Kişisel Verileri Koruma Kurumu Nedir, Ne Yapar, Nasıl Başvurulur
Kişisel Verileri Koruma Kurumu (KVKK), 6698 sayılı Kişisel Verilerin Korunması Kanunu'nu uygulamakla görevli, idari ve mali özerkliğe sahip kamu kurumudur. 2016'da kuruldu, merkezi Ankara'dadır. Karar organı olan Kişisel Verileri Koruma Kurulu; başvuruları inceler, rehber ve ilke kararları yayımlar, VERBİS'i yönetir ve gerektiğinde yaptırım uygular. Kanunda "KVKK" kısaltması hem kanun hem kurum için kullanılır; bu yazıda Kurum'dan söz ediyoruz.
Kurum ve Kurul arasındaki fark
- Kurum: Başkanlık, Kurul ve hizmet birimlerinden oluşan idari yapı. Rehberler, duyurular, VERBİS altyapısı, eğitim ve sektör çalışmaları Kurum'un işidir.
- Kurul: Dokuz üyeli karar organı. Başvuruları karara bağlar, ilke kararlarını çıkarır, gerektiğinde yaptırım uygular, VERBİS istisnalarını belirler, yurt dışına aktarımda yeterlilik kararlarını alır. "Kurul kararı" denince kastedilen budur.
Kurum ne yapar
| Görev | Pratikte ne demek |
|---|---|
| Şikayet inceleme | İlgili kişi, veri sorumlusuna başvurup 30 günde yanıt alamazsa veya yanıt yetersizse Kurul'a şikayet eder |
| Re'sen inceleme | Kurul, şikayet olmadan da basında çıkan veya kendi tespit ettiği durumları inceleyebilir |
| Yaptırım | Aydınlatma, veri güvenliği, Kurul kararlarına uyum ve VERBİS alanlarında, kanunun 18. maddesi çerçevesinde |
| Veri ihlali bildirimlerini alma | Veri sorumlusu ihlali öğrendikten sonra en geç 72 saat içinde Kurum'a bildirir; Kurul gerekirse durumu kamuya duyurur |
| VERBİS yönetimi | Veri Sorumluları Sicili'ni işletir, kayıt eşiklerini belirler |
| Rehber ve ilke kararı | Çerez Uygulamaları Rehberi (Temmuz 2025), Yurt Dışına Aktarım Rehberi (2025), Özel Nitelikli Kişisel Veri Rehberi (2025) gibi |
| Yeterlilik kararı | Hangi ülkelere serbestçe veri aktarılabileceğini belirler |
Kurul kararları neden önemli
Kurul kararları kamuya açıklanır ve uygulamada kanun kadar yol göstericidir; hangi uygulamanın beklendiği çoğu zaman kararlardan öğrenilir. Web siteleri için en çok atıf yapılan konular:
- Çerezler: Kurul'un çerez kararları, reddet seçeneğinin kabul kadar görünür olmasını, pazarlama çerezlerinin rıza gelmeden çalışmamasını ve rıza kaydının tutulmasını bekler. Bu üçü kurulduğunda çerez tarafı büyük ölçüde tamamlanmış olur.
- Aydınlatma: Aydınlatma metninin bulunmaması, eksik olması veya açık rıza metniyle birleştirilmesi.
- Yurt dışına aktarım: Sunucusu yurt dışında olan analitik, e-posta ve CRM araçlarının rıza veya uygun güvence olmadan kullanılması.
- Veri güvenliği: Erişim yetkilendirmesi, şifreleme ve log kaydı gibi temel tedbirlerin kurulmuş olması.
Kurum'a nasıl başvurulur
- Önce veri sorumlusuna yazılı başvuru yapılır; veri sorumlusu 30 gün içinde ücretsiz yanıt vermek zorundadır.
- Yanıt gelmez, reddedilir veya yetersiz bulunursa, yanıt tarihinden itibaren 30 gün, her halde başvurudan itibaren 60 gün içinde Kurul'a şikayet edilir.
- Şikayet, Kurum'un internet sitesindeki e-Devlet entegrasyonlu form veya posta ile yapılır.
- Kurul incelemeyi 60 gün içinde sonuçlandırır; süre uzayabilir.
Veri sorumlusuna başvurmadan doğrudan Kurul'a gidilemez; bu sıra kanunda zorunludur.
Veri ihlali bildirimi
Bir veri sorumlusu, verilerin hukuka aykırı olarak ele geçirildiğini öğrendiğinde 72 saat içinde Kurum'a bildirmek ve etkilenen kişilere makul sürede haber vermek zorundadır. Bildirim Kurum'un sitesindeki Veri İhlali Bildirim Formu ile yapılır. Bildirimin zamanında yapılması, sürecin sağlıklı yürümesi için önemlidir.
Sıkça sorulan sorular
KVKK kanun mu, kurum mu?
Her ikisi. Kanunun adı Kişisel Verilerin Korunması Kanunu, kurumun adı Kişisel Verileri Koruma Kurumu; ikisi de KVKK diye kısaltılır. Kararları veren organ Kurul'dur.
Kurum'a şikayet ücretli mi?
Hayır. Şikayet ve veri sorumlusuna başvuru ücretsizdir; veri sorumlusu yalnız işlem maliyeti gerektiren durumlarda Kurul'un belirlediği tarifeye göre ücret isteyebilir.
Kurul kararlarına itiraz edilebilir mi?
Evet. 2024 değişikliğiyle Kurul'un yaptırım kararlarına karşı idare mahkemelerinde dava açılır; daha önce sulh ceza hakimliğine itiraz ediliyordu.
Şirketim küçük, Kurum benimle ilgilenir mi?
Kurul kararlarında küçük işletmeler, klinikler, e-ticaret siteleri ve dernekler de var. Şikayet mekanizması büyüklüğe bakmaz.
Kurul'un çerez kararlarında beklediği üç şeyi (görünür reddet seçeneği, rıza öncesi engelleme, rıza kaydı) sitenizde kontrol etmek için ücretsiz tarama yapabilirsiniz. Efilli, rızayı Kurul rehberine uygun toplar ve kayıtlarını Türkiye'de tutar.
.jpg)
