Şirketler İçin KVKK Uyum Rehberi: 6 Adımda Uyum Projesi
KVKK uyumu; veri envanteri, hukuki sebep analizi, aydınlatma ve açık rıza metinleri, saklama-imha politikası, güvenlik tedbirleri ve VERBİS kaydından oluşur. Adım adım uyum ve 2026 ceza aralıkları.
Kısaca
- Uyum, şirketin gerçek veri akışını gösteren kişisel veri işleme envanteriyle başlar.
- Her işleme faaliyeti için açık rızadan önce diğer hukuki sebepler değerlendirilir.
- Aydınlatma yükümlülüğü, açık rızadan bağımsızdır ve her durumda yerine getirilmelidir.
- Aykırılıklar için 2026’da ihlal türüne göre 85.437 – 1.709.200 TL ile 256.357 – 17.092.242 TL arasında idari para cezası öngörülmüştür.
Uyum neden bir proje olarak ele alınmalı?
İnternetten indirilen hazır metinlerle KVKK uyumu sağlanamaz; çünkü her şirketin veri akışı, kullandığı yazılımlar ve iş ortakları farklıdır. Kurul incelemelerinde de belgelerin şirketin gerçek işleyişine uygun olup olmadığına bakılır.
6 adımda uyum
- EnvanterHer departmanda hangi kişisel verilerin, hangi amaçla, kimden toplandığı, nerede saklandığı ve kime aktarıldığı çıkarılır.
- Hukuki sebep analiziSözleşmenin ifası, hukuki yükümlülük, meşru menfaat gibi sebepler değerlendirilir; açık rıza yalnızca gerekli hâllerde kullanılır.
- Aydınlatma ve rıza metinleriÇalışanlar, müşteriler, ziyaretçiler ve iş başvuruları için ayrı aydınlatma metinleri hazırlanır; açık rıza metinleri aydınlatmadan ayrı tutulur.
- PolitikalarKişisel veri saklama ve imha politikası, veri güvenliği politikası ve ilgili kişi başvuru prosedürü oluşturulur.
- Teknik ve idari tedbirlerYetki matrisi, erişim kayıtları, şifreleme, yedekleme, gizlilik taahhütleri ve tedarikçi sözleşmelerine veri koruma hükümleri eklenir.
- Kayıt ve sürdürmeVERBİS kaydı gerekiyorsa tamamlanır; çalışan eğitimleri ve periyodik denetimlerle uyum güncel tutulur.
Sık yapılan hatalar
- Her işlem için açık rıza almak ve rızayı hizmetin ön şartı yapmak
- Aydınlatma metnini açık rıza metniyle aynı belgede birleştirmek
- Yurt dışındaki bulut ve e-posta hizmetlerini aktarım olarak değerlendirmemek
- Eski çalışan ve müşteri verilerini süresiz saklamak
- Kamera kayıtları için ayrıca aydınlatma yapmamak
2026 idari para cezaları
| Aykırılık | Alt sınır | Üst sınır | Dayanak |
|---|---|---|---|
| Aydınlatma yükümlülüğünün yerine getirilmemesi | 85.437 TL | 1.709.200 TL | KVKK m. 18/1-a |
| Veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi | 256.357 TL | 17.092.242 TL | KVKK m. 18/1-b |
| Kurul kararlarının yerine getirilmemesi | 427.263 TL | 17.092.242 TL | KVKK m. 18/1-c |
| VERBİS kayıt ve bildirim yükümlülüğüne aykırılık | 341.809 TL | 17.092.242 TL | KVKK m. 18/1-ç |
| Yurt dışı aktarımda standart sözleşmenin bildirilmemesi | 90.308 TL | 1.806.177 TL | KVKK m. 18/1-d |
Tutarlar 2026 yılı içindir (yeniden değerleme oranı %25,49; Kişisel Verileri Koruma Kurumu tablosu). Her yıl Ocak ayında güncellenir.
Şirketinizin VERBİS yükümlülüğünü ve eksik adımlarını VERBİS ve KVKK testiyle görebilirsiniz.
Dayanak: 6698 s. KVKK m. 4–12, 16, 18
Envanter neye benzer?
| Süreç | Veri kategorisi | Hukuki sebep | Saklama süresi | Alıcı |
|---|---|---|---|---|
| Personel özlük | Kimlik, iletişim, özlük | Hukuki yükümlülük | İşten ayrılıştan sonra 10 yıl | SGK, vergi dairesi |
| Müşteri sözleşmesi | Kimlik, iletişim, finans | Sözleşmenin ifası | Sözleşme sonrası 10 yıl | Muhasebe, banka |
| Kamera kaydı | Görsel kayıt | Meşru menfaat | Ör. 30 gün | Yetkili kurumlar (talep hâlinde) |
Saklama süreleri örnektir; her şirket için ilgili mevzuata göre ayrıca belirlenir.
Görüşmeye gelirken yanınızda olsun
Sık sorulanlar
Küçük bir işletmeyiz; KVKK bizi de kapsar mı?
Evet. KVKK, kişisel veri işleyen tüm gerçek ve tüzel kişileri kapsar. Küçük işletmeler çoğunlukla VERBİS kaydından muaftır, ancak aydınlatma, veri güvenliği ve ilgili kişi başvurularına yanıt verme yükümlülükleri devam eder.
Uyum projesi ne kadar sürer?
Şirketin büyüklüğüne ve departman sayısına göre değişir. Küçük ve orta ölçekli işletmelerde envanter ve belgeler genellikle birkaç hafta içinde tamamlanabilir.
Çerez politikası gerekli mi?
İnternet sitesinde analitik veya pazarlama amaçlı çerezler kullanılıyorsa, ilgili kişilerin aydınlatılması ve zorunlu olmayan çerezler için açık rıza alınması gerekir. Yalnızca zorunlu çerez kullanan siteler için yükümlülük daha sınırlıdır.
KVKK uyumu ne sıklıkla güncellenmeli?
Yeni bir yazılım, iş süreci veya iş ortağı devreye girdiğinde envanter ve belgeler güncellenmelidir. Yılda en az bir kez genel gözden geçirme önerilir.
