İşletmeye KVKK Başvurusu Geldi: Nasıl ve Ne Zaman Cevap Verilmeli?

Başvuru geldiğinde ilk soru: kim, ne istiyor?

Bir işletmeye gelen 'hakkımdaki bütün verileri gönderin' mesajı, sıradan müşteri hizmetleri talebi gibi görülmemelidir. Başvuran kişi kendisiyle ilgili bir veri işleme faaliyetini sorguluyor olabilir. Öte yandan her şikâyet de aynı kapsamda değildir: hizmet bedeline itiraz, ticari belge talebi ve kişisel veriye ilişkin hak kullanımı birbirinden ayrılmalıdır. İlk inceleme, mesajın etiketine değil içeriğine dayanır. Bu yazı, işletmelerin başvuruyu kaybetmeden ve gereksiz veri açıklamadan cevap sürecini düzenlemesine yardımcı olmak için hazırlanmıştır.

Başvurunun hangi kanaldan, hangi tarihte ve kime ulaştığını kaydedin. Genel e-posta kutusuna gelen mesajın birkaç departman arasında dolaşması, içerik üzerinde çalışmayı geciktirebilir. Bir sorumlu kişi belirlenmesi ve başvurunun kayıt altına alınması yararlıdır. Bununla birlikte ilk alan çalışanın her konuda karar vermesi beklenmemelidir. Hukuk, bilgi güvenliği ve ilgili iş birimlerinin hangi aşamada devreye gireceği önceden belirlenirse süreç kişilere bağımlı kalmaz.

Antalya’da bir otel, sağlık işletmesi veya e-ticaret şirketi farklı türden veriler tutabilir. Rezervasyon kaydı, çalışan dosyası ve pazarlama listesi aynı amaçla oluşturulmaz. 'Sistemde kayıt yok' cevabı verilmeden önce hangi sistemlerin kontrol edildiği anlaşılmalıdır. Başvuruya uygun inceleme yapmak, bütün şirket arşivini sınırsız biçimde açmak anlamına gelmez; talebin kapsamına göre ilgili kayıt kaynaklarını belirlemek anlamına gelir.

Süreyi ve cevap biçimini birlikte düşünün

Kişisel Verileri Koruma Kurumunun resmi açıklamalarına göre başvurular talebin niteliğine uygun en kısa sürede ve en geç otuz gün içinde sonuçlandırılmalıdır. Nihai cevap yazılı veya elektronik ortamda bildirilir. Kurumun bildirim usulüne ilişkin duyurusu, telefon görüşmesinin süreci açıklamak için kullanılabileceğini fakat gerekli nihai cevap yerine geçmediğini özellikle belirtir. Bu nedenle yalnızca müşteriyi aramış olmak, cevap sürecinin tamamlandığı kabulüyle dosyanın kapatılmasına gerekçe yapılmamalıdır.

Takvim kaydında başvurunun alınması, iç inceleme, cevap taslağı kontrolü ve gönderim için ayrı aşamalar bulunabilir. En son güne bırakılan bir dosyada belge eksikliği fark edilirse cevap kalitesi düşer. İlk aşamada hangi talebin hangi birime sorulacağı belirlenmeli, içeride kullanılacak çalışma tarihleri yasal sınırın sonrasına taşmamalıdır. Ek açıklama ihtiyacı varsa bunun süre üzerindeki etkisi kendiliğinden varsayılmadan hukuken değerlendirilmelidir.

Cevap taslağının hazırlanmış olması ile başvurana bildirilmesi aynı işlem değildir. Gönderim tarihi, kullanılan adres ve teslim veya iletim kanıtı dosyada tutulmalıdır. Yanlış adrese gönderilmiş bir mesaj, doğru hazırlanmış içeriğe rağmen yeni bir uyuşmazlık yaratabilir. Adres bilgisi başvuruyla eşleştirilmeli; gönderilecek eklerin doğru kişiye ait olduğu son kez kontrol edilmelidir. Süre takibi yalnızca hatırlatma kurulmasından ibaret olmamalıdır.

Kimlik doğrularken gereğinden fazla veri istemeyin

Verileri talep eden kişinin ilgili kişi olduğunun anlaşılması önemlidir. Özellikle başka bir kişiye ait kayıtların yanlış kişiye gönderilmesi ciddi bir sorun doğurabilir. Fakat bu kaygı, her başvurana gereksiz sayıda kimlik belgesi ve ayrıntılı kişisel bilgi sormayı haklı hale getirmez. Doğrulama ihtiyacı, mevcut kayıt ve kullanılan başvuru kanalıyla birlikte değerlendirilmelidir. İşletme, neden ek bilgiye ihtiyaç duyduğunu kendi inceleme dosyasında açıklayabilmelidir.

Başvuru zaten kayıtlı iletişim kanalından gelmişse mevcut bilgilerle yapılabilecek kontrol araştırılır. Farklı bir adresten gelmesi halinde de yalnızca adres farkına dayanarak bütün taleplerin otomatik reddedilmesi yerine kimlik ve yetki sorunu incelenir. Bir temsilci başvuruyorsa temsilin kapsamı ayrıca kontrol edilir. İstenen belgenin hangi amaca hizmet ettiği ve daha sınırlı bir doğrulamanın yeterli olup olmayacağı birlikte ele alınmalıdır.

Kimlik doğrulama belgeleri, herkesin eriştiği müşteri hizmetleri klasöründe tutulmamalıdır. İnceleme için gönderilmiş belgenin başka işler için kullanılmaması ve dosyaya erişimin sınırlandırılması gerekir. Başvuru yönetimi yeni bir veri işleme faaliyeti doğurabilir; bu faaliyetin de amacı, erişimi ve saklama yaklaşımı düşünülmelidir. Çalışanlar, belgeyi kişisel mesajlaşma hesabına aktarmak yerine işletmenin belirlenmiş güvenli kanalını kullanmalıdır.

Talebi ayrı sorulara bölün

Bir dilekçede bilgi alma, düzeltme, silme ve pazarlama iletişiminin durdurulması birlikte istenebilir. Bunları tek bir 'talebiniz alınmıştır' cümlesiyle karşılamak, hangi işlem yapıldığını açıklamaz. Her isteğin ne olduğu, hangi kayıtlarla ilgili olduğu ve inceleme sonucunun ne olduğu ayrı gösterilmelidir. Cevapta teknik sistem adlarını sıralamak yerine kişinin anlayabileceği ifadeler kullanılmalıdır. Açıklama, talebin esasını karşılamalı ve belirsiz bir gelecek vaadine dönüşmemelidir.

Talep çok genişse işletmenin mevcut ilişkiyi ve kayıtları anlaması gerekir. Başvuranın geçmiş müşteri mi, çalışan mı, aday mı olduğu farklı veri kaynaklarına işaret eder. Açıklama istemek gerekli olabilir; ancak başvurunun zaten açık bölümleri bekletilmemelidir. İç inceleme notunda belirsiz kısmın ne olduğu ve neden açıklama gerektiği yazılabilir. Böylece açıklama istemenin oyalama amacı taşımadığı ve incelemeyi kolaylaştırdığı anlaşılır.

Yalnızca başvuranın kullandığı sözcüklerle arama yapmak yetersiz kalabilir. Kayıtlar telefon numarası, eski e-posta, müşteri numarası veya farklı dosya koduyla tutulmuş olabilir. Yetkili ekip, veri kaynaklarını bu ihtimaller açısından kontrol eder. Bu çalışma sırasında başkasına ait veriler gereksiz yere toplanmamalıdır. Arama kapsamı ve sonuçları kısaca kaydedilirse, sonradan aynı başvurunun neden belirli biçimde cevaplandığı açıklanabilir.

Silme talebi her kaydın aynı anda kaldırılması mıdır?

İlgili kişi silme istiyorsa kayıtların hangi amaçla tutulduğu ve işleme gerekçesinin devam edip etmediği incelenir. 'Bütün veriler her koşulda silinir' veya 'ticari ilişkimiz oldu, hiçbir veri silinmez' gibi toptan cevaplar sağlıklı değildir. Farklı kayıt grupları için farklı değerlendirme gerekebilir. Yasal saklama yükümlülüğü olduğu ileri sürülüyorsa bunun ilgili belge ve işlemle ilişkisi somutlaştırılmalıdır; genel bir mevzuat göndermesiyle yetinilmemelidir.

İşletme pazarlama listesinden çıkarma işlemini yaparken muhasebe belgesini farklı gerekçeyle saklamaya devam ediyor olabilir. Cevapta bu ayrım kişinin anlayacağı biçimde açıklanmalıdır. Silme işlemi yapılmışsa hangi kapsamda yapıldığı belirtilir. Yapılmamış bir işlem tamamlanmış gibi yazılmamalıdır. Birden fazla sistemde kopya varsa yalnızca görünen müşteri ekranını kapatmanın diğer kayıtları nasıl etkilediği teknik ekipten öğrenilmelidir.

Saklama süresi konusunda bütün kayıtlar için tek bir sayı kullanılmamalıdır. Başvurunun konusu, sektör ve kayıt niteliği değerlendirmeyi değiştirir. Bu yazı, belirli bir kaydın hangi süre boyunca tutulacağını dosya incelemesi olmadan söylemez. Cevap hazırlayan ekip, dayanağı kontrol edilmiş bilgi kullanmalı ve emin olmadığı bir süreyi standart şablona yazmamalıdır. Sonraki işlem planı da mevcut hukuki ve teknik incelemeyle uyumlu olmalıdır.

Başka kişilerin verileri ve dosya ekleri

Başvuranın istediği belgede başka müşteri, çalışan veya üçüncü kişilerin bilgileri bulunabilir. Bir belgeyi olduğu gibi göndermeden önce hangi bölümlerin başvuranla ilgili olduğu incelenmelidir. Gereksiz üçüncü kişi bilgileri ve işletmenin erişim güvenliğini etkileyen içerikler ayrıca değerlendirilir. Kişinin kendi verisine ilişkin talebini cevaplamak, bütün ortak kayıtların sınırsız paylaşılması anlamına gelmez. Bu ayrımı korumak için gerekirse kontrollü bir belge kopyası hazırlanır.

Karartma yapılacaksa özgün belge ile gönderilen kopya farklı yerlerde ve doğru adlarla tutulmalıdır. PDF üzerindeki siyah kutu, alttaki metni gerçekten kaldırmamış olabilir. Teknik kontrol, yalnızca görüntüye bakmayı değil dosyada seçilebilir metin veya gizli katman kalıp kalmadığını da kapsayabilir. Yanlış kişiye gönderimi önlemek için dosya adı, içerik ve alıcı adresi birlikte kontrol edilir. Büyük eklerin aktarım yöntemi de güvenlik açısından düşünülmelidir.

İşletme, paylaşmadığı bir bölümü açıklarken başkasının verisini yine cevabın içinde ifşa etmemelidir. Gerekçe anlaşılır olmalı fakat korunan bilgiyi dolaylı biçimde ortaya çıkarmamalıdır. Aynı şekilde 'gizlilik nedeniyle hiçbir bilgi veremiyoruz' gibi sınırsız bir ifade de talebin esasını karşılamayabilir. Belge bazında yapılan inceleme ve ölçülü açıklama, bu iki sorun arasında daha sağlıklı bir cevap hazırlanmasına yardımcı olur.

Varsayımsal örnek: rezervasyon ve tanıtım listesi

Tamamen varsayımsal bir örnekte, Antalya’daki bir konaklama işletmesine eski bir misafir başvursun. Kişi hakkındaki kayıtları öğrenmek, hatalı telefon numarasını düzeltmek ve reklam mesajları için kullanılan kaydının kaldırılmasını istiyor olsun. İşletmenin yalnızca rezervasyon ekranını kontrol edip 'misafir kaydınız bulundu' demesi üç talebin tamamını karşılamaz. Rezervasyon, iletişim ve pazarlama süreçlerinin hangi ekiplerde yürütüldüğü belirlenmelidir.

İlgili ekipler doğru kişiye ait kayıtları eşleştirir, telefon değişikliğinin hangi sistemlerde uygulanacağını kontrol eder ve tanıtım listesindeki işlem sonucunu kaydeder. Saklanması gereken farklı bir belge varsa bunun neden ayrı değerlendirildiği incelenir. Cevapta her talebin sonucu anlaşılır biçimde yazılır. İşletme kişinin hangi tarihte hangi kanala başvurduğunu ve hangi tarihte cevap gönderildiğini dosyada birlikte tutar.

Bu örnek herhangi bir işletmenin mevzuata uygun olduğu sonucunu vermez. Amacı, aynı kişinin verisinin farklı iş süreçlerinde yer alabileceğini ve tek bir ekran görüntüsüyle incelemenin tamamlanamayacağını göstermektir. Sistemler arasında tutarsızlık çıkması halinde yapılacak teknik düzeltme ayrıca takip edilir. Başvuruyu cevaplamakla fark edilen veri yönetimi sorununun çözümü birbirini tamamlayan fakat farklı işlerdir.

İşletme için uygulanabilir cevap dosyası

Dosyada başvurunun özgün metni, alınma kaydı, kimlik veya temsil kontrolü, talep listesi, ilgili birimlerin cevapları ve nihai metin bulunmalıdır. Her birimden uzun yazışmalar yerine soruyla ilgili belirli bilgi istenebilir. Örneğin 'şu kişinin şu tarih aralığındaki kaydı var mı, hangi amaçla tutuluyor, talep edilen düzeltme yapıldı mı?' şeklindeki bir inceleme isteği daha işlevseldir. Çalışma notları gereksiz kişisel bilgilerle doldurulmamalıdır.

Son kontrol sırasında cevap ile yapılan işlemler karşılaştırılır. Taslakta 'silindi' yazarken teknik ekip yalnızca hesabı pasifleştirmişse ifade düzeltilmelidir. Düzeltildiği belirtilen bilgi başka bir sistemde eski haliyle kalmış olabilir. Ret veya kısmi kabul gerekçeleri, gerçekten incelenmiş olgulara dayanmalıdır. Cevabı imzalayacak kişinin gerekli kontrolü yapabilmesi için kısa bir sonuç özeti ve dayanak listesi hazırlanması yararlıdır.

Gönderimden sonra iletim kaydı eklenir ve dosyanın erişimi sınırlandırılır. Benzer başvurular tekrarlandığında şablonlardan yararlanılabilir; fakat önceki kişinin adı veya kayıt bilgisi yeni cevaba taşınmamalıdır. Süreçte fark edilen eksiklikler için ayrı bir iyileştirme notu tutulabilir. Böylece her başvuru sadece cevaplanmış bir mesaj olmaktan çıkar; işletmenin kayıt ve iletişim düzenini geliştiren somut bir inceleme haline gelir.

Sık sorulan sorular

Telefonla açıklama yapmak yeterli mi? Nihai cevap yazılı veya elektronik bildirimle verilmelidir; telefon görüşmesi açıklama için kullanılabilir. Başvuruyu bütün personele iletmek gerekir mi? İnceleme için gerekli kişilerle sınırlı paylaşım tercih edilmelidir. Kişi silme istiyorsa hiç inceleme yapmadan tüm kayıtları kaldırabilir miyiz? Her kayıt grubunun işleme gerekçesi ve saklama durumu değerlendirilmelidir.

Standart şablon kullanmak yasak mı? Şablon düzen sağlayabilir, ancak somut talebi cevaplamalı ve yanlış bilgi içermemelidir. Kimlik doğrulamak için her zaman aynı evrak mı istenir? İhtiyaç, kanal ve mevcut bilgilerle birlikte değerlendirilir. Süre dolunca taslağı dosyaya koymak yeterli mi? Cevabın bildirilmesi ve buna ilişkin kayıt önemlidir. Bu rehber genel bilgilendirme niteliğindedir; somut başvuru ve işletmenin veri süreçleri ayrıca incelenmelidir.