Bu yazi genel bilgilendirme amaci tasir. Somut olayin belgeleri, sureleri ve taraf konumu ayrica degerlendirilmeden kesin hukuki gorus yerine gecmez.
KVKK'nın kapsamı: veri sorumlusu ve veri işleyen ayrımı
6698 sayılı Kişisel Verilerin Korunması Kanunu m.3, kişisel verinin tanımını yapar; m.4 ise genel ilkeleri sayar. Veri sorumlusu, kişisel verilerin işlenme amaçlarını ve yöntemini belirleyen gerçek veya tüzel kişidir. Veri işleyen ise veri sorumlusunun talimatıyla veri işleyen taraftır. Şirketlerin kendi müşteri, çalışan ve iş ortağı verileri için veri sorumlusu sıfatıyla hareket etmesi gerekir. Bu sıfat, KVKK m.12 kapsamında uygun güvenlik önlemlerinin alınması yükümlülüğünü de beraberinde getirir.
VERBİS kaydı hangi şirketler için zorunlu?
VERBİS (Veri Sorumluları Sicil Bilgi Sistemi), KVKK m.16 ve Veri Sorumluları Sicili Hakkında Yönetmelik kapsamında, yıllık çalışan sayısı veya yıllık mali bilanço toplamı belirli eşikleri aşan veri sorumluları ile ana faaliyet konusu özel nitelikli kişisel veri işleme olan sorumlular için zorunludur. Kayıt, veri sorumlusunun işlediği veri kategorileri, işleme amaçları, veri aktarımı yapılan taraflar ve alınan güvenlik önlemlerini içerir. Kayıt eksik veya güncel değilse Kurul tarafından idari para cezası uygulanabilir.
Aydınlatma yükümlülüğünün içeriği ve şekli
KVKK m.11, veri sorumlusunun ilgili kişiyi veri işleme öncesinde veya en geç işleme anında aydınlatmasını öngörür. Aydınlatma metninde; veri sorumlusunun kimliği, verilerin işlenme amacı, aktarım yapılan taraflar, veri toplama yöntemi ve hukuki sebebi, ilgili kişinin hakları açıkça yer almalıdır. Aydınlatma yükümlülüğü fiziksel veya elektronik ortamda yerine getirilebilir; ancak yazılı ve erişilebilir olması, ispat kolaylığı sağlar.
Açık rıza ve istisna hâlleri
KVKK m.5, açık rızayı belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan irade beyanı olarak tanımlar. Ancak m.5/2 ve m.6, rıza aranmayan hâlleri de sayar: sözleşmenin kurulması veya ifası, hukuki yükümlülük, hakkın tesisi, meşru menfaat ve kamu yararı gibi durumlarda rıza olmadan da veri işlenebilir. Hangi işlemin rızaya, hangi işlemin istisnaya dayandığının doğru sınıflandırılması, uyum denetiminde belirleyicidir.
Veri ihlali bildirimi ve idari yaptırım riskleri
KVKK m.12/5, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusunun en kısa sürede Kurul'a bildirimde bulunmasını öngörür. İhlalden etkilenen kişilere de makul sürede bilgi verilir. Bildirim yükümlülüğünü yerine getirmeyen veya gerekli güvenlik önlemlerini almayan veri sorumlularına idari para cezası uygulanabilir (m.18). Bu nedenle veri envanterinin güncel tutulması, erişim yetkilerinin sınırlandırılması ve ihlal müdahale planının hazır bulunması kritik önemdedir.
İşyerinde KVKK uyumu bordrodan kameraya kadar uzanır
KVKK uyumu çoğu işyerinde yalnızca web sitesi aydınlatma metni veya açık rıza formu olarak görülüyor. Oysa çalışan verisi, bordro, SGK kaydı, özlük dosyası, kamera görüntüsü, araç takip sistemi, giriş-çıkış kaydı, sağlık raporu, disiplin evrakı, performans değerlendirmesi ve iş başvurusu belgeleri aynı uyum çerçevesinde yönetilmelidir. Her veri için amaç, hukuki sebep, saklama süresi, erişim yetkisi ve imha yöntemi belirlenmelidir. İşyerinde herkesin tüm özlük dosyalarına erişebildiği veya eski aday CV’lerinin süresiz saklandığı bir düzende aydınlatma metni tek başına yeterli olmaz. Pratik uyum, günlük insan kaynakları ve bilgi işlem süreçlerine yerleştiğinde anlam kazanır.
Açık rıza her sorunun çözümü değildir
KVKK uygulamasında en sık hata, her veri işleme faaliyeti için otomatik açık rıza almaktır. Oysa iş sözleşmesinin kurulması ve ifası, kanuni yükümlülük, hukuki hakkın tesisi veya meşru menfaat gibi farklı hukuki sebepler bulunabilir. Gereksiz açık rıza, geri alınabilir olduğu için işveren açısından süreci daha kırılgan hale getirebilir. Örneğin bordro ve SGK süreçleri kanuni yükümlülükle yürürken, pazarlama veya bazı yan hak uygulamaları farklı değerlendirme gerektirebilir. Sağlıklı KVKK uyumu, önce veri işleme envanteri çıkarır; her veri kategorisi için doğru hukuki sebebi belirler; sonra aydınlatma metni ve gerekirse açık rıza metnini bu haritaya göre kurar.
2026 gündemi: bulut, yapay zeka ve yurt dışına aktarım
İşyerleri için 2026’da KVKK riskinin en görünür alanı bulut yazılımlar, insan kaynakları platformları, çevrim içi toplantı kayıtları, CRM sistemleri ve yapay zeka araçlarıdır. Çalışan veya müşteri verisi yurt dışındaki sunuculara gidiyorsa KVKK m.9 kapsamında yurt dışına aktarım değerlendirmesi yapılmalıdır. Standart sözleşme, yeterlilik kararı, uygun güvence ve arızi aktarım ayrımı teknik bir ayrıntı değil, fiili uyumun merkezidir. İşveren, kullandığı her yazılımın veri merkezi, alt işleyenleri, saklama süresi, ihlal bildirimi ve silme prosedürünü bilmelidir. Yapay zeka araçlarına özlük dosyası, sağlık raporu veya performans notu yüklemek ayrıca hassas risk doğurur. Bu nedenle KVKK dosyası yılda bir güncellenen klasör değil, tedarikçi ve teknoloji yönetimi sürecidir.
Veri ihlali planı olmayan uyum eksiktir
KVKK uyum dosyasında aydınlatma metni ve envanter bulunması önemlidir; ancak veri ihlali anında ne yapılacağı bilinmiyorsa uyum eksik kalır. İşyerinde yanlış kişiye e-posta gönderilmesi, özlük dosyasının yetkisiz erişime açılması, cihaz kaybı, fidye yazılımı, eski çalışanın sistem erişiminin kapatılmaması veya bulut hesabının ele geçirilmesi veri ihlali doğurabilir. Bu durumda kim olay kaydı tutacak, kim teknik inceleme yapacak, Kuruma ve ilgili kişilere bildirim gerekip gerekmediği nasıl değerlendirilecek, hangi sürede aksiyon alınacak önceden belirlenmelidir. İhlal planı olmayan şirket, krizi hem geç fark eder hem de hatalı iletişimle hukuki riskini büyütür. Bu yüzden KVKK uyumu kriz prosedürüyle tamamlanmalıdır.
Basvuru Oncesi Kisa Kontrol Listesi
- Şirketin veri sorumlusu sıfatını ve kapsamını (KVKK m.3-4) belirleyin.
- VERBİS kaydı için eşikleri ve yükümlülükleri (KVKK m.16) gözden geçirin.
- Aydınlatma metnini (KVKK m.11) tüm veri işleme kanallarında erişilebilir hâle getirin.
- Açık rıza ve istisna hâllerini (KVKK m.5-6) veri envanterinde ayrı ayrı sınıflandırın.
- Veri ihlaline karşı bildirim planını (KVKK m.12/5) ve güvenlik önlemlerini yazılı hâle getirin.
- Çalışan, aday, müşteri ve ziyaretçi verilerini ayrı envanter başlıklarıyla takip edin.
- Açık rıza yerine her faaliyet için doğru hukuki sebebi belirleyin.
- Bulut, İK yazılımı ve yapay zeka araçlarında yurt dışına aktarım riskini kontrol edin.
Sik Sorulan Sorular
Hangi şirketler VERBİS'e kayıt olmak zorunda?
Yıllık çalışan sayısı 50'den veya yıllık mali bilanço toplamı belirlenen eşiğin üzerinde olan veri sorumluları ile ana faaliyet konusu özel nitelikli kişisel veri işleme olan sorumlular VERBİS'e kaydolmak zorundadır. Eşikler Kurul kararlarıyla güncellenebilir.
Aydınlatma metni nereye konulmalı?
Aydınlatma metni, kişisel verilerin toplandığı tüm kanallarda (web sitesi, mağaza, çağrı merkezi, kamera kaydı, sözleşme vb.) erişilebilir olmalıdır. Web sitelerinde çerez politikası ve aydınlatma metni ayrı ayrı yayımlanabilir; ancak içerikleri örtüşmeli ve güncel tutulmalıdır.
Veri ihlali ne kadar sürede bildirilir?
KVKK m.12/5 uyarınca ihlalin öğrenilmesinden itibaren "en kısa sürede" Kurul'a bildirim yapılması gerekir. Uygulamada bu süre 72 saati aşmamalıdır. İhlalden etkilenen kişilere de makul sürede bilgi verilmesi öngörülür.
İşyerinde kamera kaydı için açık rıza şart mı?
Her durumda açık rıza şartı otomatik değildir; amaç, alan, süre, bilgilendirme ve meşru menfaat dengesi birlikte değerlendirilir. Kamera kaydı ölçülü olmalı ve çalışanlar açıkça bilgilendirilmelidir.
Eski iş başvurusu CVleri süresiz saklanabilir mi?
Hayır. Aday verileri belirli ve meşru amaçla, gerekli süre kadar saklanmalıdır. İleride değerlendirme için saklanacaksa bu amaç ve süre aydınlatma metninde açık olmalıdır.