KVKK: Aydınlatma, VERBİS, Başvuru ve Cezalar

6698 sayılı Kanunun uygulamadaki ağırlığı, veri işleme şartlarından çok süreler ve sicil yükümlülüğünden doğar. İlgili kişinin başvurusu en geç otuz gün içinde ücretsiz sonuçlandırılmak zorundadır; Kurula şikâyet ise iki ayrı süreye bağlıdır ve başvuru yolu tüketilmeden kullanılamaz.

Ceza tarafında 2024'te sessiz ama önemli bir değişiklik oldu: Kurulca verilen idari para cezalarına karşı dava yolu artık idare mahkemeleridir. Aşağıdaki değerlendirme 6698 sayılı Kanunun mevzuat.gov.tr'deki resmî güncel metnine dayanıyor (6 Eylül 2026'da okundu). Yurt dışına veri aktarımı rejimini ayrı bir yazıda ele aldık.

Genel ilkeler ve silme yükümlülüğü

İlkeler (m.4/2). Kişisel verilerin işlenmesinde beş ilkeye uyulması zorunludur: hukuka ve dürüstlük kurallarına uygun olma; doğru ve gerektiğinde güncel olma; belirli, açık ve meşru amaçlar için işlenme; işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma; ve ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.

🔑 Son ilke, uygulamada en sık ihlal edilenidir: veri saklama süresi belirlenmemişse ölçülülük ilkesi zaten karşılanmaz.

Silme (m.7/1). "Bu Kanun ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel veriler resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinir, yok edilir veya anonim hâle getirilir."

Yükümlülük resen de doğar; ilgili kişinin talebini beklemek yeterli bir savunma değildir.

İşleme şartları ve 2024'te yeniden yazılan özel nitelikli veri rejimi

Açık rıza kuralı ve yedi istisna (m.5). "Kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez." Buna karşılık m.5/2, açık rıza aranmadan işlemeye imkân veren yedi şart sayar: kanunlarda açıkça öngörülmesi; fiilî imkânsızlık nedeniyle rızasını açıklayamayacak kişinin veya bir başkasının hayatı ya da beden bütünlüğünün korunması; bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla taraflara ait verilerin işlenmesinin gerekli olması; veri sorumlusunun hukuki yükümlülüğü; ilgili kişinin verisini kendisinin alenileştirmiş olması; bir hakkın tesisi, kullanılması veya korunması için zorunlu olması; ve ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri.

🔑 Son bent tek başına yeterli değildir: meşru menfaat ancak temel hak ve özgürlüklere zarar vermeme testiyle birlikte işler; bu denge testinin belgelenmesi, denetimde ilk istenen kayıttır.

🔴 Özel nitelikli veriler — m.6, 2/3/2024 tarihli 7499 sayılı Kanunla yeniden yazıldı. Özel nitelikli kişisel veriler m.6/1'de sayılıdır: ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleri ile biyometrik ve genetik veriler.

Eski ikili yapı kaldırıldı. Maddenin ikinci fıkrası 7499 sayılı Kanunla mülga edilmiş ve üçüncü fıkra tamamen değiştirilmiştir. Bugünkü metin tek bir kural kurar: "Özel nitelikli kişisel verilerin işlenmesi yasaktır." Ancak işleme; açık rıza, kanunlarda açıkça öngörülme, fiilî imkânsızlık hâlinde hayatın veya beden bütünlüğünün korunması, ilgili kişinin alenileştirdiği verilere ilişkin ve alenileştirme iradesine uygun olma, bir hakkın tesisi, kullanılması veya korunması için zorunluluk, sır saklama yükümlülüğü altındaki kişilerce sağlık amaçlı işleme ve istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülükler için zorunluluk hâllerinde mümkündür. Yedinci hâl, siyasi, felsefi, dini veya sendikal amaçlı kâr amacı gütmeyen kuruluşların, faaliyet alanlarıyla sınırlı ve üçüncü kişilere açıklanmamak kaydıyla mevcut veya eski üyelerine yönelik işlemeleridir.

Ek şart (m.6/4). Özel nitelikli verilerin işlenmesinde ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır — işleme şartlarından birinin varlığı tek başına yeterli değildir.

Aydınlatma yükümlülüğü

Beş kalem (m.10/1). Kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi, ilgili kişilere şunlar hakkında bilgi vermekle yükümlüdür:

• veri sorumlusunun ve varsa temsilcisinin kimliği;
• kişisel verilerin hangi amaçla işleneceği;
• işlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği;
• kişisel veri toplamanın yöntemi ve hukuki sebebi;
• m.11'de sayılan diğer haklar.

🔑 Yükümlülük elde etme anına bağlıdır; sonradan yapılan bilgilendirme bu maddeyi karşılamaz. Ayrıca aydınlatma, açık rızadan ayrı bir yükümlülüktür — rıza alınmış olması aydınlatmanın yerine geçmez.

İlgili kişinin hakları

m.11/1 sekiz hak sayar. Herkes veri sorumlusuna başvurarak; kişisel veri işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, işlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini isteme, m.7 şartları çerçevesinde silinmesini veya yok edilmesini isteme, düzeltme ve silme işlemlerinin aktarılan üçüncü kişilere bildirilmesini isteme ve kanuna aykırı işleme sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme haklarına sahiptir.

🔴 Otomatik karara itiraz. Yedinci bent ayrı bir hak kurar: "İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme." Skorlama, otomatik ret ve profilleme tabanlı kararlar bu bent üzerinden sorgulanır.

Veri güvenliği ve ihlal bildirimi

Tedbir yükümlülüğü (m.12/1). Veri sorumlusu; hukuka aykırı işlemeyi önlemek, hukuka aykırı erişimi önlemek ve verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri almak zorundadır.

🔴 Müşterek sorumluluk (m.12/2). "Veri sorumlusu, kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde, birinci fıkrada belirtilen tedbirlerin alınması hususunda bu kişilerle birlikte müştereken sorumludur."

Yani işlemeyi bir tedarikçiye devretmek sorumluluğu devretmez; veri işleyenle birlikte sorumluluk doğar.

Denetim (m.12/3). Veri sorumlusu, kendi kurum veya kuruluşunda Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptırmak zorundadır.

Sır saklama (m.12/4). Veri sorumluları ile veri işleyen kişiler, öğrendikleri kişisel verileri Kanuna aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamazlar. 🔑 "Bu yükümlülük görevden ayrılmalarından sonra da devam eder."

🔴 İhlal bildirimi (m.12/5). "İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir." Kurul, gerekmesi hâlinde bu durumu kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir.

Bildirim iki muhataba birden yapılır: ilgili kişiye ve Kurula.

Başvuru ve şikâyet: otuz ve altmış gün

🔴 Veri sorumlusuna başvuru (m.13). İlgili kişi taleplerini yazılı olarak veya Kurulun belirleyeceği diğer yöntemlerle veri sorumlusuna iletir. Veri sorumlusu, talepleri "talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak" sonuçlandırır; işlemin ayrıca bir maliyeti gerektirmesi hâlinde Kurulca belirlenen tarifedeki ücret alınabilir.

Cevabın şekli (m.13/3). Veri sorumlusu talebi kabul eder veya gerekçesini açıklayarak reddeder ve cevabını yazılı olarak veya elektronik ortamda bildirir. 🔑 "Başvurunun veri sorumlusunun hatasından kaynaklanması hâlinde alınan ücret ilgiliye iade edilir."

🔴 Kurula şikâyet (m.14/1). Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâllerinde ilgili kişi; veri sorumlusunun cevabını öğrendiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunabilir.

Ön şart (m.14/2). "13 üncü madde uyarınca başvuru yolu tüketilmeden şikâyet yoluna başvurulamaz." Doğrudan Kurula yapılan şikâyet bu fıkra nedeniyle incelenmez.

Tazminat saklı (m.14/3). Kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkı saklıdır.

İnceleme: Kurulun süreleri ve yetkileri

Resen inceleme (m.15/1). Kurul, şikâyet üzerine veya ihlal iddiasını öğrenmesi durumunda resen gerekli incelemeyi yapar. 3071 sayılı Kanunun 6 ncı maddesindeki şartları taşımayan ihbar veya şikâyetler incelemeye alınmaz.

🔴 On beş gün (m.15/3). Devlet sırrı niteliğindeki bilgi ve belgeler hariç, veri sorumlusu Kurulun istediği bilgi ve belgeleri on beş gün içinde göndermek ve gerektiğinde yerinde inceleme yapılmasına imkân sağlamak zorundadır.

Zımni ret (m.15/4). "Şikâyet tarihinden itibaren altmış gün içinde cevap verilmezse talep reddedilmiş sayılır."

🔴 Giderme kararı (m.15/5). İhlalin varlığı anlaşılırsa Kurul, hukuka aykırılıkların giderilmesine karar verir; bu karar tebliğden itibaren gecikmeksizin ve en geç otuz gün içinde yerine getirilir.

İlke kararı (m.15/6). İhlalin yaygın olduğu tespit edilirse Kurul ilke kararı alır ve yayımlar; öncesinde ilgili kurum ve kuruluşların görüşlerini alabilir.

🔴 Durdurma yetkisi (m.15/7). Kurul; telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılık olması hâlinde, veri işlenmesinin veya verinin yurt dışına aktarılmasının durdurulmasına karar verebilir.

VERBİS: kayıt zamanı ve içerik

Sicil (m.16/1-2). Kurulun gözetiminde, Başkanlık tarafından kamuya açık olarak Veri Sorumluları Sicili tutulur. "Kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorundadır."

🔑 İstisna yetkisi. İşlenen verinin niteliği, sayısı, işlemenin kanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi Kurulca belirlenecek objektif kriterler göz önüne alınarak kayıt zorunluluğuna istisna getirilebilir.

Bildirimin içeriği (m.16/3). Kayıt başvurusu altı kalemi içeren bir bildirimle yapılır: veri sorumlusu ve varsa temsilcisinin kimlik ve adres bilgileri; işleme amacı; veri konusu kişi grubu ve grupları ile veri kategorileri; aktarılabileceği alıcı veya alıcı grupları; yabancı ülkelere aktarımı öngörülen kişisel veriler; güvenliğe ilişkin alınan tedbirler; ve işlendikleri amaç için gerekli azami süre.

Değişiklik (m.16/4). Verilen bilgilerde meydana gelen değişiklikler derhâl Başkanlığa bildirilir.

Kabahatler ve 2024'te değişen dava yolu

Cezalar (m.18/1). Kanun metnindeki tutarlar şöyledir: m.10 aydınlatma yükümlülüğünü yerine getirmeyenler için 5.000 – 100.000 TL; m.12 veri güvenliği yükümlülüklerini yerine getirmeyenler için 15.000 – 1.000.000 TL; m.15 uyarınca verilen Kurul kararlarını yerine getirmeyenler için 25.000 – 1.000.000 TL; m.16 VERBİS kayıt ve bildirim yükümlülüğüne aykırı hareket edenler için 20.000 – 1.000.000 TL.

🔴 2024'te eklenen bent (m.18/1-d, 2/3/2024 tarihli 7499 sayılı Kanun). m.9/5'te öngörülen bildirim yükümlülüğünü yerine getirmeyenler için 50.000 – 1.000.000 TL idari para cezası öngörülmüştür. Bu bent, yurt dışına aktarımda standart sözleşmenin Kurula bildirilmesi yükümlülüğüne bağlıdır.

Kime uygulanır (m.18/2, 7499 ile değişik). (a), (b), (c) ve (ç) bentlerindeki cezalar veri sorumlusu hakkında; (d) bendindeki ceza ise veri sorumlusu veya veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanır.

🔴 Dava yolu değişti (m.18/3, 7499 ile eklendi). "Kurulca verilen idari para cezalarına karşı, idare mahkemelerinde dava açılabilir." Bu fıkra 7499 sayılı Kanunla eklenmiş ve 1/6/2024'te yürürlüğe girmiştir; öncesinde genel kabahatler rejimi uygulanıyordu.

Kamu kurumlarında (m.18/4). Eylemler kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenirse, Kurulun bildirimi üzerine görevliler hakkında disiplin hükümlerine göre işlem yapılır ve sonucu Kurula bildirilir.

🔑 Kanunda yazılı tutarlar 2016 metnine aittir; idari para cezalarının cari yıl karşılıkları için Kurumun ilanına bakılmalıdır.

Tek tabloda

Ne yapılmalı

Başvuru süresini otuz gün olarak kurgulayın. Cevap en kısa sürede ve en geç otuz gün içinde, kural olarak ücretsiz verilir; gecikme doğrudan Kurula şikâyet yolunu açar.

Şikâyetin iki süresini birlikte izleyin. İlgili kişi, cevabı öğrendiği tarihten otuz gün ve her hâlde başvurudan itibaren altmış gün içinde Kurula gidebilir; ikinci süre birinciyi keser.

Tedarikçi sözleşmelerini müşterek sorumluluğa göre yazın. m.12/2, işlemeyi devrettiğiniz kişilerle birlikte sorumluluk kurar; teknik ve idari tedbirlerin sözleşmede somutlaştırılması bu riskin tek yönetim aracıdır.

İhlal bildiriminde iki muhatabı da unutmayın. Bildirim hem ilgili kişiye hem Kurula yapılır ve Kurul durumu kendi internet sitesinde ilan edebilir.

VERBİS kaydını veri işlemeye başlamadan önce tamamlayın. Kayıt yükümlülüğü işleme başlangıcından öncesine bağlıdır ve bildirimdeki bilgilerde değişiklik derhâl bildirilir.

Özel nitelikli veri envanterinizi 2024 metnine göre yenileyin. m.6'nın ikinci fıkrası mülga edilmiş ve üçüncü fıkra yeniden yazılmıştır; sağlık ve cinsel hayat verileri için ayrı bir rejim öngören eski ayrım artık yoktur ve her hâlde Kurulca belirlenen yeterli önlemler ayrıca aranır.

Saklama sürelerini kayıt altına alın. Hem m.4/2-d ilkesi hem m.16/3 bildirimi azami süre ister; süre belirlenmemişse ölçülülük savunulamaz.

Kurul bilgi taleplerine on beş gün içinde cevap verin. Bu süre kanunidir ve yerinde inceleme imkânı sağlama yükümlülüğüyle birlikte gelir.

Ceza kararlarına karşı idare mahkemesine gidin. 7499 sayılı Kanunla eklenen m.18/3 uyarınca dava yolu 1/6/2024'ten itibaren idare mahkemeleridir.

KVKK uyumunda maliyet, politika metinlerinden çok süre yönetiminden doğar. KVKK ve GDPR uyum çalışmalarımız başvuru, ihlal ve sicil süreçlerini bu takvimle kurar.