6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), 7 Nisan 2016 tarihli Resmî Gazete'de yayımlandı. Kanun, kişisel veri işleyen gerçek ve tüzel kişilere (veri sorumlularına) aydınlatma, veri güvenliği, başvurulara cevap verme ve belirli şartlarda Veri Sorumluları Siciline (VERBİS) kayıt gibi yükümlülükler getirir. Kanunun 6, 9 ve 18. maddeleri, 12 Mart 2024 tarihli Resmî Gazete'de yayımlanan 7499 sayılı Kanunla değiştirildi ve değişiklikler 1 Haziran 2024'te yürürlüğe girdi. Tüm Grup, KVKK uyum sürecinizi baştan sona planlar ve yürütür.
2024 değişiklikleri
- Özel nitelikli kişisel veriler (md. 6): Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler özel nitelikli kişisel veridir. Bu verilerin işlenmesi kural olarak yasaktır. Değişiklikle istisnalar genişledi: açık rızanın yanında kanunlarda açıkça öngörülme, fiili imkânsızlık, ilgili kişinin alenileştirmesi, bir hakkın tesisi, kullanılması veya korunması için zorunluluk, sağlık hizmetleri ile istihdam, iş sağlığı ve güvenliği ve sosyal güvenlik alanındaki hukuki yükümlülükler gibi hâllerde işleme mümkündür. Kurulun belirlediği yeterli önlemlerin alınması her durumda şarttır.
- Yurt dışına aktarım (md. 9): Aktarım için önce Kurulun ilgili ülke, sektör veya uluslararası kuruluş hakkında yeterlilik kararı aranır. Yeterlilik kararı yoksa standart sözleşme, bağlayıcı şirket kuralları veya Kurul izniyle taahhütname gibi uygun güvencelerden biri sağlanmalıdır. Standart sözleşme, imzalanmasından itibaren beş iş günü içinde Kuruma bildirilir. Bunlar da yoksa aktarım ancak arızi olarak ve kanunda sayılan hâllerde yapılabilir. Eski düzenleme 1 Eylül 2024'e kadar birlikte uygulandı. Ayrıntılar 10 Temmuz 2024 tarihli Resmî Gazete'de yayımlanan Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik'te yer alır.
- İdari para cezalarına itiraz (md. 18): Kurulun verdiği idari para cezalarına karşı artık sulh ceza hâkimliğine değil, idare mahkemesine dava açılır.
VERBİS kayıt yükümlülüğü
Kişisel veri işleyen gerçek ve tüzel kişiler kural olarak Veri Sorumluları Siciline kaydolmak zorundadır (KVKK md. 16). Kişisel Verileri Koruma Kurulunun 2018/87 sayılı Kararı, 2023/1154 ve 2025/1572 sayılı Kararlarla yapılan değişikliklerle birlikte şu veri sorumlularını kayıttan istisna tutar:
- Yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'den az olup ana faaliyet konusu özel nitelikli kişisel veri işleme olmayanlar
- Ana faaliyet konusu özel nitelikli kişisel veri işleme olmakla birlikte yıllık çalışan sayısı 10'dan az ve yıllık mali bilanço toplamı 10 milyon TL'den az olanlar
Bilanço esasına göre defter tutmayan veri sorumlularında yalnız çalışan sayısı ölçütü uygulanır (Kurulun 2025/2393 sayılı Kararı). Kurulun ayrıca bazı meslek ve kuruluş grupları için verdiği istisna kararları vardır.
Genel kayıt süresi 31 Aralık 2021'de sona erdi. Bu tarihten sonra yükümlü hâle gelen veri sorumluları, yükümlülüğün doğmasından itibaren 30 gün içinde kaydolmalıdır (Veri Sorumluları Sicili Hakkında Yönetmelik md. 8). Örneğin 2025 yılı bilançosuyla eşiği aşan kurumlar vergisi mükellefleri için Kurul son tarihi 5 Haziran 2026 olarak belirledi.
Temel yükümlülükler
- Aydınlatma (md. 10): Veri elde edilirken ilgili kişiye veri sorumlusunun kimliği, işleme amacı, verilerin kimlere hangi amaçla aktarılabileceği, toplama yöntemi, hukuki sebep ve kişinin hakları bildirilir.
- Hukuki sebep (md. 5 ve 6): Her veri işleme faaliyeti kanundaki bir işleme şartına dayanmalıdır. Açık rıza gerekiyorsa belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir rıza alınmalıdır.
- Veri güvenliği (md. 12): Hukuka aykırı işleme ve erişimi önlemek için gerekli teknik ve idari tedbirler alınır. Veri ihlali, öğrenildiği andan itibaren en geç 72 saat içinde Kurula bildirilir (Kurulun 2019/10 sayılı Kararı).
- Başvurulara cevap (md. 13): İlgili kişinin başvurusu en geç 30 gün içinde sonuçlandırılır.
- Silme ve imha (md. 7): İşlenme sebebi ortadan kalkan veriler silinir, yok edilir veya anonim hâle getirilir. VERBİS'e kayıt yükümlüsü veri sorumluları kişisel veri saklama ve imha politikası hazırlar.
2026 idari para cezaları
| Aykırılık | 2026 tutarı |
|---|---|
| Aydınlatma yükümlülüğünü yerine getirmeme | 85.437 TL ile 1.709.200 TL arası |
| Veri güvenliğine ilişkin yükümlülükleri yerine getirmeme | 256.357 TL ile 17.092.242 TL arası |
| Kurul kararlarını yerine getirmeme | 427.263 TL ile 17.092.242 TL arası |
| VERBİS'e kayıt ve bildirim yükümlülüğüne aykırılık | 341.809 TL ile 17.092.242 TL arası |
| Standart sözleşmeyi süresinde Kuruma bildirmeme | 90.308 TL ile 1.806.177 TL arası |
Tutarlar Kabahatler Kanunu'nun 17. maddesi uyarınca her yıl yeniden değerleme oranında artırılır; 2026 için oran %25,49'dur. Kişisel verilere ilişkin suçlarda ise Türk Ceza Kanunu'nun 135 ile 140. maddeleri uygulanır (KVKK md. 17).
KVKK uyum çalışması nasıl yürür?
- Birimlerle görüşülerek işlenen kişisel verilerin, işleme amaçlarının ve aktarımların tespit edilmesi (kişisel veri envanteri)
- Her işleme faaliyeti için hukuki sebebin belirlenmesi ve gerekli yerlerde açık rıza metinlerinin hazırlanması
- Aydınlatma metinleri, çerez politikası, saklama ve imha politikası ile iç prosedürlerin hazırlanması
- Yurt dışına aktarımların tespiti ve standart sözleşme gibi güvencelerin kurulması
- Gerekiyorsa VERBİS kaydının yapılması ve bilgilerin güncel tutulması
- Çalışanlara farkındalık eğitimi verilmesi ve teknik ve idari tedbirlerin gözden geçirilmesi
- İlgili kişi başvuruları ve veri ihlali için iç süreçlerin tanımlanması
Tüm Grup bu adımları sizinle birlikte planlar, belgeleri hazırlar ve uyum sonrası dönemde mevzuat ve Kurul kararlarındaki değişikliklere göre güncelleme desteği verir.
