Günümüzde dijitalleşme ile birlikte kişisel verilerin toplanması, saklanması ve işlenmesi her zamankinden daha yaygın hale geldi. Ancak bu süreçler, bireylerin özel hayatını ve temel haklarını zedeleyebilir. İşte bu noktada KVKK nedir, ne demek ve ne işe yarar soruları önem kazanır. Bu yazıda, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında, kişisel verilerin korunmasının neden gerekli olduğu, kimleri kapsadığı, hangi hakların tanındığı ve uygulamada nasıl hareket edilmesi gerektiği gibi tüm kritik başlıklara kapsamlı şekilde değineceğiz. İlk olarak “KVKK nedir, ne demek?” başlığında temel tanımı vereceğiz. Sonrasında ise diğer alt başlıklarla davam edeceğiz. Okuyucular, yazı sonunda KVKK’ya ilişkin temel kavramları kavramış olacak, hangi haklara sahip olduklarını bilecek ve kurum/şirket olarak ne gibi yükümlülükler olduğunu anlayacak.

KVKK nedir, ne demek?

“KVKK” ifadesi, “Kişisel Verilerin Korunması Kanunu”nun baş harflerinden oluşan kısaltmadır.
Bu kanun, kişisel verilerin işlenmesinde, bu verilerin toplanması, saklanması, paylaşılması, imhası gibi süreçlerde uyulması gereken hukukî esasları ve sorumlulukları belirler.
Aynı zamanda “KVKK” ifadesi bazen “Kişisel Verileri Koruma Kurumu” ya da “Kişisel Verileri Koruma Kanunu / Kurulu” anlamında da kullanılır — bağlama dikkat edilmelidir.

KVKK ne işe yarar?

KVKK’nın temel işlevi, bireylerin kişisel verilerinin kötüye kullanılmasını engellemek ve veri işleme süreçlerinde şeffaflık, güvenlik ile hukuka uyum sağlanmasını temin etmektir.
Özellikle, özel hayatın gizliliğini korumak, temel hak ve özgürlükleri güvence altına almak ve veri işleyen kişi/kurumların yükümlülüklerini belirlemek amaçlanır.

Pratik faydaları arasında:

• Bireylerin verilerinin izinsiz paylaşılmasını engelleme

• Kurumların veri işleme süreçlerinde standartların belirlenmesi

• Şüpheli veri ihlallerinde yaptırım ve tazminat yolunun açık olması

• Veri güvenliği altyapılarının teşviki

6698 sayılı KVKK kanunu nedir?

6698 sayılı Kişisel Verilerin Korunması Kanunu, 7 Nisan 2016 tarihinde Resmî Gazete’de yayımlanmış ve yürürlüğe girmiştir.
Kanun, kişisel verilerin işlenmesine ilişkin esasları, veri sorumlularının yükümlülüklerini, veri sahiplerinin haklarını ve yaptırımları düzenleyen temel çerçeveyi oluşturur.
Kanunun tam metni, Kişisel Verileri Koruma Kurumu’nun (KVKK) resmi sitesi üzerinden erişilebilir.

KVKK kanunu neyi düzenler?

Bu kanun, aşağıdaki temel konuları düzenler:

• Tanımlar ve kapsam: Kişisel veri, ilgili kişi, veri sorumlusu gibi temel kavramları tanımlar.

• İşlenme şartları: Kanuna uygun işlenme şartları (rıza, sözleşme, hukuki zorunluluk vb.) belirtilir.

• Veri güvenliği: Teknik ve idari tedbirlerin alınması zorunluluğu (12. madde)

• Haklar ve başvuru usulleri: Veri sahibinin hakları (erişim, düzeltme, silme, itiraz vb.) ve bu hakların kullanımı için başvuru prosedürü (Madde 11)

• Yaptırımlar & cezalar: Kanuna aykırı hareket eden veri sorumlularına uygulanacak idari para cezaları (madde 18)

• Veri aktarımları: Verilerin yurtiçi ve yurtdışına aktarımı ile ilgili şartlar (Madde 9) ve sınırlar

• Silme, yok etme, anonimleştirme: İşleme şartlarının ortadan kalkması hâlinde verilerin silinmesi / imha edilmesi / anonimleştirilmesi yükümlülükleri

KVKK’nın amacı nedir?

Kanunun amaçları aşağı şekilde özetlenebilir:

1. Kişisel verilerin işlenmesinin disipline edilmesi

2. Temel hak ve özgürlüklerin (özel hayatın gizliliği, bilgi güvenliği, mahremiyet) korunması

3. Veri sorumlularının yükümlülüklerinin belirlenmesi ve denetlenmesi

4. Verilerin çağdaş standartlarda işlenmesinin sağlanması, veri güvenliği ilkelerinin yerleştirilmesi

Aşağıda amaç-madde karşılaştırmalı kısa tablo:

KVKK kimleri kapsar?

KVKK yalnızca gerçek kişilere ait kişisel verileri kapsar; tüzel kişilerin verileri kanun kapsamında değildir.
Kanun, verilerin otomatik veya otomatik olmayan yöntemlerle işlenmesini kapsar. Yani yalnızca elektronik ortamdaki değil, kâğıt üzerindeki veri işlemleri de kanun kapsamına girer.
Özellikle, ad-soyadı, kimlik numarası, adres, iletişim bilgileri, sağlık verisi, biyometrik veri gibi bilgiler işlem görüyorsa, bu kişiler KVKK kapsamında korunur.

KVKK’ya göre kişisel veri nedir?

KVKK’da “kişisel veri”, kimliği belirli veya belirlenebilir gerçek kişiyle ilişkilendirilebilecek her türlü bilgiyi ifade eder.
Örneğin: ad, soyad, doğum tarihi, adres, e-posta, telefon numarası, T.C. kimlik numarası, IP adresi, biyometrik veriler vb.
Ayrıca kanunda özel nitelikli kişisel veriler (örneğin, sağlık verisi, biyometrik, genetik, ırk, din, felsefi inanç gibi) ayrı bir koruma altındadır ve işlenmesi daha sıkı şartlara tabidir.

KVKK’ya göre veri sahibi kimdir?

Kanunun terimiyle “ilgili kişi” ifadesi, kişisel verisi işlenen gerçek kişiyi ifade eder.
Yani veri sahibi (ilgili kişi), verisi toplanan, işlenen veya kullanılan her bir bireydir.

KVKK’ya göre veri sorumlusu kimdir?

Veri sorumlusu, kişisel verilerin işlenme amaçlarını ve araçlarını belirleyen gerçek veya tüzel kişi ya da kurumdur.
Başka bir deyişle, verinin ne amaçla kullanılacağını, kimlerle paylaşılacağını ve güvenliğinin nasıl sağlanacağını karar veren tarafa “veri sorumlusu” denir.
Veri sorumluları, Aydınlatma Yükümlülüğü, VERBİS kayıt, teknik-idari tedbir alma gibi yükümlülüklere tabidir.

KVKK açılımı nedir?

KVKK’nın açılımı “Kişisel Verilerin Korunması Kanunu” şeklindedir.
Bazı kişiler “Kanun / Kurum / Kurulu” gibi farklı açılımlar düşünebilir; ancak burada kanun anlamında KVKK’nın bu şekilde açıldığı yaygındır.

KVKK metni nerede bulunur?

KVKK kanununun tam metni, Kişisel Verileri Koruma Kurumu’nun (KVKK) resmi web sitesinde PDF formatında yayımlanmıştır.
Ayrıca, Türkiye’deki mevzuat sitelerinde “6698 Sayılı Kişisel Verilerin Korunması Kanunu” başlığı altında konsolide hali ile bulunabilir.

KVKK’nın dayanağı ve kapsamı

Dayanağı: KVKK, 7 Nisan 2016 tarihli Resmî Gazete’de yayımlanarak yürürlüğe girmiştir.
Kanunun Anayasa’ya ve Türkiye’nin milletlerarası yükümlülüklerine uygun olarak çıkarıldığı kabul edilir.

Kapsamı:

• Türkiye sınırları içinde işlenen veriler

• Türkiye’de yerleşik veri sorumluları

• Otomatik veya otomatik olmayan yöntemlerle işlenen veriler

• Kişisel verilerin işlenme yöntemine bakılmaksızın kanun kapsamına girer

• Bazı özel durumlarda yabancı ülkelerde işlenen veriler de, veri sahibi Türkiye’de ise belli şartlarla kanun kapsamına girebilir

KVKK kimden sorumludur?

KVKK kapsamında başlıca sorumluluk taşıyan kişi/kurumlar:

• Veri sorumlusu: Veriyi işleyen kurum ya da kişi, yükümlülükleri yerine getirmek zorundadır.

• Veri işleyen: Veri sorumlusunun talimatıyla veri işleyen (örneğin dış kaynak) da belirli yükümlülüklere tabidir.

• Kurum / Kurul: KVKK’yı denetleyen ve karar veren Kişisel Verileri Koruma Kurumu ile Kurulu.

• Devlet organları, kamu kurumları, şirketler, hizmet sağlayıcılar vs. veri sorumlusu olabilir.

KVKK nasıl uygulanır?

KVKK’nın uygulanması için veri sorumlularının izlemesi gereken ana adımlar:

1. Veri envanteri çıkarma – hangi veriler alınıyor, kimlere aktarılıyor, ne amaçla kullanılıyor vs.

2. Aydınlatma metni hazırlama – ilgili kişileri bilgilendiren metin (amacı, süresi, aktarım, haklar, iletişim)

3. Açık rıza mekanizması kurma – gerektiğinde verilerin işlenmesi için açık rıza alma (özellikle özel nitelikli veriler)

4. Teknik ve idari tedbirler alma – verilerin gizliliğini ve güvenliğini sağlamak (şifreleme, erişim kontrolü, sızma testleri vs.)

5. VERBİS kaydı – veri sorumlularının, Kişisel Verileri Koruma Kurumu’na kayıt olması (veri işlemeyi bildirme).

6. Haklara başvuru süreçleri oluşturma – veri sahiplerinin taleplerini (erişim, düzeltme, silme vb.) karşılayacak prosedür kurma.

7. Periyodik imha / silme / anonimleştirme – verilerin işlenme koşulları ortadan kalktığında bunların elimine edilmesi.

8. İç denetim ve belgelendirme – süreçlerin düzenli kontrolü, uyumluluğun belgelenmesi

KVKK mevzuatı nedir?

KVKK mevzuatı, esas olarak 6698 sayılı Kanun ve bu kanuna bağlı olarak çıkarılan yönetmelik, tebliğ, kurallar ile oluşur.
Örneğin:

• Aydınlatma Yükümlülüğü Usul ve Esasları Tebliği

• VERBİS kayıt esasları

• Teknik ve idari tedbirlerle ilgili düzenlemeler

• Kurul kararları ve içtihatlar

Bu mevzuat, kanunun nasıl uygulanacağını detaylandıran ikincil düzenlemeleri kapsar.

KVKK mevzuatında hangi haklar tanınır?

Veri sahiplerine (ilgili kişiye) KVKK mevzuatı çerçevesinde tanınan haklar şunlardır (Kanun Madde 11):

• Kişisel verilerin işlenip işlenmediğini öğrenme

• İşlenmişse buna ilişkin bilgi talep etme

• İşlenen verilerin amacı ve kullanım biçimi hakkında bilgi edinme

• Yurt içinde veya yurt dışında aktarım yapılan üçüncü kişileri bilme

• Verilerin eksik/yanlış işlenmiş olması durumunda düzeltme isteme

• İşlenmiş verilerin silinmesini ya da yok edilmesini isteme (ama şartlara bağlı)

• Verilerin anonim hale getirilmesini isteme

• İşlemenin kişiye olumsuz etkisi varsa itiraz etme

• Otomatik sistemlerle analiz sonucu kişinin aleyhine çıkarsa buna itiraz

Kurumlardan bu taleplerin en geç 30 gün içinde yanıtlanması gerekir (istisnalar olabilir).

KVKK izni nasıl alınır?

“KVKK izni” derken çoğunlukla açık rıza mekanizması kastedilir; özel nitelikli verilerin işlenmesi için açık rıza gereklidir.
Açık rıza şu özellikleri taşımalıdır:

• Bilgilendirmeye dayalı olmalı (neden toplanacağı, kimlerle paylaşılacağı vs. belirtilmeli)

• Özgür iradeyle verilmiş olmalı

• Belirli bir konuya ilişkin olmalı

• İlgili kişi istediğinde rızasını geri çekebilmelidir

Örneğin, bir e-ticaret sitesi, müşteri telefon numarasını özel kampanya mesajı için kullanacaksa, müşteri açıkça bu kullanım için rıza vermelidir.
Rıza alınamayan durumlarda, kanunda öngörülen diğer hukuki sebeplere (sözleşme, yasal yükümlülük, meşru menfaat gibi) dayanmak gerekir.

Sonuç

Bu yazıda KVKK nedir, ne demek, ne işe yarar gibi temel sorulardan hareketle, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun neyi düzenlediği, amaçları, kapsadığı kişiler, tanımları, hakları ve uygulama esaslarını ele aldık. Kişisel verilerin korunması, günümüz dijital çağı için giderek önemli hale gelmiş bir zorunluluktur. Şirketler, kurumlar ve bireylerin KVKK uyumu sağlaması yalnız yasal bir zorunluluk değil, aynı zamanda güven tesis etme açısından kritik öneme sahiptir. Eğer siz de bir kurum veya işletme sahibiyseniz, KVKK yükümlülüklerinizi belirlemek, eksiklerinizi tespit etmek ve uyum sürecini yürütmek adına uzman bir hukuk danışmanıyla çalışmayı düşünebilirsiniz.

👉 Bir sonraki adım: KVKK’ya uyum sürecinizi planlamak veya denetim için profesyonel destek almak isterseniz, bizimle iletişime geçin.

Sık Sorulan Sorular

1. KVKK ile GDPR farkı nedir?
   Türkiye’deki KVKK, AB’nin GDPR düzenlemesini örnek almış olsa da bazı farklar vardır. Örneğin, GDPR’da veri taşınabilirliği ve zorunlu veri koruma görevlisi (Data Protection Officer) gibi kavramlar öne çıkarken, KVKK’da bu kavramların düzenlenmesi daha sınırlıdır.

   
   

2. Bir kamu kurumu da KVKK kapsamına girer mi?
   Evet, kamu kurumları da kişisel veri işlediklerinde KVKK’ya tabidir. Yani devlete bağlı kurumlar da yükümlülük taşır.

   
   

3. VERBİS nedir ve kimler kayıt olmak zorundadır?
   VERBİS, “Veri Sorumluları Sicil Sistemi” demektir. Veri sorumluları, belirli ölçekteki faaliyetler için bu sicile kayıt olmak zorundadır.

   
   

4. KVKK’ya aykırı davrananlara ne ceza uygulanır?
   Kanun, 5 bin TL’den başlayıp milyon TL’lara kadar idari para cezaları öngörmektedir. Ayrıca kişilik hakları ihlal edilen kişi tazminat talep edebilir.

   
   

5. KVKK’ya nasıl uyum sağlanır, kurumlar ne yapmalı?
   Yukarıda “KVKK nasıl uygulanır?” başlığı altında sıraladığımız adımları takip etmelidirler: veri envanteri, aydınlatma metni, açık rıza mekanizması, teknik tedbirler, başvuru süreçleri, imha politikaları vs.