İşyerinde kişisel veri metnini ve KVKK başvuru yolunu okumak

Önce çalışma ilişkisi ile veri ilişkisini ayırın

İşyerinde kullanılan e-posta, kamera, giriş kartı, konum, performans sistemi, özlük dosyası veya iletişim aracı aynı anda hem çalışma düzeni hem kişisel veri işleme sorusu doğurabilir. Yine de iki alan aynı değildir. 4857 sayılı İş Kanunu işçi, işveren ve iş ilişkisi gibi çalışma hukuku kavramlarını tanımlar. 6698 sayılı Kişisel Verilerin Korunması Kanunu ise kişisel verinin işlenmesine ve ilgili kişinin haklarına ayrı bir çerçeve kurar. Bir veri başvurusu, ücret, fesih, fazla çalışma veya işe iade uyuşmazlığını kendiliğinden çözmez.

İlk kayıt “işyerinde veri kullanıldı” kadar geniş bırakılmamalıdır. Hangi veri kategorisi, hangi araçla, hangi tarihler arasında, hangi amaç açıklamasıyla, kim tarafından ve hangi alıcılarla ilişkilendirilerek işlendiği iddia ediliyor? İşe giriş adayı, 4857 anlamında işçi, stajyer, bağımsız çalışan, alt işveren çalışanı, kamu görevlisi veya işten ayrılmış kişi olmak kapsamı etkileyebilir. Bu rehber çalışma statüsü tayin etmez. Dosyada sözleşme, görevlendirme, bordro veya kurum kaydı ne gösteriyorsa ayrı yazılır; hukuki nitelendirme kanıtlanmış olgu gibi sunulmaz.

Aynı ayrım sonuçta da korunmalıdır. Bir aydınlatma metninin eksik olduğu düşüncesi, belirli bir işleme faaliyetinin kesin biçimde hukuka aykırı olduğunu tek başına kanıtlamaz. Açık rıza metninin varlığı da her işlemi otomatik olarak geçerli kılmaz. İşleme amacı, hukuki sebep, veri kategorisi, saklama süresi, aktarım ve güvenlik önlemi farklı sorulardır. Bu makale belirli işverenin uygulamasını değerlendirmiyor; okurun resmî metni, başvuru yolunu ve kendi belge kaydını birbirine karıştırmadan düzenlemesine yardım ediyor.

Aydınlatma metnini bir alan listesi olarak okuyun

Bir işyeri aydınlatma metninde önce metnin kime ait olduğunu ve hangi veri işleme faaliyetini anlattığını bulun. Şirket unvanı, veri sorumlusu veya temsilci bilgisi, metnin tarihi ve sürümü, ilgili kişi grubu, veri kategorileri, işleme amaçları, hukuki sebepler, aktarım tarafları, toplama yöntemi ve ilgili kişi haklarının kullanılacağı kanal ayrı alanlardır. Genel internet sitesi gizlilik metni, çalışanlara özgü bütün süreçleri kapsıyor varsayılmamalıdır. Bordro, erişim kontrolü, iş sağlığı güvenliği, kamera ve performans uygulamalarının amaçları ile dayanakları farklı olabilir.

Metin okumasında en sık karışan iki kavram aydınlatma ile açık rızadır. Aydınlatma, veri sorumlusunun işleme faaliyeti hakkında bilgi verme yükümlülüğüyle ilgilidir; açık rıza ise Kanunda tanımlanan hukuki sebeplerden biridir. Her veri işlemenin açık rızaya dayanması gerektiği veya bir onay kutusunun bütün işlemleri meşru kıldığı şeklinde genel sonuç çıkarılmamalıdır. İşverenin hangi hukuki sebebi ileri sürdüğü kaydedilir, ancak bu sebebin somut faaliyete yeterli olup olmadığı bu genel rehberde karara bağlanmaz. Metin, gerçek uygulamayla karşılaştırılacak bir beyan kaydıdır.

Sürüm bilgisi özellikle önemlidir. Çalışana işe girişte verilen metin ile bugün internet sitesinde görünen metin farklı olabilir. Dosyada belgenin alındığı tarih, dosya adı, sayfa sayısı, varsa imza veya elektronik teslim kaydı ve bağlantısı tutulmalıdır. Sonradan indirilen bir metin geçmişte hangi metnin verildiğini tek başına kanıtlamaz. Buna karşılık yalnız hatırlamaya dayanan anlatım da belgenin içeriğini kesinleştirmez. E-posta, portal bildirimi veya teslim formu varsa özgün hâli saklanmalı; gereksiz üçüncü kişi verileri paylaşılmamalı ve hiçbir kayıt değiştirilmemelidir.

Talebi Kanundaki hakla eşleştirin

Kişisel Verileri Koruma Kurumunun usul duyurusu, Kanunun 11'inci maddesindeki hakları veri sorumlusuna yöneltilecek taleplerin çerçevesi olarak açıklar. Kişi, kendisiyle ilgili veri işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, amacı ve amaca uygun kullanımı sorma, aktarılan üçüncü kişileri bilme, koşulları varsa düzeltme veya silme gibi taleplerde bulunabilir. Başvuru “bütün verilerimi gönderin” gibi sınırsız bir cümleye indirgenmemeli; sorulan işlem, dönem, veri kategorisi ve istenen sonuç mümkün olduğunca anlaşılır biçimde yazılmalıdır.

Başvurunun hedefi “Kurum” sözcüğüyle belirsiz bırakılmamalıdır. İlk muhatap kural olarak ilgili veri işleme faaliyeti bakımından veri sorumlusudur; Kişisel Verileri Koruma Kurumu ayrı bir kamu otoritesidir. Büyük yapılarda insan kaynakları, bilgi işlem, dış hizmet sağlayıcı ve grup şirketi gibi birden fazla aktör bulunabilir. Belgenin unvanı, aydınlatma metnindeki iletişim bilgisi, sözleşme ve resmî kayıtlar çapraz kontrol edilmelidir. Bu rehber belirli aktörün veri sorumlusu veya veri işleyen olduğuna hükmetmez; doğru muhatabı doğrulayacak alanları gösterir.

Kanal seçimi de talebin bir parçasıdır. Resmî duyuru; yazılı başvurunun yanında KEP, güvenli elektronik imza, mobil imza, kişinin veri sorumlusuna daha önce bildirdiği ve sistemde kayıtlı olan e-posta adresi veya başvuru amacıyla geliştirilmiş yazılım ya da uygulamayı sayar. Bu nedenle rastgele bir e-posta adresine gönderim, koşulları incelenmeden Tebliğe uygun kabul edilmemelidir. Başvuruda ad, soyad, yazılıysa imza, kimlik numarası, tebligata esas adres, varsa bildirim e-postası ve talep konusu gibi zorunlu unsurlar kontrol edilmelidir; gereksiz veri eklenmemelidir.

Başvuru ve cevap kaydını değişmez tutun

Başvuru metninin son hâli, ekleri, kullanılan kanal, gönderim zamanı ve teslim kanıtı aynı dosyada tutulmalıdır. KEP ileti kimliği, iadeli taahhütlü posta kaydı, elden teslim alındısı, güvenli imza kaydı veya uygulama başvuru numarası gibi materyaller varsa özgün biçimleriyle saklanır. Yalnız ekran görüntüsü, iletinin tüm üstverisini veya eki göstermeyebilir; buna rağmen olmayan bir alındı oluşturulmamalıdır. Gönderilen metin ile sonradan düzenlenen taslak karışmasın diye dosya adlarına tarih ve sürüm eklenebilir. Bu düzen, başvurunun içeriğini hukuken yeterli ilan etmez.

Kişisel Verileri Koruma Kurumu, veri sorumlusunun talebi niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırması gerektiğini açıklar. Bu otuz gün bir kabul garantisi değildir; cevap yükümlülüğünün kanuni üst sınırıdır. Veri sorumlusu talebi kabul edebilir veya gerekçesini açıklayarak reddedebilir. Gelen cevapta tarih, gönderim kanalı, kimden geldiği, hangi taleplere yanıt verdiği, hangi ekleri içerdiği ve ne zaman öğrenildiği ayrı kaydedilmelidir. Eksik olduğu düşünülen cevap hakkında bu rehber esasa ilişkin hüküm vermez.

İşyeri içi başvuru ile insan kaynakları şikâyeti, etik hat bildirimi, sendikal bildirim, arabuluculuk veya mahkeme yolu aynı süreç değildir. Bir kanalın kullanılması diğer bütün süreleri durdurur ya da uzatır varsayımı yapılmamalıdır. Çalışma ilişkisinden doğan iddiaların ayrı görev, yetki ve süre kuralları olabilir. Bu yazı yalnız 6698 sayılı Kanunun ilgili kişi başvurusu ve Kurula şikâyet dizisini açıklar. İş sözleşmesi, fesih bildirimi veya ücret talebi gibi somut bir çalışma uyuşmazlığı varsa ilgili belgeler ve süreler ayrıca değerlendirilmelidir.

30 ve 60 günlük sınırları aynı zaman çizelgesinde görün

KVKK'nın resmî açıklamasına göre veri sorumlusu başvuruyu en geç otuz gün içinde sonuçlandırmalıdır. Başvurunun reddedilmesi, cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde Kanunun 14'üncü maddesi Kurula şikâyeti iki sınırla birlikte kurar: veri sorumlusunun cevabının öğrenildiği tarihten itibaren otuz gün ve her hâlde ilk başvuru tarihinden itibaren altmış gün. “Her hâlde” sınırı nedeniyle yalnız cevap tarihine bakmak yeterli değildir. İlk başvuru, teslim ve cevabı öğrenme tarihleri aynı zaman çizelgesinde tutulmalıdır.

Kurulun 24 Ocak 2019 tarihli ve 2019/9 sayılı kararı, zamanında cevap, geç cevap ve hiç cevap verilmemesi senaryolarını ayırarak bu sınırların birlikte okunmasını açıklar. Ancak bu makale kişisel son gün hesaplamaz. Gönderim ile teslim tarihi, elektronik bildirimin öğrenilme anı, eksik başvuru, geç cevap veya başka usul tartışmaları somut kaydı etkileyebilir. Takvimde yalnız “30 gün ekle” işlemi yapmak güvenli değildir. Yaklaşan veya tartışmalı bir süre, özgün başvuru ve bildirim belgeleriyle yetkili merci ya da uygun hukuk profesyoneli üzerinden doğrulanmalıdır.

Bu içerik 26 Temmuz 2026 itibarıyla resmî Kurum sayfaları ve Bakanlığın 4857 sayılı Kanun metni üzerinden hazırlanmıştır. Kişisel veri mevzuatı, ikincil düzenlemeler, Kurul kararları veya çalışma hukuku kapsamı değişebilir; yayın öncesi bağlantı ve yürürlük kontrolü yenilenmelidir. Metinde isimli avukat, veri koruma uzmanı veya çalışma hukuku uzmanı incelemesi yoktur. Belirli bir izleme uygulamasının hukuka uygun olduğu, başvurunun kabul edileceği, iş sözleşmesinin sonucu ya da tazminat hakkı hakkında görüş verilmez.