Şirketlerde KVKK Uyum Sürecinin Yönetilmesinde Öncelikli Adımlar

KVKK uyumu, çoğu şirkette bir kerelik proje olarak başlar ve belge seti teslim edildiğinde biter. Oysa 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun kurduğu yapı, süreklilik gerektiren bir yönetim sistemidir.¹ Aşağıda, sınırlı kaynakla çalışan şirketlerin uyum çalışmasını hangi sırayla kurgulayabileceğine ilişkin bir yol haritası sunulmaktadır. Sıralama önemlidir: sonraki adımların her biri bir öncekinin çıktısını kullanır.

1. Yönetişim: sorumluluğu bir yere bağlayın

Uyum çalışmasının ilk adımı belge yazmak değil, sahipliği tanımlamaktır. Tüzel kişilerde veri sorumlusu tüzel kişiliğin kendisidir; ancak kararları alacak, süreleri izleyecek ve birimler arası koordinasyonu sağlayacak bir yapı kurulmalıdır. Hukuk, bilgi işlem ve insan kaynakları birimlerinden temsilcilerin yer aldığı küçük bir çalışma grubu ile üst yönetimden bir sahip belirlenmesi, pratikte en işlevsel çözümdür. Sicile kayıt yükümlülüğü bulunan veri sorumluları bakımından ayrıca irtibat kişisinin atanması gerekir.

2. Envanter: neyi, neden, ne kadar süreyle işlediğinizi görün

Kişisel veri işleme envanteri, uyumun temelidir ve diğer tüm belgelerin kaynağını oluşturur. Her süreç için şu alanlar doldurulmalıdır: işlenen veri kategorileri, ilgili kişi grupları, işleme amacı, hukuki sebep, saklama süresi, aktarılan taraflar, aktarımın yurt içi mi yurt dışı mı olduğu ve alınan güvenlik tedbirleri. Envanter çıkarılmadan hazırlanan aydınlatma metinleri ve politikalar fiilî süreçlerle uyuşmaz; bu uyumsuzluk, denetim ve şikâyet hâlinde en çok zorlayan noktadır.

3. Hukuki sebep haritası: açık rızayı son çareye bırakın

Envanterdeki her işleme faaliyeti için, Kanun’un 5. ve 6. maddelerinde sayılan şartlardan hangisine dayanıldığı belirlenmelidir. Sözleşmenin ifası, hukuki yükümlülüğün yerine getirilmesi veya meşru menfaat gibi bir sebep varsa açık rıza alınmaz. Açık rıza geri alınabilir bir sebeptir; gereksiz kullanıldığında işlemenin dayanağını kırılgan hâle getirir. Özel nitelikli kişisel veriler için 6. maddedeki ayrı şartlar listesinin ayrıca değerlendirilmesi gerekir.

4. Aydınlatma ve açık rıza metinlerini ayırın

Kurul, 2026 yılında verdiği ilke kararıyla aydınlatma metinleri ile açık rıza metinlerinin ayrı ayrı düzenlenmesi gerektiğini; aydınlatma metninde ilgili kişiden onay veya rıza alınmaması gerektiğini ortaya koymuştur.² Metinler ilgili kişi grubuna göre ayrıştırılmalıdır: çalışan, çalışan adayı, müşteri, tedarikçi ve ziyaretçi için tek bir ortak metin kullanmak, Kurul’un aradığı açıklık ve belirlilik ölçütünü karşılamaz. Aydınlatmanın yapıldığının ispatı veri sorumlusuna ait olduğundan, metnin hangi anda ve hangi kanalla sunulduğunun kayıt altına alınması gerekir.

5. Saklama ve imha politikasını fiilen işletin

Sicile kayıt yükümlülüğü bulunan veri sorumluları, envantere uygun bir kişisel veri saklama ve imha politikası hazırlamakla yükümlüdür. Politikası bulunanlarda periyodik imha süresi altı ayı aşamaz; ilgili kişinin talebi hâlinde azami süre otuz gündür ve imha işlemlerine ilişkin kayıtlar en az üç yıl saklanır.³ Uygulamadaki en yaygın aksaklık, politikanın hazırlanmış olmasına rağmen imha döngüsünün hiç işletilmemesidir. Takvime bağlanmamış bir imha politikası, denetimde koruma sağlamaz.

6. Teknik ve idari tedbirler ile ihlal müdahale planı

Kanun’un 12. maddesi, uygun güvenlik düzeyini sağlamaya yönelik teknik ve idari tedbirlerin alınmasını ve kuruluş içinde gerekli denetimlerin yapılmasını veya yaptırılmasını zorunlu kılar. Yetki matrisi, erişim logları, yedekleme, şifreleme, personel eğitimi ve gizlilik taahhütnameleri bu kapsamda değerlendirilir. Bunların yanında yazılı bir ihlal müdahale planı bulunmalıdır; zira ihlal hâlinde Kurula bildirim süresi, ihlalin öğrenilmesinden itibaren en geç 72 saattir.⁴

7. Üçüncü taraf ve aktarım yönetimi

Hizmet sağlayıcı kullanmak sorumluluğu devretmez: veri güvenliğine ilişkin yükümlülükler bakımından veri sorumlusu ile veri işleyen müştereken sorumludur (m. 12/2). Tedarikçi sözleşmelerinde talimatla işleme, gizlilik, alt yüklenici kullanımı, ihlal bildirimi, denetim ile iade ve imha hükümlerinin bulunması gerekir. Veriler yurt dışına aktarılıyorsa ayrıca Kanun’un 9. maddesindeki aktarım mekanizmalarından biri kurgulanmalı; standart sözleşme kullanılıyorsa imzadan itibaren beş iş günü içinde Kuruma bildirim yapılmalıdır.⁵

8. VERBİS, eğitim ve iç denetim

Kişisel veri işleyenler kural olarak Veri Sorumluları Siciline kaydolmak zorundadır (m. 16). Kurul, 2025 yılında istisna kriterlerini güncellemiştir: ana faaliyeti özel nitelikli veri işleme olmayanlarda yıllık çalışan sayısının 50’den ve yıllık mali bilanço toplamının 100 milyon TL’den az olması; ana faaliyeti özel nitelikli veri işleme olanlarda ise bu eşiklerin 10 çalışan ve 10 milyon TL olması hâlinde kayıt yükümlülüğü doğmaz.⁶ İstisnanın yalnızca Sicile kayıt yükümlülüğünü kaldırdığı, diğer yükümlülüklerin devam ettiği unutulmamalıdır. Son halka ise düzenli personel eğitimi ve yılda en az bir kez yapılacak iç denetimdir.

Önceliklendirme: nereden başlamalı?

Kaynak sınırlıysa, risk temelli bir sıralama izlenebilir. Yüksek hacimli veya özel nitelikli veri işlenen süreçler, çok sayıda ilgili kişiye dokunan dijital kanallar ve yurt dışına aktarım içeren faaliyetler ilk sıraya alınmalıdır. İhlal müdahale planı ile başvuru yönetimi, maliyeti düşük ama koruyucu etkisi yüksek adımlar olduğundan erken aşamada tamamlanmalıdır.

Uygulamada sık yapılan hatalar

• Envanter çıkarılmadan hazır şablonlarla politika ve metin üretilmesi.
• Uyumun tek bir birime veya tek bir danışmana bırakılması; iş birimlerinin sürece dâhil edilmemesi.
• Belgelerin hazırlanıp bir kez bile güncellenmemesi; yeni ürün, yazılım veya tedarikçi devreye alınırken değerlendirme yapılmaması.
• VERBİS istisnasının Kanun’un tamamından muafiyet gibi yorumlanması.
• İhlal müdahale planının olmaması ya da yalnızca kâğıt üzerinde kalması.
• Eğitimlerin yalnızca işe girişte yapılması, düzenli tekrarlanmaması.
• Uyum çalışmasının çıktılarının belgelenmemesi; denetimde ispat güçlüğü doğması.

Hukuki Dayanaklar ve Kaynaklar

1. 6698 sayılı Kişisel Verilerin Korunması Kanunu, RG 07.04.2016, S. 29677.
2. Kişisel Verileri Koruma Kurulunun 18.02.2026 tarihli ve 2026/347 sayılı İlke Kararı, RG 24.03.2026, S. 33203.
3. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik, RG 28.10.2017, S. 30224.
4. Kişisel Verileri Koruma Kurulunun 24.01.2019 tarihli ve 2019/10 sayılı Kararı.
5. Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik, RG 10.07.2024, S. 32598.
6. Kişisel Verileri Koruma Kurulunun 04.09.2025 tarihli ve 2025/1572 sayılı Kararı, RG 01.10.2025, S. 33034; uygulama esasları için 25.12.2025 tarihli ve 2025/2393 sayılı Karar ile Kurumun 12.01.2026 tarihli duyurusu.