KVKK Başvurusuna Telefonla Cevap Verilebilir mi? Şirketlerin 30 Günlük Cevap Yükümlülüğü (2026)

KVKK kapsamında kişisel verilerine ilişkin başvuru yapan kişiye yalnızca telefonla veya yüz yüze cevap verilmesi yeterli değildir. Kişisel Verileri Koruma Kurumunun 1 Ekim 2026 tarihli duyurusuna göre veri sorumlusu, başvuruyu en geç 30 gün içinde sonuçlandırmalı ve kabul ya da gerekçeli ret şeklindeki nihai cevabını yazılı veya elektronik ortamda bildirmelidir. Sözlü görüşmeler yardımcı iletişim amacıyla yapılabilir; ancak kanuni cevap yerine geçmez. Cevap verilmezse veya yetersiz cevap verilirse ilgili kişi Kurula şikâyet yoluna gidebilir.

📅 Son güncelleme: 16 Ekim 2026

1 Ekim 2026 tarihli KVKK duyurusu neyi açıklıyor?

Kişisel Verileri Koruma Kurumu, ilgili kişilerin veri sorumlusuna yaptığı başvurulara verilecek cevapların bildirim usulü hakkında 1 Ekim 2026 tarihinde kamuoyu duyurusu yayımladı. Duyuruya göre bazı veri sorumlularının başvuruları yalnız telefon görüşmesi, yüz yüze açıklama veya benzeri sözlü iletişimle yanıtladığı tespit edilmiştir. Kurum, bu tür görüşmelerin KVKK m.13 ve Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ m.6 anlamında nihai cevap yerine geçmediğini hatırlattı.

Açıklama yeni bir kanun maddesi getirmiyor; zaten yürürlükte bulunan cevap usulünü ve uygulamada görülen hataları belirginleştiriyor. Bu nedenle 1 Ekim’den önce yapılan başvuruların geçersiz sayıldığı veya yeni bir başvuru türü oluşturulduğu sonucuna varılamaz. Duyuru yalnız işverenleri değil; e-ticaret şirketlerinden sağlık hizmeti sunuculara, muhasebe firmalarından üretim işletmelerine kadar bütün veri sorumlularını ilgilendirir.

KVKK başvurusuna telefonla cevap vermek yeterli mi?

Hayır. Veri sorumlusu başvuru sahibini arayarak açıklama yapabilir, eksik belge isteyebilir veya talebin kapsamını netleştirebilir; Kurum bu yardımcı iletişimi açıkça kabul etmektedir. Ancak başvuruyu kabul veya gerekçeli ret yönündeki nihai cevabını ilgili kişiye yazılı veya elektronik ortamda bildirmek zorundadır. Telefonda “talebinizi reddettik” denilmesi, kanunda öngörülen cevap bildiriminin yerini tutmaz. Müşteri hizmetleri hattında sözlü açıklama yapıp dosyayı kapatan şirketler bu uygulamayı gözden geçirmelidir.

30 günlük cevap süresi nasıl hesaplanır?

6698 sayılı Kanun m.13 uyarınca veri sorumlusu başvuruyu talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırmalıdır. Süre, başvurunun veri sorumlusuna ulaştığı tarihten işler. Başvurunun iç departmanlar arasında dolaştırılması süreyi yeniden başlatmaz; kimlik doğrulaması veya kapsam konusunda eksiklik varsa bu da gecikmeden ele alınmalıdır.

Örnek: 5 Ekim 2026’da kayıtlı elektronik posta ile ulaşan bir başvuru için son cevap günü 4 Kasım 2026’dır. Başvuru önce müşteri hizmetlerine, oradan hukuk birimine 20 Ekim’de iletilmişse süre 20 Ekim’den değil, yine 5 Ekim’den hesaplanır. Bu nedenle şirketin başvuru takip sisteminde geliş tarihi, son cevap tarihi, cevabın hazırlandığı tarih ve fiilî bildirim tarihi ayrı alanlarda tutulmalıdır.

Veri sorumlusuna başvuru hangi yollarla yapılabilir?

Tebliğ ve Kurumun usule ilişkin açıklamalarına göre başvuru yazılı olarak, kayıtlı elektronik posta (KEP) adresi üzerinden, güvenli elektronik imza veya mobil imza kullanılarak, veri sorumlusuna önceden bildirilmiş ve sistemde kayıtlı e-posta adresi üzerinden ya da başvuruya özgülenmiş yazılım ve uygulama yoluyla yapılabilir. Her elektronik mesajın koşulsuz geçerli başvuru sayıldığı varsayılmamalıdır; başvurunun kimden geldiğinin belirlenebilmesi ve Tebliğ’deki zorunlu bilgileri içermesi gerekir. Vekil aracılığıyla yapılan başvurularda temsil yetkisi belgelendirilmelidir.

Öte yandan veri sorumlusu usul eksikliği iddiasını kötüye kullanarak başvuruları sistematik biçimde cevapsız bırakmamalıdır. Kimlik doğrulaması gerekli ve ölçülü yöntemlerle yapılmalı, bu aşamada gereksiz kişisel veri istenmemelidir.

Yazılı veya elektronik cevap nasıl olmalı?

Tebliğ m.6 cevabın içeriğine ilişkin ayrıntılı kurallar öngörür. Cevapta veri sorumlusunun ve başvuru sahibinin bilgileri, talebin konusu, yapılan değerlendirme, kabul veya ret sonucu, ret varsa gerekçesi ve gerçekleştirilen işlemler açıkça yer almalıdır. Cevap talebin her unsurunu ayrı ayrı karşılamalıdır: kişi “verilerim hangi şirketlere aktarıldı?” diye sormuşsa “verileriniz KVKK’ya uygun işlenmektedir” demek talebin özünü karşılamaz. Başvurunun bir kısmı kabul, bir kısmı reddediliyorsa bu ayrım açıkça yazılmalıdır.

Elektronik cevap mümkündür; ancak kullanılan kanalın başvuru sahibiyle ilişkilendirilmesi ve bildirimin ispatlanabilir biçimde kayda alınması gerekir. Şirketin kendi sistemine “cevaplandı” notu düşmesi, cevabın ilgili kişiye gerçekten ulaştığını göstermez. Kişisel veri içeren cevabın yanlış alıcıya gönderilmesi de ayrı bir veri güvenliği ihlali doğurur; özellikle sağlık bilgisi gibi özel nitelikli veriler içeren eklerde uygun güvenlik tedbirleri alınmalıdır.

İlgili kişi hangi hakları kullanabilir?

KVKK m.11 uyarınca kişi, kendisiyle ilgili kişisel veri işlenip işlenmediğini öğrenme, işlenmişse bilgi isteme, işleme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme, verilerin aktarıldığı üçüncü kişileri bilme ve kanuni şartlar oluştuğunda düzeltme, silme veya yok etme talep etme gibi haklara sahiptir. Her talebin kabul edilmesi zorunlu değildir; fakat reddedilen talebin gerekçesi açıklanmalıdır. Silme talebi de mutlak değildir: kanuni saklama yükümlülüğü bulunan veriler belirli süre saklanırken diğerleri silinebilir.

Çalışan, eski çalışan ve müşteri başvuruları

İşveren, çalışanların özlük verileri, bordro bilgileri, erişim kayıtları ve iş amaçlı iletişim verileri bakımından veri sorumlusudur. İş ilişkisi sürüyor diye çalışanın KVKK haklarını kullanması engellenemez; iş ilişkisi sona erdi diye eski çalışanın başvurusu da görmezden gelinemez. Bununla birlikte her personel talebi KVKK m.13 başvurusu değildir; izin günü talebi ile verilerin kimlere aktarıldığını sorma talebi farklı süreçlere tabidir. Parmak izi ve yüz tanıma gibi biyometrik veriler hakkındaki başvurular özellikle hassastır; bu konu biyometrik mesai takibinde KVKK kuralları yazımızda ayrıca incelenmektedir.

Örnek 1 – Telefonda reddedilen silme talebi: Bir müşteri, kullandığı hizmet nedeniyle işlenen verilerinin silinmesini ister. Şirket temsilcisi müşteriyi arayıp “yasal nedenle silemeyiz” der ve başka bir cevap göndermez. 1 Ekim duyurusu uyarınca bu görüşme nihai cevap sayılmaz. Şirket, hangi verilerin hangi hukuki gerekçeyle saklandığını, hangilerinin silindiğini yazılı veya elektronik olarak bildirmelidir.

Örnek 2 – Eski çalışanın özlük dosyası talebi: İşten ayrılan çalışan, verilerinin hangi amaçla saklandığını ve kimlerle paylaşıldığını sorar. İşverenin “bütün belgeler arşivde, sorun yok” şeklindeki telefon açıklaması yeterli değildir; veri kategorileri, işleme amaçları, aktarımlar ve saklama gerekçeleri süresi içinde yazılı olarak açıklanmalıdır. Başvurunun bir işçilik alacağı uyuşmazlığıyla bağlantılı olması KVKK sürecini ortadan kaldırmaz.

Cevap verilmezse: Kurula şikâyet ve süreler

KVKK m.14 uyarınca ilgili kişi, veri sorumlusunun cevabını öğrendiği tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunabilir. Veri sorumlusuna başvuru yolunun tüketilmesi, kural olarak şikâyetin ön koşuludur.

Örnek: 5 Ekim 2026’da başvuran kişiye 20 Ekim’de yazılı ret cevabı ulaşırsa Kurula şikâyet için son gün 19 Kasım 2026’dır. Hiç cevap gelmezse 30 günlük cevap süresinin dolmasından sonra şikâyet yapılabilir; ancak her hâlde başvurudan itibaren 60 günlük süre 4 Aralık 2026’da dolar. Yalnız telefonla verilen cevapta “cevabın öğrenildiği tarih” tartışmalı hâle geleceğinden, başvuru sahibinin başvuru metnini, teslim kaydını ve gelen bütün yazışmaları saklaması gerekir.

Süresinde cevap verilmemesi, yalnız sözlü cevapla yetinilmesi veya gerekçesiz ret bildirilmesi şikâyet ve inceleme süreçlerinde veri sorumlusu aleyhine sonuç doğurabilir; ihlalin niteliğine göre Kanun’daki yaptırımlar gündeme gelebilir. Başvuruya usulüne uygun cevap vermek ile verileri hukuka uygun işlemek ayrı yükümlülüklerdir: biri diğerinin eksikliğini gidermez. Kurula şikâyet, verilerin işlenmesinden doğan zararın tazmini için yargı yoluna başvurmaktan da farklıdır; bu yolların koşulları ve süreleri birbirine karıştırılmamalıdır.

Şirketler için başvuru yönetimi

• Başvuru kanallarını erişilebilir biçimde duyurun; her başvuruya takip numarası verip geliş tarihini ve kanalını kaydedin.
• Başvuranın kimliğini ve talebin hangi verilere ilişkin olduğunu ölçülü yöntemlerle doğrulayın.
• Talebi KVKK m.11 kapsamında, işleme amacı ve hukuki dayanaklarıyla birlikte değerlendirin; sorumlu birimi belirleyin.
• Gerekçeli cevabı 30 gün içinde yazılı veya elektronik yolla gönderin; gönderim ve teslim kayıtlarını saklayın.
• Çağrı merkezi personeline sözlü açıklamanın nihai cevap olmadığını öğretin; süreyi aşma riski olan dosyalar için iç uyarı kurun.

Uygulamada en sık hatalar; başvurunun sıradan bir çağrı merkezi görüşmesi olarak kaydedilip KVKK talebi olarak sınıflandırılmaması, departmanlar arası aktarımda sürenin kaçırılması, taleple ilgisiz standart cevap verilmesi, ret gerekçesinin yalnız sözlü aktarılması ve gönderim kayıtlarının saklanmamasıdır. İşyerindeki diğer veri işleme konuları için çalışanın kurumsal e-postasının denetlenmesi ve işyerinde güvenlik kamerası ve KVKK rehberlerimize bakılabilir.

Adım adım: İlgili kişi olarak KVKK başvurusu ve takibi

1. Başvuruyu yazılı olarak, KEP, güvenli elektronik veya mobil imza ya da veri sorumlusunun sistemde kayıtlı e-posta adresi gibi kabul edilen bir kanal üzerinden yapın.
2. Dilekçede kimlik ve iletişim bilgilerinizi, hangi verilere ilişkin bilgi istediğinizi ve KVKK m.11 kapsamındaki talebinizi açıkça yazın.
3. Başvurunun veri sorumlusuna ulaştığı tarihi gösteren teslim kaydını saklayın ve 30 günlük son cevap gününü takvime işleyin.
4. Şirket sizi telefonla ararsa görüşmenin tarihini not edin ve nihai cevabın yazılı veya elektronik olarak gönderilmesini isteyin.
5. Gelen cevabın talebinizin her unsurunu karşılayıp karşılamadığını ve ret varsa gerekçesinin yazılı olup olmadığını kontrol edin.
6. Cevap gelmez veya yetersiz olursa, cevabı öğrendiğiniz tarihten itibaren 30 gün ve her hâlde başvurudan itibaren 60 gün içinde Kurula şikâyette bulunun.

Sık Sorulan Sorular

KVKK başvurusuna telefonda cevap verilmesi geçerli midir?

Hayır. Telefon görüşmesi yapılabilir ancak nihai cevap yazılı veya elektronik ortamda bildirilmelidir.

Şirketin cevap vermek için kaç günü vardır?

KVKK m.13 uyarınca talep en kısa sürede ve en geç otuz gün içinde sonuçlandırılmalıdır.

Başvuru reddedilebilir mi?

Evet, hukuki gerekçesi açıklanarak reddedilebilir. Gerekçe cevapta açık ve anlaşılır olmalıdır.

Şirket e-postayla cevap verebilir mi?

Evet. Kimlik, güvenlik ve ispatlanabilirlik şartları gözetilerek elektronik bildirim yapılabilir.

Başvuruya hiç cevap gelmezse ne yapılır?

KVKK m.14’teki süreler içinde, her hâlde başvurudan itibaren 60 gün dolmadan Kurula şikâyette bulunulabilir.

Bu duyuru yeni bir kanun değişikliği midir?

Hayır. Mevcut Kanun ve Tebliğ hükümlerindeki yazılı veya elektronik cevap yükümlülüğünü hatırlatır.

Sonuç

KVKK başvurusuna telefonla veya yüz yüze yapılan açıklama, kanuni cevap yerine geçmez. Veri sorumlusu başvuruyu en geç 30 gün içinde sonuçlandırmalı ve kabul ya da gerekçeli ret şeklindeki nihai cevabını yazılı veya elektronik ortamda, ispatlanabilir biçimde bildirmelidir. Süre başvurunun veri sorumlusuna ulaştığı tarihten işler; şirket içi aktarımlar süreyi yeniden başlatmaz. Cevap verilmezse veya yetersiz cevap verilirse ilgili kişi, cevabı öğrendiği tarihten itibaren 30 gün ve her hâlde başvurudan itibaren 60 gün içinde Kurula şikâyette bulunabilir.

Şirket ortaklığı, yönetim ve ticari uyuşmazlıklara ilişkin diğer rehberler için şirketler ve ticaret hukuku ana rehberimizdeki konu dizinine bakabilirsiniz.

Hukuki Uyarı: Bu içerik genel bilgilendirme amaçlıdır. Başvurunun usulü, cevap ve şikâyet süreleri somut olaya göre değerlendirilmelidir.