KVKK Başvurusuna Telefonla Cevap Vermek Yeterli mi? 1 Ekim 2026 Duyurusu, 30 Günlük Süre ve Cevap Usulü
Sözlü yanıt KVKK başvurusuna cevap sayılmıyor. 1 Ekim 2026 duyurusu, 30 günlük sürenin başlangıcı, cevap yazısında bulunması zorunlu unsurlar ve Kurul kararları.
Kısa cevap: hayır. İlgili kişinin başvurusuna telefonda verilen yanıt, yüz yüze yapılan açıklama ya da çağrı merkezinin geri dönüşü, 6698 sayılı Kanun'un aradığı cevap sayılmıyor. Kişisel Verileri Koruma Kurumu bunu 1 Ekim 2026 tarihli kamuoyu duyurusunda açıkça yazdı: sözlü iletişim, Kanun'un 13. maddesi ve Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'in 6. maddesi uyarınca verilmesi gereken cevabın yerine geçmiyor. Telefon tamamen kapalı değil. Başvuruyu netleştirmek, eksik bilgi istemek veya süreci anlatmak için arayabilirsiniz. Ama nihai cevap yazılı olarak ya da elektronik ortamda gitmek zorunda; kabul edilen talepler tek tek belirtilmeli, reddedilenlerin gerekçesi açık ve anlaşılır biçimde yazılmalı.
Duyurunun arkasında Kuruma gelen şikâyetlerin incelenmesi var. Kurum, bazı veri sorumlularının başvuruları yalnızca telefonla, yüz yüze görüşmeyle veya benzeri sözlü yöntemlerle yanıtladığını tespit etmiş. Şirket tarafında mantık anlaşılır görünüyor: müşteri aradı, ilgili arkadaş durumu anlattı, konu kapandı. Hukuken kapanmıyor. Yazılı cevap, talebin kabul mü edildiğini yoksa reddedildiğini mi, reddin gerekçesinin ne olduğunu, hangi işlemin yapıldığını ve bunun hangi tarihte bildirildiğini kayda geçiriyor. İlgili kişinin Kurul'a şikâyet etme ve mahkemeye gitme imkânı da bu kayda dayanıyor. Sözlü görüşmede bunların hiçbiri belgelenmiyor. Altı ay sonra "biz zaten telefonda açıklamıştık" demenin bir karşılığı kalmıyor.
Otuz günlük sürenin nereden başladığı Tebliğ'in 5. maddesinde yazılı. Yazılı başvurularda süre, evrakın veri sorumlusuna veya temsilcisine tebliğ edildiği tarihte; diğer yöntemlerle yapılan başvurularda, başvurunun veri sorumlusuna ulaştığı tarihte işlemeye başlıyor. Kanun'un 13. maddesi ise talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırmayı istiyor. Buradaki ayrım çoğu şirkette kayboluyor: otuz gün azami süre, varsayılan değil. Basit bir ticari ileti çıkarma talebini yirmi dokuzuncu güne bırakmak, metnin aradığı "en kısa süre" ölçütüyle uyuşmuyor. İşlem kural olarak ücretsiz. Ayrıca bir maliyet doğuyorsa Tebliğ'in 7. maddesi devreye giriyor: yazılı cevapta on sayfaya kadar ücret alınmıyor, on sayfanın üzerindeki her sayfa için 1 TL işlem ücreti alınabiliyor, cevap CD veya flash bellek gibi bir kayıt ortamında veriliyorsa istenecek ücret kayıt ortamının maliyetini geçemiyor.
Cevap yazısının içinde ne bulunacağı da sayılmış durumda. Tebliğ'in 6. maddesi, veri sorumlusuna başvuruları etkin, hukuka ve dürüstlük kuralına uygun olarak sonuçlandırmak üzere gerekli her türlü idari ve teknik tedbiri alma yükümlülüğü getiriyor; cevap yazısında veri sorumlusunun bilgileri, başvuru sahibinin kimlik ve iletişim bilgileri, talep konusu ve veri sorumlusunun başvuruya ilişkin açıklamaları zorunlu unsurlar olarak aranıyor. Sahada en sık görülen hata, birden fazla talebin tek bir cümleyle geçiştirilmesi. Bir başvuruda genellikle üç dört ayrı istek olur: verilerin işlenip işlenmediğini öğrenmek, aktarıldığı üçüncü kişileri bilmek, ticari ileti listesinden çıkarılmak, kaydın silinmesini istemek. Bunların bir kısmını yerine getirip bir kısmını reddedebilirsiniz; reddettiğinizi gerekçesiyle yazmanız gerekir. "Talebiniz değerlendirilmiştir" cümlesi ne kabul ne ret anlamına geliyor.
Cevabı nereye ve nasıl gönderdiğiniz başlı başına bir risk kalemi, ama nadiren konuşuluyor. Kurul'un 5 Mayıs 2020 tarihli ve 2020/336 sayılı kararına konu olayda bir üniversite, kendisine yapılan başvuruya zamanında cevap vermemiş, sonradan gönderdiği yazıyı ise ilgili kişinin çalıştığı birime açık resmî yazı olarak iletmişti. Yazıda kişinin adı, unvanı ve sicil numarası görünüyor, evrak birimdeki personelin elinden geçiyordu. Kurul bunu önce Tebliğ'in 6. maddesindeki yükümlülüğe aykırı buldu. Daha ağır tespit ikincisiydi: cevabın bu şekilde gönderilmesi Kanun'un 3. maddesi anlamında bir veri işleme faaliyetiydi ve 5. maddede buna dayanak oluşturan bir şart yoktu. Yetkisiz kişilerin verilere erişmesi sonucunu doğurduğu için 12. maddenin birinci fıkrası bakımından da ihlal görüldü. Buradan çıkan kural kısa: cevap, başvuruda gösterilen tebligata esas adrese veya bildirime esas elektronik posta adresine, üçüncü kişilerin göremeyeceği biçimde gider.
Başvurunun hangi kanaldan geleceği de Tebliğ'de belirli. İlgili kişi talebini yazılı olarak, kayıtlı elektronik posta adresiyle, güvenli elektronik imzayla, mobil imzayla ya da daha önce veri sorumlusuna bildirdiği ve veri sorumlusunun sisteminde kayıtlı bulunan elektronik posta adresini kullanarak iletebiliyor; veri sorumlusu başvuru amacına yönelik bir yazılım veya uygulama da geliştirebiliyor. Başvuruda ad soyad, yazılıysa imza, T.C. kimlik numarası (yabancılar için uyruk, pasaport numarası veya varsa kimlik numarası), tebligata esas adres ve talep konusu bulunması zorunlu. Başvurunun Türkçe yapılması gerekiyor. İki ayrı hata burada doğuyor. Birincisi, sosyal medya mesajından veya genel bir iletişim adresinden gelen talebi usulsüz sayıp hiç dönmemek. İkincisi, kim olduğu doğrulanmamış birine başka birinin verilerini göndermek; bu artık başvuruyu cevaplamak değil, yeni bir ihlal üretmek olur. Doğrusu ortada: talebi aldığınızı ve hangi kanaldan iletilmesi gerektiğini yazılı bildirin, kimliği doğrulayın, sonra cevabı verin.
Peki hiç cevap vermezseniz ne oluyor? Burada çoğu kişinin beklediğinden farklı bir ayrıntı var. Kanun'un 18. maddesindeki kabahatler listesinde "başvuruya cevap vermemek" diye bir başlık yok. Liste dört kalemden oluşuyor: 10. maddedeki aydınlatma yükümlülüğü, 12. maddedeki veri güvenliği yükümlülükleri, 15. madde uyarınca Kurul tarafından verilen kararların yerine getirilmemesi ve 16. maddedeki Sicile kayıt ve bildirim yükümlülüğü. Yani cevapsız bırakılan bir başvuru, otuz birinci günde kendiliğinden idari para cezası doğurmuyor. Yol daha dolambaçlı, sonucu daha pahalı.
İşleyiş şöyle: ilgili kişi, 14. madde uyarınca veri sorumlusunun cevabını öğrendiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurul'a şikâyette bulunuyor. Şikâyet artık e-Devlet girişiyle kullanılan çevrim içi modül üzerinden de iletilebiliyor. Kurul inceleme sonunda ihlal görürse 15. maddenin beşinci fıkrası uyarınca hukuka aykırılığın giderilmesine karar veriyor ve bu karar, tebliğden itibaren gecikmeksizin ve en geç otuz gün içinde yerine getirilmek zorunda. Yerine getirilmezse 18. maddenin birinci fıkrasının (c) bendi devreye giriyor; 2026 yılında bu kalemdeki idari para cezası 427.263 TL ile 17.092.242 TL arasında uygulanıyor. Yazılmayan bir e-postanın bedeli buraya kadar uzayabiliyor.
Asıl risk dosyanın cevapsızlıkla sınırlı kalmaması. Kurul'un 14 Mayıs 2020 tarihli ve 2020/379 sayılı kararında bir tıp merkezi, internet sitesindeki tanıtım videosunda görüntü ve ses verileri yer alan eski çalışanının başvurusunu yanıtsız bırakmıştı. Başvuru 15 Ocak 2019'da veri sorumlusuna ulaşmış, otuz gün içinde cevap verilmemiş, videolar da sitede kalmaya devam etmişti. Kurumun yazılı savunma talebine de dönüş yapılmadı. Kurul, işleme sebebi ortadan kalkmış verilerin silinmemesini 12. maddenin birinci fıkrasındaki tedbirlerin alınmaması olarak değerlendirdi ve 18. maddenin birinci fıkrasının (b) bendi uyarınca 75.000 TL idari para cezası uyguladı; ayrıca verilerin silinmesi ve bundan sonraki başvuruların cevaplanmasında gerekli özenin gösterilmesi yönünde talimat verdi. Cezanın doğrudan sebebi cevapsızlık değildi. Dosyayı açan şey oydu.
Cevap vermek de tek başına yetmiyor, cevabın soruyu karşılaması gerekiyor. 3 Şubat 2021 tarihli ve 2021/85 sayılı kararda bir e-ticaret sitesi, hangi verilerinin işlendiğini, hangi amaçla ve ne kadar süreyle saklandığını, üçüncü kişilerle paylaşılıp paylaşılmadığını soran ilgili kişiye otuz günlük süre içinde yanıt vermişti. Usul tamamdı. İçerik değildi. Cevap, sitedeki genel kişisel veriler politikasına yapılan bir atıftan ibaretti ve politika metni ile cevap birbiriyle çelişiyordu; aktarım yapılan taraflar iki metinde farklı anlatılmıştı. Kurul, sitenin tamamını kapsayan genel politika metinlerinin aydınlatma yerine geçmediğini belirtti, aydınlatmaya ilişkin Tebliğ hükümlerinin ihlal edildiğini tespit etti ve 15. maddenin beşinci fıkrası uyarınca otuz gün içinde aykırılıkların giderilmesi talimatını verdi. "Detaylar web sitemizdeki politikada" cümlesi, somut bir soruya verilmiş somut bir cevap sayılmıyor.
Şirket tarafında kurulumu bir günde yapılacak işler var. Başvuru kanalınızı aydınlatma metninde ve web sitenizde açıkça gösterin; KEP adresiniz, başvuru formunuz ve tebligat adresiniz aynı yerde dursun. Gelen her başvuru için geliş tarihini, talep kalemlerini, kimlik doğrulama yöntemini, cevap tarihini ve gönderim kanıtını tutan basit bir kayıt tablosu açın, otuz gün için takvim hatırlatması kurun. Cevap şablonunuzu Tebliğ'in 6. maddesindeki zorunlu unsurlara göre hazırlayın ve her talep kalemi için ayrı bir satır bırakın. Müşteri hizmetleri ile çağrı merkezi ekibine tek cümlelik bir kural verin: telefonda bilgi verilebilir, cevap yazılı gider. Reddettiğiniz taleplerin gerekçelerini standart bir metin havuzunda toplayın, çünkü gerekçesiz bir ret ile hiç cevap vermemek arasında Kurul açısından büyük bir fark yok.
Başvuruyu yapan taraftaysanız tablo şöyle görünüyor: karşınıza yalnızca bir telefon görüşmesi çıktıysa elinizde cevap yok demektir, süreler işlemeye devam eder ve altmış günlük sınırı kaçırmamak için yazılı cevabı talep etmekte fayda var. Şirket tarafındaysanız, son altı ayda kaç ilgili kişi başvurusu aldığınızı ve bunların kaçına yazılı cevap gittiğini bilmiyorsanız başlanacak yer orası. KVKK Danışman'ın ücretsiz ön değerlendirmesinde başvuru akışınızı, cevap şablonunuzu ve kayıt düzeninizi birlikte gözden geçirebiliriz.