KVKK avukatı, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamındaki iki tarafa da hizmet verir: kişisel veri işleyen şirketlere uyum, sözleşme ve Kurul süreçlerinde; verileri hukuka aykırı işlenen kişilere de başvuru, şikâyet ve dava aşamalarında destek olur. Ataşehir, finans merkezi, plazaları ve sağlık kuruluşlarıyla yoğun veri işlenen bir bölgedir. Buradaki şirketler için en sık konu VERBİS kaydı, aydınlatma metinleri, çalışan verileri ve veri ihlali bildirimidir; bireyler için ise silme talepleri, izinsiz paylaşım ve tazminat taleplerinin takibi öne çıkar.
KVKK neyi düzenler, kimleri bağlar?
6698 sayılı Kanun 7 Nisan 2016’da yayımlanarak yürürlüğe girdi. Kanun, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilginin işlenmesini düzenler: ad-soyad, T.C. kimlik numarası, telefon, IP adresi, kamera görüntüsü, sağlık raporu, maaş bordrosu ve benzerleri. Verileri işleme amaçlarını ve araçlarını belirleyen kişi veya kurum “veri sorumlusu”, onun adına veri işleyen hizmet sağlayıcı ise “veri işleyen” sayılır. Şirketler, dernekler, klinikler, okullar, site yönetimleri ve serbest meslek erbabı Kanun’un muhatabıdır.
Uygulamayı Kişisel Verileri Koruma Kurumu ve onun karar organı olan Kişisel Verileri Koruma Kurulu denetler. Kurul, şikâyetleri inceler, re’sen denetim yapar, ilke kararları yayımlar ve idari para cezası uygular.
Şirketler için temel yükümlülükler
Hukuka uygun işleme şartı ve açık rıza
KVKK m.5, kişisel verilerin kural olarak açık rızayla işlenebileceğini, ancak sözleşmenin ifası, hukuki yükümlülük, meşru menfaat gibi hâllerde rıza aranmayacağını düzenler. Uygulamadaki en yaygın hata, her işleme faaliyeti için gereksiz yere rıza toplamaktır. Rıza, geri alınabilir bir izindir; başka bir hukuki sebebe dayanan işlemeyi rızaya bağlamak, rıza geri alındığında şirketi zor durumda bırakır.
Özel nitelikli veriler ve yurt dışına aktarım
Sağlık, biyometrik veri, din, sendika üyeliği, ceza mahkûmiyeti gibi özel nitelikli veriler m.6’da daha sıkı kurallara bağlanmıştır. 7499 sayılı Kanun’la 1 Haziran 2024’ten itibaren m.6 ve yurt dışına aktarımı düzenleyen m.9 kapsamlı biçimde değişti. Yeni sistemde yurt dışına aktarım; yeterlilik kararı, uygun güvenceler (standart sözleşme, bağlayıcı şirket kuralları gibi) ve arızi aktarım hâlleri olmak üzere kademeli bir yapıya kavuştu. Standart sözleşme imzalandığında, imzadan itibaren 5 iş günü içinde Kurum’a bildirilmesi gerekir. Yurt dışı sunucu, bulut hizmeti veya yabancı ana şirketle veri paylaşan her işletme, sözleşmelerini o kurallara göre gözden geçirmelidir.
Aydınlatma, VERBİS ve veri güvenliği
- Aydınlatma yükümlülüğü (m.10): Veri toplanırken kişiye kimin, hangi amaçla, hangi hukuki sebeple veri işlediği ve haklarının neler olduğu bildirilmelidir.
- VERBİS kaydı (m.16): Veri sorumluları, Kurul’un belirlediği istisnalar dışında Veri Sorumluları Sicil Bilgi Sistemi’ne kayıt olmak zorundadır. Çalışan sayısı ve yıllık bilanço eşiğini aşan şirketler ile ana faaliyeti özel nitelikli veri işlemek olanlar istisnadan yararlanamaz.
- Veri güvenliği (m.12): Teknik ve idari tedbirler alınmalı; veri ihlali yaşanırsa Kurul kararına göre ihlal öğrenildikten sonra en geç 72 saat içinde Kurul’a bildirilmeli, etkilenen kişilere de makul sürede bilgi verilmelidir.
- Saklama ve imha: İşleme amacı sona eren veriler silinmeli, yok edilmeli veya anonim hâle getirilmelidir.
Çalışan verileri, kamera kayıtları, işyerinde e-posta denetimi ve özlük dosyaları KVKK ile iş hukukunun kesiştiği alandır. Söz konusu başlıklarda iş hukuku boyutunun da birlikte değerlendirilmesi gerekir.
İdari para cezaları ve cezai sorumluluk
KVKK m.18, aydınlatma yükümlülüğüne, veri güvenliği tedbirlerine, Kurul kararlarına ve VERBİS kaydına aykırılık için idari para cezaları öngörür. Ceza tutarları her yıl yeniden değerleme oranında artırılır; güncel tutarlar için yılın tebliğine bakılmalıdır. 7499 sayılı Kanun’la Kurul’un verdiği idari para cezalarına karşı yargı yolu değişti: 1 Haziran 2024’ten itibaren itiraz sulh ceza hakimliğine değil, idare mahkemesine yapılmaktadır.
Kişisel verilerin hukuka aykırı kaydedilmesi, başkasına verilmesi, yayılması veya ele geçirilmesi ile süresi dolan verilerin yok edilmemesi, Türk Ceza Kanunu m.135–138 kapsamında suçtur. Şirket yetkilileri ve çalışanlar hakkında ceza soruşturması açılabilir. Siber saldırı veya hesabın ele geçirilmesi gibi durumlarda bilişim suçu şikâyeti de gündeme gelir.
Bireyler için haklar ve başvuru yolu
KVKK m.11 ile herkes, verisinin işlenip işlenmediğini öğrenme, işlenmişse bilgi isteme, düzeltilmesini, silinmesini veya yok edilmesini talep etme ve zarara uğramışsa tazminat isteme hakkına sahiptir. Başvuru sırası şöyledir:
- Veri sorumlusuna yazılı veya Kurul’un belirlediği diğer yöntemlerle başvuru yapılır. Veri sorumlusu en geç 30 gün içinde cevap vermelidir (m.13).
- Ret, yetersiz cevap veya cevapsızlık hâlinde, öğrenmeden itibaren 30 gün ve her hâlde başvurudan itibaren 60 gün içinde Kurul’a şikâyet edilir (m.14).
- Kurul kararına karşı idare mahkemesinde dava açılabilir.
- Maddi ve manevi tazminat için genel hükümlere göre adli yargıda dava açılır; şikâyet yolu tazminat talebinin yerine geçmez.
İnternette yer alan eski haberlerin ve kişisel bilgilerin kaldırılması özel bir başlıktır; ayrıntılar için unutulma hakkı başvurusu yazımıza bakabilirsiniz.
KVKK avukatıyla çalışırken süreç nasıl ilerler?
Şirket tarafında iş genellikle veri envanteri çıkarmakla başlar: hangi birim, hangi veriyi, hangi amaçla, ne kadar süre saklıyor? Ardından aydınlatma metinleri, açık rıza formları, çalışan ve tedarikçi sözleşmelerine eklenecek veri koruma hükümleri, saklama-imha politikası ve veri ihlali müdahale planı hazırlanır. Kurul’dan gelen bilgi talebi veya şikâyet yazısına verilecek savunma, sürelere dikkat edilerek yazılır. Ticari sözleşmeler ve ortaklık yapısı için şirketler hukuku desteğiyle birlikte çalışmak çoğu zaman gereklidir.
Birey tarafında ise önce ihlal belgelenir, ardından veri sorumlusuna gerekçeli başvuru yapılır. Cevaba göre Kurul şikâyeti, suç duyurusu veya tazminat davası seçenekleri tartılır. Hangi yolun seçileceği, kişinin amacına bağlıdır: verinin silinmesi mi, sorumlunun cezalandırılması mı, zararın karşılanması mı?
Uygulamada sık görülen uyum hataları
- İnternetten indirilen hazır aydınlatma metnini şirketin gerçek veri akışına uyarlamadan kullanmak,
- Aydınlatma ile açık rızayı tek metinde birleştirip kişiye “onaylıyorum” kutusu işaretletmek,
- Pazarlama SMS’i ve e-postası için ayrı izin almadan müşteri listesini kullanmak,
- Eski çalışanların özlük dosyalarını ve aday CV’lerini süresiz saklamak,
- Bulut veya yazılım hizmeti alınan firmalarla veri işleme sözleşmesi yapmamak,
- Çalışanların kişisel WhatsApp gruplarında müşteri verisi paylaşmasına göz yummak.
Kurul kararlarında idari para cezasının sık gerekçesi, teknik açıktan çok, şirket içi kural ve eğitim eksikliğidir. Yazılı politika, düzenli eğitim ve erişim yetkilerinin sınırlandırılması, denetim anında şirketin en güçlü savunmasıdır.
Sık Sorulan Sorular
Küçük işletmeler de KVKK’ya tabi mi?
Evet. VERBİS kaydından muaf olmak, aydınlatma ve veri güvenliği yükümlülüklerinden muaf olmak anlamına gelmez.
Veri ihlali yaşandığında ilk ne yapılmalı?
İhlal kontrol altına alınmalı, etkisi tespit edilmeli ve 72 saatlik süre kaçırılmadan Kurul’a bildirim yapılmalıdır. Gecikmenin gerekçesi bildirime yazılır.
KVKK şikâyeti ile tazminat alabilir miyim?
Hayır. Kurul ceza verir ve ihlalin giderilmesini emreder; tazminat için mahkemede dava açmak gerekir.
Site yönetimi kamera kaydı tutabilir mi?
Ortak alanlarda güvenlik amacıyla tutulabilir, ancak aydınlatma yapılmalı, kayıtlar amaçla sınırlı süre saklanmalı ve daire içlerini görecek açı kullanılmamalıdır.
Şirketinizin KVKK uyumunu gözden geçirmek ya da verilerinizle ilgili bir ihlali değerlendirmek için Ataşehir Küçükbakkalköy’deki büromuzla görüşebilirsiniz. Randevu için (0532) 776 65 64 numarasını arayabilirsiniz.
Hazırlayan: Ataşehir Avukat – Av. M. Şamil Arslan Hukuk Bürosu. Son güncelleme: Ekim 2026. Yazı genel bilgilendirme amaçlıdır; somut dosyanız için hukuki görüş yerine geçmez.