KVKK, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun kısaltmasıdır. Kanun, kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumayı ve kişisel veri işleyen gerçek ve tüzel kişilerin yükümlülüklerini düzenlemeyi amaçlar. 7 Nisan 2016’da yürürlüğe giren Kanun’un uygulanmasını Kişisel Verileri Koruma Kurumu ve Kurulu denetler.
KVKK’nın Temel Kavramları
- Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi. Ad-soyad, telefon, e-posta, IP adresi, kamera görüntüsü bunlara örnektir.
- Özel nitelikli kişisel veri: Sağlık, biyometrik ve genetik veriler, ceza mahkûmiyeti, din, siyasi düşünce, sendika üyeliği gibi verilerdir; işlenmeleri daha sıkı şartlara bağlıdır.
- Veri sorumlusu: Verilerin işleme amaçlarını ve vasıtalarını belirleyen kişi ya da kurum; çoğu durumda şirketin kendisi.
- Veri işleyen: Veri sorumlusu adına ve onun talimatıyla veri işleyen taraf; örneğin bordro, bulut veya çağrı merkezi hizmeti aldığınız firma.
- İlgili kişi: Verisi işlenen gerçek kişi; çalışan, müşteri, ziyaretçi veya aday.
KVKK Kimleri Kapsar?
Kanun, kişisel verileri tamamen veya kısmen otomatik yollarla ya da bir veri kayıt sisteminin parçası olarak otomatik olmayan yollarla işleyen tüm gerçek ve tüzel kişileri kapsar. Şirketin büyüklüğü, sektörü veya kamu–özel ayrımı fark etmez. Çalışanı, müşterisi ya da web sitesi formu olan her işletme fiilen bir veri sorumlusudur.
Kişisel Veriler Hangi Şartlarla İşlenebilir?
Kanun’un 5. maddesine göre kişisel veriler ilgili kişinin açık rızasıyla veya şu şartlardan birinin varlığında rıza aranmaksızın işlenebilir: kanunlarda açıkça öngörülmesi, bir sözleşmenin kurulması veya ifası, veri sorumlusunun hukuki yükümlülüğü, ilgili kişinin kendisince alenileştirilmesi, bir hakkın tesisi veya korunması ve veri sorumlusunun meşru menfaati. Uygulamada en sık yapılan hata, aslında başka bir hukuki sebebe dayanabilecek işlemler için gereksiz yere açık rıza toplamaktır.
Şirketlerin KVKK Yükümlülükleri
- Aydınlatma: Veri toplanırken ilgili kişiye kim olduğunuzu, veriyi hangi amaçla ve hangi hukuki sebeple işlediğinizi, kime aktardığınızı ve haklarını bildirmek. Ayrıntılar için aydınlatma metni rehberimize göz atabilirsiniz.
- Veri güvenliği: Verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için teknik ve idari tedbirler almak; yetki yönetimi, loglama, şifreleme, yedekleme ve çalışan farkındalığı bunların başında gelir.
- Başvurulara yanıt: İlgili kişilerin 11. maddedeki haklarına ilişkin başvurularını en geç 30 gün içinde ücretsiz olarak sonuçlandırmak.
- VERBİS kaydı: Muafiyet kapsamında değilseniz Veri Sorumluları Siciline kaydolmak. Kimlerin muaf olduğunu VERBİS yazımızda anlattık.
- Saklama ve imha: Verileri işleme amacının gerektirdiği süre kadar saklamak, süre dolunca silmek, yok etmek veya anonim hale getirmek.
- Veri ihlali bildirimi: Bir veri ihlali yaşandığında bunu Kurul kararında belirtilen süre içinde (öğrenmeden itibaren 72 saat) Kurula ve ilgili kişilere bildirmek.
- Yurt dışına aktarım: 2024 değişikliğiyle yenilenen 9. madde kurallarına uymak; standart sözleşme kullanıyorsanız bunu Kurum’a süresi içinde bildirmek.
KVKK’ya Uyum Nereden Başlar?
Uyumun omurgası kişisel veri envanteridir. Hangi birimin hangi veriyi, hangi amaçla, hangi hukuki sebeple topladığı, nerede sakladığı ve kime aktardığı çıkarılmadan aydınlatma metinleri, saklama süreleri ve teknik tedbirler doğru kurgulanamaz. Envanterin ardından politika ve metinler hazırlanır, çalışanlara KVKK eğitimi verilir ve teknik tedbirler uygulanır. Bilgi güvenliği tarafında ISO 27001 ile KVKK’nın nasıl birleştiğini de ayrıca ele aldık.
Uyumsuzluğun bedeli yalnızca idari para cezası değildir; itibar kaybı ve müşteri güveni de risk altındadır. Güncel ceza tutarlarını KVKK cezaları yazımızda bulabilirsiniz.
KVKK danışmanlığı kapsamında süreci birlikte planlayalım; kapsamınıza göre net bir teklif hazırlayalım.
İlgili Yazılar
KVKK Aydınlatma Metni Nasıl Hazırlanır? Örnekli Rehber
KVKK aydınlatma metni nedir, nasıl hazırlanır? Metinde bulunması gereken zorunlu unsurlar, açık rızadan farkı, sık yapılan hatalar ve örnek ifade kalıpları.
VERBİS Kaydı: Kimler Zorunlu, Nasıl Yapılır?
VERBİS kaydı kimler için zorunlu? 50 çalışan ve 100 milyon TL eşiği, özel nitelikli veri işleyenler için kriterler ve VERBİS’e kayıt adımları.
KVKK Cezaları 2026: Güncel Tutarlar ve Örnekler
2026 KVKK idari para cezası tutarları: aydınlatma, veri güvenliği, VERBİS ve Kurul kararlarına uymama cezaları, ihlal örnekleri ve cezalardan korunma yolları.Sıkça Sorulan Sorular
KVKK ne zaman yürürlüğe girdi?
6698 sayılı Kişisel Verilerin Korunması Kanunu 7 Nisan 2016’da Resmî Gazete’de yayımlanarak yürürlüğe girdi; bazı maddeleri için geçiş süreleri öngörüldü.
KVKK açılımı nedir?
KVKK, Kişisel Verilerin Korunması Kanunu’nun kısaltmasıdır. Kanunu uygulayan kurum ise Kişisel Verileri Koruma Kurumu’dur.
Küçük işletmeler KVKK’ya uymak zorunda mı?
Evet. Kanun, büyüklük ayrımı yapmadan kişisel veri işleyen herkesi kapsar. Küçük işletmeler için bazı muafiyetler yalnızca VERBİS kaydı gibi belirli yükümlülüklerde söz konusudur.
