KVKK Rehberi 2026: Kişisel Verilerin Korunması, Haklarınız ve Başvuru Yolları

Kısa yanıt: 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK); kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilginin ancak kanuna uygun biçimde işlenebilmesini güvence altına alır. Verisi hukuka aykırı işlenen kişi; veri sorumlusuna başvuru → Kişisel Verileri Koruma Kurulu'na şikâyet yolunu izleyebilir, ayrıca tazminat ve — fiil suç oluşturuyorsa — ceza yollarını kullanabilir. Veri sorumlusu başvuruya en geç 30 gün içinde yanıt vermek zorundadır.

Genel bilgilendirme amaçlıdır; somut olay için avukata danışınız. Son güncelleme: 30 Temmuz 2026.

1. Temel Kavramlar ve İlkeler

Kişisel veri, gerçek kişiye ilişkin her türlü bilgidir: ad-soyad, TC kimlik no, telefon, adres, görüntü ve ses kayıtları, konum, IP adresi, alışveriş geçmişi. Özel nitelikli veriler (m. 6) — sağlık, biyometrik ve genetik veri, din, dernek-sendika üyeliği, ceza mahkûmiyeti vb. — ancak maddede sayılan sıkı şartlarla işlenebilir (2024'te 7499 sayılı Kanun'la m. 6 yeniden yazılmış; işleme şartları genişletilmiş ancak koşullara bağlanmıştır). Veri işleme, verinin elde edilmesinden silinmesine kadar her türlü işlemdir; veri sorumlusu işleme amaç ve vasıtalarını belirleyen gerçek/tüzel kişi, ilgili kişi ise verisi işlenen gerçek kişidir.

Her işleme, m. 4'teki ilkelere uymak zorundadır: hukuka ve dürüstlük kurallarına uygunluk, doğruluk ve güncellik, belirli-açık-meşru amaç, amaçla bağlantılı, sınırlı ve ölçülü işleme, gerekli süre kadar muhafaza. İşlemenin hukuki dayanağı m. 5'te aranır: açık rıza yalnızca dayanaklardan biridir; kanunlarda öngörülme, sözleşmenin kurulması/ifası için gereklilik, hukuki yükümlülük, veri sorumlusunun meşru menfaati gibi hâllerde rıza aranmaz. Uygulamadaki iki yaygın hata tam buradadır: her şey için rıza istemek (ve rızayı hizmet şartına bağlamak) ile hiçbir dayanak olmadan "nasılsa herkes yapıyor" diye veri toplamak.

Kanunun kapsam istisnası da bilinmelidir (m. 28): verilerin tamamen kişisel veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetler kapsamında işlenmesi kanun dışıdır; ancak Kurul uygulamasında verilerin üçüncü kişilere veya kamuya yayılması bu istisnaya girmez — örneğin bir yazışmanın sosyal medyada ifşası hem KVKK hem TCK m. 136 boyutuyla sorumluluk doğurabilir.

2. Veri Sorumlusunun Yükümlülükleri

Aydınlatma (m. 10): Veri toplanırken ilgili kişiye; veri sorumlusunun kimliği, işleme amacı, aktarım yapılacak kişiler ve amacı, toplama yöntemi ve hukuki sebebi ile m. 11'deki hakları bildirilmelidir. Veri güvenliği (m. 12): uygun teknik ve idari tedbirler alınmalı; veriler hukuka aykırı erişilirse — veri ihlali — ihlal, öğrenilmesinden itibaren Kurul'un aradığı ivedilikte (Kurul kararlarıyla somutlaşan uygulamada 72 saat esası) Kurula ve etkilenen ilgili kişilere bildirilmelidir. VERBİS: kayıt yükümlülüğü kapsamındaki veri sorumluları sicile kaydolmalıdır. Saklama ve imha: amaç ortadan kalkınca veriler silinmeli, yok edilmeli veya anonim hâle getirilmelidir (m. 7); saklamaya devam etmek başlı başına ihlaldir ve TCK m. 138 (verileri yok etmeme) suçunu gündeme getirebilir.

Yurt dışına aktarım (m. 9): 2024'te 7499 ile yeniden düzenlenmiştir; yeterlilik kararı, standart sözleşme (Kuruma bildirim yükümlülüğüyle) ve bağlayıcı şirket kuralları gibi güvence mekanizmalarına dayanır. Yaygın bulut ve yazılım hizmetleri kullanan her işletme bu maddeyle ilgilidir.

İşyerinde KVKK: çalışan verileri (özlük, sağlık raporları, kamera, araç takibi, mesajlaşma denetimi) KVKK'nın en riskli alanlarındandır. Anayasa Mahkemesi'nin çalışan iletişiminin denetimine ilişkin ölçütleri (önceden açık bilgilendirme, meşru amaç, ölçülülük) burada da geçerlidir; hukuka aykırı denetim hem feshi sakatlar hem idari ve cezai sorumluluk doğurur.

3. İlgili Kişinin Hakları ve Başvuru Yolu

M. 11 uyarınca herkes veri sorumlusuna başvurarak; verisinin işlenip işlenmediğini öğrenme, bilgi talep etme, amacına uygun kullanılıp kullanılmadığını öğrenme, aktarıldığı üçüncü kişileri bilme, eksik/yanlış işlenmişse düzeltilmesini, şartları oluşmuşsa silinmesini/yok edilmesini isteme, bu işlemlerin aktarım yapılan üçüncü kişilere bildirilmesini isteme, münhasıran otomatik analizle aleyhe sonuca itiraz ve zarar hâlinde tazminat talep etme haklarına sahiptir.

Yol haritası iki aşamalıdır (m. 13-14):

1. Veri sorumlusuna başvuru: yazılı veya Kurulca belirlenen yöntemlerle (KEP, sistemde kayıtlı e-posta vb.). Veri sorumlusu talebi en geç 30 gün içinde ücretsiz sonuçlandırmalıdır.

2. Kurula şikâyet: başvurunun reddi, yetersiz yanıt veya yanıtsız kalması hâlinde; yanıtı öğrenmeden itibaren 30 gün ve her hâlde başvuru tarihinden itibaren 60 gün içinde Kişisel Verileri Koruma Kurulu'na şikâyet edilebilir. Doğrudan Kurula gidilemez; veri sorumlusuna başvuru ön şarttır. (Tazminat hakkı için genel hükümlere göre dava yolu saklıdır — manevi tazminat rehberimize bakınız.)

Kurul; ihlal tespitinde işlemenin durdurulmasına, verilerin silinmesine ve idari para cezasına karar verebilir. Ceza kalemleri (aydınlatma, veri güvenliği, Kurul kararına aykırılık, VERBİS, veri ihlali bildirimi) m. 18'de düzenlenmiş olup tutarlar her yıl yeniden değerleme oranında güncellenir — 2026 için oran %25,49'dur; güncel alt-üst sınırlar için Kurumun resmî duyuruları esas alınmalıdır. 2024 değişikliğiyle Kurul'un idari para cezalarına karşı yargı yolu idare mahkemelerine açılmıştır.

4. KVKK–TCK İlişkisi: İdari Ceza mı, Hapis mi?

KVKK yaptırımları ile TCK m. 135-140'taki suçlar birbirini dışlamaz; aynı olay hem Kurul şikâyetine hem ceza soruşturmasına konu olabilir. Kaba ayrım şudur: kurumsal yükümlülük ihlalleri (aydınlatma yok, güvenlik zafiyeti, VERBİS) idari yaptırım alanıdır; verilerin hukuka aykırı kaydedilmesi (TCK m. 135), verilmesi-yayılması-ele geçirilmesi (m. 136) ve yok edilmemesi (m. 138) ise hapis cezası gerektiren suçlardır. m. 136 şikâyete bağlı değildir; savcılık re'sen soruşturur.

5. Sık Sorulan Sorular

1) Açık rıza her zaman şart mı? Hayır; m. 5'teki diğer dayanaklardan biri varsa (kanun, sözleşme, meşru menfaat vb.) rıza aranmaz. Rıza; özgür irade ile, bilgilendirmeye dayalı ve hizmet şartına bağlanmadan alınmalıdır.

2) Verilerimin silinmesini nasıl isterim? Önce veri sorumlusuna yazılı başvurun (30 günde yanıt zorunlu); sonuç alamazsanız süresi içinde Kurula şikâyet edin. Arama motoru sonuçları için ayrıca unutulma hakkı kapsamında başvuru mümkündür.

3) Veri ihlali bildirimi aldım; ne yapmalıyım? Şifrelerinizi değiştirin, finansal hareketleri izleyin; zarar doğduysa veri sorumlusuna karşı tazminat ve Kurula şikâyet haklarınızı kullanın.

4) Komşum/eski sevgilim verilerimi ifşa etti; KVKK'ya mı savcılığa mı gitmeliyim? Gerçek kişilerin ifşa fiillerinde asıl etkili yol ceza (TCK m. 136) ve tazminattır; KVKK şikâyeti veri sorumlusu niteliğindeki muhataplarda öne çıkar. İkisi birlikte de yürütülebilir.

5) İşyerinde kameralar ve mesaj denetimi hukuka uygun mu? Ancak önceden açık bilgilendirme, meşru amaç ve ölçülülükle. Gizli izleme ve özel yazışmaların denetimi kural olarak hukuka aykırıdır.

6) VERBİS'e kimler kayıt olmalı? Kurulca belirlenen eşik ve kategorilere giren veri sorumluları; güncel muafiyet listesi Kurum duyurularından kontrol edilmelidir.

7) Kurul kararına karşı ne yapabilirim? 2024 değişikliği sonrası Kurulun idari yaptırım kararlarına karşı idare mahkemesinde dava açılabilir.

8) KVKK şirketim için nereden başlamalı? Veri envanteri → aydınlatma ve rıza metinleri → saklama-imha politikası → güvenlik tedbirleri → VERBİS → çalışan eğitimi sırası, denetime dayanıklı asgari settir.

Sonuç

KVKK uyumu bir "metin yayımlama" işi değil; veri envanterinden imhaya uzanan bir süreç yönetimidir. İlgili kişiler için ise güç, iki aşamalı başvuru yolunun süreleri doğru kullanmakla başlar: 30 gün — 30/60 gün zincirini kaçırmayın.

Kaynakça

1. 6698 sayılı KVKK m. 3-18, 28 — mevzuat.gov.tr

2. 7499 sayılı Kanun (m. 6, 9 ve yargı yolu değişiklikleri), RG 12.03.2024/32487 — resmigazete.gov.tr

3. 5237 sayılı TCK m. 135-140 — mevzuat.gov.tr

4. Kişisel Verileri Koruma Kurumu rehber ve duyuruları (idari para cezası tutarları, VERBİS, veri ihlali bildirimi) — kvkk.gov.tr; 2026 ceza güncellemeleri için ayrıca Büken Hukuk derlemesi