"KVKK mevzuatı" dendiğinde çoğu kişi tek bir kanunu düşünür. Gerçekte uyum yükümlülükleriniz dört katmandan doğar ve pratikte en çok iş çıkaran katman, çoğu zaman en az bilinen olanıdır.
Not: Genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir. Metinlerin güncel hâli için Kişisel Verileri Koruma Kurumu'nun resmî yayınlarını esas alın.
Katman 1 — Kanun
6698 sayılı Kişisel Verilerin Korunması Kanunu (7 Nisan 2016). Çerçeveyi kurar:
| Madde | Konu | Pratik karşılığı |
|---|---|---|
| m.3 | Tanımlar | Kişisel veri, veri sorumlusu, işleme |
| m.4 | Genel ilkeler | Hukuka uygunluk, ölçülülük, süreyle sınırlılık |
| m.5 | İşleme şartları | Hangi hâllerde rıza gerekmez |
| m.6 | Özel nitelikli veri | Sağlık, biyometri, din vb. için sıkı koşullar |
| m.7 | Silme, yok etme, anonimleştirme | İmha yükümlülüğü |
| m.8-9 | Aktarım | Yurt içi ve yurt dışına aktarım |
| m.10 | Aydınlatma yükümlülüğü | Metninizin zorunlu unsurları |
| m.11-14 | İlgili kişinin hakları ve başvuru | 30 gün kuralı |
| m.12 | Veri güvenliği | Teknik ve idari tedbirler |
| m.16 | VERBİS | Sicile kayıt yükümlülüğü |
| m.18 | İdari para cezaları | Yaptırım kalemleri |
Anayasa'nın 20. maddesi de kişisel verilerin korunmasını temel hak olarak güvence altına alır; Kanun bu hakkın uygulamasıdır.
Katman 2 — Yönetmelikler
Kanunu uygulanabilir kılan ikincil düzenlemeler. İşletmeleri en çok ilgilendirenler:
- Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Hakkında Yönetmelik — saklama ve imha politikanızın dayanağı; periyodik imha dönemleri buradan gelir
- Veri Sorumluları Sicili Hakkında Yönetmelik — VERBİS kaydının usul ve esasları
- Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ — ilgili kişi başvurularının nasıl yapılacağı ve yanıtlanacağı
Katman 3 — Tebliğler ve rehberler
Kurum, uygulamayı yönlendiren rehberler yayımlar: aydınlatma yükümlülüğünün yerine getirilmesi, veri ihlali bildirimi, çerez uygulamaları, biyometrik verilerin işlenmesi gibi başlıklarda. Bunlar bağlayıcılık bakımından kanun ve yönetmelikten farklı olsa da Kurul'un beklentisini gösterdiği için pratikte belirleyicidir.
Katman 4 — Kurul kararları (en çok atlanan katman)
Burası, mevzuatı okuyup "biz uyumluyuz" diyen şirketlerin sürpriz yaşadığı yerdir. Kurul iki tür karar üretir:
- İlke kararları: Genel nitelikli, herkesi ilgilendiren kararlar. Resmî Gazete'de yayımlanır.
- Somut olay kararları: Bir şikâyet üzerine verilen kararlar. Yayımlanan özetleri, benzer durumdaki şirketler için yol gösterir.
Güncel ve çarpıcı örnek: Kurul'un 2026/921 sayılı ilke kararı (2 Haziran 2026 Resmî Gazete), çalışanların mesai takibi amacıyla parmak izi/yüz tanıma gibi biyometrik verilerinin işlenmesini — açık rıza alınsa dahi — hukuka uygun kabul etmemektedir. Kanun metninde "parmak izi yasaktır" yazmaz; yükümlülük Kurul kararından doğar. Ayrıntı: KVKK parmak izi kararı.
Bu yüzden mevzuat takibi, kanunu bir kez okumakla bitmez.
Bu ilke kararı, dördüncü katmanın neden en çok iş çıkardığının canlı örneği: Kurum, kararın yayımından sonra gelen görüş talepleri üzerine 27 Ağustos 2026 tarihli bir kamuoyu duyurusu yayımlayarak avuç içi taramasının da biyometrik veri sayıldığını, verinin matematiksel koda çevrilerek saklanmasının bu niteliği değiştirmediğini ve yüksek güvenlikli tesisler için yalnızca dar bir istisna bulunduğunu netleştirdi. Yani tek bir konuda karar → Resmî Gazete → duyuru şeklinde üç ayrı metni birlikte okumanız gerekti.
Kurul kararlarını okumanın pratik yolu
Karar özetleri kamuya açık ama sayıları kabarık. Derlediğimiz arşivde 313 karar özeti var ve bunların 153'ünde idari para cezası bulunuyor. Hepsini okumak yerine kendi süreçlerinize göre filtreleyin:
| Sizde varsa | Bakılacak karar etiketi | Derlemedeki karar sayısı |
|---|---|---|
| Pazarlama SMS'i / e-postası | sms-pazarlama | 64 |
| Web sitesi + analitik/reklam çerezi | çerez | 8 |
| Güvenlik kamerası | kamera | 12 |
| Parmak izi / yüz tanıma / kart geçiş | biyometrik | 11 |
| Çalışan verisi, özlük, işten çıkış | çalışan | 125 |
| Online satış / üyelik | e-ticaret | 112 |
| Yurt dışı bulut, e-posta, reklam aracı | yurt-dışı-aktarım | 31 |
| Sağlık verisi | sağlık | 49 |
| VERBİS kaydı | verbis | 18 |
Etiket bazlı derlememiz ve karar künyeleri: Kurul kararları. Her satır kvkk.gov.tr'deki resmî karar özetine bağlanır; tam metin her zaman Kurum'un sitesinde kalır.
İlgili diğer mevzuat
KVKK tek başına çalışmaz; şu düzenlemelerle kesişir:
- Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve İYS — ticari elektronik ileti izinleri
- İş Kanunu ve İSG mevzuatı — çalışan verilerinin saklama süreleri
- TTK / VUK — ticari defter ve fatura kayıtlarında 10 yıllık saklama
- Sağlık mevzuatı — hasta kayıtlarının saklanması
- Türk Ceza Kanunu m.135-140 — verilerin hukuka aykırı kaydedilmesi/yayılması suçları
Bir veriyi silme kararı verirken KVKK "sil" derken TTK "10 yıl sakla" diyebilir; doğru yaklaşım, her süreç için hangi mevzuatın süre belirlediğini envanterinizde yazmaktır (envanter rehberi).
Mevzuatı nasıl takip etmeli?
| Ne | Nereden | Sıklık |
|---|---|---|
| İlke kararları | Resmî Gazete + Kurum duyuruları | Aylık kontrol |
| Karar özetleri | Kurum'un yayımladığı özetler | Üç aylık |
| Rehberler | Kurum yayınları | Yayımlandıkça |
| Kendi belgeleriniz | İç gözden geçirme | Yılda en az bir kez |
Pratik yöntem: yılda bir tarih belirleyin (ör. her ocak), envanteri ve belgeleri okuyun, değişen süreçleri güncelleyin. Ara dönemde bir ilke kararı çıkarsa yalnızca ilgili süreci elden geçirirsiniz.
Sık sorulan sorular
KVKK metinlerinin resmî kaynağı nedir?
Kanun ve yönetmelikler Resmî Gazete'de; rehberler, ilke kararları ve karar özetleri Kişisel Verileri Koruma Kurumu'nun resmî yayınlarında bulunur.
Kanunu okusam yeterli mi?
Hayır. Yükümlülüklerin önemli bir kısmı yönetmelik, tebliğ ve Kurul kararlarından doğar. Parmak izi örneği bunun en net göstergesidir.
Mevzuat sık değişiyor mu?
Kanun metni nadiren değişir; asıl hareket Kurul kararlarındadır. Bu yüzden yıllık gözden geçirme ve ilke kararı takibi şarttır.
Belgelerim eski mevzuata göre hazırlandı, ne yapmalıyım?
Envanteri güncelleyip belgeleri yeniden üretmek en hızlı yoldur; ardından bir hukukçuya gözden geçirtin.
Kaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu (tam metin)
- Kurul ilke kararları
- Kurul kararları
- 27.08.2026 kamuoyu duyurusu — 2026/921 sayılı İlke Kararı'na ilişkin görüş talepleri
- Resmî Gazete
Bu yazıdaki bilgiler yukarıdaki resmî kaynaklara dayandırılarak hazırlanmıştır. Mevzuat ve Kurul kararları değişebilir; güncel metinler için kaynakları esas alın.
Güncel kalın: KVKK Otomat şablonları mevzuat ve Kurul kararlarına göre güncellenir; süreçlerinizi işaretleyip belgelerinizi tek adımda yeniden üretebilirsiniz. Başlangıç: KVKK nedir · Uyum rehberi.
