KVKK Nedir? 6698 Sayılı Kanun Rehberi: Kavramlar, Yükümlülükler, 2024 Değişiklikleri

KVKK, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun kısaltmasıdır. 7 Nisan 2016'da yürürlüğe giren kanun, gerçek kişilere ait verilerin hangi şartlarda toplanabileceğini, saklanabileceğini, paylaşılabileceğini ve ne zaman silinmesi gerektiğini düzenler. Türkiye'de kişisel veri işleyen her şirket, kurum ve kişi bu kanuna tabidir; kanunun uygulanmasını Kişisel Verileri Koruma Kurumu (KVKK) ve karar organı olan Kurul denetler.

Bu rehber, kanunun temel kavramlarını, veri sorumlusunun yükümlülüklerini, 2024 değişikliklerini ve uyum adımlarını tek yerde toplar.

KVKK neyi düzenler

Kanunun amacı, kişisel verilerin işlenmesinde temel hak ve özgürlükleri korumak ve veri işleyen tarafların uyacağı kuralları belirlemektir. Kapsamı iki yönlüdür:

• Kimi korur: Verisi işlenen gerçek kişileri. Kanun tüzel kişilerin (şirketlerin) verilerini kapsamaz; bir şirketin adı veya vergi numarası kişisel veri değildir, ama çalışanının adı ve e-postası kişisel veridir.
• Kimi bağlar: Kişisel veri işleyen tüm gerçek ve tüzel kişileri. Bir e-ticaret sitesi, bir muayenehane, bir dernek, bir serbest çalışan; veri işliyorsa kanuna tabidir.

Türkiye, 1981 tarihli 108 sayılı Avrupa Konseyi Sözleşmesi'ni 2016'da iç hukukuna dahil etmiş ve aynı yıl KVKK'yı çıkarmıştır. Kanun, Avrupa Birliği'nin GDPR düzenlemesiyle aynı ilkelere dayanır; 2024 değişiklikleriyle bu paralellik güçlendirilmiştir.

Temel kavramlar

Kişisel veri

Kimliği belirli veya belirlenebilir bir gerçek kişiye ait her türlü bilgi kişisel veridir. Ad, soyad, T.C. kimlik numarası, telefon, e-posta, adres, doğum tarihi, araç plakası, fotoğraf, ses kaydı, IP adresi, konum ve çerez kimliği bu kapsamdadır. Bir verinin tek başına kimlik belirlemesi gerekmez; başka verilerle birleşince kişiyi belirlenebilir kılıyorsa kişisel veridir.

Özel nitelikli kişisel veri

Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep, kılık kıyafet, dernek ve sendika üyeliği, sağlık, cinsel hayat, ceza mahkumiyeti, güvenlik tedbirleri, biyometrik ve genetik veriler özel niteliklidir. Bu veriler için işleme şartları daha dardır ve ek güvenlik önlemleri zorunludur. 1 Haziran 2024'te yürürlüğe giren değişiklikle özel nitelikli verilerin işlenme şartları GDPR'a paralel olarak yeniden düzenlenmiş, açık rıza dışındaki istisnalar genişletilmiştir.

Kişisel verinin işlenmesi

Verinin elde edilmesi, kaydedilmesi, depolanması, değiştirilmesi, açıklanması, aktarılması, sınıflandırılması ve silinmesi dahil veri üzerinde yapılan her işlem "işleme" sayılır. Bir formdan e-posta adresi almak da, bu adresi bir CRM'e aktarmak da, bir yıl sonra silmek de işlemedir.

Veri sorumlusu ve veri işleyen

Veri sorumlusu, verinin hangi amaçla ve hangi araçlarla işleneceğine karar veren kişi veya kuruluştur; yükümlülüklerin muhatabı odur. Veri işleyen, veri sorumlusunun talimatıyla veri işleyen üçüncü taraftır: barındırma sağlayıcısı, e-posta gönderim servisi, bordro firması gibi. Veri işleyenle yazılı sözleşme yapmak veri sorumlusunun sorumluluğundadır.

İlgili kişi

Verisi işlenen gerçek kişidir. Kanun ona bilgi alma, düzeltme, silme, itiraz etme ve zarar halinde tazminat isteme hakları tanır.

Açık rıza

Belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızadır. Üç şartın üçü de aranır: konu belirli olmalı, kişi neye rıza verdiğini bilmeli, baskı veya koşul altında olmamalı. "Tüm verilerimin her amaçla kullanılmasını kabul ediyorum" şeklinde genel bir onay geçerli açık rıza değildir. Rıza her zaman geri alınabilir; geri alındığı andan itibaren işleme durmalıdır.

Kişisel veri hangi şartlarda işlenebilir

Ana kural açık rızadır; ancak kanunun 5. maddesi rıza aranmadan işlemeye izin veren halleri sayar:

• Kanunlarda açıkça öngörülmesi (örneğin işverenin SGK bildirimi)
• Sözleşmenin kurulması veya ifası için zorunlu olması (siparişin teslimi için adres)
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi (fatura saklama)
• İlgili kişinin kendisi tarafından alenileştirilmiş olması
• Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması
• Veri sorumlusunun meşru menfaati için zorunlu olması, ilgili kişinin hak ve özgürlüklerine zarar vermemek kaydıyla

Pratik sonuç: Bir web sitesinde sipariş formundaki adres için rıza gerekmez, sözleşmenin ifasıdır. Aynı sitedeki pazarlama çerezleri veya bülten aboneliği için açık rıza gerekir; meşru menfaat istisnası pazarlama amacını kapsayacak şekilde yorumlanmaz.

Veri sorumlusunun yükümlülükleri

Aydınlatma yükümlülüğü

Veri toplanmadan önce ilgili kişiye veri sorumlusunun kimliği, işleme amacı, aktarım yapılacak taraflar, toplama yöntemi ve hukuki sebep ile ilgili kişinin hakları anlatılmalıdır. Bu bilgilendirme "aydınlatma metni" olarak sitelerde yayımlanır; çerezler için bu metnin çerezlere özel bölümü çerez politikasıdır.

Veri güvenliği

Veri sorumlusu, verilere yetkisiz erişimi önlemek için gerekli teknik ve idari tedbirleri almakla yükümlüdür. Erişim yetkilendirmesi, şifreleme, loglama, çalışan eğitimi ve veri işleyenlerle sözleşme bu tedbirlerin başında gelir. Bir güvenlik olayı yaşandığında 72 saat içinde Kurul'a bildirim yapılır; önceden hazırlanmış bir müdahale planı bu süreci kolaylaştırır.

VERBİS kaydı

Belirli eşikleri aşan veri sorumluları, Veri Sorumluları Sicil Bilgi Sistemi'ne (VERBİS) kayıt olmak ve veri envanterini bildirmek zorundadır. Yıllık çalışan sayısı 50'den fazla veya yıllık mali bilanço toplamı belirlenen eşiğin üzerinde olan şirketler ile ana faaliyeti özel nitelikli veri işlemek olan tüm şirketler bu kapsamdadır. Eşikler Kurul kararıyla güncellenir. Ayrıntılar için VERBİS rehberine bakabilirsiniz.

Saklama ve imha

Veri, işleme amacı ortadan kalktığında silinmeli, yok edilmeli veya anonim hale getirilmelidir. VERBİS'e kayıtlı veri sorumluları bunun için bir saklama ve imha politikası hazırlamak ve periyodik imha yapmakla yükümlüdür.

Yurt dışına aktarım

1 Eylül 2024'ten itibaren yurt dışına veri aktarımı üç kademeli bir rejime tabidir: hedef ülke için Kurul'un yeterlilik kararı varsa aktarım serbesttir; yoksa standart sözleşme, bağlayıcı şirket kuralları veya Kurul onaylı taahhütname gibi uygun güvencelerden biri gerekir; bunlar da yoksa yalnız kanunda sayılan istisnai hallerde aktarım yapılabilir. Standart sözleşmeler imzalandıktan sonra Kurum'a bildirilir. Yurt dışında sunucusu olan analitik, CRM ve e-posta araçlarını kullanan her site bu kapsamdadır.

2024 değişiklikleri: neler değişti

12 Mart 2024'te yayımlanan 7499 sayılı Kanun, KVKK'nın üç maddesini değiştirdi ve 1 Haziran 2024'te yürürlüğe girdi:

• Özel nitelikli veriler (madde 6): İşleme şartları GDPR ile paralel hale getirildi; sağlık verileri için bazı durumlarda açık rıza şartı kaldırıldı, istihdam ve sosyal güvenlik yükümlülükleri gibi yeni istisnalar eklendi.
• Yurt dışına aktarım (madde 9): Yeterlilik kararı, uygun güvenceler ve istisnalar üzerine kurulu üç kademeli sistem getirildi. Eski rejim geçiş süresi olarak 1 Eylül 2024'e kadar uygulandı.
• İtiraz yolu (madde 18): Kurul'un idari para cezalarına karşı artık sulh ceza hakimliği yerine idare mahkemelerinde dava açılıyor.

Kurum bu değişikliklere ilişkin olarak Ocak 2025'te Yurt Dışına Aktarım Rehberi'ni, Şubat 2025'te Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehber'i yayımladı.

Denetim ve yaptırım çerçevesi

Kanunun 18. maddesi, dört alandaki yükümlülükleri güvence altına alır: aydınlatma, veri güvenliği tedbirleri, Kurul kararlarına uyum ve VERBİS kaydı. Kurul kararları kamuya açık olduğu için hangi uygulamanın beklendiği kararlardan izlenebilir; bu, uyum çalışmasını planlarken faydalı bir kaynaktır. Aydınlatmayı yapmış, rızayı düzgün almış ve temel güvenlik tedbirlerini kurmuş bir şirket bu çerçevenin büyük kısmını zaten karşılamış olur.

İlgili kişinin hakları

Kanunun 11. maddesi ilgili kişiye şu hakları tanır: verisinin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, amacına uygun kullanılıp kullanılmadığını öğrenme, aktarıldığı tarafları bilme, düzeltme isteme, silinmesini isteme, yapılan düzeltme ve silmelerin aktarım yapılan taraflara bildirilmesini isteme, otomatik sistemlerle analiz sonucu aleyhe bir sonuca itiraz etme, zarar halinde tazminat isteme. Veri sorumlusu başvuruyu en geç 30 gün içinde ücretsiz yanıtlamak zorundadır.

Web sitesi olan bir şirket için KVKK uyum adımları

1. Veri envanteri çıkarın. Hangi veriyi, hangi amaçla, hangi araçla topluyorsunuz; nerede saklıyorsunuz; kimlerle paylaşıyorsunuz. Web sitesi için bu envanterin bir parçası, sitede çalışan çerezlerin listesidir; çerez tarayıcı bu listeyi otomatik çıkarır.
2. Hukuki sebebi belirleyin. Her veri kategorisi için: sözleşme mi, kanuni yükümlülük mü, meşru menfaat mi, açık rıza mı.
3. Aydınlatma metni ve çerez politikasını yazın. Kanunun aradığı başlıklarla, herkesin anlayacağı dille.
4. Rıza gerektiren işlemler için rıza mekanizması kurun. Web sitesinde bu, rıza verilmeden pazarlama ve analitik çerezlerini çalıştırmayan, onay kayıtlarını saklayan bir rıza yönetim platformudur.
5. Veri işleyenlerle sözleşme yapın ve yurt dışı aktarımı için uygun güvenceyi seçin.
6. VERBİS kapsamında mısınız, kontrol edin; kapsamdaysanız kaydolun, saklama ve imha politikanızı hazırlayın.
7. Başvuru kanalı açın. İlgili kişi başvurularını 30 gün içinde yanıtlayacak bir süreç tanımlayın.
8. Düzenli gözden geçirin. Yeni bir araç eklendiğinde, yeni bir form açıldığında envanter ve metinler güncellenmelidir.

Sıkça sorulan sorular

KVKK kimleri kapsar?

Türkiye'de kişisel veri işleyen tüm gerçek ve tüzel kişileri. Şirketin büyüklüğü kapsamı değiştirmez; yalnız VERBİS kaydı gibi bazı yükümlülükler eşiklere bağlıdır.

KVKK ile GDPR arasındaki fark nedir?

İkisi de aynı ilkelere dayanır. GDPR, AB'deki kişilere hizmet veren tüm siteleri kapsar; KVKK Türkiye'deki veri işleme faaliyetlerini düzenler. AB'ye satış yapan bir Türk şirketi her ikisine de tabidir.

Web sitemde yalnız Google Analytics var, KVKK beni ilgilendirir mi?

Evet. Analitik çerezler kişisel veri işler ve Google'ın sunucuları yurt dışındadır; hem rıza hem yurt dışı aktarım kuralları geçerlidir.

Aydınlatma metni ile açık rıza metni aynı şey mi?

Hayır. Aydınlatma tek taraflı bilgilendirmedir ve her durumda zorunludur; açık rıza ise ilgili kişinin onayıdır ve yalnız rızaya dayanan işlemler için alınır. İkisi tek metinde birleştirilmemelidir.

Uyumu nereden kurmaya başlamalıyım?

Kurul kararlarının büyük kısmı üç konuda toplanır: aydınlatma yapılmaması, rıza alınmadan pazarlama ve çerez işlemleri, veri güvenliği açığı. Bu üçünü baştan kuran bir şirket, uyumun büyük kısmını tamamlamış olur.

Sitenizin hangi çerezleri çalıştırdığını ve hangilerinin rıza gerektirdiğini görmek için ücretsiz tarama yapabilirsiniz. Efilli, rızayı KVKK'ya uygun toplar, onay kayıtlarını Türkiye'deki veri tabanında tutar ve kurulumu 1 ile 3 iş gününde tamamlar.