Beş kişilik bir ajans da, elli kişilik bir klinik de aynı kanuna tabi: 6698 sayılı Kişisel Verilerin Korunması Kanunu. Fark şu ki, büyük şirketlerin hukuk departmanı var; KOBİ'nin genellikle sadece bir sorusu var: "Ben ne yapmak zorundayım?"
Bu rehber o soruyu cevaplıyor. Hukuk diliyle değil, yapılacaklar listesiyle.
Önemli: Bu içerik genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir. Şirketinize özel durumlar için bir hukukçuya danışmanız tavsiye edilir.
Kısa cevap: KVKK uyumu neyi gerektirir?
Uyum, tek bir belge imzalamak değil; beş parçalı bir bütündür:
- Envanter — hangi kişisel veriyi, hangi süreçte, neden, ne kadar süre tuttuğunuzu yazmak
- Aydınlatma — bu bilgiyi ilgili kişiye (müşteri, çalışan, aday) anlaşılır şekilde duyurmak
- Rıza — yalnızca rıza gerektiren işlemler için (ör. pazarlama e-postası) ayrı onay almak
- Güvenlik — teknik ve idari tedbirleri uygulamak
- Kayıt ve takip — yükümlüyseniz VERBİS'e kaydolmak, belgeleri güncel tutmak
Bunların hiçbiri tek başına "uyum" değildir; birlikte çalışırlar.
1. Kişisel veri envanteri: her şeyin temeli
Envanter olmadan yazılan aydınlatma metni tahminden ibarettir. Envanter şu soruları süreç süreç cevaplar:
| Soru | Örnek cevap |
|---|---|
| Hangi süreç? | Müşteri faturalama |
| Hangi veriler? | Ad, adres, vergi no, IBAN |
| Kimin verisi? | Müşteriler |
| Neden işliyoruz? | Sözleşmenin ifası, yasal yükümlülük |
| Hukuki sebep? | KVKK m.5/2 |
| Ne kadar saklıyoruz? | 10 yıl (TTK/VUK) |
| Kime aktarıyoruz? | Mali müşavir |
Detaylı anlatım: Kişisel veri envanteri nasıl hazırlanır.
2. Aydınlatma metni: göstermek zorunda olduğunuz belge
Kanun'un 10. maddesi, veri toplarken ilgili kişiyi bilgilendirmenizi şart koşar. Web sitenizdeki form, iş başvurusu, sözleşme, hatta kartvizit toplama — hepsinde aydınlatma yükümlülüğü vardır.
Metnin içermesi gerekenler: veri sorumlusunun kimliği, hangi verilerin işlendiği, işleme amaçları, aktarım yapılan taraflar, toplama yöntemi ve hukuki sebep, ilgili kişinin hakları.
Adım adım: Aydınlatma metni nasıl hazırlanır.
3. Açık rıza: sadece gerektiğinde
2026'da bu başlığın kuralları netleşti: aydınlatma ve açık rıza metinleri artık ayrı belgeler olarak, ayrı beyanlarla sunulmak zorunda. Belge setinizi kurarken bunu baştan doğru kurgulamak, sonradan tüm formları yeniden yazmaktan ucuzdur — 2026/347 sayılı İlke Kararı.
En yaygın hata, her şey için rıza istemektir. Oysa sözleşmenin ifası veya yasal yükümlülük varsa rıza gerekmez — istemek hatta zararlıdır, çünkü kişi rızasını geri çektiğinde işlemeyi durdurmanız beklenir.
Rıza gerçekten gereken tipik durum: ticari elektronik ileti (bülten, kampanya SMS'i). Ayrıntı: Açık rıza metni nasıl yazılır.
4. Teknik ve idari tedbirler
Belge üretmek yetmez; Kanun makul güvenlik tedbirlerini de arar. KOBİ ölçeğinde uygulanabilir liste:
- Erişim yetkilerini göreve göre sınırlandırın (herkes her dosyayı görmesin)
- Güçlü parola + iki adımlı doğrulama
- Yedekleme ve yedeklerin korunması
- Çalışanlara kısa bir KVKK farkındalık eğitimi
- Gizlilik taahhütnamesi imzalatın
- Dış hizmet aldığınız firmalarla (muhasebe, bulut, kargo) sözleşmelerde veri koruma hükmü bulunsun
- Log tutun: kim, ne zaman, hangi kayda erişti — ihlal incelemesinde ilk sorulan budur
- Çıkan personelin erişimini aynı gün kapatın (kararlarda en sık görülen açıklardan biri)
Bir veri ihlali incelemesinde Kurul'un fiilen sorduğu sorular şunlar: parolalar nasıl saklanıyordu, yönetici erişimlerinde çok faktörlü doğrulama var mıydı, log kayıtları tutuluyor muydu, yetkiler görev bazlı mıydı, güvenlik denetimi yapılmış mıydı, etkilenen kişiler ne kadar sürede bilgilendirildi. Bu altı sorunun cevabı cezanın hangi banttan hesaplanacağını belirliyor (veri ihlali süreci).
5. VERBİS: herkes için zorunlu değil
VERBİS (Veri Sorumluları Sicil Bilgi Sistemi) kaydı yükümlülük ölçütlerini karşılayanlar içindir; ölçütler çalışan sayısı, mali bilanço ve faaliyet konusuna göre değişir. Yükümlü müsünüz ve nasıl kaydolunur: VERBİS kaydı nasıl yapılır ve KVKK hangi şirketler için zorunlu.
Kararlar ne diyor? Uyum bütçesini nereye ayırmalı
Uyum listesi uzun; hangi kalemin gerçekten pahalı olduğunu bilmek işi kolaylaştırıyor. Yayımlanmış Kurul karar özetlerinden derlediğimiz 313 kararın 153'ünde idari para cezası var. Dağılım şöyle:
| Ceza bandı | Karar sayısı |
|---|---|
| 100.000 TL altı | 46 |
| 100.000 – 250.000 TL | 50 |
| 250.000 – 500.000 TL | 28 |
| 500.000 – 1.000.000 TL | 14 |
| 1.000.000 TL ve üzeri | 15 |
Medyan 130.000 TL, ortalama 308.449 TL (kararların kendi tarihindeki nominal tutarlar; bugünkü bantlar yeniden değerleme ile daha yüksek — bkz. 2026 ceza tablosu).
Kritik ayrım: milyon TL üzeri 15 cezanın neredeyse tamamı veri ihlali bildirimi kaynaklı. Yani belge eksikliği tipik olarak yüz binli banda düşerken, güvenlik açığı milyonlu banda çıkarıyor. Uyum bütçenizi yalnızca belgeye ayırmak, riskin pahalı yarısını açıkta bırakmak demek.
Pratik sonuç: aşağıdaki 4. adım (teknik ve idari tedbirler), listedeki en "sıkıcı" madde olabilir ama parasal olarak en ağır olanı.
Hangi belge, hangi sırayla?
Belgeler birbirini besler; sırayı bozmak işi ikiye katlar:
| Sıra | Belge | Neyi girdi alır | Nereye çıkar |
|---|---|---|---|
| 1 | Kişisel veri envanteri | Süreçler, sistemler, kişi grupları | Diğer her belgenin kaynağı |
| 2 | Aydınlatma metni | Envanterin amaç + hukuki sebep + aktarım sütunları | Web formu, İK evrakı, kamera levhası, çağrı merkezi |
| 3 | Açık rıza metinleri | Envanterde hukuki sebebi "açık rıza" olan satırlar | Pazarlama izni, isteğe bağlı hizmetler |
| 4 | Saklama ve imha politikası | Envanterin saklama süresi sütunu | Periyodik imha takvimi, imha tutanakları |
| 5 | VERBİS beyanı (yükümlüyse) | Envanterin tamamı | Kamuya açık sicil kaydı |
| 6 | Veri ihlali müdahale planı | Envanter + sistem envanteri | 72 saatlik bildirim hazırlığı |
Envanteri atlayıp doğrudan 2. sıradan başlamak, en sık yapılan ve en pahalıya patlayan kısayoldur: metin gerçek süreçlerinizle örtüşmez ve bir denetimde aykırılığı belgelemiş olursunuz.
Uyumsuzluğun bedeli
İdari para cezaları, aydınlatma yükümlülüğünü yerine getirmemekten veri güvenliği ihlallerine kadar geniş bir yelpazede uygulanır ve her yıl yeniden değerleme oranıyla artar. Güncel tablo: KVKK cezaları ne kadar.
Ama asıl maliyet ceza değil: bir veri sızıntısında müşteri güveninin kaybı, ihale dışı kalma ve kurumsal müşterilerin sizden uyum belgesi istemesi.
KOBİ'lerin yaptığı 5 klasik hata
- İnternetten şablon indirip yapıştırmak. Şirketin gerçek süreçleriyle örtüşmeyen metin, yokluğundan daha kötüdür — beyan ettiğinizi yapmadığınız görülür.
- Her şeye rıza kutusu koymak. Gereksiz rıza, hukuki dayanağınızı zayıflatır.
- Çalışan verilerini unutmak. Özlük dosyaları, kamera kayıtları, giriş-çıkış sistemleri de kişisel veridir.
- Bir kere yapıp bırakmak. Yeni bir CRM aldınız, yeni bir form eklediniz: envanter değişti demektir.
- Silmeyi hiç düşünmemek. Saklama süresi dolan veriyi tutmak başlı başına aykırılıktır.
30 günlük uyum planı
| Hafta | Yapılacak |
|---|---|
| 1 | Süreçleri listeleyin: hangi formlar, hangi sistemler, hangi dosyalar? |
| 2 | Envanteri doldurun; saklama sürelerini belirleyin |
| 3 | Aydınlatma metni + açık rıza metni + saklama-imha politikasını hazırlayın, yayına alın |
| 4 | Tedbirleri uygulayın, ekibi bilgilendirin, VERBİS yükümlülüğünüzü kontrol edip kaydı yapın |
Sık sorulan sorular
KVKK küçük şirketler için de zorunlu mu?
Kanun, çalışan sayısına bakmaksızın kişisel veri işleyen herkesi kapsar. VERBİS kayıt yükümlülüğü ise belirli ölçütlere bağlıdır; kayıt yükümlüsü olmamak, diğer yükümlülüklerden muaf olmak anlamına gelmez.
Sadece aydınlatma metni koymak yeterli mi?
Hayır. Aydınlatma metni, arkasında envanter ve gerçek süreçler olduğunda anlamlıdır. Tek başına bir metin, uyumu sağlamaz.
Uyum ne kadar sürer?
Süreçleri sade bir KOBİ'de 2-4 hafta yeterlidir. Asıl iş belgeleri yazmak değil, süreçleri doğru çıkarmaktır.
Danışmanlık şart mı?
Karmaşık veri işleme faaliyeti (sağlık verisi, büyük ölçekli profilleme, yurt dışı aktarım) varsa hukuki destek almanız güçlü şekilde tavsiye edilir. Standart bir KOBİ süreci için belgeleri hazırlayıp bir hukukçuya gözden geçirtmek çoğu durumda yeterlidir.
Kaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu (tam metin)
- Kişisel Verileri Koruma Kurumu
- Kurul ilke kararları
Bu yazıdaki bilgiler yukarıdaki resmî kaynaklara dayandırılarak hazırlanmıştır. Mevzuat ve Kurul kararları değişebilir; güncel metinler için kaynakları esas alın.
Devamı: KVKK nedir · KVKK mevzuatı haritası · KVKK ihlali ve bildirim · Parmak izi kararı
Pratik yol: KVKK Otomat şirket bilgilerinizi alıp envanterinizi, aydınlatma metninizi, açık rıza metninizi, saklama-imha politikanızı ve VERBİS hazırlık listenizi tek oturumda üretir. Belgeler taslaktır; yayına almadan önce bir hukukçuya gözden geçirtmeniz tavsiye edilir. Kendiniz uğraşmak istemiyorsanız uyum dosyanızı biz hazırlayalım — 4.900 TL'den başlar, teslim 5 iş günü.
