KVKK Hakları 2026: Başvuru, Süreler ve Şikâyet Yolu

Onur Bey aylardır tanımadığı şirketlerden reklam mesajı alıyordu. Numarasını nereden bulduklarını sordu, cevap gelmedi. Yazılı başvurusunu yaptıktan 30 gün sonra yanıt gelmeyince Kurul'a şikâyette bulundu; verileri silindi ve mesajlar kesildi. Süreç boyunca tek kuruş ödemedi.

KVKK, kişisel verileri üzerinde herkese somut haklar tanıyan bir kanundur ve bu haklar başvuru yapıldığında işler. Aşağıda hangi haklara sahip olduğunuzu, başvurunun nasıl yapılacağını, süreleri ve sonuç alamadığınızda izleyeceğiniz yolu anlatıyoruz.

Başvurunuzu yazılı yapmanız gerekiyor; bilgi edinme başvurusu şablonumuzun yapısını uyarlayarak hazırlayabilirsiniz.

KVKK Nedir, Kimleri Kapsar?

KVKK, kişisel verilerin işlenmesinde temel hak ve özgürlükleri korumak ve verileri işleyenlerin yükümlülüklerini belirlemek amacıyla çıkarılmış bir kanundur. Kısaltma, 6698 sayılı Kişisel Verilerin Korunması Kanunu ifadesinden gelir ve günlük dilde bu adla anılır.

Kapsamı çok geniştir. Kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin her türlü bilgi kişisel veri sayılır; ad, telefon, adres, kimlik numarası, konum, ses kaydı ve internet gezinme bilgileri bu kapsamdadır.

Yalnızca gerçek kişilerin verileri korunur; şirketlere ait bilgiler kişisel veri sayılmaz. Buna karşılık bir şirket yetkilisinin adı, telefonu ve e-postası yine kişisel veridir ve aynı korumadan yararlanır.

Veriyi işleyen taraf veri sorumlusu adını alır ve şirketler, kamu kurumları, dernekler ile serbest çalışanlar bu sıfatı taşıyabilir. Yükümlülükler ölçeğe göre değişse de kanunun kapsamı dışında kalmak neredeyse imkânsızdır.

KVKK Kapsamında Hangi Haklara Sahipsiniz?

Kanun, ilgili kişi sıfatıyla size sayılı ve somut haklar tanır. Bu haklar talep edildiğinde işler; veri sorumlusunun kendiliğinden harekete geçmesi beklenmez.

• Bilgi talep etme: verinizin işlenip işlenmediğini öğrenme
• Amaç sorgulama: işlenmişse hangi amaçla ve amaca uygun kullanılıp kullanılmadığını öğrenme
• Aktarım bilgisi: yurt içinde veya yurt dışında kimlere aktarıldığını bilme
• Düzeltme: eksik veya yanlış işlenmişse düzeltilmesini isteme
• Silme ve yok etme: işlenmeyi gerektiren sebepler ortadan kalktığında
• Bildirim: düzeltme ve silme işleminin aktarılan üçüncü kişilere bildirilmesini isteme
• İtiraz: otomatik sistemlerle yapılan analiz sonucu aleyhinize çıkan sonuca itiraz etme
• Tazminat: hukuka aykırı işleme nedeniyle uğradığınız zararın giderilmesini isteme

Son maddedeki tazminat hakkı, diğer haklardan bağımsız olarak genel hükümlere göre kullanılır. Silme talebiniz karşılansa bile, ihlalden doğan zararınız için ayrıca dava açabilirsiniz.

KVKK Başvurusu Nasıl Yapılır?

Süreç veri sorumlusuna yapılan başvuruyla başlar ve bu adım atlanamaz. Doğrudan Kurul'a yapılan şikâyetler, önce veri sorumlusuna başvurulmadığı gerekçesiyle işleme alınmaz.

Başvuru yazılı olarak ya da Kurul'un belirlediği diğer yöntemlerle yapılır. Kayıtlı elektronik posta, güvenli elektronik imzalı e-posta, veri sorumlusuna daha önce bildirdiğiniz e-posta adresi ve iadeli taahhütlü posta bu yöntemler arasındadır.

Başvuruda neler bulunmalı?

Metinde ad soyad, imza, Türkiye Cumhuriyeti kimlik numarası, tebligata esas adres ile varsa e-posta ve telefon bilgisi yer almalıdır. Talebinizi de açık biçimde yazmanız gerekir.

Başvuru metnini tek sayfada tutun ve talebinizi madde madde numaralandırın; birden fazla talebi tek paragrafa sıkıştıran başvurular çoğu zaman yalnızca bir kısmına yanıt alıyor.

Talebi somutlaştırın. "Verilerim hakkında bilgi istiyorum" ifadesi yerine hangi veriyi, hangi dönem için ve hangi amaçla sorguladığınızı belirtin; belirsiz başvurular hem geç yanıtlanır hem eksik karşılanır.

KVKK Başvurusuna Ne Kadar Sürede Yanıt Verilir?

Veri sorumlusu, talebinizi niteliğine göre en kısa sürede ve en geç 30 gün içinde ücretsiz olarak sonuçlandırmakla yükümlüdür. İşlemin ayrıca bir maliyet gerektirmesi hâlinde Kurul'un belirlediği tarifedeki ücret alınabilir.

Talep reddedilir, verilen yanıt yetersiz bulunur ya da süresinde yanıt verilmezse şikâyet yolu açılır. Şikâyet, yanıtı öğrendiğiniz tarihten itibaren 30 gün ve her hâlde başvuru tarihinden itibaren 60 gün içinde Kurul'a yapılır.

Aşama	Süre	Not
Veri sorumlusuna başvuru	Zorunlu ilk adım	Yazılı ya da Kurul yöntemleriyle
Yanıt süresi	En geç 30 gün	Kural olarak ücretsiz
Kurul'a şikâyet	30 gün içinde	Yanıtı öğrenmeden itibaren
Azami şikâyet süresi	60 gün	Başvuru tarihinden itibaren
Veri ihlali bildirimi	72 saat	Veri sorumlusunun yükümlülüğü

Onur Bey'in dosyası bu takvimin nasıl işlediğini gösteriyor. Başvurusuna 30 gün içinde yanıt gelmeyince şikâyet hakkı doğdu ve süreç Kurul aşamasına taşındı.

Açık Rıza ile Aydınlatma Yükümlülüğü Farkı

İki kavram sıkça karıştırılır ve bu karışıklık pek çok uygulamayı hukuka aykırı hâle getirir. Aydınlatma, veri sorumlusunun sizi bilgilendirme yükümlülüğüdür ve her hâlde yerine getirilmesi gerekir.

Açık rıza ise belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan onaydır. Kanunda sayılan işleme şartlarından biri varsa açık rıza aranmaz; yani her veri işleme faaliyeti için rıza istemek doğru bir uygulama değildir.

Aydınlatma metninin ne zaman sunulacağı da önemlidir; bilgilendirme, veri işleme faaliyetinden önce ya da en geç o anda yapılmalıdır. Sonradan gönderilen aydınlatma metinleri yükümlülüğü karşılamaz.

Rızanın hizmet şartına bağlanması da kabul edilmez. Bir hizmetten yararlanmanız, gereksiz veri işlemeye onay vermenize bağlanamaz; böyle bir uygulama özgür irade şartını ortadan kaldırır.

Rızayı geri alabilir misiniz?

Geri alma, o ana kadar hukuka uygun biçimde yapılmış işlemleri geçersiz kılmaz; yalnızca ileriye dönük olarak sonuç doğurur.

Açık rıza her zaman geri alınabilir ve bu talebiniz üzerine işleme faaliyeti durdurulur. Geri alma bildiriminizi yazılı yapın ve tarihini saklayın; sonraki işlemler için dayanağınız bu tarih olacaktır.

Veri İhlali Olduğunda Ne Olur?

İşlenen verilerin hukuka aykırı biçimde başkaları tarafından ele geçirilmesi hâlinde veri sorumlusu, bunu en kısa sürede ve 72 saat içinde Kurul'a bildirmekle yükümlüdür. İlgili kişilere de bildirim yapılması gerekir.

Bildirim yükümlülüğü yalnızca büyük ölçekli sızıntılar için değil, tek bir kişiyi etkileyen ihlaller için de geçerlidir. Yanlış kişiye gönderilen bir e-posta ya da kaybolan bir dosya da veri ihlali oluşturabilir.

Kurul, ihlal bildirimlerini kendi internet sitesinde duyurabilir. Verilerinizin bulunduğu bir şirkette ihlal yaşandığını öğrendiğinizde şifrelerinizi değiştirin ve hesaplarınızı kontrol edin.

Sızan verilerin arasında kimlik numarası ve iletişim bilgisi varsa dolandırıcılık girişimlerine karşı da tetikte olun; bu tür ihlallerin ardından hedefli aramalar ve mesajlar belirgin biçimde artıyor.

İhlal nedeniyle zarara uğradıysanız tazminat talep edebilirsiniz. Bankacılık işlemlerinizde bir sorun doğduysa banka şikâyeti rehberimizdeki adımları da izleyin.

Şirketler İçin KVKK Yükümlülükleri

Veri sorumlusu sıfatı taşıyorsanız yükümlülükleriniz yalnızca başvurulara yanıt vermekle sınırlı değildir. Kanun, veri işleme faaliyetinin tamamı için bir çerçeve çizer.

1. Aydınlatma metni hazırlayın. Veri toplanan her noktada ilgili kişi bilgilendirilmelidir.
2. Hukuki dayanağı belirleyin. Her işleme faaliyeti için kanundaki şarta dayanmanız gerekir.
3. Veri envanteri çıkarın. Hangi veriyi, neden ve ne kadar süre tuttuğunuzu yazın.
4. Saklama ve imha politikası oluşturun. Süresi dolan veriler silinmelidir.
5. Teknik ve idari tedbirleri alın. Erişim yetkileri, şifreleme ve loglama bu kapsamdadır.
6. VERBİS kaydınızı yapın. Kapsama giriyorsanız sicile kayıt zorunludur.

Ölçeğiniz küçük olsa bile bu adımların çoğu zorunludur; yalnızca VERBİS kaydı gibi bazı yükümlülükler belirli eşiklerin altındaki veri sorumluları için aranmaz. Muafiyet kapsamında olup olmadığınızı Kurul'un yayımladığı ölçütlerden kontrol edin.

Yükümlülüklerin ihlali idari para cezasına yol açar ve tutarlar her yıl güncellenir. Cezanın büyüklüğü kadar itibar kaybı da dikkate alınmalı; ihlal duyuruları kamuya açık biçimde yayımlanıyor.

KVKK Kapsamında Özel Nitelikli Veriler

Bazı veri türleri, ihlal edildiğinde kişiye çok daha ağır zarar verdiği için kanunla özel korumaya alınmıştır ve bunların işlenmesi daha katı şartlara bağlanmıştır. Bu kategori özel nitelikli kişisel veri olarak adlandırılır.

Bu ayrımı bilmek pratikte işinize yarar; özel nitelikli bir verinizin izinsiz işlendiğini fark ettiğinizde başvurunuzda bu niteliği açıkça belirtin, çünkü değerlendirme çok daha katı ölçütlerle yapılır.

Kapsama ırk, etnik köken, siyasi düşünce, felsefi inanç, din ve mezhep, kılık kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık ve cinsel hayat bilgileri, ceza mahkûmiyeti ile biyometrik ve genetik veriler girer.

Bu veriler kural olarak ilgili kişinin açık rızası olmadan işlenemez; kanunda öngörülen sınırlı istisnalar dışında başka bir dayanağa başvurulamaz. Sağlık verileri bakımından ise sır saklama yükümlülüğü altındaki kişiler tarafından işlenmesi gibi ek şartlar aranır.

İşyerinde sağlık verisi paylaşımı

İşe giriş sırasında istenen sağlık raporları ve engellilik belgeleri özel nitelikli veri kapsamındadır. İşverenin bu belgeleri isteyebilmesi mümkündür, ancak yalnızca yasal yükümlülüğün gerektirdiği ölçüde ve gerekli güvenlik tedbirleri alınarak saklanması gerekir.

Sağlık raporunuzun İnsan Kaynakları dışında kişilerle paylaşıldığını fark ederseniz, bu bir ihlal oluşturabilir. Yazılı başvuruyla erişim yetkilerinin sınırlandırılmasını ve gerekiyorsa verinin silinmesini talep edebilirsiniz.

KVKK ile Bilgi Edinme Hakkı Arasındaki Fark

İki hak sıkça karıştırılır, oysa muhatapları ve kapsamları farklıdır. Bilgi edinme hakkı kamu kurumlarına karşı kullanılır ve kurumun elindeki her türlü bilgiye ulaşmayı hedefler; KVKK ise yalnızca sizin kişisel verilerinize ilişkindir ve özel sektörü de kapsar.

Bir kamu kurumunun elindeki kendi verilerinize ulaşmak istiyorsanız her iki yolu da kullanabilirsiniz. KVKK başvurusu verinin nasıl işlendiğine odaklanırken, bilgi edinme başvurusu belgenin içeriğine ulaşmanızı sağlar.

İki başvuruyu aynı anda yapmanızda da bir engel yoktur ve süreler birbirinden bağımsız işler; birinden sonuç alamazsanız diğeri devam eder.

Hangi yolu seçeceğiniz talebinize bağlıdır. Verilerinizin silinmesini istiyorsanız KVKK, bir işlemin gerekçesini öğrenmek istiyorsanız bilgi edinme başvurusu şablonumuz daha uygun olur. Kamu kurumuyla ilgili genel bir şikâyetiniz varsa CİMER şikâyet dilekçesi şablonumuzu da değerlendirebilirsiniz.

KVKK Başvurusunda Sık Yapılan Hatalar

Sonuç alamayan başvuruların sebepleri birbirinin tekrarı:

• Doğrudan Kurul'a gitmek. Önce veri sorumlusuna başvurmak zorunludur.
• Sözlü talepte bulunmak. Çağrı merkezi görüşmesi başvuru sayılmaz.
• Talebi belirsiz bırakmak. Hangi verinin hangi işlemi istendiği yazılmalıdır.
• Kimlik bilgisi eksik vermek. Başvuru sahibinin doğrulanması gerekir.
• 60 günlük azami süreyi kaçırmak. Şikâyet hakkı sona erer.
• Belgeleri saklamamak. Başvuru tarihi ve gönderim kaydı kritiktir.

Altıncı madde de sürecin sonunu belirler. Başvurunuzun hangi tarihte gönderildiğini gösteren kayıt bulunmadığında, 30 günlük yanıt süresinin dolup dolmadığını ispatlayamazsınız ve şikâyet başvurunuz bu nedenle reddedilebilir; gönderi kaydını ve varsa kayıt numarasını mutlaka saklayın.

İkinci madde en yaygın olanıdır. Şirketi arayıp verilerinizin silinmesini istemek hukuken bir başvuru sayılmaz ve süre işlemeye başlamaz; talebinizi mutlaka yazılı ve kayıt bırakan bir kanaldan iletin.

Sıkça Sorulan Sorular

KVKK başvurusu ücretli mi?

Kural olarak ücretsizdir. Talebinizin yerine getirilmesi ayrıca bir maliyet gerektiriyorsa Kurul tarafından belirlenen tarifedeki ücret istenebilir; bu tutar sembolik düzeyde kalır. Kurul'a yapılan şikâyet başvurusu da ücretsizdir. Bir şirket size başvuru için ücret talep ediyorsa dayanağını sorun.

Verilerimin tamamen silinmesini isteyebilir miyim?

İşlenmeyi gerektiren sebepler ortadan kalktığında silinmesini talep edebilirsiniz. Ancak kanunda öngörülen saklama süreleri devam ediyorsa veri sorumlusu bu süre boyunca veriyi tutmak zorundadır; örneğin vergi mevzuatı bazı kayıtların yıllarca saklanmasını gerektirir. Bu durumda veri silinmez ama yalnızca yasal yükümlülük için kullanılabilir.

İşverenim verilerimi nasıl işleyebilir?

İş sözleşmesinin kurulması ve ifası ile kanuni yükümlülüklerin yerine getirilmesi kapsamındaki veri işleme için açık rıza aranmaz. Buna karşılık bu kapsamı aşan işlemler, örneğin çalışan konumunun sürekli takibi ya da özel nitelikli veri toplanması, ayrı bir değerlendirme gerektirir. Aydınlatma metni size sunulmadıysa bunu talep edebilirsiniz.

Kamera kayıtları kişisel veri mi?

Görüntünüz kimliğinizi belirlenebilir kıldığı için kamera kayıtları kişisel veridir ve KVKK kapsamındadır. Kamera bulunan alanlarda bilgilendirme levhası konulması, kayıtların belirli süreyle sınırlı tutulması ve erişimin yetkilendirilmesi gerekir. Kendi görüntünüze ilişkin bilgi talep edebilir, hukuka aykırı işleme varsa silinmesini isteyebilirsiniz.

Şikâyetim ne kadar sürede sonuçlanır?

Kurul, şikâyeti inceleyerek sonuçlandırır ve inceleme süresi dosyanın niteliğine göre değişir. Talep hakkında kanunda öngörülen süre içinde cevap verilmemesi hâlinde başvuru reddedilmiş sayılır. Bu yüzden şikâyetinizi belgeli ve düzenli sunmanız, incelemenin hızlanmasına doğrudan katkı sağlar.

Çerez politikası KVKK kapsamında mı?

İnternet sitelerinde kullanılan çerezler, ziyaretçiyi belirlenebilir kıldığı ölçüde kişisel veri işleme faaliyeti oluşturur ve KVKK kapsamına girer. Sitenin çalışması için zorunlu olan çerezler için açık rıza aranmazken, pazarlama ve analiz amaçlı çerezler için rıza alınması gerekir. Rızanın önceden işaretlenmiş kutucuklarla alınması geçerli sayılmaz; ziyaretçinin aktif bir tercihte bulunması gerekir. Site sahibiyseniz çerez politikası şablonumuzu kullanabilirsiniz.

Verilerimin yurt dışına aktarılmasına itiraz edebilir miyim?

Yurt dışına aktarım, kanunda öngörülen şartlar sağlandığında mümkündür ve bu şartlar yurt içi aktarıma göre daha katıdır. Aktarımın hangi ülkeye ve hangi dayanakla yapıldığını öğrenme hakkınız bulunur; bu bilgiyi başvurunuzda açıkça talep edin. Aktarım hukuka aykırı biçimde yapılıyorsa durdurulmasını ve verilerinizin silinmesini isteyebilir, sonuç alamazsanız Kurul'a şikâyette bulunabilirsiniz.

Mevzuatı nereden doğrularım?

Kanun metnine ve ikincil düzenlemelere Kişisel Verileri Koruma Kurumu sayfasından ulaşabilirsiniz; kurum ayrıca karar özetleri ve rehberler yayımlıyor. Kanun metninin güncel hâli için Mevzuat Bilgi Sistemi sayfasını, değişiklikler için Resmî Gazete arşivini kullanın.

Onur Bey'in aylardır çözemediği sorun, tek bir yazılı başvuru ve ardından yapılan şikâyetle bitti. KVKK hakları güçlü, ancak kendiliğinden işlemiyor. Rahatsız olduğunuz bir veri işleme varsa önce veri sorumlusuna yazın, tarihini not edin ve 30 günü takviminize işleyin; sürecin tamamı buradan başlıyor. Haklarınızı kullanmanın size hiçbir maliyeti yok; kullanmamanın maliyeti ise her gün biraz daha artıyor.