KVKK Mevzuatı: Neye Bakmanız Gerekiyor?
"KVKK mevzuatı" dendiğinde çoğu kişi tek bir kanunu düşünür. Gerçekte uyum yükümlülükleriniz dört katmandan doğar ve pratikte en çok iş çıkaran katman, çoğu zaman en az bilinen olanıdır.
Not: Genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir. Metinlerin güncel hâli için Kişisel Verileri Koruma Kurumu'nun resmî yayınlarını esas alın.
Katman 1 — Kanun
6698 sayılı Kişisel Verilerin Korunması Kanunu (7 Nisan 2016). Çerçeveyi kurar:
| Madde | Konu | Pratik karşılığı |
|---|---|---|
| m.3 | Tanımlar | Kişisel veri, veri sorumlusu, işleme |
| m.4 | Genel ilkeler | Hukuka uygunluk, ölçülülük, süreyle sınırlılık |
| m.5 | İşleme şartları | Hangi hâllerde rıza gerekmez |
| m.6 | Özel nitelikli veri | Sağlık, biyometri, din vb. için sıkı koşullar |
| m.7 | Silme, yok etme, anonimleştirme | İmha yükümlülüğü |
| m.8-9 | Aktarım | Yurt içi ve yurt dışına aktarım |
| m.10 | Aydınlatma yükümlülüğü | Metninizin zorunlu unsurları |
| m.11-14 | İlgili kişinin hakları ve başvuru | 30 gün kuralı |
| m.12 | Veri güvenliği | Teknik ve idari tedbirler |
| m.16 | VERBİS | Sicile kayıt yükümlülüğü |
| m.18 | İdari para cezaları | Yaptırım kalemleri |
Anayasa'nın 20. maddesi de kişisel verilerin korunmasını temel hak olarak güvence altına alır; Kanun bu hakkın uygulamasıdır.
Katman 2 — Yönetmelikler
Kanunu uygulanabilir kılan ikincil düzenlemeler. İşletmeleri en çok ilgilendirenler:
- Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Hakkında Yönetmelik — saklama ve imha politikanızın dayanağı; periyodik imha dönemleri buradan gelir
- Veri Sorumluları Sicili Hakkında Yönetmelik — VERBİS kaydının usul ve esasları
- Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ — ilgili kişi başvurularının nasıl yapılacağı ve yanıtlanacağı
Katman 3 — Tebliğler ve rehberler
Kurum, uygulamayı yönlendiren rehberler yayımlar: aydınlatma yükümlülüğünün yerine getirilmesi, veri ihlali bildirimi, çerez uygulamaları, biyometrik verilerin işlenmesi gibi başlıklarda. Bunlar bağlayıcılık bakımından kanun ve yönetmelikten farklı olsa da Kurul'un beklentisini gösterdiği için pratikte belirleyicidir.
Katman 4 — Kurul kararları (en çok atlanan katman)
Burası, mevzuatı okuyup "biz uyumluyuz" diyen şirketlerin sürpriz yaşadığı yerdir. Kurul iki tür karar üretir:
- İlke kararları: Genel nitelikli, herkesi ilgilendiren kararlar. Resmî Gazete'de yayımlanır.
- Somut olay kararları: Bir şikâyet üzerine verilen kararlar. Yayımlanan özetleri, benzer durumdaki şirketler için yol gösterir.
Güncel ve çarpıcı örnek: Kurul'un 2026/921 sayılı ilke kararı (2 Haziran 2026 Resmî Gazete), çalışanların mesai takibi amacıyla parmak izi/yüz tanıma gibi biyometrik verilerinin işlenmesini — açık rıza alınsa dahi — hukuka uygun kabul etmemektedir. Kanun metninde "parmak izi yasaktır" yazmaz; yükümlülük Kurul kararından doğar. Ayrıntı: KVKK parmak izi kararı.
Bu yüzden mevzuat takibi, kanunu bir kez okumakla bitmez.
İlgili diğer mevzuat
KVKK tek başına çalışmaz; şu düzenlemelerle kesişir:
- Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve İYS — ticari elektronik ileti izinleri
- İş Kanunu ve İSG mevzuatı — çalışan verilerinin saklama süreleri
- TTK / VUK — ticari defter ve fatura kayıtlarında 10 yıllık saklama
- Sağlık mevzuatı — hasta kayıtlarının saklanması
- Türk Ceza Kanunu m.135-140 — verilerin hukuka aykırı kaydedilmesi/yayılması suçları
Bir veriyi silme kararı verirken KVKK "sil" derken TTK "10 yıl sakla" diyebilir; doğru yaklaşım, her süreç için hangi mevzuatın süre belirlediğini envanterinizde yazmaktır (envanter rehberi).
Mevzuatı nasıl takip etmeli?
| Ne | Nereden | Sıklık |
|---|---|---|
| İlke kararları | Resmî Gazete + Kurum duyuruları | Aylık kontrol |
| Karar özetleri | Kurum'un yayımladığı özetler | Üç aylık |
| Rehberler | Kurum yayınları | Yayımlandıkça |
| Kendi belgeleriniz | İç gözden geçirme | Yılda en az bir kez |
Pratik yöntem: yılda bir tarih belirleyin (ör. her ocak), envanteri ve belgeleri okuyun, değişen süreçleri güncelleyin. Ara dönemde bir ilke kararı çıkarsa yalnızca ilgili süreci elden geçirirsiniz.
Sık sorulan sorular
KVKK metinlerinin resmî kaynağı nedir?
Kanun ve yönetmelikler Resmî Gazete'de; rehberler, ilke kararları ve karar özetleri Kişisel Verileri Koruma Kurumu'nun resmî yayınlarında bulunur.
Kanunu okusam yeterli mi?
Hayır. Yükümlülüklerin önemli bir kısmı yönetmelik, tebliğ ve Kurul kararlarından doğar. Parmak izi örneği bunun en net göstergesidir.
Mevzuat sık değişiyor mu?
Kanun metni nadiren değişir; asıl hareket Kurul kararlarındadır. Bu yüzden yıllık gözden geçirme ve ilke kararı takibi şarttır.
Belgelerim eski mevzuata göre hazırlandı, ne yapmalıyım?
Envanteri güncelleyip belgeleri yeniden üretmek en hızlı yoldur; ardından bir hukukçuya gözden geçirtin.
Güncel kalın: KVKK Otomat şablonları mevzuat ve Kurul kararlarına göre güncellenir; süreçlerinizi işaretleyip belgelerinizi tek adımda yeniden üretebilirsiniz. Başlangıç: KVKK nedir · Uyum rehberi.
