KVKK Uyum Süreci: Şirketler İçin Adım Adım Rehber

Kişisel veri işleyen her şirket, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında veri sorumlusu sıfatıyla bir dizi yükümlülüğü yerine getirmek zorundadır: aydınlatma metni hazırlamak, gereken hallerde açık rıza almak, VERBİS'e kaydolmak, veri güvenliği önlemlerini almak ve ihlalleri 72 saat içinde Kurul'a bildirmek. Bu yükümlülükler ihmal edildiğinde 2026 yılı için on milyonlarca liraya ulaşabilen idari para cezaları gündeme gelir. Bu rehber; KVKK uyum sürecinin adımlarını, VERBİS kayıt eşiklerini, 12 Mart 2024 reformuyla (7499 sayılı Kanun) değişen yurt dışına veri aktarımı kurallarını ve güncel 2026 ceza bandlarını Türkiye'de faaliyet gösteren şirketler için sade biçimde anlatır.

KVKK Kimleri Kapsar? Veri Sorumlusu Kimdir?

KVKK, gerçek kişilere ait kişisel verileri tamamen veya kısmen otomatik yollarla ya da bir veri kayıt sisteminin parçası olarak işleyen herkesi kapsar. Yani çalışanı, müşterisi, tedarikçisi veya web sitesi ziyaretçisi olan hemen hemen her şirket Kanun'un muhatabıdır.

Kanun'un merkezindeki iki kavramı doğru ayırmak gerekir:

• Veri sorumlusu: Kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi. Çoğu durumda şirketin kendisidir.
• Veri işleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına veri işleyen kişi; örneğin bordro hizmeti aldığınız muhasebe firması, bulut sunucu sağlayıcınız veya çağrı merkeziniz.

Bu ayrım önemlidir, çünkü Kanun'daki idari para cezalarının büyük kısmı doğrudan veri sorumlusuna kesilir. Dışarıdan hizmet aldığınızda veri işleyenle aranızda sorumlulukları düzenleyen bir veri işleme sözleşmesi bulunması gerekir.

KVKK ile ilgilenmesi gereken işletmeler

Sektör fark etmeksizin şu faaliyetlerden biri varsa KVKK gündeminizdedir:

• Çalışan özlük dosyası, bordro, işe alım başvurusu tutmak.
• Müşteri/üye/abone kayıtları, e-ticaret sipariş verileri tutmak.
• Web sitesinde çerez, analitik veya iletişim formu kullanmak.
• CCTV (güvenlik kamerası) ile görüntü kaydı almak.
• SMS, e-posta ya da arama yoluyla ticari elektronik ileti göndermek.

Kişisel Veriyi İşlemenin Hukuki Şartı: Açık Rıza mı, İstisna mı?

KVKK'da kişisel veri işlemenin temel kuralı şudur: Ya ilgili kişinin açık rızası bulunacak, ya da Kanun'da sayılan işleme şartlarından (istisnalardan) en az biri gerçekleşecek. Açık rıza alınmadan işleme yapılabilmesi için mutlaka bir istisnaya dayanılmalıdır.

KVKK m. 5/2'deki başlıca işleme şartları şunlardır:

• Kanunlarda açıkça öngörülmesi.
• Bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması (örneğin satış sözleşmesi için müşteri adres bilgisi).
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi (örneğin SGK bildirimleri).
• İlgili kişinin kendisi tarafından alenileştirilmiş olması.
• Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması.
• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaati için zorunlu olması.

Özel nitelikli (hassas) kişisel veriler

Sağlık, cinsel hayat, din, ırk, etnik köken, siyasi düşünce, felsefi inanç, dernek/vakıf/sendika üyeliği, kılık-kıyafet, ceza mahkûmiyeti ve biyometrik/genetik veriler özel nitelikli kişisel veridir ve daha sıkı korunur. 12 Mart 2024 reformuyla KVKK m. 6 yeniden düzenlenmiş; sağlık ve cinsel hayat verileri için ayrı tutulan dar rejim kaldırılarak işleme şartları yeniden yapılandırılmıştır. Yine de bu veriler kural olarak açık rıza veya Kanun'da sayılan özel bir şart bulunmadan işlenemez ve bunlar için Kurul'un belirlediği ek güvenlik tedbirleri alınmalıdır.

Aydınlatma Yükümlülüğü: Aydınlatma Metni Nasıl Hazırlanır?

Kişisel veri işleyen her veri sorumlusu, verisini işlediği kişiyi önceden bilgilendirmek zorundadır. Bu, KVKK m. 10'da düzenlenen aydınlatma yükümlülüğüdür ve açık rızadan bağımsız, her halükârda yerine getirilmesi gereken bir borçtur.

Aydınlatma metninde asgari olarak şu hususlara yer verilmelidir:

• Veri sorumlusunun (ve varsa temsilcisinin) kimliği.
• Kişisel verilerin hangi amaçla işleneceği.
• İşlenen verilerin kimlere ve hangi amaçla aktarılabileceği.
• Veri toplamanın yöntemi ve hukuki sebebi.
• İlgili kişinin KVKK m. 11'deki hakları (bilgi talep etme, düzeltme, silme, itiraz vb.).

Aydınlatma; verinin elde edilmesi sırasında yapılmalıdır. Web sitesinde ziyaretçi formu, işe alımda aday, çalışanlar, müşteriler, ziyaretçiler ve kamera kaydı için ayrı ayrı uygun aydınlatma metinleri bulunması beklenir.

Aydınlatma ve açık rıza metinlerinin, çerez politikalarının ve veri işleme sözleşmelerinin hazırlanması için KVKK ve bilişim hukuku avukatı desteği almak, sonradan ceza riskiyle karşılaşmamak adına yerinde olur.

VERBİS Kaydı Zorunlu mu? Kimler Kayıt Olmak Zorunda?

VERBİS (Veri Sorumluları Sicil Bilgi Sistemi), veri sorumlularının tutulduğu kamuya açık bir kayıt sistemidir. Kural olarak kişisel veri işleyen veri sorumluları, işleme faaliyetine başlamadan önce VERBİS'e kaydolmak ve bir irtibat kişisi belirlemekle yükümlüdür.

Ancak kayıt zorunluluğu herkes için geçerli değildir. Kişisel Verileri Koruma Kurulu, belirli eşiklere göre muafiyet ve kapsam belirlemiştir. Genel ölçütler şunlardır:

• Yıllık çalışan sayısı ve yıllık mali bilanço toplamı belirli eşiklerin altında kalan veri sorumluları için (ana faaliyeti özel nitelikli veri işleme olmamak kaydıyla) muafiyet öngörülmüştür.
• Ana faaliyet konusu özel nitelikli kişisel veri işleme olan veri sorumluları (örneğin hastaneler, laboratuvarlar) eşik aranmaksızın kayıt yükümlüsü olabilir.
• Kamu kurumları ve bazı meslek grupları için farklı düzenlemeler mevcuttur.

VERBİS'teki irtibat kişisi; Kurul ve ilgili kişilerle iletişimi sağlayan bir bağlantı noktasıdır. Bu kişi, kararları denetleyen bağımsız bir veri koruma görevlisi değildir; yetkisi yalnızca iletişim ve bildirimle sınırlıdır.

Veri Güvenliği Yükümlülüğü: Hangi Tedbirler Alınmalı?

KVKK m. 12, veri sorumlusuna kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ile muhafazasını sağlamak için uygun teknik ve idari tedbirleri alma yükümlülüğü getirir. Bu, uyum sürecinin en çok cezaya konu olan alanlarından biridir; zira veri ihlali yaşandığında Kurul ilk olarak yeterli güvenlik tedbirinin alınıp alınmadığına bakar.

Kurul'un rehberlerinde öne çıkan tedbirler iki başlıkta toplanır:

• İdari tedbirler: Kişisel veri envanteri çıkarmak, kurum içi politika ve prosedürler oluşturmak, çalışanlara gizlilik taahhütnamesi imzalatmak ve farkındalık eğitimi vermek, erişim yetkilerini sınırlamak, veri işleyenlerle sözleşme yapmak.
• Teknik tedbirler: Yetkilendirme ve erişim kontrolü, güncel anti-virüs ve güvenlik duvarı, şifreleme, yedekleme, log (kayıt) tutma, sızma testleri ve güvenlik açığı taramaları.

Veri ihlali olursa ne yapılmalı? (72 saat kuralı)

Kişisel verilerin hukuka aykırı şekilde başkaları tarafından ele geçirilmesi halinde veri sorumlusu, bu durumu öğrendiği tarihten itibaren en kısa sürede ve 72 saat içinde Kurul'a bildirmek zorundadır (Kurul'un 2019/10 sayılı kararı). Ayrıca ihlalden etkilenen ilgili kişilere de makul en kısa sürede bilgi verilmelidir.

Yurt Dışına Veri Aktarımı: 2024 Reformu Neyi Değiştirdi?

Kişisel verinin yurt dışındaki bir sunucuya, grup şirketine veya hizmet sağlayıcıya aktarılması, KVKK'nın en çok ihlal edilen ve 2024'te en köklü değişen alanıdır. 12 Mart 2024 tarihli ve 32487 sayılı Resmî Gazete'de yayımlanan 7499 sayılı Kanun ile KVKK m. 9 yeniden yazılmış; 10 Temmuz 2024 tarihli Yönetmelik ile uygulama esasları belirlenmiştir. Eski, büyük ölçüde açık rızaya dayalı katı model yerini kademeli bir sisteme bırakmıştır.

Artık kişisel veri yurt dışına üç yoldan biriyle aktarılabilir:

1. Yeterlilik kararı: Kurul'un, aktarımın yapılacağı ülke, sektör veya uluslararası kuruluş hakkında verdiği yeterlilik kararının bulunması.
2. Uygun güvenceler: Yeterlilik kararı yoksa; Kurul tarafından ilan edilen standart sözleşme, bağlayıcı şirket kuralları (grup içi aktarımlar için), yazılı taahhütname gibi uygun güvencelerden birinin sağlanması.
3. Arızi (istisnai) haller: Açık rızaya veya sözleşmenin ifası, bir hakkın tesisi gibi belirli kanuni sebeplere dayalı, süreklilik arz etmeyen tek seferlik aktarımlar.

Hangi güvence sizin için uygun?

• Tek bir Türk şirketinin yurt dışındaki ana şirkete İK veya müşteri verisi aktarması için genellikle Kurul'un standart sözleşmesi pratik çözümdür; Türkçe metin değiştirilmeden imzalanır ve 5 iş günü içinde bildirilir.
• Çok sayıda şirket ve ülke arasında veri akışı olan gruplar için bağlayıcı şirket kuralları daha ağır bir onay süreci gerektirse de tüm grubu tek çatı altında kapsadığı için tercih edilebilir.
• Nadiren yaşanan tek seferlik bir aktarım için arızi haller uygun olabilir; ancak düzenli, sürekli akışlar bu istisnaya dayandırılmamalıdır.

Bu aktarımların arkasındaki veri işleme sözleşmelerinin ve standart sözleşmelerin hazırlanıp denetlenmesi için sözleşme avukatı ve ticaret hukuku avukatı desteği almak, çok taraflı veri akışlarında özellikle önem taşır.

GDPR Türk Şirketini Bağlar mı? (AB'ye Satış Yapanlar İçin)

Yalnızca yurt içine yönelik faaliyet gösteren şirketler için cevap çoğunlukla hayırdır; sizin için asıl mevzuat KVKK'dır. Ancak Avrupa Birliği'ndeki kişilere mal/hizmet sunan ya da onların davranışlarını izleyen Türk şirketleri, AB Genel Veri Koruma Tüzüğü'nün (GDPR) yer bakımından genişletilmiş kapsamına (m. 3) girebilir. Bu durumda şirket hem KVKK'ya hem GDPR'a aynı anda uymak zorunda kalır.

Bir Türk şirketini GDPR'a bağlayan tipik haller şunlardır:

• AB'deki müşterilere yönelik, euro fiyatlandırması, AB dillerinde ödeme ve AB'ye kargo sunan bir e-ticaret sitesi işletmek.
• AB'deki kullanıcıları hedefleyen reklam, profilleme veya davranışsal pazarlama yapmak.
• AB'de yerleşik uzaktan çalışanların verilerini işlemek.

Avrupa Birliği, Türkiye için bir yeterlilik kararı vermemiştir. Bu nedenle ters yöndeki aktarımlar, yani AB'den Türkiye'ye GDPR kapsamında veri aktarımı, kendi güvencelerine (genellikle AB Komisyonu standart sözleşmelerine) ihtiyaç duyar. Sonuç olarak AB ile veri alışverişi yapan gruplar çoğu zaman iki ayrı sözleşme setini birlikte yürütür.

İlgili Kişinin Hakları ve Başvuru Süreci

KVKK m. 11, verisi işlenen kişiye (ilgili kişiye) bir dizi hak tanır. Şirketlerin bu hakların kullanımına yönelik bir başvuru mekanizması kurmuş olması beklenir; aksi halde başvurular cezaya dönüşebilir.

İlgili kişinin başlıca hakları şunlardır:

• Kişisel verisinin işlenip işlenmediğini öğrenme ve buna ilişkin bilgi talep etme.
• İşlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme.
• Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme.
• Eksik/yanlış işlenmişse düzeltilmesini isteme.
• Şartların ortadan kalkması halinde silinmesini veya yok edilmesini isteme.
• İşlemenin münhasıran otomatik sistemlerle analiz edilmesi sonucu aleyhe bir sonucun ortaya çıkmasına itiraz etme.
• Hukuka aykırı işleme nedeniyle zarara uğraması halinde zararın giderilmesini talep etme.

Başvuru ve şikâyet yolu

İlgili kişi önce veri sorumlusuna başvurur. Veri sorumlusu, talebi niteliğine göre en kısa sürede ve en geç 30 gün içinde sonuçlandırmak zorundadır. Başvuru reddedilir, yetersiz yanıtlanır veya süresinde cevap verilmezse ilgili kişi, cevabı öğrendiği tarihten itibaren 30 ve her halde başvuru tarihinden itibaren 60 gün içinde Kurul'a şikâyette bulunabilir.

KVKK'ya Uyum İçin Yol Haritası

Türkiye'de faaliyet gösteren bir şirket için savunulabilir bir KVKK uyum programı genellikle şu adımları içerir:

• Veri envanteri çıkarın. Hangi kişisel verileri, kimlerden, hangi amaçla topladığınızı; nerede sakladığınızı ve kimlerle (bulut sağlayıcı, grup şirketi, yurt dışı dahil) paylaştığınızı haritalandırın.
• Hukuki sebepleri belirleyin. Her işleme faaliyeti için açık rızaya mı yoksa m. 5/2'deki bir işleme şartına mı dayandığınızı netleştirin.
• Aydınlatma ve rıza metinlerini hazırlayın. Çalışan, müşteri, ziyaretçi, aday ve kamera için uygun aydınlatma metinleri ile gerektiğinde ayrı açık rıza beyanları oluşturun.
• VERBİS kaydını tamamlayın. Eşikleri karşılıyorsanız kaydolun ve bilgileri güncel tutun.
• Aktarım mekanizmalarını kurun. Yurt dışı aktarım varsa standart sözleşme/bağlayıcı şirket kurallarını uygulayın ve 5 iş günü bildirimini yapın.
• Veri güvenliği tedbirlerini alın. Teknik ve idari tedbirleri uygulayın, çalışanlara eğitim ve gizlilik taahhüdü, ihlal müdahale prosedürü oluşturun.
• Saklama ve imha politikası yapın. Verileri ne kadar süreyle tutacağınızı belirleyip süresi dolanları KVKK'ya uygun şekilde silin, yok edin veya anonim hale getirin.

Çerezler ve web sitesi uyumu

Web siteleri KVKK ihlallerinin sık kaynağıdır. Siteniz çerez, analitik veya izleme pikseli kullanıyorsa; net bir çerez aydınlatması, zorunlu olmayan çerezler için doğru hukuki sebep ve ziyaretçiye ne topladığınızı anlatan bir aydınlatma metni gerekir. AB'ye yönelik bir siteniz varsa aynı çerez bildiriminin GDPR'ın rıza kurallarını da karşılaması gerektiğini unutmayın.

Bu adımlar bir araya geldiğinde teknik, idari ve hukuki katmanları birlikte yürüten bir çalışma gerektirir. Belirli durumunuza göre yükümlülüklerinizin değerlendirilmesi için KVKK avukatı ile görüşebilir veya iletişim sayfamız üzerinden bizimle iletişime geçebilirsiniz.

KVKK Cezaları Ne Kadar? (2026 İdari Para Cezaları)

KVKK'ya aykırılık, her yükümlülük için ayrı ayrı idari para cezasıyla yaptırıma bağlanmıştır. KVKK m. 18'deki cezalar maktu (alt-üst sınırı belirli) niteliktedir ve her yıl ocak ayında yeniden değerleme oranıyla güncellenir. Aşağıdaki tutarlar 2026 yılı için açıklanan bandlardır (2025 yeniden değerleme oranı %25,49; 27 Kasım 2025 tarihli düzenleme, 1 Ocak 2026'da yürürlük).

İdari ceza dışındaki riskler

Mali cezanın yanında başka sonuçlar da gündeme gelebilir:

• Cezai sorumluluk: Kişisel verilerin hukuka aykırı kaydedilmesi, hukuka aykırı verilmesi veya ele geçirilmesi ve süresinde yok edilmemesi, Türk Ceza Kanunu (5237) m. 135-140 kapsamında ayrıca suç oluşturabilir ve hapis cezasını gerektirebilir.
• Tazminat: İlgili kişi, hukuka aykırı işleme nedeniyle uğradığı maddi ve manevi zararın giderilmesini genel hükümlere göre talep edebilir.
• İtibar kaybı ve düzeltici işlemler: Kurul, ceza dışında verinin silinmesi/düzeltilmesi gibi düzeltici talimatlar da verebilir.

Sıkça sorulan sorular