Veri sahipleri (ilgili kişiler), kendi kişisel verileri üzerinde güçlü haklara sahiptir. KVKK, bir başvurunun en geç 30 gün içinde sonuçlandırılmasını öngörür. Bu süreyi güvenilir biçimde yakalamak, ancak önceden kurulmuş bir süreçle mümkündür. Bu rehber, uçtan uca bir başvuru (DSAR) sürecini nasıl kuracağınızı, kimlik doğrulamadan reddetme gerekçelerine kadar adım adım anlatır.
İlgili Kişinin Hakları (KVKK m.11)
- Kişisel verisinin işlenip işlenmediğini öğrenme,
- İşlenmişse buna ilişkin bilgi talep etme,
- İşleme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme,
- Yurt içinde/yurt dışında aktarıldığı üçüncü kişileri bilme,
- Eksik/yanlış işlenmişse düzeltilmesini isteme,
- Silinmesini/yok edilmesini isteme ve bunun aktarılan taraflara bildirilmesini isteme,
- Otomatik sistemlerle analiz sonucu aleyhe bir sonuç doğmuşsa itiraz etme,
- Kanuna aykırı işleme nedeniyle zarara uğramışsa giderilmesini talep etme.
Neden Bir Süreç Şart?
Başvurular çoğu zaman farklı kanallardan (e-posta, KEP, iletişim formu, hatta sosyal medya) ve öngörülemeyen anlarda gelir. Süreç yoksa, başvuru bir gelen kutusunda kaybolabilir ve 30 günlük süre farkında olmadan aşılır. Süreyi kaçırmak, tek başına bir yaptırım ve itibar riskidir.
Uçtan Uca DSAR Süreci
| Aşama | Yapılması gereken |
|---|---|
| 2. Kayıt | Başvuruyu tarih/saatle kaydedin; 30 günlük sayaç başlar |
| 3. Kimlik doğrulama | Başvuranın gerçekten ilgili kişi olduğunu doğrulayın |
| 4. Kapsam belirleme | Hangi hakka ilişkin, hangi verileri kapsıyor? |
| 5. Veri toplama | İlgili tüm sistemlerden (CRM, İK, e-posta, log) veriyi derleyin |
| 6. Değerlendirme | Talep karşılanacak mı, reddedilecek mi, kısmi mi? |
| 7. Yanıt | Gerekçeli, anlaşılır ve süresi içinde yanıt verin |
| 8. Kayıt/arşiv | Başvuru ve yanıtı ispat için saklayın |
Kimlik Doğrulama: Kritik Adım
Yanlış kişiye veri vermek başlı başına bir ihlaldir. Kimlik doğrulamayı, talep edilen verinin hassasiyetiyle orantılı yapın: düşük riskli bir talep için hesap doğrulaması yeterliyken, hassas veriler için ek doğrulama gerekebilir. Ancak bu adımı bir "geciktirme taktiği" olarak kullanmayın; gereğinden fazla belge istemek de bir ihlal olarak değerlendirilebilir.
Ne Zaman Reddedebilir veya Sınırlayabilirsiniz?
Bazı hâllerde talep reddedilebilir veya sınırlanabilir; örneğin:
- Başkalarının hak ve özgürlüklerini ihlal ediyorsa,
- Açıkça dayanaksız veya aşırı tekrar eden taleplerse,
- Kanunen saklama zorunluluğu bulunan veriler söz konusuysa,
- Suçun önlenmesi veya soruşturma gibi istisnai durumlarda.
Her hâlde ret kararınızı gerekçelendirin ve ilgili kişiye Kurul'a şikâyet dâhil başvuru yollarını hatırlatın.
Ücret Alınabilir mi?
Kural olarak yanıt ücretsizdir; ancak işlemin ayrıca bir maliyeti varsa (ör. CD, çıktı), Kurul'un belirlediği tarife çerçevesinde makul bir ücret talep edilebilir. Ücreti bir caydırma aracı olarak kullanmayın.
Örnek Senaryo: Silme Talebi ve Yasal Saklama Çatışması
Bir müşteri tüm verilerinin silinmesini talep etti. Ancak faturalarına ilişkin bazı veriler, vergi mevzuatı gereği belirli bir süre saklanmak zorunda. Doğru yaklaşım: silinebilecek verileri silmek, yasal saklama zorunluluğu olanları gerekçesiyle birlikte açıklamak ve saklama süresi dolduğunda silineceğini bildirmek. "Hepsini sildik" demek de "hiçbir şey silemeyiz" demek de hatalıdır.
Kontrol Listesi
- Başvuru kanalları tanımlandı ve web sitesinde duyuruldu.
- Başvuruyu kaydeden ve süre takibi yapan bir sistem var.
- Kimlik doğrulama prosedürü belgelendi ve orantılı.
- İlgili tüm sistemlerden veri derleme akışı hazır.
- Ret ve kısmi ret gerekçeleri ile şablonlar hazır.
- Yanıtlar gerekçeli ve süresinde veriliyor.
- Başvuru/yanıt arşivi ispat için tutuluyor.
- Silme taleplerinde yasal saklama istisnaları değerlendiriliyor.
Sık Sorulan Sorular
Süre kaç gün ve ne zaman başlar?
En geç 30 gündür ve başvurunun tarafınıza ulaştığı an başlar. Bu yüzden alım ve kayıt adımları kritiktir; başvurunun "ne zaman geldiği" ispatlanabilir olmalı.
Sözlü başvuruyu kabul etmek zorunda mıyım?
Başvuruların yazılı veya Kurul'un belirlediği yöntemlerle yapılması beklenir. Kanalları önceden netleştirip web sitenizde duyurun.
Talebi otomatikleştirebilir miyim?
Evet. Başvuru alımı, süre takibi, kimlik doğrulama ve veri derleme adımlarını otomatikleştirmek hem hızı hem ispat gücünü artırır ve insan hatasını azaltır.
Her talebi karşılamak zorunda mıyım?
Hayır. Meşru gerekçelerle reddedebilir veya kısmen karşılayabilirsiniz; ancak kararı gerekçelendirmeli ve başvuru yollarını belirtmelisiniz.
Bu içerik yalnızca genel bilgilendirme amaçlıdır ve hukuki tavsiye niteliği taşımaz. JUS. ile ilgili kişi başvurularını tek yerden alıp süre takibiyle yönetebilirsiniz — demo talep edin.