"KVKK şirketler için zorunlu mu?" sorusunun kısa yanıtı, kişisel veri işleyip işlemediğinize bağlı. Çalışan bordrosu, müşteri listesi, ziyaretçi kaydı ya da kamera görüntüsü tutan hemen her şirket, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun kapsamına giriyor. Ancak yükümlülüklerin hepsi herkese aynı biçimde uygulanmıyor; özellikle VERBİS kaydı için Kurul kararlarıyla getirilmiş istisnalar var.
Bu yazıda Kanun'un şirketlere yüklediği temel yükümlülükleri, VERBİS istisnalarını ve ihlal hâlinde hangi maddeye göre hangi idari para cezasının öngörüldüğünü birincil kaynaklardan özetliyoruz. Veri ihlali yaşandığında Kurul'a bildirim süresi ve usulü ise KVKK veri ihlali bildirimi yazısında ayrıntılı olarak ele alındı.
Kanun kimlere uygulanır?
6698 sayılı Kanun'un 2. maddesine göre Kanun, kişisel verileri işlenen gerçek kişiler ile bu verileri tamamen ya da kısmen otomatik yollarla veya bir veri kayıt sisteminin parçası olarak otomatik olmayan yollarla işleyen gerçek ve tüzel kişiler hakkında uygulanıyor. Şirket bakımından kilit kavram "veri sorumlusu": Kanun'un 3. maddesi bunu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sistemini kuran ve yöneten gerçek veya tüzel kişi olarak tanımlıyor. Şirket adına veriyi işleyen hizmet sağlayıcı ise "veri işleyen" sayılıyor.
Kanun'un 28. maddesi bazı hâlleri kapsam dışında bırakıyor; örneğin kişinin yalnızca kendisi ve aynı konutta yaşayan aile fertleriyle ilgili faaliyetler ya da resmi istatistik amaçlı anonim işleme. Bu istisnalar ticari faaliyetin olağan veri işlemelerini kapsamıyor. Dolayısıyla çalışanı ya da müşterisi olan bir şirket için "KVKK zorunlu mu?" sorusunun yanıtı, Kanun metnine göre evettir.
Şirketlerin temel yükümlülükleri
Aydınlatma (md. 10). Kişisel veriler elde edilirken veri sorumlusu, ilgili kişileri; veri sorumlusunun kimliği, işleme amacı, verilerin kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile 11. maddedeki hakları konusunda bilgilendirmekle yükümlü.
İlgili kişi başvuruları (md. 11 ve 13). Kişiler, verilerinin işlenip işlenmediğini öğrenme, düzeltme, silme ve zararın giderilmesini isteme gibi haklarını veri sorumlusuna başvurarak kullanabiliyor. 13. maddeye göre başvuru, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde, kural olarak ücretsiz sonuçlandırılmalı. Bu sürecin nasıl izleneceği KVKK başvuru süreci otomasyonu yazısında ele alındı.
Veri güvenliği (md. 12). Veri sorumlusu, hukuka aykırı işlemeyi ve erişimi önlemek ve verilerin muhafazasını sağlamak için gerekli her türlü teknik ve idari tedbiri almak zorunda. Veri başka bir kişi tarafından işleniyorsa bu tedbirlerden onunla birlikte müştereken sorumlu; kendi bünyesinde Kanun'un uygulanmasına yönelik denetimleri yapmak ya da yaptırmak zorunda. Çalışanların ve veri işleyenlerin sır saklama yükümlülüğü görevden ayrıldıktan sonra da sürüyor. İhlal hâlinde bildirim yükümlülüğü de bu maddenin 5. fıkrasında yer alıyor.
Kurul kararlarına uyum (md. 15). Kurul'un inceleme sırasında istediği bilgi ve belgeler on beş gün içinde gönderilmeli. Kurul bir hukuka aykırılık tespit edip giderilmesine karar verirse, karar tebliğden itibaren gecikmeksizin ve en geç otuz gün içinde yerine getirilmeli.
Yurt dışına aktarım bildirimi (md. 9). 2024 değişikliğiyle yeniden düzenlenen 9. maddeye göre, yurt dışı aktarımda standart sözleşme kullanılıyorsa sözleşme imzalanmasından itibaren beş iş günü içinde Kurum'a bildiriliyor.
Üretken yapay zekâ araçlarının kullanımı ya da biyometrik mesai takibi gibi özel uygulamalar bu yükümlülüklerin somut örnekleri; bunlar için şirket içi yapay zekâ politikası ve biyometrik mesai takibi yazılarına bakılabilir.
VERBİS kaydı herkese zorunlu mu?
Kanun'un 16. maddesi, kişisel veri işleyen gerçek ve tüzel kişilerin "veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorundadır" diyor ve Kurul'a objektif kriterlerle istisna getirme yetkisi veriyor. Kayıt bilgilerinde değişiklik olursa bu da derhâl bildirilmeli. Bu koşuda açılan Kurum kaynaklarına göre istisna çerçevesi şöyle oluştu:
- 2018/87 sayılı Karar (19.07.2018): Yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı karardaki tutarın altında olan, ana faaliyet konusu özel nitelikli kişisel veri işleme olmayan gerçek veya tüzel kişi veri sorumluları Sicil kaydından istisna tutuldu. Karar, daha önce 2018/32 sayılı Kararla istisna tutulanlara ilave olarak alındı.
- 2023/1154 sayılı Karar (06.07.2023): Çalışan sayısı kriteri aynı kalırken yıllık mali bilanço toplamı eşiği ekonomik koşullar gerekçesiyle yükseltildi.
- 2025/1572 sayılı Karar (04.09.2025): Ana faaliyet konusu özel nitelikli kişisel veri işleme olan veri sorumlularından, yıllık çalışan sayısı 10'dan az ve yıllık mali bilanço toplamı karardaki tutarın altında olanlar da istisna kapsamına alındı.
- 2025/2393 sayılı Karar (25.12.2025): Bilanço esasına göre defter tutanlar için çalışan sayısı ve bilanço kriterleri birlikte aranıyor; bilanço esasına göre defter tutmayanlar için ise bilanço bilgisi bulunmadığından yalnız çalışan sayısı esas alınıyor.
Güncel bilanço eşiklerinin tutarı için ilgili karar metinlerine bakılmalı. Önemli bir ayrım: Bu kararların konusu yalnız Sicil'e kayıt ve bildirim yükümlülüğü. Kararlarda aydınlatma, veri güvenliği ya da başvuru yükümlülükleri için bir istisna yer almıyor; VERBİS'ten muaf bir şirket de Kanun'un diğer hükümlerine tabi.
İdari para cezaları: md. 18 hangi ihlalleri sayıyor?
Kanun'un 18. maddesi, idari para cezası öngörülen ihlalleri beş bentte sayıyor:
- (a) 10. maddedeki aydınlatma yükümlülüğünü yerine getirmemek,
- (b) 12. maddedeki veri güvenliği yükümlülüklerini yerine getirmemek,
- (c) 15. madde uyarınca Kurul'un verdiği kararları yerine getirmemek,
- (ç) 16. maddedeki Sicil'e kayıt ve bildirim yükümlülüğüne aykırı hareket etmek,
- (d) 2024'te eklenen bentle, 9. maddenin 5. fıkrasındaki yurt dışı aktarım bildirimini yapmamak.
Her bent için alt ve üst sınır Kanun'da ayrı ayrı belirlenmiş. Maddenin 2024'te değiştirilen 2. fıkrasına göre (a)–(ç) bentlerindeki cezalar veri sorumlusuna; (d) bendindeki ceza ise veri sorumlusu ya da veri işleyen gerçek kişiler ile özel hukuk tüzel kişilerine uygulanıyor. Yine 2024'te eklenen 3. fıkra, Kurul'un verdiği idari para cezalarına karşı idare mahkemelerinde dava açılabileceğini düzenliyor.
Cezaların tutarı sabit değil. KVKK'nın 31 Aralık 2025 tarihli duyurusuna göre 18. maddedeki cezalar, Kabahatler Kanunu'nun 17. maddesinin 7. fıkrası uyarınca her takvim yılı başında yeniden değerleniyor. Bu nedenle bu yazıda tutar verilmedi; güncel tablo Kurum'un sayfasından izlenmeli.
İdari yaptırımın yanında Kanun'un 17. maddesi, kişisel verilere ilişkin suçlarda Türk Ceza Kanunu'nun 135–140. maddelerine atıf yapıyor; 7. maddeye aykırı olarak verileri silmeyen veya anonim hâle getirmeyenler için de TCK 138. maddesini işaret ediyor.
Nereden başlamalı?
Aşağıdaki adımlar, yukarıdaki maddelerden türetilmiş genel bir çerçevedir:
- Envanter: Hangi birimin hangi kişisel veriyi, hangi amaçla, hangi sistemde işlediğini ve kime aktardığını çıkarın. Bu liste hem aydınlatma metninin hem de olası VERBİS bildiriminin girdisidir.
- VERBİS değerlendirmesi: Çalışan sayısı, defter tutma usulü ve ana faaliyetin özel nitelikli veri işleme olup olmadığına göre güncel Kurul kararları karşısındaki durumu belgeleyin.
- Aydınlatma metinleri: Çalışan, aday, müşteri ve ziyaretçi gibi her kişi grubu için 10. maddedeki başlıkları karşılayan metinleri hazırlayın.
- Başvuru kanalı: Başvuruların otuz günlük sürede izlenmesini sağlayacak bir kayıt düzeni kurun.
- Güvenlik ve tedarikçiler: Teknik ve idari tedbirleri, veri işleyenlerle sözleşmeleri ve periyodik iç denetimi planlayın.
Sık sorulan sorular
KVKK küçük şirketler için de zorunlu mu? Kanun'un uygulanması için şirket büyüklüğüne göre bir eşik yok. Ölçek kriterleri Kurul kararlarında yalnız VERBİS kaydı istisnası için yer alıyor.
VERBİS'e kayıt olmamak hangi cezaya tabi? Kayıt yükümlülüğü olduğu hâlde Sicil'e kayıt ve bildirim yükümlülüğüne aykırı hareket etmek, 18. maddenin (ç) bendinde idari para cezası öngörülen ihlaller arasında.
KVKK cezası kime kesilir? (a)–(ç) bentlerindeki cezalar veri sorumlusuna, (d) bendindeki ceza veri sorumlusu ya da veri işleyen gerçek kişiler ile özel hukuk tüzel kişilerine uygulanıyor.
Sonuç
Kişisel veri işleyen her şirket KVKK'nın kapsamında; Kurul kararlarındaki ölçek istisnaları yalnız VERBİS kaydını ilgilendiriyor. Orient Global'in bakışıyla, işe kişisel veri envanteriyle başlamak hem aydınlatma metinlerini hem VERBİS değerlendirmesini hem de güvenlik tedbirlerini aynı temele oturtan en verimli adım.
Bu yazı genel bilgilendirme amaçlıdır; hukuki ya da mali tavsiye niteliği taşımaz. Kendi durumunuz için uzmanınıza danışın.
#interimmanagement #forwarddeployedengineering