KVKK Uyum Danışmanlığı

KVKK uyumu kimler için zorunlu?

6698 sayılı Kişisel Verilerin Korunması Kanunu 7 Nisan 2016 tarihli ve 29677 sayılı Resmî Gazete’de yayımlandı. Kanun, kişisel veri işleyen her gerçek ve tüzel kişiyi kapsar; ciro, çalışan sayısı ya da sektör ayrımı yapmaz. Bir müşteri listesi tutan tek şubeli işletme de yüz binlerce kaydı yöneten holding de aynı yükümlülük setine tabidir. Ölçek yalnızca Veri Sorumluları Siciline (VERBİS) kayıt yükümlülüğünde fark yaratır. Aydınlatma, veri güvenliği, saklama ve imha, ilgili kişi başvurularını cevaplama yükümlülükleri istisnasız herkes için geçerlidir. Sahada en sık karşılaştığımız yanılgı, “VERBİS’e kayıtlı değilsem Kanun beni bağlamaz” düşüncesidir; Kanun böyle bir ayrım yapmaz.

Veri sorumlusu musunuz, veri işleyen mi?

Kanunun 3 üncü maddesi veri sorumlusunu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi olarak tanımlar. Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen taraftır. Ayrım kâğıt üzerinde teknik görünse de sonuçları ağırdır: aydınlatma metnini kim yayımlayacak, VERBİS’e kim kaydolacak, ilgili kişi başvurusunu kim cevaplayacak, ihlali Kurula kim bildirecek soruları bu ayrımdan çıkar. Bulut yazılım sağlayıcıları, bordro büroları, çağrı merkezleri, kargo ve arşiv firmalarıyla imzalanan sözleşmelerde rolün yazılı olarak belirlenmesi ve 12 nci maddedeki müşterek sorumluluğun sözleşmeye yansıtılması gerekir.

Kişisel veri hangi hukuki sebeplerle işlenir?

Uygulamadaki en yaygın hata, her veri işleme faaliyeti için açık rıza toplamaktır. Kanunun 5 inci maddesi açık rızayı yalnızca bir hukuki sebep olarak sayar; yanında yedi sebep daha vardır. Bunlar kanunlarda açıkça öngörülmesi, fiili imkânsızlık nedeniyle rızasını açıklayamayacak kişinin hayatının veya beden bütünlüğünün korunması, bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi, ilgili kişinin veriyi kendisinin alenileştirmiş olması, bir hakkın tesisi, kullanılması veya korunması için zorunlu olması ve veri sorumlusunun meşru menfaatidir. Başka bir sebep varken alınan açık rıza geçersiz sayılır; çünkü açık rızanın özgür iradeyle açıklanmış olması gerekir ve hizmetin ön şartı hâline getirilen rıza bu niteliği taşımaz. Doğru kurgulanan bir kişisel veri işleme envanteri her faaliyeti tek tek doğru sebebe bağlar.

Özel nitelikli kişisel verilerde 2024’te ne değişti?

12 Mart 2024 tarihli ve 32487 sayılı Resmî Gazete’de yayımlanan 7499 sayılı Kanun, 6698’in 6 ncı maddesini yeniden yazdı ve değişiklik 1 Haziran 2024’te yürürlüğe girdi. Eski düzenlemede sağlık ve cinsel hayat verileri ile diğer özel nitelikli veriler için iki ayrı rejim vardı. Yeni metin bu ayrımı kaldırdı ve bütün özel nitelikli veriler için ortak bir işleme şartları listesi getirdi: açık rıza, kanunlarda açıkça öngörülme, fiili imkânsızlık hâlinde hayatın veya beden bütünlüğünün korunması, ilgili kişinin alenileştirmesi, bir hakkın tesisi, kullanılması veya korunması, sır saklama yükümlülüğü altındaki kişiler ya da yetkili kurumlarca kamu sağlığının korunması ve tıbbi teşhis, istihdam ile iş sağlığı ve güvenliği ve sosyal güvenlik yükümlülükleri, son olarak vakıf, dernek ve sendikaların üyelerine yönelik sınırlı faaliyetleri.

Bu şartlardan birine dayanmak tek başına yetmez. Kurulun 31 Ocak 2018 tarihli ve 2018/10 sayılı kararıyla belirlediği yeterli önlemlerin ayrıca alınması şarttır: konuya özel yazılı politika, dar tutulmuş erişim yetkilendirmesi, çalışan gizlilik taahhütnamesi, iki kademeli kimlik doğrulama, aktarımda şifreleme ve kâğıt ortamlar için kilitli fiziksel güvenlik. Sağlık kuruluşları, insan kaynakları birimleri ve parmak izi ya da yüz tanımayla giriş kontrolü yapan işletmeler bu listeyi sahada karşılamak durumundadır. Kurul, 29 Nisan 2026 tarihli ve 2026/921 sayılı ilke kararıyla mesai takibi amacıyla biyometrik veri işlenmesini ayrıca ele almıştır.

Yurt dışına veri aktarımı artık nasıl yapılıyor?

7499 sayılı Kanunun getirdiği ikinci büyük değişiklik 9 uncu maddededir. Eski düzende yurt dışına aktarım pratikte açık rızaya veya Kuruldan izin alınmış taahhütnameye sıkışmıştı. 1 Haziran 2024’ten itibaren üç kademeli bir yapı yürürlüktedir. Birinci kademe, Kurulun bir ülke, ülke içindeki sektör veya uluslararası kuruluş için verdiği yeterlilik kararıdır; kararlar dört yılda bir gözden geçirilir. Kurumun 2025 tarihli Kişisel Verilerin Yurt Dışına Aktarılması Rehberi’ne göre bugüne kadar yeterlilik kararı verilmiş bir ülke bulunmamaktadır. İkinci kademe uygun güvencelerdir: kamu kurumları arasındaki anlaşma ve Kurul izni, Kurul onaylı bağlayıcı şirket kuralları, Kurulun ilan ettiği standart sözleşme ve Kurulca izin verilen taahhütname. Üçüncü kademe, yalnızca arızi — düzenli olmayan, süreklilik göstermeyen ve nadiren gerçekleşen — aktarımlar için tanınan istisnai hâllerdir.

Uygulamada en çok kullanılan araç standart sözleşmedir. Kanunun 9 uncu maddesinin beşinci fıkrası, standart sözleşmenin imzaların tamamlanmasından itibaren beş iş günü içinde Kuruma bildirilmesini zorunlu kılar; bu bildirimi yapmayanlar için 18 inci maddede ayrı bir idari para cezası öngörülmüştür. Usul ve esaslar, 10 Temmuz 2024 tarihli ve 32598 sayılı Resmî Gazete’de yayımlanan Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik’te düzenlenmiştir. Geçici 3 üncü madde uyarınca eski açık rıza hükmü 1 Eylül 2024’e kadar uygulanmaya devam etmiş, bu tarihten sonra sona ermiştir. Yurt dışında sunucu barındıran e-posta, CRM, bulut depolama, muhasebe ve insan kaynakları yazılımlarını kullanan şirketler için bu değişiklik, aktarım envanterinin baştan çıkarılması anlamına gelir.

VERBİS kaydı kimler için zorunlu?

Kural, 16 ncı madde uyarınca bütün veri sorumlularının Sicile kaydolmasıdır; Kurul objektif kriterlerle istisna belirler. 6 Temmuz 2023 tarihli ve 2023/1154 sayılı Kurul kararı, 2018/87 sayılı kararla konulan eşiği güncelledi. Buna göre yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 100 milyon Türk lirasından az olan, ana faaliyet konusu özel nitelikli kişisel veri işleme olmayan veri sorumluları kayıt yükümlülüğünden istisnadır. Eşik daha önce 25 milyon TL idi; internette hâlâ eski rakamı veren çok sayıda kaynak bulunuyor, bu yüzden değerlendirmeyi güncel karara göre yapmak gerekir.

22 Nisan 2020 tarihli ve 2020/315 sayılı kararla noterler; faaliyet alanlarıyla sınırlı olmak üzere dernek, vakıf ve sendikalar; siyasi partiler; avukatlar ile serbest muhasebeci mali müşavirler ve yeminli mali müşavirler de istisna kapsamındadır. 14 Aralık 2023 tarihli ve 2023/2135 sayılı kararla köy tüzel kişilikleri eklenmiştir. Kayıt, 30 Aralık 2017 tarihli ve 30286 sayılı Resmî Gazete’de yayımlanan Veri Sorumluları Sicili Hakkında Yönetmelik uyarınca kişisel veri işlemeye başlamadan önce yapılır; yükümlülüğün doğmasından itibaren otuz gün süre vardır ve Sicilde kayıtlı bilgilerdeki değişiklikler yedi gün içinde bildirilir. VERBİS bildirimi bir form doldurma işi değildir: arkasında tutarlı bir işleme envanteri olmadan yapılan kayıt, bir inceleme hâlinde şirketin aleyhine delil hâline gelir.

Aydınlatma yükümlülüğü nasıl yerine getirilir?

10 uncu madde, kişisel verilerin elde edilmesi sırasında veri sorumlusunun ilgili kişiye kimliğini, işleme amacını, verilerin kimlere ve hangi amaçla aktarılabileceğini, toplama yöntemi ile hukuki sebebini ve 11 inci maddede sayılan haklarını bildirmesini zorunlu kılar. 10 Mart 2018 tarihli ve 30356 sayılı Resmî Gazete’de yayımlanan Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ, aydınlatmanın veri işleme faaliyetinden önce ve her kanal için ayrı yapılmasını, genel geçer ifadelerden kaçınılmasını arar. Web sitesi, çağrı merkezi, iş başvurusu formu, kamera sistemi ve ziyaretçi defteri için tek bir metin yeterli olmaz. Aydınlatma metniyle açık rıza metninin aynı belgede birleştirilmesi, Kurulun kararlarında sıkça eleştirdiği bir uygulamadır.

Veri ihlalinde Kurula bildirim süresi kaç saat?

Kanunun 12 nci maddesinin beşinci fıkrası yalnızca “en kısa sürede” der. Kurul, 24 Ocak 2019 tarihli ve 2019/10 sayılı kararıyla bu ifadeyi 72 saat olarak yorumlamıştır ve süre, veri sorumlusunun ihlali öğrendiği andan işlemeye başlar. 72 saat içinde bildirim yapılamıyorsa gecikmenin gerekçesi bildirimle birlikte Kuruma açıklanır. Bildirim, Kurumun yayımladığı Kişisel Veri İhlal Bildirim Formu ile yapılır; bütün bilgiler aynı anda toplanamıyorsa gecikmeye yer verilmeden parça parça iletilir. Etkilenen ilgili kişilere ise makul olan en kısa sürede, mümkünse doğrudan, değilse veri sorumlusunun internet sitesi ya da uygun başka bir yöntemle duyurulur. Veri işleyen, yetkisiz erişimi öğrendiğinde herhangi bir gecikmeye yer vermeksizin veri sorumlusuna bildirmekle yükümlüdür. Bu üç akışın önceden yazılı bir müdahale planına bağlanmamış olması, 72 saatin ilk gününü kaybettiren en yaygın nedendir.

Saklama ve imha politikası ne zaman zorunlu?

28 Ekim 2017 tarihli ve 30224 sayılı Resmî Gazete’de yayımlanan, 1 Ocak 2018’de yürürlüğe giren Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik uyarınca, Sicile kayıt yükümlülüğü bulunan veri sorumluları kişisel veri saklama ve imha politikası hazırlamak zorundadır. Politikada her veri kategorisi için saklama süresi ve bu sürenin hukuki dayanağı, imha yöntemi ve sorumlusu yer alır. Periyodik imha aralığı yönetmeliğin 11 inci maddesi uyarınca her hâlde altı ayı geçemez. İlgili kişinin silme veya yok etme talebi ise en geç otuz gün içinde sonuçlandırılır. Yedeklerdeki kopyalar, fiziksel arşiv kutuları, işten ayrılan çalışanların bilgisayarları ve eski e-posta kutuları uygulamada en sık atlanan ortamlardır.

İlgili kişi başvurusuna kaç gün içinde cevap verilmeli?

13 üncü madde uyarınca veri sorumlusu, başvuruyu en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırır; işlemin ayrıca bir maliyeti gerektirmesi hâlinde Kurulca belirlenen tarifedeki ücret alınabilir. Başvuru usulü, 10 Mart 2018 tarihli Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ ile düzenlenmiştir. Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde ilgili kişi, cevabı öğrendiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunabilir. Kuruma ulaşan şikâyetlerin önemli bölümü, başvurunun kurum içinde doğru birime hiç ulaşmaması yüzünden süresinde cevaplanmamasından doğar; bu nedenle başvuru kanallarının tek noktada toplanması uyum projesinin ilk çıktılarından biridir.

KVKK’ya aykırılığın yaptırımı nedir?

18 inci madde; aydınlatma yükümlülüğünün, veri güvenliğine ilişkin yükümlülüklerin, Kurul kararlarının, Sicile kayıt ve bildirim yükümlülüğünün ve 9 uncu maddedeki standart sözleşme bildiriminin ihlali için ayrı ayrı idari para cezası öngörür. Kanunda yazılı tutarlar taban tutarlardır ve her yıl yeniden değerleme oranında artırılarak uygulanır; geçerli tutarlar Kurumun ilgili yıla ait duyurusundan izlenmelidir. Para cezası tek sonuç değildir: Kurul, telafisi güç zarar doğması hâlinde veri işlemenin durdurulmasına karar verebilir, zarara uğrayan ilgili kişiler genel hükümlere göre tazminat talep edebilir. 7499 sayılı Kanunla Kurul kararlarına karşı başvuru yolu idare mahkemeleri olarak belirlenmiştir.

Veri koruma etki değerlendirmesi Türkiye’de zorunlu mu?

6698 sayılı Kanun, Avrupa Birliği Genel Veri Koruma Tüzüğü’nün 35 inci maddesindekine benzer, adı konulmuş genel bir veri koruma etki değerlendirmesi yükümlülüğü getirmez. Buna karşılık 12 nci maddedeki “uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri alma” yükümlülüğü, riskin ölçülmesini fiilen zorunlu kılar; alınacak tedbirin uygunluğu ancak riske göre değerlendirilebilir. Yüz tanıma, konum takibi, profilleme ve büyük ölçekli özel nitelikli veri işleme gibi faaliyetlerde yazılı bir risk değerlendirmesi yapılması, bir inceleme hâlinde savunulabilir bir zemin sağlar. Aynı kayıt, ISO/IEC 27001 ve ISO/IEC 27701 çalışmalarıyla da paylaşılır. Avrupa’da müşterisi bulunan şirketler için GDPR ile 6698’in birlikte karşılanması ayrı iki proje değil, tek bir envanter üzerinden yürütülmesi gereken tek bir iştir.

Uyum projesi nasıl ilerliyor?

1. 01

   Mevcut durum ve boşluk analizi

   Kişisel veri işleyen bütün birimlerle görüşülür; yazılımlar, fiziksel arşivler, formlar ve sözleşmeler taranır. Çıktı, Kanun ve ikincil mevzuat maddeleriyle eşleştirilmiş, sorumlusu ve termini belirlenmiş bir eksik listesidir.

2. 02

   Kişisel veri işleme envanteri

   Her faaliyet için veri kategorisi, ilgili kişi grubu, işleme amacı, hukuki sebep, saklama süresi, alıcı grupları ve yurt dışı aktarım kaydedilir. Sonraki bütün belgeler bu envanterden türetilir.

3. 03

   Politika ve metinlerin hazırlanması

   Saklama ve imha politikası, kanal bazlı aydınlatma metinleri, gerçekten gereken yerlerdeki açık rıza formları, veri işleyen sözleşme ekleri, erişim yetki matrisi ve veri ihlali müdahale planı yazılır.

4. 04

   Teknik ve idari tedbirlerin uygulanması

   Yetkilendirme, iz kayıtları, yedekleme, şifreleme, fiziksel güvenlik ve tedarikçi denetimi başlıkları 12 nci madde ile 2018/10 sayılı karar karşısında tek tek kapatılır.

5. 05

   VERBİS kaydı ve bildirimler

   Kayıt yükümlülüğü güncel eşiklere göre değerlendirilir, gerekiyorsa bildirim envanterle tutarlı biçimde yapılır; standart sözleşme bildirimleri beş iş günü kuralına göre takvime bağlanır.

6. 06

   Farkındalık eğitimi

   İnsan kaynakları, satış, çağrı merkezi, muhasebe ve bilgi işlem ekiplerine rollerine göre eğitim verilir; veri ihlali senaryosu masabaşı tatbikatıyla denenir.

7. 07

   Sürdürme ve iç gözden geçirme

   Envanter ve politikalar yılda en az bir kez gözden geçirilir, periyodik imha takvimi işletilir, Kurul kararları ve mevzuat değişiklikleri izlenerek metinler güncellenir.

Proje sonunda elinizde kalan belgeler

• Boşluk analizi raporu

  Mevzuat maddeleriyle mevcut uygulamanın karşılaştırıldığı, sorumlu ve termin atanmış eksik listesi.

• Kişisel veri işleme envanteri

  VERBİS bildiriminin ve bütün politika metinlerinin dayandığı ana kayıt.

• Kişisel veri saklama ve imha politikası

  Saklama süreleri tablosu ve altı ayı aşmayan periyodik imha takvimiyle birlikte.

• Aydınlatma ve açık rıza metinleri

  Web sitesi, çalışan, aday, ziyaretçi, kamera, çağrı kaydı ve tedarikçi kanalları için ayrı ayrı hazırlanmış hâlde.

• Veri ihlali müdahale planı

  72 saatlik bildirim akışı, karar tablosu, iletişim listesi ve hazır bildirim formu taslağı.

• Sözleşme ekleri

  Veri işleyenler ve yurt dışı alıcılar için kullanılacak gizlilik, denetim ve aktarım hükümleri.

• Erişim yetki matrisi

  Hangi rolün hangi veri grubuna hangi seviyede eriştiğini gösteren, incelemede ilk istenen belgelerden biri.

Sıkça Sorulan Sorular

KVKK uyumu için sertifika alınır mı?

Hayır. 6698 sayılı Kanun bir belgelendirme rejimi kurmaz; resmî bir “KVKK sertifikası” yoktur. Uyum, dokümantasyon ve fiilî uygulama ile kanıtlanır. Kurumsal bir belge isteniyorsa ISO/IEC 27701 Gizlilik Bilgi Yönetim Sistemi belgelendirmesi uygun yoldur. Bu belgeyi akredite bir belgelendirme kuruluşu düzenler; danışmanlık veren bir firma düzenleyemez.

Şirketimiz 20 kişilik, VERBİS’e kaydolmak zorunda mıyız?

Yıllık çalışan sayınız 50’den az, yıllık mali bilanço toplamınız 100 milyon TL’nin altındaysa ve ana faaliyet konunuz özel nitelikli kişisel veri işleme değilse Sicile kayıt yükümlülüğünüz bulunmaz. Bu istisna yalnızca VERBİS içindir; aydınlatma, veri güvenliği, saklama ve imha ile başvuru cevaplama yükümlülükleriniz aynen devam eder.

Yurt dışındaki bir bulut hizmeti için açık rıza yeterli mi?

Düzenli ve sürekli bir aktarımda yeterli değildir. 1 Haziran 2024’ten sonra açık rıza, yalnızca arızi aktarımlarda ve ilgili kişinin muhtemel riskler hakkında bilgilendirilmesi kaydıyla kullanılabilir. Sürekli kullanılan bir bulut hizmeti için uygun güvence gerekir; uygulamada Kurulun ilan ettiği standart sözleşme imzalanır ve imzaların tamamlanmasından itibaren beş iş günü içinde Kuruma bildirilir.

Veri ihlalini 72 saat içinde bildiremezsek ne olur?

Bildirim yine yapılır ve gecikmenin gerekçesi bildirimle birlikte Kuruma açıklanır. Sürenin aşılması bildirimi geçersiz kılmaz, ancak Kurulun değerlendirmesinde aleyhe bir unsurdur. Bu nedenle müdahale planının, olayın kim tarafından ne zaman “öğrenilmiş” sayılacağını da tanımlaması gerekir.

Çalışanlardan alınan açık rızalar geçerli sayılır mı?

Çoğu durumda sayılmaz. İşveren ile çalışan arasındaki bağımlılık ilişkisi nedeniyle rızanın özgür iradeyle açıklandığı kabul edilmez. Bordro, SGK, iş sağlığı ve güvenliği gibi işlemler zaten kanunlarda açıkça öngörülme ve hukuki yükümlülük sebeplerine dayanır; özlük verileri için ayrıca rıza toplamak hem gereksizdir hem de işlemenin dayanağını zayıflatır.

Aydınlatma metnini web sitesine koymak yeterli mi?

Yeterli değildir. Aydınlatma, kişisel verinin elde edildiği her kanalda ve elde etme anında yapılır. İş başvurusu formu, kamera bölgesi, çağrı merkezi karşılama anonsu, ziyaretçi kaydı, sözleşme ekleri ve mobil uygulama için ayrı metinler gerekir.

KVKK uyumu ne kadar sürer?

Kapsama bağlıdır. Tek lokasyonlu ve sınırlı sayıda sistem kullanan bir işletmede envanter ve dokümantasyon birkaç haftada tamamlanabilir; çok şubeli, çok sistemli ya da özel nitelikli veri yoğun kuruluşlarda teknik tedbirlerin uygulanması daha uzun sürer. Süreyi belirleyen doküman yazımı değil, sahadaki değişikliklerin hayata geçirilmesidir.

Ankara dışındaki firmalara da hizmet veriyor musunuz?

Evet. Merkezimiz Ankara’dadır; saha çalışmalarını Türkiye genelinde yürütüyoruz. Görüşme, envanter çalışmaları ve eğitimlerin önemli bölümü uzaktan yapılabildiğinden, yerinde çalışma gerektiren adımlar planlanarak birleştirilir.