Kişisel Verilerin Korunması
Kişisel verilerin korunması, 6698 sayılı Kişisel Verilerin Korunması Kanunu ile düzenlenmiştir. Kanun, bir gerçek kişiyi belirli veya belirlenebilir kılan her türlü bilgiyi kişisel veri sayar; ad ve iletişim bilgisinin yanı sıra IP adresi, konum kaydı, ses kaydı ve müşteri numarası da bu kapsama girebilir. Sağlık, biyometrik veri, din, ceza mahkûmiyeti ve sendika üyeliği gibi bilgiler ise özel nitelikli kişisel veri olarak daha sıkı bir rejime tabidir. Yükümlülüklerin muhatabı, verinin işlenme amaç ve vasıtalarını belirleyen veri sorumlusudur.
Uyum çalışması yalnızca internet sitesine bir aydınlatma metni eklemekten ibaret değildir. Hangi verinin hangi amaçla, hangi hukuki sebebe dayanılarak işlendiğinin ve ne kadar süreyle saklanacağının kayıt altına alınması; çalışan, müşteri ve tedarikçi süreçlerinin ayrı ayrı ele alınması gerekir. 2024 yılında 7499 sayılı Kanun ile yapılan değişikliklerle özel nitelikli verilerin işlenme şartları ve yurt dışına aktarım rejimi yeniden düzenlenmiş, Kurul'un idari para cezalarına karşı idare mahkemesinde dava açılacağı kabul edilmiştir. Bu sayfa, alandaki temel kavramları ve uyum sürecinin akışını genel hatlarıyla anlatmak amacıyla hazırlanmıştır.
Bu alanda ne yapıyoruz.
Mevcut durum analizi
- KVKK ve GDPR kapsamındaki yükümlülüklerin tespiti ve analizi
- Veri sorumlusu ve veri işleyen sıfatlarının belirlenmesi
- Veri işleme süreçlerinin birim bazında haritalanması
- İşleme faaliyetlerinin hukuki sebeplerinin belirlenmesi
- Boşluk analizi ve önceliklendirilmiş uyum planının hazırlanması
- GDPR kapsamına giren faaliyetlerin ayrıca değerlendirilmesi
Belge ve politika altyapısı
- Kişisel veri işleme envanterinin oluşturulması
- Saklama ve imha politikası ile periyodik imha takviminin hazırlanması
- Aydınlatma metinlerinin süreç bazında hazırlanması
- Açık rıza gereken hâllerin belirlenmesi ve metinlerin ayrıştırılması
- Kişisel veri işleme ve koruma politikasının hazırlanması
- İlgili kişi başvurularının yönetimine ilişkin iç prosedürün kurulması
- Veri ihlali müdahale planının hazırlanması
Teknik ekiplerle koordinasyon ve VERBİS
- Bilgi işlem birimleriyle koordinasyon sağlanarak veri kayıt sistemlerinin oluşturulması
- Mevcut veri kayıt sistemlerinin mevzuata uygun hâle getirilmesi
- Erişim yetkilerinin ve loglama düzeninin hukuki açıdan değerlendirilmesi
- VERBİS kayıt yükümlülüğünün tespiti ve bildirimlerin yapılması
- VERBİS kayıtlarının değişiklik hâlinde güncellenmesi
- Kamera kayıt sistemleri ve çalışan takip uygulamalarının değerlendirilmesi
- Anonimleştirme ve imha yöntemlerine ilişkin hukuki görüş
Sözleşmeler ve veri aktarımı
- Müşteriler ve çözüm ortaklarıyla akdedilecek sözleşmelerin hazırlanması ve revizesi
- Veri işleyen sözleşmelerinin ve gizlilik taahhütlerinin düzenlenmesi
- İş sözleşmelerine ve insan kaynakları belgelerine ilişkin uyumlandırma
- Yurt dışına veri aktarımında uygun aktarım yolunun belirlenmesi
- Standart sözleşme ve taahhütname süreçlerinin yürütülmesi
- Bağlayıcı şirket kurallarına ilişkin başvuruların değerlendirilmesi
- Grup şirketleri arasındaki veri paylaşımının düzenlenmesi
Başvuru, eğitim ve uyuşmazlık
- İlgili kişi başvurularının cevaplanması
- Kişisel Verileri Koruma Kurumu nezdinde başvuru süreçlerinin yürütülmesi
- Veri ihlali bildirimlerinin hazırlanması ve ilgililere duyurulması
- Kurum incelemelerinde savunma ve bilgi taleplerine yanıt hazırlanması
- İdari para cezalarına karşı dava süreçlerinin takibi
- İlgili birimlere KVKK konusunda eğitim ve bilgilendirme çalışmaları
- Uyum düzeyinin belirli aralıklarla gözden geçirilmesi
İlgili kanunlar.
Aşağıdaki düzenlemeler bu alandaki uyuşmazlıkların çerçevesini belirler.
Kişisel Verilerin Korunması Kanunu
Kişisel verilerin işlenme şartlarını, veri sorumlusunun yükümlülüklerini ve ilgili kişinin haklarını düzenleyen temel kanundur.
Ceza Muhakemesi Kanunu ile Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun
2024 yılında yürürlüğe giren düzenlemelerle özel nitelikli verilerin işlenmesi, yurt dışına aktarım ve yargı yolu hükümleri değiştirilmiştir.
Türk Ceza Kanunu
Kişisel verilerin hukuka aykırı olarak kaydedilmesi, ele geçirilmesi ve yok edilmemesi fiilleri bakımından ceza hükümlerini içerir.
Elektronik Ticaretin Düzenlenmesi Hakkında Kanun
Ticari elektronik ileti gönderimi ve İYS kayıtları bakımından kişisel veri mevzuatıyla birlikte uygulanır.
Türk Borçlar Kanunu
Kişilik hakkının ihlaline bağlı maddi ve manevi tazminat taleplerinde genel hükümleri sağlar.
Tipik işleyiş.
Her dosya kendi koşullarına göre ilerler; aşağıdaki sıra genel çerçevedir.
-
01
Analiz ve veri envanteri
Birimlerle görüşülerek hangi verinin hangi amaçla işlendiği, kimlerle paylaşıldığı ve ne kadar süre saklandığı tespit edilir. Bu çalışma, sonraki tüm belgelerin dayanağını oluşturan veri işleme envanterine dönüştürülür.
-
02
Boşluk analizi ve planlama
Mevcut uygulama ile mevzuatın gerektirdiği durum karşılaştırılır ve eksikler önceliklendirilir. Hangi işlemenin hangi hukuki sebebe dayandığı belirlenir; açık rızaya dayanması zorunlu olmayan işlemeler ayrıştırılır.
-
03
Belgelerin hazırlanması ve yürürlüğe alınması
Aydınlatma metinleri, açık rıza formları, saklama ve imha politikası ile iç prosedürler hazırlanır. Belgeler süreç sahiplerine tanıtılır ve kullanıma alındığı tarih kayıt altına alınır.
-
04
Teknik uygulama ve VERBİS kaydı
Bilgi işlem birimiyle birlikte erişim yetkileri, saklama süreleri ve imha mekanizmaları sistemlere yansıtılır. Kayıt yükümlülüğü bulunan veri sorumluları için VERBİS bildirimi yapılır ve değişiklik hâlinde güncellenir.
-
05
Başvuru ve şikâyet süreci
İlgili kişi önce veri sorumlusuna başvurur; veri sorumlusu talebi en geç otuz gün içinde sonuçlandırır. Başvurunun reddi, yetersiz cevap verilmesi veya süresinde cevap verilmemesi hâlinde Kurul'a şikâyet yoluna gidilebilir.
-
06
Denetim, ihlal ve yargı aşaması
Veri ihlali hâlinde Kurul'a ve ilgili kişilere bildirim yapılması gerekir. Kurul incelemesi sonucunda idari para cezası uygulanması hâlinde, karara karşı idare mahkemesinde dava açılabilir.
Merak edilenler.
Her şirketin KVKK yükümlülüğü var mı?
Kişisel veri işleyen her veri sorumlusu Kanun kapsamındadır; şirketin büyüklüğü bu durumu değiştirmez. Çalışanı olan her işletme en azından özlük verilerini işlediğinden yükümlülük doğar. Ancak VERBİS kayıt yükümlülüğü ayrı bir konudur ve belirli ölçütlere göre belirlenir.
VERBİS'e kayıt olmak zorunda mıyım?
Kayıt yükümlülüğü; yıllık çalışan sayısı, yıllık mali bilanço toplamı ve faaliyet konusu gibi ölçütlere göre belirlenir ve Kurul kararlarıyla bazı veri sorumluları bu yükümlülükten muaf tutulmuştur. Özel nitelikli kişisel veriyi ana faaliyet konusu kapsamında işleyenler bakımından değerlendirme farklılaşır. Durumun güncel Kurul kararları çerçevesinde ayrıca incelenmesi gerekir.
Her veri işleme için açık rıza almam gerekir mi?
Hayır. Açık rıza, Kanun'da sayılan diğer işleme şartlarından hiçbiri bulunmadığında başvurulan bir hukuki sebeptir. Sözleşmenin kurulması veya ifası, hukuki yükümlülüğün yerine getirilmesi ya da meşru menfaat gibi şartlar varsa ayrıca rıza aranmaz. Gereksiz yere rızaya dayanmak, rızanın geri alınması hâlinde işlemenin dayanaksız kalmasına yol açabilir.
Aydınlatma metni ile açık rıza metni aynı belge olabilir mi?
Bu iki metnin ayrı ayrı düzenlenmesi ve rızanın aydınlatmadan ayrı biçimde alınması beklenir. Aydınlatma bir bilgilendirme yükümlülüğüdür ve rızadan bağımsız olarak her hâlde yerine getirilir. Tek bir belgede birleştirilen ve onay kutusuna bağlanan uygulamalar sakıncalı bulunmaktadır.
Veri ihlali yaşandığında ne kadar sürede bildirim yapılmalı?
Kanun'da ihlalin en kısa sürede bildirileceği düzenlenmiş, Kurul kararıyla bu süre veri sorumlusunun ihlali öğrenmesinden itibaren yetmiş iki saat olarak belirlenmiştir. Etkilenen ilgili kişilere de makul olan en kısa sürede bildirim yapılması gerekir. Yetmiş iki saat içinde bildirim yapılamıyorsa gecikmenin nedenlerinin açıklanması beklenir.
İlgili kişi başvurusuna kaç günde cevap vermeliyim?
Veri sorumlusu, başvuruda yer alan talepleri talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırır. İşlemin ayrıca bir maliyeti gerektirmesi hâlinde Kurul'ca belirlenen tarifedeki ücret alınabilir. Cevabın yazılı olarak veya elektronik ortamda iletilmesi gerekir.
Verileri yurt dışındaki bir bulut hizmetinde tutabilir miyim?
Yurt dışına aktarım, 2024 yılında değiştirilen düzenleme çerçevesinde kademeli bir yapıya bağlanmıştır. Öncelikle yeterlilik kararı bulunup bulunmadığına bakılır; yoksa standart sözleşme, bağlayıcı şirket kuralları veya taahhütname gibi uygun güvenceler aranır. Standart sözleşme imzalanması hâlinde bunun Kurum'a bildirilmesi gerekir.
Uyum süreci ne kadar sürer?
Süre; şirketin büyüklüğüne, birim sayısına, kullanılan sistemlerin çeşitliliğine ve mevcut belgelerin durumuna göre değişkenlik gösterir. Küçük ölçekli bir işletmede birkaç haftada tamamlanabilen çalışma, çok birimli yapılarda birkaç aya yayılabilir. Uyum bir defalık bir işlem değildir; süreçler değiştikçe belgelerin güncellenmesi gerekir.
Bu konuda görüşmek için bize ulaşın.
Başvurunuz ilgili çalışma alanındaki avukatımıza yönlendirilir. Mesai saatleri içinde bir iş günü içinde dönüş yapılır.
- E-posta
- bilgi@bahadirsarigil.com
- Ofis
- Barbaros Mahallesi, Mor Menekşe Sokak No: 3 D: 48 · Ataşehir / İstanbul
- Çalışma saatleri
- Ptesi – Cuma · 09.00 – 18.30
Bu sayfadaki içerik genel bilgilendirme amaçlıdır; somut bir dosyaya ilişkin hukuki görüş yerine geçmez. Sürelerin işlemeye başladığı tarihler olaya göre değişebilir, lütfen teyit ettirin. Son güncelleme: 2026-08-18.