KVKK uyumunda şirketlerin atlamaması gereken yedi yükümlülük

Müşteri, çalışan ya da internet sitesi ziyaretçisi verisi işleyen her şirket, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında veri sorumlusudur. Kişisel Verileri Koruma Kurulu'nun verdiği idari para cezaları her yıl yeniden değerleme oranında artıyor; 2024'te yapılan kapsamlı değişikliklerle de özel nitelikli veriler ve yurt dışına aktarım için yeni bir düzen kuruldu. Uyum, tek seferlik bir belge hazırlığı değil, şirketin günlük işleyişine yerleşmesi gereken bir süreçtir. Bu yazıda şirketlerin en sık atladığı yedi yükümlülüğü sırasıyla ele alıyoruz.

Önce temel kavramlar

Kişisel veri, kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin her türlü bilgidir: ad, telefon numarası, e-posta, IP adresi, kamera görüntüsü, bordro bilgisi. Veri sorumlusu, verilerin hangi amaçla ve hangi yöntemle işleneceğine karar veren kişi ya da şirkettir. Veri işleyen ise veri sorumlusu adına veri işleyen kişidir; örneğin muhasebe firması, bulut hizmeti sağlayıcısı ya da bordro yazılımı şirketi.

1. Aydınlatma yükümlülüğü

Veriyi toplarken ilgili kişiye bir aydınlatma metni sunulmalıdır. Bu metinde en az şunlar yer almalıdır:

• Veri sorumlusunun kimliği,
• Verilerin hangi amaçla işleneceği,
• Verilerin kimlere ve hangi amaçla aktarılabileceği,
• Verilerin toplanma yöntemi ve hukuki sebebi,
• İlgili kişinin KVKK'nın 11. maddesinde sayılan hakları.

Aydınlatma, açık rızadan ayrı bir yükümlülüktür. Kurul, aydınlatma metni ile açık rıza metninin tek bir belgede birleştirilmesini doğru bulmuyor. Aydınlatmanın varlığını ispat yükü veri sorumlusundadır; bu yüzden metnin ne zaman ve nasıl sunulduğunun kayıt altında tutulması gerekir.

2. Doğru hukuki sebebi belirlemek

Şirketlerin en sık yaptığı hata, her veri işleme faaliyeti için açık rıza almaya çalışmaktır. KVKK, açık rıza dışında da veri işlemeye izin veren hukuki sebepler sayar:

• Kanunlarda açıkça öngörülmesi,
• Bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması,
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi,
• Bir hakkın tesisi, kullanılması veya korunması,
• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati.

Açık rıza, bu sebeplerden hiçbiri yoksa başvurulması gereken bir yoldur ve geri alınabilir. Örneğin çalışanın maaşını yatırmak için banka bilgisini işlemek sözleşmenin ifasıdır; bunun için açık rıza istemek gereksizdir, üstelik rıza geri alındığında işlemi tartışmalı hâle getirir.

3. Veri güvenliği

Veri sorumlusu, verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için gerekli teknik ve idari tedbirleri almak zorundadır. Bu tedbirlerin başlıcaları:

• Kimin hangi veriye erişebileceğini gösteren yetki matrisi ve erişim kayıtları,
• Şifreleme, güncel yazılım, güvenlik duvarı ve yedekleme,
• Çalışanlara gizlilik taahhütnamesi ve düzenli eğitim,
• Veri işleyenlerle (yazılım firması, muhasebeci, bulut hizmeti) yapılan sözleşmelere veri güvenliği hükümleri eklenmesi ve bu firmaların denetlenmesi.

Veri işleyenin yol açtığı ihlallerden de veri sorumlusu, veri işleyenle birlikte sorumludur.

4. VERBİS kaydı

Veri sorumluları, işlemeye başlamadan önce Veri Sorumluları Sicil Bilgi Sistemi'ne (VERBİS) kaydolmakla yükümlüdür. Ancak Kurul kararlarıyla belirli şirketler bu yükümlülükten muaf tutulmuştur.

Kurul'un Aralık 2025 tarihli kararıyla, bilanço esasına göre defter tutan şirketlerde iki kriterin birlikte değerlendirileceği; bilanço esasına göre defter tutmayanlarda ise yalnızca çalışan sayısının dikkate alınacağı açıklığa kavuşturuldu. Eşiği aşan şirketler için kayıt süresi Kurul tarafından ayrıca ilan edilir; örneğin 2025 yılı bilançosu nedeniyle yükümlülüğü doğan şirketler için son tarih 5 Haziran 2026 olarak belirlendi.

5. İlgili kişi başvuruları

Kişiler, verilerinin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, düzeltilmesini veya silinmesini isteme ve zarara uğramışlarsa tazminat talep etme hakkına sahiptir. Şirket, bu başvuruları en geç otuz gün içinde ve kural olarak ücretsiz yanıtlamak zorundadır. Başvurusu reddedilen ya da süresinde cevap alamayan kişi Kurul'a şikâyette bulunabilir. Bu nedenle başvuruların hangi kanaldan alınacağı, kimin tarafından değerlendirileceği ve nasıl kayıt altına alınacağı önceden belirlenmelidir.

6. Veri ihlali bildirimi

Kişisel verilerin kanuna aykırı olarak başkalarınca ele geçirilmesi hâlinde durum, öğrenilmesinden itibaren 72 saat içinde Kurul'a bildirilmeli; etkilenen kişilere de makul süre içinde haber verilmelidir. 72 saat, bir kriz anında çok kısa bir süredir. Bu yüzden ihlal anında kimin ne yapacağını gösteren bir müdahale planının önceden hazırlanması gerekir.

Bir veri ihlalinde ilk 72 saat

1. İhlali durdurun ve kayıt altına alınEtkilenen sistemleri izole edin; ne zaman, nasıl öğrenildiğini yazılı hâle getirin.
2. Kapsamı belirleyinHangi verilerin, kaç kişinin ve hangi kategorilerin etkilendiğini tespit edin.
3. Riski değerlendirinİlgili kişiler bakımından olası sonuçları ve alınabilecek önlemleri belirleyin.
4. Kurul'a bildirinKurul'un ihlal bildirim formunu, öğrenmeden itibaren 72 saat içinde doldurun; eksik bilgiler sonradan tamamlanabilir.
5. İlgili kişileri bilgilendirinEtkilenen kişilere makul süre içinde, anlaşılır bir dille bilgi verin.

7. Yurt dışına aktarım

Yurt dışındaki bir sunucuda barındırılan e-posta, CRM veya bulut hizmetleri de yurt dışına veri aktarımı sayılır. 7499 sayılı Kanun'la 1 Haziran 2024'ten itibaren bu alanda yeni bir sistem uygulanıyor:

Standart sözleşmenin süresinde bildirilmemesi başlı başına idari para cezası gerektiren bir kabahattir.

Saklama ve imha

Kişisel veriler, işlenme amacı için gerekli olan süre kadar saklanabilir. VERBİS'e kayıt yükümlülüğü olan şirketlerin bir kişisel veri saklama ve imha politikası hazırlaması ve süresi dolan verileri periyodik olarak silmesi, yok etmesi veya anonim hâle getirmesi gerekir.

Yaptırımlar

%25,49İdari para cezalarına 2026 için uygulanan yeniden değerleme artışı

72 saatVeri ihlalini Kurul'a bildirme süresi

30 günİlgili kişi başvurularını yanıtlama süresi

5 iş günüStandart sözleşmeyi Kurum'a bildirme süresi

Aydınlatma yükümlülüğüne, veri güvenliğine, Kurul kararlarına ve VERBİS yükümlülüğüne aykırılık idari para cezası gerektirir. 1 Haziran 2024'ten itibaren Kurul'un verdiği idari para cezalarına karşı sulh ceza hâkimliğine değil, idare mahkemesine başvurulur. Verilerin hukuka aykırı olarak kaydedilmesi, başkasına verilmesi veya yok edilmemesi ise Türk Ceza Kanunu'nun 135-140. maddeleri kapsamında suç oluşturabilir. Kişilik hakkı ihlal edilen kişiler ayrıca tazminat talep edebilir.

Sık sorulan sorular

Her şirket VERBİS'e kaydolmak zorunda mı?

Hayır. Yıllık çalışan sayısı 50'den az ve bilanço toplamı 100 milyon TL'den az olan, ana faaliyeti özel nitelikli veri işlemek olmayan şirketler muaftır. Ancak VERBİS'ten muaf olmak, KVKK'nın diğer yükümlülüklerinden muaf olmak anlamına gelmez.

Aydınlatma metni ile açık rıza aynı belgede olabilir mi?

Olmamalıdır. Kurul, aydınlatma ile açık rızanın ayrı yükümlülükler olduğunu ve birbirinden ayrı metinlerle yerine getirilmesi gerektiğini kabul ediyor.

Çalışanların verileri için açık rıza almak gerekir mi?

Çoğu durumda gerekmez. Bordro, SGK bildirimi ve iş sağlığı gibi işlemler kanuni yükümlülük veya sözleşmenin ifası sebebine dayanır. Açık rıza, bu sebeplerin bulunmadığı sınırlı durumlarda gerekir.

KVKK cezasına nasıl itiraz edilir?

1 Haziran 2024'ten itibaren Kurul'un verdiği idari para cezalarına karşı idare mahkemesinde dava açılır. Dava açma süresi kısa olduğundan karar tebliğ edildiğinde vakit kaybetmeden hukuki değerlendirme yapılmalıdır.

Mevzuat ve kaynaklar

• 6698 sayılı Kişisel Verilerin Korunması Kanunu: m.5, 6, 9, 10, 12, 16 ve 18
• 7499 sayılı Kanun (yurt dışına aktarım ve idari yargı yolu, 1 Haziran 2024)
• Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik
• Veri Sorumluları Siciline İlişkin Yönetmelik ve Kişisel Verileri Koruma Kurulu'nun VERBİS kararları

Kanun ve yönetmeliklerin güncel metinlerine Mevzuat Bilgi Sistemi, kararlar ve değişikliklere Resmî Gazete üzerinden ulaşılabilir.

Şirketinizin KVKK uyumunu kurmak veya gözden geçirmek için bizimle iletişime geçebilirsiniz. Hizmetlerimizin ayrıntıları Kişisel Verilerin Korunması sayfamızda.