KVKK ve Kişisel Verilerin Korunması

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kimliği belirli veya belirlenebilir gerçek kişiye ait bilginin hangi şartla işleneceğini ve bu bilgiyi işleyenin yükümlülüklerini düzenler (KVKK m.1, m.3). Verisi işlenen kişi önce veri sorumlusuna başvurur; bu yol tüketilmeden Kişisel Verileri Koruma Kuruluna (Kurul) şikâyet edemez (KVKK m.13, m.14).

KVKK kimi kapsar, kişisel veri nedir?

Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Kanun, verisi işlenen gerçek kişileri ve bu veriyi otomatik yollarla veya bir veri kayıt sisteminin parçası olarak işleyen gerçek ve tüzel kişileri kapsar (KVKK m.2). Elde etme, kaydetme, saklama, değiştirme, açıklama ve aktarma işleme sayılır (KVKK m.3).

• Veri sorumlusu: İşleme amacını ve vasıtasını belirleyen, veri kayıt sistemini kuran ve yöneten kişidir (KVKK m.3).
• Veri işleyen: Veri sorumlusunun verdiği yetkiyle onun adına veri işleyen kişidir (KVKK m.3).
• İlgili kişi: Kişisel verisi işlenen gerçek kişidir (KVKK m.3).

Kanun bazı işlemelere hiç uygulanmaz, bazılarında yalnız belirli yükümlülükler kalkar (KVKK m.28):

• Kişisel ve aile içi işleme: Üçüncü kişilere verilmeden ve veri güvenliğine uyularak kişinin kendisi veya aynı konutta yaşayan aile fertleriyle ilgili işleme.
• Sanat, bilim ve ifade: Millî güvenlik, kamu düzeni, özel hayat ve kişilik haklarını ihlal etmeyen, suç oluşturmayan sanat, tarih, edebiyat, bilim ve ifade özgürlüğü kapsamındaki işleme.
• Kamu: Resmî istatistik ve anonim araştırma, millî savunma, güvenlik ve kamu düzeni için kanunla yetkili kurumların önleyici, koruyucu ve istihbari faaliyetleri, yargı makamları ve infaz mercilerinin soruşturma, kovuşturma, yargılama ve infaz işlemleri.
• Kısmi istisna: Suç önleme veya soruşturması, ilgili kişinin alenileştirdiği veri, kanuni yetkiyle denetleme, düzenleme veya disiplin soruşturması ve Devletin bütçe, vergi ve mali çıkarları için işlemede, Kanunun amacına ve temel ilkelerine uygun ve orantılı olmak kaydıyla aydınlatma, ilgili kişi hakları (zararın giderilmesi hariç) ve sicil yükümlülüğü uygulanmaz.

Veri hangi şartla işlenir, rıza nasıl alınır?

Kural açık rızadır: belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza gerekir (KVKK m.3, m.5). Rıza şu hâllerde aranmaz (KVKK m.5/2):

• Kanunlarda açıkça öngörülmesi.
• Fiilî imkânsızlık nedeniyle rızasını açıklayamayan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da başkasının hayatı veya beden bütünlüğü için zorunlu olması.
• Bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olmak kaydıyla, taraflara ait verinin işlenmesinin gerekli olması.
• Veri sorumlusunun hukuki yükümlülüğü için zorunlu olması.
• Verinin ilgili kişi tarafından alenileştirilmesi (herkese açık hâle getirilmesi).
• Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması.
• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaati için zorunlu olması.

Her durumda işleme hukuka ve dürüstlük kurallarına uygun olmalı, belirli ve meşru bir amaç için yapılmalı, bu amaçla bağlantılı, sınırlı ve ölçülü kalmalıdır (KVKK m.4). Sağlık, din, siyasi düşünce, ceza mahkûmiyeti, biyometrik ve genetik veri gibi özel nitelikli veriler kural olarak işlenemez. Şu hâllerde işlenebilir ve Kurulun belirlediği yeterli önlemler ayrıca şarttır (KVKK m.6):

• İlgili kişinin açık rızası veya kanunda açıkça öngörülme.
• Fiilî imkânsızlık nedeniyle rızasını açıklayamayan veya rızasına hukuki geçerlilik tanınmayan kişinin ya da başkasının hayatı veya beden bütünlüğü için zorunluluk.
• Alenileştirme iradesine uygun, alenileştirilmiş veri.
• Bir hakkın tesisi, kullanılması veya korunması için zorunluluk.
• Sır saklama yükümlüsü kişiler veya yetkili kuruluşlarca sağlık hizmetleri amacıyla gereklilik.
• İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmet ve yardımda hukuki yükümlülük için zorunluluk.
• Siyasi, felsefi, dinî veya sendikal amaçlı kâr amacı gütmeyen kuruluşların, mevzuatlarına ve amaçlarına uygun, faaliyet alanlarıyla sınırlı ve üçüncü kişilere açıklanmamak kaydıyla mevcut veya eski üye ve mensuplarına ya da düzenli temastaki kişilere yönelik işlemesi.

Aydınlatma ile açık rıza ayrı işlemlerdir. Aydınlatma, veri elde edilirken yapılan bilgilendirmedir ve kanundaki istisnalar dışında, işleme şartından bağımsız olarak gerekir (KVKK m.10, m.28/2). Kurul iki metnin ayrı düzenlenmesini ilke kararına bağlamıştır (Kurul, 2026/347). Bir sağlık kuruluşundan aydınlatma metnindeki “onay veriyorum” ifadesini kaldırmasını ve yalnız metnin okunduğunu gösteren kutucuk kullanmasını istemiştir (Kurul, 2023/692).

• Hizmet şartı: Sunulan hizmetle doğrudan bağlantısı olmayan tanıtım faaliyeti için rıza zorunlu tutulursa irade sakatlanır (Kurul, 2023/692). Temel hizmet rızasız alınabiliyor ve rıza yalnız ek imkân sunan sadakat programı için isteniyorsa dayatma sayılmamıştır (Kurul, 2023/890).
• SMS kodu: Tek doğrulama koduyla üyelik onayı, veri işleme izni ve ticari ileti onayı birlikte alınamaz; açık rıza gereken her faaliyet için ayrı seçenek sunulur (Kurul, 2025/1072).

Kurula şikâyet süresi hangi gün dolar?

Cevap otuz gün içinde gelmişse şikâyet süresi cevabın öğrenilmesinden itibaren otuz gündür; cevap gelmemiş veya otuz günden sonra gelmişse başvuru tarihinden itibaren altmış gündür (KVKK m.14; Kurul, 2019/9):

Silme talebi nasıl yapılır, şikâyet neyle sınırlıdır?

İlgili kişi talebini yazılı olarak veya kayıtlı elektronik posta (KEP), güvenli elektronik imza, mobil imza, veri sorumlusunun sisteminde kayıtlı e-posta adresi ya da başvuruya özgü yazılım veya uygulamayla iletir (Başvuru Tebliği m.5). Talep en geç otuz gün içinde ücretsiz sonuçlandırılır; işlem ayrıca maliyet gerektiriyorsa Kurulun belirlediği tarifedeki ücret alınabilir. Başvuruda ad ve soyad, yazılı başvuruda imza, T.C. kimlik numarası (yabancılarda uyruk, pasaport numarası veya varsa kimlik numarası), tebligat adresi, varsa e-posta ve telefon ile talep konusu bulunur; belgeler eklenir (Başvuru Tebliği m.5). Veri sorumlusu kabul eder veya gerekçesini açıklayarak reddeder (KVKK m.13). İlgili kişinin hakları şunlardır (KVKK m.11):

• Verisinin işlenip işlenmediğini, işlenme amacını ve aktarıldığı üçüncü kişileri öğrenme.
• Eksik veya yanlış verinin düzeltilmesi, KVKK m.7 şartlarıyla verinin silinmesi veya yok edilmesi ve bunların aktarılan kişilere bildirilmesi.
• Yalnız otomatik analizle aleyhine çıkan sonuca itiraz.
• Kanuna aykırı işleme nedeniyle zararın giderilmesi.

İşleme sebepleri ortadan kalkınca veri kendiliğinden veya talep üzerine silinir, yok edilir ya da hiçbir kişiyle ilişkilendirilemeyecek biçimde anonim hâle getirilir (KVKK m.3, m.7). Sigorta sözleşmesi süren ve yasal saklama yükümlülüğü bulunan şirket hakkında Kurul silme talebi yönünden işlem yapmamış; şirketi vekâletnamede özel yetki aramaması için uyarmış, bu şartı formlarından kaldırmasını ve başvuruları gerekçesini açıklayarak reddetmesini istemiştir (Kurul, 2021/1262). İş sözleşmesinin sona erdiğini belirterek silme isteyen kişinin görüntü ve sesini tanıtım videosunda kullanmayı sürdüren ve başvurusunu cevapsız bırakan tıp merkezine, işleme şartı kalmadığı için ceza ve silme talimatı verilmiştir (Kurul, 2020/379).

Kurul bir dosyada, veri sorumlusuna başvuruda yer almayan aydınlatma iddiasını şikâyet incelemesine almamıştır (Kurul, 2024/1393). Şikâyet olmasa da ihlal iddiasını öğrenen Kurul resen inceleyebilir. İhlal varsa Kurul giderilmesine karar verir; telafisi güç zarar ve açık hukuka aykırılıkta işlemeyi veya yurt dışına aktarımı durdurabilir; yaygın ihlalde ilke kararı alır (KVKK m.15).

Kurulun şikâyet üzerine verdiği karara karşı tebliğden, şikâyete altmış gün içinde cevap verilmemesiyle oluşan ret işlemine karşı bu sürenin bitiminden itibaren altmış gün içinde idare mahkemesinde iptal davası açılabilir (KVKK m.15/4; İYUK m.2, m.7).

İşveren çalışanın verisini nasıl işler?

İşveren çalışan verisini diğer veri sorumluları gibi Kanundaki ilke ve şartlara uyarak işler; denetim veya güvenlik amacı sınırsız işleme yetkisi vermez (KVKK m.4, m.5, m.6). Kurulun işyeri kararları şöyledir:

• Mesai takibi: Yalnız mesai takibi için biyometrik veri işlenmesi KVKK m.6’daki şartlara dayanmaz; geçerli açık rıza olsa bile ölçülülüğü sağlamaz. Parmak izi veya avuç içi verisinin matematiksel koda çevrilmesi biyometrik niteliğini ortadan kaldırmaz. Kritik güvenlik alanlarında ayrı değerlendirme yapılır; işleme gerekli alan ve kişilerle sınırlı olmalı, alternatifler yetersiz kalmalıdır (Kurul, 2026/921; Kurum duyurusu, 27 Ağustos 2026).
• Kurumsal e-posta: İletişim aracının işverene ait olması sınırsız denetim yetkisi vermez. İçerik incelemesine kural olarak somut şüphe veya belirli bir olay varsa ve amaçla sınırlı gidilir; genel ve sürekli inceleme yapılmaz. Hesabın denetlenebileceğine ilişkin genel bildirim tek başına yetmeyebilir, açık rıza da her durumda öncelikli dayanak sayılmaz. Teknik erişim imkânı, kişisel e-posta veya mesajlaşma hesabına hukuken erişim anlamına gelmez (Kurul, 2026/2035).
• Kamera ve ses: Görüntü kaydı her durumda meşru değildir; amaca makul başka yöntemle ulaşılamamalı, kaydı gerektiren sebep de temel haklarla çatışmada üstün tutulacak bir menfaate işaret etmelidir. Bir okulda görüntü kaydı hukuka uygun bulunmuş, ses kaydı için 200.000 TL ve aydınlatmanın ispatlanamaması için 30.000 TL ceza verilmiştir; şikâyetçiler çalışan değil, kiraya veren taraftır (Kurul, 2023/1461). Güvenlik kulübesindeki kamerayla ses de kaydeden işverene, sesin işlenmesinde KVKK m.5 şartı bulunmadığı için 125.000 TL ceza verilmiş, ses verilerinin imhası istenmiştir (Kurul, 2023/2007).
• Yüz tanıma: İşe giriş çıkışta yüz tanıma sistemiyle işlenen biyometrik veri KVKK m.6’nın 2024 değişikliğinden önceki şartlarına dayanmadığı için 500.000 TL ceza verilmiş; verilerin imhası, işlemenin durdurulması ve alternatif yönteme geçilmesi istenmiştir (Kurul, 2022/797).
• Tuvalet kamerası: Kameranın sahte olduğu savunmasında bile işçilere mahrem alanda izleniyor izlenimi vermek dürüstlük ilkesine aykırı bulunmuş, kameraların yeniden konumlandırılması istenmiştir (Kurul, 2022/797).
• İşten çıkarma duyurusu: Çalışanın adını ve hakkındaki ithamları içeren duyuruyu herkese açık sosyal medya hesabında yayımlayan işverene, işleme şartı gösterilemediği ve amaçla makul denge bulunmadığı için 30.000 TL ceza verilmiş, paylaşımdaki verilerin imhası istenmiştir (Kurul, 2022/386).

İşçinin diğer hakları iş hukuku sayfasında anlatılır.

Kurul hangi uyuşmazlıkta nasıl karar verdi?

Kurul aşağıdaki uyuşmazlıklarda ihlalin giderilmesine, para cezasına veya işlem yapılmamasına karar vermiştir. Kararlar, Kişisel Verileri Koruma Kurumunun yayımladığı kararlar arasından konu çeşitliliğine göre seçilmiştir. Örneklemdir, oran veya eğilim göstermez; cezalar karar tarihindeki tutarlardır.

Veri ihlalinde ne yapılır?

Veriler kanuni olmayan yollarla ele geçirilirse veri sorumlusu bunu en kısa sürede ilgili kişiye ve Kurula bildirir; Kurul gerekirse ilan eder (KVKK m.12/5). Kurul “en kısa süre”yi öğrenmeden itibaren en geç yetmiş iki saat olarak yorumlamıştır; ilgili kişilere bildirim de etkilenenler belirlendikten sonra makul en kısa sürede yapılır. Haklı bir gerekçeyle yetmiş iki saat içinde bildirim yapılamazsa gecikmenin nedenleri bildirimle birlikte Kurula açıklanır (Kurul, 2019/10).

Bildirim ve güvenlik ayrı değerlendirilir: süresinde bildirim yapan e-ticaret şirketine yalnız güvenlik eksikliği için ceza verilmiş (Kurul, 2020/715), süresinde bildirmeyen veri sorumlusuna güvenlik için 750.000 TL, geç bildirim için 250.000 TL ceza verilmiştir (Kurul, 2024/728). Verisi sızan kişi hangi verinin etkilendiğini veri sorumlusuna sorabilir, sonuç alamazsa şikâyet edebilir (KVKK m.11, m.14).

Veri yurt dışına nasıl aktarılır?

Kişisel veri, işleme şartı varsa ve Kurul ülke, sektör veya kuruluş için yeterlilik kararı vermişse aktarılabilir (KVKK m.9/1). Bu karar yoksa işleme şartına ek olarak ilgili kişinin orada hak arayabilmesi ve şu güvencelerden birinin sağlanması gerekir (KVKK m.9/4):

• Kurulun izin verdiği, kamu kurumları arasındaki anlaşma.
• Kurulun onayladığı bağlayıcı şirket kuralları.
• Kurulun ilan ettiği standart sözleşme; imzadan itibaren beş iş günü içinde Kuruma bildirilir.
• Kurulun izin verdiği yazılı taahhütname.

Bunlar da yoksa aktarım yalnız süreklilik taşımayan (arızi) işlemlerde mümkündür; örneğin riskler anlatılarak alınan açık rıza, sözleşmenin ifası veya bir hakkın korunması için zorunluluk (KVKK m.9/6).

VERBİS zorunlu mu, ceza ne kadar?

Veri sorumluları işlemeye başlamadan önce Veri Sorumluları Siciline (VERBİS) kaydolur; Kurul objektif ölçütlerle istisna getirebilir (KVKK m.16). Yıllık çalışan sayısı elliden ve mali bilanço toplamı 100 milyon TL’den az olup ana faaliyeti özel nitelikli veri işleme olmayanlar (Kurul, 2023/1154) ile ana faaliyeti bu olup çalışan sayısı ondan ve bilanço toplamı 10 milyon TL’den az olanlar istisnadır (Kurul, 2025/1572). Bilanço esasına göre defter tutmayanlarda yalnız çalışan sayısına bakılır (Kurul, 2025/2393). Kanundaki cezalar her takvim yılı başında yeniden değerleme oranıyla artar, küsur atılır (5326 s.K. m.17/7). 2026 tutarları Kişisel Verileri Koruma Kurumunun yayımladığı tablodadır ve 31 Aralık 2026’ya kadar geçerlidir. 2027 tutarları, Ekim 2026 verisine göre açıklanan yüzde 27,83 oranıyla bu sayfada hesaplanmıştır; 1 Ocak 2027’den uygulanır, oranı ilan edecek Vergi Usul Kanunu Genel Tebliği ve Kurumun tablosu henüz yayımlanmamıştır:

Cezalar gerçek kişiler ve özel hukuk tüzel kişileri hakkında uygulanır; kamu kurumlarında görevliler hakkında disiplin hükümleri işler (KVKK m.18). Cezaya karşı idare mahkemesinde dava açılır (KVKK m.18/3). 1 Haziran 2024 tarihinde sulh ceza hâkimliklerinde görülmekte olan başvurular bu hâkimliklerce görülmeye devam eder; Uyuşmazlık Mahkemesi bu tarihten önce itiraz edilen dosyada adli yargıyı görevli bulmuştur (KVKK geçici m.3; Uyuşmazlık Mahkemesi, E.2025/149, K.2025/344). Uyuşmazlık Mahkemesi, sicile kaydolmadığı için verilen 850.000 TL cezada sulh ceza hâkimliği cezayı 53.572 TL’ye indirip idare mahkemesi davayı reddedince doğan hüküm uyuşmazlığını, idare mahkemesi kararını benimseyip sulh ceza kararını kaldırarak gidermiş; cezanın yıllık bilanço toplamına göre hakkaniyetli, orantılı ve ölçülü olduğu tespitini esas almıştır (E.2025/228, K.2026/82).

Kişisel veri ihlali suç mudur?

Kişisel verilerle ilgili bazı fiiller suçtur (KVKK m.17). Hukuka aykırı veri kaydetmenin cezası bir yıldan üç yıla, veriyi hukuka aykırı verme, yayma veya ele geçirmenin cezası iki yıldan dört yıla kadar hapistir (TCK m.135, m.136). Bu suçlar kamu görevlisince görev yetkisi kötüye kullanılarak veya meslek ve sanatın sağladığı kolaylıktan yararlanılarak işlenirse ceza yarı oranında artırılır (TCK m.137). Süresi geçen veriyi yok etmeyen yükümlünün cezası bir yıldan iki yıla kadardır; KVKK m.7’ye aykırı olarak veriyi silmeyen veya anonim hâle getirmeyen de bu hükme göre cezalandırılır (TCK m.138; KVKK m.17). Bu suçlar şikâyete bağlı değildir (TCK m.139).

Bilişim suçları ceza hukuku sayfasında anlatılır.

Tazminat istenir mi, internetteki içerik nasıl kaldırılır?

Kanuna aykırı işleme nedeniyle zarara uğrayan kişi zararının giderilmesini isteyebilir (KVKK m.11). Kanun önce veri sorumlusuna başvurma şartını şikâyet yolu için koymuş, kişilik hakları ihlal edilenin genel hükümlere göre tazminat hakkını ayrıca saklı tutmuştur (KVKK m.14). Kişi saldırının önlenmesini, durdurulmasını veya hukuka aykırılığının tespitini, maddi ve manevi tazminatı dava edebilir, kendi yerleşim yeri mahkemesinde de açabilir (TMK m.24, m.25).

• Arama sonuçları: Ad ve soyadla yapılan aramada çıkan sonucun listeden (indeksten) çıkarılması arama motorundan istenir. Reddedilirse veya cevap gelmezse Kurula başvurulabilir, doğrudan yargı yoluna da gidilebilir (Kurul, 2020/481).
• Özel hayat: İçerik özel hayatın gizliliğini ihlal ediyorsa Siber Güvenlik Başkanlığından erişimin engellenmesi istenir. Tedbir en geç dört saatte uygulanır; kişi talebini yirmi dört saat içinde sulh ceza hâkimine sunar, hâkim kırk sekiz saat içinde karar verir; aksi hâlde tedbir kalkar (5651 s.K. m.2, m.9/A).
• İptal edilen yol: Kişilik hakkı ihlalinde sulh ceza hâkiminden içerik kaldırma imkânı veren 5651 s.K. m.9, 10 Ekim 2024’te yürürlükten kalkmıştır (Anayasa Mahkemesi, E.2020/76, K.2023/172).

Kısaltmalar

Başvuru Tebliği, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliği gösterir.