Türkiye'de Kişisel Verilerin Korunması (KVKK)

Türkiye’de kişisel verilerin korunması, 2016 yılında yürürlüğe giren 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ile düzenlenir. Kanun, Avrupa standartlarını yakından örnek almış olup, Mart 2024 değişiklikleri ile Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) ile uyuma daha da yaklaşmıştır. Türkiye’de faaliyet gösteren ya da Türk pazarına girmeyi planlayan her şirket için KVKK uyumu artık sonradan ele alınacak bir ayrıntı değil, temel bir gerekliliktir; işe alımınızı, satışınızı, pazarlamanızı ve bilişim sistemlerinizi ilk günden itibaren biçimlendirir.

Genel çerçeveye kuş bakışı

KVKK, Kişisel Verileri Koruma Kurumu’nun karar organı olan Kişisel Verileri Koruma Kurulu tarafından uygulanır. Kurul; bağlayıcı kararlar alır, şikâyetleri inceler, rehber ilkeler yayımlar ve idari para cezaları uygular. Kurul’un yayımladığı kararlar uygulamada büyük önem taşır: salt özel bir uyuşmazlıktan farklı olarak, şirketiniz aleyhine verilmiş bir Kurul kararı çoğu kez kamuya açıklanır; dolayısıyla bir uyum ihlali, mali sonucunun yanında itibari bir olaya da dönüşebilir.

Kanun, tanıdık bir tanımlar bütününe dayanır:

• Veri sorumlusu — kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen gerçek veya tüzel kişi. Bu tanım, işlemesi Türkiye’deki kişileri etkileyen yurt dışı yerleşik kuruluşları da kapsar.
• Veri işleyen — veri sorumlusunun verdiği yetkiye dayanarak onun adına verileri işleyen kişi.
• İşleme — verilerin elde edilmesi, kaydedilmesi, depolanması, değiştirilmesi, açıklanması, aktarılması ve silinmesi dâhil, kişisel veriler üzerinde gerçekleştirilen hemen hemen her işlem.

Pratikte kimi bağlar

Türk tüketicilere satış yapıyor, Türkiye’de personel çalıştırıyor ya da ülkedeki kullanıcılardan veri toplayan bir internet sitesi veya uygulama işletiyorsanız — sunucularınız ve merkeziniz yurt dışında olsa bile — neredeyse kesinlikle KVKK anlamında veri sorumlususunuz. Uygulamada ilk uyum sorusu nadiren “Kanun bize uygulanır mı?” olur; asıl mesele “Boşluklarımız nerede ve riskimiz ne kadar?” sorusudur.

İşlemenin hukuka uygunluk sebepleri

Kural olarak kişisel veriler, yalnızca veri sahibinin açık rızası ile işlenebilir. Açık rıza; özgür iradeyle verilmiş, belirli bir konuya ilişkin ve bilgilendirmeye dayalı olmalıdır — önceden işaretlenmiş bir kutucuk veya kullanım koşullarının içine gömülmüş “her şeyi kabul ediyorum” türü bir hüküm, Kurul önünde ayakta kalmaz.

KVKK ardından, rıza aranmaksızın işlemenin hukuka uygun sayıldığı belirli istisnaları düzenler; örneğin işleme:

• kanunlarda açıkça öngörülmüşse;
• bir sözleşmenin kurulması veya ifası için gerekliyse;
• veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için zorunluysa;
• rızasını açıklayamayacak durumdaki bir kişinin yaşamı veya beden bütünlüğünün korunması için zorunluysa; ya da
• ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaati için gerekliyse.

Özel nitelikli kişisel veriler — sağlık, biyometrik ve genetik veriler, din ve felsefi inanç, etnik köken ve ceza mahkûmiyeti verileri dâhil — daha sıkı koşullara tabidir ve çoğu kategori için açık rıza veya kanunda öngörülen özel bir dayanak gerektirir. En sık şikâyet ve ceza doğuran kategoriler de bunlardır; bu nedenle (örneğin özlük dosyalarında veya sağlık hizmetlerinde) bu verilerin işlenmesi özel bir dikkat ister.

Sık yapılan ve pahalıya patlayan bir hata, açık rızayı her derde deva bir çözüm gibi kullanmaktır. Bir sözleşmenin içine gömülü, hizmetin ön koşulu hâline getirilmiş veya geri alınması imkânsız kılınmış rıza, geçerli bir rıza değildir — ve buna dayanmak, tüm işleme faaliyetinizi hukuka aykırı hâle getirebilir.

Veri sahibinin hakları

KVKK, kişilere güçlü bir haklar bütünü tanır. Veri sahibi:

• kişisel verilerinin işlenip işlenmediğini öğrenme ve buna ilişkin bilgi talep etme;
• işlenme amacını ve verilerin bu amaca uygun kullanılıp kullanılmadığını öğrenme;
• verilerin yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme;
• eksik veya yanlış işlenmiş verilerin düzeltilmesini ve işlenme sebepleri ortadan kalkmışsa silinmesini veya yok edilmesini isteme;
• verilerin yalnızca otomatik sistemlerle analiz edilmesi sonucu aleyhine çıkan sonuca itiraz etme; ve
• hukuka aykırı işleme sebebiyle uğradığı zararın tazminini talep etme haklarına sahiptir.

Veri sorumluları bu taleplere kanuni süre içinde cevap vermek zorundadır; sonuçsuz kalan başvurular Kurul’a taşınabilir. Uygulamada bu, ilk talep gelmeden önce işleyen bir başvuru mekanizması kurmanız gerektiği anlamına gelir: izlenen bir iletişim kanalı, hazır bir cevap şablonu ve bu süreçten sorumlu bir iç birim — talep geldikten sonra değil, öncesinde.

VERBİS kaydı

Veri sorumlularının büyük çoğunluğu, işleme faaliyetine başlamadan önce Veri Sorumluları Sicili VERBİS’e kaydolmak zorundadır. Kayıt; hangi verileri, hangi amaçlarla işlediğinizi, kimlerle paylaştığınızı ve hangi güvenlik tedbirlerini aldığınızı üst düzeyde tanımlar. Kurul, yıllık ciro ve çalışan sayısına göre daha küçük ölçekli veri sorumlularına sınırlı bir muafiyet tanır; ancak bu eşik dardır ve varsayılmak yerine somut olarak doğrulanmalıdır.

Türkiye’de yerleşik olmayan yabancı veri sorumluları için ek bir adım vardır: bunlar genellikle ülkede bir veri sorumlusu temsilcisi atamak ve kaydı bu temsilci aracılığıyla yaptırmak zorundadır. VERBİS’i atlamak, en sık cezalandırılan ihlallerden biridir; çünkü tespiti Kurul için kolaydır — bir veri sorumlusu ya sicilde görünür ya görünmez.

2024 reformu sonrası yurt dışına veri aktarımı

Kişisel verilerin yurt dışına aktarımı, geçmişte KVKK’nın en kısıtlayıcı bölümüydü ve yıllarca, ortak İK, CRM veya bulut sistemleri işleten çok uluslu gruplar için en büyük baş ağrısıydı. Mart 2024 değişiklikleri bu rejimi baştan düzenledi. Kişisel veriler artık aşağıdaki yollarla yurt dışına aktarılabilir:

• aktarım yapılacak ülke için Kurul tarafından verilmiş bir yeterlilik kararı;
• standart sözleşme, bağlayıcı şirket kuralları veya Kurulca onaylanan bir taahhütname gibi uygun güvenceler; ya da
• veri sahibinin açık ve aydınlatılmış rızası dâhil, arızi aktarımlar için öngörülen belirli istisnai hâller.

Standart sözleşmeler, imzalanmasının ardından öngörülen süre içinde Kurum’a bildirilmek zorundadır. Bu değişiklik, çok uluslu gruplara Türk hukukunda daha önce bulunmayan, GDPR tarzı ve uygulanabilir mekanizmalar kazandırmıştır — ancak bu mekanizmalar yalnızca evrak fiilen hazır ve zamanında dosyalanmışsa sizi korur.

Grubunuz Türk çalışan veya müşteri verisini bir ana şirkete, bulut sağlayıcısına ya da yurt dışındaki ortak hizmet merkezine taşıyorsa, bu aktarımın KVKK kapsamında belgelenmiş bir hukuki dayanağı olmalıdır. Bunu yalnızca küresel bir GDPR politikasına güvenerek yapmak yeterli değildir.

KVKK ve GDPR yan yana

Hâlihazırda bir GDPR programı yürüten gruplar için Türkiye’deki işin kapsamını belirlemenin en hızlı yolu, iki rejimin nerede ayrıştığına bakmaktır:

Konu	GDPR	KVKK
Asıl hukuka uygunluk sebebi	Eşdeğer altı hukuki dayanak	Kural olarak açık rıza + sayılan istisnalar
Sicil yükümlülüğü	Genel bir sicil yok	Çoğu veri sorumlusu için VERBİS kaydı
Yabancı veri sorumluları	Bazı hâllerde AB temsilcisi	Veri sorumlusu temsilcisi + VERBİS kaydı
Yurt dışına aktarım	Yeterlilik, standart sözleşme, BCR	Mart 2024’ten beri uyumlu; ancak standart sözleşmeler Kurum’a bildirilmeli
Uygulama	Ulusal denetim makamları	KVKK Kurulu; cezalar her yıl yeniden değerleme oranında güncellenir

Pratik sonuç: GDPR’a uyumlu bir grubun genellikle programını baştan kurması değil, odaklı bir yerel katman eklemesi gerekir — Türkçe aydınlatma metinleri, VERBİS ve dosyalanmış aktarım belgeleri.

---

Yaptırımlar ve cezalar

Uyumsuzluk gerçek bir risk taşır. Kurul; veri güvenliği yükümlülüklerinin ihlali, Kurul kararlarına uyulmaması veya VERBİS kaydının ihmali gibi durumlarda, her yıl yeniden değerleme oranında güncellenen idari para cezaları uygulayabilir. Ayrı olarak 5237 sayılı Türk Ceza Kanunu, kişisel verilerin hukuka aykırı kaydedilmesini, ele geçirilmesini ve yok edilmemesini suç olarak düzenler; bu da şirket içindeki gerçek kişileri bireysel cezai sorumlulukla karşı karşıya bırakabilir. Zarar gören kişiler ayrıca 6098 sayılı Türk Borçlar Kanunu (TBK) kapsamında maddi ve manevi tazminat davası açabilir.

Kurul kararlarının çoğu yayımlandığından, ciddi bir ihlalin pratikteki bedeli çoğu kez ilan edilen ceza tutarını aşar: muhtemel iş ortakları, yatırımcılar ve müşteriler bu kararı görebilir.

Kurul bir inceleme başlatırsa — bu genellikle bir ilgili kişi şikâyeti veya bildirilen bir veri ihlali üzerine olur — yazılı savunmanızın kalitesi büyük önem taşır. İnceleme büyük ölçüde dosya üzerinden yürür: Kurul sorular sorar, süreler verir ve sunduğunuz belgelere göre karar verir. Cevabın geç, eksik ya da destekleyici kayıtlar (rıza kayıtları, aydınlatma metinleri, güvenlik politikaları) olmadan verilmesi, kendi başına bir uyumsuzluk işareti olarak değerlendirilir. Herhangi bir olaydan önce hazırlanmanın en doğrudan karşılığını verdiği alanlardan biri tam da budur.

Uygulamada uyum neye benzer

Türkiye’de faaliyet gösteren şirketler:

• işleme faaliyetlerini envanterle haritalandırmalı ve doğru kayıt tutmalı;
• uygun aydınlatma metinleri hazırlamalı ve gerektiğinde geçerli açık rıza almalı;
• VERBİS kaydını tamamlamalı ve güncel tutmalı;
• verileri yurt dışına aktarmadan önce aktarım mekanizmalarını kurmalı;
• teknik ve idari güvenlik tedbirlerini ve bir ihlal müdahale planını hayata geçirmeli; ve
• uyumun tepkisel değil yerleşik olması için personel eğitimi vermelidir.

Müvekkillerimize sürecin tümünde destek veriyoruz: boşluk analizi ve politika hazırlığından VERBİS bildirimlerine, aktarım sözleşmelerine, ihlal bildirimlerine ve Kurul önünde temsile kadar. En sık karşılaştığımız kalıp, GDPR’a genel olarak uyumlu bir şirketin, bu nedenle Türkiye’de de uyumlu olduğunu varsaymasıdır; oysa çoğu zaman değildir — çünkü VERBİS, açık rızanın asıl sebep oluşu ve yerel bildirim kuralları devreye girer. Erken ve yapılandırılmış uyum, iş işten geçtikten sonra bir soruşturmaya yanıt vermekten çok daha az maliyetlidir.