KVKK'nın temel ilkeleri ve işleme şartları

Bir kargo şirketi her gün binlerce ad, adres ve telefon numarası işler. Gönderici formu doldurur, kurye kapıyı çalar, çağrı merkezi şikâyeti kaydeder. Her adımda kişisel veri el değiştirir. Türkiye'de bu akışın kurallarını 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) koyar.

Kanun 7 Nisan 2016'da Resmî Gazete'de yayımlandı, bazı maddeleri altı ay sonra yürürlüğe girdi. Bu derste Altay Kargo'nun günlük süreçleri üzerinden ilerleyeceksin. Önce aktörleri ve ilkeleri, sonra işleme şartlarını ve aydınlatmayı göreceksin. Ardından envanter ve VERBİS kaydına, en sonda ilgili kişinin haklarına ve yaptırımlara geçeceksin.

Kanun, veriyle ilgilenen tarafları kararı kimin verdiğine göre ayırır. Veri sorumlusu, işleme amacını ve vasıtalarını belirleyen, veri kayıt sistemini kuran ve yöneten taraftır. Veri işleyen, veri sorumlusunun verdiği yetkiye dayanarak onun adına veri işleyen kişidir. İlgili kişi ise verisi işlenen gerçek kişidir.

Müşteri veritabanının amacına ve saklama süresine Altay Kargo karar verir, bu yüzden şirket veri sorumlusudur. Veri sorumlusu tüzel kişinin kendisidir; departman ya da çalışan ayrı bir veri sorumlusu sayılmaz.

Şirketin SMS gönderimini üstlenen dış hizmet sağlayıcı ise veri işleyendir. Kendi başına amaç belirlemez, yalnız talimatı uygular. Rolü doğru belirlemek önemlidir, çünkü Kanun her role ayrı yükümlülük yükler.

Veri işleyenin hiç sorumluluğu yoktur sanmak sık bir hatadır. Kanunun 12. maddesi, veri başkası eliyle işlendiğinde güvenlik tedbirleri için iki tarafı müştereken sorumlu tutar. Aynı maddeye göre veri işleyen, öğrendiği veriyi başkasına açıklayamaz ve amaç dışında kullanamaz.

Bu yükümlülük görevden ayrıldıktan sonra da sürer. Altay Kargo bu yüzden SMS sağlayıcısıyla yazılı sözleşme yapar. Sözleşmeye talimat dışı işleme yasağını, güvenlik tedbirlerini, denetim hakkını ve ihlali gecikmeden haber verme şartını koyar.

Kanunun 4. maddesi, her işlemde uyulacak beş ilkeyi sayar. Veri hukuka ve dürüstlük kurallarına uygun işlenir. Doğru ve gerektiğinde güncel tutulur.

Belirli, açık ve meşru amaçlar için işlenir. İşlendiği amaçla bağlantılı, sınırlı ve ölçülü olur. Mevzuatın öngördüğü ya da amacın gerektirdiği süre kadar saklanır. Beş ilke birbirini tamamlar; amaç belirsizse ölçülülük de ölçülemez.

Altay Kargo teslimat için topladığı telefon numarasını pazarlamada kullanırsa amaçla bağlantı ilkesini çiğner. Aynı numarayı gerekçesiz biçimde yıllarca tutarsa saklama ilkesini ihlal eder. İki ihlalin kaynağı aynıdır: amaç netleşmeden sınır çizilemez. Uyum ekibi bu yüzden her yeni veri toplama kararında önce amacı yazıya döker.

Madde 5, kişisel veri işlemenin iki yolunu tanır. Kural, ilgili kişinin açık rızasıdır. Kanun ayrıca rıza aranmayan yedi durum sayar. İlk dördü kanunlarda açıkça öngörülme, hayatı ya da beden bütünlüğünü korumak için zorunluluk, bir sözleşmenin kurulması ya da ifasıyla doğrudan ilgili olma ve veri sorumlusunun hukuki yükümlülüğüdür.

Hayati durum şartı, rızasını açıklayamayacak durumdaki birini ya da başkasını korumak içindir. Son üçü ise ilgili kişinin verisini kendisinin alenileştirmesi, bir hakkın tesisi, kullanılması ya da korunması için zorunluluk ve veri sorumlusunun meşru menfaatidir. Meşru menfaat, ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla geçerlidir.

Veri sorumlusu her işlem için uygun şartı belirler ve envantere yazar. Altay Kargo, teslimat için alıcının adresini işlerken rıza almaz. Bu işlem, taşıma sözleşmesinin ifası şartına dayanır.

Rızaya dayanan işlemde rızanın geçerli olması gerekir. Kanunun 3. maddesi açık rızayı üç unsurla tanımlar: belirli bir konuya ilişkin olmak, bilgilendirmeye dayanmak ve özgür iradeyle açıklanmak. “Her türlü veri işleme faaliyetine onay veriyorum” cümlesi belirli değildir.

Kurum bu tür genel onaylara battaniye rıza der ve geçersiz sayar. Hizmetin ön şartına bağlanan rıza da sorunludur. Kargo gönderimi kampanya SMS'ine onay şartına bağlanırsa kişi özgürce seçemez.

Rıza geri alınabilir ve geri alma ileriye etkilidir. Yazılı olması şart değildir, ama ispat yükü veri sorumlusundadır. Altay Kargo bu yüzden onayın zamanını ve kaynağını kayda geçirir.

Veri sorumlusu, veriyi elde ederken ilgili kişiyi aydınlatmak zorundadır. Kanunun 10. maddesi metnin unsurlarını sayar: veri sorumlusunun ve varsa temsilcisinin kimliği, işleme amacı, verinin kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi, ilgili kişinin hakları. Aydınlatma, hukuki dayanaktan bağımsız bir yükümlülüktür.

Rıza gerekmeyen işlemde bile aydınlatma yapılır. Usul, 10 Mart 2018'de yayımlanan Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ'dedir. Tebliğe göre işlem açık rızaya dayanıyorsa aydınlatma ve rıza ayrı ayrı yapılır.

Kurul, 18 Şubat 2026 tarihli ve 2026/347 sayılı ilke kararıyla bu ayrımı yeniden vurguladı. Altay Kargo'nun sipariş formunda bu yüzden iki parça durur: okunacak bir aydınlatma metni ve boş gelen bir onay kutusu.

Uzun bir metni formun altına yapıştırmak kimseyi aydınlatmaz. Kurumun Aydınlatma Rehberi katmanlı aydınlatmayı tanımlar. İlk katmanda kişiye verisinin toplandığı kısaca söylenir, bir bağlantı onu tam metne götürür. Mobil uygulamada açılır pencere, çağrı merkezinde görüşme öncesi ses kaydı da yöntem olabilir.

Çerezler aynı mantığa bağlanır. Kurumun çerez rehberi, kullanıcının istediği hizmet için kesinlikle gerekli çerezleri ayrı tutar. Analitik ve reklam çerezleri için ayrıca işleme şartı aranır, çoğu zaman bu şart açık rızadır. Çerez bildirimi bir aydınlatma katmanıdır; rıza ise ayrı ve etkin bir seçimle alınır.

Uyumun omurgası kişisel veri işleme envanteridir. Veri Sorumluları Sicili Hakkında Yönetmelik envanteri şöyle tanımlar: iş süreçlerindeki her işleme faaliyetini amaç, hukuki sebep, veri kategorisi, alıcı grubu ve kişi grubuyla ilişkilendiren kayıt. Envanter ayrıca azami saklama süresini, yurt dışına aktarılacak veriyi ve güvenlik tedbirlerini gösterir.

Envanter hazırlamak yalnız sicile kayıtla yükümlü olanlara zorunludur. Kurum yine de herkese önerir, çünkü aydınlatma metni envanterden türetilir. Aşağıda Altay Kargo'nun teslimat sürecine ait satırı oku.

SÜREÇ           : Gönderi teslimatı
VERİ KATEGORİSİ : Kimlik (ad soyad), İletişim (adres, telefon)
İLGİLİ KİŞİ     : Alıcılar
AMAÇ            : Gönderinin alıcıya ulaştırılması
HUKUKİ SEBEP    : KVKK 5/2-c (sözleşmenin ifasıyla doğrudan ilgili)
ALICI GRUBU     : SMS sağlayıcısı (veri işleyen), anlaşmalı dağıtım acentesi
SAKLAMA SÜRESİ  : 2 yıl (dayanak: saklama ve imha politikası, bölüm 4)
YURT DIŞI       : Yok
TEDBİRLER       : Rol tabanlı erişim, erişim kaydı, aktarımda TLS

Satırı yukarıdan aşağı oku. Envanter veri türüne göre değil, sürece göre kurulur; ilk alan bu yüzden süreçtir. Veri kategorisi ve ilgili kişi alanları, kimin hangi verisinin işlendiğini söyler.

Amaç ile hukuki sebep yan yana durur, çünkü amaç şartı seçtirir. Alıcı grubu verinin şirket dışına nereye çıktığını gösterir; SMS sağlayıcısı burada veri işleyen olarak geçer. Saklama süresi boş kalamaz, imha adımı buradan tetiklenir.

Yurt dışı alanı bir sonraki derste göreceğin aktarım kurallarının kapısıdır. Tedbirler alanı ise 12. maddenin somut karşılığıdır.

Kanunun 16. maddesi, veri sorumlularının işlemeye başlamadan Veri Sorumluları Siciline kaydolmasını ister. Sicilin çevrim içi adı VERBİS'tir ve kayıtta envanterin özeti bildirilir. Kurul, nesnel ölçütlerle bazı veri sorumlularını kayıttan istisna tutar.

Güncel genel eşik, yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'den az olmaktır. Bu istisna, ana faaliyeti özel nitelikli veri işleme olmayanlar içindir. Kurulun 2025/1572 sayılı kararı, ana faaliyeti özel nitelikli veri olan çok küçük veri sorumlularını da istisna tuttu.

Eşiği sonradan aşan veri sorumlusu 30 gün içinde kaydolur. Kayıt istisnası Kanundan istisna demek değildir; aydınlatma ve güvenlik yükümlülükleri sürer.

Kanunun 11. maddesi ilgili kişiye dokuz hak tanır. Kişi verisinin işlenip işlenmediğini öğrenebilir, işlendiyse bilgi isteyebilir. İşleme amacını ve amaca uygun kullanımı sorabilir.

Verinin aktarıldığı üçüncü kişileri bilebilir. Eksik ya da yanlış veriyi düzelttirebilir, şartları varsa sildirebilir. Bu işlemlerin aktarılan üçüncü kişilere bildirilmesini isteyebilir. Yalnız otomatik sistemlerle yapılan analizin aleyhine sonucuna itiraz edebilir.

Hukuka aykırı işleme yüzünden zarara uğradıysa zararın giderilmesini talep edebilir. Başvuru önce veri sorumlusuna yapılır. Veri sorumlusu en geç 30 gün içinde ve kural olarak ücretsiz cevap verir. İşlem ayrıca maliyet gerektirirse Kurulun tarifesindeki ücret alınabilir.

Başvuru reddedilir, cevap yetersiz kalır ya da süresinde cevap gelmezse sıra Kurula gelir. Kişi, cevabı öğrendiği tarihten itibaren 30 gün içinde şikâyet edebilir. Süre her hâlde başvuru tarihinden itibaren 60 günle sınırlıdır.

Başvuru yolu tüketilmeden şikâyet yoluna gidilemez. Altay Kargo'ya 1 Mart'ta başvuran ve hiç cevap alamayan bir müşteriyi düşün. Cevap süresi 31 Mart'ta dolar.

Başvurudan itibaren 60. gün ise 30 Nisan'a denk gelir. Uyum ekibi bu yüzden her başvuruyu tarihli bir kayıtla izler.

Hakların arkasında veri güvenliği durur. Kanunun 12. maddesi, hukuka aykırı işlemeyi ve erişimi önlemek ve veriyi muhafaza etmek için uygun teknik ve idari tedbirleri ister. Kurumun Kişisel Veri Güvenliği Rehberi bu tedbirleri iki kümede toplar.

İdari tarafta risk analizi, çalışan eğitimi, veri minimizasyonu ve veri işleyen yönetimi vardır. Teknik tarafta siber güvenlik önlemleri, olay takibi, ortam ve bulut güvenliği, güvenli yazılım geliştirme ve yedekleme yer alır. Tek bir model yoktur; tedbir şirketin yapısına ve verinin niteliğine göre seçilir. Altay Kargo'da kuryenin el terminali yalnız o günkü teslimat listesini gösterir.

Yükümlülüğü yerine getirmeyene idari para cezası verilir. Kanunun 18. maddesi beş kalem sayar: aydınlatma, veri güvenliği, Kurul kararlarına uyma, VERBİS kaydı ve bildirimi, yurt dışı aktarımda standart sözleşmenin bildirimi. Son kalem 2024'te 7499 sayılı Kanunla eklendi ve veri işleyene de uygulanabilir.

Kanundaki tutarlar sabit kalmaz. Kabahatler Kanunu gereği idari para cezaları her yıl başında yeniden değerleme oranıyla artar. Tutarı ezberleme, o yılın rakamını Kurumun duyurusundan kontrol et. Kurul ayrıca hukuka aykırılığın en geç 30 gün içinde giderilmesine karar verebilir.

Bir sonraki derse geçmeden bir sınır çiz. Altay Kargo'nun İK birimi, işe başvuran bir sürücü adayından sağlık raporu istiyor.

Sağlık verisi genel kişisel veri değildir. Kanunun 6. maddesi sağlığı, biyometrik veriyi, sendika üyeliğini ve benzeri kategorileri ayrı bir listeye koyar.

Bu kategoriler kötüye kullanıldığında ayrımcılığa yol açabilir. Bu yüzden 5. maddedeki şartlar bu veri için yetmez; 6. maddenin kendi şartları ve Kurulun belirlediği yeterli önlemler aranır.