Kişisel verilerin korunması · Şirketler ve bireyler
Veri koruması, ceza kesilmeden önce kurulan bir düzendir.
Müşteri listesi, çalışan özlük dosyası, kamera kaydı, internet sitesindeki form, bulut sunucudaki yedek: bir işletmenin her gün işlediği kişisel veriler, 6698 sayılı Kanun'a göre envanter, aydınlatma, hukuki sebep, güvenlik ve saklama süresi gerektirir. Uyum, bir metin yazdırmakla değil, veri akışının haritasını çıkarıp her adımı kanuna bağlamakla sağlanır. Bu sayfa, şirketlerin yükümlülüklerini ve sürelerini; verisi hukuka aykırı işlenen kişilerin ise başvuru yolunu açıklar.
Ofisimiz Sivas merkezlidir; KVKK uyum programlarını ve Kurul başvurularını Türkiye'nin her yerindeki şirketler için yürütür. Uyum denetimi, şirket danışmanlığı kapsamında çalışan verileri ve iş hukukuyla birlikte ele alınır; sektörel uygulama (ilaç, otelcilik, AVM, e-ticaret) için danışmanlık sayfasındaki sektör bölümüne bakabilirsiniz.
Temel kavramlar ve işleme şartları
Kişisel veri, kimliği belirli ya da belirlenebilir gerçek kişiye ilişkin her türlü bilgidir; ad, telefon, adres, plaka, görüntü ve IP adresi bu kapsamdadır. Irk, din, sağlık, cinsel hayat, ceza mahkûmiyeti, biyometrik ve genetik veriler özel nitelikli kişisel veridir ve daha sıkı şartlara tabidir (m. 6). Veri sorumlusu, işleme amaç ve araçlarını belirleyen kişidir; veri işleyen, onun adına işleyendir. Kişisel veriler ancak kanunda sayılan şartlardan birine dayanılarak işlenebilir (m. 5).
| İşleme şartı | Tipik örnek | Dikkat |
|---|---|---|
| Kanunlarda açıkça öngörülme | Özlük dosyası, SGK bildirimleri, fatura bilgileri | Açık rıza istenmez; aydınlatma yine zorunludur. |
| Sözleşmenin kurulması ya da ifası | Müşteri adresi, teslimat ve ödeme bilgileri | Yalnız sözleşmeyle doğrudan ilgili veriler; pazarlama amacı bu şarta dayanamaz. |
| Hukuki yükümlülüğün yerine getirilmesi | Vergi, iş sağlığı ve güvenliği, kimlik bildirimi | Yükümlülüğün dayanağı belgelenmelidir. |
| Meşru menfaat | Güvenlik kamerası, dolandırıcılık önleme, grup içi raporlama | İlgili kişinin temel hak ve özgürlüklerine zarar vermemek şartıyla; denge testi belgelenir. |
| Açık rıza | Pazarlama iletileri, çerezler, sağlık verisi (istisnalar dışında) | Belirli konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle; hizmet şartına bağlanamaz, her zaman geri alınabilir. |
Özel nitelikli verilerde 2024 değişikliğiyle işleme şartları genişletilmiş (m. 6: kanunlarda öngörülme, fiilî imkânsızlık, alenîleştirme, hakkın tesisi, istihdam ve sosyal güvenlik yükümlülükleri, kamu sağlığı, vakıf ve dernek üyeliği) ve bu verilerde Kurulca belirlenen ek güvenlik önlemleri zorunlu kılınmıştır.
Uyum programı: beş adım
- 1
Veri envanteri
Hangi veri, hangi birimde, hangi amaçla, hangi hukuki sebeple, ne kadar süreyle işleniyor ve kime aktarılıyor; iş birimleriyle yapılan görüşmelerle kişisel veri işleme envanteri çıkarılır. Envanter, VERBİS kaydının, aydınlatma metinlerinin ve saklama politikasının temelidir.
- 2
Hukuki sebep ve aydınlatma
Her işleme faaliyeti kanundaki şartlardan birine bağlanır; açık rıza yalnız başka şart bulunmadığında kullanılır. Müşteri, çalışan, aday, ziyaretçi ve tedarikçi için ayrı aydınlatma metinleri (m. 10), gerekli hâllerde açık rıza beyanları, internet sitesi için gizlilik ve çerez politikası hazırlanır.
- 3
VERBİS ve politika belgeleri
Yükümlülük eşiğini aşan veri sorumluları Veri Sorumluları Sicili'ne kaydolur (m. 16); kişisel veri saklama ve imha politikası ile özel nitelikli veriler için güvenlik politikası düzenlenir; imha süreleri periyodik imha takvimine bağlanır.
- 4
Sözleşmeler ve teknik önlemler
Veri işleyenlerle (yazılım, bulut, bordro, çağrı merkezi, kargo) veri işleme sözleşmeleri; çalışanlarla gizlilik taahhütleri; erişim yetkilendirmesi, şifreleme, yedekleme, kayıt tutma ve sızma testi gibi Kurul rehberlerindeki teknik ve idari tedbirler (m. 12).
- 5
Eğitim, denetim ve güncelleme
Çalışan eğitimleri belgelenir; başvuru ve ihlal yönetimi için iç prosedür kurulur; envanter ve VERBİS kaydı, yeni ürün, yazılım ya da süreçlerde güncellenir. Veri sorumlusu, kanun hükümlerinin uygulanmasını sağlamak için gerekli denetimleri yapmak ya da yaptırmakla yükümlüdür (m. 12/3).
Çalışan verileri: kamera, konum, e-posta, sağlık
İşe alım ve özlük dosyası
4857 s. K. m. 75; 6698 s. K. m. 5-6Aday verileri yalnız değerlendirme amacıyla ve makul süreyle saklanır; işe alınmayan adayların verisi silinir ya da açık rızayla havuzda tutulur. Özlük dosyası kanuni yükümlülüğe dayanır; sağlık raporu ve adli sicil kaydı özel nitelikli veridir ve ayrı güvenlik önlemi gerektirir.
Kamera ve konum
Meşru menfaat ve ölçülülükGüvenlik kamerası, önceden aydınlatma (levha ve metin), amaçla sınırlı yerleşim ve belirli saklama süresiyle meşru menfaate dayanabilir; ses kaydı ve özel alanlar kapsam dışıdır. Araç ve telefon konum takibi yalnız mesai saatleri ve iş amacıyla sınırlı olmalı, çalışana bildirilmelidir.
E-posta ve bilgisayar denetimi
AYM ve Yargıtay uygulamasıKurumsal e-posta ve cihazların denetlenebileceği önceden ve açıkça bildirilmiş, denetim amaçla sınırlı ve kademeli yapılmışsa elde edilen bilgi fesihte kullanılabilir; aksi hâlde delil hukuka aykırı sayılır ve ayrıca tazminat doğurur. İşyeri yönetmeliğinde bilgi sistemleri kullanım kuralları düzenlenmelidir.
İşten ayrılma ve saklama
Saklama ve imha politikasıAyrılan çalışanın verileri, iş davaları için zamanaşımı süreleri (ücret alacaklarında beş yıl, iş kazasında on yıl) gözetilerek belirlenen süre boyunca saklanır, ardından imha edilir; referans ve bilgi talepleri aydınlatma kapsamında yürütülür. Çalışan verileri düzeni, iş hukuku çalışmalarımızla birlikte şirket danışmanlığında ele alınır.
Yurt dışına aktarım ve veri işleyenler
Yurt dışında barındırılan e-posta ve bulut hizmetleri, yabancı ana şirkete raporlama, uluslararası kargo ve ödeme sistemleri birer yurt dışına aktarımdır. 2024 değişikliğiyle yeniden düzenlenen 9. madde uyarınca aktarım; Kurulun yeterlilik kararı bulunan ülke, sektör ya da kuruluşlara, yeterlilik kararı yoksa Kurulca onaylanan standart sözleşme, bağlayıcı şirket kuralları ya da Kurul izniyle yazılı taahhütname gibi uygun güvencelerle ve ilgili kişinin haklarını kullanabilmesi koşuluyla yapılabilir; arızi hâllerde açık rıza gibi istisnalar sınırlı olarak uygulanır. Standart sözleşme, imzalanmasından itibaren beş iş günü içinde Kuruma bildirilir; bildirmeyenler hakkında idari para cezası uygulanır (m. 18/1-d). Yurt içindeki veri işleyenlerle (yazılım, bordro, çağrı merkezi, kargo) yapılan sözleşmelerde güvenlik yükümlülükleri, alt işleyen kullanımı, ihlal bildirimi ve sözleşme sonunda verinin iadesi düzenlenir; veri sorumlusu, işleyenin aldığı tedbirlerden onunla birlikte sorumludur (m. 12/2).
Veri ihlali: ilk yetmiş iki saat
Bildirim yükümlülüğü
İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu, bu durumu en kısa sürede ilgilisine ve Kurula bildirir (m. 12/5). Kurul kararı uyarınca bildirim, ihlalin öğrenilmesinden itibaren yetmiş iki saat içinde Kurulun ihlal bildirim formuyla yapılır; etkilenen kişilere makul sürede ve doğrudan ulaşılır. Fidye yazılımı, çalışan tarafından dışarı çıkarılan müşteri listesi, yanlış alıcıya gönderilen e-posta ve kaybolan dizüstü bilgisayar en sık görülen ihlallerdir.
İlk saatler
İhlalin durdurulması, etkilenen sistem ve verilerin tespiti, delillerin korunması; bilgi işlem ve hukuk birlikte çalışır. Kayıt tutulur: ne zaman, nasıl, hangi veri, kaç kişi.
Bildirim
Kurula form ile bildirim; ilgili kişilere açık ve anlaşılır bilgilendirme; gerekirse kolluğa suç duyurusu (TCK m. 136, 243-245). Bildirimin gecikmesi, ihlalin kendisinden ayrı bir yaptırım sebebidir.
Sonrası
Kurul incelemesine cevap, kök neden analizi, teknik ve idari tedbirlerin güncellenmesi, tazminat taleplerinin yönetimi. Sigorta poliçesi varsa bildirim şartlarına uyulur.
İlgili kişi başvurusu ve Kurula şikâyet
Herkes, veri sorumlusuna başvurarak kişisel verisinin işlenip işlenmediğini öğrenme, bilgi talep etme, amacına uygun kullanılıp kullanılmadığını öğrenme, aktarıldığı üçüncü kişileri bilme, düzeltme, silme ya da yok edilmesini isteme, bu işlemlerin aktarılan üçüncü kişilere bildirilmesini isteme, otomatik sistemle analiz sonucuna itiraz etme ve zararının giderilmesini talep etme haklarına sahiptir (m. 11). Başvuru yazılı olarak ya da Kurulun belirlediği yöntemlerle (kayıtlı elektronik posta, güvenli elektronik imza, sistemde kayıtlı e-posta) yapılır.
| Adım | Süre | Not |
|---|---|---|
| Veri sorumlusuna başvuru | Veri sorumlusu en geç otuz gün içinde cevaplar | Ücretsizdir; işlem ayrıca maliyet gerektiriyorsa tarifedeki ücret alınabilir (m. 13). |
| Kurula şikâyet | Cevabın öğrenilmesinden itibaren otuz, her hâlde başvurudan itibaren altmış gün | Başvuru yolu tüketilmeden şikâyet edilemez (m. 14). Kurul, şikâyet üzerine ya da resen inceleme yapar (m. 15). |
| Tazminat ve ceza | Genel hükümlere göre | Kişilik hakkı ihlalinde tazminat davası (m. 14/3); hukuka aykırı kaydetme, ele geçirme ve yok etmeme suçları için savcılığa şikâyet (TCK m. 135-140). |
| Veri sorumlusu tarafında | Otuz gün | Başvuruyu alan birimin belirlenmesi, kimlik doğrulama, kayıt ve cevap şablonları önceden hazır olmalıdır; süresinde cevapsız başvuru doğrudan şikâyet sebebidir. |
Yaptırımlar ve kararlara karşı yol
Kanun; aydınlatma yükümlülüğü, veri güvenliği yükümlülükleri, Kurul kararlarının yerine getirilmemesi, VERBİS kayıt ve bildirim yükümlülüğü ile standart sözleşme bildirimi için alt ve üst sınırları belirlenmiş idari para cezaları öngörür (m. 18/1). Tutarlar her yıl yeniden değerleme oranında güncellenir; veri güvenliği ihlallerinde üst sınır en yüksek olanıdır. 2024 değişikliğiyle cezalar, veri sorumlusunun yanı sıra belirli hâllerde veri işleyenlere de uygulanabilir hâle gelmiştir. Kurulun idari para cezalarına karşı tebliğden itibaren on beş gün içinde sulh ceza hâkimliğine, diğer kararlarına karşı idare mahkemesinde dava yoluna başvurulur; kurumsal itibar ve müşteri ilişkileri bakımından ceza kadar, Kurulun kararı internet sitesinde ilan etme yetkisi de önemlidir.
Süreler
| İşlem | Süre | Dayanak |
|---|---|---|
| İlgili kişi başvurusunun cevaplanması | En geç otuz gün | 6698 s. K. m. 13 |
| Kurula şikâyet | Otuz gün; her hâlde altmış gün | m. 14 |
| Veri ihlali bildirimi | En kısa sürede; Kurul kararıyla yetmiş iki saat | m. 12/5; Kurul kararı 2019/10 |
| Standart sözleşmenin Kuruma bildirimi | Beş iş günü | m. 9 |
| VERBİS kaydı | Veri işlemeye başlamadan önce; yükümlülük doğduğunda Kurulca belirlenen süre içinde | m. 16 |
| Periyodik imha | Saklama süresinin dolmasından itibaren ilk periyodik imha döneminde; dönem en çok altı ay | Silme, Yok Etme ve Anonim Hâle Getirme Yönetmeliği m. 11 |
| İdari para cezasına itiraz | On beş gün | Kabahatler Kanunu m. 27; sulh ceza hâkimliği |
| Kurul kararına karşı idari dava | Altmış gün | İYUK m. 7 |
Sık sorulanlar
Şirketimizin VERBİS'e kayıt yükümlülüğü var mı?
Kişisel veri işleyen gerçek ve tüzel kişiler kural olarak Veri Sorumluları Sicili'ne kaydolmakla yükümlüdür; Kurul, işlenen verinin niteliği ve sayısı gibi ölçütlere göre istisna tanıyabilir (6698 sayılı Kanun m. 16). Kurul kararları uyarınca yıllık çalışan sayısı elliden çok ya da yıllık mali bilanço toplamı yüz milyon TL'den fazla olan veri sorumluları ile ana faaliyeti özel nitelikli kişisel veri işlemek olanlar kayıt yükümlülüğü altındadır. Kayıt, kişisel veri işleme envanterine dayanır ve eksik kayıt idari para cezasına tabidir (m. 18).
Aydınlatma metni ile açık rıza aynı şey mi?
Hayır. Aydınlatma, veri sorumlusunun kimliği, işleme amacı, aktarım, toplama yöntemi ve hukuki sebebi ile ilgili kişinin hakları konusunda bilgi verme yükümlülüğüdür ve her işlemede zorunludur (m. 10). Açık rıza ise işlemenin hukuki sebeplerinden yalnızca biridir; kanunlarda öngörülme, sözleşmenin ifası, hukuki yükümlülük ve meşru menfaat gibi diğer sebepler varken açık rıza alınması, rızanın geri alınabilir olması nedeniyle risk yaratır (m. 5). Aydınlatma ile rıza metninin tek belgede birleştirilmesi Kurul kararlarında aykırı bulunmuştur.
İşyerinde kamera, konum takibi ve e-posta denetimi yapabilir miyiz?
Yapılabilir; ancak çalışanlara önceden aydınlatma yapılması, izlemenin meşru bir amaçla sınırlı ve ölçülü olması, özel yaşam alanlarını (soyunma odası, dinlenme alanı) kapsamaması ve kayıtların belirli süre sonunda silinmesi gerekir. Çalışanın iş sözleşmesindeki genel onay, açık rıza yerine geçmez. Yargıtay ve Anayasa Mahkemesi kararlarında, aydınlatma yapılmadan elde edilen kayıtların fesihte delil olarak kullanılamadığı kabul edilmektedir.
Verilerimiz sızdı; ne yapmalıyız?
İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu bu durumu en kısa sürede ilgililere ve Kurula bildirir (m. 12/5); Kurul kararı uyarınca bildirim, öğrenmeden itibaren yetmiş iki saat içinde yapılır ve ilgili kişilere makul sürede ulaşılır. İhlalin kaynağı, etkilenen veri ve kişi sayısı, alınan önlemler kayıt altına alınır. Bildirim yükümlülüğünün ihlali, veri güvenliği yükümlülüğü kapsamında idari para cezasına tabidir.
Bir şirket verilerimi izinsiz kullanıyor; nereye başvurabilirim?
Önce veri sorumlusuna yazılı başvuru yapılır; veri sorumlusu talebi en geç otuz gün içinde ücretsiz sonuçlandırır (m. 13). Başvuru reddedilir, cevap yetersiz bulunur ya da süresinde cevap verilmezse, cevabın öğrenilmesinden itibaren otuz ve her hâlde başvurudan itibaren altmış gün içinde Kişisel Verileri Koruma Kuruluna şikâyette bulunulabilir (m. 14). Başvuru yolu tüketilmeden Kurula gidilemez. Kişilik hakları ihlal edilenlerin tazminat hakkı ve suç oluşturan hâllerde ceza şikâyeti ayrıca saklıdır (TCK m. 135-140).
Verileri yurt dışındaki bir sunucuda ya da bir iştirakte tutabilir miyiz?
Kişisel verilerin yurt dışına aktarımı, 2024 değişikliğiyle yeniden düzenlenen 9. madde çerçevesinde; Kurulun yeterlilik kararı bulunan ülkelere, yeterlilik kararı yoksa Kurulca onaylanan standart sözleşme ya da bağlayıcı şirket kuralları gibi uygun güvencelerle ve ilgili kişinin haklarının korunması koşuluyla yapılabilir. Standart sözleşmenin Kuruma beş iş günü içinde bildirilmemesi idari para cezasına tabidir (m. 18/1-d). Bulut hizmetleri ve grup içi aktarımlar bu kapsamdadır.
KVKK idari para cezaları ne kadar?
Kanunda aydınlatma, veri güvenliği, Kurul kararlarına uyma, VERBİS kaydı ve standart sözleşme bildirimi yükümlülüklerinin ihlali için alt ve üst sınırları belirlenmiş idari para cezaları öngörülmüştür (m. 18); tutarlar her yıl yeniden değerleme oranında güncellenir ve veri güvenliği ihlallerinde üst sınır milyonlarca liraya ulaşır. Cezalara karşı kararın tebliğinden itibaren on beş gün içinde sulh ceza hâkimliğine başvurulabilir; Kurulun diğer kararlarına karşı idare mahkemesinde dava açılır.
İlk adım
Veri akışınızı bir görüşmede haritalayalım
Çalışan sayınız, kullandığınız yazılımlar, müşteri verisi topladığınız kanallar ve yurt dışı bağlantılarınız; bu dört bilgiyle VERBİS yükümlülüğünüzü, eksik belgeleri ve ilk doksan günün uyum takvimini yazılı olarak bildirelim. Veri ihlali yaşıyorsanız mesai saati beklemeyin.
Bu sayfadaki bilgiler genel niteliktedir ve hukuki görüş yerine geçmez. Görüşmenin içeriği Avukatlık Kanunu m. 36 uyarınca gizlidir.