Kişisel Verilerin Korunması ve KVKK Yükümlülükleri

Kişisel verilerin korunması, internet sitesine bir aydınlatma metni eklemekten daha geniş bir çalışmayı gerektirir. Çalışan özlük dosyaları, müşteri kayıtları, kamera görüntüleri, teklif formları ve kullanılan bulut hizmetleri aynı organizasyon içinde farklı veri işleme faaliyetleri oluşturabilir. Her faaliyetin amacı, hukuki sebebi, erişim yetkileri ve saklama süresi ayrı değerlendirilmelidir.

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun temel yaklaşımı; kişisel verilerin belirli ve meşru amaçlarla, gerekli olduğu ölçüde ve uygun güvenlik önlemleriyle işlenmesidir. 2024’teki kanun değişiklikleri ile 2025 ve 2026 tarihli Kurul kararları, özellikle özel nitelikli veriler, yurt dışı aktarım ve aydınlatma uygulamaları bakımından güncel incelemeyi önemli hâle getirmiştir.

Kişisel veri ve veri sorumlusu ne demektir?

Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin bilgiler kişisel veri niteliği taşıyabilir. Ad ve telefon numarası kadar bir çalışan sicili, cihaz kaydı veya kişiyle ilişkilendirilebilen görüntü de kapsamda olabilir. Bir bilginin kurumsal sistemde tutulması, onun kişisel veri olma niteliğini ortadan kaldırmaz.

Verilerin işlenme amaçlarını ve vasıtalarını belirleyen kişi veya kuruluş veri sorumlusudur. Onun adına ve talimatları doğrultusunda veri işleyen hizmet sağlayıcı ise veri işleyen olabilir. Sözleşmede kullanılan unvan, tarafların fiilî rollerinin incelenmesi gereğini ortadan kaldırmaz.

Başlangıçta yanıtlanması gereken sorular şunlardır: Hangi bilgi toplanıyor, kimden alınıyor, neden gerekli, kimler erişiyor, hangi hizmet sağlayıcılara aktarılıyor ve ne zaman siliniyor?

Her işlem için açık rıza gerekir mi?

Açık rıza, kişisel veri işlemenin tek hukuki dayanağı değildir. Kanun’un 5. maddesinde; kanunda açıkça öngörülme, sözleşmenin kurulması veya ifası için gereklilik, hukuki yükümlülük, bir hakkın tesisi ya da korunması ve koşulları oluşan meşru menfaat gibi başka işleme şartları da bulunur.

Örneğin bir satışın tamamlanması için gerekli teslimat bilgisinin işlenmesiyle, aynı kişiye reklam gönderilmesi aynı amaç değildir. İlk faaliyet için bulunan dayanak, ikinci faaliyeti kendiliğinden hukuka uygun hâle getirmez. Ticari elektronik iletiler bakımından ayrıca ilgili özel düzenlemeler de dikkate alınır.

Açık rızaya dayanılacaksa rızanın belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir irade beyanı olması gerekir. Sınırsız ve belirsiz bütün işlemleri kapsayan genel onaylar, sağlam bir uyum yaklaşımı oluşturmaz.

Aydınlatma ile açık rıza neden ayrılmalıdır?

Aydınlatma, ilgili kişiye veri işleme faaliyetini anlatan bir yükümlülüktür. Rıza ise uygun olduğu hâllerde başvurulan bir işleme şartıdır. Bir faaliyetin açık rızaya dayanmaması, kanunun uygulanabildiği durumda aydınlatmanın gereksiz olduğu anlamına gelmez.

Aydınlatmada veri sorumlusunun kimliği, işleme amacı, aktarım yapılabilecek alıcılar ve amaçları, toplama yöntemi, hukuki sebep ve ilgili kişinin hakları açıklanmalıdır. Amaç ile hukuki sebep aynı bilgi değildir; ikisinin de anlaşılır biçimde belirtilmesi gerekir.

Kurulun 18.02.2026 tarihli ve 2026/347 sayılı İlke Kararı, aydınlatma ve açık rıza metinlerinin ayrı düzenlenmesini yeniden vurgulamaktadır. Aynı sayfada sunulmaları durumunda da farklı başlıklar ve ayrı beyanlar gerekir. Salt bilgilendirmeye yönelik metnin, rıza veya kabul metni gibi kurgulanması bu ayrımı bulanıklaştırır.

Özel nitelikli verilerde 2024 sonrası çerçeve

Sağlık, biyometrik ve genetik bilgiler ile kanunda sayılan diğer hassas veri türleri için 6. maddedeki özel rejim uygulanır. Bu verilerin hukuki dayanağı, genel nitelikli verilerden ayrı incelenmelidir.

1 Haziran 2024’te yürürlüğe giren değişiklikle özel nitelikli verilerin işlenme şartları yeniden düzenlenmiştir. Açık rıza dışında; kanunda açık düzenleme, hakkın tesisi veya korunması ve istihdam, iş sağlığı ve güvenliği ya da sosyal güvenlik alanındaki hukuki yükümlülükler gibi koşullar da somut olaya göre dayanak oluşturabilir. Her istisnanın kendi sınırları vardır; Kurulun belirlediği yeterli önlemler ayrıca alınmalıdır.

Bu nedenle çalışan sağlık verileri veya biyometrik giriş sistemleri için tek tip bir rıza formu kullanmak yerine, verinin gerekliliği ve alternatif yöntemler de değerlendirilmelidir.

VERBİS’e kayıt her kuruluş için zorunlu mu?

VERBİS kaydı ile Kanun’a uyum aynı şey değildir. Sicile kayıt yükümlülüğünün bulunmaması, aydınlatma, hukuki dayanak veya veri güvenliği yükümlülüklerini ortadan kaldırmaz.

Kurulun istisna kararlarında çalışan sayısı, mali bilanço toplamı ve ana faaliyetin özel nitelikli veri işleme olup olmaması gibi ölçütler kullanılır. Genel istisna bakımından, yıllık çalışan sayısının 50’den az ve yıllık mali bilanço toplamının 100 milyon TL’den az olması ile ana faaliyet konusunun özel nitelikli veri işleme olmaması birlikte değerlendirilir.

04.09.2025 tarihli ve 2025/1572 sayılı kararla, ana faaliyeti özel nitelikli veri işleme olan bazı küçük ölçekli veri sorumluları için de yıllık çalışan sayısının 10’dan az ve yıllık mali bilanço toplamının 10 milyon TL’den az olması esaslı bir istisna getirilmiştir. Diğer istisnalar, hesaplama kuralları ve güncel kararlar da ayrıca kontrol edilmelidir.

Bulut hizmetleri ve yurt dışına aktarım

Yurt dışı aktarım, yalnızca bir dosyanın yabancı bir kuruluşa e-postayla gönderilmesinden ibaret olmayabilir. Kullanılan hizmetin veri merkezleri, destek ekiplerinin erişimi ve alt hizmet sağlayıcılar da veri akışının anlaşılması bakımından önemlidir.

2024’te değişen 9. madde, işleme şartlarıyla birlikte yeterlilik kararı ve uygun güvenceler gibi aşamalı bir yapı öngörür. Standart sözleşmeler bu güvencelerden biridir; fakat her aktarım için tek ve otomatik çözüm değildir. Tarafların veri sorumlusu veya veri işleyen rolleri doğru belirlenmeli ve uygun sözleşme modeli kullanılmalıdır.

Standart sözleşme yöntemine başvurulduğunda, imzadan itibaren beş iş günü içinde Kuruma bildirim yükümlülüğü bulunmaktadır. Bir sağlayıcının yalnızca “GDPR uyumlu” olduğunu belirtmesi, Türkiye’den yapılan aktarımın bütün şartlarının yerine getirildiğini göstermez.

Veri güvenliği, saklama ve hizmet sağlayıcılar

Uyum, yalnızca metin hazırlamakla tamamlanmaz. Yetkilerin görevle sınırlandırılması, güçlü kimlik doğrulama, güncelleme ve yedekleme, erişim kayıtları, personel eğitimi ve hizmet sağlayıcıların denetlenmesi birlikte ele alınmalıdır.

Veri sorumlusu, kendi adına işleme yapan hizmet sağlayıcılarla ilişkisini fiilî uygulamaya uygun sözleşmelerle düzenlemeli; erişim, gizlilik, alt hizmet sağlayıcılar, ihlal bildirimi ve sözleşme bitimindeki veri iadesi veya silme adımlarını netleştirmelidir.

Saklama süreleri de her veri için aynı değildir. Kanuni saklama zorunluluğu ile işleme amacının gerektirdiği süre birlikte değerlendirilir. İşleme sebepleri ortadan kalktığında silme, yok etme veya anonimleştirme yükümlülüğü gündeme gelir; bütün verileri süresiz tutmak uygun bir çözüm değildir.

Çalışan e-postalarının denetlenmesi

Kurulun 16.09.2026 tarihli ve 2026/2035 sayılı İlke Kararı, kurumsal iletişim kanallarındaki denetimin sınırlarını açıklamaktadır. Hesabın işverene ait olması sınırsız içerik incelemesine izin vermez. Önceden somut bilgilendirme, uygun hukuki dayanak, ölçülülük, daha az müdahaleci yöntemlerin değerlendirilmesi ve erişim yetkilerinin sınırlandırılması önem taşır.

İş ilişkisinin sona ermesi de hesabın ve içindeki verilerin süresiz biçimde erişilebilir tutulmasını kendiliğinden haklı kılmaz. İşten ayrılma prosedüründe e-posta, cihaz ve arşiv erişimleri bu çerçevede ele alınmalıdır.

Başvurular ve veri ihlali durumunda süreler

İlgili kişinin başvurusu, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırılmalıdır. Başvurunun reddi veya cevabın yetersizliği hâlinde cevabın öğrenilmesinden itibaren otuz gün ve her durumda başvurudan itibaren altmış günlük Kurula şikâyet süresi dikkate alınır. Cevap verilmemesi hâlinde de altmış günlük üst süre önemlidir.

Kişisel verilerin hukuka aykırı yollarla başkalarınca elde edilmesi durumunda ayrı bir ihlal değerlendirmesi gerekir. Kurulun 2019/10 sayılı kararı uyarınca Kurula bildirim, öğrenmeden itibaren gecikmeksizin ve en geç 72 saat içinde yapılmalıdır. Etkilenen kişilere bildirim ise onların belirlenmesinden sonra makul olan en kısa sürede gerçekleştirilir; bu iki bildirim aynı süre kuralına indirgenmemelidir.

Uyum çalışmasına nereden başlanabilir?

• İşlenen verileri, amaçları ve hukuki sebepleri gösteren veri akışını belirlemek.
• Aydınlatma metinlerini ve gerekli olan rıza süreçlerini ayrı ayrı gözden geçirmek.
• Özel nitelikli veriler ile yurt dışı aktarımları ayrıca değerlendirmek.
• VERBİS yükümlülüğünü güncel istisna kararlarına göre incelemek.
• Saklama, imha, başvuru ve ihlal yönetimi süreçlerini sorumlularıyla birlikte tanımlamak.
• Hizmet sağlayıcı sözleşmelerini ve çalışan erişimlerini fiilî uygulamayla karşılaştırmak.

Sağlıklı bir KVKK çalışması, hukuki metinlerle teknik ve idari uygulamaların birbirini karşılamasını gerektirir. Kuruluşun ölçeği, veri türleri ve faaliyetleri değiştikçe bu değerlendirme de güncellenmelidir.