KVKK Nedir?

KVKK, "Kişisel Verilerin Korunması Kanunu"nun kısaltmasıdır. Resmî adı 6698 sayılı Kişisel Verilerin Korunması Kanunu'dur ve 7 Nisan 2016 tarihinde Resmî Gazete'de yayımlanarak yürürlüğe girmiştir.

Aynı kısaltma günlük dilde iki şeyi birden anlatır: hem kanunun kendisini, hem de kanunu uygulayan kurumu — Kişisel Verileri Koruma Kurumu'nu (KVKK) ve onun karar organı olan Kişisel Verileri Koruma Kurulu'nu.

Not: Bu içerik genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir.

Tek cümlelik cevap

KVKK, bir kişiyi belirli veya belirlenebilir kılan her türlü bilginin kim tarafından, neden, ne kadar süreyle ve hangi güvenlik önlemleriyle işlenebileceğini düzenleyen kanundur.

Kişisel veri nedir?

Kanun'un tanımı geniştir: kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi. Örnekler:

Dikkat edilmesi gereken nokta: tek başına kimlik göstermeyen bir veri, başka veriyle birleşince kişiyi belirlenebilir kılıyorsa o da kişisel veridir.

Özel nitelikli (hassas) kişisel veri

Kanun'un 6. maddesi bazı verileri ayrı bir korumaya alır: sağlık, cinsel hayat, ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep, kılık kıyafet, dernek/vakıf/sendika üyeliği, ceza mahkûmiyeti ve güvenlik tedbirleri ile biyometrik ve genetik veriler.

Bunların işlenmesi çok daha sıkı koşullara bağlıdır. Örneğin Kurul, çalışanların mesai takibi için parmak izi/yüz tanıma kullanılmasını ele alan bir ilke kararı yayımlamıştır — ayrıntı: KVKK parmak izi kararı.

Temel kavramlar

• İlgili kişi: verisi işlenen gerçek kişi (müşteriniz, çalışanınız, ziyaretçiniz)
• Veri sorumlusu: verinin neden ve nasıl işleneceğine karar veren taraf — genellikle şirketin kendisi
• Veri işleyen: veri sorumlusu adına veri işleyen taraf (bulut sağlayıcınız, muhasebeciniz)
• İşleme: toplama, kaydetme, saklama, değiştirme, aktarma, silme… veriyle yapılan her şey

Sorumluluk veri sorumlusundadır; bulut sağlayıcısına iş vermiş olmanız sizi sorumluluktan kurtarmaz.

KVKK kimleri bağlar?

Kişisel veri işleyen herkesi: 3 kişilik ajans da, holding de. Müşteri listesi, çalışan özlük dosyası, ziyaretçi defteri veya kamera sistemi olan her işletme kapsamdadır.

Kapsam dışı kalan dar alan, kişinin tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetleridir (kişisel telefon rehberiniz gibi). Ticari faaliyet bunun dışındadır.

Kayıt yükümlülüğü (VERBİS) ise ayrı bir konudur ve ölçütlere bağlıdır: hangi şirketler için zorunlu.

Veri işlemenin hukuki sebepleri (m.5)

Kişisel veri, aşağıdaki hâllerden biri varsa rıza olmadan işlenebilir:

1. Kanunlarda açıkça öngörülmesi
2. Sözleşmenin kurulması veya ifası için gerekli olması
3. Veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi
4. İlgili kişinin kendisi tarafından alenileştirilmiş olması
5. Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması
6. Meşru menfaat (temel hak ve özgürlüklere zarar vermemek kaydıyla)
7. Fiili imkânsızlık hâlinde hayatın veya beden bütünlüğünün korunması

Bunların hiçbiri yoksa açık rıza gerekir. Yaygın hata, her şey için rıza istemektir — açık rıza rehberi.

Şirket olarak ne yapmam gerekiyor?

Sıra şudur:

1. Envanter — hangi süreçte hangi veriyi neden işlediğinizi yazın (nasıl)
2. Aydınlatma metni — veri topladığınız her kanalda gösterin (nasıl)
3. Açık rıza — yalnızca gereken yerlerde, ayrı bir metinle
4. Güvenlik tedbirleri — erişim yetkileri, parola politikası, yedekleme, eğitim
5. Saklama ve imha — süreleri belirleyin, süresi dolanı imha edin
6. VERBİS — yükümlüyseniz kaydolun (nasıl)

Tam yol haritası: KVKK Uyum Rehberi.

İlgili kişinin hakları (m.11)

Herkes kendi verisi hakkında şunları isteyebilir: işlenip işlenmediğini öğrenme, bilgi talep etme, amacına uygun kullanılıp kullanılmadığını öğrenme, aktarıldığı üçüncü kişileri bilme, düzeltme, silme, yapılan işlemlerin üçüncü kişilere bildirilmesini isteme, otomatik analiz sonucu aleyhine doğan sonuca itiraz etme ve zararın giderilmesini talep etme.

Başvurular veri sorumlusuna yapılır ve en geç 30 gün içinde yanıtlanmalıdır.

Uymamanın sonucu

İdari para cezaları Kanun'un 18. maddesinde düzenlenir; aydınlatma yükümlülüğü, veri güvenliği, Kurul kararlarına uymama ve sicile kayıt yükümlülüğü başlıklarında uygulanır ve her yıl yeniden değerleme oranıyla artar. Ayrıntı: KVKK cezaları · KVKK ihlali nedir.

Sık sorulan sorular

KVKK'nın açılımı nedir?

Kişisel Verilerin Korunması Kanunu. Kısaltma hem kanunu hem de Kişisel Verileri Koruma Kurumu'nu ifade edecek şekilde kullanılır.

KVKK hangi kanun numarasıyla yürürlükte?

6698 sayılı Kanun. 7 Nisan 2016'da Resmî Gazete'de yayımlanmıştır.

KVKK ile GDPR aynı şey mi?

Hayır. Yapıları benzer, ayrıntıları farklıdır — özellikle açık rıza uygulaması, yurt dışına aktarım ve VERBİS sicili. Karşılaştırma: KVKK vs GDPR.

Küçük işletmeler muaf mı?

Hayır. Kanun ölçek ayrımı yapmaz; yalnızca VERBİS kayıt yükümlülüğü ölçütlere bağlıdır.

Kişisel veriyi silmek zorunda mıyım?

İşleme amacı ortadan kalktığında veya mevzuattaki saklama süresi dolduğunda evet — silme, yok etme veya anonim hâle getirme gerekir.

Belgelerinizi 10 dakikada hazırlayın: KVKK Otomat sihirbazı sektörünüzü seçip süreçlerinizi işaretlemenizle aydınlatma metni, açık rıza, envanter, saklama politikası ve VERBİS listesini üretir. Belgeler taslaktır; hukukçu gözden geçirmesi tavsiye edilir.