KVKK Rehberi: Yükümlülükler, 2024 Reformu ve İlgili Kişi Hakları

Bilişim ve kişisel veriler hukuku, dijital ortamdaki verilerin işlenmesi ve internet yayınlarının hukuki rejimini düzenler. Temel kaynak 6698 sayılı Kişisel Verilerin Korunması Kanunu ile 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi Hakkında Kanun’dur.

Kişisel Veri ve Veri Sorumlusu

Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Veri sorumlusu, verilerin işlenme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu kişidir. Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına işleme yapan kişidir. Sorumluluk rejimi bu iki sıfat arasında farklılaşır.

İşleme Şartları ve Açık Rıza

Kişisel veriler, kural olarak ilgili kişinin açık rızası olmaksızın işlenemez. Ancak KVKK m.5/2’de sayılan hâllerde (kanunlarda açıkça öngörülmesi, sözleşmenin ifası için gereklilik, hukuki yükümlülük, ilgili kişinin alenileştirmesi, hakkın tesisi ve meşru menfaat gibi) açık rıza aranmaz. Özel nitelikli veriler için ise daha dar bir rejim geçerlidir. Açık rızanın geçerli olması için belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle açıklanmış olması gerekir; hizmetin şartı hâline getirilen rıza geçerli sayılmaz.

Aydınlatma, VERBİS ve Veri Güvenliği

Veri sorumlusu, verileri elde ederken ilgili kişiyi aydınlatmakla yükümlüdür. Belirlenen kriterleri sağlayan veri sorumlularının Veri Sorumluları Sicili’ne (VERBİS) kayıt yükümlülüğü bulunur. Ayrıca kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için teknik ve idari tedbirlerin alınması zorunludur.

Veri İhlali Bildirimi

İşlenen kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi hâlinde veri sorumlusu, durumu en kısa sürede Kurul’a ve ilgili kişiye bildirmekle yükümlüdür. Bildirim yükümlülüğünün ihlali başlı başına idari para cezası sebebidir.

İlgili Kişinin Hakları ve Başvuru Yolu

İlgili kişi; verisinin işlenip işlenmediğini öğrenme, bilgi talep etme, düzeltme, silme, aktarıldığı üçüncü kişilere bildirilmesini isteme ve zararın giderilmesini talep etme haklarına sahiptir. Bu haklar önce veri sorumlusuna yazılı başvuruyla kullanılır. Veri sorumlusu en geç otuz gün içinde cevap verir; talebin reddi veya cevapsız bırakılması hâlinde Kurul’a şikâyet yolu açılır.

İnternet Yayınları ve Erişimin Engellenmesi

5651 sayılı Kanun, içerik sağlayıcı, yer sağlayıcı ve erişim sağlayıcının sorumluluklarını ayrı ayrı düzenler. Kişilik hakkı ihlal edilen kişi, içeriğin çıkarılması ve erişimin engellenmesi için sulh ceza hâkimliğine başvurabilir; hâkim talebi yirmi dört saat içinde karara bağlar.

2024 Reformu: Neyin Değiştiğini Bilmeden Uyum Kurulamaz

12/3/2024 tarihli ve 32487 sayılı Resmî Gazete’de yayımlanan 7499 sayılı Kanun, 6698 sayılı KVKK’nın üç maddesini değiştirdi ve bu değişiklikler 1/6/2024 tarihinde yürürlüğe girdi. Uyum programını 2024 öncesi mantıkla kurmuş şirketlerin üç noktada revizyon yapması gerekiyor.

Özel nitelikli veriler (m.6) — açık rıza tekelinden çıktı

Sağlık ve cinsel hayata ilişkin veriler ile diğer özel nitelikli veriler arasındaki ayrım kaldırıldı; işleme şartları genişletilerek yeni ve alternatif hukuki sebepler öngörüldü. Örneğin istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması hâli eklendi. Pratik sonuç: sağlık verisi işleyen işverenler artık her durumda açık rızaya bağımlı değil — ancak hangi hukuki sebebe dayanıldığının envanterde belgelenmesi gerekiyor.

Yurt dışına aktarım (m.9) — güvence temelli yeni rejim

Aktarım artık kademeli bir yapıya oturuyor: önce yeterlilik kararı, yoksa uygun güvenceler. Değişiklikle yeterlilik kararının ülkenin tamamı yerine o ülke içindeki bir sektör veya uluslararası kuruluş özelinde de alınabilmesi mümkün kılındı. Uygun güvence yöntemleri arasında standart sözleşmeler ve bağlayıcı şirket kuralları yer alıyor. Ayrıntılar 10/7/2024 tarihli ve 32598 sayılı Resmî Gazete’de yayımlanan Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik ile düzenlendi.

Geçiş rejimi de önemliydi: yurt dışı aktarım için alınan açık rızalar 1/9/2024 tarihine kadar geçerli kabul edildi. O tarihten sonra açık rızaya dayanarak sürdürülen aktarımlar dayanaksız hâle geldi. Bulut hizmetleri ve grup içi paylaşımlar bu değişiklikten en çok etkilenen alanlar oldu.

Kabahatler ve itiraz mercii (m.18)

Kabahat listesi genişletildi; standart sözleşmeye dayalı aktarımın süresinde bildirilmemesi de yaptırıma bağlandı. Aynı değişiklikle Kurul’un idari para cezalarına karşı başvurulacak merci de değişti. Bu, uyuşmazlığın hangi yargı koluna gideceğini belirlediği için usul açısından belirleyicidir; ayrıntısı için aşağıdaki idari para cezaları rehberine bakınız.

Veri ihlali bildirimi mi, uyum programı mı? Süre kritik.

Av. Fatma Öztürk — Hukukçular Evi Ankara

📞 Hemen Arayın
💬 WhatsApp

Üç Katmanlı Sorumluluk: Aynı Fiil, Üç Ayrı Sonuç

Kişisel veri ihlallerinde en sık yapılan hata, meseleyi tek bir sorumluluk türüne indirgemektir. Oysa aynı fiil üç ayrı hattı aynı anda tetikleyebilir:

İdari sorumluluk. Kişisel Verileri Koruma Kurulu tarafından uygulanan idari para cezaları. Muhatap veri sorumlusudur; ceza şirkete kesilir.
Hukuki sorumluluk. İlgili kişinin uğradığı zararın tazmini. Kurul cezası ödenmiş olması tazminat talebini ortadan kaldırmaz; ikisi birbirinden bağımsızdır.
Cezai sorumluluk. Türk Ceza Kanunu’nun 135-140. maddelerindeki suçlar. Muhatap tüzel kişi değil gerçek kişidir — fiili işleyen çalışan veya yönetici. Şirketin idari cezayı ödemesi, ilgili kişinin cezai sorumluluğunu kaldırmaz.

Bu ayrımın savunmadaki karşılığı şudur: idari süreçte “kurumsal tedbirler alınmıştı” savunması kurulurken, cezai süreçte kastın bulunmadığı ayrıca ortaya konmalıdır. İki savunma aynı dilekçeyle yürütülemez.

Şirketinizin KVKK uyum durumunu birlikte değerlendirelim.

Av. Fatma Öztürk — Hukukçular Evi Ankara

📞 Hemen Arayın
💬 WhatsApp

Konu Rehberleri

Bu alandaki içerikler yedi konu grubuna ayrılmıştır. Her rehber ilgili kanun maddesini, süreleri ve uygulamadaki tartışmalı noktaları ayrıntılı olarak ele alır.

Temel Kavramlar ve Yükümlülükler

Şirketler İçin Uyum Programı

Görüntü, İzleme ve Kamera

Veri İhlali ve Yaptırım

İlgili Kişinin Hakları

Ceza Hukuku Boyutu (TCK m.132-140)

İnternet, Bilişim ve Sektörel Uygulamalar

Bilişim ve Kişisel Veriler Hukuku kategorisindeki tüm rehberler →

Somut dosyanız için değerlendirme

Bu rehber genel bilgilendirme amaçlıdır. Dosyanızın kendine özgü koşulları farklı bir yol haritası gerektirebilir.

İletişime Geçin

Güncel Rehberler

Dijital Delil ve Adli Bilişim

Süre Haritası: KVKK’da Kaçırılmaması Gereken Takvim

Kişisel veri uyuşmazlıklarında hak kaybının birinci sebebi süre kaçırmaktır. En sık karşılaşılan takvimler:

Konu	Süre
Veri ihlali bildirimi	Öğrenilmesinden itibaren en kısa sürede Kurula bildirilir
Yurt dışı standart sözleşme	İmzadan itibaren beş iş günü içinde Kuruma bildirim
İlgili kişi başvurusu	Veri sorumlusu otuz gün içinde sonuçlandırır
Kurula şikâyet	Başvurunun reddi veya cevapsızlığından sonra; süreye tabidir
İdari para cezasına dava	İdare mahkemesinde; idari dava açma süresi işler
Erişim engeli talebi	İnternet yayınlarında ayrı ve çok kısa süreler geçerlidir

Üçüncü satır şirketler için en sık ihlal edilen yükümlülüktür. İlgili kişinin başvurusu, talebin niteliğine göre en geç öngörülen süre içinde sonuçlandırılmalıdır; cevapsız bırakmak başlı başına şikâyet ve yaptırım sebebidir. Uygulamada başvurular müşteri hizmetleri kanalında kaybolmakta ve süre farkında olunmadan geçmektedir. Bu nedenle şirket içinde; kişisel veri başvurularının ayrı bir kanalda toplanması, kayıt numarası verilmesi ve süre takibinin otomatik hatırlatmayla yürütülmesi gerekir.

Yol Haritası: Durumunuza Göre Nereden Başlamalı?

Kişisel veri uyuşmazlıkları tek kalıba girmez; hangi rehberle başlanacağı duruma göre değişir.

Durumunuz	İlk adım
Kuruldan ceza geldi	Karar tarihini ve gösterilen başvuru yolunu kontrol edin
Verim izinsiz kullanıldı	Önce veri sorumlusuna yazılı başvuru; kayıt numarası alın
İşyerinde izleniyorum	Aydınlatma yapılıp yapılmadığını ve dayanağı sorgulayın
Hakkımda içerik yayınlandı	Erişimin engellenmesi yolu hızlı işler; gecikilmemeli
Şirkette ihlal yaşandı	Bildirim yükümlülüğü ve iç inceleme aynı anda başlatılmalı
Yurt dışına veri aktarıyorum	Hangi mekanizmaya dayanıldığı ve bildirim yapılıp yapılmadığı

Beşinci satırdaki eşzamanlılık kritiktir. Veri ihlali yaşandığında şirketler önce iç incelemeyi tamamlayıp sonra bildirim yapmayı tercih eder; oysa bildirim yükümlülüğü inceleme tamamlansın diye beklemez. Gecikmiş bildirim, ihlalin kendisinden ayrı bir yaptırım sebebi oluşturur. Bu nedenle ihlal öğrenildiği anda; bildirim süreci ile iç inceleme paralel yürütülmeli, bildirim eksik bilgiyle yapılıp sonradan tamamlanabileceği gözetilmelidir.

Üç Katmanlı Sorumluluğun Pratik Sonucu

Aynı fiil, birbirinden bağımsız üç ayrı süreç doğurabilir. Savunma buna göre kurgulanmalıdır.

Katman	Merci	Sonuç
İdari	Kurul → idare mahkemesi	İdari para cezası
Hukuk	Genel mahkemeler	Maddi ve manevi tazminat
Ceza	Ceza mahkemeleri	Hapis cezası
Etkileşim	Birinde verilen beyan diğerine yansır	—
Muhatap	İdari katmanda tüzel kişi; ceza katmanında gerçek kişi	—

Son satır yöneticiler için hayati bir ayrımdır. İdari para cezası şirkete kesilirken, ceza sorumluluğu gerçek kişilere yönelir; yani şirketin cezayı ödemesi, yöneticinin ceza dosyasını kapatmaz. Bu nedenle bir veri ihlalinde; şirket savunması ile ilgili kişilerin bireysel savunmaları arasında çıkar çatışması doğabilir. Şirket avukatının aynı anda yöneticiyi de temsil etmesi bu nedenle her zaman uygun olmaz; ayrı temsil değerlendirilmelidir.

Uyum Dosyasında Bulunması Gerekenler

Denetim başladığında istenen belgeler bellidir; sonradan üretilmeleri güç kaybettirir.

Belge	İşlevi
Veri envanteri	Hangi veri, hangi amaçla, hangi dayanakla işleniyor
Aydınlatma metinleri	Her kanal için ayrı; tarihli sürümleri saklanmalı
Saklama ve imha politikası	Süreler ve imha kayıtları
Teknik tedbir kayıtları	Yetkilendirme, log, şifreleme, sızma testi
Sözleşmeler	Veri işleyenlerle yapılan protokoller
Eğitim kayıtları	Katılım listeleri; cezayı hafifleten unsurlardandır

İkinci satır sık atlanan bir ayrıntı içerir. Aydınlatma metinleri zamanla güncellenir; ancak bir şikâyet, geçmiş bir döneme ilişkin olabilir. O tarihte hangi metnin yürürlükte olduğu gösterilemezse, aydınlatma yükümlülüğünün yerine getirildiği ispatlanamaz. Bu nedenle her metin; yürürlük tarihi ve sürüm numarasıyla arşivlenmeli, hangi kanalda ne zaman yayımlandığı kayda geçirilmelidir. Bu tek alışkanlık, denetimde ispat yükünü karşılamayı kolaylaştırır.

Sıkça Sorulan Sorular

Açık rıza her zaman gerekli mi?

Hayır. KVKK m.5/2’de sayılan hâllerde açık rıza aranmaz; örneğin kanunlarda açıkça öngörülmesi, sözleşmenin ifası için gereklilik veya veri sorumlusunun meşru menfaati gibi şartların varlığında rıza olmadan işleme yapılabilir.

Veri ihlali olduğunda ne yapılmalı?

Veri sorumlusu, ihlali öğrendiğinde en kısa sürede Kişisel Verileri Koruma Kurulu’na ve etkilenen ilgili kişilere bildirim yapmakla yükümlüdür. Bildirim yapılmaması ayrıca idari para cezası doğurur.

Verimin silinmesini nasıl talep ederim?

Önce veri sorumlusuna yazılı başvuru yapılır. Veri sorumlusu en geç otuz gün içinde cevap vermek zorundadır. Talep reddedilir veya cevapsız kalırsa Kurul’a şikâyet yoluna gidilebilir.

İlgili Rehberler