KVKK Kurumundan Bilgi ve Belge Talebi Geldiğinde Ne Yapılmalı?

KVKK Kurumundan bilgi ve belge talebi alan veri sorumlusu, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 15. maddesi, devlet sırrı niteliğindeki bilgi ve belgeler dışında, Kurulun inceleme konusuyla ilgili istediği bilgi ve belgelerin on beş gün içinde göndermeli ve gerektiğinde yerinde incelemeye imkân sağlamalıdır.[1]

Bu süre içinde istenen kayıtların farklı birimlerden toplanması, logların korunması, veri işleyenlerden bilgi alınması, cevapların belgelerle karşılaştırılması, ilgisiz kişisel verilerin ayıklanması ve eklerin güvenli kanaldan iletilmesi gerekir. Eksik veya çelişkili bir cevap, maddi olayın yanlış anlaşılmasına; hiç cevap verilmemesi ise incelemenin veri sorumlusunun açıklaması olmadan yürütülmesine yol açabilir.[2][3]

Bu rehber; Kurum yazısını fiilen almış şirketler, dernekler, vakıflar, meslek kuruluşları ve kamu kurumları bakımından ilk 24 saat, cevap dosyasının kurulması, süre yönetimi, veri güvenliği, yerinde inceleme ve takip başlıklarına odaklanır. Genel uyum altyapısının nasıl kurulacağı ayrıca KVKK uyum süreci rehberinde incelenmiştir.[1][7]

KVKK Kurumundan Gelen Her Yazı Aynı Nitelikte midir?

Hayır. Yazının başlığında “bilgi ve belge talebi” ifadesinin bulunması tek başına sürecin tamamını açıklamaz. Yazı;[1][2]

ilgili kişinin şikâyeti üzerine başlatılan Kurul incelemesine,[1][2]
Kurulun resen yürüttüğü bir incelemeye,[1][2]
kişisel veri ihlali bildiriminin ardından istenen tamamlayıcı bilgilere,[1][2]
daha önce verilen cevaptaki eksik veya çelişkilerin giderilmesine,[1][2]
belirli bir Kurul kararının uygulanıp uygulanmadığının kontrolüne,[1][2]
yerinde inceleme öncesi hazırlığa,[1][2]
veri sorumlusunun veya temsilcisinin tanıtılmasına[1][2]

ilişkin olabilir.[1][2]

Bu ayrım önemlidir. Çünkü istenecek belgelerin türü, cevapta kurulacak hukuki çerçeve ve gecikmenin sonucu sürecin niteliğine göre değişebilir. Bir bilgi ve belge talebi, doğrudan bir idari para cezası kararıyla aynı şey değildir. Bir Kurul kararı, yalnızca açıklama istenen ilk yazıdan farklı olarak belirli bir işlemin yapılmasını veya hukuka aykırılığın giderilmesini emredebilir. Kanun, ihlalin tespiti üzerine verilen bu kararın tebliğden itibaren gecikmeksizin ve en geç otuz gün içinde yerine getirilmesini öngörür.[1]

Uygulamada yazışma Kişisel Verileri Koruma Kurumu tarafından gönderilir; inceleme yetkisi ve veri sorumlusunun bilgi-belge sunma yükümlülüğü ise Kanun’un 15. maddesinde Kurul üzerinden düzenlenmiştir.[1][2] Bu nedenle cevabın başında yazının tarih ve sayısı, inceleme veya şikâyet dosyası numarası, muhatap veri sorumlusu ve talebin hangi aşamaya ait olduğu doğru tanımlanmalıdır.

KVKK Bilgi ve Belge Talebi Geldiğinde Ne Yapılmalı?

1. Tebliğ zarfı kayda alınmalıdır

Zarf, KEP iletisi, elektronik tebligat kaydı, EBYS kaydı veya teslim tutanağı muhafaza edilmelidir. Kanun’un 15/3. maddesi “on beş gün” demekte, “on beş iş günü” ifadesini kullanmamaktadır.[1] Güvenli yaklaşım, sürenin iş günü gibi genişletilmemesi ve son gün hesabının somut tebligat kaydı üzerinden yapılmasıdır. Yazıda ayrıca daha kısa bir teknik geri bildirim veya belirli bir gönderim yöntemi istenmişse bu husus da ayrı iş kalemi olarak izlenmelidir.

2. Belge ve kayıtların korunması sağlanmalıdır

Talebin konusu öğrenildiği anda ilgili e-posta kutuları, erişim logları, kamera kayıtları, çağrı kayıtları, başvuru kayıtları, sistem hareketleri, sözleşmeler ve silme-imha kayıtları belirlenmelidir. Olağan saklama süresi içinde otomatik silinebilecek kayıtlar için kontrollü koruma tedbiri değerlendirilmelidir.[1][7]

Bu işlem, her verinin süresiz saklanması anlamına gelmez. Amaç, inceleme konusu delilin olağan sistem döngüsü içinde kaybolmasını önlerken saklama ve imha politikasını bütünüyle askıya almamaktır. Koruma kapsamı; dosya, kişi, sistem ve tarih aralığı bakımından sınırlandırılmalıdır.[1][7]

3. İnceleme konusu sistemler ve taraflar haritalanmalıdır

Talep yalnızca veri sorumlusunun kendi sistemleriyle sınırlı olmayabilir. Bulut hizmeti sağlayıcısı, çağrı merkezi, yazılım tedarikçisi, arşiv şirketi veya başka bir veri işleyen kayıtların bir kısmını tutuyor olabilir. Kanun, kişisel verilerin veri sorumlusu adına başka bir kişi tarafından işlendiği durumda güvenlik tedbirleri bakımından veri sorumlusu ile veri işleyeni müştereken sorumlu tutar.[1][7] Bu nedenle ilgili sözleşme, talimat zinciri, teknik kayıt ve tedarikçi cevabı dosyaya alınmalıdır.[1][7]

KVKK Kurumunun Bilgi ve Belge Talebine Cevap Süresi Kaç Gündür?

6698 sayılı Kanun’un 15/3. maddesindeki temel süre on beş gündür. Hüküm şöyledir:[1]

“Devlet sırrı niteliğindeki bilgi ve belgeler hariç; veri sorumlusu, Kurulun, inceleme konusuyla ilgili istemiş olduğu bilgi ve belgeleri on beş gün içinde göndermek ve gerektiğinde yerinde inceleme yapılmasına imkân sağlamak zorundadır.”[1]

Bu süre, ilgili kişinin veri sorumlusuna yaptığı başvurunun en geç otuz gün içinde cevaplandırılmasına ilişkin Kanun’un 13. maddesindeki süreden farklıdır.[1] Kanun’un 15/3. maddesinde genel bir ek süre veya kendiliğinden uzama usulü düzenlenmemiştir.[1] İstenen teknik kayıtların dış hizmet sağlayıcıdan beklenmesi, yetkilinin izinli olması veya eklerin hacimli olması süreyi durdurmaz. Talebin süresinde tamamlanamayacağı öngörülüyorsa, Kurumla resmî kanaldan, gerekçeli ve kayıtlı biçimde temas kurulmalıdır. Ancak açıklama veya ek süre talebinde bulunulmamış olması, Kurumun açık kabulü bulunmadan yasal sürenin uzadığı varsayımına dönüştürülmemelidir.

Cevap Dosyası Nasıl Oluşturulmalıdır?

Kuruma verilecek cevap, incelemeyi yapan kişinin her sorunun cevabını ve dayanağını bulabileceği şekilde düzenlenmelidir.[2][4]

Yazıdaki her soru veya belge talebi ayrı satır mantığıyla izlenmelidir. Cevap metninde;[2][4]

doğrulanabilen maddi olay,[2][4]
bu olayı gösteren kayıt veya belge,[2][4]
veri sorumlusunun hukuki değerlendirmesi[2][4]

ayrı kurulmalıdır. “Sistemimiz güvenlidir”, “veriler hiçbir zaman paylaşılmamıştır” veya “çalışan hatasıdır” gibi genel cümleler yeterli olmaz. Olumsuz bir olgunun kesin biçimde söylenebilmesi için hangi sistemlerin, hangi tarih aralığında ve hangi yöntemle kontrol edildiği açıklanmalıdır.[2][4]

Ekler numaralandırılmalı ve açıklanmalıdır

Her ekin adı, tarihi, kaynağı ve cevap içindeki ilgili bölümü belirli olmalıdır. Örneğin:[2][4]

Ek-1: İlgili kişiye sunulan aydınlatma metni ve yürürlük tarihi,[2][4]
Ek-2: Veri işleme faaliyetine ilişkin süreç akışı,[2][4]
Ek-3: İlgili dönemdeki kullanıcı rolleri,[2][4]
Ek-4: Olay tarih aralığına ait sistem logları,[2][4]
Ek-5: Veri işleyen sözleşmesinin ilgili hükümleri,[2][4]
Ek-6: İlgili kişi başvurusu ve gönderim/teslim kayıtları,[2][4]
Ek-7: İç inceleme raporu veya olay zaman çizelgesi,[2][4]
Ek-8: İhlal sonrası alınan teknik ve idari tedbirlere ilişkin kayıtlar.[2][4]

Ek listesi, hem Kuruma gönderilen paketin bütünlüğünü hem de daha sonra “hangi belgenin gönderildiği” sorusunu ispat etmeyi kolaylaştırır.[2][4]

Hangi Bilgi ve Belgeler Kontrol Edilmelidir?

İstenen belgeler uyuşmazlığın türüne göre değişir. Bununla birlikte aşağıdaki kontrol alanları pek çok incelemede önem taşır:[1][7]

Veri işleme süreci: Verinin hangi kaynaktan, hangi amaçla ve hangi hukuki şartla işlendiği.[1][7]
Aydınlatma: Olay tarihinde yürürlükte olan aydınlatma metni, sunum kanalı ve sunulduğunu gösteren kayıt.[1][7]
Açık rıza: Açık rızaya dayanılıyorsa metin, zaman damgası, geri alma mekanizması ve rızanın özgür iradeyle verildiğini gösteren süreç.[1][7]
Erişim kayıtları: İlgili veriye kimlerin, ne zaman ve hangi yetkiyle eriştiği.[1][7]
Aktarım kayıtları: Verinin alıcı grupları, aktarım tarihi, amacı ve dayanağı.[1][7]
Saklama ve imha: İlgili dönemdeki politika, saklama süresi, silme veya anonimleştirme kaydı.[1][7]
İlgili kişi başvurusu: Başvuru metni, şirket cevabı, teslim kaydı ve iç değerlendirme.[1][7]
Teknik ve idari tedbirler: Erişim kontrolü, loglama, yedekleme, sözleşmesel yükümlülükler, eğitim ve denetim kayıtları.[1][7]
Veri işleyen ilişkisi: Talimatlar, hizmet sözleşmesi, alt hizmet sağlayıcılar ve olayla ilgili yazışmalar.[1][7]
İhlal yönetimi: Olayın tespiti, kapsam analizi, bildirimler, giderici tedbirler ve takip kayıtları.[1][7]

Kişisel Verileri Koruma Kurumu, veri güvenliği yükümlülüklerinin uygun güvenlik düzeyini sağlayacak teknik ve idari tedbirleri kapsadığını; veri işleyen kullanılması hâlinde veri sorumlusunun sorumluluğunun ortadan kalkmadığını belirtmektedir.[7] Bu nedenle cevap yalnızca politika metinlerine değil, tedbirlerin olay tarihinde fiilen uygulandığını gösteren kayıtlara dayanmalıdır.

Kuruma Gönderilecek Belgelerde Veri Minimizasyonu Nasıl Sağlanır?

Kurum incelemesinin konusu zaten kişisel veriler olduğundan, cevap eklerinde çalışan, müşteri, hasta, öğrenci, tedarikçi veya üçüncü kişilere ait veriler bulunabilir. Kanun’un 15. maddesindeki sunma yükümlülüğü yerine getirilirken Kanun’un 4. maddesindeki hukuka ve dürüstlük kurallarına uygunluk, amaçla bağlantılılık, sınırlılık ve ölçülülük ilkeleri de gözden çıkarılmamalıdır.[1]

Uygulamada üçlü bir kontrol yapılabilir:[1][7]

Talep kapsamı: Belge, Kurumun sorduğu hususu gerçekten ispatlıyor mu?[1][7]
Belge kapsamı: Aynı belgedeki ilgisiz kişi, sütun, dönem veya kayıtların sunulması gerekli mi?[1][7]
İletim güvenliği: Belge, içeriğin hassasiyetine uygun kanaldan ve yalnız yetkili alıcıya mı gönderiliyor?[1][7]

İlgisiz verilerin maskelenmesi bazı dosyalarda uygun olabilir. Ancak talep edilen olguyu görünmez hâle getiren, log bütünlüğünü bozan veya belgenin güvenilirliğini tartışmalı kılan aşırı karartma yapılmamalıdır. Bir belgenin kısmen sunulması ya da hiç sunulmaması düşünülüyorsa, bunun gerekçesi belge bazında kayda alınmalı ve cevap yazısında açıklanmalıdır.[1][7] Bununla birlikte meslek sırrı, savunma hakkı, üçüncü kişilerin hakları veya özel nitelikli kişisel veriler bakımından somut belgenin ayrıca incelenmesi gerekir. Sessizce belge saklamak yerine hukuki gerekçe açıklanmalı; gerekirse kontrollü erişim veya güvenli teslim yöntemi talep edilmelidir.

Cevap Hangi Kanaldan ve Nasıl Gönderilmelidir?

Gönderim yöntemi öncelikle talep yazısındaki talimata göre belirlenmelidir. Kurumun veri sorumlularına ilişkin kamuoyu duyurusunda, istenen formun eksiksiz doldurulması ve Kuruma iletilmesi gerektiği özellikle vurgulanmıştır.[2]

Eksik, Geç veya Çelişkili Cevap Ne Sonuç Doğurabilir?

Kurumun yayımladığı karar özetleri, cevap verilmemesinin her dosyada otomatik olarak aynı yaptırıma yol açmadığını; ancak incelemenin sonucunu ve veri sorumlusunun açıklamasının değerlendirilmesini doğrudan etkileyebildiğini gösterir.[3][4][6]

KVKK Kurulunun 06.01.2022 tarihli ve 2022/13 sayılı karar özetinde, veri sorumlusuna tebliğ edilen yazıya on beş günlük sürede cevap verilmediği halde, mevcut deliller üzerinden değerlendirme yapıldığı göeülmektedir.[3][4][6]

Kurulun 27.04.2021 tarihli ve 2021/426 sayılı karar özetinde, bir bankanın ilk bilgi-belge talebine güncel ve açık cevap vermemesi; ikinci yazıdan sonra yeterli açıklama sunması değerlendirilmiştir. Esas hakkında ayrıca işlem yapılmamasına karar verilse de banka, bilgi-belge taleplerine cevapta gerekli dikkat ve özeni göstermesi yönünde talimatlandırılmıştır.[4]

02.09.2022 tarihli ve 2022/896 sayılı karar özetinde de Kurumun iki bilgi-belge talebine cevap vermeyen veri sorumlusu, sonraki süreçte taleplere zamanında cevap vermesi konusunda uyarılmıştır.[6]

Yerinde İnceleme Gündeme Gelirse Ne Yapılmalıdır?

Kanun’un 15/3. maddesi, veri sorumlusunun gerektiğinde yerinde inceleme yapılmasına imkân sağlamasını da zorunlu tutar.[1] Yerinde inceleme ihtimali ortaya çıktığında amaç, denetimi engellemek veya bilgi akışını kontrolsüz bırakmak değil; talep edilen erişimin yetkili, güvenli ve kayda alınabilir biçimde sağlanmasıdır.

Özel Durumlarda Hangi Ek Kontroller Yapılmalıdır?

Kişisel veri ihlali şüphesi varsa

Bilgi-belge talebine cevap hazırlanması, veri ihlaline ilişkin bildirim ve ilgili kişiyi bilgilendirme yükümlülüklerinin yerine geçtiği varsayılmamalıdır. Olayın niteliğine göre ihlal süreci kendi takviminde yürütülmeli; Kuruma verilen bilgilerle ihlal bildirimi, ilgili kişi açıklaması ve şirket içi olay raporu arasında tarih ve kapsam tutarlılığı sağlanmalıdır.[1][7]

Çalışan eylemi ileri sürülüyorsa

Çalışandan kaynaklanan bir hata varsa, yetki tanımı, eğitim, erişim logları, denetim, disiplin süreci ve olay sonrası erişim kapatma kayıtları birlikte incelenmelidir.[1][7]

Veri işleyen veya yurt dışındaki hizmet sağlayıcı söz konusuysa

Veri işleyen sözleşmesi, alt işleyen zinciri, sistemlerin bulunduğu ülke, uzaktan erişim kayıtları ve aktarım mekanizması ayrıca kontrol edilmelidir. Tedarikçinin verdiği teknik cevap, veri sorumlusunun cevabına kopyalanmadan önce doğrulanmalı ve şirketin kendi süreçleriyle karşılaştırılmalıdır.[1][7]

Aynı olay başka bir uyuşmazlığa konuysa

Yargısal uyuşmazlık, ceza soruşturması, tüketici başvurusu, iç denetim veya sigorta bildirimi bulunan olaylarda farklı mercilere sunulan beyanlar birlikte kontrol edilmelidir. KVKK cevabı, başka dosyadaki açıklamalarla maddi olay bakımından çelişmemelidir. Bununla birlikte her merciin hukuki inceleme konusu farklı olduğundan, bir dosyaya hazırlanmış metin diğerine aynen taşınmamalıdır.[1][7]

Sonuç ve Hukuki Destek

KVKK Kurumundan gelen bilgi ve belge talebinde güvenli yaklaşım; tebliğ ve süreyi sabitlemek, kayıtları korumak, küçük bir cevap ekibi kurmak, her soruyu belgeyle eşleştirmek ve nihai paketi güvenli kanaldan göndermektir. On beş günlük süre, kurum içindeki uzun onay zincirleri dikkate alınarak genişlemez. Bu nedenle olayın teknik ve hukuki incelemesi ilk günden paralel yürütülmelidir.[1]

Aynı zamanda her Kurum yazısı, kesinleşmiş bir ihlal veya doğrudan para cezası anlamına gelmez. Talebin şikâyet incelemesi, veri ihlali, yerinde inceleme hazırlığı veya Kurul kararının uygulanması aşamalarından hangisine ait olduğu belirlenmeden savunma stratejisi kurulamaz. Cevabın doğruluğu kadar, şirketin sonraki düzeltici işlemleri gerçekten tamamlaması da önemlidir.[1][3]

Sık Sorulan Sorular

KVKK bilgi ve belge talebine kaç gün içinde cevap verilmelidir?

6698 sayılı Kanun'un 15/3. maddesine göre Kurulun inceleme konusuyla ilgili istediği bilgi ve belgeler on beş gün içinde gönderilmelidir. Somut başlangıç ve son gün hesabı, yazının tebliğ kaydı ve varsa özel talimat üzerinden kontrol edilmelidir.

On beş günlük süre iş günü müdür?

Kanun metni on beş gün ifadesini kullanır; iş günü demez. Bu nedenle süreyi on beş iş günü olarak hesaplamak güvenli değildir. Tebligat biçimi ve son gün hesabı somut belge üzerinden ayrıca incelenmelidir.

Kurumdan ek süre istenebilir mi?

Gerekçeli ek süre veya açıklama talebi Kuruma resmî kanaldan iletilebilir; ancak Kanun'un 15/3. maddesinde genel ve otomatik bir uzama düzenlenmemiştir. Kurumun açık kabulü bulunmadan sürenin uzadığı varsayılmamalıdır.

Talep edilen bütün şirket belgeleri gönderilmek zorunda mıdır?

Yükümlülük, Kurulun inceleme konusuyla ilgili istediği bilgi ve belgelere ilişkindir. Her talep ve belgenin kapsamla bağlantısı ayrı incelenmeli; ilgisiz kişisel veriler azaltılırken talep edilen delili görünmez hâle getirecek aşırı karartmadan kaçınılmalıdır.

Ticari sır içeren belge Kuruma gönderilmeyebilir mi?

Kanun'un 15/3. maddesinde açıkça belirtilen istisna devlet sırrı niteliğindeki bilgi ve belgelerdir. Ticari sır veya kurum içi gizlilik iddiası otomatik bir ret sebebi gibi kullanılmamalıdır. Somut belge için hukuki gerekçe, sınırlı erişim ve güvenli teslim yöntemi değerlendirilmelidir.

Bilgi-belge talebine cevap verilmezse doğrudan para cezası mı uygulanır?

Her cevapsızlık için otomatik ve tek tip bir sonuç öngörüldüğü söylenemez. Kurul karar özetlerinde cevapsızlık nedeniyle veri sorumlusunun savunmasının dosyaya girmediği, uyarı veya talimat verildiği örnekler vardır. Kurul tarafından 15. madde uyarınca verilen kararın yerine getirilmemesi ise ayrıca yaptırım konusudur.

Veri işleyen cevap hazırlığında sorumluluğu üstlenebilir mi?

Veri işleyen teknik kayıtları ve açıklamaları sağlayabilir; ancak veri sorumlusu kendi cevabının doğruluğunu ve güvenliğini denetlemelidir. Kanun, veri güvenliği tedbirleri bakımından veri sorumlusu ile veri işleyeni müştereken sorumlu tutar.

Kurumun yerinde incelemesine izin vermek zorunlu mudur?

Evet. Kanun'un 15/3. maddesi, gerektiğinde yerinde inceleme yapılmasına imkân sağlama yükümlülüğü getirir. İnceleme; yetkili koordinatör, kontrollü sistem erişimi, teslim edilen belge kaydı ve bilgi güvenliği tedbirleriyle yönetilmelidir.

KVKK Kurumundan gelen yazının niteliğinin, cevap süresinin, eklerin ve hukuki risklerin somut dosya üzerinden değerlendirilmesi için iletişim formumuzdan randevu talep edebilirsiniz.

Yasal Uyarı: Bu içerik genel bilgilendirme amacıyla hazırlanmıştır; somut olaya ilişkin hukuki görüş niteliği taşımaz. İçerikte yer alan bilgiler, yayın tarihindeki mevzuat ve uygulama esas alınarak hazırlanmış olup zaman içinde değişiklik gösterebilir. Her dosya kendi koşulları çerçevesinde değerlendirilmelidir.