Kişisel veri işleyen her şirket, dernek veya kamu kurumu veri sorumlusu olarak KVKK'ya uymakla yükümlüdür: verileri kanundaki işleme şartlarından birine dayanarak işlemek, ilgili kişileri aydınlatmak, uygun güvenlik önlemlerini almak ve gerektiğinde VERBİS'e kayıt olmak zorundadır. 1 Haziran 2024'ten itibaren yurt dışına veri aktarımı yeterlilik kararı, uygun güvenceler (ör. standart sözleşme) ve arızi aktarım üzerine kurulu yeni bir rejime tabidir; Kurul'un idari para cezalarına karşı ise idare mahkemesinde dava açılır. Kişisel verisi işlenen kişi önce veri sorumlusuna başvurur, sonuç alamazsa Kurul'a şikâyette bulunabilir.
KVKK nedir, kimleri kapsar?
6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kimliği belirli veya belirlenebilir gerçek kişilere ilişkin her türlü bilginin (ad, telefon, e-posta, IP adresi, kamera görüntüsü, sağlık bilgisi vb.) işlenmesini düzenler. "İşleme" kavramı çok geniştir: verinin elde edilmesi, kaydedilmesi, saklanması, değiştirilmesi, aktarılması, sınıflandırılması ve silinmesi gibi her türlü işlem bu kapsamdadır.
Kanunda üç temel aktör vardır:
- İlgili kişi: Kişisel verisi işlenen gerçek kişi (müşteri, çalışan, ziyaretçi, aday).
- Veri sorumlusu: Verilerin işlenme amaç ve vasıtalarını belirleyen kişi veya kurum (çoğu durumda şirketin kendisi).
- Veri işleyen: Veri sorumlusu adına ve onun talimatıyla veri işleyen kişi veya kurum (bulut hizmeti, muhasebe firması, çağrı merkezi gibi).
Kanunun uygulanmasını Kişisel Verileri Koruma Kurumu ve karar organı olan Kişisel Verileri Koruma Kurulu denetler. Kişisel verilerle ilgili suçlar ise Türk Ceza Kanunu'nun 135–140. maddelerinde ayrıca düzenlenmiştir.
Kişisel veriler hangi şartlarla işlenebilir?
Kişisel veriler, KVKK'nın 4. maddesindeki genel ilkelere (hukuka ve dürüstlük kuralına uygunluk, doğruluk, belirli ve meşru amaç, amaçla bağlantılı ve ölçülü olma, gerekli süre kadar saklama) uygun olarak ve 5. maddedeki işleme şartlarından en az birine dayanılarak işlenebilir:
- İlgili kişinin açık rızası
- Kanunlarda açıkça öngörülmesi
- Fiili imkânsızlık nedeniyle rıza veremeyen kişinin hayatı veya beden bütünlüğünün korunması
- Bir sözleşmenin kurulması veya ifası için gerekli olması
- Veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi
- İlgili kişinin veriyi kendisinin alenileştirmesi
- Bir hakkın tesisi, kullanılması veya korunması
- İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati
Uygulamadaki en yaygın hata, her veri işleme faaliyeti için açık rıza alınmaya çalışılmasıdır. Açık rıza ancak diğer işleme şartlarından hiçbiri bulunmadığında başvurulması gereken bir yoldur; başka bir şarta dayanan işlemler için rıza istenmesi, ilgili kişiyi yanıltabilir. Açık rıza, belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilmelidir; hizmetin sunulması rıza şartına bağlanmamalıdır.
Özel nitelikli kişisel veriler
Sağlık, cinsel hayat, biyometrik ve genetik veriler, ırk, etnik köken, siyasi düşünce, din, dernek-vakıf-sendika üyeliği ve ceza mahkûmiyeti gibi veriler özel nitelikli kabul edilir ve daha sıkı kurallara tabidir (KVKK m.6). 2024'te yürürlüğe giren değişiklikle bu verilerin işlenebileceği hâller yeniden düzenlenmiş; açık rızanın yanı sıra kanunda sayılan sınırlı şartlarla işlenmesi mümkün hâle getirilmiştir. Özel nitelikli verilerin işlenmesinde Kurul'un belirlediği ek güvenlik önlemlerinin alınması zorunludur.
Aydınlatma yükümlülüğü
Veri sorumlusu, kişisel verileri elde ederken ilgili kişiyi KVKK'nın 10. maddesi uyarınca aydınlatmak zorundadır. Aydınlatma metninde şu bilgiler yer almalıdır:
- Veri sorumlusunun ve varsa temsilcisinin kimliği
- Kişisel verilerin hangi amaçla işleneceği
- Verilerin kimlere ve hangi amaçla aktarılabileceği
- Veri toplamanın yöntemi ve hukuki sebebi
- İlgili kişinin KVKK'nın 11. maddesindeki hakları
Aydınlatma yükümlülüğü, ilgili kişinin rızasının bulunup bulunmadığından bağımsızdır; yani açık rızaya dayanmayan işlemlerde de aydınlatma yapılmalıdır. Aydınlatma metni ile açık rıza metninin ayrı ayrı düzenlenmesi gerekir. Web sitelerinde ayrıca çerez politikası ve zorunlu olmayan çerezler için onay mekanizması kurulmalıdır.
Şirketler için KVKK uyum süreci
- Veri envanteriŞirketin hangi birimlerinde, hangi kişilere ait, hangi verilerin, hangi amaçla, hangi hukuki sebebe dayanarak işlendiği, ne kadar süre saklandığı ve kimlere aktarıldığı tespit edilir.
- Hukuki değerlendirmeHer veri işleme faaliyetinin dayandığı işleme şartı belirlenir; gereksiz veya ölçüsüz işlemeler sonlandırılır.
- BelgelerAydınlatma metinleri, gerektiğinde açık rıza metinleri, kişisel veri işleme ve koruma politikası, saklama ve imha politikası, çerez politikası ve ilgili kişi başvuru formu hazırlanır.
- SözleşmelerVeri işleyenlerle (yazılım, bulut, muhasebe, kargo vb.) veri işleme ve gizlilik hükümleri içeren sözleşmeler yapılır; yurt dışına aktarım varsa uygun aktarım aracı belirlenir.
- Teknik ve idari tedbirlerYetkilendirme, erişim kayıtları, şifreleme, yedekleme, sızma testleri, çalışan eğitimleri ve gizlilik taahhütleri gibi önlemler alınır.
- VERBİS ve sürdürülebilirlikYükümlülük varsa VERBİS kaydı yapılır; uyum, periyodik denetim ve güncellemelerle sürdürülür.
VERBİS kaydı
VERBİS (Veri Sorumluları Sicil Bilgi Sistemi), veri sorumlularının kayıt olduğu ve veri işleme faaliyetlerine ilişkin bilgileri bildirdiği kamuya açık sicildir (KVKK m.16). Kurul, kayıt yükümlülüğüne istisnalar getirmiştir: yıllık çalışan sayısı ve yıllık mali bilanço toplamı Kurul'un belirlediği eşiklerin altında olan ve ana faaliyet konusu özel nitelikli kişisel veri işleme olmayan veri sorumluları ile avukatlar, noterler, mali müşavirler gibi bazı meslek grupları kayıt yükümlülüğünden muaf tutulmuştur. Eşikler ve istisnalar güncellenebildiğinden, kayıt yükümlülüğünün güncel Kurul kararlarına göre değerlendirilmesi gerekir. Kayıt yükümlülüğüne aykırılık idari para cezasıyla yaptırıma bağlanmıştır.
Veri ihlali bildirimi
İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi (siber saldırı, fidye yazılımı, yanlış kişiye e-posta gönderimi, cihaz kaybı gibi) hâlinde veri sorumlusu, bu durumu en kısa sürede ilgilisine ve Kurul'a bildirir (KVKK m.12/5). Kurul kararına göre bu bildirim, ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde yapılmalıdır. Bildirim, Kurum'un web sitesindeki veri ihlali bildirim formu ile yapılır. İhlalden etkilenen ilgili kişilere de makul en kısa sürede bilgi verilmelidir.
İhlali sınırlandırmak için teknik önlemleri alın, ihlalin kapsamını ve etkilenen kişileri tespit edin, tüm adımları kayıt altına alın ve 72 saatlik bildirim süresini kaçırmayın. Siber saldırı söz konusuysa suç duyurusu da gündeme gelir (Bilişim Hukuku).
Yurt dışına veri aktarımı (2024 değişikliği)
7499 sayılı Kanun'la KVKK'nın 9. maddesi değiştirilmiş ve 1 Haziran 2024'ten itibaren yurt dışına veri aktarımı için kademeli yeni bir sistem getirilmiştir:
| Kademe | Açıklama |
|---|---|
| 1. Yeterlilik kararı | Kurul'un aktarımın yapılacağı ülke, sektör veya uluslararası kuruluş hakkında yeterlilik kararı vermesi hâlinde, işleme şartlarından birinin bulunması kaydıyla aktarım yapılabilir. |
| 2. Uygun güvenceler | Yeterlilik kararı yoksa; Kurul'un ilan ettiği standart sözleşmeler, bağlayıcı şirket kuralları veya Kurul izniyle yapılan taahhütnameler gibi güvencelerle aktarım yapılabilir. Standart sözleşme, imzalanmasından itibaren beş iş günü içinde Kurum'a bildirilmelidir. |
| 3. Arızi aktarım | Yeterlilik kararı ve uygun güvence yoksa, yalnızca arızi (düzenli olmayan) aktarımlar için açık rıza, sözleşmenin ifası gibi kanunda sayılan sınırlı istisnalara dayanılabilir. |
Yabancı bulut hizmetleri, uluslararası e-posta ve CRM yazılımları ile yurt dışındaki grup şirketlerine yapılan veri akışları bu kapsamdadır. Düzenli aktarımlar için açık rızaya dayanmak artık yeterli değildir; uygun aktarım aracının belirlenmesi gerekir.
İlgili kişinin hakları ve başvuru süreci
KVKK'nın 11. maddesine göre herkes, veri sorumlusuna başvurarak kendisiyle ilgili olarak şu haklarını kullanabilir:
- Kişisel verisinin işlenip işlenmediğini öğrenme ve işlenmişse bilgi talep etme
- İşlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme
- Verilerin aktarıldığı üçüncü kişileri bilme
- Eksik veya yanlış işlenen verilerin düzeltilmesini isteme
- Verilerin silinmesini veya yok edilmesini isteme
- Düzeltme ve silme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme
- Münhasıran otomatik sistemlerle analiz sonucu aleyhine bir sonuç çıkmasına itiraz etme
- Kanuna aykırı işleme nedeniyle zarara uğraması hâlinde zararın giderilmesini talep etme
- Veri sorumlusuna başvuruBaşvuru yazılı olarak veya Kurul'un belirlediği diğer yöntemlerle (kayıtlı elektronik posta, güvenli elektronik imza vb.) yapılır.
- Veri sorumlusunun cevabıVeri sorumlusu başvuruyu niteliğine göre en kısa sürede ve en geç otuz gün içinde, kural olarak ücretsiz olarak sonuçlandırır (KVKK m.13).
- Kurul'a şikâyetBaşvuru reddedilir, cevap yetersiz bulunur veya süresinde cevap verilmezse, ilgili kişi cevabı öğrendiği tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurul'a şikâyette bulunabilir (KVKK m.14).
Veri sorumlusuna başvurmadan doğrudan Kurul'a şikâyet yoluna gidilemez. Kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakları ise saklıdır.
Yaptırımlar
- İdari para cezaları (KVKK m.18): Aydınlatma yükümlülüğünün, veri güvenliği yükümlülüklerinin, Kurul kararlarının, VERBİS kayıt yükümlülüğünün ve standart sözleşme bildirim yükümlülüğünün ihlali hâlinde uygulanır. Ceza tutarları her yıl yeniden değerleme oranında güncellenir.
- Yargı yolu: 1 Haziran 2024'ten itibaren Kurul'un idari para cezalarına karşı idare mahkemesinde dava açılır; dava açma süresi kural olarak tebliğden itibaren altmış gündür. Bu tarihten önce verilen kararlar için önceki usul (sulh ceza hâkimliğine itiraz) uygulanmaya devam eder.
- Cezai yaptırımlar: Kişisel verileri hukuka aykırı olarak kaydetmek, başkasına vermek, yaymak veya ele geçirmek ve süresi dolduğu hâlde verileri yok etmemek TCK'nın 135–138. maddelerinde suç olarak düzenlenmiştir.
- Tazminat: Veri ihlalinden zarar gören kişiler, maddi ve manevi tazminat talep edebilir.
Görevli merciler
| Konu | Mercii |
|---|---|
| İlgili kişi başvurusu | Veri sorumlusu |
| Şikâyet | Kişisel Verileri Koruma Kurulu |
| Kurul'un idari para cezası ve diğer kararlarına karşı dava | İdare mahkemesi (1 Haziran 2024 sonrası kararlar) |
| Kişisel verilere ilişkin suçlar | Cumhuriyet başsavcılığı, ceza mahkemeleri |
| Tazminat talepleri | Asliye hukuk mahkemesi (tüketici işlemlerinde tüketici mahkemesi) |
Süreler
| Konu | Süre | Dayanak |
|---|---|---|
| Veri sorumlusunun başvuruyu cevaplaması | En geç 30 gün | KVKK m.13 |
| Kurul'a şikâyet | Cevaptan itibaren 30 gün, her hâlde başvurudan itibaren 60 gün | KVKK m.14 |
| Veri ihlalinin Kurul'a bildirimi | Öğrenmeden itibaren en geç 72 saat | KVKK m.12/5; Kurul kararı |
| Standart sözleşmenin Kurum'a bildirimi | İmzadan itibaren 5 iş günü | KVKK m.9 |
| Kurul'un idari para cezasına karşı dava | Tebliğden itibaren 60 gün | KVKK m.18; İYUK m.7 |
Kurul kararları, rehberler, VERBİS eşikleri ve idari para cezası tutarları düzenli olarak güncellenmektedir. Bu sayfa genel bilgilendirme amaçlıdır; güncel düzenlemeler için Kişisel Verileri Koruma Kurumu'nun sitesi kontrol edilmelidir.
Gerekli belgeler
- Şirketler için: mevcut aydınlatma ve rıza metinleri, web sitesi gizlilik ve çerez politikaları, çalışan ve müşteri formları
- Kullanılan yazılım ve bulut hizmetlerinin listesi, hizmet sözleşmeleri, sunucu konumları
- Veri ihlalinde: olay kayıtları, etkilenen veri kategorileri ve kişi sayısı, alınan önlemler
- İlgili kişiler için: veri sorumlusuna yapılan başvuru ve verilen cevap, ihlali gösteren deliller (mesajlar, aramalar, ekran görüntüleri)
İlgili mevzuat
Aşağıdaki düzenlemelere mevzuat.gov.tr ve kvkk.gov.tr üzerinden ulaşabilirsiniz:
- 6698 sayılı Kişisel Verilerin Korunması Kanunu
- 7499 sayılı Kanun (1 Haziran 2024; m.6, m.9 ve m.18 değişiklikleri)
- Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik
- Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ
- Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ
- Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik
- 5237 sayılı Türk Ceza Kanunu — m.135–140
KVKK ve Veri Koruma alt konuları
KVKK ve veri koruma hukukunun başlıca alt konularını aşağıda listeledik. Her biri için ayrıntılı rehber sayfaları hazırlanmaktadır.
- Şirketler için KVKK uyum süreci
- VERBİS
- Veri ihlali bildirimi
- Kurul'a şikâyet
- Yurt dışına veri aktarımı
KVKK ve Veri Koruma hakkında sıkça sorulan sorular
Her şirket KVKK'ya uymak zorunda mı?
Evet. Müşteri, çalışan, tedarikçi veya ziyaretçi gibi gerçek kişilere ait veri işleyen her şirket veri sorumlusudur ve KVKK'ya uymak zorundadır. Aydınlatma, veri güvenliği ve başvurulara cevap verme yükümlülükleri şirketin büyüklüğünden bağımsızdır. VERBİS kaydı ise yalnızca Kurul'un belirlediği eşikleri aşan veya ana faaliyeti özel nitelikli veri işleme olan veri sorumluları için zorunludur.
Her işlem için açık rıza almak gerekir mi?
Hayır. Açık rıza, KVKK'daki işleme şartlarından yalnızca biridir. Sözleşmenin ifası, hukuki yükümlülük veya meşru menfaat gibi başka bir şart varsa açık rıza alınmasına gerek yoktur; hatta bu durumlarda rıza istenmesi ilgili kişiyi yanıltıcı olabilir. Ancak her durumda aydınlatma yükümlülüğü yerine getirilmelidir.
Şirketim yabancı bir bulut hizmeti kullanıyor; KVKK açısından sorun var mı?
Sunucuları yurt dışında bulunan bulut, e-posta veya CRM hizmetlerinin kullanılması yurt dışına veri aktarımı sayılır. 1 Haziran 2024'ten itibaren bu aktarımlar için, aktarım yapılan ülke hakkında Kurul'un yeterlilik kararı yoksa, Kurul'un ilan ettiği standart sözleşmelerden biri gibi uygun bir güvence kullanılmalı ve standart sözleşme imzadan itibaren beş iş günü içinde Kurum'a bildirilmelidir. Düzenli aktarımlarda yalnızca açık rızaya dayanmak artık yeterli değildir.
Bir şirket bilgilerimi izinsiz kullanıyor; ne yapabilirim?
Önce şirkete (veri sorumlusuna) yazılı olarak başvurarak verilerinizin hangi amaçla işlendiğini öğrenmek ve silinmesini istemek gibi KVKK m.11'deki haklarınızı kullanmalısınız. Şirket otuz gün içinde cevap vermezse veya cevap yetersizse, cevabı öğrendiğiniz tarihten itibaren otuz gün ve her hâlde başvurudan itibaren altmış gün içinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilirsiniz. Ayrıca koşulları varsa tazminat davası ve suç duyurusu yolları da açıktır.
Veri ihlali yaşandığında ne kadar sürede bildirim yapılmalı?
Kurul kararına göre veri ihlali, veri sorumlusunun ihlali öğrenmesinden itibaren gecikmeksizin ve en geç 72 saat içinde Kurul'a bildirilmelidir. Bildirim Kurum'un web sitesindeki form aracılığıyla yapılır; tüm bilgiler henüz netleşmemişse sonradan tamamlanabilir. İhlalden etkilenen kişilere de makul en kısa sürede bildirim yapılmalıdır.
İşyerinde kamera kaydı yapmak KVKK'ya aykırı mı?
Güvenlik amacıyla kamera kullanılması, ölçülülük ilkesine uyulması ve aydınlatma yükümlülüğünün yerine getirilmesi kaydıyla mümkündür. Kameralar yalnızca güvenlik amacının gerektirdiği alanlarda bulunmalı; tuvalet, soyunma odası gibi mahremiyet beklentisi yüksek alanlarda kullanılmamalıdır. Çalışanlar ve ziyaretçiler, kamera kaydı yapıldığı konusunda uyarı levhaları ve aydınlatma metinleriyle bilgilendirilmelidir.
KVKK cezasına nasıl itiraz edilir?
1 Haziran 2024'ten itibaren Kişisel Verileri Koruma Kurulu'nun verdiği idari para cezalarına karşı idare mahkemesinde iptal davası açılır; dava açma süresi kural olarak tebliğden itibaren altmış gündür. Bu tarihten önce verilen kararlar bakımından ise önceki usul olan sulh ceza hâkimliğine itiraz yolu uygulanmaya devam eder.
Çalışanlarımın verilerini işlemek için açık rıza almalı mıyım?
Çoğu durumda hayır. Bordro, SGK bildirimi ve iş sağlığı ve güvenliği gibi işlemler kanuni yükümlülük veya iş sözleşmesinin ifası şartlarına dayanır. Çalışanlardan her işlem için rıza alınması, işçi-işveren ilişkisindeki güç dengesizliği nedeniyle rızanın özgür iradeye dayandığının ispatını da zorlaştırır. Bununla birlikte çalışanlara kapsamlı bir aydınlatma metni verilmeli; rıza yalnızca başka bir hukuki sebebin bulunmadığı işlemler için istenmelidir.
Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık niteliği taşımaz. Somut durumunuz için bir avukata başvurunuz. Mevzuat ve yargı uygulaması zaman içinde değişebileceğinden, işlem yapmadan önce güncel mevzuatı kontrol edin. Son güncelleme: 05.10.2026