Belediyeye iletilen her talep kişisel veri içerir: vatandaşın adı, telefon numarası, adresi, çoğu zaman da evinin önünden çekilmiş bir fotoğraf. Talep WhatsApp'tan, sosyal medyadan ya da web sitesinden geldiğinde bu veriler kurumun dışındaki platformlardan da geçer. Bu yazıda belediyelerde başvuru yönetimini 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) açısından nasıl kurgulayabileceğinizi pratik başlıklarla anlatıyoruz.

Bu yazı genel bilgilendirme amaçlıdır; hukuki görüş yerine geçmez. Metinlerinizi ve süreçlerinizi kurumunuzun hukuk birimi ve veri koruma sorumlusuyla birlikte değerlendirin.

Vatandaş başvurusu neden bir kişisel veri işleme sürecidir?

KVKK'ya göre kişisel verilerin elde edilmesi, kaydedilmesi, saklanması, aktarılması ve silinmesi "işleme" sayılır. Bir talebin kayda alınması, müdürlüğe yönlendirilmesi, saha ekibine iletilmesi ve arşivlenmesi bu adımların hepsini kapsar. Belediye bu süreçte veri sorumlusudur; kullandığı yazılımın sağlayıcısı ise çoğu durumda veri işleyen konumundadır. Bu ilişkinin bir veri işleme sözleşmesiyle tanımlanması gerekir.

Kamu kurumları açısından bir ayrıntı daha önemlidir: KVKK'nın 18. maddesine göre veri güvenliğine ilişkin yükümlülüklere aykırılık bir kamu kurumunda gerçekleşirse, Kurul'un bildirimi üzerine ilgili kamu görevlileri hakkında disiplin hükümlerine göre işlem yapılır. Başka bir deyişle, vatandaş verisinin kişisel telefonlarda ve kişisel hesaplarda dolaşması yalnız kurumsal değil, kişisel sorumluluk da doğurabilecek bir durumdur.

İşleme şartı: her şey açık rızaya dayanmaz

Sık yapılan bir hata, her başvuruda vatandaştan açık rıza istemektir. KVKK'nın 5. maddesi açık rıza dışında da işleme şartları sayar; kanunlarda açıkça öngörülmesi ve veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi bunların başındadır. Belediyenin görev alanındaki bir talebi işlemesi çoğu durumda bu şartlara dayanır. Hizmeti rızaya bağlamak ise hem gereksizdir hem de rızanın özgür iradeyle verilmesi ilkesiyle çelişebilir.

Açık rıza ya da ayrı bir izin daha çok isteğe bağlı iletişimde gündeme gelir: örneğin su kesintisi ya da etkinlik duyurularının vatandaşa toplu olarak gönderilmesi. Bu yüzden talep bildirimleri ile duyuru izninin birbirinden ayrı tutulması gerekir.

Aydınlatma yükümlülüğü: kısa özet, tam metin, sürüm

KVKK'nın 10. maddesi, veri sorumlusuna verilerin elde edilmesi sırasında ilgili kişiyi aydınlatma yükümlülüğü getirir: veri sorumlusunun kimliği, işleme amacı, verilerin kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile ilgili kişinin hakları. Mesajlaşma kanallarında uzun metin okunmaz; bu yüzden katmanlı bir yaklaşım uygundur: sohbetin başında bir iki cümlelik özet ve tam metne bağlantı.

Aydınlatma metni zamanla değişir. Bir vatandaşın hangi tarihte, metnin hangi sürümünü gördüğünü kanıtlayabilmek için metnin sürümlü tutulması ve sürüm bilgisinin kişi kaydına işlenmesi gerekir.

Kanallar, platformlar ve yurt dışına aktarım

WhatsApp, Instagram, Messenger ve Telegram gibi platformların sunucuları yurt dışındadır. Vatandaş bu kanallardan yazdığında mesaj bu altyapılardan geçer. KVKK'nın 9. maddesi yurt dışına aktarımı belirli şartlara bağlar; 2024 yılında yapılan değişiklikle standart sözleşme gibi araçlar ve bu sözleşmelerin Kurul'a bildirimi gündeme gelmiştir. Benzer bir değerlendirme, metinleri yurt dışındaki bir yapay zekâ hizmetine gönderen özellikler için de yapılmalıdır.

Pratik ilke şudur: kanallar yalnızca taşıyıcı olmalı, talebin kendisi ve sonuç yazışmaları kurumun kendi kaydında durmalıdır. Ayrıntılı bilgiler için vatandaş, mesajlaşma kanalında uzun yazışmalar yerine kurumun takip sayfasına yönlendirilmelidir. Aydınlatma metni de bu kanalların rolünü açıkça söylemelidir.

Erişim yetkisi, en az veri ve denetim kaydı

  • Rol ve kapsam: Müdürlük personeli yalnız kendi birimine düşen talepleri görmeli; kurum içinde bile herkes her kayda erişmemelidir.
  • En az veri: Asistan yalnız talebin yürütülmesi için gereken bilgiyi istemeli; T.C. kimlik numarası gibi veriler gerekmedikçe toplanmamalıdır.
  • Denetim kaydı: Kişisel veriyi kimin ne zaman görüntülediği de kayda geçmelidir; yalnız değişiklikler değil, görüntülemeler de izlenmelidir.
  • Güvenli giriş: Panel hesaplarında iki adımlı doğrulama, ayrılan personelin hesabının kapatılması ve düzenli yedekleme temel önlemlerdir.
  • Dışa aktarım: Excel'e aktarılan bir liste sistemin dışına çıkar ve oradaki erişimi artık yazılım denetleyemez. Bu yüzden dışa aktarımın kimin tarafından, kaç kayıtla yapıldığı da kayda geçmelidir.

İlgili kişi başvuruları ve 30 günlük süre

Vatandaş, KVKK'nın 11. maddesi kapsamında verisinin işlenip işlenmediğini öğrenmek, düzeltilmesini ya da silinmesini istemek gibi haklara sahiptir. Kanunun 13. maddesine göre veri sorumlusu bu başvuruları talebin niteliğine göre en kısa sürede ve en geç 30 gün içinde sonuçlandırır. Belediyelerde bu başvurular çoğu zaman genel evrak akışında kaybolur; ayrı bir kuyrukta, geri sayımlı olarak izlenmeleri gerekir.

Saklama ve imha

Kişisel veriler, işlendikleri amaç için gerekli olan süre kadar saklanmalıdır. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik, saklama ve imha politikası hazırlamakla yükümlü veri sorumlularının periyodik imha işlemini en fazla altı aylık aralıklarla tekrarlamasını öngörür. Talep yönetiminde pratik çözüm şudur: kapatılmış talepler kurumun belirlediği saklama süresi dolduğunda anonimleştirilir; istatistik korunur, kişiyi belirleyen bilgi ortadan kalkar. Her imha işleminin kaydı da kanıt olarak saklanır.

Veri ihlaline hazırlık

KVKK'nın 12. maddesi, işlenen verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusunun bu durumu en kısa sürede ilgilisine ve Kurul'a bildirmesini öngörür; Kurul bu süreyi kararıyla 72 saat olarak belirlemiştir. Olay müdahale planının önceden yazılmış olması, kimin kime ne zaman haber vereceğinin bilinmesi bu süreyi yönetilebilir kılar.

KozTalep'te KVKK araçları

KozTalep, yukarıdaki ilkeleri ürünün günlük işleyişine taşır:

  • Aydınlatma: Metin panelde sürümlü tutulur ve yayın sayfasında yayımlanır; asistan sohbetin başında özetini ve bağlantısını paylaşır, vatandaşın gördüğü sürüm kişi kaydına işlenir.
  • En az veri: Asistan T.C. kimlik numarası sormaz; yalnız talebin yürütülmesi için gereken konu, ad, iletişim ve adres bilgisini toplar.
  • İzinler: Talep bildirimi izni ile duyuru izni ayrı tutulur; her verme ve geri çekme zaman damgasıyla kaydedilir. Vatandaş "İPTAL" yazarak ya da takip sayfasından bildirimleri kapatabilir. Toplu duyurular yalnız duyuru izni olanlara gider.
  • İlgili kişi başvuruları: Erişim, düzeltme, silme ve itiraz başvuruları ayrı bir kuyrukta 30 günlük sayaçla izlenir; süresi yaklaşan başvurular için yöneticiye uyarı gider.
  • Saklama ve imha: Saklama süresi dolan kapalı talepler her ay imha sürecine girer ve anonimleştirilir; imha kayıtları saklanır.
  • Denetim Kaydı: Vatandaş ve talep kayıtlarının görüntülenmesi dahil kişisel veriye dokunan işlemler silinemez biçimde kaydedilir; Excel indirmeleri de satır sayısıyla bu kayda yazılır.
  • Erişim ve güvenlik: Rol ve yetki matrisi, müdürlük kapsamı, iki adımlı doğrulama ve gecelik şifreli yedek; kurumların verileri birbirinden ayrı tutulur.

Başlamadan önce kısa kontrol listesi

  1. Talep süreci için işleme şartınız ve aydınlatma metniniz hazır mı?
  2. Duyuru gibi isteğe bağlı iletişim için ayrı izin alınıyor mu?
  3. Mesajlaşma kanalları ve varsa yapay zekâ hizmeti aydınlatma metninde yer alıyor mu?
  4. Müdürlüklerin erişim kapsamı ve rol yetkileri tanımlı mı?
  5. Saklama süreleri saklama ve imha politikanızla uyumlu mu?
  6. İlgili kişi başvuruları ve veri ihlali için sorumlular belli mi?

Kurulumla birlikte veri işleme sözleşmesi, aydınlatma metni, açık rıza metni, saklama-imha politikası ve olay müdahale planı için taslaklar da paylaşılır; bu taslaklar kurumun hukuk biriminin onayıyla son hâlini alır. Ürünü KozTalep sayfasında inceleyebilir, kurumunuz için demo ve teklif talebi oluşturabilirsiniz. Mesajlaşma kanallarının talep yönetimine bağlanması için WhatsApp rehberimize, yasal cevap süreleri için süre takibi yazımıza göz atabilirsiniz. Sunucu, alan adı ve barındırma ihtiyaçlarınızda web hosting ve alan adı hizmetimizle de destek veriyoruz.