KVKK kimleri kapsar?
Müşteri, çalışan, tedarikçi veya ziyaretçi bilgisi işleyen her gerçek ve tüzel kişi, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında veri sorumlusudur. Ad-soyad, telefon, e-posta, IP adresi, kamera görüntüsü ve araç plakası gibi bir kişiyi belirli veya belirlenebilir kılan her bilgi kişisel veridir.
Sağlık, biyometrik ve genetik veriler, ceza mahkûmiyeti, din, dernek veya sendika üyeliği gibi bilgiler özel nitelikli kişisel veridir ve daha sıkı kurallara tabidir (KVKK m. 6).
VERBİS kaydı kimler için zorunlu?
Veri sorumluları, işlemeye başlamadan önce Veri Sorumluları Sicil Bilgi Sistemi'ne (VERBİS) kaydolmak zorundadır (KVKK m. 16). Kişisel Verileri Koruma Kurulu bazı veri sorumlularını bu yükümlülükten muaf tutmuştur:
| Veri sorumlusu | Muafiyet eşiği |
|---|---|
| Ana faaliyeti özel nitelikli veri işlemek olmayanlar | Yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'den az |
| Ana faaliyeti özel nitelikli veri işlemek olanlar (örneğin klinik, laboratuvar, eczane) | Yıllık çalışan sayısı 10'dan az ve yıllık mali bilanço toplamı 10 milyon TL'den az (Kurul kararı 2025/1572, 1 Ekim 2025) |
| Yurt dışında yerleşik veri sorumluları | Muafiyet yok |
Bilanço tutarları enflasyonla hızla yükseldiği için, daha önce muaf olan şirketlerin her yıl eşikleri yeniden kontrol etmesi gerekir. VERBİS muafiyeti yalnızca kayıt yükümlülüğünü kaldırır; aşağıdaki diğer yükümlülükler herkes için geçerlidir.
Aydınlatma ve açık rıza
Kişisel veriler elde edilirken kişiye; veri sorumlusunun kimliği, verilerin hangi amaçla işleneceği, kimlere aktarılabileceği, toplama yöntemi ve hukuki sebebi ile KVKK m. 11'deki hakları bildirilmelidir (KVKK m. 10). Bu bildirim aydınlatma metni ile yapılır.
Açık rıza ise ayrı bir işlemdir ve yalnızca kanundaki diğer işleme şartlarından hiçbiri yoksa gerekir. Sözleşmenin kurulması, hukuki yükümlülük veya meşru menfaat gibi bir şart varsa, ayrıca açık rıza almak gerekmez. Uygulamada sık görülen hatalar şunlardır:
- Aydınlatma metni ile açık rızanın tek bir metinde birleştirilmesi
- Hizmetin, gerekmediği halde açık rıza verilmesi şartına bağlanması
- Web sitesinde zorunlu olmayan çerezlerin onay alınmadan çalıştırılması
- Pazarlama mesajları için ayrıca İleti Yönetim Sistemi (İYS) onayı alınmaması
Veri güvenliği ve ihlal bildirimi
Veri sorumlusu, verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için gerekli teknik ve idari tedbirleri almak zorundadır (KVKK m. 12). Bu tedbirler arasında yetki matrisi, erişim kayıtları, şifreleme, çalışan eğitimleri, gizlilik taahhütleri ve kişisel veri saklama ve imha politikası yer alır.
Verilerin kanuni olmayan yollarla başkalarınca elde edilmesi halinde, veri sorumlusu durumu öğrendiği andan itibaren en geç 72 saat içinde Kurul'a bildirmeli, etkilenen kişilere de makul en kısa sürede bilgi vermelidir. Siber saldırı, kaybolan bir dizüstü bilgisayar veya yanlış kişiye gönderilen bir e-posta da ihlal sayılabilir.
Yurt dışına aktarım ve 2024 değişiklikleri
7499 sayılı Kanunla 1 Haziran 2024'ten itibaren KVKK'da önemli değişiklikler yapılmıştır:
- Yurt dışına aktarım (m. 9): Açık rızaya dayalı sistem yerine kademeli bir sistem getirilmiştir. Önce yeterlilik kararı, yoksa uygun güvenceler (Kurul'un ilan ettiği standart sözleşmeler, bağlayıcı şirket kuralları), bunlar da yoksa arızi aktarım halleri uygulanır. Standart sözleşme imzalandığında, imzadan itibaren beş iş günü içinde Kurum'a bildirilmelidir.
- Özel nitelikli veriler (m. 6): İşleme şartları genişletilmiş ve yeniden düzenlenmiştir.
- İdari para cezalarına itiraz: Kurul kararlarına karşı itiraz mercii sulh ceza hakimliğinden idare mahkemesine geçmiştir.
Bulut hizmetleri, yurt dışı merkezli CRM ve e-posta sistemleri kullanan şirketler, bu araçlarla yapılan aktarımların yeni sisteme uygun olup olmadığını gözden geçirmelidir.
Şirketler için uyum adımları
- Hangi birimin hangi veriyi, hangi amaçla ve ne kadar süreyle işlediğini gösteren kişisel veri envanteri çıkarın.
- Müşteri, çalışan, aday ve ziyaretçi için ayrı aydınlatma metinleri hazırlayın.
- Açık rızanın gerçekten gerekli olduğu işlemleri belirleyin.
- Saklama ve imha politikası ile veri güvenliği tedbirlerini yazılı hale getirin.
- Veri işleyen tedarikçilerle (muhasebe, bordro, yazılım, kargo) sözleşmelere veri koruma hükümleri ekleyin.
- Eşikleri aşıyorsanız VERBİS kaydını yapın ve güncel tutun.
- İlgili kişi başvurularını 30 gün içinde yanıtlayacak bir süreç kurun (KVKK m. 13).
Uyum çalışmalarına yönelik hizmetlerimiz için KVKK ve bilişim hukuku sayfamıza bakabilirsiniz.
Sık sorulan sorular
Küçük bir işletmeyim, KVKK beni de kapsıyor mu?
Evet. VERBİS'e kayıttan muaf olsanız bile aydınlatma, veri güvenliği, ihlal bildirimi ve ilgili kişi başvurularını cevaplama yükümlülükleri her veri sorumlusu için geçerlidir.
Çalışanlardan açık rıza almak gerekir mi?
Bordro, SGK bildirimi ve iş sözleşmesinin ifası gibi işlemler kanuni yükümlülük ve sözleşme şartlarına dayanır; bunlar için açık rıza gerekmez. Açık rıza, yalnızca başka bir hukuki sebebin bulunmadığı işlemler için alınmalıdır.
KVKK ihlalinin cezası nedir?
KVKK m. 18'deki idari para cezaları her yıl yeniden değerleme oranında artırılır. Ayrıca kişisel verilerin hukuka aykırı kaydedilmesi, verilmesi veya ele geçirilmesi Türk Ceza Kanunu m. 135–140 kapsamında suç oluşturabilir.
İşyerinde kamera kullanabilir miyim?
Güvenlik amacıyla kamera kullanılabilir; ancak kameranın bulunduğu alanlarda aydınlatma yapılmalı, tuvalet ve soyunma odası gibi mahremiyet alanlarında kamera bulunmamalı ve kayıtlar belirli bir süre sonra imha edilmelidir.
Dayanak mevzuat
- 6698 sayılı Kişisel Verilerin Korunması Kanunu m. 3–13, 16, 18
- 7499 sayılı Kanun (1 Haziran 2024)
- Kişisel Verileri Koruma Kurulu kararı, 04.09.2025, 2025/1572 (RG 01.10.2025)
- Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik
- 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun
Bu yazı genel bilgilendirme amacı taşır, hukuki görüş niteliğinde değildir. Mevzuat ve içtihatlar değişebilir; somut durumunuz için bir avukattan görüş alın.