KVKK Uyum Süreci: Envanter, VERBİS ve Aydınlatma
Çanakkale’de KVKK uyum adımları, veri envanteri, VERBİS kayıt eşikleri, veri ihlali bildirimi ve ilgili kişi başvurusu süreleri açıklanmaktadır.
4 dakikalık okuma 8 bölüm
KVKK uyumu tek seferlik bir belge işi değildir. Şirketin hangi veriyi, hangi amaçla, ne kadar süreyle işlediğinin çıkarılması ve bu yapının belgelendirilerek sürdürülmesi gerekir.
Uyumun sırası
Pratikte doğru sıralama şudur; adımlardan biri atlandığında sonraki adımlar eksik kalır:
- Veri envanteri — hangi veri, nereden, hangi amaçla, ne kadar süre
- Hukuki sebep eşlemesi — her işleme faaliyeti için dayanak belirlenmesi
- Aydınlatma metinleri — envantere uygun biçimde hazırlanması
- Açık rıza — yalnızca gereken yerlerde alınması
- Saklama ve imha politikası
- VERBİS kaydı
- İhlal müdahale planı
Veri envanteri
Envanter, uyumun temelidir. İnsan kaynakları, müşteri ilişkileri, kamera kayıtları, çağrı merkezi ve web sitesi formları ayrı ayrı incelenir. Her kayıt için veri kategorisi, işleme amacı, aktarılan taraflar ve saklama süresi yazılır.
Envanter olmadan hazırlanan aydınlatma metni, çoğu zaman gerçekte yapılan işlemeyi karşılamaz.
Hukuki sebep
Kanun, kişisel verinin işlenebilmesi için açık rıza dışında da hukuki sebepler tanır: sözleşmenin kurulması veya ifası, hukuki yükümlülük, meşru menfaat gibi.
Kanun m.5/2’de açık rıza dışında yedi hukuki sebep sayılır:
- Kanunlarda açıkça öngörülmesi
- Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda olan kişinin hayatı veya beden bütünlüğünün korunması
- Sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması
- Veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için zorunlu olması
- İlgili kişinin veriyi kendisinin alenileştirmiş olması
- Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması
- İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaati için zorunlu olması
Özel nitelikli veriler için rejim 2024’te değişti. 7499 sayılı Kanunla m.6/2 yürürlükten kaldırılmış, m.6/3 yeniden düzenlenmiştir. Artık “sağlık ve cinsel hayat” ile diğer özel nitelikli veriler arasındaki eski ikili ayrım yoktur; tek bir listede yedi işleme hâli sayılmıştır. Bu ayrımı anlatan eski kaynaklar geçerliliğini yitirmiştir.
Yaygın bir hata, her işleme için açık rıza almaya çalışmaktır. Rıza her zaman geri alınabildiği için, aslında başka bir sebebe dayanabilecek işlemeyi rızaya bağlamak süreci kırılgan hâle getirir.
Aydınlatma ve açık rıza
Aydınlatma yükümlülüğü, verinin elde edildiği anda yerine getirilir. Metinde veri sorumlusunun kimliği, işleme amacı, aktarım, toplama yöntemi ve hukuki sebep ile ilgili kişinin hakları yer alır.
Açık rıza ayrı bir irade beyanıdır; aydınlatma metninin içine gömülemez, hizmetin şartı hâline getirilemez.
VERBİS kaydı
Veri Sorumluları Sicili’ne kayıt, belirli ölçütleri aşan veri sorumluları için zorunludur.
Kural, kişisel veri işleyenlerin veri işlemeye başlamadan önce Sicile kaydolmasıdır (m.16). Kurul kararlarıyla getirilen eşikler şöyledir:
| Ana faaliyet | Muafiyet eşiği |
|---|---|
| Özel nitelikli veri işleme değilse | Yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 100 milyon TL’den az |
| Özel nitelikli veri işleme ise | Yıllık çalışan sayısı 10’dan az ve yıllık mali bilanço toplamı 10 milyon TL’den az |
Eşikler dönem dönem güncellenmiştir: 100 milyon TL sınırı 2023/1154 sayılı, özel nitelikli veri işleyenlere ilişkin ayrı eşik ise 04/09/2025 tarihli 2025/1572 sayılı Kurul kararıyla belirlenmiştir.
Ayrıca bazı meslek grupları doğrudan muaftır: noterler, siyasi partiler, serbest muhasebeci mali müşavir ve yeminli mali müşavirler, gümrük müşavirleri, arabulucular ve avukatlar (2018/32, 2018/68 ve 2018/75 sayılı Kurul kararları).
Veri ihlali bildirimi
İhlal öğrenildiğinde Kurula ve etkilenen ilgili kişilere bildirim yapılır. Bildirim süresi kısadır; müdahale planının önceden hazır olması gerekir.
Kanun m.12/5 “en kısa sürede” der; Kurul bunu 72 saat olarak somutlaştırmıştır (24/01/2019 tarihli ve 2019/10 sayılı Karar). Veri sorumlusu, ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirir; bu sürede bildiremezse gecikme gerekçesini de açıklar.
İlgili kişilere bildirim ise, etkilenenlerin belirlenmesinden sonra makul olan en kısa sürede yapılır. Bu bildirimin asgari unsurları 18/09/2019 tarihli ve 2019/271 sayılı Kararda düzenlenmiştir.
İlgili kişi başvuruları
Kişiler, kendileriyle ilgili verilere ilişkin talepte bulunabilir. Veri sorumlusunun bu başvuruları belirli süre içinde sonuçlandırması gerekir; aksi hâlde Kurula şikâyet yolu açılır.
Veri sorumlusu, başvuruyu en kısa sürede ve en geç otuz gün içinde sonuçlandırır (m.13/2). İşlem ayrıca maliyet gerektiriyorsa Kurul tarifesindeki ücret alınabilir; başvuru veri sorumlusunun hatasından kaynaklanıyorsa ücret iade edilir.
Başvuru reddedilir, cevap yetersiz bulunur veya süresinde cevap verilmezse ilgili kişi Kurula şikâyette bulunabilir: cevabı öğrenme tarihinden itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde (m.14/1).
Veri sorumlusuna başvuru zorunlu bir aşamadır; tüketilmeden şikâyet yoluna gidilemez (m.14/2).
Çanakkale’de bu süreç
Dosyanın hangi adliyede görüleceği, uyuşmazlığın türüne ve yer bakımından yetkiye göre belirlenir. Çanakkale’de iki ağır ceza merkezi bulunur. Çanakkale Adliyesi’nin yargı çevresi merkez ile Ayvacık, Bayramiç, Ezine, Gelibolu, Gökçeada ve Lapseki’dir. Eylül 2025’te faaliyete geçen Biga Ağır Ceza Mahkemesi’nin yargı çevresi ise Biga, Çan ve Yenice olarak belirlenmiştir (HSK Genel Kurulu, 06.08.2025, 1070 sayılı karar). Müstakil adliyesi bulunmayan iki ilçeden Bozcaada Ezine Adliyesi’ne, Eceabat ise Çanakkale Adliyesi’ne bağlıdır.
Hangi ilçenin hangi adliyeye bağlı olduğunu resmî kaynaklarıyla birlikte Çanakkale adliyeleri rehberinde bulabilirsiniz.
Bu konu KVKK ve Veri Koruma Hukuku çalışma alanı kapsamındadır.
Sıkça sorulan sorular
VERBİS kaydı her şirket için zorunlu mu?
Hayır. Kurul kararlarıyla belirlenen eşiklerin altında kalanlar ile bazı meslek grupları muaftır. Avukatlar, 2018/32 sayılı Kurul kararıyla VERBİS kaydından muaf tutulmuştur.
Aydınlatma ile açık rıza aynı şey mi?
Hayır. Aydınlatma her hâlde yerine getirilmesi gereken bir yükümlülüktür; açık rıza ise yalnızca belirli işleme faaliyetleri için gereken ayrı bir hukuki sebeptir.
Veri ihlali olursa ne yapılmalı?
İhlal, öğrenilmesinden itibaren gecikmeksizin Kurula ve ilgili kişilere bildirilir. Bildirim süresi kısadır; hazırlıklı olmak gerekir.