Türkiye'de Kişisel Verilerin Korunması Hukuku (KVKK)

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), 2016'dan bu yana Türk veri koruma hukukunun temel düzenlemesidir. AB Veri Koruma Direktifi örnek alınarak hazırlanmış, Mart 2024 reformuyla da – özellikle özel nitelikli veriler ve yurt dışına aktarım konularında – Genel Veri Koruma Tüzüğü'ne (GDPR) önemli ölçüde yaklaştırılmıştır. Türkiye'de iştiraki, müşterisi veya veri işleme faaliyeti bulunan yabancı şirketler için KVKK uyumu bağımsız bir yükümlülüktür: Yalnızca GDPR uyumu yeterli değildir; Türk kuralları usul, sicil yükümlülükleri ve yaptırımlar bakımından kendi yolunu izler.

İçindekiler

• KVKK kimlere uygulanır?
• Hangi ilkeler ve işleme şartları geçerlidir?
• Özel nitelikli kişisel veriler için ne geçerlidir?
• Veri sorumlusunun yükümlülükleri nelerdir?
• VERBİS nedir ve kimler kayıt olmak zorundadır?
• Yurt dışına aktarım nasıl düzenlenmiştir?
• İlgili kişilerin hakları nelerdir?
• Hangi yaptırımlar vardır ve hukuki koruma nasıl işler?
• Kurul uygulamasının güncel ağırlık noktaları nelerdir?
• KVKK ile GDPR arasındaki temel farklar nelerdir?
• Türkiye'ye giriş için uyum yol haritası nasıl olmalıdır?
• Çalışan kaynaklı KVKK ihlallerine Yargıtay nasıl yaklaşıyor?
• Sonuç

KVKK kimlere uygulanır?

KVKK; kişisel verileri tamamen veya kısmen otomatik yollarla ya da bir veri kayıt sisteminin parçası olarak işleyen gerçek ve tüzel kişilere uygulanır. GDPR benzeri açık bir ülke dışı uygulama hükmü yoktur; ancak Kişisel Verileri Koruma Kurumu, yerleşik uygulamasında Kanunu, veri işlemesi Türkiye'deki kişileri etkileyen yabancı şirketlere de uygulamaktadır – birden çok uluslararası grup şimdiden idari para cezasıyla karşılaşmıştır. Yabancı gruplar bu nedenle Türkiye temas noktalarını – yerel şirketler, Türkiye'ye yönelik web siteleri, merkezi İK ve CRM sistemleri – KVKK yükümlülükleri bakımından aktif olarak gözden geçirmelidir.

Hangi ilkeler ve işleme şartları geçerlidir?

Her işleme genel ilkelere uymalıdır: hukuka ve dürüstlük kurallarına uygunluk, doğruluk ve güncellik, belirli, açık ve meşru amaçlar için işleme, amaçla bağlantılı, sınırlı ve ölçülü olma ile sınırlı süreyle muhafaza. İşleme ancak bir hukuki sebebe dayanıyorsa mümkündür – açık rızanın yanı sıra özellikle: kanunlarda açıkça öngörülme, sözleşmenin kurulması veya ifası için gereklilik, veri sorumlusunun hukuki yükümlülüğü, ilgili kişinin kendisi tarafından alenileştirilmiş olma, bir hakkın tesisi veya korunması için zorunluluk ve – ilgili kişinin temel hakları ağır basmadıkça – veri sorumlusunun meşru menfaati. Açık rıza bilgilendirmeye dayanmalı ve özgür iradeyle verilmelidir; rıza, rıza olmadan da sunulabilecek hizmetlerin şartı hâline getirilemez ve kanuni işleme şartları karşısında ikincil olarak kullanılmalıdır.

Özel nitelikli kişisel veriler için ne geçerlidir?

Özel nitelikli veriler – ırk ve etnik köken, siyasi düşünce, din, dernek/vakıf/sendika üyeliği, sağlık ve cinsel hayat verileri, ceza mahkûmiyeti verileri ile biyometrik ve genetik veriler – ağırlaştırılmış şartlara tabidir. 2024 reformu, önceden çok dar olan hukuki sebep kataloğunu genişletmiştir: Bu veriler artık, açık rızanın yanı sıra, kanunlarda öngörülmesi, hayati menfaatin korunması, istihdam, iş sağlığı ve güvenliği ile sosyal güvenlik alanlarındaki hukuki yükümlülüklerin yerine getirilmesi, sır saklama yükümlülüğü altındaki kişilerce sağlık alanında işlenmesi ve derneklerin kendi üyelerine ilişkin işlemeleri gibi hâllerde de işlenebilir. Ek olarak Kurulca belirlenen yeterli önlemlerin alınması zorunludur. İşletmeler için özellikle İK alanındaki sağlık verileri ile biyometrik geçiş sistemleri kritik alanlardır; Kurum biyometrik sistemleri ancak katı ölçülülük şartıyla kabul etmektedir.

Veri sorumlusunun yükümlülükleri nelerdir?

• Aydınlatma yükümlülüğü: İlgili kişiler veri toplanırken veri sorumlusu, amaçlar, aktarılan taraflar, toplama yöntemi ve hukuki sebep ile hakları konusunda bilgilendirilmelidir – Türk yükümlülük kataloğu kendine özgüdür; GDPR aydınlatma metinleri olduğu gibi devralınamaz.
• Veri güvenliği: Uygun teknik ve idari tedbirler, veri işleyenlerle sözleşmeler, erişim politikaları, kayıt (log) tutma ve eğitimler.
• Veri ihlali bildirimi: İhlaller Kurula gecikmeksizin – Kurul uygulamasına göre kural olarak 72 saat içinde – ve ilgili kişilere bildirilmelidir.
• Silme ve imha yönetimi: Amaç ortadan kalktığında veriler silinmeli, yok edilmeli veya anonim hâle getirilmelidir; VERBİS yükümlüsü sorumlular, periyodik imha süreçlerini içeren saklama ve imha politikası bulundurmalıdır.
• Hesap verebilirlik ve dokümantasyon: Veri envanteri, politikalar ve rıza kayıtları, denetimlerde savunmanın temelini oluşturur.

VERBİS nedir ve kimler kayıt olmak zorundadır?

VERBİS, veri sorumlularının kamuya açık sicilidir. Kurulca belirlenen eşikler ve istisnalar çerçevesinde özellikle belirli çalışan sayısını veya bilanço büyüklüğünü aşan şirketler, ana faaliyeti özel nitelikli veri işlemek olanlar ve Türkiye'deki kişilerin verilerini işleyen yurt dışında yerleşik veri sorumluları kayıt yükümlüsüdür. Yabancı şirketler kayıt için Türkiye'de bir veri sorumlusu temsilcisi atamak zorundadır. Kayıt; işleme amaçlarının, veri kategorilerinin, alıcı gruplarının, aktarımların ve saklama sürelerinin, şirket içi işleme envanterine dayanarak bildirilmesini içerir. Kayıt yükümlülüğünün ihlali ağır idari para cezasına bağlanmıştır ve Kurumca kolayca tespit edilebilir – uygulamada yabancı şirketlere kesilen cezaların en sık dayanaklarından biridir.

Yurt dışına aktarım nasıl düzenlenmiştir?

2024 reformu, önceden fiilen tıkalı olan aktarım rejimini yeniden düzenleyerek GDPR sistematiğine yaklaştırmıştır. Yurt dışına aktarım; hedef ülke, sektör veya uluslararası kuruluş hakkında Kurulun yeterlilik kararı varsa mümkündür. Yeterlilik kararı yoksa uygun güvencelere dayanılabilir – uygulamada en önemlisi, imzadan itibaren beş iş günü içinde Kuruma bildirilmesi zorunlu olan Kurul ilanlı standart sözleşmeler ile gruplar için onaylı bağlayıcı şirket kurallarıdır. İstisnai hâllerde – örneğin açık rıza veya sözleşmenin ifası için zorunluluk – arızi aktarım mümkündür. Uluslararası şirketler aktarım haritalarını (bulut hizmetleri, merkezi BT sistemleri, grup raporlaması) çıkarmalı ve yeni araçlara geçirmelidir; standart sözleşmenin bildirilmemesi başlı başına idari para cezasına tabidir.

İlgili kişilerin hakları nelerdir?

İlgili kişiler veri sorumlusundan özellikle işlenip işlenmediğini öğrenme, bilgi talep etme, düzeltme, silme ve aktarılan üçüncü kişilere bildirilmesini isteme haklarına sahiptir; münhasıran otomatik sistemlerle yapılan analizler sonucu aleyhe sonuçlara itiraz edebilir ve zararın giderilmesini talep edebilirler. Başvurular kural olarak ücretsizdir ve 30 gün içinde sonuçlandırılmalıdır. Başvuru sonuçsuz kalırsa ilgili kişi Kuruma şikâyette bulunabilir. İşletmeler için kimlik doğrulama, süre takibi ve standart yanıt şablonları içeren belgeli bir ilgili kişi başvuru süreci önerilir.

Hangi yaptırımlar vardır ve hukuki koruma nasıl işler?

Denetim makamı, karar organı Kurul olan Kişisel Verileri Koruma Kurumu'dur. Kurum resen ve şikâyet üzerine inceleme yürütür, rehberler yayımlar ve her yıl yeniden değerlenen, veri güvenliği ve sicil yükümlülüğü ihlallerinde milyonlarca lirayı bulan idari para cezaları uygular. Bunun yanında Türk Ceza Kanunu'nda verilerin hukuka aykırı kaydedilmesi, ele geçirilmesi/yayılması ve yok edilmemesi suçları düzenlenmiştir. 2024 reformuyla Kurul kararlarına karşı idari yargı yolu açılmıştır. İlgili kişilerin maddi ve manevi tazminat talepleri de ayrıca gündeme gelebilir.

Kurul uygulamasının güncel ağırlık noktaları nelerdir?

Kurul kararları, uyum programlarının yönelmesi gereken belirgin öncelikler ortaya koymaktadır: Çerezler ve çevrimiçi izleme, ilgili rehber uyarınca rıza ve aydınlatma yükümlülükleri ölçütüyle değerlendirilmekte; biyometrik geçiş ve mesai takip sistemleri ancak katı zorunluluk hâlinde kabul edilmekte ve birçok kez yaptırıma konu olmuştur; izinsiz ticari iletiler ve müşteri verilerinin üçüncü kişilere aktarılması en sık şikâyet konuları arasındadır. Uluslararası gruplar mükerrer biçimde VERBİS kaydının yapılmaması ve geçerli araç olmaksızın yurt dışına aktarım nedeniyle cezalandırılmış; veri ihlallerinin geç bildirilmesi de istikrarlı biçimde yaptırıma bağlanmıştır. Yayımlanan Kurul kararları böylece kendi önceliklendirmeniz için değerli – ve ücretsiz – bir risk haritasıdır.

KVKK ile GDPR arasındaki temel farklar nelerdir?

• Türkiye temsilcisi atanmasını gerektiren VERBİS kaydının GDPR'de karşılığı yoktur ve sıkça gözden kaçar.
• Aydınlatma yükümlülüğü kendi içerik şartlarına tabidir; aydınlatma metinleri yerelleştirilmelidir.
• İdari para cezaları ciroya değil, endekslenen sabit aralıklara bağlıdır; tutarlar daha düşük olsa da daha hızlı uygulanır.
• Veri koruma etki değerlendirmesi ve veri koruma görevlisi gibi bazı GDPR kurumları şeklî yükümlülük olarak alınmamıştır; işlevsel karşılıkları hesap verebilirlik ve güvenlik yükümlülükleri üzerinden kurulur.
• Yurt dışı aktarımı, yakınlaşmaya rağmen Türk araçlarını gerektirir – AB standart sözleşme hükümleri Türk standart sözleşmelerinin yerine geçmez.

Türkiye'ye giriş için uyum yol haritası nasıl olmalıdır?

• Durum tespiti: Türkiye bağlantılı veri akışlarını haritalayın – yerel şirket, web sitesi, İK, CRM ve bulut sistemleri, grup raporlaması.
• İşleme envanteri oluşturun ve VERBİS yükümlülüğünü kontrol edin; yurt dışı sorumlular için Türkiye temsilcisi atayıp kaydedin.
• Aydınlatma metinlerini ve rızaları yerelleştirin – çevirmeyin, Türk yükümlülük kataloğuna uyarlayın.
• Yurt dışı aktarımları standart sözleşmelere veya bağlayıcı şirket kurallarına geçirin; beş iş günlük bildirim süresini süreçle güvence altına alın.
• Saklama-imha politikası, ilgili kişi başvuru süreci (30 gün) ve veri ihlali bildirim hattını (72 saat) kurun.
• Veri işleyen sözleşmelerini ve İK süreçlerini (işe alım, izleme, sağlık verileri) KVKK'ya dayanıklı hâle getirin; eğitimleri belgeleyin.
• Güncel Kurul kararları ve rehberleri ışığında yıllık gözden geçirme yapın.

Çalışan kaynaklı KVKK ihlallerine Yargıtay nasıl yaklaşıyor?

Kişisel verilerin korunmasına ilişkin ihlaller, uygulamada her zaman veri sorumlusu şirket yönetiminin doğrudan eylemlerinden kaynaklanmamaktadır. Günlük iş süreçlerinde çalışanların dikkatsizliği, yetersiz eğitimi veya prosedürlere aykırı hareket etmesi de ciddi veri ihlallerine yol açabilmektedir. Ancak bu durum, veri sorumlusu sıfatını taşıyan şirketin 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamındaki idari sorumluluğunu ortadan kaldırmamaktadır. Başka bir ifadeyle, ihlali gerçekleştiren çalışan olsa dahi, Kişisel Verileri Koruma Kurulu tarafından uygulanacak idari yaptırımlar çoğu durumda doğrudan veri sorumlusu şirkete yönelmektedir. Bu nedenle şirketlerin yalnızca teknik güvenlik tedbirleri alması değil, çalışanlarını veri koruma kültürünün bir parçası hâline getirmesi de büyük önem taşımaktadır.

Nitekim Yargıtay 9. Hukuk Dairesinin 20.01.2025 tarihli ve 2024/13450 E., 2025/700 K. sayılı kararı da bu açıdan dikkat çekici bir örnek teşkil etmektedir. Olayda, bir finans şirketinde çalışan personelin yanlışlıkla başka bir müşteriye ait hesap ekstresini hazırlayarak ilgili birime göndermesi üzerine işveren, çalışanın iş sözleşmesini SGK işten çıkış "Kod 49" kapsamında feshetmiştir. Ancak yargılama sürecinde, söz konusu veri ihlalinin kasıtlı olarak gerçekleştirildiği, çalışanın daha önce aynı konuda uyarıldığı veya kendisine görevlerinin hatırlatılmasına rağmen yükümlülüklerini yerine getirmemekte ısrar ettiği hususlarının işveren tarafından ispatlanamadığı tespit edilmiştir. Bu nedenle ilk derece mahkemesi, Bölge Adliye Mahkemesi ve son olarak Yargıtay 9. Hukuk Dairesi, fesih gerekçesinin "Kod 49" kapsamında değerlendirilemeyeceğine karar vermiş ve işten çıkış kodunun düzeltilmesi gerektiğini kabul etmiştir.

Karar, kişisel veri ihlaline neden olan her hatanın tek başına haklı fesih sebebi oluşturmadığını; özellikle işverenin çalışana gerekli eğitimleri verdiğini, veri güvenliği kurallarını açık şekilde bildirdiğini, gerekli uyarıları yaptığını ve buna rağmen çalışanın yükümlülüklerini yerine getirmemekte ısrar ettiğini somut delillerle ortaya koyması gerektiğini göstermektedir. Başka bir ifadeyle, işverenin KVKK uyumuna ilişkin iç süreçlerini oluşturmuş ve bunları belgeleyebilmiş olması, yalnızca veri koruma hukuku bakımından değil, iş hukuku uyuşmazlıklarında da belirleyici önem taşımaktadır.

Bu karar aynı zamanda şirketler açısından önemli bir gerçeği de ortaya koymaktadır. Çalışanların gerçekleştirdiği veri ihlalleri nedeniyle idari para cezaları, tazminat talepleri ve itibar kaybı çoğunlukla şirketi etkilemektedir. Bu nedenle KVKK uyumunun yalnızca aydınlatma metinleri veya VERBİS kayıtlarından ibaret görülmemesi; çalışan eğitimleri, yazılı iç prosedürler, veri güvenliği politikaları ve iş sözleşmelerine eklenecek kişisel veri koruma hükümleriyle desteklenmesi gerekmektedir. Eğitimlerin düzenli olarak verilmesi ve kayıt altına alınması da hesap verebilirlik ilkesinin önemli bir unsurudur.

Uygulamada müvekkillerimize sunduğumuz KVKK uyum çalışmalarında da yalnızca aydınlatma metinleri ve veri işleme süreçlerinin hazırlanmasıyla yetinmiyor; çalışanların görev ve sorumluluklarına uygun KVKK eğitimleri, gizlilik ve veri koruma taahhütnameleri, iş sözleşmelerine özgü veri koruma hükümleri ile özellikle müşteri verileri, finansal veriler ve özel nitelikli kişisel veriler üzerinde çalışan personel bakımından ilave farkındalık programları oluşturuyoruz. Bu bütüncül yaklaşım sayesinde hem veri ihlali riskinin önemli ölçüde azaltılması hem de olası uyuşmazlıklarda şirketlerin gerekli teknik ve idari tedbirleri aldığını ispat edebilmesi mümkün olmaktadır. Nitekim KVKK'nın öngördüğü teknik ve idari tedbirler ile eğitim ve dokümantasyon yükümlülükleri de bu yaklaşımı desteklemektedir.

Sonuç

KVKK, 2024 reformundan sonra daha modern ve uygulanabilir hâle gelmiştir; ancak kendi sicil, aydınlatma ve aktarım yükümlülükleriyle bağımsız bir düzenleme olmaya devam etmektedir. Uluslararası şirketler için bunun anlamı şudur: GDPR uyumu temeli sağlar, ancak Türk uygulamasının yerini tutmaz – yerelleştirilmiş aydınlatma metinleri, temsilci atamalı VERBİS kaydı ve veri akışlarının yeni aktarım araçlarına geçirilmesi gerekir.

Kurum aktif biçimde denetim yaptığı ve yabancı şirketleri de cezalandırdığı için, Türkiye küresel veri koruma programlarında ayrı bir uyum modülü olarak yönetilmeli ve dinamik Kurul uygulamasına göre düzenli güncellenmelidir.

GEMS Schindhelm durum tespitinden VERBİS kaydına, aydınlatma metinlerinden aktarım araçlarına ve Kurum nezdindeki süreçlerde temsile kadar KVKK uyumunun tüm aşamalarında işletmelere danışmanlık vermektedir.