Kişisel Verilerin Korunması Hukuku (KVKK)

KVKK uyum projesi ve veri envanteri

KVKK uyumu, şirketin hangi kişisel verileri hangi amaçla, hangi hukuki sebebe dayanarak işlediğinin ve kime aktardığının ortaya konmasıyla başlar. Bu tablo kişisel veri işleme envanteridir; aydınlatma metinleri, politikalar ve VERBİS kaydı bu envanterden türetilir.

1. EnvanterDepartman bazında veri kategorileri, amaçlar, saklama süreleri ve alıcı grupları çıkarılır.
2. Hukuki sebep analiziHer işleme faaliyeti için açık rıza gerekip gerekmediği belirlenir; gereksiz açık rıza metinleri kaldırılır.
3. BelgelerAydınlatma metinleri, açık rıza metinleri, saklama ve imha politikası, veri güvenliği politikası hazırlanır.
4. Teknik ve idari tedbirlerYetki matrisi, erişim kayıtları, gizlilik taahhütleri ve tedarikçi sözleşmeleri düzenlenir.
5. Eğitim ve denetimÇalışanlar bilgilendirilir; uyum belirli aralıklarla gözden geçirilir.

Aydınlatma metni, açık rıza ve politikalar

Veri sorumlusu, kişisel verileri elde ederken ilgili kişiyi; kimliğini, işleme amacını, aktarım yapılacak kişileri, toplama yöntemini ve hukuki sebebini, ayrıca ilgili kişinin haklarını bildirmekle yükümlüdür. Aydınlatma, açık rızadan ayrı bir yükümlülüktür ve rızaya bağlanamaz.

Açık rıza ise yalnızca kanundaki diğer hukuki sebeplerin bulunmadığı durumlarda, belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle verilen onaydır. Hizmetin ön şartı hâline getirilen “her şeye rıza” metinleri geçerli değildir.

Dayanak: KVKK m. 5, 10

VERBİS kaydı

Veri Sorumluları Siciline (VERBİS) kayıt, Kurulun belirlediği istisnalar dışında zorunludur. Güncel eşiklere göre yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 100 milyon TL’den az olan, ana faaliyeti özel nitelikli kişisel veri işlemek olmayan veri sorumluları kayıttan muaftır.

Ana faaliyeti özel nitelikli veri işlemek olanlar (ör. sağlık hizmeti sunanlar) için muafiyet eşiği 10 çalışan ve 10 milyon TL’dir. Bilanço esasına göre defter tutmayanlarda yalnızca çalışan sayısına bakılır. Durumunuzu VERBİS ve KVKK testiyle görebilirsiniz.

Yurt dışına kişisel veri aktarımı

Bulut sunucular, yurt dışı merkezli e-posta ve CRM hizmetleri ile grup şirketleriyle veri paylaşımı, yurt dışına aktarım sayılır. Aktarım; yeterlilik kararı bulunan ülkelere, uygun güvencelerle (standart sözleşme, bağlayıcı şirket kuralları) veya kanunda sayılan arızi hâllerde yapılabilir.

Dayanak: KVKK m. 9

Veri ihlali ve Kurula bildirim

Kişisel verilerin kanuna aykırı olarak başkaları tarafından elde edilmesi hâlinde veri sorumlusu, durumu en kısa sürede ilgili kişilere ve Kurula bildirmelidir. Kurul kararına göre Kurula bildirim, ihlalin öğrenilmesinden itibaren en geç 72 saat içinde yapılmalıdır.

1. İlk saatlerİhlal sınırlandırılır, etkilenen sistemler ve veri kategorileri tespit edilir, kayıtlar korunur.
2. DeğerlendirmeEtkilenen kişi sayısı, olası sonuçlar ve alınan tedbirler belgelenir.
3. BildirimKurula ihlal bildirim formu ile bildirim yapılır; ilgili kişilere makul en kısa sürede bilgi verilir.

İlgili kişi başvuruları ve Kurula şikâyet

İlgili kişiler, verilerinin işlenip işlenmediğini öğrenmek, düzeltme veya silme istemek gibi taleplerle veri sorumlusuna başvurabilir. Veri sorumlusu başvuruyu en geç 30 gün içinde ücretsiz olarak sonuçlandırmalıdır.

Başvurusu reddedilen, yanıtı yetersiz bulan veya süresinde yanıt alamayan kişi; yanıtı öğrendiği tarihten itibaren 30 gün ve her hâlde başvuru tarihinden itibaren 60 gün içinde Kurula şikâyette bulunabilir.

Dayanak: KVKK m. 11, 13, 14

İdari para cezaları ve savunma

KVKK’ya aykırılıklar için öngörülen idari para cezaları her yıl yeniden değerleme oranında artırılır. 2026 yılı tutarları:

Kurul incelemesinde savunmanın; ihlalin kapsamı, alınan tedbirler ve uyum çalışmalarının belgelenmesiyle desteklenmesi, cezanın miktarına doğrudan etki eder. Kurulun idari para cezası kararlarına karşı 1 Haziran 2024’ten bu yana idare mahkemesinde dava açılır.

Çalışan verileri ve kamera kayıtları

İşverenler, işe alımdan ayrılışa kadar çalışanların kimlik, özlük, sağlık ve performans verilerini işler. İşyerinde kamera, araç takip sistemi ve kurumsal e-posta denetimi gibi uygulamalar; çalışanların önceden aydınlatılmasını ve ölçülülük ilkesine uyulmasını gerektirir.