KVKK Hukuku | 6698 Sayılı Kanun, Veri Sorumlusu, VERBİS, Veri İhlali 2026

VERBİS Kayıt ve Sicil Süreci 2026 — Adım Adım Rehber

Veri Sorumluları Sicil Bilgi Sistemi (VERBİS), 6698 sayılı Kişisel Verilerin Korunması Kanunu md. 16 kapsamında veri sorumlularının kayıt yükümlülüğünü elektronik ortamda yerine getirdiği platformdur. Kurul, çalışan sayısı 50’den çok veya yıllık mali bilanço toplamı 100 milyon TL’den çok olan gerçek ve tüzel kişi veri sorumlularını, kamu kurumlarını ve özel nitelikli kişisel veri işleyenleri kayıtla yükümlü kılmıştır. Yurt dışında yerleşik veri sorumluları için ise hiçbir eşik aranmaz; Türkiye’de kişisel veri işleyen her yabancı veri sorumlusu VERBİS’e kaydolmak zorundadır.

Kayıt süreci, veri sorumlusu temsilcisi veya irtibat kişisi atanması ile başlar. Gerçek kişi veri sorumluları için temsilci atama zorunluluğu bulunmazken, tüzel kişi veri sorumluları Türkiye’de mukim bir gerçek kişiyi irtibat kişisi olarak atar. Ardından e-Devlet kapısı üzerinden verbis.kvkk.gov.tr adresine giriş yapılır ve kuruluş bilgileri, işlenen veri kategorileri, veri konusu kişi grupları, aktarım yapılan alıcı grupları, saklama süreleri ve veri güvenliği tedbirleri detaylı biçimde beyan edilir.

Kayıt sırasında en sık yapılan hatalar; işleme amaçlarının genel ifadelerle geçiştirilmesi, saklama sürelerinin “gerektiği kadar” gibi muğlak belirtilmesi, aktarım yapılan üçüncü tarafların eksik bildirilmesi ve özel nitelikli veri işleme faaliyetlerinin gizlenmesidir. Kurul denetimlerinde bu hatalar, kayıt bildiriminin doğru yapılmamış sayılmasına ve idari para cezasına yol açabilir. Kayıt zamanında yapılmaz veya eksik bildirilirse KVKK m.18/1-ç uyarınca idari para cezası uygulanır.

Aydınlatma Metni Hazırlama — Zorunlu Unsurlar ve Örnek Yapı

KVKK md. 10 kapsamında veri sorumlusu, kişisel verilerin elde edildiği sırada ilgili kişiye veri sorumlusunun ve varsa temsilcisinin kimliği, verilerin hangi amaçla işleneceği, işlenen verilerin kimlere hangi amaçla aktarılabileceği, veri toplamanın hukuki sebebi ve yöntemi ile md. 11’de sayılan hakları hakkında bilgi vermekle yükümlüdür. Aydınlatma yükümlülüğünün yerine getirilmemesi, ağır idari para cezasına tabidir.

Etkin bir aydınlatma metni şu unsurları içermelidir: veri sorumlusu tam unvanı ve iletişim bilgileri, işleme amacı bazlı kategorik gruplandırma (hizmet sunumu, pazarlama, güvenlik vb. amaçların ayrı ayrı belirtilmesi), her amaç için işlenen veri kategorileri, her amaç için hukuki sebep md. 5/2 veya md. 6/3 atıfları, yurt içi ve yurt dışı aktarım alıcıları (adı ile belirtilmeli, “iş ortakları” gibi muğlak ifadelerden kaçınılmalı), saklama süreleri tablo halinde, ilgili kişi hakları listesi, başvuru usulü ve adresleri. Alıcı gruplarının açık ve anlaşılır biçimde belirtilmesi gerekir.

Açık Rıza Şartları ve Hukuki Sebepler Hiyerarşisi

6698 sayılı Kanun md. 5/2 hukuki sebepleri arasında açık rıza yalnızca son başvurulacak hukuki sebeptir. Bir veri işleme faaliyeti; kanunlarda açıkça öngörülmüşse, sözleşmenin kurulması veya ifası için zorunluysa, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için zorunluysa, ilgili kişinin kendisi tarafından alenileştirilmişse, bir hakkın tesisi/kullanılması/korunması için veri işlemek zorunluysa veya ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati için zorunluysa açık rıza aranmaz.

Açık rızanın geçerli sayılması için üç şart birlikte aranır: özgür iradeyle verilmiş olması, belirli bir konuya ilişkin olması, bilgilendirilmeye dayanması. Hizmet sunumunun açık rızaya bağlanması (“kabul etmezseniz hizmet veremeyiz&#8221) özgürlük şartını ihlal eder. Benzer şekilde e-posta kutucuğu önceden işaretli olan (pre-ticked) rıza metinleri, opt-out zorunluluğu getirmeleri nedeniyle GDPR ve KVKK bakımından geçersizdir.

KVKK İdari Para Cezası Tablosu — 2025-2026 Güncel Rakamlar

KVKK md. 18’de düzenlenen idari para cezaları her yıl 213 sayılı Vergi Usul Kanunu md. 298 uyarınca yeniden değerleme oranında artırılır. Kanundaki baz tutarlar şöyledir: aydınlatma yükümlülüğüne aykırılık 5.000 TL ile 100.000 TL arası, veri güvenliği yükümlülüklerine aykırılık 15.000 TL ile 1.000.000 TL arası, Kurul kararlarına uymama 25.000 TL ile 1.000.000 TL arası, VERBİS kayıt ve bildirim yükümlülüğüne aykırılık 20.000 TL ile 1.000.000 TL arası. Bu tutarlar her yıl yeniden değerleme oranıyla güncellenir; güncel tutarlar için Kişisel Verileri Koruma Kurumu duyurularına bakılmalıdır.

Kurul, ceza miktarı belirlenmesinde ihlalin süresini, etkilenen ilgili kişi sayısını, veri sorumlusunun ekonomik büyüklüğünü, iş birliği tutumunu ve tekerrür durumunu göz önünde bulundurur.

Unutulma Hakkı Başvurusu — Google, Yandex ve Veri Sorumluları

Unutulma hakkı, KVKK md. 7 (verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi) ve md. 11/e kapsamında ilgili kişinin kendisi ile ilgili verilerin güncel olmaması veya işleme amacının ortadan kalkması halinde talep edilebilir. Anayasa Mahkemesi’nin bireysel başvuru kararları (ör. N.B.B., B. No: 2013/5653, 03.03.2016, Genel Kurul) ile bu hak anayasal koruma altına alınmıştır. Başvuru, önce arama motoru veya içerik sahibine yapılır.

Google için google.com/webmasters/tools/legal-removal-request adresindeki “Avrupa gizlilik kararları kapsamında kaldırma” formu kullanılır. Başvuruyu reddederse KVKK Kurulu’na şikayet yolu açılır. Kurul, kamu yararı ile özel yaşam arasındaki dengeyi somut olaya göre değerlendirir. Kamu yararı taşıyan bilgilerin kaldırılması somut olaya göre değerlendirilir; kişisel yaşam alanına ilişkin içeriklerin kaldırılması talepleri de aynı biçimde değerlendirilir. Kurul kararına karşı yetkili idare mahkemesinde dava açılabilir.

Yurt Dışına Veri Aktarımı — Taahhütname ve BCR Sistemi

KVKK md. 9’da düzenlenen yurt dışına veri aktarımı, 2024 yılında 7499 sayılı Kanun ile önemli değişikliğe uğradı. Değişiklikten sonra aktarım öncelikle iki dayanağa bağlanmıştır: Kurulun yeterlilik kararı bulunan ülkeye aktarım ve yeterlilik kararı yoksa uygun güvencelerle aktarım (standart sözleşme, bağlayıcı şirket kuralları, Kurul izniyle taahhütname). Bu dayanaklar bulunmadığında açık rıza dahil m.9/6’daki arızi istisnalar uygulanabilir.

Taahhütname, yeterli korumayı sağlayacak hükümleri içeren yazılı bir belgedir ve aktarım için Kurul izni gerekir (KVKK m.9/4-ç); standart sözleşme ise imzalanmasından itibaren beş iş günü içinde Kuruma bildirilir (m.9/5). Kurul 2024’te Standart Sözleşme şablonları yayımlamıştır (modüler yapı; controller-to-controller, controller-to-processor, processor-to-processor, processor-to-controller). BCR ise çok uluslu şirket grupları için önceden onaylanmış, grup içi aktarımları düzenleyen genel çerçevedir. BCR başvurularında çapraz sınır denetimi, şikayet mekanizması ve ilgili kişi hakları ayrıntılı biçimde düzenlenir.

Sektörel KVKK Uyumu — E-Ticaret, Sağlık, Bankacılık, İnsan Kaynakları

E-ticaret: Üyelik formu, sepet kaydı, ödeme, kargo, pazarlama her biri ayrı amaç ve hukuki sebep gerektirir. Cayma hakkı bildirimi KVKK aydınlatmasıyla birlikte sunulmalıdır. Çerezler için kategori bazlı rıza yönetimi (tercih merkezi) zorunludur.

Sağlık sektörü: Özel nitelikli kişisel veri (md. 6) işleme rejimi uygulanır. Sağlık verileri yalnızca kamu sağlığı, koruyucu hekimlik, tıbbi teşhis, sağlık hizmetleri yönetimi ve finansmanı amacıyla, sır saklama yükümlülüğü altındaki kişilerce açık rıza aranmaksızın işlenebilir. Dışarıdaki pazarlama, araştırma amaçları için açık rıza şarttır.

Bankacılık ve finans: 5411 sayılı Bankacılık Kanunu md. 73 ve 6493 sayılı Ödeme Hizmetleri Kanunu ile KVKK arasında özel hüküm önceliği uygulanır. Müşteri sırrı ve banka sırrı kapsamındaki veriler, KVKK’nın yanı sıra özel düzenlemelere tabidir. Kara para aklamayla mücadele amaçlı veri işleme (5549 sayılı Kanun) özel hukuki sebep oluşturur.

İnsan kaynakları: İşe alım sürecinde referans kontrolü, sağlık raporu talebi, CV kaydı için hukuki sebepler ayrıştırılmalıdır. Çalışan iletişim bilgisi sözleşme ifası, özlük dosyası hukuki yükümlülük, işyeri kamerası meşru menfaat hukuki sebebine dayanır. Çalışan gözetimi (keylogger, bilgisayar izleme, GPS) meşru menfaat testinden geçmelidir;

Veri İhlali Bildirimi — 72 Saat Kuralı ve İçerik

KVKK md. 12/5 uyarınca işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde, veri sorumlusu bu durumu en kısa sürede ilgili kişiye ve Kurul’a bildirmekle yükümlüdür. Kurul 2019 kararıyla “en kısa süre” ifadesini 72 saat olarak belirlemiştir. Bildirim, verbis.kvkk.gov.tr üzerindeki “Veri İhlali Bildirim Formu” ile yapılır ve ihlalin niteliği, etkilenen kişi sayısı, olası sonuçları, alınan önlemler detaylı biçimde açıklanır.

Bildirimin geç yapılması, eksik bildirilmesi veya hiç yapılmaması; veri güvenliği yükümlülük ihlali kapsamında değerlendirilir ve KVKK m.18/1-b uyarınca idari para cezası uygulanır. İhlalin niteliğine göre ayrıca TCK 136 (verileri hukuka aykırı ele geçirme) kapsamında cezai sorumluluk da doğabilir. İhlale maruz kalan ilgili kişilerin TBK m.49 ve m.58 kapsamında tazminat davası hakkı saklıdır.

KVKK Şikayet ve Başvuru Yolları — Aşamalı Prosedür

İlgili kişi, KVKK md. 13 kapsamında önce veri sorumlusuna başvurur. Başvuru yazılı olarak veya Kurul’un belirleyeceği elektronik yöntemlerle (KEP, güvenli e-imza, kayıtlı e-posta) yapılır. Veri sorumlusu en geç 30 gün içinde başvuruyu cevaplamakla yükümlüdür. Cevap olumsuz ise, cevap verilmezse veya verilen cevap yetersiz bulunursa ilgili kişi 30 gün içinde (en geç başvurunun üzerinden 60 gün geçmemek şartıyla) KVKK Kurulu’na şikayet edebilir.

Kurul şikayeti inceleyip 60 gün içinde karar verir. Kurul; ihlali tespit ederse veri sorumlusuna uyarıdan idari para cezasına, veri işlemenin durdurulmasından verilerin silinmesine kadar geniş bir yaptırım spektrumuyla müdahale edebilir. Kurul kararına karşı 60 gün içinde yetkili idare mahkemesinde iptal davası açılabilir. İstinaf (bölge idare mahkemesi) ve Danıştay yolu tüketildikten sonra Anayasa Mahkemesi’ne bireysel başvuru imkanı doğar.

Sıkça Sorulan Sorular — KVKK 2026

KVKK kaç yılında yürürlüğe girdi?

6698 sayılı Kişisel Verilerin Korunması Kanunu, 7 Nisan 2016 tarihinde Resmi Gazete’de yayımlanarak yürürlüğe girmiştir. Kanunun 8, 9, 11, 13, 14, 15, 16, 17 ve 18. maddeleri yayımından altı ay sonra yürürlüğe girmiştir (m.32). 2024’te 7499 sayılı Kanun ile yurt dışına aktarım rejiminde kapsamlı değişiklik yapılmıştır.

KVKK ve GDPR arasındaki temel fark nedir?

GDPR (2016/679) AB düzenlemesidir ve 27 üye devlet için doğrudan uygulanır. KVKK ise Türk iç hukukunun parçasıdır. GDPR’da hesap verebilirlik ilkesi, DPO zorunluluğu, veri koruma etki değerlendirmesi (DPIA) açıkça düzenlenmiştir; KVKK’da bu kavramlar yönetmelik ve Kurul kararları ile geliştirilmektedir. İdari para cezası üst sınırları GDPR’da 20 milyon Euro veya yıllık cironun %4’ü iken KVKK’da m.18’deki baz tutarlar her yıl yeniden değerleme oranıyla güncellenir.

VERBİS kayıt cezası ne kadar?

VERBİS kayıt yükümlülüğüne aykırılık halinde KVKK m.18/1-ç uyarınca 20.000 TL ile 1.000.000 TL arasındaki baz tutarlar (her yıl yeniden değerlenir) üzerinden idari para cezası uygulanır. Ceza miktarı; ihlalin süresine, veri sorumlusunun büyüklüğüne ve tekerrür durumuna göre belirlenir.

Kişisel veri ihlali yaşadım, nereye şikayet ederim?

Önce veri sorumlusuna yazılı başvuru yapın (KVKK md. 13). 30 gün içinde cevap vermez veya yetersiz cevap gelirse KVKK Kurulu’na şikayet edebilirsiniz (md. 14). Paralel olarak verileriniz suç kapsamında ise TCK 135-140 uyarınca savcılığa şikayet hakkı da vardır; idari ve cezai süreçler birbirinden bağımsız yürür.

Aydınlatma metni zorunlu mu, nerelerde olmalı?

Evet, zorunludur. KVKK md. 10 uyarınca kişisel verinin elde edildiği her temas noktasında aydınlatma metni sunulmalıdır: üyelik formu, kargo teslim fişi, işyeri kamerası girişi, işe alım formu, anketler, call center kayıt anonsu, bülten kaydı gibi. Aydınlatma yapmamanın cezası KVKK m.18/1-a uyarınca 5.000 TL – 100.000 TL baz tutarları arasındadır ve her yıl yeniden değerlenir.

Açık rıza her zaman gerekli mi?

Hayır. KVKK md. 5/2’de sayılan yedi hukuki sebepten biri varsa açık rıza gerekmez. Örneğin sözleşmenin ifası için gerekli veriler, kanuni yükümlülük gereği işlenen veriler, veya ilgili kişinin alenileştirdiği veriler açık rıza aranmaksızın işlenebilir. Açık rıza en son başvurulacak hukuki sebeptir.

Çerez (cookie) için rıza gerekli mi?

Teknik zorunlu çerezler için aydınlatma yeterli, açık rıza aranmaz. Ancak analitik, pazarlama, kişiselleştirme çerezleri için KVKK Kurulu’nun 2022 rehberi çerçevesinde opt-in açık rıza zorunludur. Cookie banner’da “Tümünü Reddet” seçeneği “Tümünü Kabul Et” ile eşit görünürlükte olmalıdır.

İşveren çalışanın bilgisayarını izleyebilir mi?

Meşru menfaat hukuki sebebine dayanarak izleme mümkündür ancak şartları ağırdır: önceden açık bildirim yapılmış olmalı, izleme yalnızca iş amacıyla sınırlı olmalı, çalışanın özel yaşam alanı izlenmemeli, izleme verisi sadece belirli amaçla kullanılmalıdır.

Kişisel verinin silinmesi nasıl yapılır?

KVKK md. 7 ve Silme/Yok Etme/Anonim Hale Getirme Yönetmeliği kapsamında üç yöntem mümkündür: fiziksel silme (kağıt belgelerde yakma/parçalama), elektronik silme (disk formatı, güvenli silme yazılımları) ve anonim hale getirme (verinin hiçbir şekilde kimliklendirilemez hale getirilmesi — hashing, maskelenme, genelleme). Silme işlemi kayıt altına alınmalı ve denetim izleri 3 yıl süreyle saklanmalıdır.

KVKK Kurul kararlarını nereden okurum?

Kurul’un yayımlanan kararları kvkk.gov.tr adresinde “Kararlar” bölümünde yer alır. Karar numarasıyla arama yapılabilir. Kararların özeti resmi olmakla birlikte, tam metin başvuru üzerine verilir. Bireysel başvuru sürecindeki anonim özetler ilgili kişilerin kimliğini ifşa etmez.

Kanuni Dayanak — Güncel Mevzuat ve Resmi Kaynaklar

KVKK uygulamasının temel mevzuat piramidi şu şekildedir: Anayasa md. 20/3 (kişisel verilerin korunması anayasal güvence); 6698 sayılı Kişisel Verilerin Korunması Kanunu (temel düzenleme); 7499 sayılı Kanun (2024 değişiklikleri, yurt dışı aktarım); Veri Sorumluları Sicili Hakkında Yönetmelik; Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik; Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ; Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ.

Mevzuat.gov.tr üzerinden tam metinlere erişim, kvkk.gov.tr üzerinden Kurul rehberleri ve kararlarına erişim, anayasa.gov.tr üzerinden ise anayasal boyutta kişisel veri kararlarına erişim mümkündür. AYM’nin 2015 sonrası verdiği bireysel başvuru kararları özellikle unutulma hakkı ve dijital tanıklık konularında emsal teşkil etmektedir.

Resmi Kaynaklar

• Mevzuat Bilgi Sistemi (mevzuat.gov.tr)
• Yargıtay Karar Arama (karararama.yargitay.gov.tr)
• UYAP Vatandaş Portalı (uyap.gov.tr)
• T.C. Adalet Bakanlığı (adalet.gov.tr)

Hazırlayan Avukat

Av. Bilal ALYAR

Marmara Üniversitesi Hukuk Fakültesi mezunu (2015). Aile hukuku, ceza hukuku, kripto para hukuku, bilişim hukuku, şirketler hukuku ve vergi hukuku alanlarında faaliyet göstermektedir.

Bu içerik yalnızca genel bilgilendirme amaçlıdır; somut hukuki görüş ya da avukat-müvekkil ilişkisi oluşturmaz. Her dosya kendine özgü koşullar içerdiğinden, hukuki süreçlerde avukattan hukuki destek alınması yararlı olabilir.

İletişim | Hakkımızda

Yukarıdaki kararlar genel bilgilendirme amacıyla derlenmiş olup somut olaylarda sonuç; eylemin niteliği, delil değerlendirmesi, hukuka uygunluk koşulları ve süreler gibi pek çok unsura göre değişebilmektedir. Bilişim veya kripto hukuku alanında dava, şikâyet veya mağdur haklarına ilişkin süreçlerle karşılaşan kişilerin yetkili avukata başvurarak süre kaçırmadan destek almaları önerilir.