KVKK, "Kişisel Verilerin Korunması Kanunu"nun kısaltmasıdır. Resmî adı 6698 sayılı Kişisel Verilerin Korunması Kanunu'dur ve 7 Nisan 2016 tarihinde Resmî Gazete'de yayımlanarak yürürlüğe girmiştir.
Aynı kısaltma günlük dilde iki şeyi birden anlatır: hem kanunun kendisini, hem de kanunu uygulayan kurumu — Kişisel Verileri Koruma Kurumu'nu (KVKK) ve onun karar organı olan Kişisel Verileri Koruma Kurulu'nu.
Not: Bu içerik genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir.
Tek cümlelik cevap
KVKK, bir kişiyi belirli veya belirlenebilir kılan her türlü bilginin kim tarafından, neden, ne kadar süreyle ve hangi güvenlik önlemleriyle işlenebileceğini düzenleyen kanundur.
Kişisel veri nedir?
Kanun'un tanımı geniştir: kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi. Örnekler:
| Kişisel veri | Kişisel veri değil |
|---|---|
| Ad, soyad, TCKN | Şirketin vergi numarası |
| Telefon, e-posta, adres | Genel muhasebe rakamları |
| IP adresi, çerez kimliği | Anonim hâle getirilmiş istatistik |
| Plaka, araç bilgisi | Tüzel kişiye ait bilgiler |
| Ses ve görüntü kaydı | Tamamen kişisel/aile içi kayıtlar |
Dikkat edilmesi gereken nokta: tek başına kimlik göstermeyen bir veri, başka veriyle birleşince kişiyi belirlenebilir kılıyorsa o da kişisel veridir.
Özel nitelikli (hassas) kişisel veri
Kanun'un 6. maddesi bazı verileri ayrı bir korumaya alır: sağlık, cinsel hayat, ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep, kılık kıyafet, dernek/vakıf/sendika üyeliği, ceza mahkûmiyeti ve güvenlik tedbirleri ile biyometrik ve genetik veriler.
Bunların işlenmesi çok daha sıkı koşullara bağlıdır. Örneğin Kurul, çalışanların mesai takibi için parmak izi/yüz tanıma kullanılmasını ele alan bir ilke kararı yayımlamıştır — ayrıntı: KVKK parmak izi kararı.
Temel kavramlar
- İlgili kişi: verisi işlenen gerçek kişi (müşteriniz, çalışanınız, ziyaretçiniz)
- Veri sorumlusu: verinin neden ve nasıl işleneceğine karar veren taraf — genellikle şirketin kendisi
- Veri işleyen: veri sorumlusu adına veri işleyen taraf (bulut sağlayıcınız, muhasebeciniz)
- İşleme: toplama, kaydetme, saklama, değiştirme, aktarma, silme… veriyle yapılan her şey
Sorumluluk veri sorumlusundadır; bulut sağlayıcısına iş vermiş olmanız sizi sorumluluktan kurtarmaz.
KVKK kimleri bağlar?
Kişisel veri işleyen herkesi: 3 kişilik ajans da, holding de. Müşteri listesi, çalışan özlük dosyası, ziyaretçi defteri veya kamera sistemi olan her işletme kapsamdadır.
Kapsam dışı kalan dar alan, kişinin tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetleridir (kişisel telefon rehberiniz gibi). Ticari faaliyet bunun dışındadır.
Kayıt yükümlülüğü (VERBİS) ise ayrı bir konudur ve ölçütlere bağlıdır: hangi şirketler için zorunlu.
Veri işlemenin hukuki sebepleri (m.5)
Kişisel veri, aşağıdaki hâllerden biri varsa rıza olmadan işlenebilir:
- Kanunlarda açıkça öngörülmesi
- Sözleşmenin kurulması veya ifası için gerekli olması
- Veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi
- İlgili kişinin kendisi tarafından alenileştirilmiş olması
- Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması
- Meşru menfaat (temel hak ve özgürlüklere zarar vermemek kaydıyla)
- Fiili imkânsızlık hâlinde hayatın veya beden bütünlüğünün korunması
Bunların hiçbiri yoksa açık rıza gerekir. Yaygın hata, her şey için rıza istemektir — açık rıza rehberi.
Şirket olarak ne yapmam gerekiyor?
Aşağıdaki liste sırayı özetliyor; adım adım uygulanabilir hâli beş aşamalı KVKK uyum rehberinde.
Sıra şudur:
- Envanter — hangi süreçte hangi veriyi neden işlediğinizi yazın (nasıl)
- Aydınlatma metni — veri topladığınız her kanalda gösterin (nasıl)
- Açık rıza — yalnızca gereken yerlerde, ayrı bir metinle
- Güvenlik tedbirleri — erişim yetkileri, parola politikası, yedekleme, eğitim
- Saklama ve imha — süreleri belirleyin, süresi dolanı imha edin
- VERBİS — yükümlüyseniz kaydolun (nasıl)
Tam yol haritası: KVKK Uyum Rehberi.
İlgili kişinin hakları (m.11)
Herkes kendi verisi hakkında şunları isteyebilir: işlenip işlenmediğini öğrenme, bilgi talep etme, amacına uygun kullanılıp kullanılmadığını öğrenme, aktarıldığı üçüncü kişileri bilme, düzeltme, silme, yapılan işlemlerin üçüncü kişilere bildirilmesini isteme, otomatik analiz sonucu aleyhine doğan sonuca itiraz etme ve zararın giderilmesini talep etme.
Başvurular veri sorumlusuna yapılır ve en geç 30 gün içinde yanıtlanmalıdır.
Kanun pratikte neye benziyor? Kararlardan bir kesit
Kanun metnini okumak soyut kalıyorsa, Kurul'un fiilen neye ceza verdiğine bakmak en hızlı yol. Yayımlanmış karar özetlerinden derlediğimiz 313 kararda en sık tartışılan konular şunlar:
| Konu | Kaç kararda geçiyor |
|---|---|
| İlgili kişinin başvuru hakkı | 150 |
| Açık rıza | 135 |
| Çalışan verisi | 125 |
| E-ticaret / online hizmet | 112 |
| Veri ihlali bildirimi | 75 |
| Pazarlama SMS'i / araması | 64 |
| Aydınlatma yükümlülüğü | 51 |
| Yurt dışına aktarım | 31 |
Bu tablo, KVKK'nın gerçekte hangi noktalarda hayata değdiğini gösteriyor: kanun maddelerinden çok, günlük iş pratikleri — bir SMS, bir kutucuk, işten ayrılan bir çalışanın hesabı, bir sızıntı. Karar künyeleri ve etiket bazlı derlememiz: Kurul kararları.
Sık karıştırılan beş kavram
| Karıştırılan | Doğrusu |
|---|---|
| Aydınlatma ≠ açık rıza | Aydınlatma her hâlde zorunlu bilgilendirmedir; açık rıza yalnızca rızaya dayanan işlemelerde alınır ve geri alınabilir |
| Veri sorumlusu ≠ veri işleyen | Amaç ve araçları belirleyen "sorumlu"dur; onun adına işleyen (bulut, muhasebe yazılımı) "işleyen"dir. Sorumluluk sorumludadır |
| VERBİS kaydı ≠ uyum | Kayıt bir beyandır; uyum, beyan ettiğinizi fiilen uygulamaktır |
| Anonimleştirme ≠ maskeleme | Geri döndürülebiliyorsa anonim değildir, hâlâ kişisel veridir |
| Silme ≠ yok etme | Silme erişimi kaldırır, yok etme veriyi geri getirilemez hâle getirir; ikisi ayrı yöntemlerdir |
Kimin hangi belgeye ihtiyacı var?
| Durumunuz | Asgari ihtiyaç |
|---|---|
| Sadece web sitesi + iletişim formu | Aydınlatma metni, çerez bilgilendirmesi, saklama süresi kararı |
| Çalışanı olan işletme | + Çalışan aydınlatma metni, özlük saklama süreleri, gizlilik taahhütnamesi |
| Online satış yapan | + Sipariş/ödeme/kargo aktarım beyanı, çerez rıza yönetimi |
| Kamera kullanan | + Kamera levhası + ayrıntılı metin, kayıt saklama süresi |
| Pazarlama iletisi gönderen | + Ayrı açık rıza metni ve onay kaydı, İYS kaydı |
| Özel nitelikli veri işleyen (klinik, laboratuvar) | + Ek güvenlik tedbirleri, VERBİS yükümlülüğü değerlendirmesi |
Hepsinin altında aynı temel yatıyor: kişisel veri envanteri (nasıl hazırlanır).
2026'da ne değişti? İki güncelleme
Kanun 2016'dan beri yürürlükte ama uygulaması duruyor değil. İnternetteki "KVKK nedir" yazılarının çoğu 2019-2021 arasında yazılmış ve iki önemli değişikliği hiç anmıyor. İkisi de doğrudan sizin belgelerinizi ilgilendiriyor.
1. Aydınlatma metni ile açık rıza metni artık AYRI belge olmak zorunda
Kurul'un 18.02.2026 tarihli, 2026/347 sayılı İlke Kararı (Resmî Gazete 24.03.2026), Türkiye'de neredeyse standart hâle gelmiş bir uygulamayı açıkça hatalı buldu: iki metnin tek bir blok hâlinde, tek kutucukla sunulması.
Karara göre yasak olanlar:
- Açık rıza metni ile aydınlatma metninin iç içe geçmiş tek metin olarak sunulması
- Aydınlatma metni için onay/kabul istenmesi — o meşhur "okudum ve kabul ediyorum" ifadesi
- Başka bir veri sorumlusunun metninin birebir kopyalanması
- Muğlak, eksik, yanıltıcı ifadeler; "açık, sade ve anlaşılır dil" kullanılmaması
- Aşırı uzun ve karmaşık metinler
Karara göre yapılması gerekenler:
| # | Gereklilik |
|---|---|
| 1 | Aydınlatma, işlemeye başlamadan önce yapılır — rıza alınsa da alınmasa da |
| 2 | Rızaya dayanan işlemede iki metin ayrı başlıklar altında ayrı ayrı düzenlenir |
| 3 | Aynı sayfada gösterilecekse alt alta ve iki ayrı beyan ile alınır |
| 4 | Hukuki sebep rıza değilse rıza metni hiç sunulmaz |
| 5 | İlgili kişiden yalnızca "okudum ve anladım" teyidi alınır — "kabul ediyorum" değil |
Dördüncü madde en çok atlanan. Bordro, SGK bildirimi ve fatura kanuni yükümlülüğe dayanır; oraya rıza kutusu koymak fazladan güvenlik değildir — reddedemeyen kişi özgür iradeyle rıza vermiş sayılmayacağı için, dayandığınız asıl rızayı da zayıflatır. Ayrıntı: 2026/347 İlke Kararı'nın tam anlatımı.
2. Yurt dışına aktarımda açık rıza artık rutin bir dayanak değil
7499 sayılı Kanun Mart 2024'te Kanun'un 9. maddesini değiştirdi; uygulama yönetmeliği 10 Temmuz 2024'te yayımlandı. 1 Eylül 2024'ten itibaren yurt dışına aktarımda açık rıza yalnızca dar "arızi haller" istisnası içinde kaldı. Yerine üç katmanlı bir yapı geldi: yeterlilik kararı, uygun güvenceler (standart sözleşme, bağlayıcı şirket kuralları, taahhütname) veya arızi haller.
Pratikte belirleyici olan şu: henüz hiçbir ülke için yeterlilik kararı verilmedi. Yani yabancı bir bulut, e-posta veya muhasebe hizmeti kullanan hemen her şirket için yol standart sözleşmeden geçiyor — ve imzadan sonra beş iş günü içinde Kuruma bildirilmesi gerekiyor. Ayrıntı: yurt dışına veri aktarımı.
Uymamanın sonucu
İdari para cezaları Kanun'un 18. maddesinde düzenlenir ve her yıl yeniden değerleme oranıyla artar. 2026 için geçerli bantlar (yeniden değerleme oranı %25,49):
| İhlal (m. 18) | Alt sınır | Üst sınır |
|---|---|---|
| Aydınlatma yükümlülüğünü yerine getirmemek | 85.437 TL | 1.709.200 TL |
| Veri güvenliğine ilişkin yükümlülükleri yerine getirmemek | 256.357 TL | 17.092.242 TL |
| Kurul kararlarını yerine getirmemek | 427.263 TL | 17.092.242 TL |
| VERBİS kayıt ve bildirim yükümlülüğüne aykırılık | 341.809 TL | 17.092.242 TL |
Yurt dışına aktarımda kullanılan standart sözleşmenin bildirilmemesi ayrı bir banda tabi: 90.308 – 1.806.377 TL.
Bu rakamların yıl belirtilmeden verildiği her kaynak eskimiştir; tutarlar Vergi Usul Kanunu genel tebliğiyle ilan edilen yeniden değerleme oranına göre her Ocak'ta değişir. Ayrıntı: KVKK cezaları ne kadar · KVKK ihlali nedir.
Ölçek uyarısı: Cezanın büyüklüğüne bakıp "bize gelmez" demek yaygın ama yanlış bir refleks. Kurul'un yayımlanmış kararlarında tek bir pazarlama SMS'i, tek bir cevaplanmayan başvuru veya işten ayrılan bir çalışanın kapatılmayan hesabı da işlem konusu olmuştur. Cezanın kapısını açan şey çoğu zaman büyüklük değil, bir ilgili kişinin şikâyetidir.
Sık sorulan sorular
KVKK'nın açılımı nedir?
Kişisel Verilerin Korunması Kanunu. Kısaltma hem kanunu hem de Kişisel Verileri Koruma Kurumu'nu ifade edecek şekilde kullanılır.
KVKK hangi kanun numarasıyla yürürlükte?
6698 sayılı Kanun. 7 Nisan 2016'da Resmî Gazete'de yayımlanmıştır.
KVKK ile GDPR aynı şey mi?
Hayır. Yapıları benzer, ayrıntıları farklıdır — özellikle açık rıza uygulaması, yurt dışına aktarım ve VERBİS sicili. Karşılaştırma: KVKK vs GDPR.
Küçük işletmeler muaf mı?
Hayır. Kanun ölçek ayrımı yapmaz; yalnızca VERBİS kayıt yükümlülüğü ölçütlere bağlıdır.
Kişisel veriyi silmek zorunda mıyım?
İşleme amacı ortadan kalktığında veya mevzuattaki saklama süresi dolduğunda evet — silme, yok etme veya anonim hâle getirme gerekir.
KVKK ne zaman yürürlüğe girdi?
6698 sayılı Kanun 7 Nisan 2016 tarihli ve 29677 sayılı Resmî Gazete'de yayımlanarak yürürlüğe girdi. Bazı maddeleri için altı aylık, veri sorumlularının mevcut verileri uyumlu hâle getirmesi için iki yıllık geçiş süreleri öngörülmüştü; bu süreler çoktan doldu.
"KVKK belgesi" diye bir belge var mı?
Hayır, tek bir "KVKK belgesi" yok ve size böyle bir sertifika veren kimse resmî bir şey vermiyor demektir. Uygulamada bu ifadeyle kastedilen bir belge setidir: kişisel veri işleme envanteri, aydınlatma metni, gerekiyorsa ayrı açık rıza metni, saklama ve imha politikası, ve VERBİS kaydı. Kurum kimseye "uyumludur" belgesi düzenlemez.
"KVKK sözleşmesi" nedir?
Bu da yasal bir terim değil. Genelde iki ayrı şey için kullanılıyor: (1) veri sorumlusu ile veri işleyen arasındaki veri işleyen sözleşmesi — bulut, muhasebe yazılımı, ajans gibi tedarikçilerle imzalanır; (2) yurt dışına aktarım için Kurumun yayımladığı standart sözleşme. İkincisi değiştirilmeden kullanılmalı ve imzadan sonra beş iş günü içinde Kuruma bildirilmelidir.
VERBİS'e kaydolmak zorunda mıyım?
Ölçütler alternatiftir, kümülatif değil: yıllık çalışan sayısı 50'den çok veya yıllık mali bilanço toplamı 100 milyon TL'den fazla olanlar kayıt yükümlüsüdür. Ayrıca ana faaliyeti özel nitelikli kişisel veri işlemek olan veri sorumlularında kayıt, bu eşiklerden bağımsız aranır — sağlık kuruluşları, OSGB'ler, psikoteknik merkezleri gibi. Yaygın olarak dolaşan "25 milyon TL" rakamı eskidir. Ayrıntı: VERBİS kaydı nasıl yapılır.
KVKK'ya uymamak için ceza gelmesini beklemek mantıklı mı?
Hayır, çünkü süreç genelde cezayla değil bilgi ve belge talebiyle başlar: bir ilgili kişi başvurur, cevap alamaz, Kurula şikâyet eder. O aşamada istenen ilk belge aydınlatma metnidir. Belgeleriniz hazırsa süreç orada biter; hazır değilse ceza değil, ondan önce zaman ve itibar kaybı gelir.
Kaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu (tam metin)
- Kişisel Verileri Koruma Kurumu
- 2026/347 sayılı İlke Kararı — aydınlatma ve açık rıza metinlerinin ayrı düzenlenmesi hakkında kamuoyu duyurusu
- Veri Sorumluları Sicili Hakkında Yönetmelik
- 585 Sıra No'lu Vergi Usul Kanunu Genel Tebliği — 2026 yeniden değerleme oranı (RG 27.11.2025/33090)
Bu yazıdaki bilgiler yukarıdaki resmî kaynaklara dayandırılarak hazırlanmıştır. Mevzuat ve Kurul kararları değişebilir; güncel metinler için kaynakları esas alın.
Belgelerinizi 10 dakikada hazırlayın: KVKK Otomat sihirbazı sektörünüzü seçip süreçlerinizi işaretlemenizle aydınlatma metni, açık rıza, envanter, saklama politikası ve VERBİS listesini üretir. Belgeler taslaktır; hukukçu gözden geçirmesi tavsiye edilir.
