30 saniyede özet: 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kişisel verisi işlenen herkese veri sorumlusuna başvurma, bilgi alma, düzeltme ve silme talep etme hakkı tanır. Veri sorumlusu, açık rıza olmadan veri işleyemez — kanunda sayılan yedi istisnadan biri (sözleşmenin ifası, hukuki yükümlülük, meşru menfaat vb.) yoksa açık rıza zorunludur. Başvuru veri sorumlusuna yazılı yapılır, 30 gün içinde ücret alınmadan cevaplanır; cevap gelmez veya yetersiz bulunursa Kişisel Verileri Koruma Kurulu’na şikâyet yolu açılır. İhlal hâlinde Kurul, ihlalin türüne göre kanunda öngörülen taban-tavan aralığında idari para cezası uygulayabilir; bu tutarlar her yıl yeniden değerleme oranıyla güncellenir.
Son güncelleme: Eylül 2026 — Kanun maddeleri, veri sorumlusuna başvuru usulü ve idari para cezası mekanizması güncellendi.
Kanuni Dayanak
Kişisel verilerin korunması, 24.03.2016 tarihli ve 6698 sayılı Kişisel Verilerin Korunması Kanunu ile düzenlenir (RG 07.04.2016/29677). Kanunun amacı, m.1’e göre “kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemektir.”
KVKK Kime Uygulanır?
Kanun m.2 uyarınca, kişisel verileri tamamen veya kısmen otomatik yollarla ya da bir veri kayıt sisteminin parçası olarak otomatik olmayan yollarla işleyen tüm gerçek ve tüzel kişiler kapsama girer. Yani yalnız büyük şirketler değil, çalışan/müşteri bilgisi tutan her işletme, apartman yönetimi, dernek ve hatta serbest meslek sahibi de veri sorumlusu sayılabilir.
Genel İlkeler ve İşlenme Şartları
Kanun m.4’e göre kişisel veriler ancak (a) hukuka ve dürüstlük kurallarına uygun, (b) doğru ve güncel, (c) belirli-açık-meşru amaçla, (ç) amaçla sınırlı ve ölçülü, (d) amaç için gerekli süre kadar işlenebilir.
Asıl kural m.5/1’de: “Kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez.” Açık rıza aranmayan yedi istisna m.5/2’de sayılır:
| İstisna (m.5/2) | Kısaca |
|---|---|
| (a) Kanunlarda açıkça öngörülmesi | Başka bir kanun veri işlemeyi zorunlu kılıyorsa |
| (b) Hayat/beden bütünlüğü zorunluluğu | Rıza alınamayan acil durumlarda |
| (c) Sözleşmenin kurulması/ifası | Taraflara ait veri, sözleşmeyle doğrudan ilgiliyse |
| (ç) Veri sorumlusunun hukuki yükümlülüğü | Örn. vergi, SGK bildirimleri |
| (d) İlgili kişinin kendi alenileştirmesi | Kişi veriyi kendisi kamuya açmışsa |
| (e) Bir hakkın tesisi/kullanılması/korunması | Örn. dava/icra takibi için gerekli veri |
| (f) Veri sorumlusunun meşru menfaati | İlgili kişinin temel haklarına zarar vermemek şartıyla |
Irk, etnik köken, siyasi düşünce, din, sağlık, cinsel hayat, ceza mahkûmiyeti gibi özel nitelikli kişisel veriler Irk, etnik köken, siyasi düşünce, din, sağlık, cinsel hayat, ceza mahkûmiyeti gibi özel nitelikli kişisel veriler (m.6) daha sıkı korunur: bunların işlenmesi yasaktır; yalnızca m.6/3’te sayılan şartlardan biri (açık rıza, kanunlarda öngörülme, hakkın tesisi, sır saklama yükümlülüğü altındaki kişilerce kamu sağlığı amacıyla işleme vb.) varsa ve m.6/4’teki yeterli önlemler alınarak işlenebilir.
İlgili Kişinin Hakları (m.11)
Kişisel verisi işlenen herkes, veri sorumlusuna başvurarak şunları talep edebilir:
- Verisinin işlenip işlenmediğini öğrenme
- İşlenmişse buna ilişkin bilgi talep etme
- İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme
- Yurt içinde/dışında aktarıldığı üçüncü kişileri bilme
- Eksik/yanlış işlenen verinin düzeltilmesini isteme
- Kanuni şartlar oluştuğunda verinin silinmesini/yok edilmesini isteme
- Bu düzeltme/silme işlemlerinin aktarılan üçüncü kişilere de bildirilmesini isteme
- Otomatik sistemlerle analiz sonucu kendisi aleyhine çıkan sonuca itiraz etme
- Kanuna aykırı işleme nedeniyle uğradığı zararın giderilmesini talep etme
Veri Sorumlusuna Başvuru ve Kurul’a Şikâyet Süreci
| Aşama | Süre / Usul |
|---|---|
| 1. Veri sorumlusuna yazılı başvuru (m.13) | Veri sorumlusu en geç 30 gün içinde, kural olarak ücret alınmadan cevaplar |
| 2. Kurul’a şikâyet (m.14) | Başvurunun reddedilmesi veya cevabın yetersiz bulunması hâlinde, süresinde verilen cevabın öğrenildiği tarihten itibaren 30 ve her hâlde veri sorumlusuna başvurudan itibaren 60 gün içinde Kurula şikâyet edilebilir. Süresinde cevap verilmezse 30 günlük cevap süresi dolduktan sonra, başvurudan itibaren 60 gün içinde şikâyet edilebilir; önce veri sorumlusuna başvuru zorunludur. |
| 3. Kurul incelemesi (m.15) | Şikâyetten itibaren 60 gün içinde cevap verilmezse talep reddedilmiş sayılır |
| 4. Kararın uygulanması | İhlal tespit edilirse, tebliğden itibaren en geç 30 gün içinde giderilir |
Kişilik hakları ihlal edilenlerin genel hükümlere göre ayrıca tazminat davası açma hakkı saklıdır (m.14/3).
İdari Para Cezaları (m.18)
Kanun m.18, ihlalin türüne göre dört ayrı ceza kalemi öngörür — bu tutarlar Kanunun 2016 yürürlük tarihindeki taban/tavan değerleridir ve her yıl Hazine ve Maliye Bakanlığı’nın yeniden değerleme oranına göre artırılır:
| İhlal | Kanuni taban-tavan (2016) |
|---|---|
| Aydınlatma yükümlülüğüne uymama (m.10) | 5.000 – 100.000 TL |
| Veri güvenliği yükümlülüklerine uymama (m.12) | 15.000 – 1.000.000 TL |
| Kurul kararlarını yerine getirmeme (m.15) | 25.000 – 1.000.000 TL |
| VERBİS kayıt/bildirim yükümlülüğüne aykırılık (m.16) | 20.000 – 1.000.000 TL |
2026 için güncel tutarları öğrenmek için Kişisel Verileri Koruma Kurumu’nun (kvkk.gov.tr) yıl başında yayımladığı güncel tutar duyurusuna bakılmalıdır — yeniden değerleme oranı her yıl değiştiğinden bu sayfada sabit bir 2026 rakamı vermek yanıltıcı olur. Ayrıca m.17 uyarınca, kişisel verileri hukuka aykırı işleyenler hakkında TCK m.135-140 (özellikle m.138 — verileri silmeme/anonimleştirmeme) kapsamında adli ceza da gündeme gelebilir; idari para cezası ile adli ceza birbirini dışlamaz.
Yönetmelikle Bile Açık Rıza Şartı Aşılamaz (Danıştay Örneği)
Danıştay 10. Daire’nin bir kararında (E.2018/5251, K.2021/1860, 15.04.2021) KVKK m.6’daki “özel nitelikli kişisel veri” korumasının ne kadar katı olduğu somut bir örnekle ortaya konmuştur: bir yönetmelik değişikliğiyle derneklere, üyelerinin (T.C. kimlik no, meslek, öğrenim durumu dahil) bilgilerini üyelerin açık rızası alınmadan idareye bildirme zorunluluğu getirilmişti.
Danıştay, dernek/vakıf/sendika üyeliğinin KVKK m.6 uyarınca özel nitelikli kişisel veri sayıldığını, bu verilerin ilgilinin açık rızası olmaksızın işlenmesinin kanunla yasaklandığını, bir yönetmeliğin bu yasağı bertaraf edecek şekilde düzenleme yapamayacağını belirterek ilgili yönetmelik hükmünü İPTAL ETMİŞTİR. Karar, açık rıza şartının yalnız özel şirketler için değil, kamu idareleri için de bağlayıcı olduğunu gösteren güçlü bir örnektir.
Sıkça Sorulan Sorular
KVKK’ya göre açık rıza her zaman gerekli mi?
Hayır. Kanunda sayılan yedi istisnadan biri varsa (m.5/2) — örneğin veri işleme bir sözleşmenin ifası için zorunluysa veya kanuni bir yükümlülüğün yerine getirilmesi içinse — açık rıza aranmaz.
Veri sorumlusuna başvurumu nereye ve nasıl yapmalıyım?
Başvuru, veri sorumlusuna (şirket, kurum, kişi) yazılı olarak veya Kurul’un belirlediği diğer yöntemlerle (KEP, elektronik imzalı e-posta vb.) yapılır. Doğrudan Kurul’a başvuru YAPILAMAZ — önce veri sorumlusuna başvuru şarttır.
Başvurum 30 gün içinde cevaplanmazsa ne yapabilirim?
Veri sorumlusu 30 gün içinde cevap vermezse, bu sürenin dolmasından sonra ve veri sorumlusuna başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kuruluna şikâyette bulunabilirsiniz. 30 günlük süreden sonra verilen cevabı beklemek zorunda değilsiniz; geç cevap yeni bir 30 günlük şikâyet süresi başlatmaz.
Veri sorumlusuna başvuru ücretli mi?
Kural olarak hayır — m.13/2 gereği talep en geç 30 gün içinde ücret alınmadan sonuçlandırılır. Ancak işlemin ayrıca bir maliyeti varsa (örn. büyük hacimli fiziksel kopya), Kurul’un belirlediği tarifedeki ücret istenebilir.
KVKK ihlali için doğrudan tazminat davası açabilir miyim?
Evet, m.14/3 bu hakkı saklı tutar — Kurul şikâyet sürecinden bağımsız olarak, kişilik haklarının ihlali nedeniyle genel hükümlere (TBK m.49 vd.) göre maddi/manevi tazminat davası açılabilir.
Hangi işletmeler VERBİS’e kayıt olmak zorunda?
Kanun m.16 gereği kişisel veri işleyen gerçek ve tüzel kişiler kural olarak Veri Sorumluları Siciline (VERBİS) kaydolmak zorundadır; Kurul, veri hacmi/niteliği gibi objektif kriterlere göre bazı gruplara istisna tanıyabilir. İstisna kapsamına girip girmediğiniz güncel Kurul kararlarından kontrol edilmelidir.
Özel nitelikli kişisel veri nedir, neden daha sıkı korunur?
Irk, etnik köken, siyasi/dini görüş, sağlık, cinsel hayat, ceza mahkûmiyeti, biyometrik/genetik veri gibi bilgiler m.6 kapsamında özel nitelikli sayılır; kötüye kullanımı ayrımcılık riski taşıdığından açık rıza olmadan işlenmesi kural olarak yasaktır.
İşten ayrılan bir çalışanın verilerini süresiz saklayabilir miyiz?
Hayır. m.4/2(d) gereği veriler ancak mevzuatta öngörülen veya işlendikleri amaç için gerekli süre kadar saklanabilir; süre dolunca m.7 uyarınca silinmesi, yok edilmesi veya anonim hâle getirilmesi gerekir.
KVKK Kurulu resen (şikâyet olmadan) inceleme başlatabilir mi?
Evet, m.15/1 Kurul’a hem şikâyet üzerine hem de bir ihlal iddiasını öğrenmesi durumunda resen inceleme yetkisi tanır.
İlgili Hizmet Alanlarımız
Bilişim hukuku ve kişisel veri uyuşmazlıklarında büromuzun sunduğu diğer içerikler için Bilişim Hukuku Avukatı ve İstanbul Bilişim Avukatı sayfalarımızı inceleyebilirsiniz.
Resmî Kaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu, RG 07.04.2016/29677
- Kişisel Verileri Koruma Kurumu — kvkk.gov.tr
Hazırlayan
Av. Bilal ALYAR. ALYAR LAW & CONSULTANCY, bilişim ve kişisel veri hukuku alanında danışmanlık vermektedir.