Kişisel Verilerin Korunması Kanunu Kimleri Kapsıyor? Kapsam ve İstisnalar
Kişisel Verilerin Korunması Kanunu, Türkiye'de kişisel veri işleyen tüm gerçek ve tüzel kişileri kapsar. Şirket büyüklüğü, sektör veya veri miktarı kapsamı değiştirmez: bir e-ticaret sitesi de, tek çalışanı olan bir muayenehane de, bir dernek de aynı kanuna tabidir. Kanun yalnız gerçek kişilerin verilerini korur; şirketlerin unvanı veya vergi numarası gibi tüzel kişi bilgileri kapsam dışıdır, ama o şirkette çalışan bir kişinin adı ve e-postası kişisel veridir.
Kimler kapsamda
| Taraf | Kanundaki adı | Örnek |
|---|---|---|
| Verinin işlenmesine karar veren | Veri sorumlusu | Müşteri verisini toplayan e-ticaret şirketi, hasta kaydı tutan klinik, üye listesi olan dernek |
| Talimatla veri işleyen | Veri işleyen | Barındırma sağlayıcısı, e-posta gönderim servisi, bordro firması, çağrı merkezi |
| Verisi işlenen kişi | İlgili kişi | Müşteri, ziyaretçi, çalışan, aday, tedarikçi çalışanı |
Yükümlülüklerin muhatabı veri sorumlusudur. Veri işleyen, veri sorumlusunun talimatı dışına çıkarsa kendisi veri sorumlusu haline gelir ve doğrudan sorumlu olur. Bu yüzden veri işleyenle yazılı sözleşme yapmak, veri sorumlusunun kendi yükümlülüğüdür.
Yurt dışındaki şirketler kapsamda mı
Evet. Türkiye'de yerleşik kişilerin verilerini işleyen yurt dışı merkezli şirketler de kanuna tabidir. VERBİS bakımından bu şirketler için eşik aranmaz; kayıt zorunludur ve Türkiye'de bir veri sorumlusu temsilcisi atanması gerekir. Uygulamada Türkiye'ye hizmet sunan yabancı SaaS ve platform şirketleri bu kapsamdadır.
Kanunun uygulanmadığı haller
Kanunun 28. maddesi iki grup istisna sayar. Birincisi kanunun tamamen uygulanmadığı haller:
- Verilerin, kişinin kendisi veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetler kapsamında işlenmesi (kişisel telefon rehberi gibi)
- Resmi istatistik, araştırma, planlama gibi amaçlarla anonim hale getirilerek işlenmesi
- Sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamında, temel hak ve özgürlükleri ihlal etmemek kaydıyla işlenmesi
- Milli savunma, milli güvenlik, kamu güvenliği kapsamında yetkili kurumlarca işlenmesi
- Soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamlarınca işlenmesi
İkinci grupta kanunun kısmen uygulanmadığı haller vardır: suç işlenmesinin önlenmesi, ekonomik ve mali menfaatlerin korunması, disiplin soruşturmaları gibi durumlarda aydınlatma yükümlülüğü, ilgili kişinin hakları ve VERBİS kaydı uygulanmaz; ancak veri güvenliği ve genel ilkeler yine geçerlidir.
Sık yapılan hata: "Biz küçük bir işletmeyiz, kapsam dışıyız" varsayımı. Kanun böyle bir istisna içermez; küçük işletmeler yalnız VERBİS kaydından muaf olabilir. Ayrıntı için VERBİS rehberine bakabilirsiniz.
Web sitesi olan herkes fiilen kapsamda
Bir web sitesi, sahibi farkında olmasa bile şu verileri işler:
- Form alanları: ad, e-posta, telefon, mesaj
- Sunucu logları: IP adresi, tarayıcı ve cihaz bilgisi, ziyaret zamanı
- Çerezler ve benzeri tanımlayıcılar: analitik (_ga), reklam (_fbp), oturum kimlikleri
- Gömülü içerikler: video, harita, sosyal medya eklentileri; bunlar üçüncü tarafa veri gönderir
- Canlı destek yazışmaları
Bu yüzden pratikte "web sitesi var mı" sorusunun cevabı evetse, KVKK yükümlülükleri de vardır. Sitenizde hangi çerezlerin çalıştığını ve hangilerinin rıza gerektirdiğini görmek için ücretsiz tarama yapabilirsiniz.
Kapsamdaysanız asgari yükümlülükler
- Aydınlatma: Veri toplanmadan önce kim olduğunuzu, hangi veriyi hangi amaçla işlediğinizi, kimlere aktardığınızı ve ilgili kişinin haklarını açıklamak.
- Hukuki sebep: Her veri kategorisi için sözleşme, kanuni yükümlülük, meşru menfaat veya açık rızadan birine dayanmak.
- Veri güvenliği: Erişim yetkilendirmesi, şifreleme, loglama, çalışan eğitimi; bir güvenlik olayında 72 saat içinde Kurul'a bildirim.
- Başvuru yanıtı: İlgili kişi başvurularını 30 gün içinde ücretsiz yanıtlamak.
- İmha: Amaç ortadan kalkınca silmek, yok etmek veya anonim hale getirmek. Bkz. imhayı gerektiren haller.
- VERBİS: Eşikleri aşıyorsanız kaydolmak ve saklama-imha politikası hazırlamak.
Sıkça sorulan sorular
Şahıs şirketiyim, kanun beni de kapsıyor mu?
Evet. Kanun gerçek kişi veri sorumlularını da kapsar; VERBİS kaydı ise eşiklere bağlıdır.
Sadece kurumsal müşterilerle çalışıyorum, kişisel veri işlemiyorum diyebilir miyim?
Hayır. Müşteri şirketlerin yetkili kişilerinin adı, e-postası ve telefonu kişisel veridir.
Verileri yalnız bir yazılımda tutuyorum, sorumlu o yazılım değil mi?
Yazılım sağlayıcısı veri işleyendir; hangi verinin ne amaçla işleneceğine siz karar verdiğiniz için veri sorumlusu sizsiniz.
Dernek ve vakıflar kapsamda mı?
Evet. Üye ve bağışçı verileri kişisel veridir; üyelik bilgisi ayrıca özel nitelikli veri sayılabilir.
KVKK ile GDPR ikisine birden mi tabiyim?
AB'deki kişilere mal veya hizmet sunuyorsanız evet. İki düzenleme aynı ilkelere dayandığı için tek bir uyum çalışması ikisini büyük ölçüde karşılar. Genel çerçeve için: KVKK rehberi.
.jpg)
