KVKK uyumu, belgelerinizin söylediği ile sistemlerinizin gerçekte yaptığı arasındaki farktır. Kanun Türkiye’de kişisel veri işleyen her şirkete uygulanır; 2024 değişikliği yurt dışı aktarım rejimini GDPR çizgisinde yeniden kurdu ve 2026 ceza tarifesinde tek bir veri güvenliği ihlalinin tavanı 17 milyon TL’nin üzerinde. Uluslararası satış yapan teknoloji şirketleri için KVKK ve GDPR iki ayrı proje değil, bildirim süreleri farklı olan tek bir programdır.
Hangi yükümlülük kimde
Kanun, veri sorumlusu (amaç ve araçlara karar veren: müşteri ve çalışan verisi için şirketiniz) ile veri işleyeni (sorumlunun talimatıyla işleyen: bulut sağlayıcınız, bordro firmanız) ayırır. Ağır yükümlülükler veri sorumlusundadır: hukuki sebep, aydınlatma, sicil, güvenlik ve Kurul’a hesap verme. Sorumluluğu sözleşmeyle devredemezsiniz; “gizliliği tedarikçi hallediyor” savunması bugüne kadar hiçbir Kurul incelemesinde kabul görmedi.
Uyum programı: kurulum sırasıyla
- Veri envanteri ve işleme kayıtları. Gerçekte hangi verileri topladığınızı, bunların nereye aktarıldığını ve ne kadar süre saklandığını çıkarın. Geri kalan her şey buradan türetilir; gerçek akışlarla çelişen dokümantasyon, hiç olmamasından kötüdür.
- Hukuki sebepler. Her işleme amacını yasal bir sebebe bağlayın. Açık rıza varsayılan değil, son çaredir: rızaya aşırı dayanmak en yaygın tasarım hatasıdır, çünkü rıza geri alınabilir ve hizmetin şartı hâline getirildiğinde geçerliliğini yitirir.
- Aydınlatma ve rıza akışları. Katmanlı aydınlatma metinleri klasördeki PDF’lere değil, ürünün kullanıcıyla gerçekten temas ettiği noktalara (kayıt ekranı, formlar, çerezler, İK işe alım süreci) yerleştirilmelidir.
- Güvenlik tedbirleri. Kurul’un yayımladığı teknik ve idari tedbirler listesi, fiilen denetim kontrol listesi işlevi görür: erişim yönetişimi, şifreleme, loglama, sızma testi disiplini, personel gizlilik taahhütleri.
- Tedarikçi yönetimi. Her işleyenle veri işleme sözleşmesi, yurt dışındakiler için aktarım mekanizması ve gerçekten kullanabileceğiniz denetim hakları.
- Saklama ve imha. Bir saklama takvimi ve Kurul’un görmeyi beklediği periyodik imha tutanakları (sicil rejiminde tipik olarak altı aylık döngüler).
2024 değişikliği sonrası yurt dışı aktarım
Açık rızaya ya da nadiren onaylanan taahhütnamelere dayanan eski rejim sona erdi. Aktarımlar artık üç mekanizmaya dayanır:
- Yeterlilik kararları (ülke, sektör veya belirli sorumlular için; liste hâlâ kısa);
- Uygun güvenceler: pratikte Kurul’un standart sözleşmeleri. İmzadan itibaren beş iş günü içinde Kurum’a bildirilmeleri zorunludur; bildirilmemesi başlı başına ceza sebebidir (2026’da ₺90.308–₺1.806.177). Çift dilli (TR/EN) imza kabul ediliyor; hükümler değiştirilemez;
- Bağlayıcı şirket kuralları: grup içi aktarımlar için, Kurul onayıyla.
Açık rıza yalnızca arızi, tekrarlanmayan dar bir istisna olarak kaldı. Pratik sonuç: kullandığınız her ABD SaaS aracının (analitik, CRM, e-posta, bulut) bir aktarım dayanağı olmalı. Eski rejimdeki rızaya dayanan düzenlemeler yeniden belgelenmeli; incelediğimiz şirketlerin çoğunda bu çerçevenin dışında kalmış, unutulmuş en az bir araç çıkıyor.
VERBİS
Kurul’un belirlediği yıllık çalışan/ciro eşiklerini aşan sorumlular, ana faaliyeti özel nitelikli veri işlemek olanlar ve Türkiye’de veri işleyen yurt dışı sorumlular için VERBİS kaydı işlemeye başlamadan önce zorunludur. Sicil kayıtları envanterinizle örtüşmeli; tutarsızlık, müfettiş için en kolay bulgudur.
2026’da uyumsuzluğun bedeli
İdari para cezaları her yıl yeniden değerlenir (2026 oranı %25,49). Güncel aralıklar: aydınlatma yükümlülüğü ihlali ₺85.437–₺1.709.200; veri güvenliği yükümlülükleri ₺256.357–₺17.092.242; Kurul kararlarına aykırılık ₺427.263–₺17.092.242; VERBİS ihlalleri ₺341.809–₺17.092.242; standart sözleşme bildirim ihmali ₺90.308–₺1.806.177. Para cezasının ötesinde: cezadan daha ağır sonuçlar doğurabilen işleme yasakları ve silme kararları, yayımlanan kararlar (yaptırıma itibar kaybı da eşlik eder) ve hukuka aykırı kayıt/aktarım için TCK üzerinden cezai sorumluluk. İncelemelerin çoğu bir şikâyetle başlar; şikâyetçi genellikle eski bir çalışan ya da müşteridir.
İhlalin ilk 72 saati
Kontrol altına alın, delil ve logları koruyun, kapsamı belirleyin. KVKK’da Kurul’a bildirim “en kısa sürede” (uygulamada 72 saat içinde) yapılır; etkilenen kişilere makul sürede haber verilir. GDPR de uygulanıyorsa, denetim makamına bildirim için ayrıca 72 saatlik süre işler. İki süreci tutarlı bir dille yürütmeyi sağlayan şey, önceden hazırlanmış bir olay müdahale planıdır.
Temel kavramlar
- KVKK ve GDPR: rejimler nerede ayrışır, nerede örtüşür
- Veri sorumlusu ve veri işleyen
- Açık rıza: neden son çare
- DPO: GDPR rolü ve Türk muadilleri
Canlı kaynaklar
- KVKK Karar Takipçisi: kategorilere ayrılmış ve aranabilir Kurul kararları
Hukuki destek gerektiğinde
KVKK programlarını uçtan uca yürütüyoruz: boşluk analizi, gerçek veri akışlarına bağlı dokümantasyon, 2024 rejiminde standart sözleşme bildirimleri, ihlal müdahalesi ve periyodik denetimler. Bkz. Veri Koruma, Gizlilik ve Siber Güvenlik.
Bu rehber, Startup Hukuku Türkiye 2026 çatı rehberinin bir parçasıdır.
Kaynak. 6698 sayılı Kişisel Verilerin Korunması Kanunu; (AB) 2016/679 sayılı Genel Veri Koruma Tüzüğü (GDPR). Kanun bağlantıları mevzuat.gov.tr üzerindeki güncel resmî metinlere gider.
Bu alanda birlikte çalışacağınız ekip
Profil için isme tıklayın.
