir bekleme süresi gibi okunmamalıdır; belge talebi içeren yazılarda asıl takvim on beş gündür.

Tebliğ tarihini kaydedin. Yazının şirkete ulaştığı tarih, kanal (örneğin KEP veya posta) ve teslim alan kişi not edilir. Süre hesabı bu tarihe dayanır.

Sorumlu ekibi kurun. Hukuk birimi veya avukat, KVKK sorumlusu ya da irtibat kişisi, olayla ilgili birimin yöneticisi ve gerekiyorsa bilgi işlem temsilcisi. Ekibin tek bir koordinatörü olmalıdır.

Belgeleri dondurun. Olayla ilgili log kayıtları, e-postalar, kamera kayıtları ve sistem kayıtları rutin silme ve üzerine yazma süreçlerinden ayrılarak korunur. Bu koruma, saklama ve imha politikasına not olarak eklenir; hakkın korunması amacıyla yapılan bu saklamanın gerekçesi yazılı olmalıdır.

Süre takvimini çıkarın. Belge gönderim tarihi, iç inceleme ara tarihleri ve yönetim onayı tarihi geriye doğru planlanır.

İletişim kuralını belirleyin. Kurum'la yazışmayı yalnızca yetkili kişi yürütür; çalışanların ilgili kişiyle konu hakkında gayriresmî temas kurmaması istenir.

İhlal olasılığını kontrol edin. Yazı, henüz bildirilmemiş bir veri ihlaline işaret ediyorsa, Kurul'un 2019/10 sayılı kararındaki 72 saatlik bildirim süresi ayrıca değerlendirilir.

İlk 48 saatin amacı yanıtı yazmak değil, yanıtın sağlıklı yazılabileceği koşulları kurmaktır. Bu aşamada olay hakkında kesin beyanlarda bulunmak, sonradan iç incelemeyle çelişen ifadelere yol açabilir.

Olayın iç incelemesi ve kanıt toplama

İç incelemenin çıktısı, olayın tarihli ve kanıtlı bir zaman çizelgesidir. Kurul'un sorularının çoğu bu zaman çizelgesinden yanıtlanır: veri ne zaman, kimden, hangi amaçla ve hangi hukuki sebeple toplandı; kimlere aktarıldı; ilgili kişi ne zaman başvurdu ve ne yanıt aldı; hangi tedbirler vardı ve olaydan sonra ne yapıldı?

Kanıt toplarken veri minimizasyonu ilkesi de geçerlidir. Kurul'a gönderilecek belgelerde inceleme konusuyla ilgisi olmayan başka kişilerin verileri maskelenmeli, yalnızca gereken kayıtlar sunulmalıdır. İnceleme bir veri ihlaliyle ilgiliyse, müdahale adımlarını veri ihlali müdahale planı yazımızdaki çerçeveyle karşılaştırabilirsiniz.

Toplanacak Kanıtlar

Savunma yazısının yapısı ve eklenecek belgeler

Savunma yazısı, Kurul'un sorularını sırayla ve kanıta dayanarak yanıtlayan, sade ve tutarlı bir metin olmalıdır. Genel ifadeler yerine somut tarih, belge ve sistem adları kullanılmalıdır. Aşağıdaki yapı, çoğu dosyaya uyarlanabilecek bir iskelettir.

Ekler numaralandırılmalı ve metinde ek numarasıyla atıf yapılmalıdır. Kurul'un sormadığı konularda uzun açıklamalar yerine, sorulan her maddeye ayrı başlıkla yanıt vermek okunabilirliği artırır. Ticari sır niteliğindeki belgeler gönderilecekse bu durum yazıda belirtilmelidir.

Savunma Yazısı İskeleti

İskelet kvkkrehberi.com tarafından hazırlanmış bir çalışma aracıdır; her dosyada Kurul yazısındaki sorular esas alınmalıdır. Somut olay özelinde hukuki değerlendirme alınmalıdır.

Sık yapılan hatalar: geç cevap, eksik belge, çelişkili beyan

Geç cevap: On beş günlük sürenin kaçırılması, KVKK md. 15/3'teki yükümlülüğün yerine getirilmemesi anlamına gelir. Süre yetmeyecekse, süre dolmadan Kurum'la yazılı iletişime geçilerek durum bildirilmelidir.

Eksik belge: İstenen bir belgenin “bulunamadı” notuyla gönderilmemesi, çoğu zaman o belgenin hiç olmadığı şeklinde değerlendirilir. Belge yoksa, bunun nedeni ve yerine geçen kanıt açıkça yazılmalıdır.

Çelişkili beyan: İlgili kişiye verilen yanıtta “verileriniz silindi” denilip Kurul'a gönderilen belgelerde aynı verinin hâlâ işlendiğinin görülmesi, savunmanın güvenilirliğini zayıflatır. Tüm beyanlar zaman çizelgesiyle karşılaştırılmalıdır.

Aşırı belge: Konuyla ilgisiz binlerce kaydın veya başka kişilerin verilerinin gönderilmesi, yeni bir veri işleme sorununa dönüşebilir.

Sadece hukuki savunma: Yalnızca hukuki argümanlara dayanıp olaydan sonra hiçbir düzeltici önlem almamak. Kurul, uygulamanın kendisine bakar.

İlgili kişiye baskı: Şikâyetçiyle şikâyetini geri çekmesi için temas kurmak. Bu, ayrı bir uyuşmazlık konusu yaratabilir.

Bu hataların çoğu, ilk 48 saatte ekip, kayıt koruma ve süre takvimi kurulmadığında ortaya çıkar. Denetimlerde en sık sorulan konuları önceden görmek için KVKK denetiminde en sık sorulan konular yazımıza göz atabilirsiniz.

Sonrası: karar, itiraz yolu ve düzeltici aksiyonlar

İnceleme sonunda Kurul'un önünde birkaç seçenek bulunur. KVKK md. 15/5'e göre ihlalin varlığı anlaşılırsa Kurul, tespit ettiği hukuka aykırılıkların veri sorumlusu tarafından giderilmesine karar verir ve bu karar tebliğden itibaren gecikmeksizin ve en geç otuz gün içinde yerine getirilir. İhlalin yaygın olduğu tespit edilirse md. 15/6 uyarınca ilke kararı alınabilir; telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılık olması hâlinde ise md. 15/7 uyarınca veri işlenmesinin veya yurt dışına aktarımın durdurulmasına karar verilebilir.

Ayrıca md. 18 kapsamındaki aykırılıklar için idari para cezası verilebilir. 7499 sayılı Kanun'la eklenen md. 18/3 uyarınca Kurulca verilen idari para cezalarına karşı idare mahkemelerinde dava açılabilir. KVKK ayrı bir süre öngörmediğinden, 2577 sayılı İdari Yargılama Usulü Kanunu md. 7'deki genel kural uyarınca dava açma süresi idare mahkemelerinde altmış gündür ve yazılı bildirimin yapıldığı tarihi izleyen gün başlar (İYUK). Süre hesabı ve dava stratejisi somut karar üzerinden avukatla birlikte değerlendirilmelidir; genel çerçeveyi KVKK itiraz süreci yazımızda anlattık. Güncel ceza tutarları için 2026 idari para cezaları yazımıza bakabilirsiniz.

Karar ne olursa olsun, inceleme sırasında ortaya çıkan eksikler bir aksiyon planına dönüştürülmelidir. Kurul talimatlarına uyulmaması md. 18/1-c uyarınca ayrıca yaptırıma bağlıdır; bu nedenle talimat içeren kararlarda otuz günlük süre, aksiyon planının ilk terminidir.

Destek Seçenekleri

Seçenekler birbirini dışlamaz; dosyanın türüne ve riskine göre birleştirilebilir.

Sonuç ve sonraki adım

KVKK Kurul yazısına cevap süreci, yazının türünü doğru okumakla başlar ve on beş günlük belge süresi etrafında kurulur. İlk 48 saatte ekip, kayıt koruma ve süre takvimi kurulduğunda iç inceleme sağlıklı yürür; kanıtlı bir zaman çizelgesine dayanan, çelişkisiz ve düzeltici önlemleri gösteren bir savunma, sürecin geri kalanını belirler.

Karar aşamasında dosyanızın türüne göre destek seçeneğini belirleyin. Olay bir süreç eksikliğinden doğduysa, savunmanın yanında kalıcı düzeltmeyi de planlamak gerekir; envanter, aydınlatma, güvenlik tedbirleri ve başvuru süreçlerini birlikte ele alan kapsamı standart KVKK uyum paketi sayfasında, bağımsız denetim ve inceleme desteğini KVKK denetimi hizmet sayfamızda inceleyebilirsiniz.

Sık Sorulan Sorular