Kişisel verilerin korunması, günümüzde hem bireyler hem de kurumlar için kritik bir konu haline geldi. “KVKK Kanunu kapsamındaki kişisel veri nedir?” sorusu, hem mevzuata uyum sağlamak isteyen şirketler hem de haklarını bilmek isteyen kişiler için çok önemli. Bu rehberde, “KVKK Kanunu Kapsamında Kişisel Veri Nedir?” ana başlığı altında, KVKK’ya göre kişisel veri nedir? başlığıyla başlayarak, veri işleme şartları, özel nitelikli veriler, saklama süreleri, cezalar, rıza süreçleri ve daha fazlasını ayrıntılı şekilde inceleyeceğiz. Okuyucular bu yazı aracılığıyla hem teorik çerçeveyi kavrayacak hem de pratik uygulamalarda dikkat edilmesi gereken hususları öğrenecekler. Bu içerik, KVKK uyumluluğu sağlamak isteyen her kurum ve birey için yol gösterici olacaktır.

Bu yazı boyunca, KVKK kanunu nedir ve hangi hakları tanır sorusundan başlayarak; veri sorumlusu kimdir, veri işleyen kimdir, KVKK aydınlatma metni ve formu nasıl hazırlanır gibi soruların yanıtlarını da bulacaksınız.

KVKK kanunu nedir, hangi hakları tanır?

KVKK, 6698 sayılı Kişisel Verilerin Korunması Kanunu’dur ve kişisel verilerin işlenmesini düzenleyerek bireylerin temel hak ve özgürlüklerini korumayı amaçlar.
Kanunun amaçları arasında:

• Kişisel verilerin işlenmesinin disiplin altına alınması,

• Temel hak ve özgürlüklerin korunması,

• Özel hayatın gizliliği ile bilgi güvenliği hakkının sağlanması yer alır.

Kanun, bireye şu hakları tanır (Kanun Madde 11):

• Kişisel verilerinin işlenip işlenmediğini öğrenme,

• İşlenmişse buna ilişkin bilgi talep etme,

• Verinin amacı, kimlere aktarıldığı gibi detayları öğrenme,

• Yanlış veri varsa düzeltme, silme ya da yok etme,

• İşlemenin belirli şartlarla kısıtlanmasını talep etme,

• Verinin taşınmasını isteme,

• İtiraz hakkı.

Özetle, KVKK hem kurumlara sınırlar koyar hem de bireylere verileri üzerinde kontrol hakkı verir.

KVKK’ya göre kişisel veri nedir?

“Kişisel veri”, kimliği belirli ya da belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade eder.
Bu tanımın bazı bileşenleri:

• Kimliği belirli ya da belirlenebilir: Veri, doğrudan (örneğin ad, soyad) veya dolaylı (örneğin IP adresi + davranış verisi) yolla bir kişiye ulaşmayı sağlayabilir.

• Gerçek kişiye ait olma: Tüzel kişilerin verileri, KVKK kapsamına girmez.

• Her türlü bilgi: Sadece kimlik bilgileri değil, sosyal, ekonomik, kültürel, fiziksel veya psikolojik özelliklere dair veriler de kişisel veri olabilir.

Örnekler: isim-soyisim, adres, telefon numarası, IP adresi, e-posta, fotoğraf, ses kaydı, görüntü kayıtları, eğitim durumu, gelir düzeyi gibi bilgiler.

Kişisel verilerin işlenme şartları nelerdir?

KVKK’nın 5. maddesinde, kişisel verilerin işlenebilmesi için bazı şartların var olması gerekir.
Bu şartlar sınırlı sayılıdır ve şunlardır:

1. İlgili kişinin açık rızasının olması,

2. Kanunlarda açıkça öngörülmesi,

3. Rızasını açıklamayacak durumda bulunan ya da açıklayamayacak kişilerin hayatı/beden bütünlüğünün korunması için zorunlu olması,

4. Bir sözleşmenin kurulması ya da ifasıyla doğrudan ilgili olması,

5. Veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi,

6. İlgili kişinin kendisi tarafından veriyi alenileştirmiş olması,

7. Bir hakkın tesisi, kullanılması ya da korunması için zorunluluk,

8. Veri sorumlusunun meşru menfaati, temel hak ve özgürlüklere zarar vermemek şartıyla.

Bu yolların dışındaki her türlü veri işlendiğinde hukuka aykırı olur.

Özel nitelikli kişisel veri nedir?

"Özel nitelikli kişisel veriler", öğrenilmesi halinde ilgili kişi için ayrımcılığa, mağduriyete yol açabilecek, daha hassas kabul edilen veri türleridir.
KVKK’da özel nitelikli veriler, sınırlı sayma esasına göre belirlenmiştir:

• Irk, etnik köken

• Siyasi düşünce, felsefi inanç, dini veya mezhebi inanç

• Kılık, kıyafet (örnek olarak dinî giyim tercihi)

• Dernek, vakıf, sendika üyeliği

• Sağlık ve cinsel hayat

• Ceza mahkûmiyeti ve güvenlik tedbirleri

• Biyometrik ve genetik veriler

Önemli nokta: Özel nitelikli veriler, genel kişiler verisinden daha sıkı koşullarla işlenebilir; genellikle ilgili kişinin açık rızası gerekir.

Fotoğraf, telefon numarası, e-posta kişisel veri midir?

Evet — bu tür bilgiler genellikle kişisel veri olarak değerlendirilir:

• Fotoğraf, video, ses kayıtları: Kredi kartı ya da kimlik gibi doğrudan tanımlayıcı olmasa bile, kişinin belirlenmesine yol açabilecek kayıtlar KVKK kapsamında “kişisel veri”dir.

• Telefon numarası: Bireyi tanımlamasa bile ulaşmayı sağlayan bilgi olduğundan kişisel veridir.

• E-posta adresi: Bir kişiye ait ve iletişim kurulmasına uygun bilgi olduğundan kişisel veridir.

Örnek tablo:

Kişisel veriler ne kadar süre saklanır?

KVKK’da açıkça sabit bir “saklama süresi” belirlenmemiştir; ancak işlenme amacının ortadan kalkması, yasal sürelerin sona ermesi veya ilgili kişinin talebi ile verinin silinmesi, yok edilmesi veya anonim hale getirilmesi zorunludur.
Yani, amaç sona erdikten sonra veriler elde tutulmamalıdır.
Kuruluşlar genellikle bir “kayıt saklama politikası” belirler. Örneğin: mali belgeler, vergi ile ilgili veriler gibi türler için yasal süreler (örn. 5–10 yıl) geçerli olabilir.
Ayrıca, kanundaki teknik ve idari tedbir yükümlülükleri kapsamında, gereksiz verilerin uzun süre saklanması risklidir.

KVKK mevzuatı hangi bilgileri kapsar?

KVKK, kişisel verilerin işlenmesi, saklanması, aktarılması ve ihlali gibi tüm süreçleri kapsar.
Mevzuatta özellikle düzenlenenler:

• Aydınlatma yükümlülüğü (veri sahibine bilgi vermek)

• Açık rıza süreçleri

• Kişisel verilerin yurt dışına aktarımı

• Veri sorumlusu sicil kaydı (VERBİS)

• Güvenlik tedbirleri

• İhlal bildirim prosedürleri

• Hakların kullanılması

• Cezai ve idari yaptırımlar

Kısacası, veri toplama noktasından veri silme/anonimleştirmeye kadar tüm aşamalar KVKK’nın kapsamı içindedir.

KVKK aydınlatma metni nedir?

Aydınlatma metni, veri sorumlusunun ilgili kişiye, kişisel verilerin toplanma amacı, işlenme şartları, hangi alıcılara aktarılabileceği gibi bilgileri şeffaf bir şekilde sunduğu yazılı metindir.
Yönetmelik ve Kurul kararları gereği, aydınlatma metni açık, anlaşılır ve kolay erişilebilir olmalıdır.
Bir aydınlatma metninde genellikle yer alması gereken unsurlar:

• Veri sorumlusunun kim olduğu

• Veri işleme amacı

• İşlenecek verilerin ne olduğu

• Verilerin kimlere aktarılabileceği

• Verinin saklama süresi

• İlgili kişinin hakları

• Rıza alınacaksa rızanın nasıl alınacağı

KVKK formu nasıl hazırlanır?

KVKK formu, çoğunlukla “rıza metni / aydınlatma + onay formu” biçiminde düzenlenir. Hazırlarken dikkat edilmesi gereken hususlar:

• Açık ve anlaşılır dil kullanılmalı

• Rıza isteği, aydınlatma bilgilerinden ayrı olmalı

• Rıza vermezse hizmetten mahrum bırakılmama ilkesi

• Hangi verilerin işleneceği, amaçları, aktarılma durumu net ifade edilmeli

• Verinin saklanma süresi ve silme politikası belirtilmeli

• İlgili kişinin onay kutusu (zorunlu olmayan) serbestçe seçilmeli

Bu form genellikle imza ile ya da elektronik ortamda “onayla / kabul et” butonuyla alınır.

KVKK’ya göre veri sorumlusu kimdir?

Veri sorumlusu, kişisel verilerin işlenme amaçlarını ve araçlarını belirleyen gerçek veya tüzel kişidir.
Yani, veri toplama, işleme kararlarını veren kurum veya kişi veri sorumlusudur.
Veri sorumlusunun yükümlülükleri arasında:

• Aydınlatma yapma

• Veriyi güvenli şekilde saklama

• VERBİS kaydı yapma

• İhlal durumunda bildirimde bulunma

• Hak taleplerini gerçekleştirme

Veri işleyen kimdir?

Veri işleyen, veri sorumlusu adına kişisel verileri işleyen gerçek veya tüzel kişidir.
Veri işleyenin rolü, veri sorumlusunun belirlemiş olduğu usul ve esaslara uymaktır. Veri işleyici, veri sorumlusuna karşı sorumludur ve esasen sorumluluk zincirinin bir halkasıdır.

Kişisel veri ihlalinde hangi cezalar uygulanır?

KVKK’da iki tür yaptırım söz konusudur: cezai (hapis) ve idari para cezaları.

a) Cezai yaptırımlar (Türk Ceza Kanunu ile birlikte)

KVKK’nın 17. maddesi uyarınca, kişisel verilerin hukuka aykırı kaydedilmesi, verilmesi ya da ele geçirilmesi durumunda TCK’nın ilgili maddeleri uygulanır:

• Hukuka aykırı kayıt: 1-3 yıl hapis cezası

• Özel nitelikli verilerin kaydedilmesi: ceza artırımı

• Verilerin yayılması / ele geçirilmesi: 2-4 yıl hapis cezası gibi cezalar öngörülür

b) İdari para cezaları

KVKK’nın 18. maddesine göre uyulması gereken yükümlülükleri yerine getirmeyen veri sorumluları hakkında idari para cezası uygulanır.

Örneğin:

• Aydınlatma yükümlülüğüne uymama: 9.012 TL – 180.263 TL arasında

• Veri güvenliğine ilişkin yükümlülüğe uymama: 27.037 TL – 1.802.640 TL arasında

• VERBİS kaydı yükümlülüğüne aykırı davranma: 36.050 TL – 1.802.640 TL arasında

Bu rakamlar her yıl yeniden değerleme oranı ile güncellenir.

KVKK’ya göre kişisel verilerin paylaşımı suç mu?

Kişisel verilerin paylaşımı (yasa dışı ifşa, başkalarına verme, yayma) KVKK açısından suç teşkil edebilir. Özellikle;

• Hukuka aykırı paylaşım veya ifşa fiili,

• Özel nitelikli veri paylaşımı,

• Verilerin çoğaltılması ya da yaygınlaştırılması

gibi hallerde hem ceza hem idari para cezaları uygulanabilir.

Ancak her veri paylaşımı otomatik suç sayılmaz — paylaşımın hukuki dayanağı varsa, onay alınmışsa ya da kanunda izin verilmişse paylaşım yapılabilir.

KVKK kanununa göre rıza nasıl alınır?

“Rıza”, ilgili kişinin bilgilendirilmiş şekilde, özgürce ve açıkça iradesiyle verdiği onaydır.
Rıza alınırken dikkat edilecek noktalar:

• Rıza metni aydınlatma metninden ayrı olmalı

• Rıza isteği açık olmalı, “kabul ediyorum / onaylıyorum” gibi net ifade kullanılmalı

• Rıza isteyen form, zorunlu olmayan seçenekleri içerip kişinin hizmetten mahrum kalmaması sağlanmalı

• İlgili kişi rızasını istediğinde geri çekebilir; bu hak açıkça bildirilmelidir

• Özel nitelikli veriler için rıza şartı daha da ağırdır

Kanunda rıza dışındaki işleme şartları da belirtildiği için, her işlem her zaman rıza ile yapılmak zorunda değildir.

Sonuç & Çağrı

Bu rehberde “KVKK Kanunu Kapsamında Kişisel Veri Nedir?” sorusuna ilişkin olarak; KVKK’nın amaç ve tanımı, kişisel verinin ne olduğu, işlenme şartları, özel nitelikli veriler, yapılabilecek uygulamalar, cezalar ve rıza süreçleri gibi temel başlıkları detaylı şekilde ele aldık. KVKK’ya uyum sağlamak isteyen kurumlar için bu kavramları doğru anlamak ve uygulamak kritik önem taşır.

Eğer kurumunuz özelinde bir KVKK uyumluluğu çalışması yapmak istiyorsanız, aydınlatma metni hazırlamak ya da risk analizi yapmak isterseniz, bir uzman hukuk danışmanından destek almanızı öneririm. Size özel danışmanlık veya metin hazırlamada yardım isterseniz, bizimle iletişime geçebilirsiniz.

Sıkça Sorulan Sorular

1. KVKK ile GDPR aynı şey midir?
   Hayır. KVKK Türkiye’ye özgü kişisel veri koruma kanunudur; GDPR ise Avrupa Birliği’ndeki genel veri koruma düzenlemesidir. Ancak benzer prensipleri içerirler.

   
   

2. Tüzel kişilerin verileri KVKK kapsamında mıdır?
   Genellikle hayır. KVKK yalnızca gerçek kişiye ait verileri kapsar. Tüzel kişilere ait veriler KVKK kapsamına girmez.

   
   

3. Özel nitelikli veri alınmadan ne gibi işler yapılamaz?
   Sağlık verisi, dinî inanç, biyometrik veri gibi özel nitelikli veriler için genellikle açık rıza gerekir. Yalnızca kanunda izin varsa rızasız işlenebilir.

   
   

4. Veriler süresiz saklanabilir mi?
   Hayır. Veriler, işleme amacı ortadan kalktığında silinmeli, yok edilmeli ya da anonim hale getirilmelidir.

   
   

5. Veri ihlali bildirimi ne zaman yapılmalıdır?
   Kişisel verilerin hukuka aykırı olarak elde edilmesi durumunda, veri sorumlusu en kısa sürede hem ilgili kişiye hem de KVKK Kuruluna bildirimde bulunmalıdır. Kurul duyurusuna göre bu süre 72 saat olarak yorumlanmaktadır.