📌 Bu Rehberde Neler Bulacaksınız?
6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), 2016'dan bu yana yürürlükte olsa da uygulamadaki en büyük hata hâlâ aynı: şirketlerin çoğu KVKK'yı yalnızca "web sitesine bir aydınlatma metni koymak" sanıyor. Oysa Kişisel Verileri Koruma Kurumu'nun (KVKK Kurumu) 2026 yılı için güncellediği idari para cezaları, tek bir eksik bildirimin milyonlarca TL'ye ulaşabildiğini gösteriyor. Bu rehberde, şirketinizin gerçekte hangi yükümlülük altında olduğunu ve uyum sürecini nasıl adım adım kuracağınızı anlatıyoruz.
- ✔ VERBİS'e kimler, ne zaman kayıt olmak zorunda?
- ✔ Aydınlatma yükümlülüğü ile açık rıza arasındaki fark
- ✔ Veri işleme envanteri nasıl çıkarılır?
- ✔ Veri ihlalinde 72 saatlik bildirim süresi nasıl işler?
- ✔ 2026 güncel idari para cezaları ne kadar?
- ✔ Adım adım KVKK uyum süreci
- ✔ Şirketlerin en sık yaptığı hatalar ve sık sorulan sorular
📑 İçindekiler
1. KVKK Nedir, Kimleri Bağlar?
6698 sayılı Kişisel Verilerin Korunması Kanunu, gerçek kişilere ait kimlik, iletişim, sağlık, mali, biyometrik ve benzeri her türlü verinin işlenmesinde "veri sorumlusu" (verinin işleme amaç ve araçlarını belirleyen şirket/kurum) ve "veri işleyen" (veri sorumlusu adına veri işleyen taraf) için uyulması zorunlu esasları düzenler. Kanun; müşteri, çalışan, tedarikçi, ziyaretçi, aday veya web sitesi kullanıcısı gibi herhangi bir gerçek kişiye ait veriyi kaydeden, sınıflandıran, saklayan veya paylaşan her ölçekteki şirketi kapsar; şirketin çalışan sayısı veya sektörü küçük olması, yükümlülükten muaf tutmaz.
📌 Neden Artık Ertelenemez Bir Konu?
- ✔ Kişisel Verileri Koruma Kurulu, her yıl daha fazla şikâyet ve resen inceleme dosyasına bakıyor
- ✔ İdari para cezaları her yıl yeniden değerleme oranıyla otomatik artıyor
- ✔ İhale, banka kredisi ve kurumsal müşteri sözleşmelerinde KVKK uyum belgesi giderek daha sık isteniyor
- ✔ Veri ihlalinde geç kalınan bildirim, cezayı tek başına ağırlaştırabiliyor
Bu rehberdeki güncel eşik ve ceza tutarları, ikincil hukuk kaynaklarınca (bağımsız hukuk bültenleri) yayımlanan ve birbirini teyit eden bilgilere dayanmaktadır; kesin ve güncel rakamlar için süreç başında Kişisel Verileri Koruma Kurumu'nun (kvkk.gov.tr) resmî duyurularının kontrol edilmesi önerilir.
2. VERBİS Kayıt Yükümlülüğü ve 2026 Eşikleri
Veri Sorumluları Sicil Bilgi Sistemi (VERBİS), veri sorumlularının hangi kişisel verileri, hangi amaçla, kimlerden topladığını ve kimlere aktardığını beyan ettiği resmî sicildir. VERBİS'e kayıt zorunluluğu, çalışan sayısı ve mali bilanço büyüklüğüne göre şekillenir; ancak istisnalar da mevcuttur.
| Veri Sorumlusu Profili | Kayıt Yükümlülüğü Eşiği |
|---|---|
| Ana faaliyeti özel nitelikli veri işleme olmayan şirketler (perakende, imalat, turizm vb.) | Yıllık ortalama çalışan sayısı 50'yi veya yıllık mali bilanço toplamı 100 milyon TL'yi aşan şirketler kayıt olmak zorunda; her iki eşiğin de altında kalanlar istisna kapsamındadır |
| Ana faaliyeti özel nitelikli veri işleme olan şirketler (sağlık, biyometrik, dernek/sendika üyeliği vb.) | Daha düşük bir eşikle (yaklaşık 10 çalışan / 10 milyon TL bilanço) kayıt yükümlülüğü uygulanır; sınırın altında kalsalar bile birçok durumda kayıt gerekliliği devam eder |
| Yurt dışında yerleşik veri sorumlusu temsilcileri, kamu kurum ve kuruluşları | Ölçek eşiğinden bağımsız olarak kayıt yükümlülüğü genel kural olarak devam eder |
Bu eşikler zaman içinde Kurul kararlarıyla güncellenmiştir; bu nedenle şirketinizin güncel durumunu netleştirmek için mevcut çalışan sayınızı ve son onaylı bilançonuzu esas alarak VERBİS sistemindeki güncel istisna kriterlerini teyit etmeniz gerekir. Önemli bir ayrıntı: VERBİS kaydından istisna tutulmak, KVKK'nın diğer yükümlülüklerinden (aydınlatma, veri güvenliği, ilgili kişi başvurularına cevap verme) muaf olmak anlamına gelmez.
3. Aydınlatma Yükümlülüğü ve Açık Rıza Ayrımı
KVKK uygulamasında en çok karıştırılan iki kavram budur. İkisi farklı işlevlere sahiptir ve birbirinin yerine geçemez.
📄 Aydınlatma Yükümlülüğü (KVKK m.10)
Veri sorumlusunun kimliği, verinin hangi amaçla ve hukuki sebeple işlendiği, kimlere ve hangi amaçla aktarılabileceği ile ilgili kişinin hakları konusunda bilgi verilmesidir. Rızaya bağlı olmayan işlemeler (örneğin sözleşmenin ifası, kanuni yükümlülük) dâhil her durumda zorunludur.
✍️ Açık Rıza (KVKK m.3, m.5)
Belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızadır. Yalnızca kanunda sayılan işleme şartlarından hiçbiri (sözleşme, kanuni yükümlülük, meşru menfaat vb.) mevcut değilse veya özel nitelikli veri söz konusuysa gereklidir; her veri işleme için otomatik olarak istenmesi gerekmez.
Pratikteki en sık hata şudur: şirketler her veri işleme için açık rıza formu imzalatmaya çalışır, oysa çoğu işleme faaliyeti (bordro, fatura kesme, sözleşme yürütme) zaten kanuni bir işleme şartına dayanır ve sadece aydınlatma yeterlidir. Açık rızanın gereksiz yere ve genel-geçer ifadelerle alınması, Kurul denetiminde "geçersiz rıza" olarak değerlendirilme riski taşır.
4. Veri İşleme Envanteri Nasıl Çıkarılır?
Veri işleme envanteri (kişisel veri envanteri), VERBİS kaydının da temelini oluşturan, şirketin tüm veri işleme faaliyetlerini haritalandırdığı çalışmadır. Doğru hazırlanmış bir envanter olmadan ne aydınlatma metni ne de VERBİS beyanı gerçekçi olabilir.
✅ Envanterde Yer Alması Gereken Temel Bilgiler
- Veri kategorileri: Kimlik, iletişim, mali, özlük, sağlık, biyometrik, görsel/işitsel veri gibi sınıflandırma.
- Veri konusu kişi grupları: Çalışan, çalışan adayı, müşteri, tedarikçi, ziyaretçi, web sitesi kullanıcısı.
- Toplama yöntemi ve hukuki sebep: Verinin hangi kanaldan ve hangi hukuki dayanakla toplandığı.
- İşleme amacı: Verinin hangi iş sürecinde, hangi amaçla kullanıldığı.
- Aktarılan taraflar: Verinin yurt içi/yurt dışı hangi üçüncü taraflara (kargo, muhasebe programı, bulut sağlayıcı vb.) aktarıldığı.
- Saklama süresi ve imha yöntemi: Verinin ne kadar süre saklanacağı ve süre sonunda silme/yok etme/anonimleştirme yönteminin ne olacağı.
- Alınan teknik ve idari tedbirler: Erişim yetkilendirme, şifreleme, yedekleme gibi güvenlik önlemleri.
Envanter çalışması genellikle şirket içindeki tüm departmanlarla (İK, satış, muhasebe, BT) yapılan görüşmelerle başlar; bu nedenle gerçekçi bir zaman planlaması yapmak, sürecin sağlıklı ilerlemesi için önemlidir.
5. Veri İhlali Bildirimi: 72 Saat Kuralı
Kişisel verilerin kanuni olmayan yollarla ele geçirilmesi (sızıntı, siber saldırı, yanlış kişiye e-posta/veri gönderimi vb.) durumunda KVKK m.12 ve Kurul'un 2019/10 sayılı kararı gereği işletilmesi gereken süreç şu şekildedir:
İhlalin Tespiti / Öğrenilmesi
En Geç 72 Saat İçinde Kurul'a Bildirim
Makul Sürede İlgili Kişilere Bildirim
72 saatlik sürenin başlangıcı, ihlalin fiilen gerçekleştiği an değil, veri sorumlusunun ihlali öğrendiğiandır. Bildirim, Kurum'un öngördüğü veri ihlali bildirim formu üzerinden yapılır ve ihlalin kapsamı, etkilenen kişi sayısı, alınan/alınacak önlemler gibi bilgileri içermelidir. Süresi içinde bildirim yapılmaması, KVKK Kurulu tarafından ayrı ve ağır bir ihlal olarak değerlendirilir; bu nedenle şirket içinde "ihlal anında ilk kimi arayacağız" sorusunun cevabının önceden belirlenmiş olması kritik önem taşır.
6. 2026 Güncel İdari Para Cezaları
KVKK m.18 kapsamındaki idari para cezaları, her yıl Vergi Usul Kanunu'na göre belirlenen yeniden değerleme oranı esas alınarak güncellenir. 2026 yılı için bildirilen (kaynaklar arası tutarlı) tutarlar şöyledir:
| İhlal Türü | Alt Sınır | Üst Sınır |
|---|---|---|
| Aydınlatma yükümlülüğüne aykırılık | ≈ 85.400 TL | ≈ 1.709.000 TL |
| Veri güvenliğine ilişkin yükümlülüklere aykırılık | ≈ 256.000 TL | ≈ 17.092.000 TL |
| VERBİS'e kayıt ve bildirim yükümlülüğüne aykırılık | ≈ 341.800 TL | ≈ 17.092.000 TL |
| Kurul kararlarının yerine getirilmemesi | ≈ 427.200 TL | ≈ 17.092.000 TL |
| Yurt dışı veri aktarımına ilişkin bildirim yükümlülüğüne aykırılık | ≈ 90.300 TL | ≈ 1.806.000 TL |
Bu tutarlar, KVKK'nın idari yaptırım rejimindeki en yüksek kalemi olan veri güvenliği ve VERBİS ihlallerinde 17 milyon TL'yi aşan bir üst sınıra ulaşabiliyor. Rakamlar yıl başında yeniden değerleme oranıyla otomatik güncellendiğinden, somut bir dosyada uygulanacak kesin tutar için ilgili yılın Kurum duyurusunun ve varsa Kurul kararının doğrulanması gerekir.
7. Adım Adım KVKK Uyum Süreci
KVKK uyumu tek seferlik bir belge işi değil, kurulup periyodik olarak denetlenmesi gereken bir sistemdir. Uygulamada izlenen sıralama şu şekildedir:
Veri Envanteri Çıkarma
Politika/Prosedür Hazırlama
Aydınlatma Metni Hazırlama
Açık Rıza Formu (Gerekliyse)
VERBİS Kaydı (Gerekliyse)
Periyodik Denetim
7.1. Veri Envanteri Çıkarma
Şirketin hangi departmanında hangi verinin nasıl toplandığı, saklandığı ve aktarıldığı tek tek belgelenir. Bu çalışma, sonraki tüm adımların (politika, aydınlatma metni, VERBİS beyanı) temelini oluşturur.
7.2. Kişisel Veri İşleme ve Saklama/İmha Politikası Hazırlama
Envanter temelinde, şirketin veri işleme ilkelerini, saklama sürelerini ve imha (silme/yok etme/anonimleştirme) yöntemlerini belirleyen yazılı politika oluşturulur. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik kapsamında belirli büyüklükteki veri sorumluları için bu politikanın hazırlanması ayrıca zorunludur.
7.3. Aydınlatma Metinlerinin Hazırlanması
Çalışan, çalışan adayı, müşteri, ziyaretçi ve web sitesi kullanıcısı gibi her bir veri konusu kişi grubu için ayrı aydınlatma metni hazırlanır; genel-geçer ve tek tip bir metin, denetimde yetersiz kabul edilme riski taşır.
7.4. Açık Rıza Formunun Hazırlanması (Gerekli Olduğu Durumlarda)
Yalnızca kanuni işleme şartlarının hiçbirinin karşılanmadığı veya özel nitelikli veri işlendiği durumlarda, konuya özgü ve açık rıza formu düzenlenir; aydınlatma metniyle karıştırılmaması önemlidir.
7.5. VERBİS Kaydının Tamamlanması (Kapsamdaysa)
Yukarıdaki eşiklere göre kayıt yükümlülüğü bulunan şirketler, envanter çalışmasında ortaya çıkan bilgileri VERBİS üzerinden beyan eder. Kayıt sonrasında da envanterde önemli bir değişiklik olduğunda (yeni bir veri kategorisi, yeni bir aktarım, vb.) beyanın güncellenmesi gerekir.
7.6. Periyodik Denetim ve Güncelleme
KVKK uyumu, kurulup unutulacak bir sistem değildir. Yeni bir yazılım/tedarikçi kullanılmaya başlandığında, yeni bir veri kategorisi toplanmaya başladığında veya mevzuat değiştiğinde envanterin, politikaların ve aydınlatma metinlerinin gözden geçirilmesi gerekir.
8. Şirketlerin Sık Yaptığı Hatalar
9. Uyum Sürecinizi Biz Yönetelim
🤝 Veri Envanterinden VERBİS Kaydına Kadar Tek Elden
Koray Akdağ / Sistem Global Danışmanlık olarak, şirketinizin veri işleme envanterinin çıkarılmasından politika ve aydınlatma metinlerinin hazırlanmasına, VERBİS kaydından periyodik uyum denetimine kadar KVKK sürecinin tamamını sizin adınıza yürütüyoruz. Ayrı bir hukuk bürosu veya danışmanlık firması aramanıza gerek kalmadan, hem uyum sürecinizi hem de sonrasındaki mali ve idari süreçlerinizi tek noktadan yönetebiliriz. Şirketinizin mevcut KVKK durumunu birlikte değerlendirmek için bizimle iletişime geçebilirsiniz.
10. Sık Sorulan Sorular
Küçük bir şirket olarak KVKK'dan tamamen muaf olabilir miyim?
Hayır. Çalışan sayısı ve bilanço eşiklerinin altında kalan şirketler yalnızca VERBİS'e kayıt yükümlülüğünden istisna tutulabilir; aydınlatma yükümlülüğü, veri güvenliği tedbirleri ve ilgili kişi başvurularına cevap verme yükümlülüğü ölçekten bağımsız olarak devam eder.
VERBİS'e kayıt olmam gerekip gerekmediğini nasıl anlarım?
Öncelikle şirketinizin yıllık ortalama çalışan sayısı ve son onaylı mali bilanço toplamını, güncel istisna eşikleriyle karşılaştırmanız gerekir. Özel nitelikli veri (sağlık, biyometrik vb.) işleme faaliyetiniz varsa daha düşük bir eşik uygulanabileceğini unutmayın. Şüpheli durumlarda profesyonel bir değerlendirme almanız önerilir.
Aydınlatma metni ile açık rıza formunu tek bir belgede birleştirebilir miyim?
Bu iki belgenin ayrı tutulması önerilir. Aydınlatma her durumda zorunludur ve rızaya bağlı değildir; açık rıza ise yalnızca gerekli olduğu durumlarda, konuya özgü ve ayrıca alınmalıdır. Birleştirilmiş, genel-geçer bir metin, denetimde geçersiz rıza olarak değerlendirilme riski taşır.
Veri ihlalini fark ettim ama emin değilim, yine de bildirmem gerekir mi?
Kişisel verilerin kanuni olmayan yollarla üçüncü kişilerin eline geçtiğine dair makul bir şüphe varsa, 72 saatlik süre işlemeye başlar. Belirsizlik durumunda dahi erken harekete geçip ön bildirimde bulunmak, sürecin gecikmesinden daha az risklidir.
KVKK uyum sürecini ne kadar sürede tamamlayabilirim?
Şirketin büyüklüğüne ve veri işleme faaliyetlerinin karmaşıklığına bağlı olarak değişmekle birlikte, envanter çalışması genellikle birkaç haftayı bulur; politika, aydınlatma metni ve gerekiyorsa VERBİS kaydı dahil sürecin tamamı genellikle birkaç ay içinde tamamlanabilir. Süreç bir kez kurulduktan sonra periyodik güncelleme gerektirir.
Sonuç
KVKK uyumu, artık yalnızca büyük ölçekli şirketlerin gündemi değildir; VERBİS kayıt eşikleri, aydınlatma yükümlülüğü ve 2026 yılında milyonlarca TL'ye ulaşabilen idari para cezaları, her büyüklükteki şirketin bu konuyu ciddiye almasını gerektiriyor. Sağlam bir veri işleme envanteri üzerine kurulmuş, periyodik olarak güncellenen bir uyum sistemi; hem denetim risklerini azaltır hem de kurumsal müşteri ve ihale süreçlerinde şirketinizin güvenilirliğini artırır.
Şirketinizin mevcut KVKK durumunun tespitinden envanter çalışmasına, aydınlatma metinlerinin hazırlanmasından VERBİS kaydına kadar tüm süreçte Koray Akdağ / Sistem Global Danışmanlık olarak yanınızdayız. Ayrı bir hukuk bürosu veya danışmanlık firması aramanıza gerek kalmadan sürecin tamamını birlikte yönetmek için bizimle iletişime geçebilirsiniz.