01
6698 sayılı Kanun
KVKK, Türkiye'nin temel kişisel verilerin korunması kanunudur. Kişisel verilerin nasıl toplandığını, kullanıldığını, saklandığını, paylaşıldığını ve silindiğini düzenler.
Son güncelleme: 17 Ağustos 2026
İşletmeniz müşteri bilgilerini, çalışan kayıtlarını, iş başvurularını, web sitesi potansiyel müşterilerini, kullanıcı analizlerini, destek taleplerini, kimlik bilgilerini veya Türkiye'deki kişilerle ilgili diğer verileri topluyorsa, Türkiye Kişisel Verilerin Korunması Kanunu — yaygın adıyla KVKK — bu bilgilerin toplanması, kullanılması, saklanması, paylaşılması ve silinmesi süreçlerini doğrudan ilgilendiriyor olabilir.
Kısa cevap: KVKK, Türkiye'nin temel kişisel veri koruma kanunu olan 6698 sayılı Kanun'dur. Kişisel verilerin işlenmesi, kişilerin bilgilendirilmesi, verilerin güvenliğinin sağlanması, veri sahibi taleplerinin karşılanması, verilerin saklanması ve imhası, belirli veri sorumlularının VERBİS'e kaydı ve kişisel verilerin yurt dışına aktarılması ile ilgili kuralları belirler.
Ancak KVKK uyumu, sadece bir gizlilik politikası hazırlamaktan ibaret değildir.
İşleyen bir uyum programı, yasal gereklilikleri gerçek operasyonlarla birleştirir: CRM sistemleri, İK süreçleri, bulut altyapısı, pazarlama araçları, SaaS tedarikçileri, erişim izinleri, saklama süreleri, ihlal müdahale planları ve uluslararası veri akışları.
Bir KVKK uyum programı oluşturmadan önce işletmelerin Türkiye'deki kişisel verilerin korunması sistemine ilişkin bilmesi gereken temel noktalar.
KVKK, Türkiye'nin temel kişisel verilerin korunması kanunudur. Kişisel verilerin nasıl toplandığını, kullanıldığını, saklandığını, paylaşıldığını ve silindiğini düzenler.
Sistem, Kişisel Verileri Koruma Kurumu ve Kişisel Verileri Koruma Kurulu tarafından yürütülür.
Her veri işleme faaliyeti uygun bir işleme şartına dayanmalıdır. Açık rıza her zaman gerekli değildir ve varsayılan yöntem olarak kullanılmamalıdır.
İlgili kişiler veri işleme faaliyetleri hakkında uygun şekilde bilgilendirilmeli; erişim, düzeltme, silme ve diğer KVKK haklarını kullanabilmelidir.
Belirli veri sorumlularının VERBİS'e kaydolması gerekir. Sicil kaydı uyumun yalnızca bir parçasıdır ve kayıt muafiyeti diğer KVKK yükümlülüklerini ortadan kaldırmaz.
Yurt dışına veri aktarımları Madde 9'a uygun olmalı; kişisel veri ihlalleri ise hızlı değerlendirme ve gerektiğinde bildirim süreçlerini tetiklemelidir.
KVKK ifadesi Kişisel Verilerin Korunması Kanunuanlamına gelir.
6698 sayılı Kanun, 24 Mart 2016 tarihinde kabul edilmiş ve 7 Nisan 2016 tarihinde Resmi Gazete'de yayımlanmıştır. Amacı, kişisel verilerin işlenmesi sırasında temel hak ve özgürlükleri, özellikle de özel hayatın gizliliğini korumaktır.
Kanun, kişisel verilerin tamamen veya kısmen otomatik yollarla işlenmesi ile veri kayıt sisteminin bir parçası olmak kaydıyla otomatik olmayan yollarla işlenmesi durumlarında uygulanır.
Düzenleyici yapı şunları içerir: Kişisel Verileri Koruma Kurumu (Kişisel Verileri Koruma Kurumu) ve Kişisel Verileri Koruma Kurulu (Kişisel Verileri Koruma Kurulu).
| Konu | İşletmelerin bilmesi gerekenler |
|---|---|
| Kanun | 6698 sayılı Kişisel Verilerin Korunması Kanunu. |
| Düzenleyici kurum | Kişisel Verileri Koruma Kurumu ve Kişisel Verileri Koruma Kurulu. |
| Kişisel veri | Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi. |
| Temel yükümlülükler | Hukuka uygun işleme, aydınlatma, ölçülülük, güvenlik, saklama, ilgili kişi hakları ve hukuka uygun veri aktarımları. |
| İlgili kişi başvuruları | Veri sorumlusu başvuruları mümkün olan en kısa sürede ve en geç 30 gün içinde sonuçlandırmalıdır. |
| Veri ihlalleri | Kurul, ihlalin öğrenilmesinden itibaren Kurula bildirimi gecikmeksizin ve en geç 72 saat içinde yapılması gereken bir yükümlülük olarak yorumlamaktadır. |
| Yurt dışına aktarım | Madde 9; yeterlilik kararları, uygun güvenceler ve sınırlı arızi aktarım halleri üzerinden bir sistem öngörür. |
| VERBİS | Belirli veri sorumluları sicile kaydolmak zorundadır. Sicil kayıt muafiyeti, diğer KVKK yükümlülüklerini ortadan kaldırmaz. |
Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyiifade eder.
Bu, aşağıdakiler gibi belirgin tanımlayıcıları içerebilir:
Ayrıca, tanımlanabilir bir kişiyle ilişkili olduğunda hesap tanımlayıcıları, işlem geçmişleri, cihaz veya kullanım bilgileri, destek kayıtları veya bir bireyi tanımlanabilir kılan veri kombinasyonları gibi daha az belirgin bilgileri de içerebilir.
Bu nedenle önemli soru sadece "Bu veritabanı isimleri içeriyor mu?" değildir.
Soru şudur:
Bilgiler, tanımlanmış veya tanımlanabilir bir kişiyle ilişkilendirilebilir mi?
Bu ayrım önemlidir çünkü KVKK kapsamındaki sorumluluk, büyük ölçüde bir kuruluşun üstlendiği role bağlıdır.
Bir veri sorumlusu kişisel verilerin işlenme amaçlarını ve vasıtalarını belirler.
Bir veri işleyen kişisel verileri, bir veri sorumlusunun adına ve onun yetkilendirmesiyle işler.
Örneğin, kendi müşterilerinin hesap bilgilerini neden ve nasıl toplayacağına karar veren bir SaaS şirketi, bu faaliyet için veri sorumlusu olabilir. Yalnızca o şirketin talimatları doğrultusunda bilgi işleyen bir bulut veya hizmet sağlayıcı ise, bu özel faaliyet için veri işleyen olarak hareket edebilir.
Bir şirket, bazı işleme faaliyetleri için veri sorumlusu, diğerleri için ise veri işleyen olabilir.
Bu rolleri yalnızca sözleşmede taraflara verilen isimlere göre belirlemeyin. Asıl önemli olan, fiili işleme düzenlemesidir.
4. Madde, neredeyse tüm KVKK uyumluluk kararlarının temelini oluşturur.
Kişisel veriler:
Bu ilkeler, geçerli bir işleme şartı mevcut olsa dahi önemini korumaya devam eder.
Örneğin, bir çalışanın kimlik bilgilerini toplamak için hukuki bir dayanağınızın olması, o çalışan hakkında mevcut olan her türlü bilginin toplanmasını otomatik olarak meşru kılmaz.
Hukuki bir dayanak, verileri sınırsız bir şekilde işleme izni anlamına gelmez.
Hayır.
Bu, KVKK'yı uygulayan kuruluşlar için en önemli pratik noktalardan biridir.
5. Madde, kişisel verilerin açık rıza olmaksızın işlenemeyeceğini belirtir ancak ardından işlemenin gerçekleşebileceği çeşitli ayrı şartlar sunar açık rıza aranmaksızın.
Bu nedenle işletmeler, rızayı evrensel bir varsayılan olarak kabul etmek yerine, her faaliyet için doğru işleme şartını belirlemelidir.
| İşleme şartı | Ne anlama gelir? | Pratik örnek |
|---|---|---|
| Açık rıza | Belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza. | Başka bir Madde 5 işleme şartının uygun olmadığı isteğe bağlı bir veri işleme faaliyeti. |
| Kanunlarda açıkça öngörülmesi | Veri işlemenin mevzuatta açıkça öngörülmüş olması. | Belirli bir yasal yükümlülük kapsamında işlenmesi gereken bilgilerin işlenmesi. |
| Hayat veya beden bütünlüğünün korunması | Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin ya da başka bir kişinin hayatı veya beden bütünlüğünün korunması için işlemenin zorunlu olması. | Bilinci kapalı bir kişinin dahil olduğu acil durumda gerekli bilgilerin işlenmesi. |
| Sözleşmenin kurulması veya ifası | Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla işlemenin gerekli olması. | Bir siparişin teslim edilmesi için müşterinin teslimat adresinin kullanılması. |
| Hukuki yükümlülük | Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için işlemenin zorunlu olması. | Yasal bordro yükümlülüklerinin yerine getirilmesi için çalışan bilgilerinin işlenmesi. |
| İlgili kişinin alenileştirmesi | Kişisel verinin ilgili kişi tarafından alenileştirilmiş olması. | Kişinin hangi veriyi hangi amaçla kamuya açık hale getirdiği dikkatle değerlendirilmelidir. |
| Bir hakkın tesisi, kullanılması veya korunması | Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması. | Bir hukuki talebin ileri sürülmesi veya savunulması için gerekli kayıtların saklanması. |
| Meşru menfaat | İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlemenin zorunlu olması. | Uygun bir dengeleme değerlendirmesiyle desteklenen, açıkça tanımlanmış ve sınırlı bir operasyonel ihtiyaç. |
Bir işverenin, istihdam ve vergi yükümlülükleri nedeniyle bordro bilgilerini işlemesi gerektiğini varsayalım.
Bu temel işlemi çalışan rızasına dayandırmaya çalışmak, çalışanın işverenden yasal olarak yapması gereken faaliyeti yerine getirmesini beklerken, işlemi özgürce reddedebileceği gibi yanlış bir izlenim yaratabilir.
Benzer şekilde, çevrimiçi bir perakendeci, sözleşmesel işleme koşulunun geçerli olduğu durumlarda, siparişi teslim etmek için gerekli olan adresi işlemek adına normalde müşteri rızasına ihtiyaç duymaz.
Bu nedenle izlenmesi gereken pratik yol şudur:
işleme faaliyeti → amaç → veri → Madde 5 veya Madde 6 koşulu → saklama → alıcılar → güvenlik kontrolleri.
Rıza, bu analizi yapmaktan kaçınmak için bir kestirme yol olarak değil, gerçekten uygun işleme koşulu olduğu durumlarda kullanılmalıdır.
KVKK, açık rızayı şu şekilde tanımlar:
Bu, "Kişisel verilerimin tüm işleme faaliyetlerine rıza gösteriyorum" gibi geniş kapsamlı ifadelerin özellikle sorunlu olduğu anlamına gelir.
Rıza, tanımlanabilir işleme faaliyetleriyle ilgili olmalı ve birbiriyle ilgisiz amaçlarla gereksiz yere birleştirilmemelidir.
Ayrıca, sıklıkla karıştırılan iki kavramı birbirinden ayırmak da önemlidir:
Aydınlatma metni kişiyi bilgilendirir. Açık rıza ise, gerekli olduğu durumlarda, bir işleme koşulu sağlar.
Gizlilik bildirimi sunmak tek başına rıza oluşturmaz; rıza alınması da veri sorumlusunun şeffaflık yükümlülüklerini ortadan kaldırmaz.
6. Madde şunları kapsar: özel nitelikli kişisel veriler, aşağıdakilerle ilgili bilgileri içerir:
2024 yılındaki değişiklikler, bu kategorilere ilişkin işleme çerçevesini esaslı bir şekilde değiştirmiştir.
Belirli özel nitelikli veri türlerine uygulanan önceki ayrım kaldırılmış olup, 6. Madde artık daha geniş bir işleme koşulları seti içermektedir. Duruma bağlı olarak; açık rıza, kanunlarda açıkça öngörülme, hayatın veya beden bütünlüğünün korunması, bir hakkın tesisi veya korunması, belirli sağlık amaçları, belirli iş veya sosyal güvenlik yükümlülükleri ve 6. Maddede listelenen diğer koşullara dayanarak işleme yapılması mümkün olabilir.
Bu durum, özel nitelikli verileri sıradan veriler haline getirmez.
Kurul tarafından belirlenen yeterli önlemlerin uygulanmaya devam etmesi zorunludur.
Sağlık bilgileri, biyometrik veriler, adli sicil kayıtları veya diğer hassas kategorilerdeki verileri işleyen kuruluşlar bu nedenle aşağıdakilerin her ikisini de incelemelidir:
10. Madde, veri sorumlusunun veya onun adına hareket eden yetkili bir kişinin bilgi sağlamasını zorunlu kılar kişisel veriler elde edildiğinde.
Bu bilgiler şunları içerir:
Bu yükümlülük, işleme faaliyetinin açık rızaya veya başka bir işleme şartına dayanıp dayanmadığına bakılmaksızın geçerlidir.
İşte bu nedenle, genel bir web sitesi gizlilik politikası her işleme faaliyeti için yeterli olmayabilir.
Bir şirket, aşağıdaki gibi alanlar için bağlama özel bildirimlere ihtiyaç duyabilir:
Zamanlama ve içerik, verilerin fiilen nasıl elde edildiği ve kullanıldığı ile uyumlu olmalıdır.
11. Madde, bireylere kişisel verileriyle ilgili çeşitli haklar tanır.
Bir kişi, diğer hususların yanı sıra, veri sorumlusundan şunları talep edebilir:
İlgili kişi, kural olarak öncelikle veri sorumlusuna başvurur.
13. Madde uyarınca veri sorumlusu yanıt vermelidir mümkün olan en kısa sürede ve en geç 30 gün içinde, talebin niteliğini göz önünde bulundurarak.
Operasyonel ekipler için bu durum, veri sahibi taleplerini hukuki bir belge sorunu olduğu kadar bir iş akışı sorunu haline de getirmektedir.
Şunları bilmeniz gerekir:
12. Madde, veri sorumlularının uygun bir güvenlik düzeyini sağlamak için gerekli teknik ve idari tedbirleri almasını zorunlu kılar.
Amaçlar şunları içerir:
İşleme faaliyetinin veri sorumlusu adına başka bir kişi tarafından yürütüldüğü durumlarda, veri sorumlusu bu güvenlik tedbirleri konusunda 12. Madde uyarınca sorumluluk taşımaya devam eder.
Bu nedenle KVKK sadece hukuk veya uyum ekiplerinin sorumluluğunda olmamalıdır.
Uygulanabilir bir program; güvenlik, BT, İK, ürün, satın alma ve operasyon birimlerini ilgili olduğu ölçüde dahil etmelidir.
Kuruluşun risklerine bağlı olarak, makul kontroller şunları içerebilir:
Uygulanacak kesin önlemler, başka bir kuruluştan mekanik olarak kopyalanmak yerine, verileri, teknolojiyi, riskleri ve işleme ortamını yansıtmalıdır.
12. madde, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde, veri sorumlusunun Kurul'a bildirimde bulunmasını ve ihlali ilgili kişilere en kısa sürede iletmesini zorunlu kılar.
Kurul'un 2019/10 sayılı kararı, Kurul'a yapılacak bildirim süresini şu şekilde yorumlamaktadır: gecikmeksizin ve veri sorumlusunun ihlali öğrendiği tarihten itibaren en geç 72 saat içinde.
Bildirimin bu süre içinde haklı nedenlerle yapılamaması durumunda, gecikme gerekçeleri daha sonra yapılacak bildirimle birlikte sunulmalıdır.
Etkilenen kişiler belirlendikten sonra, makul olan en kısa süre içinde bilgilendirilmelidir.
Bu ayrım önemlidir:
72 saat, Kurul'un bildirim için "en kısa süre" ifadesine getirdiği yorumdur; doğrudan 12. Maddeden kopyalanmış bir ifade değildir.
Bu nedenle veri sorumlusu, aşağıdaki soruları hızla yanıtlayabilecek bir olay yönetimi sürecine sahip olmalıdır:
7. Madde, diğer yasal gereklilikler saklı kalmak kaydıyla, kişisel verilerin işlenmesini gerektiren sebeplerin ortadan kalkması halinde silinmesini, yok edilmesini veya anonim hale getirilmesini zorunlu kılar.
Silme ve yok etme kuralları aynı zamanda operasyonel gereklilikler de doğurur.
Kişisel veri saklama ve imha politikası olan veri sorumluları için periyodik imha süreçleri arasındaki süre altı ayı geçemez.
Böyle bir politika hazırlama yükümlülüğü bulunmayan veri sorumluları, ilgili kişisel verileri, silme, yok etme veya anonim hale getirme yükümlülüğünün doğduğu tarihten itibaren genellikle üç ay içinde bu işlemi gerçekleştirmelidir.
Silme, yok etme ve anonim hale getirme işlemlerine ilişkin kayıtlar, aksi bir yasal düzenleme bulunmadıkça genellikle en az üç yıl süreyle saklanmalıdır.
Bu nedenle, kullanışlı bir saklama planı her veri kategorisi için şu dört soruyu yanıtlamalıdır:
Neden bu veriye sahibiz? Ne kadar süreyle saklamamız gerekiyor? Bu süre dolduğunda ne olacak? İmha işleminin gerçekleştiğini kanıtlayabilir miyiz?
Bu, eski KVKK maddelerinin en sık güncelliğini yitirdiği alanlardan biridir.
9. madde 2024 yılında önemli ölçüde değiştirilmiştir.
Mevcut rejim şu hiyerarşiyi takip etmektedir:
| Aktarım yolu | Ne zaman kullanılır? | Örnekler | Temel nokta |
|---|---|---|---|
| 1. Yeterlilik kararı | Madde 5 veya 6 kapsamında bir işleme şartı mevcutsa ve aktarım yapılacak ülke, sektör veya uluslararası kuruluş Kurulun yeterlilik kararı kapsamındaysa. | Bir ülke, ülke içerisindeki belirli sektörler veya uluslararası kuruluşlar. | 17 Ağustos 2026 itibarıyla Kurum, henüz yeterli korumanın bulunduğu ülkelere ilişkin bir belirleme yapılmadığını belirtmektedir. |
| 2. Uygun güvence | Yeterlilik kararı bulunmuyor ancak gerekli işleme şartı, ilgili kişinin haklarını kullanabilme ve etkili kanun yollarına başvurabilme imkânı mevcut ve uygun güvence yöntemlerinden biri sağlanabiliyorsa. | Kurul tarafından ilan edilen standart sözleşmeler, bağlayıcı şirket kuralları, yazılı taahhütname ve belirli kamu kurumu düzenlemeleri. | Standart sözleşmenin imzalanmasını takip eden beş iş günü içinde Kuruma bildirilmesi gerekir. |
| 3. Arızi haller | Yeterlilik kararı ve uygun güvence bulunmadığında ve Madde 9'da belirtilen sınırlı istisnai hallerden biri mevcutsa. | Aktarım riskleri hakkında bilgilendirildikten sonra verilen açık rıza, belirli sözleşme gereklilikleri, üstün kamu yararı veya bir hakkın tesisi, kullanılması ya da korunması. | Bu yollar arızi aktarımlar için öngörülmüştür ve düzenli, tekrarlanan veri aktarımlarının varsayılan hukuki zemini olarak kullanılmamalıdır. |
Şu anda KVKK kapsamında yeterli kabul edilen ülkeler var mı?
İtibarıyla 17 Ağustos 2026, Kurumun mevcut sınır ötesi aktarım sayfasında, Kurulun yeterli korumaya sahip ülkeleri henüz belirlemediği.
Bu durum, uygun güvenceler yolunu tekrarlayan ticari aktarımlar için özellikle önemli kılmaktadır.
Değiştirilen rejim, uluslararası aktarımlar için temel uygun güvencelerden biri olarak Kurul tarafından yayımlanan standart sözleşmeleri getirmiştir.
Aşağıdaki durumları kapsayan farklı sözleşme yapıları mevcuttur:
Kritik bir pratik nokta, standart sözleşmenin kendisinin artık eski ön onay modelini takip etmemesidir.
Bunun yerine, 9. maddenin 5. fıkrası, imzalanan standart sözleşmenin imzayı takip eden beş iş günü içinde Kuruma bildirilmesinigerektirmektedir.
Bağlayıcı şirket kuralları veya yazılı taahhütler gibi diğer uygun güvence mekanizmalarının farklı onay gereklilikleri bulunmaktadır.
Uluslararası veri aktarımı, sadece yurt dışına e-posta ile elektronik tablo göndermekle sınırlı değildir.
Kuruluşlar, kişisel verilere Türkiye dışında yerleşik kuruluşlar tarafından erişilip erişilemediğini veya bu kuruluşlar tarafından alınıp alınmadığını şu yollarla incelemelidir:
Uygulamadaki başlangıç noktası bir veri akış haritasıolmalıdır, sözleşme taslağı değil.
VERBİS, Veri Sorumluları Sicil Bilgi Sistemi olup Veri Sorumluları Sicili'ne kayıt için kullanılır.
Kayıt yaptırmak, KVKK uyumluluğunun tamamı anlamına gelmez.
Bir şirket VERBİS'e kayıtlı olsa dahi hukuka uygun işleme, aydınlatma, güvenlik, saklama, yurt dışına aktarım veya hakların yönetimi konularında sorunlar yaşayabilir.
Bunun aksine, VERBİS kaydından muaf olmak bir kuruluşu KVKK'nın diğer yükümlülüklerinden otomatik olarak muaf tutmaz.
Hayır.
Kurul, çeşitli kayıt muafiyetleri getirmiştir.
Güncel ve önemli bir muafiyet, Türkiye'de yerleşik olan ve aşağıdaki şartları sağlayan gerçek veya tüzel kişi veri sorumlularını kapsamaktadır:
ancak bu muafiyet, ana faaliyetlerinin özel nitelikli kişisel veri işlememekolması şartına bağlıdır.
Başka kategori bazlı muafiyetler de mevcuttur.
VERBİS kriterleri ve Kurul kararları değişebildiği için, kayıt yükümlülüğü eski bir kontrol listesine göre değil, güncel kurallar çerçevesinde değerlendirilmelidir.
Yabancı şirketler, Türkiye dışında kurulmuş olmanın KVKK kapsamındaki yükümlülükleri ortadan kaldırdığını varsaymamalıdır.
Aynı zamanda, Türkiye ile bağlantılı herhangi bir veriyi işleyen her yabancı şirketin otomatik olarak bir Türkiye temsilcisine ihtiyaç duyduğunu söylemek çok kapsamlı bir genelleme olur.
VERBİS çerçevesinde, yurt dışında yerleşik bir veri sorumlusu kayıt yükümlülüğü bulunan yabancı veri sorumlusu kayıt yolunu izleyerek Türkiye'de bir temsilci atamalıdır.
Temsilcinin görevleri arasında Kurum yazışmalarını almak, talep ve yanıtları iletmek, ilgili kişi başvurularına ilişkin iletişim süreçlerini desteklemek ve yabancı veri sorumlusu adına Sicil işlemlerini gerçekleştirmek yer alır.
Belirli bir yabancı şirketin KVKK'ya tabi olup olmadığı, kayıt ve temsilci atama yükümlülüklerinin geçerli olup olmadığı; şirketin fiili veri işleme faaliyetleri, geçerli istisnalar, güncel Kurul kriterleri ve düzenleyici uygulamalar ışığında değerlendirilmelidir.
Hayır.
KVKK ve AB GDPR, aşağıdakiler dahil olmak üzere birçok gizlilik kavramını paylaşır:
Ancak bunlar ayrı hukuki çerçevelerdir.
Türkiye'ye özgü önemli konular şunları içerebilir:
GDPR uyumlu küresel bir gizlilik programı güçlü bir temel oluşturabilir, ancak Türk gereklilikleri kontrol edilmeden sadece "KVKK uyumlu" olarak yeniden etiketlenmemelidir.
Çerezler, reklam teknolojileri, CRM faaliyetleri, yönlendirme programları veya pazarlama kampanyaları kişisel veri işleme süreçlerini içeriyorsa KVKK uygulanabilir.
Ancak KVKK, dahil olan tek hukuki çerçeve olmayabilir.
Örneğin, ticari elektronik iletiler, Türkiye'nin elektronik ticaret kuralları ve ticari ileti rejimi kapsamında ayrı gerekliliklere de tabi olabilir.
Bu ayrım önemlidir çünkü:
bir KVKK işleme şartı, ticari elektronik ileti gönderme izni ile otomatik olarak aynı şey değildir.
Kuruluşlar, bir gizlilik politikası onay kutusunun tüm gizlilik ve pazarlama gerekliliklerini çözdüğünü varsaymak yerine, faaliyetin tamamını değerlendirmelidir.
KVKK; şeffaflık, veri güvenliği, Kurul kararları, Sicil yükümlülükleri ve 9. madde kapsamındaki standart sözleşme bildirim zorunluluğu gibi çeşitli uyumsuzluk halleri için idari para cezaları öngörmektedir.
Yasal ceza tutarları her yıl yeniden değerleme oranına tabi olduğundan, eski makalelerde sıklıkla güncelliğini yitirmiş rakamlar yer almaktadır.
Bu nedenle işletmeler, 18. maddenin orijinal metninden kopyalanan rakamlara güvenmek yerine Kurumun güncel yıl için yayımladığı idari para cezası tablosunu kontrol etmelidir.
Kişisel verilerle ilgili faaliyetler, uygun koşulların oluşması durumunda Türk Ceza Kanunu'ndaki suç hükümleriyle de kesişebilir.
Mali cezalar riskin yalnızca bir parçasıdır. Kurul ayrıca tespit edilen ihlallerin giderilmesini talep edebilir ve belirli durumlarda veri işleme veya uluslararası veri aktarımının durdurulmasına karar verebilir.
Eğer elinizde kısıtlı bir dokümantasyon varsa, işe kapsamlı bir politika dosyası hazırlayarak başlamayın.
İşe doğrudan veri işleme faaliyetinin kendisinden başlayın.
Şunları tanımlayın:
Her bir işleme amacını 5. Madde ile veya özel nitelikli verilerin söz konusu olduğu durumlarda 6. Madde ile eşleştirin.
Otomatik olarak rızayı varsayılan seçenek olarak belirlemeyin.
Bilgi toplandığında bireylere nelerin söylendiğini gözden geçirin.
Bildirimleri genel bir şablondan kopyalamak yerine gerçek işleme faaliyetleriyle eşleştirin.
Sağlık, biyometrik, adli sicil ve diğer özel nitelikli bilgileri tanımlayın; hem işleme şartını hem de ek güvenlik önlemlerini doğrulayın.
Veri işleyenleri ve diğer üçüncü tarafları belirleyin.
Sözleşmeleri, güvenlik beklentilerini, erişim düzenlemelerini ve veri konumlarını kontrol edin.
Bariz aktarımların ötesine bakın.
Bulut barındırma, destek erişimi, analitik ve küresel SaaS altyapısı gibi unsurların tümü ilgili olabilir.
Gerektiğinde doğru 9. Madde aktarım mekanizmasını seçin.
Mevcut muafiyetleri ve kayıt gerekliliklerini değerlendirin.
Yabancı veri sorumluları, temsilci atama yolunun uygulanıp uygulanmayacağını ayrıca değerlendirmelidir.
Yalnızca yazılı bir saklama politikasına güvenmek yerine, saklama sürelerini tanımlayın ve pratik imha iş akışları oluşturun.
30 günlük azami süreyi karşılayabilecek bir talep alma, kimlik doğrulama, arama, inceleme ve yanıt verme süreci oluşturun.
Güvenlik ve gizlilik ekiplerinin, 72 saatlik Kurul bildirim süresini değerlendirebilmeleri için şüpheli kişisel veri ihlallerini yeterince hızlı bir şekilde üst birimlere iletebildiklerinden emin olun.
KVKK programınızın hangi alanlarda işlediğini ve hangi alanlarda uygulama, kanıt veya sorumluluk eksikleri bulunduğunu görmek için bu on başlığı kullanın.
Hangi kişisel verilere sahip olduğunuzu, verinin işletmeye nereden girdiğini, hangi sistemlerde kullanıldığını ve nereye aktarıldığını bilin.
Her işleme amacını otomatik olarak açık rızaya dayandırmak yerine, uygun Madde 5 veya Madde 6 işleme şartıyla eşleştirin.
İlgili kişilere doğru bilgiyi doğru veri toplama noktasında verin ve aydınlatma metinlerini fiili veri işleme faaliyetleriyle uyumlu tutun.
Hassas veri kategorilerini belirleyin ve hem işleme şartını hem de ek teknik ve idari tedbirleri doğrulayın.
Veri işleyenleri ve diğer veri alıcılarını belirleyin; sözleşmeleri, erişimleri, güvenlik beklentilerini ve veri konumlarını inceleyin.
Yurt dışı barındırma, SaaS erişimi ve yabancı destek erişimlerini haritalayın; ardından uygun Madde 9 aktarım mekanizmasını belirleyin.
Sicile kayıt yükümlülüğünün uygulanıp uygulanmadığını, bir muafiyet bulunup bulunmadığını ve yabancı veri sorumluları bakımından temsilci gerekliliğini değerlendirin.
Belgelenmiş saklama süreleri belirleyin ve silme, yok etme veya anonim hale getirme işlemlerinin yalnızca kağıt üzerinde değil, uygulamada da gerçekleşmesini sağlayın.
Başvuru alma, kimlik doğrulama, veri arama, inceleme ve yanıt süreçlerini yasal süreyi karşılayabilecek şekilde standartlaştırın.
Güvenlik kontrollerinin, eskalasyon yollarının ve olay müdahale süreçlerinin hızlı inceleme ve KVKK veri ihlali değerlendirmesini desteklediğinden emin olun.
KVKK'nın açılımı Kişisel Verilerin Korunması Kanunu, Türkiye'nin 6698 sayılı Kişisel Verilerin Korunması Kanunu'dur.
Teknik olarak hayır. KVKK ve GDPR birçok kavramı paylaşsa da, farklı gereklilikleri, prosedürleri ve düzenleyici mekanizmaları olan ayrı yasalardır.
Hayır. 5. madde, kişisel verilerin açık rıza olmaksızın işlenmesine olanak tanıyan çeşitli şartlar içermektedir. Belirli bir işleme faaliyeti için doğru şartın belirlenmesi gerekir.
Potansiyel olarak evet. VERBİS kaydından muafiyet, veri sorumlusunun diğer KVKK yükümlülüklerini ortadan kaldırmaz.
Bu şekilde genel bir kural ifade edilemez. VERBİS'e kayıt yükümlülüğü bulunan yabancı merkezli bir veri sorumlusu, temsilci atama yolunu kullanır. Kayıt yükümlülüğünün geçerli olup olmadığı, şirketin faaliyetleri, muafiyetler ve güncel düzenleyici kriterler çerçevesinde değerlendirilmelidir.
13. madde, veri sorumlusunun başvuruyu en kısa sürede sonuçlandırmasını ve en geç 30 gün içinde.
Kanun, bildirimin en kısa sürede yapılmasını şart koşar. Kurul'un 2019/10 sayılı kararı, Kurul'a yapılacak bildirim için bu süreyi şu şekilde yorumlamıştır: gecikmeksizin ve ihlalin öğrenilmesinden itibaren en geç 72 saat içinde.
Evet, ancak 9. madde kapsamındaki şartların yerine getirilmesi gerekir. Duruma bağlı olarak aktarım; yeterlilik kararına, Kurul tarafından onaylanan standart sözleşmeler gibi uygun güvencelere veya sınırlı istisnai durumlara dayanabilir.
Kurul'un standart sözleşmeleri, 9. madde uyarınca uygun bir güvence teşkil eder ve eski ön onay modelini kullanmaz. Bunun yerine, imzalanan sözleşmenin Kurum'a beş iş günüiçinde bildirilmesi gerekir. Bağlayıcı şirket kuralları ve yazılı taahhütler gibi diğer mekanizmaların ise farklı onay süreçleri bulunmaktadır.
Hayır. KVKK uyumu; veri işleme şartları, şeffaflık, güvenlik, saklama süreleri, ilgili kişi hakları, tedarikçi yönetimi, uluslararası veri aktarımı, ihlal yönetimi ve gerekli hallerde VERBİS yükümlülüklerini kapsar.
En güçlü KVKK programları, mutlaka en çok dokümana sahip olanlar değildir.
En güçlü programlar, dokümantasyonun gerçek işleyişle birebir örtüştüğü programlardır.
Bir işletme şunları açıklayabilmelidir:
KVKK belgelerine sahip olmak ile işleyen bir gizlilik programına sahip olmak arasındaki fark budur.
Kooch, Türk ve uluslararası şirketlerin KVKK gerekliliklerini pratik uygulamalara dönüştürmelerine yardımcı olur.
Durumunuza bağlı olarak bu süreç; KVKK boşluk analizi, veri işleme envanteri ve veri akış haritalama, şeffaflık incelemesi, yurt dışı aktarım değerlendirmesi, VERBİS uyumluluğu, güvenlik kontrolü incelemesi ve önceliklendirilmiş iyileştirme yol haritasını içerebilir.
VERBİS'e kayıt yaptırması gereken yabancı veri sorumluları için Kooch, Türkiye'deki Veri Sorumlusu Temsilcisi sürecinde de destek sağlayabilir.
Amaç daha fazla evrak üretmek değil; nelerin geçerli olduğunu, nelerin eksik olduğunu ve nelerin öncelikle düzeltilmesi gerektiğini belirlemektir.
KVKK hazırlık değerlendirmesi ile başlayın →
Bu makale genel uyumluluk bilgileri sağlamakta olup kişiselleştirilmiş hukuki tavsiye niteliği taşımamaktadır. Türk hukukunun yorumlanmasının bir iş kararını veya hukuki durumu önemli ölçüde etkilediği durumlarda, yetkin bir Türk hukuk danışmanına başvurulmalıdır.
