Bir iletişim formu, saha görevi fotoğrafı, müşteri görüşmesinin dökümü veya bakım kaydındaki kullanıcı adı aynı soruyu gündeme getirir: Bu bilgiyi hangi amaçla topluyoruz, kim görebiliyor ve ne zaman siliyoruz? KVKK çalışması yalnızca web sitesine bir metin koymakla tamamlanmaz. İş süreçleri, sözleşmeler, yazılım ayarları ve günlük uygulama birlikte ele alınmalıdır.
Bu rehber, 21 Ekim 2026 tarihinde gözden geçirilen resmî Kurum kaynaklarına dayanır; 2024 değişikliklerini ve aydınlatma ile açık rızanın ayrılmasına ilişkin 2026/347 sayılı İlke Kararını dikkate alır. Genel bilgilendirme içindir; belirli bir işlemin hukuki değerlendirmesi, sektör kuralları ve somut veri akışı birlikte incelenmelidir. Bu yazı bir ürünün aydınlatma metni veya uygunluk sertifikası değildir.
İlk sorular temel kavramları, devamı saha uygulamalarını, bulut ve yapay zekâ kullanımını açıklıyor. Son bölümde başvuru süreleri, ihlal yönetimi ve satın alma sırasında istenecek teknik kanıtlar bulunuyor. Her bölümün kaynak bağlantısı, açıklamanın dayandığı resmî metne ulaşmanızı sağlar.
1. KVKK nedir; hangi bilgiler kişisel veridir?
6698 sayılı Kişisel Verilerin Korunması Kanunu, kimliği belirli veya belirlenebilir gerçek kişilere ilişkin bilgilerin işlenmesini düzenler. Ad, telefon ve kimlik numarası açık örneklerdir; ancak kapsam bunlarla sınırlı değildir. Kullanıcı hesabı, cihaz kimliği, konum, IP adresi veya zaman damgası başka kayıtlarla birleştirildiğinde bir kişiyi belirlenebilir kılabilir. Bir bilginin kişisel veri sayılması için kamuya kapalı veya mahrem olması gerekmez.
Mühendislik sistemlerinde ölçüm verisi ile kişi verisini ayırmak bu nedenle önemlidir. Bir inverterin anlık güç ölçümü tek başına bir insanı anlatmayabilir; aynı ölçümle birlikte tutulan operatör adı, vardiya kaydı veya müdahale geçmişi ise kişisel veri içerebilir. Envanter oluştururken yalnızca ana veritabanına bakmayın: destek talepleri, dışa aktarılan dosyalar, ekran görüntüleri ve uygulama günlükleri de incelemeye dahildir.
Bölüm kaynakları: 6698 — Personal Data Protection Law (official English translation; Turkish text prevails) ↗
2. Küçük işletmeler ve kâğıt kayıtlar da kapsama girer mi?
Kanunun uygulanması yalnızca büyük şirketlere veya internet üzerinden satış yapan kuruluşlara özgü değildir. Kişisel verileri tamamen ya da kısmen otomatik yollarla işleyen veya bir veri kayıt sisteminin parçası olarak otomatik olmayan yollarla işleyen gerçek ve tüzel kişiler kapsamda olabilir. Belirli ölçütlerle düzenlenmiş müşteri dosyaları veya personel klasörleri de değerlendirilir. Kanundaki istisnalar, faaliyetin gerçek niteliğine göre ayrıca incelenmelidir.
Pratik başlangıç noktası şirket büyüklüğü değil, yapılan iştir: ziyaretçi kaydı tutuluyor mu, çalışan bilgisi işleniyor mu, müşteriye ait dosyalar saklanıyor mu? VERBİS kaydından istisna olmak bu soruların cevabını değiştirmez. Küçük bir ekip de erişim yetkilerini, aydınlatmayı, saklama sürelerini ve başvuru kanalını tanımlamalıdır. Hazır bir metnin indirilmesi bu operasyonel kararların yerine geçmez.
Bölüm kaynakları: 6698 — Personal Data Protection Law (official English translation; Turkish text prevails) ↗KVKK — Sicile Kayıt İstisnaları ↗
3. Veri sorumlusu ile veri işleyen arasındaki fark nedir?
Veri sorumlusu, kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen taraftır. Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına veri işler. Örneğin bir işletmenin talimatlarıyla verilerini barındıran hizmet sağlayıcının konumu ile kendi pazarlama amaçları için müşteri verisi kullanan şirketin konumu aynı değildir. Rol, sözleşmeye yazılan etiketten önce fiilen alınan kararlara göre değerlendirilir.
Aynı kuruluş farklı işlemlerde farklı roller üstlenebilir. Yazılım tedarikçisi müşterisinin kayıtlarını onun adına işlerken kendi çalışanlarına ilişkin süreçlerde veri sorumlusu olabilir. Bu nedenle her veri akışı için amaç, talimat, erişim, alt hizmet sağlayıcı ve silme sorumluluğu belirlenmelidir. Müşterinin operasyon kayıtları ile tedarikçinin faturalama veya güvenlik kayıtlarının tek bir genel açıklamada karıştırılması, başvuru ve olay yönetimini zorlaştırır.
Bölüm kaynakları: 6698 — Personal Data Protection Law (official English translation; Turkish text prevails) ↗
4. Her işlem için açık rıza almak gerekir mi?
Hayır. Kanunun 5. maddesi açık rıza dışında da işleme şartları düzenler. Kanunda açıkça öngörülme, hukuki yükümlülük, sözleşmenin kurulması veya ifası için zorunluluk ve bir hakkın tesisi, kullanılması veya korunması bunlar arasındadır. Meşru menfaat de kişinin temel hak ve özgürlüklerine zarar vermeme koşuluyla değerlendirilebilir. Her veri ve amaç için uygun şartın somut olarak belirlenmesi gerekir.
Örneğin bir hizmetin faturalanması için gereken kayıt ile ilgisiz bir reklam kampanyasında kullanılacak profil aynı amaç değildir. Her şeyi tek bir rıza kutusuna bağlamak, zorunlu işlemleri de kişinin isteğine bağlıymış gibi gösterebilir. Önce işleme amacını daraltın; gerekli veri alanlarını belirleyin; ardından hukuki sebebi ve aydınlatmayı eşleştirin. Açık rızaya dayanılıyorsa kararın belirli, bilgilendirilmiş ve özgür iradeyle verilmesi gerekir.
Bölüm kaynakları: 6698 — Personal Data Protection Law (official English translation; Turkish text prevails) ↗KVKK — 2026/347: Aydınlatma ve Açık Rızanın Ayrılması ↗
5. Aydınlatma metnini kabul etmek açık rıza mıdır?
Aydınlatma, veri sorumlusunun kişiye bilgi verme yükümlülüğüdür; açık rıza ise belirli bir işleme ilişkin irade beyanıdır. Kurulun 18 Şubat 2026 tarihli 2026/347 sayılı İlke Kararı, bu iki kavramın ayrı düzenlenmesini özellikle vurgular. Aynı sayfada yer alabilirler; fakat farklı başlıklar, ayrı metinler ve birbirine karışmayan beyanlar kullanılmalıdır. Bilgilendirmenin yapılması kişinin onayına bağlı değildir.
Arayüz tasarımında okundu bilgisini, hizmet sözleşmesini ve isteğe bağlı izinleri ayrı düşünün. Önceden işaretlenmiş bir kutu veya tek düğmeyle çok sayıda ilgisiz amacı kabul ettirme yaklaşımı sağlıklı bir kayıt oluşturmaz. Rıza gerektirmeyen bir işleme ayrıca rıza metni sunmak yerine doğru hukuki sebep açıklanmalıdır. Kaydedilen metin sürümü ve seçim zamanı, daha sonra neyin gösterildiğinin anlaşılmasına yardımcı olur.
Bölüm kaynakları: KVKK — 2026/347: Aydınlatma ve Açık Rızanın Ayrılması ↗
6. İyi bir aydınlatma metni neleri açıklamalı?
Kanunun 10. maddesi çerçevesinde veri sorumlusunun ve varsa temsilcisinin kimliği, işleme amacı, verilerin kimlere hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile ilgili kişinin hakları açıklanır. Metin gerçek işlemi anlatmalıdır. Genel bir kurum metninin her forma yapıştırılması, örneğin destek kaydıyla iş başvurusunun farklı amaçlarını görünmez hâle getirir.
Uygulama açısından kısa ve bağlama uygun bir ilk açıklama ile ayrıntıya erişim sağlayan katmanlı bir düzen yararlıdır. Mobil ekranda bağlantının görünmesi, yazının okunabilir olması ve bilgiye veri gönderilmeden önce ulaşılması gerekir. Metin değiştiğinde eski sürümü izlenebilir biçimde saklamak, ilgili akışları güncellemek ve gerçek tedarikçi listesini yeniden kontrol etmek iyi bir yönetim uygulamasıdır.
Bölüm kaynakları: KVKK — Aydınlatma Yükümlülüğü ↗KVKK — 2026/347: Aydınlatma ve Açık Rızanın Ayrılması ↗
7. Özel nitelikli kişisel veri ne demektir?
Sağlık, biyometrik ve genetik veriler ile Kanunun 6. maddesinde sayılan diğer kategoriler özel korumaya tabidir. 2024 değişikliğinden sonra bu verilerin işlenme şartları yeniden düzenlenmiştir. Eski içeriklerdeki sağlık verisi ile diğer özel nitelikli veriler arasında yapılan önceki ayrımı güncel hüküm yerine kullanmamak gerekir. Açık rıza tek olası şart değildir; ancak güncel maddede öngörülen şartlardan birinin gerçekten karşılanması gerekir.
Bir destek görüşmesinde sağlık bilgisi söylenmesi veya olay fotoğrafında yaralanma görülmesi, sıradan görünen bir sürece bu kategorileri dahil edebilir. Veri toplama formunun adı belirleyici değildir; gerçek içerik önemlidir. Gereksiz alanları kaldırmak, erişimi daraltmak, özel güvenlik tedbirlerini uygulamak ve bu bilgilerin test ortamlarına gelişigüzel taşınmasını önlemek tasarımın parçası olmalıdır.
Bölüm kaynakları: 6698 — Personal Data Protection Law (official English translation; Turkish text prevails) ↗KVKK — Özel Nitelikli Kişisel Verilerin İşlenmesi Rehberi ↗
8. Çalışan konumu ve saha görevi kayıtları nasıl ele alınmalı?
Bir görevin gerçekleştiği yeri kaydetmek ile çalışanı gün boyunca sürekli izlemek farklı işlemlerdir. Amaç, zorunluluk ve ölçülülük her biri için değerlendirilmelidir. Saha ziyaretini doğrulamak için tek seferlik konum yeterliyse sürekli arka plan takibi daha fazla gerekçe gerektirir. Çalışan ile işveren arasındaki ilişki nedeniyle açık rızanın gerçekten özgür olup olmadığı da ayrıca incelenmelidir.
Teknik şartnamede konumun ne zaman alındığı, hassasiyeti, görev dışı zamanda davranışı, kimlere gösterildiği ve ne kadar tutulduğu açık yazılmalıdır. Yetkili yöneticiye yalnızca ihtiyaç duyduğu görevi göstermek, tüm geçmişi herkese açmaktan daha kontrollüdür. Atlas gibi saha operasyonu çözümlerini değerlendirirken ürün açıklamasını, ilgili aydınlatma metnini ve kurumunuzdaki fiilî yapılandırmayı birlikte inceleyin; ürün seçimi tek başına hukuki değerlendirmeyi tamamlamaz.
Bölüm kaynakları: 6698 — Personal Data Protection Law (official English translation; Turkish text prevails) ↗
9. Kamera görüntüsü ve ses kaydı otomatik olarak biyometrik veri midir?
Her fotoğraf veya ses kaydı kendiliğinden biyometrik veri sayılmaz. Kişiyi benzersiz biçimde tanımaya veya doğrulamaya yönelik özel teknik işlemlerle oluşturulan yüz ya da ses şablonları farklı bir değerlendirme gerektirir. Buna karşılık sıradan bir kayıt da kimliği belirlenebilir kişiyi içeriyorsa kişisel veri olabilir. Güvenlik amacı, her yerde ve her ayrıntıda kayıt yapılmasını otomatik olarak haklı kılmaz.
Kamera açısı, maskeleme, izleme yetkisi ve saklama süresi birlikte tasarlanmalıdır. Görüntüyle aynı anda ses toplamak ayrıca gereklilik ve ölçülülük değerlendirmesi ister. Dar alan ölçümlemesi veya uzaktan inceleme yapan bir sistemde de görüntüye giren çalışanlar ve ziyaretçiler unutulmamalıdır. Ölçüm için gerekli yüzey geometrisini almak ile ortamın tamamını uzun süre kaydetmek arasında teknik seçenekler bulunabilir.
Bölüm kaynakları: 6698 — Personal Data Protection Law (official English translation; Turkish text prevails) ↗KVKK — İş Yerlerinde Güvenlik Kamerası Sistemi Kullanımı ↗
10. Çağrıyı yazıya çevirmek veya özetlemek yeni bir işlem midir?
Ses kaydını metne dönüştürmek, konuşmacıları ayırmak, duygu analizi yapmak ve görüşmeden karar önerisi çıkarmak birbirinden farklı işleme adımlarıdır. Kaydı almaya ilişkin değerlendirme, her sonraki kullanım için sınırsız yetki oluşturmaz. Amaç değişikliği, yeni alıcılar, yeni veri kategorileri ve yeni saklama alanları incelenmelidir. Özetin hatalı olması da ilgili kişi hakkında yanlış bilgi üretilmesine yol açabilir.
Çağrı analitiği projelerinde ham ses, metin, özet ve kalite puanının erişim kuralları ayrı belirlenebilir. İnsan doğrulaması gerektiren çıktılar açıkça ayrılmalı; yanlış dökümün düzeltildiği durumda arama indeksleri ve raporlar da güncellenmelidir. ManageCallAI veya Medya Zekası gibi kullanım alanlarını değerlendirirken yalnızca model başarımını değil, kaynak kayda dönüş, yetkilendirme ve düzeltmenin türetilmiş kayıtlara yansımasını da sorun.
Bölüm kaynakları: 6698 — Personal Data Protection Law (official English translation; Turkish text prevails) ↗
11. Kişisel veriyi bir yapay zekâ servisine gönderebilir miyiz?
Yapay zekâ kullanımı KVKK yükümlülüklerini ortadan kaldırmaz. Gönderilecek veri, amaç, hukuki sebep, hizmet sağlayıcının rolü ve aktarım koşulları belirlenmelidir. Sağlayıcının veriyi model eğitimi için kullanıp kullanmadığı, günlüklerde ne tuttuğu, insan incelemesine erişim verip vermediği ve alt sağlayıcıları önemlidir. Ücretsiz bir arayüz ile kurumsal sözleşme kapsamındaki hizmetin koşulları aynı olmayabilir.
Mühendislik açısından mümkün olan en az veri gönderilmeli, gereksiz kimlik bilgileri ayrılmalı ve testlerde sentetik örnekler tercih edilmelidir. RAG veya MCP erişimi kuruluyorsa kullanıcının göremediği belgeyi modelin de getirmemesi gerekir. Araç çağrıları, önbellekler ve değerlendirme veri kümeleri ayrı veri kopyaları oluşturabilir. Uzmanlaşmış bir modeli kurum içinde çalıştırmak bazı aktarım risklerini azaltabilir; fakat erişim, saklama ve model çıktısının doğruluğu sorunlarını kendiliğinden çözmez.
Bölüm kaynakları: 6698 — Personal Data Protection Law (official English translation; Turkish text prevails) ↗KVKK — Kişisel Verilerin Yurt Dışına Aktarılması Rehberi ↗
12. Sunucunun Türkiye'de olması yeterli midir?
Sunucunun bulunduğu ülke önemli bir bilgidir; ancak kişisel veri akışının tamamını göstermez. Uygulama günlükleri, hata izleme araçları, e-posta servisleri, bildirim hizmetleri, yedekler ve uzaktan destek erişimi farklı ülkeleri içerebilir. Bu nedenle yalnızca ana veritabanının konumuna bakılarak tüm sistem için veri yerleşimi sonucu çıkarılmamalıdır. Türkiye'de barındırma, diğer KVKK yükümlülüklerini de ortadan kaldırmaz.
Bir veri akış haritası hazırlayın ve her adımın depolama, işleme, erişim ve silme davranışını kaydedin. Sözleşmede yazan bölgeyi gerçek servis ayarları ve alt sağlayıcı listeleriyle karşılaştırın. Veri yerleşimi, Firebase, Cloudflare ve IoT mimarilerine ilişkin ilgili yazımız bu kontrolü teknik açıdan genişletiyor. Satın alma sırasında belirsiz bir yerli bulut ifadesi yerine hangi verinin nerede işlendiğini gösteren somut kanıt isteyin.
Bölüm kaynakları: KVKK — Kişisel Verilerin Yurt Dışına Aktarılması Rehberi ↗
13. 2024 sonrasında yurt dışına aktarım nasıl değerlendirilmeli?
Kanunun değişen 9. maddesi; yeterlilik kararı, uygun güvenceler ve belirli koşullardaki arızi aktarım hâllerini düzenler. Öncelikle 5. veya 6. madde kapsamındaki işleme şartı ve ardından uygun aktarım yolu değerlendirilmelidir. Düzenli bulut kullanımı için arızi aktarım istisnasına otomatik dayanılmamalıdır. Veri merkezinin adresi kadar yurt dışından erişim ve sonraki alıcılara aktarım da incelenir.
Standart sözleşmeler uygun güvence yöntemlerinden biridir; sıradan bir tedarikçi sözleşmesiyle aynı şey değildir. Uygun metin ve taraf rolleri seçilmeli, ekler gerçek akışa göre doldurulmalı ve imzalanmasından itibaren beş iş günü içindeki Kurum bildirimi dikkate alınmalıdır. Bu işlemler yalnızca belge arşivlemekten ibaret değildir: alt sağlayıcı değişikliği veya yeni bir analiz servisi, aktarım haritasının yeniden değerlendirilmesini gerektirebilir.
Bölüm kaynakları: 6698 — Personal Data Protection Law (official English translation; Turkish text prevails) ↗KVKK — Kişisel Verilerin Yurt Dışına Aktarılması Rehberi ↗KVKK — Standart Sözleşme Bildirim Modülü ↗
14. Şifrelenen veya adı kaldırılan veri anonim olur mu?
Hayır. Şifreleme bir güvenlik tedbiridir; anahtarla geri açılabilen veri kişisel veri niteliğini otomatik kaybetmez. Adı kodla değiştirmek de başka kayıtlarla yeniden eşleştirme mümkünse anonimleştirme değildir. Anonimleştirmede, veri başka bilgilerle eşleştirilse bile belirli veya belirlenebilir gerçek kişiyle ilişkilendirilememelidir. Bu ayrım özellikle araştırma verileri ve yapay zekâ eğitim kümelerinde önemlidir.
Nadir bir görev yeri, kesin zaman ve meslek bilgisi birlikte kişiyi tekrar belirlenebilir kılabilir. Bu nedenle sadece ad sütununu silmekle yetinmeyin. Veri setinin bağlamını, dışarıdan bulunabilecek bilgileri ve tekrar tanımlama ihtimalini değerlendirin. Analiz amacına uygunsa zaman veya konum hassasiyetini azaltmak, küçük grupları birleştirmek ya da yalnızca toplulaştırılmış sonuçları paylaşmak teknik seçeneklerdir.
Bölüm kaynakları: 6698 — Personal Data Protection Law (official English translation; Turkish text prevails) ↗KVKK — Silme, Yok Etme ve Anonim Hale Getirme ↗
15. Kişisel veriler kaç yıl saklanmalı?
Tüm veriler için geçerli tek bir saklama süresi yoktur. İlgili mevzuatta öngörülen süreler ve işleme amacının gerektirdiği süre birlikte değerlendirilir. Fatura, aday başvurusu, kamera kaydı, çağrı sesi ve güvenlik günlüğü aynı ihtiyaca sahip değildir. İleride lazım olabilir gerekçesi, süre sınırı olmayan bir arşivi tek başına meşrulaştırmaz. Sürenin hangi olaydan itibaren başlayacağı da tanımlanmalıdır.
Teknik uygulamada yalnızca ana tablonun tarih alanına bakmak yeterli değildir. Dosya depoları, dışa aktarımlar, arama indeksleri, rapor kopyaları ve yedekler de plana dahil edilir. Hukuki saklama gereği bulunan kayıtlar ile normal kullanımda tutulması gerekmeyen kopyalar ayrılmalıdır. Otomatik görevlerin çalıştığı, başarısız silmelerin görüldüğü ve istisnaların gerekçelendirildiği bir süreç, yazılı politikayı uygulanabilir hâle getirir.
Bölüm kaynakları: 6698 — Personal Data Protection Law (official English translation; Turkish text prevails) ↗KVKK — Silme, Yok Etme ve Anonim Hale Getirme ↗
16. Silme talebi geldiğinde her şey hemen silinir mi?
Talep geldiğinde ilgili kişinin kimliği uygun şekilde doğrulanmalı ve talebin kapsamı anlaşılmalıdır. İşlemeyi gerektiren sebepler ortadan kalkmışsa silme, yok etme veya anonimleştirme yükümlülüğü gündeme gelir. Buna karşılık geçerli bir hukuki yükümlülük veya hakkın korunması için gerekli saklama gerekçesi varsa her kaydın koşulsuz silinmesi doğru olmayabilir. Ret ya da kısmi işlem gerekçesi kişiye açıklanmalıdır.
Bir hesabı kapatmak ile veriyi silmek aynı sonuç değildir. Uygulama hesabı kapandıktan sonra destek dosyasında, vektör indeksinde veya rapor arşivinde kişisel bilgi kalabilir. Yedekten geri yükleme yapılırsa silinmiş kayıtların yeniden aktif kullanıma dönmemesi de tasarlanmalıdır. Başvuru kaydı, gerçekleştirilen işlemler ve üçüncü kişilere yapılması gereken bildirimler takip edilerek kişiye anlaşılır bir yanıt verilmelidir.
Bölüm kaynakları: 6698 — Personal Data Protection Law (official English translation; Turkish text prevails) ↗KVKK — Silme, Yok Etme ve Anonim Hale Getirme ↗
17. Kişi kendi verileri hakkında ne isteyebilir?
Kanunun 11. maddesi; verilerin işlenip işlenmediğini öğrenme, işlenmişse bilgi isteme, amacı ve amaca uygun kullanımı öğrenme, yurt içi veya dışındaki alıcıları bilme gibi haklar tanır. Eksik veya yanlış verilerin düzeltilmesini ve şartları oluştuğunda silinmesini ya da yok edilmesini istemek de bu kapsamdadır. Bu işlemlerin verilerin aktarıldığı üçüncü kişilere bildirilmesi talep edilebilir.
Yalnızca otomatik sistemlerle yapılan analiz sonucunda kişinin aleyhine bir sonucun ortaya çıkmasına itiraz ve hukuka aykırı işleme nedeniyle zararın giderilmesini talep hakları da bulunur. Bir puanlama veya yapay zekâ değerlendirmesinde kullanılan verinin kaynağını gösterebilmek, hatayı düzeltebilmek ve uygun inceleme süreci kurmak bu nedenle önemlidir. Başvuru arayüzü kişiden taleple ilgisiz yeni veriler toplamamalıdır.
Bölüm kaynakları: 6698 — Personal Data Protection Law (official English translation; Turkish text prevails) ↗
18. Başvuru ve Kurula şikâyet süreleri nedir?
Veri sorumlusu başvuruyu niteliğine göre en kısa sürede ve en geç 30 gün içinde sonuçlandırmalıdır. Kural olarak önce veri sorumlusuna başvuru yolu kullanılır. Cevabın reddedilmesi, yetersiz bulunması veya süresinde cevap verilmemesi hâlinde Kurula şikâyet yolu gündeme gelir. Süre hesabında başvurunun ulaştığı tarih ve cevabın öğrenildiği tarih saklanmalıdır.
Kurula şikâyet, cevabın öğrenilmesinden itibaren 30 gün ve her durumda başvurudan itibaren 60 gün içinde yapılır. Cevap verilmezse 30 günlük cevap süresinin bitiminden sonra, başlangıçtaki 60 günlük sınır içinde hareket edilir; geç gelen cevap bu üst sınırı yeniden başlatmaz. İşletmeler için pratik çözüm, başvuruyu sıradan destek kuyruğunda kaybetmeyen ve son tarihleri izleyen ayrı bir iş akışıdır.
Bölüm kaynakları: KVKK — 2019/9: Başvuru ve Şikâyet Süreleri ↗
19. Veri ihlalinde 72 saat kuralı neyi ifade eder?
Önce olayın Kanunun 12. maddesinin beşinci fıkrasındaki, işlenen kişisel verilerin kanuni olmayan yollarla başkalarınca elde edilmesi kapsamına girip girmediği değerlendirilir. Kurulun 2019/10 sayılı Kararı uyarınca veri sorumlusu, durumu öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirim yapmalıdır. Haklı gecikme varsa gerekçeleri açıklanır; tüm ayrıntıların kesinleşmesi beklenerek bildirim süreci durdurulmamalıdır.
Etkilenen kişilere bildirim ayrı değerlendirilir: kişiler belirlendikten sonra makul olan en kısa sürede uygun kanaldan yapılır. Veri işleyen de veri sorumlusunu gecikmeksizin bilgilendirmelidir. Teknik ekip erişimi sınırlandırırken olay zaman çizelgesini ve delilleri korumalı; kimlerin hangi verilerden etkilendiğini araştırmalıdır. Önceden belirlenmiş sorumlular ve düzenli tatbikat, olay anında yalnızca bir e-posta adresi aramaktan daha hazırlıklı bir yaklaşım sağlar.
Bölüm kaynakları: KVKK — 2019/10: Veri İhlali Bildirimi ↗
20. VERBİS istisnası tüm KVKK yükümlülüklerini kaldırır mı?
Hayır. Veri Sorumluları Siciline kayıt yükümlülüğü ile Kanunun genel yükümlülükleri ayrı konulardır. Kayıt istisnasına giren bir kuruluşun aydınlatma, güvenlik, hukuka uygun işleme ve ilgili kişi başvurularını değerlendirme yükümlülükleri devam edebilir. İstisna kararları ve uygulanma koşulları resmî Kurum kaynağından kontrol edilmelidir; eski bir danışmanlık yazısındaki eşikler güncel kabul edilmemelidir.
İşletme büyüdüğünde, ana faaliyet değiştiğinde veya özel nitelikli verilerin işlendiği yeni süreçler eklendiğinde değerlendirmeyi tekrar yapın. Teknik envanter ile Sicile yapılan bildirimlerin tutarlı olması gerekir. Bir kayıt işleminin tamamlanmış olması da sistemin güvenli veya bütün işlemlerin hukuka uygun olduğu anlamına gelmez. Envanterin sahibi ve güncelleme sorumlusu belirli olmalıdır.
Bölüm kaynakları: KVKK — Sicile Kayıt İstisnaları ↗6698 — Personal Data Protection Law (official English translation; Turkish text prevails) ↗
21. Her çerez için izin gerekir mi?
Çerezler amaçlarına ve işleme şartlarına göre değerlendirilir. Kullanıcının açıkça istediği hizmet için zorunlu işlevler ile reklam, izleme veya farklı amaçlı analiz araçları aynı gruba konmamalıdır. Açık rıza gereken çerezler seçim yapılmadan çalıştırılmamalıdır. Bir çerezin birinci taraf olması veya kısa süre tutulması, tek başına rızadan istisna olduğu anlamına gelmez.
Çerez paneli yalnızca görsel bir katman olmamalıdır. Reddetme seçeneği gerçekten isteğe bağlı etiketleri engellemeli, sonradan değiştirilen tercih uygulamaya yansımalıdır. Yeni analiz betikleri eklendiğinde ağ isteklerini ve depolama davranışını yeniden kontrol edin. Yurt dışına veri gönderen bir etiket için çerez değerlendirmesine ek olarak aktarım boyutu da incelenir; bir izin kutusu bütün bu koşulların yerine geçmez.
Bölüm kaynakları: KVKK — Çerez Uygulamaları Hakkında Rehber ↗KVKK — Kişisel Verilerin Yurt Dışına Aktarılması Rehberi ↗
22. İnternette açık olan kişisel veri serbestçe kullanılabilir mi?
Bir bilginin arama motorunda bulunması, onu her amaçla toplamaya ve yeniden kullanmaya sınırsız izin vermez. İlgili kişinin alenileştirmesi ve alenileştirme amacı değerlendirilmelidir; başka biri tarafından yayımlanmış olması aynı durum değildir. Kanunun temel ilkeleri, güncellik ve ölçülülük şartları önemini korur. Kamuya açık bir profesyonel iletişim bilgisinin bağlam dışı profil çıkarmada kullanılması ayrıca incelenir.
Medya izleme ve arama sistemlerinde kaynak bağlantısı, yayın tarihi, düzeltme ve kaldırma takibi bu nedenle değerlidir. Bir haberin eski sürümündeki yanlış bilgi, indekslerde ve yapay zekâ özetlerinde yaşamaya devam edebilir. Kaynakla bağını koruyan ve güncellemeyi türetilmiş çıktılara taşıyan bir mimari kurmak gerekir. Telif ve platform kullanım koşulları da kişisel veri değerlendirmesinden ayrı olarak ele alınmalıdır.
Bölüm kaynakları: 6698 — Personal Data Protection Law (official English translation; Turkish text prevails) ↗
23. Bir sertifika veya KVKK uyumlu yazılım yeterli güvence midir?
Güvenlik sertifikaları belirli bir kapsam ve denetim dönemi hakkında bilgi verebilir; ancak kuruluşunuzdaki her veri işleme faaliyetini hukuka uygun hâle getiren genel bir izin değildir. Aynı şekilde bir ürünün pazarlama metninde KVKK uyumlu denmesi, sizin hukuki sebebinizi, saklama sürenizi veya tedarikçi ilişkinizi otomatik belirlemez. Ürünün sağladığı kontroller ile kurumun bu kontrolleri nasıl işlettiği birlikte değerlendirilmelidir.
Kanıt isteyen sorular daha yararlıdır: Kullanıcı ayrıldığında erişimi nasıl kaldırılıyor? Yönetici işlemleri izlenebiliyor mu? Bir kaydı kim dışa aktarabiliyor? Silme işi başarısız olursa kim görüyor? Gökbilge Tech'in güvenlik ve güven sayfası ile ilgili ürün sayfaları, çözüm görüşmesinin başlangıç noktasıdır. Somut proje için özellik, sorumluluk ve kabul ölçütleri yazılı olarak netleştirilmelidir.
Bölüm kaynakları: 6698 — Personal Data Protection Law (official English translation; Turkish text prevails) ↗
24. KVKK ihlalleri yalnızca para cezasına mı yol açar?
Kanun idari yaptırımların yanında kişisel verilere ilişkin suçlar bakımından Türk Ceza Kanunu hükümlerine de atıf yapar. Somut olaya göre tazminat talepleri, sözleşmesel sonuçlar ve Kurul kararlarının uygulanması da gündeme gelebilir. İdari para cezası tutarları yıllara göre değiştiği için eski bir rakamı sabit bütçe kalemi gibi kullanmak doğru değildir; Kurumun ilgili yıl için yayımladığı tabloya bakılmalıdır.
İşletme açısından maliyet yalnızca yaptırım tutarı değildir. Olay araştırması, hizmet kesintisi, müşteri iletişimi, kayıtların düzeltilmesi ve sözleşmelerin yeniden ele alınması da kaynak gerektirir. Önleyici çalışmayı sadece ceza olasılığına göre değil, iş sürekliliği ve güven ilişkisi üzerinden planlamak daha sağlıklı olur. Hangi yaptırımın uygulanacağı ise somut olayın yetkili mercilerce değerlendirilmesine bağlıdır.
Bölüm kaynakları: 6698 — Personal Data Protection Law (official English translation; Turkish text prevails) ↗KVKK — İdari Para Cezası Tutarları ↗
25. Yeni bir yazılım alırken hangi kanıtlar istenmeli?
Önce iş senaryosunu yazın: hangi kişiler, hangi veriler, hangi amaçlar, hangi ülkeler ve hangi kullanıcı rolleri söz konusu? Ardından tedarikçinin genel sunumunu bu senaryoya göre sınayın. Demo sırasında yalnızca başarılı kullanıcı akışını görmek yeterli değildir. Yetkisiz erişim, kullanıcı ayrılışı, yanlış kayıt düzeltme, veri dışa aktarma ve silme gibi yaşam döngüsü işlemlerini de konuşun.
Aşağıdaki kontrol başlıkları hukuki görüşün yerine geçmez; teknik görüşme ve kabul planını somutlaştırır. Kurumunuzun hukuk, bilgi güvenliği ve operasyon ekipleri aynı veri akışı üzerinde çalışmalıdır. Bağımsız bir yazılım ve donanım evi olarak Gökbilge Tech ile çözüm kapsamı görüşülürken de yalnızca uygulama ekranları değil; cihazdan merkezi servise, entegrasyonlardan raporlamaya kadar zincirin tamamı tanımlanmalıdır.
| Konu | Sorulacak soru | İstenecek kanıt |
|---|---|---|
| Veri akışı | Hangi veri nereye gidiyor? | Servis, ülke, alıcı ve alt sağlayıcı haritası |
| Yetkilendirme | Rol sınırları gerçekten uygulanıyor mu? | Rol matrisi ve yetkisiz erişim denemesi |
| Saklama ve silme | Kopyalar ve yedekler nasıl yönetiliyor? | Süre politikası, görev kayıtları ve geri yükleme prosedürü |
| Yapay zekâ | Girdi ve çıktılar nerede tutuluyor? | Eğitim kullanımı, günlükleme ve insan erişimi koşulları |
| Olay ve başvuru | Kim hangi sürede harekete geçiyor? | Sorumluluk matrisi, eskalasyon ve örnek tatbikat |
Bölüm kaynakları: 6698 — Personal Data Protection Law (official English translation; Turkish text prevails) ↗
26. Saha fotoğrafından yapay zekâ raporuna örnek akış nasıl kurulmalı?
Bir teknisyenin bakım sonrası fotoğraf yüklediğini, merkezin bunu incelediğini ve yapay zekânın rapor taslağı oluşturduğunu düşünelim. Önce fotoğrafta kişi bulunmasının gerçekten gerekli olup olmadığı sorulur. Gerekli değilse çekim yönü, kırpma veya maskeleme ile veri azaltılır. Görev ve cihaz bilgileri ihtiyaca göre bağlanır; tüm müşteri arşivi yerine yalnızca ilgili kayda erişim verilir. Konum hassasiyeti de amaçla sınırlanır.
Sonraki adımda analiz servisinin veri akışı ve aktarım koşulları kontrol edilir; model çıktısı insan tarafından doğrulanır. Ham fotoğraf, rapor ve işlem günlükleri için ayrı saklama kararları tanımlanır. Düzeltme talebinin rapora ve arama indeksine nasıl yansıyacağı test edilir. Böylece KVKK konusu yalnızca sonradan eklenen bir metin olmaktan çıkar; cihaz seçimi, veri hattı, yetki modeli ve işletim prosedürünün ortak tasarım girdisi olur.
Bölüm kaynakları: 6698 — Personal Data Protection Law (official English translation; Turkish text prevails) ↗KVKK — Kişisel Verilerin Yurt Dışına Aktarılması Rehberi ↗
Teknik kaynaklar
- 6698 — Personal Data Protection Law (official English translation; Turkish text prevails) ↗
- KVKK — Aydınlatma Yükümlülüğü ↗
- KVKK — 2026/347: Aydınlatma ve Açık Rızanın Ayrılması ↗
- KVKK — Özel Nitelikli Kişisel Verilerin İşlenmesi Rehberi ↗
- KVKK — Kişisel Verilerin Yurt Dışına Aktarılması Rehberi ↗
- KVKK — Standart Sözleşme Bildirim Modülü ↗
- KVKK — Çerez Uygulamaları Hakkında Rehber ↗
- KVKK — İş Yerlerinde Güvenlik Kamerası Sistemi Kullanımı ↗
- KVKK — Silme, Yok Etme ve Anonim Hale Getirme ↗
- KVKK — 2019/9: Başvuru ve Şikâyet Süreleri ↗
- KVKK — 2019/10: Veri İhlali Bildirimi ↗
- KVKK — Sicile Kayıt İstisnaları ↗
- KVKK — İdari Para Cezası Tutarları ↗
Bu yaklaşımı kendi sisteminize uyarlamak ister misiniz?
Teknik ihtiyacınızı paylaşın →