KVKK Hangi Şirketler İçin Zorunlu?
İki farklı soru sık sık birbirine karışıyor:
- "KVKK bana uygulanır mı?" → Kişisel veri işliyorsanız evet, istisnasız.
- "VERBİS'e kaydolmak zorunda mıyım?" → Duruma göre. Ölçütler var.
Bu ayrımı anlamak, gereksiz panik ile gerçek riski birbirinden ayırmanın anahtarı.
Önemli: Genel bilgilendirmedir, hukuki danışmanlık değildir. Kendi durumunuzu Kurum duyuruları ve bir hukukçuyla teyit edin.
1. Kanun kime uygulanır?
6698 sayılı Kanun, kişisel veri işleyen herkesi kapsar: tek kişilik şahıs şirketi de, holding de. Müşteri listeniz, çalışan özlük dosyanız, ziyaretçi defteriniz varsa kanun kapsamındasınız.
Kapsam dışı kalan dar bir alan vardır: kişinin tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetleri (ör. kişisel telefon rehberiniz). Ticari faaliyet bunun dışındadır.
Yani "biz küçüğüz, bize işlemez" doğru değil. Küçük olmak, yükümlülüklerin ölçeğini küçültür, varlığını değil.
2. VERBİS kayıt yükümlülüğü: ölçütler
Sicile kayıt, Kurul kararlarıyla belirlenen ölçütlere bağlıdır. Değerlendirmede esas alınan üç unsur:
| Ölçüt | Ne bakılır |
|---|---|
| Yıllık çalışan sayısı | Belirli eşiğin üzerinde mi? |
| Yıllık mali bilanço toplamı | Belirli eşiğin üzerinde mi? |
| Ana faaliyet konusu | Özel nitelikli veri işleme faaliyeti var mı? |
Ayrıca bazı gruplar için özel düzenlemeler ve istisnalar bulunur (ör. belirli meslek grupları, dernek/vakıf ve siyasi partilerin sadece kendi üyelerine ilişkin verileri, noterler gibi kanunla düzenlenmiş bazı yapılar). Eşik değerler ve istisna listesi zaman içinde güncellenebildiği için karar vermeden önce Kurum'un güncel duyurusuna bakın.
3. Sağlık verisi işliyorsanız dikkat
Ana faaliyeti özel nitelikli kişisel veri işlemek olan işletmeler (klinikler, laboratuvarlar, psikolog/diyetisyen ofisleri, iş sağlığı hizmeti verenler) için değerlendirme daha sıkıdır. Bu grupta çalışan sayısı düşük olsa da kayıt yükümlülüğü doğabilir.
4. Yükümlü değilseniz ne yapmalısınız?
Kayıt yükümlüsü olmamak, şu yükümlülükleri ortadan kaldırmaz:
- Aydınlatma metni hazırlamak ve göstermek (nasıl)
- Gerekli hâllerde açık rıza almak (nasıl)
- Veri güvenliği tedbirlerini uygulamak
- Saklama sürelerini belirleyip süresi dolanı imha etmek
- İlgili kişi başvurularını 30 gün içinde yanıtlamak
Yani VERBİS'ten muaf olmak "hiçbir şey yapmayabilirim" demek değil; belge seti yine gerekir.
5. Pratik kontrol listesi
- Kişisel veri işliyor muyum? (Müşteri/çalışan/aday verisi varsa: evet)
- Çalışan sayım ve bilanço büyüklüğüm ölçütlerin neresinde?
- Ana faaliyetim özel nitelikli veri (sağlık, biyometri vb.) işlemeyi gerektiriyor mu?
- Yurt dışına veri aktarıyor muyum? (yabancı bulut/e-posta sağlayıcısı dâhil)
- Kayıt yükümlüsüysem VERBİS beyanım güncel mi? (kayıt rehberi)
- Envanterim ve belgelerim hazır mı? (envanter rehberi)
Sık sorulan sorular
5 kişilik şirketim var, KVKK beni bağlar mı?
Kanun sizi bağlar. VERBİS kayıt yükümlülüğünüz ise ölçütlere göre değişir; ölçütleri karşılamıyorsanız kayıt gerekmez ama diğer yükümlülükler sürer.
Şahıs şirketi de veri sorumlusu mudur?
Evet. Gerçek kişi tacirler de kişisel veri işlediklerinde veri sorumlusudur.
E-ticaret yapıyorum, durumum ne?
Müşteri, sipariş ve ödeme verileri işlediğiniz için kapsamdasınız. Ölçütleri aşıyorsanız VERBİS kaydı da gerekir. Ayrıca ticari elektronik ileti için ayrı rıza kuralları geçerlidir.
Muafiyet aldığımı nasıl kanıtlarım?
"Muafiyet belgesi" diye bir belge yoktur. Kayıt yükümlülüğü ölçütlerini karşılamadığınızı gösteren kayıtlarınızı (çalışan sayısı, bilanço) saklamanız yeterlidir.
Belirsizliği bitirin: KVKK Otomat sihirbazı ölçütleri sorar, durumunuzu özetler ve gereken belge setini üretir. Genel çerçeve: KVKK Uyum Rehberi.
