Kişisel Verilerin Korunması ve Veri Hukuku
Kişisel verilerin korunması ve veri hukuku; gerçek kişilere ilişkin bilgilerin hangi şartlarla elde edilebileceğini, kullanılabileceğini, saklanabileceğini, paylaşılabileceğini, yurt dışına aktarılabileceğini ve işleme sebebi ortadan kalktığında nasıl silineceğini, yok edileceğini veya anonim hâle getirileceğini düzenleyen hukuk alanıdır.
6698 sayılı Kişisel Verilerin Korunması Kanunu bu alanın temel düzenlemesidir. Bununla birlikte kişisel veri işleme faaliyetinin niteliğine göre İş Kanunu, Türk Borçlar Kanunu, Türk Ticaret Kanunu, Elektronik Ticaretin Düzenlenmesi Hakkında Kanun, internet ve elektronik haberleşme mevzuatı, sağlık ve finans mevzuatı, Siber Güvenlik Kanunu, fikrî mülkiyet, ticari sır ve ceza hukuku hükümleri de birlikte uygulanabilir.
KVKK uyumu yalnızca internet sitesine bir aydınlatma metni eklemekten ibaret değildir. Hukuki değerlendirme, işletmenin gerçekte hangi verileri topladığı, hangi amaçla kullandığı, hangi sistemlerde tuttuğu, kimlere aktardığı, hangi hizmet sağlayıcılardan yararlandığı, verinin yurt dışına çıkıp çıkmadığı ve artık gerekli olmayan verilerin nasıl imha edildiği üzerinden yapılmalıdır.
Kişisel Veri Nedir?
Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir.
Ad ve soyadın yanında T.C. kimlik numarası, adres, telefon numarası, e-posta adresi, banka ve ödeme bilgileri, araç plakası, müşteri veya çalışan numarası, kamera görüntüsü, ses kaydı, konum bilgisi, IP adresi, cihaz bilgileri, çevrim içi davranış kayıtları ve belirli kişiyle ilişkilendirilebilen başka bilgiler kişisel veri olabilir.
Bir verinin kişinin adını açıkça içermemesi, onun kişisel veri niteliğinde olmadığı anlamına gelmez. Veri başka bilgilerle birlikte değerlendirildiğinde gerçek kişinin belirlenmesini mümkün kılıyorsa KVKK kapsamında olabilir.
Tüzel Kişi Verileri
6698 sayılı Kanun gerçek kişilere ilişkin kişisel verileri korur.
Bir anonim veya limited şirketin yalnız tüzel kişiliğine ait bilanço, üretim miktarı veya salt kurumsal bilgileri doğrudan kişisel veri değildir. Buna karşılık şirket ortağı, yöneticisi, çalışanı, müşterisi veya gerçek kişi tacirle ilişkilendirilebilir bilgiler kişisel veri niteliğinde olabilir.
Kişisel veri ile ticari sır aynı hukuki kavram değildir. Bir bilgi kişisel veri olmasa bile ticari sır, know-how, veri tabanı veya sözleşmesel gizlilik hükümleriyle korunabilir.
Kişisel Veri İşleme Nedir?
Kişisel verinin elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, sınıflandırılması, kullanılması, aktarılması, açıklanması veya erişilebilir hâle getirilmesi veri işleme faaliyetidir.
Verinin aktif şekilde kullanılmaması da tek başına KVKK kapsamından çıkması sonucunu doğurmaz. Eski müşteri veya çalışan bilgilerinin yıllarca şirket sisteminde saklanması da kişisel veri işleme faaliyetidir.
Kişisel Veri İşlemenin Temel İlkeleri
Her kişisel veri işleme faaliyeti hukuka ve dürüstlük kurallarına uygun olmalıdır.
Verilerin doğru ve gerektiğinde güncel olması; belirli, açık ve meşru amaçlarla işlenmesi; işlendikleri amaçla bağlantılı, sınırlı ve ölçülü tutulması ve yalnızca ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesi gerekir.
Bir işletmenin teknik olarak elde edebildiği her bilgiyi toplaması hukuka uygun değildir.
“İleride lazım olabilir” düşüncesi, gereksiz veri toplanması veya süresiz saklama için tek başına hukuki gerekçe oluşturmaz.
Kişisel Veri İşleme Şartları
Her Kişisel Veri İçin Açık Rıza Gerekir mi?
Hayır.
KVKK uygulamasındaki önemli hatalardan biri, bütün veri işleme faaliyetlerinin açık rızaya bağlanmasıdır.
Kanunun 5. maddesinde açık rıza dışında çeşitli kişisel veri işleme şartları bulunmaktadır.
Veri işlemenin kanunlarda açıkça öngörülmesi, fiilî imkânsızlık hâlinde hayat veya beden bütünlüğünün korunması için zorunlu olması, bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili ve gerekli olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması, ilgili kişinin kendisi tarafından alenileştirilmiş verinin alenileştirme iradesine uygun biçimde işlenmesi, bir hakkın tesisi, kullanılması veya korunması için zorunlu olması veya ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati için veri işlemenin zorunlu bulunması durumlarında açık rıza aranmadan veri işlenebilir.
Her işlem bakımından hangi hukuki sebebin gerçekten bulunduğu ayrı ayrı belirlenmelidir.
Sözleşmenin Kurulması ve İfası
Bir tüketicinin internet üzerinden satın aldığı ürünün kendisine gönderilebilmesi için adı, iletişim ve teslimat adresinin işlenmesi sözleşmenin ifasıyla doğrudan bağlantılı olabilir.
Ancak teslimat için alınan telefon numarasının daha sonra reklam veya profilleme amacıyla kullanılması aynı hukuki sebebe otomatik olarak dayanmaz.
Aynı kişisel veri farklı amaçlarla kullanılıyorsa her amaç için hukuki dayanak ayrıca değerlendirilmelidir.
Meşru Menfaat
Veri sorumlusunun meşru menfaati kişisel veri işleme sebeplerinden biridir; ancak sınırsız bir yetki değildir.
Veri işlemenin veri sorumlusunun meşru menfaati için gerçekten zorunlu olması ve ilgili kişinin temel hak ve özgürlüklerine zarar vermemesi gerekir.
Bu nedenle gerektiğinde menfaat ile kişinin mahremiyet beklentisi arasında somut bir denge testi yapılmalıdır.
Açık Rıza
Geçerli Açık Rızanın Şartları
Açık rıza belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızadır.
“Her türlü kişisel verimin her türlü amaçla işlenmesini kabul ediyorum” şeklindeki belirsiz ve sınırsız ifadeler hukuken sorun yaratabilir.
İlgili kişinin neye rıza verdiğini anlayabilmesi gerekir.
Açık Rıza Hizmetin Ön Şartı Yapılabilir mi?
Hizmetin verilebilmesi için zorunlu olmayan bir kişisel veri işleme faaliyetinin kabulü hizmetin vazgeçilmez şartına dönüştürülürse rızanın özgür iradeye dayanıp dayanmadığı tartışmalı hâle gelir.
Tüketicinin satın aldığı ürünün teslimiyle hiçbir ilgisi bulunmayan reklam profillemesine izin vermediği için satın alma işlemini tamamlayamaması buna örnek oluşturabilir.
Açık rıza gerçekten seçim imkânı tanımalıdır.
Aydınlatma Yükümlülüğü
Aydınlatma Metninin İçeriği
Kişisel veri elde edilirken ilgili kişi; veri sorumlusunun ve varsa temsilcisinin kimliği, verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, veri toplamanın yöntemi ve hukuki sebebi ile KVKK m.11 kapsamındaki hakları konusunda bilgilendirilmelidir.
Aydınlatma yükümlülüğü yalnızca açık rıza alınan işlemlerde değil, diğer hukuki işleme sebeplerinin bulunduğu işlemlerde de yerine getirilmelidir.
Aydınlatma ile Açık Rıza Birbirinden Ayrılmalıdır
Eylül 2026 itibarıyla Kişisel Verileri Koruma Kurulunun bu konuda açık İlke Kararı bulunmaktadır.
Aydınlatma metni ile açık rıza metni iç içe geçirilerek tek metin hâlinde sunulmamalıdır.
Aydınlatma, veri sorumlusunun kanuni bilgilendirme yükümlülüğüdür. Açık rıza ise ancak ihtiyaç bulunan veri işleme faaliyetlerinde kullanılabilecek hukuki işleme şartıdır.
İlgili kişinin aydınlatılmak için “rıza vermesi” gerekmez.
Bu nedenle “KVKK Aydınlatma ve Açık Rıza Metnini okudum, anladım ve tümüne rıza veriyorum” şeklindeki tek kutulu sistemler gerçek veri işleme faaliyetine göre yeniden değerlendirilmelidir.
Başka Şirketin KVKK Metnini Kopyalamak
Başka bir işletmeye ait aydınlatma metninin isim değiştirilerek kullanılması doğru bir KVKK uyum yöntemi değildir.
Her veri sorumlusunun kullandığı yazılımlar, topladığı veriler, işleme amaçları, hukuki sebepleri, alıcıları, saklama süreleri ve yurt dışı aktarım yapısı farklı olabilir.
Aydınlatma metninde yazılan ile işletmenin gerçek veri akışı arasında uyum bulunmalıdır.
Özel Nitelikli Kişisel Veriler
Hangi Veriler Özel Niteliklidir?
Kanun özel nitelikli kişisel verileri sınırlı olarak saymıştır.
Kişinin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf veya sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir.
Bu veri kategorisi kıyas yoluyla genişletilemez.
Özel Nitelikli Veriler Ne Zaman İşlenebilir?
Güncel KVKK m.6 sistemi uyarınca özel nitelikli kişisel veriler yalnızca Kanunda sayılan hâllerde işlenebilir.
Açık rızanın bulunması bunlardan biridir.
Bunun yanında işlemenin kanunda açıkça öngörülmesi; fiilî imkânsızlık nedeniyle rızasını açıklayamayan kişinin veya başka bir kişinin hayat veya beden bütünlüğünün korunması için zorunlu olması; ilgili kişinin alenileştirdiği verinin alenileştirme iradesine uygun kullanılması; bir hakkın tesisi, kullanılması veya korunması için zorunlu olması; kanunda öngörülen koşullarla sağlık hizmetlerinin yürütülmesi; istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmet ve sosyal yardım alanındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu bulunması ve Kanunda belirtilen kâr amacı gütmeyen kuruluşların faaliyetleri kapsamında gerçekleşen belirli işlemler de özel nitelikli veri işleme şartları arasında yer almaktadır.
Özel nitelikli kişisel verilerin işlenmesinde ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması zorunludur.
Sağlık Verileri
Çalışanın sağlık raporu, engellilik bilgisi, işyeri hekimi kayıtları, müşteriye veya müvekkile ait tıbbi belgeler ve sigorta dosyalarındaki sağlık kayıtları özel nitelikli kişisel veridir.
Bu verilerin organizasyon içerisindeki herkes tarafından erişilebilir tutulması hukuka uygun kabul edilmemelidir.
Erişim, gerçek görev ve ihtiyaçla sınırlandırılmalıdır.
Biyometrik Veriler
Parmak İzi ve Yüz Tanıma
Parmak izi, iris, yüz geometrisi veya gerçek kişinin benzersiz şekilde tanınmasını veya doğrulanmasını sağlayan diğer teknik veriler biyometrik veri niteliğinde olabilir.
Biyometrik verinin matematiksel şablona veya koda dönüştürülmesi biyometrik veri niteliğini ortadan kaldırmaz.
Çalışanların Mesai Takibinde Biyometrik Veri – 2026 İlke Kararı
Kişisel Verileri Koruma Kurulunun 29 Nisan 2026 tarihli ve 2026/921 sayılı İlke Kararı, çalışanların yalnız mesai veya devam takibi amacıyla biyometrik verilerinin kullanılmasına ilişkin önemli bir sınır getirmektedir.
İşverenin çalışanların çalışma sürelerini takip etme yükümlülüğü bulunmakla birlikte, bu takibin biyometrik yöntemle yapılmasını zorunlu kılan genel bir kanuni düzenleme bulunmamaktadır.
Kurul, yalnız mesai takibi amacıyla biyometrik veri işlenmesinde KVKK m.6’daki diğer işleme şartlarının bulunmadığını ve geçerli açık rıza bulunsa dahi veri işlemenin ölçülülük ilkesini karşılamayacağını değerlendirmiştir.
Bu nedenle personel devam kontrolünün kart, PIN, RFID/NFC sistemi, imza veya benzeri daha az müdahaleci yöntemlerle yapılabilmesi hâlinde biyometrik yöntem kullanılmaması gerekir.
Kritik güvenlik alanlarında biyometrik kimlik doğrulama ise otomatik olarak aynı sonucu doğurmaz. Kullanım amacı, güvenlik riski, alternatif yöntemlerin yeterliliği ve ölçülülük somut olay bakımından ayrıca değerlendirilmelidir.
Çalışan Verileri
İşverenin Veri İşleme Yetkisinin Sınırı
İşverenin yönetim hakkı çalışanlara ilişkin her türlü veriyi sınırsız şekilde toplama veya inceleme hakkı vermez.
İşe alımdan iş ilişkisinin sona ermesine kadar özgeçmiş, kimlik, banka, ücret, izin, performans, sağlık, disiplin, kamera ve kurumsal sistem kayıtları işlenebilir.
Her veri kategorisi için gerçek ihtiyaç, işleme amacı, hukuki sebep, erişim yetkisi ve saklama süresi belirlenmelidir.
İş Başvuruları ve CV’ler
İş başvurusu kapsamında alınan özgeçmişler, işe alım sürecinde ihtiyaç duyulan süreyle bağlantılı tutulmalıdır.
İşe alınmayan bütün adayların özgeçmişlerinin hiçbir süre veya amaç belirlenmeden süresiz saklanması veri minimizasyonu ve saklama ilkeleri bakımından sorun oluşturabilir.
Aday havuzu oluşturulacaksa bunun hukuki dayanağı, süresi ve adayın bilgilendirilmesi ayrıca değerlendirilmelidir.
Kurumsal E-Posta ve Bilgisayarların Denetlenmesi
İşveren belirli koşullarla kurumsal cihaz ve sistemlerde denetim gerçekleştirebilir.
Ancak işverenin çalışanların bütün elektronik haberleşmesini sınırsız biçimde okuyabileceği kabul edilemez.
Denetimin meşru amacı, gerekliliği, ölçülülüğü, çalışanın önceden yeterince bilgilendirilmiş olması ve daha az müdahaleci bir yöntemin bulunup bulunmadığı birlikte değerlendirilmelidir.
Kamera Sistemleri – CCTV
İşyerinde Kamera Kullanımı
İşyeri, mağaza, depo, apartman veya ofislerde güvenlik amacıyla kamera sistemi kurulabilir.
Ancak kamera bulunması her alanın sürekli ve sınırsız biçimde kaydedilebileceği anlamına gelmez.
Kameranın amacı, görüş alanı, kayıt süresi, kayıtlara erişen kişiler ve gerektiğinde ses kaydı özelliği ayrı ayrı değerlendirilmelidir.
Tuvalet, soyunma odası ve benzeri yüksek mahremiyet beklentisi bulunan alanlarda gözetim yapılması çok ağır hukuki sorunlar doğurur.
Kamera Aydınlatması
Kamera görüntüsü üzerinden kişisel veri işleniyorsa ilgili kişilerin uygun biçimde aydınlatılması gerekir.
Kapıya yalnızca kamera resmi veya “bu alan kamerayla izlenmektedir” yazısı asılması her olayda KVKK m.10 kapsamındaki bütün aydınlatma yükümlülüğünü yerine getirmez.
Katmanlı aydınlatma yöntemi kullanılabilir.
Apartman ve Sitelerde Kişisel Veriler
Aidat Borç Listeleri Ortak Alanlara Asılabilir mi?
Bu konuda Eylül 2026 itibarıyla tereddüt bırakmayan bir İlke Kararı vardır.
Kişisel Verileri Koruma Kurulunun 18 Şubat 2026 tarihli ve 2026/348 sayılı İlke Kararına göre, apartman veya site sakinlerine ait ad, soyad, daire numarası, aidat veya avans borcu, ödeme gecikmesi ve benzeri kişisel verileri içeren listelerin asansör, bina girişi veya koridor gibi ortak yerlere asılması KVKK m.5 kapsamında bir işleme şartına dayanmamakta ve kişisel verilerin belirsiz bir kesime açıklanmasına yol açmaktadır.
Kurul bu uygulamanın veri güvenliği yükümlülüğüne de aykırı olduğuna karar vermiştir.
Apartman veya site yönetimi borçluları bilgilendirirken kapalı e-posta, yalnız ilgili kişilerin erişebildiği mesajlaşma grupları veya bu işe özgülenmiş güvenli sistemler gibi yöntemleri kullanmalıdır.
Aidat alacağının mevcut olması, borçlunun kişisel verilerinin binadaki veya sitedeki belirsiz üçüncü kişilere açıklanması için hukuki dayanak oluşturmaz.
İnternet Siteleri ve Çerezler
Çerezler Kişisel Veri İşleyebilir
İnternet sitelerinde kullanılan çerezler ve benzeri teknolojiler; IP adresi, cihaz bilgisi, kullanıcı tercihleri, ziyaret geçmişi, oturum ve reklam kimlikleri gibi kişisel veriler işleyebilir.
Bu nedenle çerez kullanımı yalnızca teknik web tasarımı meselesi değildir.
Zorunlu ve İsteğe Bağlı Çerezler
Hizmetin teknik olarak sunulması için kesinlikle gerekli çerezlerle analitik, reklam veya profilleme amacı taşıyan çerezlerin hukuki dayanağı aynı olmayabilir.
Açık rıza gerektiren çerezler kullanıcı aktif seçim yapmadan çalıştırılmamalıdır.
“Siteyi kullanmaya devam ederek bütün çerezlere rıza vermiş sayılırsınız” şeklindeki yöntem her durumda geçerli rıza oluşturmaz.
Çerez Paneli
Açık rıza gereken çerezlerde kullanıcı gerekli olmayan çerezleri reddedebilmeli ve tercihlerini sonradan değiştirebilmelidir.
Kabul seçeneğinin çok belirgin, ret seçeneğinin gizli veya ulaşılması güç olduğu tasarımlar özgür irade açısından ayrıca değerlendirilmelidir.
Reklam ve Pazarlamada Kişisel Veriler
Üçüncü Kişiden Alınan Telefon Numarası Reklam İçin Kullanılabilir mi?
Kişisel Verileri Koruma Kurumunun 27 Ağustos 2026 tarihli güncel duyurusunda, referans, tavsiye, marka elçiliği, tanıdık yönlendirmesi veya müşteri önerisi gibi yöntemlerle üçüncü kişilerden elde edilen telefon ve e-posta bilgilerinin reklam amacıyla kullanılmasının kendiliğinden hukuki dayanak oluşturmadığı açıkça belirtilmiştir.
Verinin KVKK’daki geçerli bir işleme şartına dayanması ve aydınlatma yükümlülüğünün usulüne uygun yerine getirilmesi gerekir.
Açık rıza gereken durumda kişinin görüşmeyi kapatmaması, kampanyayı dinlemesi, bilgi istemesi veya SMS’e “ret” cevabı vermemesi tek başına açık rıza değildir.
Ticari elektronik ileti gönderiliyorsa 6563 sayılı Kanun ve İYS hükümleri de ayrıca uygulanır.
Veri Sorumlusu ve Veri İşleyen
Veri Sorumlusu Kimdir?
Veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen ve veri kayıt sisteminin kurulması ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir.
Bir şirketin faaliyetlerinde veri sorumlusu çoğu zaman şirket tüzel kişiliğidir.
Şirket içerisinde “KVKK sorumlusu” veya “irtibat kişisi” atanması bu kişiyi otomatik olarak Kanun anlamında veri sorumlusu hâline getirmez.
Veri İşleyen Kimdir?
Veri işleyen, veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen gerçek veya tüzel kişidir.
Hosting, bordro, bulut, çağrı merkezi veya bilgi teknolojileri hizmeti sağlayan şirketler ilişkinin niteliğine göre veri işleyen olabilir.
Ancak her dış hizmet sağlayıcı otomatik olarak veri işleyen sayılmaz.
Hizmet sağlayıcı kişisel verinin hangi amaçlarla ve hangi araçlarla kullanılacağına bağımsız biçimde karar veriyorsa ayrıca veri sorumlusu niteliği gündeme gelebilir.
Tedarikçi ve Veri İşleme Sözleşmeleri
“KVKK’ya Uyacaktır” Maddesi Yeterli Değildir
Veri işleyen veya teknoloji tedarikçisiyle yapılan sözleşmede yalnızca “taraflar KVKK’ya uyacaktır” yazılması yeterli koruma sağlamaz.
İşlenecek veri kategorileri, işleme amacı, erişim yetkileri, gizlilik, teknik ve idari güvenlik önlemleri, alt veri işleyenler, veri ihlali bildirimi, denetim hakkı, veri aktarımı, yedekler ve sözleşmenin sonunda verinin silinmesi veya iade edilmesi düzenlenmelidir.
Veriyi hizmet sağlayıcısına teslim eden veri sorumlusu, yalnızca dış kaynak kullanmış olması nedeniyle Kanundan doğan bütün sorumluluklarından kurtulmaz.
Bulut, Hosting ve E-Posta
Verinin Gerçekte Nerede İşlendiği İncelenmelidir
Kurumsal e-posta, CRM, dosya depolama, yedekleme, muhasebe, çağrı merkezi ve çevrim içi çalışma sistemlerinde kişisel veri işlenebilir.
Hizmet sağlayıcının Türkiye’deki bir şirket olması, verilerin teknik olarak yalnız Türkiye’de işlendiğini garanti etmez.
Sunucuların konumu, kullanılan alt hizmet sağlayıcılar, veri merkezleri ve hizmet kapsamında gerçekleşen uluslararası veri akışı incelenmelidir.
Yabancı bir hizmet veya bulut sağlayıcısının kullanılması da her olayda aynı sonucu doğurmaz. Yurt dışı aktarımı olup olmadığı, hizmetin gerçek teknik ve sözleşmesel veri akışı üzerinden belirlenmelidir.
Kişisel Verilerin Yurt Dışına Aktarılması
Güncel Üç Kademeli Sistem
Eylül 2026 itibarıyla kişisel verilerin yurt dışına aktarılmasında KVKK m.9 kapsamında üç kademeli sistem uygulanmaktadır.
Öncelikle KVKK m.5 veya özel nitelikli veriler bakımından m.6’daki bir işleme şartının bulunması gerekir.
Bunun ardından aktarımın yapılacağı ülke, o ülkedeki belirli sektör veya uluslararası kuruluş hakkında yeterlilik kararı varsa aktarım bu karara dayanabilir.
Yeterlilik kararı yoksa, ilgili kişinin aktarım ülkesinde haklarını kullanabilmesi ve etkili kanun yollarına başvurabilmesi şartıyla Kanunda sayılan uygun güvencelerden birinin sağlanması gerekir.
Yeterlilik kararı ve uygun güvence bulunmuyorsa yalnızca arızi, yani düzenli, sürekli ve sistematik olmayan aktarımlarda Kanunun sınırlı olarak saydığı istisnai aktarım hâlleri kullanılabilir.
Eylül 2026 İtibarıyla Yeterlilik Kararı Bulunuyor mu?
Hayır.
Kişisel Verileri Koruma Kurumunun 7 Eylül 2026 tarihinde güncel olan resmî yurt dışı aktarım sayfasında, yeterli korumanın bulunduğu ülkeler başlığının altında açıkça:
“Bu konuda Kurul tarafından henüz bir belirleme yapılmamıştır.”
denilmektedir.
Dolayısıyla bugün düzenli yurt dışı veri aktarımı yapan işletmeler bakımından uygun güvence yöntemleri uygulamada özellikle önem taşımaktadır.
Yurt Dışı Aktarımında Uygun Güvenceler
Standart Sözleşmeler
Kurul yurt dışına aktarım için dört ayrı standart sözleşme modeli yayımlamıştır:
veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene, veri işleyenden veri işleyene ve veri işleyenden veri sorumlusuna aktarım.
Hangi standart sözleşmenin kullanılacağı tarafların gerçek veri koruma sıfatına göre belirlenmelidir.
Yanlış sözleşme modelinin seçilmesi hukuki güvenceyi sakatlayabilir.
Standart Sözleşmede Beş İş Günü
Standart sözleşme tarafların imzalarının tamamlanmasından itibaren beş iş günü içinde Kişisel Verileri Koruma Kurumuna bildirilmelidir.
Bildirim fiziki olarak, KEP yoluyla veya Standart Sözleşme Bildirim Modülü kullanılarak yapılabilir.
Taraflar sözleşmede bildirim yükümlülüğünü kimin yerine getireceğini belirleyebilir. Bir belirleme yapılmamışsa bildirim veri aktaran tarafından gerçekleştirilir.
2026 Standart Sözleşme Uygulamasında Dikkat Edilecek Hususlar
Kurumun 2026 tarihli güncel uygulama duyurusuna göre standart sözleşmenin her iki aktarım tarafı veya onları temsile yetkili kişiler tarafından geçerli şekilde imzalanması gerekir.
Yabancı dilde sözleşme de düzenlenecekse her iki tarafın Türkçe standart sözleşme metni üzerinde imzası bulunmalıdır.
İmzalayanların temsil ve imza yetkisini gösteren belgeler Kuruma sunulmalıdır.
Yabancı resmî belgeler için durumuna göre apostil veya tasdik ve noter onaylı Türkçe tercüme gerekebilir.
Tarafların imza tarihleri sözleşmede gösterilmelidir.
Sözleşmeye sonradan geçmişe etkili yapay yürürlük tarihi verilmemelidir.
Seçimlik veya alternatif içerikli hükümler dışında Kurul tarafından ilan edilen standart sözleşme metnine ekleme, çıkarma veya değişiklik yapılmamalıdır.
Bağlayıcı Şirket Kuralları
Aynı teşebbüs grubu içerisinde yer alan şirketler arasında düzenli uluslararası veri aktarımı bulunuyorsa Kurul tarafından onaylanan bağlayıcı şirket kuralları uygun güvence yöntemi olarak kullanılabilir.
Bağlayıcı şirket kuralları özellikle çok uluslu şirket gruplarının sürekli grup içi aktarımı bakımından değerlendirilir.
Taahhütname
Tarafların yeterli korumayı sağlayan hükümler içeren yazılı taahhütnamesi de uygun güvence yöntemlerinden biridir.
Ancak standart sözleşmeden farklı olarak bu yöntem Kurulun iznini gerektirir.
Kamu Kurumları Arasındaki Anlaşmalar
Kanunda öngörülen koşullarla Türkiye’deki kamu kurum ve kuruluşları veya kamu kurumu niteliğindeki meslek kuruluşları ile yurt dışındaki kamu kurumları veya uluslararası kuruluşlar arasındaki uluslararası sözleşme niteliğinde olmayan anlaşmalar da Kurulun izniyle uygun güvence oluşturabilir.
Arızi Aktarım Düzenli Aktarımın Alternatifi Değildir
Kanunda sayılan istisnai yurt dışı aktarım sebepleri ancak arızi aktarımlarda kullanılabilir.
Sürekli çalışan yabancı bulut, CRM, e-posta veya benzeri bir altyapının düzenli veri akışını “ara sıra aktarım” olarak nitelendirerek istisnai aktarım hükümlerine dayandırmak mümkün değildir.
Yapay Zekâ ve Kişisel Veriler
Üretken Yapay Zekâ Sistemlerinde Veri Koruma
Kişisel Verileri Koruma Kurumu üretken yapay zekâ sistemlerindeki kişisel veri işlemlerine ilişkin özel rehber yayımlamıştır.
Çalışan veya şirket yetkilisinin müşteri dosyası, dava evrakı, özgeçmiş, sağlık belgesi, çalışan kaydı veya başka kişisel veri içeren belgeyi üretken yapay zekâ hizmetine aktarması KVKK bakımından değerlendirilmesi gereken yeni bir veri işleme faaliyeti oluşturabilir.
Yurt dışı veri aktarımının meydana gelip gelmediği ise kullanılan yapay zekâ hizmetinin veri merkezleri, sağlayıcıları, alt işleyenleri ve gerçek veri akışına göre ayrıca belirlenmelidir.
Her yapay zekâ hizmetinin otomatik olarak aynı ülkeye veya aynı şekilde veri aktardığı varsayılmamalıdır.
Kurumsal Yapay Zekâ Kullanım Politikası
İşletmenin çalışanlarına hangi yapay zekâ araçlarının kullanılabileceğini ve hangi verilerin bu araçlara girilemeyeceğini bildirmesi veri güvenliği bakımından önemlidir.
Müşteri ve müvekkil sırları, sağlık verileri, kimlik belgeleri, özel nitelikli veriler, ticari sırlar, soruşturma ve dava dosyaları ile finansal bilgilerin kontrolsüz şekilde üçüncü taraf sistemlere aktarılması ciddi hukuki risk yaratabilir.
Kurumsal yapay zekâ politikası; izin verilen hizmetleri, yasak veri kategorilerini, gerekiyorsa anonimleştirme veya maskeleme işlemlerini, insan kontrolünü, erişim yetkilerini ve çıktıların doğrulanmasını kapsamalıdır.
Otomatik Karar Alma
İlgili kişinin verilerinin yalnızca otomatik sistemler vasıtasıyla analiz edilmesi sonucunda kişinin kendisi aleyhine bir sonuç ortaya çıkması KVKK m.11 kapsamında itiraz hakkını gündeme getirir.
İşe alım, kredi, sigorta, müşteri profilleme veya performans değerlendirme sistemlerinde yapay zekâ kullanımının bu açıdan ayrıca değerlendirilmesi gerekir.
Veri Güvenliği
Veri Sorumlusunun Yükümlülüğü
Veri sorumlusu kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve verilerin muhafazasını sağlamak için uygun güvenlik düzeyini temin edecek gerekli teknik ve idari tedbirleri almak zorundadır.
KVKK uyumu yalnızca hukuk departmanının doküman hazırlaması değildir.
Bilgi güvenliği, çalışan eğitimi, erişim yönetimi, tedarikçi denetimi ve olay müdahalesi veri koruma sisteminin parçasıdır.
Teknik ve İdari Tedbirler
İşletmenin büyüklüğü, işlediği veri ve risk düzeyine göre erişim yetkilendirmesi, güçlü kimlik doğrulama, şifreleme, loglama, yedekleme, güvenlik duvarı, güncelleme ve yama yönetimi, zararlı yazılım koruması ve zafiyet kontrolleri gibi teknik tedbirler değerlendirilebilir.
İdari tarafta çalışan eğitimi, gizlilik yükümlülükleri, yetki matrisi, tedarikçi denetimi, saklama-imha sistemi, olay müdahale planı ve çalışan işten ayrılma prosedürleri önem taşır.
Kişisel Veri İhlalleri
İhlal Bildirimi Ne Zaman Gündeme Gelir?
KVKK m.12/5 uyarınca işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edildiğinin öğrenilmesi hâlinde veri sorumlusu ilgili kişiye ve Kurula bildirim yapmakla yükümlüdür.
Siber saldırı yanında yanlış kişiye kişisel veri içeren e-posta gönderilmesi, kişisel verilerin yetkisiz kişilerin erişimine açılması veya müşteri dosyasının yanlışlıkla üçüncü kişiye gönderilmesi de olayın özelliklerine göre bu kapsamda değerlendirilmelidir.
72 Saatlik Kurul Bildirimi
Kurul “en kısa sürede” ifadesini en geç 72 saat olarak yorumlamaktadır.
Veri sorumlusu ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirimde bulunmalıdır.
Bütün teknik ayrıntılar henüz belirlenememişse bildirim yalnızca araştırma tamamen sonuçlanana kadar ertelenmemelidir.
Haklı nedenle 72 saat aşıldığında gecikmenin sebebi bildirimle birlikte Kurula açıklanmalıdır.
İlgili Kişilere Bildirim
İhlalden etkilenen kişiler belirlendiğinde ilgili kişilere de makul olan en kısa sürede bildirim yapılmalıdır.
İletişim bilgisi mevcutsa doğrudan; ulaşılamıyorsa veri sorumlusunun internet sitesi gibi uygun yöntemlerle bilgilendirme gerekebilir.
Saklama, Silme, Yok Etme ve Anonimleştirme
Kişisel Veriler Süresiz Saklanamaz
Kişisel verilerin işlenmesini gerektiren sebep ortadan kalktığında veriler resen veya ilgili kişinin talebi üzerine silinmeli, yok edilmeli veya anonim hâle getirilmelidir.
Saklama süresi belirlenirken özel mevzuattaki saklama yükümlülüğü, zamanaşımı ve ispat ihtiyacı ile işleme amacı birlikte değerlendirilmelidir.
Saklama ve İmha Politikası Kimler İçin Zorunludur?
Burada önemli bir ayrım vardır.
VERBİS’e kayıt olmakla yükümlü veri sorumluları, kişisel veri işleme envanterlerine uygun bir kişisel veri saklama ve imha politikası hazırlamak zorundadır.
VERBİS istisnasından yararlanan her veri sorumlusu için ayrıca bu politikayı hazırlama konusunda aynı mevzuat zorunluluğu bulunmaz. Bununla birlikte KVKK m.7 uyarınca işleme sebebi ortadan kalkan verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesi yükümlülüğü devam eder.
Kişisel Veri İşleme Envanteri
Envanter Kimler İçin Zorunludur?
Kişisel Veri İşleme Envanteri hazırlama yükümlülüğü VERBİS’e kayıtla yükümlü veri sorumlularına aittir.
VERBİS kayıt yükümlülüğünden istisna edilen veri sorumlularının mevzuat bakımından envanter hazırlama zorunluluğu bulunmamakla birlikte Kurum, veri işleme faaliyetlerinin sağlıklı yönetilmesi bakımından envanter hazırlanmasını önermektedir.
Envanterde iş süreçleri, veri kategorileri, ilgili kişi grupları, işleme amaçları, hukuki sebepler, alıcı grupları, azami saklama süreleri, yurt dışına aktarım ve güvenlik tedbirleri ortaya konulur.
VERBİS
Genel VERBİS İstisnası
Eylül 2026 itibarıyla ana faaliyet konusu özel nitelikli kişisel veri işleme olmayan veri sorumlularından;
yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 100 milyon TL’den az olan gerçek veya tüzel kişiler VERBİS kayıt ve bildirim yükümlülüğünden istisnadır.
Her iki kriterin ve ana faaliyet şartının birlikte değerlendirilmesi gerekir.
Ana Faaliyeti Özel Nitelikli Veri İşlemek Olanlarda Güncel İstisna
Bu konuda da artık ayrı bir eşik bulunmaktadır.
Ana faaliyet konusu özel nitelikli kişisel veri işleme olmakla birlikte;
yıllık çalışan sayısı 10’dan az ve yıllık mali bilanço toplamı 10 milyon TL’den az olan gerçek veya tüzel kişi veri sorumluları da VERBİS’e kayıt ve bildirim yükümlülüğünden istisnadır.
Bu ikinci istisna özellikle sağlık ve benzeri özel nitelikli veri işlemeyi ana faaliyet olarak yürüten küçük işletmeler bakımından önemlidir.
Avukatlar ve Arabulucular
Avukatlık Kanunu uyarınca faaliyet gösteren avukatlar ile arabulucular Kurul kararlarıyla VERBİS’e kayıt yükümlülüğünden istisna edilmiştir.
Ancak:
VERBİS’ten istisna olmak KVKK’dan istisna olmak değildir.
Avukat ve arabulucuların da kişisel verileri hukuka uygun işlemesi, veri güvenliğini sağlaması, aydınlatma yükümlülüğüne uyması ve Kanundan doğan diğer yükümlülükleri yerine getirmesi gerekir.
Avukatın avukatlık faaliyeti dışında ayrıca başka bir veri sorumluluğu bulunuyorsa bu faaliyet ayrıca değerlendirilmelidir.
İlgili Kişinin Hakları
KVKK m.11
İlgili kişi; kişisel verisinin işlenip işlenmediğini öğrenme, işlenmişse bilgi isteme, işleme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme, yanlış veya eksik verinin düzeltilmesini isteme, koşulları varsa silme veya yok etme talep etme, bu işlemlerin verinin aktarıldığı üçüncü kişilere bildirilmesini isteme, münhasıran otomatik sistemler aracılığıyla analiz sonucunda aleyhine ortaya çıkan sonuca itiraz etme ve hukuka aykırı veri işleme nedeniyle zarara uğraması hâlinde zararın giderilmesini talep etme haklarına sahiptir.
Veri Sorumlusuna Başvuru ve Kurula Şikâyet
Veri Sorumlusuna Başvuru
İlgili kişi KVKK m.11 kapsamındaki haklarını kullanmak için öncelikle veri sorumlusuna başvurmalıdır.
Veri sorumlusu talebi niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırmalıdır.
Kurula Şikâyet Süreleri
Veri sorumlusu başvuruyu reddeder veya verdiği cevap yetersiz bulunursa ilgili kişi cevabı öğrendiği tarihten itibaren otuz gün içinde Kurula şikâyette bulunabilir.
Veri sorumlusu otuz günlük sürede cevap vermezse başvuru tarihinden itibaren altmış gün içinde Kurula şikâyet edilebilir.
Veri sorumlusunun otuz günlük cevap süresi geçtikten sonra cevap vermesi hâlinde ilgili kişinin geç cevabı beklemek zorunda olmadığı ve altmış günlük üst sürenin dikkate alınması gerektiği Kurul uygulamasında ayrıca açıklanmıştır.
Kurul Kararının Yerine Getirilmesi
Kurul bir ihlal tespit ederek veri sorumlusuna hukuka aykırılığın giderilmesini emrederse karar tebliğ tarihinden itibaren gecikmeksizin ve en geç otuz gün içinde yerine getirilmelidir.
2026 Kurul İlke Kararları
Açık Rıza ve Aydınlatma
2026/347 sayılı İlke Kararı uyarınca açık rıza ve aydınlatma süreçleri birbirinden ayrılmalıdır. Başka veri sorumlusuna ait metinlerin uyarlanmadan kullanılması ve hukuki sebeplerin belirsiz ifadelerle gösterilmesi de Kurul tarafından açıkça eleştirilmiştir.
Apartman ve Site Borç Bilgileri
2026/348 sayılı İlke Kararı uyarınca aidat ve benzeri borç bilgilerinin ortak alanlara asılması hukuka uygun bir işleme şartına dayanmamaktadır ve bu uygulamadan vazgeçilmelidir.
Mesai Takibinde Biyometrik Veri
2026/921 sayılı İlke Kararı, yalnız mesai takibi amacıyla biyometrik veri kullanılmasının geçerli açık rıza bulunsa dahi ölçülülük şartını karşılamadığını ortaya koymuştur.
Kamu Kurumlarının İnternette Kişisel Veri Yayınlaması
2026/1301 sayılı İlke Kararı kamu tüzel kişiliğini haiz veri sorumlularına yöneliktir.
Karara göre kişisel verilerin internet ortamında yayımlanması ayrıca kişisel veri işleme faaliyetidir; geçerli işleme şartı bulunmalı ve yalnız amaç için gerekli asgari veri yayımlanmalıdır. Gereksiz veriler bakımından maskeleme ve anonimleştirme gibi yöntemlerden yararlanılmalıdır.
Bu İlke Kararının doğrudan muhatabı kamu tüzel kişileridir; ancak KVKK m.4’teki amaçla bağlantılılık, sınırlılık ve ölçülülük ilkeleri bütün veri sorumluları bakımından uygulanmaya devam eder.
2026 KVKK İdari Para Cezaları
6698 sayılı Kanunda yer alan idari para cezaları her yıl yeniden değerleme oranında artırılmaktadır.
2026 yılı için aydınlatma yükümlülüğünün yerine getirilmemesinde ceza 85.437 TL ile 1.709.200 TL, veri güvenliği yükümlülüklerinin ihlalinde 256.357 TL ile 17.092.242 TL, Kurul kararının yerine getirilmemesinde 427.263 TL ile 17.092.242 TL, VERBİS kayıt ve bildirim yükümlülüğüne aykırılıkta 341.809 TL ile 17.092.242 TL arasındadır.
KVKK m.9/5 uyarınca standart sözleşmenin beş iş günü içinde bildirilmesi yükümlülüğünün yerine getirilmemesinde ise 2026 yılı ceza aralığı 90.308 TL ile 1.806.177 TL arasındadır.
Bu tutarlar 2026 yılına özgüdür ve sonraki yıllarda yeniden güncellenmelidir.
KVKK İdari Para Cezalarına Karşı Yargı Yolu
Kişisel Verileri Koruma Kurulu tarafından verilen idari para cezalarına karşı güncel KVKK m.18 uyarınca idare mahkemelerinde dava açılabilir.
Bu nedenle eski kaynaklarda bulunan “KVKK para cezasına sulh ceza hâkimliğinde itiraz edilir” bilgisi güncel hukuk bakımından kullanılmamalıdır.
Somut yaptırımın tebliğ tarihi, görev, yetki ve yürütmenin durdurulması koşulları idari yargı mevzuatı çerçevesinde ayrıca değerlendirilmelidir.
KVKK Uyum Çalışması Nasıl Yürütülmelidir?
Önce Veri Akışı Belirlenmelidir
KVKK uyumuna matbu belge hazırlayarak başlanmamalıdır.
Önce işletmenin kimlerin hangi kişisel verilerini topladığı, bu verileri hangi amaçlarla ve hangi hukuki sebeplerle işlediği, kimlerin eriştiği, hangi üçüncü kişilere gönderildiği, hangi yazılım ve hizmetlerde tutulduğu, yurt dışına aktarım bulunup bulunmadığı, ne kadar süre saklandığı ve işleme amacı sona erdiğinde nasıl imha edildiği ortaya çıkarılmalıdır.
Belgeler Fiilî Sistemle Uyumlu Olmalıdır
Aydınlatma metinleri, açık rıza süreçleri, sözleşmeler, kamera bildirimleri, çerez sistemi, çalışan dokümanları, tedarikçi sözleşmeleri, VERBİS kaydı ve gerçek teknik sistem birbirini doğrulamalıdır.
Gerçek sistem başka türlü çalışırken kâğıt üzerinde kusursuz görünen KVKK dosyası gerçek anlamda uyum sağlamaz.
Tedarikçi Kontrolü
E-posta, hosting, CRM, muhasebe, bordro, güvenlik, çağrı merkezi, bulut, dosya paylaşımı ve yapay zekâ hizmetlerinin her biri kişisel veri işleyebilir.
Bu hizmetler yalnız fiyat veya teknik performans bakımından değil, veri koruma hukuku açısından da incelenmelidir.
Veri İhlali Hazırlığı
İhlal meydana geldikten sonra ilk defa prosedür oluşturmak zaman kaybettirir.
İhlali kimin tespit edeceği, teknik incelemeyi kimin yürüteceği, 72 saatlik sürenin kimin tarafından takip edileceği, Kurul bildirimini kimin hazırlayacağı ve ilgili kişilerin nasıl bilgilendirileceği önceden belirlenmelidir.
Kişisel Verilerin Korunması ve Veri Hukuku Kapsamındaki Çalışmalar
Mutluer Hukuk Bürosu; 6698 sayılı Kişisel Verilerin Korunması Kanununa uyum, veri işleme faaliyetlerinin hukuki analizi, kişisel veri işleme envanteri ve saklama-imha sistemleri, aydınlatma ve açık rıza süreçleri, VERBİS yükümlülüklerinin değerlendirilmesi, çalışan ve iş adayı verileri, kamera sistemleri, internet sitesi ve çerez uygulamaları, özel nitelikli ve biyometrik veriler, üretken yapay zekâ uygulamalarında kişisel veri kullanımı, veri sorumlusu ve veri işleyen ilişkileri, bulut ve teknoloji hizmetleri, yurt dışına veri aktarımı, standart sözleşmeler, bağlayıcı şirket kuralları, veri ihlalleri, ilgili kişi başvuruları, Kişisel Verileri Koruma Kurulu incelemeleri ve idari yaptırımlardan kaynaklanan uyuşmazlıklarda hukuki danışmanlık ve temsil hizmeti vermektedir.
Veri hukuku çalışmalarında ayrıca kişisel veri niteliğinde olmayan kurumsal veriler, ticari sırlar, veri tabanları, teknoloji sözleşmelerindeki veri kullanım hakları ve dijital varlıklara ilişkin hukuki ilişkiler somut olayın özelliklerine göre değerlendirilmektedir.
Son güncelleme: 7 Eylül 2026
Mutluer Hukuk Bürosu
Avukat Arabulucu Enver Alper Mutluer
Şişli – İstanbul
