KVKK: Vatandaşlar İçin 100 Soru ve Cevap

KVKK, kişisel verilerin işlenmesi sırasında kişilerin temel hak ve özgürlüklerini, özellikle özel hayatın gizliliğini korumayı amaçlayan hukuki düzenlemelerin genel adıdır. Türkiye’de bu alanın temel kanunu, 6698 sayılı Kişisel Verilerin Korunması Kanunu’dur.

Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi kişisel veridir. Ad, soyad, telefon numarası, adres, kimlik numarası, fotoğraf, ses kaydı ve konum bilgisi buna örnek verilebilir.

Her kişisel veri aynı derecede gizli olmayabilir; ancak bir bilginin kamuya açık olması, onun her amaçla ve sınırsız biçimde kullanılabileceği anlamına gelmez. Verinin hangi amaçla ve hangi hukuki şartla işlendiği önemlidir.

Evet. Bir kişiyi doğrudan veya başka bilgilerle birlikte belirlenebilir hâle getiren telefon numarası kişisel veridir.

Evet. T.C. kimlik numarası kişisel veridir ve kötüye kullanım riskleri nedeniyle dikkatli korunmalıdır. Her işlemde kimlik numarasının istenmesi veya kaydedilmesi kendiliğinden hukuka uygun değildir.

Bir kişinin belirlenmesini sağlayan fotoğraf ve video kayıtları kişisel veri niteliği taşıyabilir. Kayıtların işlenmesi, saklanması ve paylaşılması için uygun bir hukuki dayanak bulunmalıdır.

Kişinin kimliğini belirlemeye yarayan ses kayıtları kişisel veri olabilir. Ses kaydının alınması ayrıca haberleşmenin gizliliği ve ceza hukuku yönünden de sorun yaratabilir.

Evet. Bir kişinin nerede bulunduğunu veya hareketlerini belirlemeye imkân veren konum verileri kişisel veri kapsamına girebilir.

Şirketler, çalışanlarına, müşterilerine veya diğer gerçek kişilere ait kişisel verileri işlediklerinde KVKK yükümlülükleriyle karşılaşabilir. Tüzel kişilerin kendi bilgileri ise tek başına gerçek kişiye ilişkin kişisel veri sayılmaz; fakat şirket kayıtlarında gerçek kişilere ait veriler bulunabilir.

Hayır. Kanun, kişisel verilerin tamamen veya kısmen otomatik yollarla ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenmesini kapsar. Bu nedenle kâğıt dosyalar da koşulları oluştuğunda KVKK kapsamında olabilir.

Bazı durumlarda evet. Açık rıza, kişisel veri işlemenin tek hukuki dayanağı değildir. Kanun’un 5. maddesinde yer alan sözleşmenin kurulması veya ifası, hukuki yükümlülük, hakkın tesisi ya da meşru menfaat gibi şartlardan biri uygulanabilir. Ancak her işlem için uygun hukuki dayanak bulunmalıdır.

Hayır. Açık rıza yalnızca kanuni işleme şartlarından biridir. Veri sorumlusu, işlem için geçerli başka bir hukuki şart varsa bunu değerlendirebilir. Açık rıza, hukuka aykırı veya gereğinden fazla veri işlemeyi meşrulaştırmaz.

Açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızadır. Genel, belirsiz veya kişiye gerçek bir seçim hakkı tanımayan ifadeler yeterli olmayabilir.

Hayır. Aydınlatma, kişiye verilerinin kim tarafından, hangi amaçlarla, hangi hukuki sebeple ve kimlere aktarılabileceği gibi konularda bilgi verilmesidir. Açık rıza ise belirli bir veri işleme faaliyetine izin verilmesidir. Kurulun 2026/347 sayılı ilke kararı, bu metinlerin ayrı düzenlenmesi gerektiğini vurgulamaktadır.

Hayır. İşletme, hizmet için gerekli ve hukuken işlenebilecek verileri talep etmelidir. Hizmetle ilgisi bulunmayan verilerin zorunlu tutulması, ölçülülük ve hukuka uygunluk bakımından sorun oluşturabilir.

Genel olarak hayır. Veriler, ilgili mevzuatta öngörülen veya işleme amacının gerektirdiği süre boyunca saklanmalı; saklama sebebi ortadan kalktığında silinmeli, yok edilmeli veya anonim hâle getirilmelidir.

Veriler, başlangıçta belirlenen amaçlarla ve KVKK’nın genel ilkelerine uygun şekilde işlenmelidir. Yeni amaç için ayrıca hukuki dayanak, amaçla bağlantılılık ve gerekli aydınlatma yükümlülükleri değerlendirilmelidir.

Hayır. Yurt içindeki aktarım için KVKK’nın 8. maddesindeki şartlara uygun bir hukuki dayanak bulunmalıdır. Verilerin başka bir şirkete verilmesi veya ortaklarla paylaşılması otomatik olarak hukuka uygun kabul edilmez.

Veri işleme faaliyetleri belirli, açık ve meşru amaçlarla sınırlı olmalı; amaç için gerekli olandan fazla veri işlenmemelidir. Gereksiz veri toplama, Kanun’un genel ilkelerine aykırılık oluşturabilir.

Hayır. Kişisel verilerin hukuka aykırı işlenmesi, uygun hukuki şartlar varsa maddi zarar oluşmadan da idari incelemeye konu olabilir. Maddi veya manevi tazminat talebinde ise ilgili sorumluluk koşulları ayrıca değerlendirilir.

Evet. KVKK’nın 11. maddesi kapsamında, kişisel verilerinizin işlenip işlenmediğini, işlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme hakkınız vardır.

Evet. Veri sorumlusuna başvurarak hakkınızda işlenen kişisel veriler hakkında bilgi talep edebilirsiniz. Başvurunuz, kimliğinizin doğrulanması ve kanuni istisnalar çerçevesinde değerlendirilir.

Evet. Eksik veya yanlış işlenen kişisel verilerinizin düzeltilmesini talep edebilirsiniz. Verilerin aktarıldığı üçüncü kişilere de gerekli bildirimlerin yapılmasını isteme hakkınız bulunabilir.

Evet; işleme şartları ortadan kalkmışsa KVKK’nın 7. maddesi ve ilgili düzenlemeler kapsamında silme, yok etme veya anonim hâle getirme talebinde bulunabilirsiniz. Ancak kanuni saklama yükümlülüğü gibi nedenlerle veriler her durumda hemen silinmeyebilir.

Her zaman ve her kaynaktan tamamen sildirmek mümkün değildir. Verinin hukuka uygun olarak yayımlanıp yayımlanmadığı, kamusal yarar, ifade özgürlüğü, saklama yükümlülükleri ve arama motorlarının kendi yükümlülükleri birlikte değerlendirilir.

Evet. Kanuni çerçevede, verilerinizin aktarıldığı üçüncü kişileri öğrenme hakkınız bulunmaktadır.

Veri sorumlusu, KVKK’nın 13. maddesi uyarınca başvurunuzu talebin niteliğine göre en kısa sürede ve en geç 30 gün içinde sonuçlandırmalıdır.

Başvurular kural olarak ücretsiz sonuçlandırılır. Ancak işlemin ayrıca bir maliyet gerektirmesi hâlinde, Kurul tarafından belirlenen tarifedeki ücretler söz konusu olabilir.

İşlemenin hukuka aykırı olduğunu düşünüyorsanız veri sorumlusuna başvurabilir ve ilgili haklarınızı kullanabilirsiniz. Ancak KVKK’da her türlü veri işleme faaliyetine karşı koşulsuz ve genel bir itiraz hakkı bulunduğu söylenemez; talebin dayanağına göre değerlendirme yapılır.

Evet. KVKK’nın 14. maddesi kapsamında, Kanun’a aykırı veri işlenmesi nedeniyle zarar gören kişilerin genel hükümlere göre tazminat hakkı saklıdır. Tazminat için hukuka aykırılık, zarar ve uygun illiyet bağı gibi koşulların somut olayda değerlendirilmesi gerekir.

Öncelikle veri sorumlusuna başvurarak talebinizi iletmeniz gerekir. Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde, kanundaki şartlarla Kişisel Verileri Koruma Kuruluna şikâyet yoluna gidilebilir.

Genel kural olarak önce veri sorumlusuna başvurulmalıdır. KVKK’nın 14. maddesindeki başvuru ve şikâyet şartları yerine getirilmeden doğrudan Kurula yapılan şikâyet, usul bakımından incelenmeyebilir.

Veri sorumlusunun cevabını öğrendiğiniz tarihten itibaren 30 gün ve her hâlde veri sorumlusuna başvuru tarihinden itibaren 60 gün içinde Kurula şikâyet yapılmalıdır. Bu süreler hak kaybına neden olabileceği için dikkatle takip edilmelidir.

Kanundaki başvuru süreci bakımından cevap verilmemesi, şikâyet süresinin hesaplanmasını etkiler. Genel olarak başvuru tarihinden itibaren 30 günlük cevap süresinin bitiminden sonra, kalan kanuni şikâyet süresi içinde Kurula başvurulabilir.

Başvurunun konusu, olayın tarihi, ilgili veri sorumlusu, hangi kişisel verilerin nasıl işlendiği ve talebiniz açıklanmalıdır. Önceki başvuru ve cevaplar, ekran görüntüleri, mesajlar ve diğer destekleyici belgeler de eklenebilir.

Kurul, Kanun kapsamında inceleme yapabilir ve gerekli şartlarda idari yaptırım uygulayabilir. Bireysel maddi veya manevi tazminatın hükme bağlanması ise kural olarak görevli yargı mercilerinin alanındadır.

İhlalin niteliğine ve sorumluluğa göre veri sorumlusuna idari para cezası uygulanabilir. Her şikâyetin mutlaka ceza ile sonuçlanacağı söylenemez; Kurul olayın koşullarını ve kanuni yükümlülükleri inceler.

Olay aynı zamanda suç oluşturabilecek nitelikteyse Cumhuriyet başsavcılığına başvurulması değerlendirilebilir. Örneğin kişisel verilerin hukuka aykırı olarak ele geçirilmesi veya yayılması, Türk Ceza Kanunu kapsamında ayrıca incelenebilir.

Hayır. Kişi, kanundaki şartları gözeterek kendi adına başvuru yapabilir. Ancak çok sayıda veri işleme faaliyeti, yurt dışı aktarımı, çalışan denetimi veya tazminat talebi içeren uyuşmazlıklarda hukuki destek yararlı olabilir.

Her durumda otomatik olarak durmaz. Veri sorumlusunun işleme faaliyetine devam edip edemeyeceği, geçerli hukuki dayanağa ve somut olaya bağlıdır. Şikâyet yapılmış olması tek başına bütün veri işleme faaliyetlerini askıya almaz.

Evet, iş ilişkisinin kurulması ve yürütülmesi, işverenin hukuki yükümlülükleri veya diğer geçerli kanuni şartlar kapsamında gerekli veriler işlenebilir. Ancak veri işleme, amaçla sınırlı ve ölçülü olmalıdır.

İşverenin, sırf işveren olması nedeniyle çalışanın özel telefonunu inceleme konusunda sınırsız bir yetkisi yoktur. Cihazın mülkiyeti, işyeri politikaları, çalışanın makul gizlilik beklentisi ve somut hukuki dayanak değerlendirilmelidir.

Bazı şartlarla denetleyebilir; ancak önceden bilgilendirme, meşru amaç, ölçülülük ve denetimin kapsamı önemlidir. Kurulun 16 Eylül 2026 tarihli ve 2026/2035 sayılı ilke kararı, kurumsal e-posta ve iş iletişim kanallarının denetlenmesine ilişkin esasları düzenlemektedir.

İşverenin çalışanın özel WhatsApp yazışmalarını sınırsız biçimde okuma hakkı yoktur. İşveren cihazında veya kurumsal sistemde bulunan yazışmaların incelenmesi bile hukuki dayanak, bilgilendirme, amaç ve ölçülülük açısından değerlendirilmelidir.

İşveren, işin yürütülmesi veya bilgi güvenliği için gerekli bazı sistem kayıtlarını hukuka uygun şartlarda inceleyebilir. Ancak tüm internet geçmişinin gelişigüzel ve sınırsız biçimde izlenmesi hukuka uygun kabul edilmez.

Güvenlik gibi meşru amaçlarla, gerekli ve ölçülü olmak koşuluyla kamera kullanılabilir. Çalışanlar uygun biçimde bilgilendirilmeli; kamera yerleşimi, kayıt süresi ve izleme kapsamı amaca uygun olmalıdır. Özel hayatın en yoğun yaşandığı alanlarda kamera kullanımı çok daha ciddi hukuki sorunlar doğurur.

Parmak izi biyometrik veri niteliği taşıyabilir ve özel nitelikli kişisel veri olarak korunur. Mesai takibi gibi amaçlarla biyometrik veri kullanımı otomatik olarak hukuka uygun değildir; daha az müdahaleci yöntemlerin bulunup bulunmadığı ve KVKK’nın özel şartları değerlendirilmelidir. Kurul 2026 yılında bu konuda ayrıca ilke kararı yayımlamıştır.

Kişisel Verileri Koruma Kurumu

İşveren, iş mevzuatı ve diğer hukuki yükümlülükleri kapsamında gerekli sağlık bilgilerine erişebilir. Ancak sağlık verileri özel nitelikli kişisel veridir; tüm sağlık geçmişinin sınırsız biçimde talep edilmesi veya paylaşılması hukuka uygun değildir.

İşe alım amacıyla gerekli ve işle ilgili bilgiler istenebilir. Adayın özel hayatına ilişkin, işle ilgisi bulunmayan veya gereğinden fazla bilgi talep edilmesi veri minimizasyonu ve ölçülülük ilkeleri bakımından sorun yaratabilir.

Her zaman hemen silinmez. İşveren, kanuni saklama ve zamanaşımı süreleri gibi yükümlülükler nedeniyle bazı kayıtları saklamak zorunda olabilir. Saklama amacı ve süresi sona eren veriler ise mevzuata uygun şekilde silinmeli, yok edilmeli veya anonim hâle getirilmelidir.

Fotoğraf kişiyi belirlenebilir kılıyorsa kişisel veridir. Paylaşımın amacı, hukuki dayanağı, kişinin hakları ve olayın koşulları değerlendirilir. Bazı durumlarda KVKK yanında kişilik hakları ve Türk Ceza Kanunu hükümleri de uygulanabilir.

Her durumda mutlak bir izin şartı bulunduğu söylenemez; ancak paylaşımın hukuki dayanağı olmalıdır. Kişinin rızası, ifade özgürlüğü, kamusal yarar ve ilgili istisnalar somut olaya göre değerlendirilir.

Kişinin fotoğrafını yanıltıcı veya zarar verici bir amaçla kullanmak; kişisel verilerin korunması, kişilik hakları ve olayın niteliğine göre ceza hukuku bakımından sonuç doğurabilir. Hesabın sahte olması sorumluluğu ortadan kaldırmaz.

Yazışmalar kişisel veri içerebilir. Bunların yayımlanması, paylaşımın kapsamı ve amacı ile hukuki dayanağa göre KVKK ve kişilik hakları yönünden sorun oluşturabilir. Ayrıca haberleşmenin gizliliği ve özel hayatın gizliliğine ilişkin ceza hükümleri de gündeme gelebilir.

Telefon numarasını kişinin rızası veya başka bir geçerli hukuki dayanak olmadan yayımlamak hukuka aykırı olabilir. Numarayı herkesin görebileceği bir platformda paylaşmak, kişiyi arama, taciz veya dolandırıcılık risklerine maruz bırakabilir.

Her zaman hemen ve tamamen silinmez. Platformun saklama politikaları, yedekleme sistemleri ve kanuni yükümlülükleri nedeniyle bazı veriler belirli sürelerle tutulabilir. Hesabı kapatmak ile tüm kişisel verilerin silinmesi aynı şey değildir.

Bazı durumlarda arama motoruna bağlantının kaldırılması için başvurulabilir. İçeriğin doğruluğu, güncelliği, kamusal yarar ve kişinin hakları değerlendirilir. Bağlantının arama sonuçlarından çıkarılması, içeriğin yayımlandığı internet sitesinden otomatik olarak silinmesi anlamına gelmez.

Özel mesajlar veya hesap üzerinden elde edilen bilgiler, yalnızca işletmeye iletilmiş olmaları nedeniyle sınırsız reklam kullanımına açık hâle gelmez. Kullanım amacı ve hukuki dayanak incelenmelidir.

Hayır. Bir bilginin internette bulunması, her türlü yeniden kullanımın serbest olduğu anlamına gelmez. Bilginin hangi amaçla toplandığı, nasıl kullanıldığı ve paylaşımın hukuki şartları önemlidir.

Ekran görüntüsü almak her durumda suç değildir. Ancak görüntünün içeriği, elde ediliş şekli, özel yazışma olup olmadığı ve sonradan nasıl kullanıldığı önemlidir. Hukuka aykırı erişim, ifşa veya tehdit gibi unsurlar varsa ayrıca hukuki sorumluluk doğabilir.

Reklam ve pazarlama amacıyla kişisel verilerin kullanılması için KVKK bakımından uygun bir hukuki dayanak bulunmalıdır. Ticari elektronik ileti gönderiminde ayrıca ilgili elektronik ticaret mevzuatındaki kurallar ve gerekli olduğu durumlarda onay şartları dikkate alınır.

Mesajın göndericisine ve ilgili sisteme göre ret hakkınızı kullanabilir, ticari elektronik ileti mevzuatındaki şikâyet yollarına başvurabilir ve kişisel verilerinizin nasıl elde edildiğini veri sorumlusuna sorabilirsiniz. KVKK ve ticari elektronik ileti kuralları birbiriyle ilişkili olmakla birlikte aynı hukuki düzenleme değildir.

KVKK bakımından geçerli veri işleme şartı ile ticari ileti gönderme veya arama kuralları ayrı ayrı değerlendirilmelidir. İşletmenin telefon numaranızı elinde bulundurması, size sınırsız reklam araması yapabileceği anlamına gelmez.

Aktarımın hukuki dayanağı bulunmalı ve KVKK’nın ilgili hükümlerine uyulmalıdır. Şirketlerin aynı grupta bulunması bile kişisel veri aktarımını kendiliğinden hukuka uygun hâle getirmez.

Müşteri listesindeki kişisel verilerin satılması veya devredilmesi ciddi hukuki riskler taşır. İşlemin hukuki dayanağı, ilgili kişilerin bilgilendirilmesi, aktarım şartları ve verilerin kullanım amacı değerlendirilmeden böyle bir işlem yapılmamalıdır.

Sadakat programının işleyişi için gerekli veriler, uygun hukuki şartlarla işlenebilir. Ancak telefon numarasının hangi amaçla istendiği ve alışverişte nasıl kullanıldığı önemlidir. Kurulun 2026/266 sayılı ilke kararı, bir kişinin telefon veya sadakat kartı numarasının üçüncü kişi tarafından alışveriş sırasında kullanılmasına ilişkin konuyu ele almıştır.

Kişisel Verileri Koruma Kurumu

Doğrulama kodu, hizmetin güvenli sunulması amacıyla kullanılabilir. Ancak kodun reklam iznine dönüştürülmesi veya hizmet için zorunluymuş gibi pazarlama rızası alınması hukuki sorun doğurabilir. Kurulun 2025/1072 sayılı kararı bu alandaki değerlendirmelerden biridir.

Kişisel Verileri Koruma Kurumu

Kimlik fotokopisinin alınması her işlemde zorunlu veya hukuka uygun değildir. İşlemin gereği, özel mevzuat hükümleri, amaç ve ölçülülük değerlendirilmelidir. Kimliğin yalnızca gösterilmesi yeterliyse fotokopinin kaydedilmesi gereksiz olabilir.

Otel ve konaklama işletmelerinin kimlik bilgilerini mevzuat gereği kaydetmesi gerekebilir; ancak bu yükümlülük, kimlik belgesinin fotokopisinin her durumda alınabileceği anlamına gelmez. Kurulun 2025/2120 sayılı ilke kararı, konaklama hizmeti alan kişilerin kimlik fotokopilerinin kaydedilmesini ele almıştır.

Kişisel Verileri Koruma Kurumu

İşletmeye başvurarak reklam amaçlı veri işleme faaliyetinin hukuki dayanağını sorabilir, ilgili hukuki şartlar kapsamında itiraz veya silme talebinde bulunabilirsiniz. Ticari elektronik iletiler için ayrıca ret ve şikâyet mekanizmaları kullanılabilir.

Borç bilgileri kişisel veri içerebilir. Borçluları herkesin görebileceği alanlarda isimleri ve borç tutarlarıyla ilan etmek, ölçülülük ve hukuka uygunluk açısından sorun oluşturabilir. Kurulun 2026/348 sayılı ilke kararı, apartman ve site sakinlerinin borç bilgilerinin ortak alanlara asılması konusunu ele almıştır.

Kişisel Verileri Koruma Kurumu

Grup üyelerinin kimler olduğu, paylaşımın amacı, kullanılan bilgi miktarı ve hukuki dayanak önemlidir. Borç bilgisini gerekli olmayan kişilerle paylaşmak kişisel verilerin hukuka aykırı açıklanması riskini doğurabilir.

Görüntülerin paylaşılması için ayrıca hukuki dayanak bulunmalıdır. Güvenlik amacıyla kaydedilmiş görüntülerin bütün site sakinlerine gönderilmesi her durumda gerekli veya ölçülü değildir. Gerektiğinde görüntüler yetkili mercilere usulüne uygun biçimde sunulabilir.

Öğrencinin yaşı, paylaşımın amacı, fotoğrafın niteliği ve geçerli hukuki dayanak dikkate alınmalıdır. Özellikle çocukların kişisel verilerinin korunmasında yüksek özen gerekir; velinin rızası da her durumda bütün kullanımları otomatik olarak meşrulaştırmaz.

Notlar belirli bir öğrenciyle ilişkilendirilebiliyorsa kişisel veri niteliği taşıyabilir. Eğitim amacı için gerekli bilgilendirme ile notların sınıfın tamamına veya ilgisiz kişilere açıklanması birbirinden ayrılmalıdır.

Sağlık verileri özel nitelikli kişisel veridir. Hastaneler bu verileri ancak KVKK’nın 6. maddesi ve ilgili sağlık mevzuatına uygun şartlarda işleyebilir ve aktarabilir. Yetkisiz kişilere açıklama hukuki sorumluluk doğurabilir.

İlaç ve sağlık bilgileri kişisel veri, koşullara göre de özel nitelikli kişisel veri olabilir. Eczane çalışanlarının bu bilgileri ilgisiz kişilere açıklaması hukuka aykırılık oluşturabilir.

Kamu kurumlarının da kişisel verileri koruma yükümlülüğü vardır. Bir bilginin kamu kaydında bulunması, internette sınırsız biçimde yayımlanabileceği anlamına gelmez. Kurulun 2026/1301 sayılı ilke kararı, kamu tüzel kişiliğini haiz veri sorumlularının internet ortamında kişisel veri paylaşımını ele almıştır.

Kişisel Verileri Koruma Kurumu

+2

Evet, verilerin silinmesi için ilgili mevzuatın şartları oluşmuşsa talepte bulunabilirsiniz. Ancak kamu kurumunun kanuni kayıt tutma, arşivleme veya saklama yükümlülükleri varsa silme talebi bu yükümlülükler dikkate alınarak değerlendirilir.

Kaza mağdurlarının kimlik, iletişim ve kaza bilgileri kişisel veri niteliğindedir. Bu bilgilerin hukuka aykırı biçimde elde edilmesi veya mağdurlara istekleri dışında ulaşmak için kullanılması hukuki sorun oluşturabilir. Kurulun 2026/1095 sayılı ilke kararı, kaza mağdurlarının kişisel verilerinin işlenmesine ilişkin bu tür riskleri ele almıştır.

Kişisel Verileri Koruma Kurumu

+1

Kanun’un 6. maddesinde sayılan özel nitelikli kişisel veriler; ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik verilerdir.

Sağlık verilerinin kötüye kullanılması kişinin özel hayatı, çalışma hayatı ve toplumsal ilişkileri üzerinde ciddi sonuçlar doğurabilir. Bu nedenle bu verilerin işlenmesi, KVKK’nın 6. maddesindeki özel şartlara ve gerekli güvenlik önlemlerine uygun olmalıdır.

Bu sistemler, biyometrik veri işleyebildiği için özel nitelikli kişisel veri kurallarına tabidir. Kullanımın amacı, kanuni dayanağı, gerekliliği, ölçülülüğü ve daha az müdahaleci bir alternatifin bulunup bulunmadığı değerlendirilmelidir.

Her durumda hukuka uygun değildir. İşverenin mesai takibi ihtiyacı, biyometrik veri işlemenin gerekliliğini tek başına kanıtlamaz. Kurulun 2026/921 sayılı ilke kararı, mesai takibi amacıyla biyometrik veri işlenmesini ele almıştır.

Kişisel Verileri Koruma Kurumu

Her zaman değil. Açık rıza geçerli ve gerekli koşullarda bir hukuki dayanak olabilir; ancak veri işleme faaliyeti yine de genel ilkelere uygun, gerekli ve ölçülü olmalıdır. İş ilişkisindeki güç dengesizliği nedeniyle rızanın gerçekten özgür iradeyle verilip verilmediği de önemlidir.

Veri sorumlusu, kişisel verilerin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişilmesini önlemek ve verilerin muhafazasını sağlamak için uygun teknik ve idari tedbirleri almakla yükümlüdür. Gerekli önlemlerin alınmaması, olayın koşullarına göre idari ve hukuki sorumluluk doğurabilir.

Öncelikle ilgili hesapların güvenliği sağlanmalı, parolalar değiştirilmeli ve varsa banka veya diğer ilgili kuruluşlarla iletişime geçilmelidir. Olayın niteliğine göre veri sorumlusuna, Kurula veya kolluk makamlarına başvuru yapılması değerlendirilebilir.

KVKK’nın 12. maddesi kapsamında, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu bu durumu en kısa sürede ilgili kişiye ve Kurula bildirmelidir. Kurulun 2019/10 sayılı kararı doğrultusunda Kurula bildirim bakımından 72 saatlik süre esası benimsenmiştir; somut olayın özellikleri ayrıca değerlendirilir.

Kanun bütün veriler için tek tip bir şifreleme yöntemi öngörmez. Ancak veri sorumlusu, işlenen verilerin niteliği ve risklerle orantılı teknik ve idari tedbirleri almalıdır. Şifreleme, erişim kontrolü, kayıt tutma ve güvenli yedekleme uygun tedbirler arasında yer alabilir.

Hayır. Silme veya yok etme yükümlülüğü, yalnızca ana sistemdeki kaydı silmekle her zaman yerine getirilmiş olmaz. Yedekler ve diğer kopyalar için de uygulanabilir saklama ve imha politikaları oluşturulmalıdır.

Evet, ancak çerezlerin amacı ve türü önemlidir. Zorunlu çerezlerle reklam ve davranışsal analiz amaçlı çerezler aynı şekilde değerlendirilmez. Çerezlerin kullanımında KVKK’nın şartları ve uygulanabilir diğer mevzuat hükümleri dikkate alınmalıdır.

Her durumda hayır. Zorunlu olmayan çerezler için geçerli rıza gerekebilecek durumlarda kullanıcıya gerçek bir tercih imkânı tanınmalıdır. Çerez politikasının bulunması tek başına hukuka uygun veri işleme yapıldığını göstermez.

Alışveriş bilgilerinin siparişin yerine getirilmesi için kullanılması ile bu bilgilerin kişiselleştirilmiş reklam amacıyla kullanılması farklı amaçlardır. Reklam amaçlı kullanım için ayrıca uygun hukuki dayanak ve gerekli bilgilendirme koşulları değerlendirilmelidir.

Evet, ancak KVKK’nın 9. maddesinde düzenlenen yurt dışına aktarım şartlarına uyulmalıdır. Yeterlilik kararı, uygun güvenceler ve kanunda belirtilen diğer aktarım mekanizmaları somut olayın koşullarına göre değerlendirilir. 2024 yılında yürürlüğe giren değişiklikler bu alandaki sistemi yeniden düzenlemiştir.

Kişisel Verileri Koruma Kurumu

Hayır. Yabancı bir şirketin Türkiye’de kişisel veri işlemesi veya Kanun’un kapsamına giren faaliyetlerde bulunması hâlinde KVKK hükümleri uygulanabilir. Uygulanabilirlik, şirketin bulunduğu ülke ve faaliyetlerin niteliğine göre belirlenir.

Evet. Bir kişiyi belirlenebilir kılan bilgiler, yapay zekâ sistemine girildiğinde de kişisel veri niteliğini koruyabilir. Başka kişilere ait kimlik, sağlık, iş veya özel hayat bilgilerinin gerekli hukuki dayanak olmadan sisteme aktarılması veri koruma riskleri doğurabilir.

Bu kullanım, uygulamanın çalışma koşullarına ve kişisel verilerin hangi amaçla işlendiğine bağlıdır. Model eğitimi için verilerin kullanılması, otomatik olarak her durumda hukuka uygun veya hukuka aykırı kabul edilemez; hukuki dayanak, şeffaflık, amaçla sınırlılık ve ilgili kişinin hakları incelenmelidir.

Evet. Ancak hizmet sağlayıcının konumu, verilerin hangi ülkelerde işlendiği, güvenlik önlemleri, sözleşmesel sorumluluklar ve yurt dışına aktarım hükümleri dikkate alınmalıdır. Bulut hizmeti kullanmak veri sorumlusunun kanuni yükümlülüklerini ortadan kaldırmaz.

Ceza miktarları ihlalin türüne, uygulanacak kanuni bende ve ilgili yılın güncel tutarlarına göre değişir. Kanun’un 18. maddesinde aydınlatma, veri güvenliği, Kurul kararlarının yerine getirilmesi ve VERBİS yükümlülükleri bakımından farklı yaptırım kategorileri düzenlenmiştir. Güncel tutar belirtilirken ilgili yılın resmî yeniden değerleme ve mevzuat verileri kontrol edilmelidir.

İşletme öncelikle hangi kişisel verileri, hangi amaçla ve hangi hukuki dayanakla işlediğini belirlemelidir. Ardından veri envanteri, aydınlatma metinleri, gerekiyorsa açık rıza süreçleri, saklama ve imha politikası, veri güvenliği tedbirleri, ilgili kişi başvurularının yönetimi ve gerekiyorsa VERBİS yükümlülüğü değerlendirilmelidir. Uyum çalışması yalnızca belge hazırlamaktan ibaret değildir; fiilî uygulamaların da mevzuata uygun olması gerekir.