Bu makale genel bilgilendirme amaçlıdır, hukuki görüş değildir.
6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kişisel verileri işleme amaçlarını ve vasıtalarını belirleyen gerçek veya tüzel kişiyi veri sorumlusu olarak tanımlar. Çalışan, müşteri veya ziyaretçi bilgisi tutan hemen her işletme bu tanımın kapsamına girer.
Aydınlatma yükümlülüğü
Veri sorumlusu, kişisel verileri elde ederken ilgili kişiyi; kimliğini, verilerin hangi amaçla işleneceğini, kimlere ve hangi amaçla aktarılabileceğini, toplama yöntemini ve hukuki sebebini ve ilgili kişinin haklarını konusunda bilgilendirmelidir (m.10). Aydınlatma, açık rızadan ayrı bir yükümlülüktür; her veri işleme faaliyeti açık rızaya dayanmaz.
Veri güvenliği
Kanun, hukuka aykırı işlemeyi ve erişimi önlemek, verilerin muhafazasını sağlamak için uygun güvenlik düzeyini temin etmeye yönelik teknik ve idari tedbirlerin alınmasını ister (m.12). Erişim yetkilerinin sınırlandırılması, kayıt tutulması ve çalışanların bilgilendirilmesi bu tedbirlerin yaygın örnekleridir.
İşlenen verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu, durumu en kısa sürede ilgili kişiye ve Kurul’a bildirir. Kurul, bu bildirimin gecikmeksizin ve en geç 72 saat içinde yapılması gerektiği yönünde karar almıştır.
İlgili kişi başvuruları
İlgili kişiler; verilerinin işlenip işlenmediğini öğrenme, düzeltilmesini veya silinmesini isteme gibi haklara sahiptir (m.11). Veri sorumlusu, başvuruyu niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırır; başvuru kural olarak ücretsizdir (m.13).
VERBİS kaydı
Veri sorumluları, işlemeye başlamadan önce Veri Sorumluları Sicili’ne (VERBİS) kaydolmak zorundadır (m.16). Ancak Kurul, çalışan sayısı ve yıllık mali bilanço toplamı gibi ölçütlere göre bazı veri sorumlularını bu yükümlülükten muaf tutmuştur. Eşikler Kurul kararlarıyla güncellenebildiğinden, muafiyet durumu güncel kararlar üzerinden değerlendirilmelidir.
2024 değişiklikleri
7499 sayılı Kanun ile özel nitelikli kişisel verilerin işlenme şartları (m.6) ve yurt dışına aktarım kuralları (m.9) yeniden düzenlenmiş; değişiklikler 1 Haziran 2024’te yürürlüğe girmiştir. Yurt dışına aktarım yapan kurumların mevcut sözleşmelerini bu çerçevede gözden geçirmesi yararlı olabilir.
Bu makale genel bilgilendirme amaçlıdır, hukuki görüş değildir. Mevzuat ve içtihat değişebilir; metin, yayın tarihindeki (27 Ağustos 2026) duruma göre hazırlanmıştır. Somut durumunuz için bir avukata danışınız.
İlgili çalışma alanı: Kişisel Verilerin Korunması ve Bilişim Hukuku
Tüm makaleler