Veri Sorumlusunun KVKK Kapsamındaki Temel Yükümlülükleri Nelerdir?

6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK” veya “Kanun”), kişisel veri işleyen hemen her kuruluşu doğrudan ilgilendiren bir uyum rejimi kurar.¹ Kanunun yükümlülüklerinin muhatabı ise kural olarak “veri sorumlusu” sıfatını taşıyan kişidir. Konunun pratik önemi, 2026 yılı idari para cezası tutarlarında somutlaşmaktadır: Kanun’un 18. maddesinde sayılan bazı kabahatlerde üst sınır 17 milyon TL’yi aşmaktadır.² Bu nedenle KVKK uyumu, bir defaya mahsus “belge tamamlama” işi değil, süreklilik gösteren bir kurumsal risk yönetimi başlığıdır.

Veri sorumlusu kimdir?

Kanun’un 3. maddesine göre veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir. Veri işleyen ise, veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen kişidir. Ayrım teknik değil işlevseldir: belirleyici olan, işlemenin “neden ve nasıl” yapılacağına kimin karar verdiğidir.³

Uygulamada üç nokta karıştırılmamalıdır. Tüzel kişilerde veri sorumlusu, tüzel kişiliğin kendisidir; irtibat kişisi veya “KVKK sorumlusu” unvanlı çalışan onun yerine geçmez. Bir kuruluş aynı anda bazı süreçlerde veri sorumlusu, bazı süreçlerde veri işleyen olabilir. Son olarak, hizmet sağlayıcı kullanmak sorumluluğu devretmez: veri güvenliğine ilişkin yükümlülükler bakımından veri sorumlusu ile veri işleyen müştereken sorumludur (m. 12/2).

Temel yükümlülükler

Genel ilkelere uygun işleme

Her veri işleme faaliyeti, hukuki sebebi ne olursa olsun, Kanun’un 4. maddesindeki ilkelere uygun olmak zorundadır: hukuka ve dürüstlük kurallarına uygunluk; doğru ve gerektiğinde güncel olma; belirli, açık ve meşru amaçlarla işlenme; amaçla bağlantılı, sınırlı ve ölçülü olma; mevzuatta öngörülen veya amacın gerektirdiği süre kadar saklanma. Bu ilkeler bir “üst norm” işlevi görür: geçerli bir hukuki sebebin bulunması, ölçüsüz veya süresiz bir işlemeyi hukuka uygun hâle getirmez.

Doğru hukuki sebebe dayanma

Kişisel veriler kural olarak açık rıza olmaksızın işlenemez; ancak 5. maddenin ikinci fıkrasındaki hâllerden biri varsa açık rıza aranmaz. Özel nitelikli kişisel veriler için 6. maddenin üçüncü fıkrası ayrı bir şartlar listesi öngörür.⁴ En sık görülen yapısal hata, sözleşmenin ifası veya hukuki yükümlülük gibi elverişli bir sebep varken tüm işlemenin açık rızaya dayandırılmasıdır. Açık rıza her zaman geri alınabilir; geri alındığında işlemenin dayanağı ortadan kalkar.

Aydınlatma yükümlülüğü

Veri sorumlusu, verileri elde ederken ilgili kişiyi; kimliği, işleme amacı, aktarım yapılacak taraflar ve amacı, toplama yöntemi ve hukuki sebebi ile 11. maddedeki hakları konusunda bilgilendirmek zorundadır (m. 10). Aydınlatma açık, anlaşılır ve sade bir dille yapılmalı; genel ve muğlak ifadelerden kaçınılmalıdır. Yükümlülüğün yerine getirildiğini ispat yükü veri sorumlusundadır.⁵ Kurul, 2026 yılında verdiği bir ilke kararıyla aydınlatma metni ile açık rıza metninin ayrı ayrı düzenlenmesi gerektiğini, aydınlatma metninde ilgili kişiden onay veya rıza alınmaması gerektiğini ortaya koymuştur.⁶

Veri güvenliği ve ihlal bildirimi

Kanun’un 12. maddesi veri sorumlusuna üç yönlü bir yükümlülük yükler: verilerin hukuka aykırı işlenmesini önlemek, hukuka aykırı erişimi önlemek ve muhafazayı sağlamak için uygun güvenlik düzeyini temin edecek teknik ve idari tedbirleri almak. Bu bir özen yükümlülüğüdür; ayrıca veri sorumlusu kendi kuruluşunda gerekli denetimleri yapmak veya yaptırmakla da yükümlüdür.⁷

Veriler hukuka aykırı olarak başkaları tarafından elde edilirse, durum en kısa sürede ilgili kişiye ve Kurula bildirilir (m. 12/5). Kurul bu süreyi, ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat olarak belirlemiştir.⁸

Saklama, silme ve imha

İşlenmesini gerektiren sebepler ortadan kalktığında kişisel veriler re’sen veya ilgili kişinin talebi üzerine silinir, yok edilir ya da anonim hâle getirilir (m. 7). Sicile kayıt yükümlülüğü bulunan veri sorumluları, veri işleme envanterine uygun bir saklama ve imha politikası hazırlamakla yükümlüdür; politikası bulunanlarda periyodik imha süresi altı ayı aşamaz, ilgili kişinin talebi hâlinde azami süre otuz gündür.⁹

İlgili kişi başvuruları

İlgili kişiler, verilerinin işlenip işlenmediğini öğrenme, düzeltme, silme, aktarılan üçüncü kişileri bilme ve zararlarının giderilmesini isteme haklarına sahiptir (m. 11). Bu haklar önce veri sorumlusuna başvuruyla kullanılır; başvuru en geç otuz gün içinde sonuçlandırılır (m. 13). Başvuru reddedilir, cevap yetersiz kalır veya süresinde cevap verilmezse ilgili kişi, cevabı öğrendiği tarihten itibaren otuz ve herhâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunabilir (m. 14).¹⁰

VERBİS kaydı

Kişisel veri işleyenler, kural olarak veri işlemeye başlamadan önce Veri Sorumluları Siciline (VERBİS) kaydolmak zorundadır (m. 16).

Kurul, 2025 yılında istisna kriterlerini güncellemiştir: ana faaliyeti özel nitelikli veri işleme olmayanlarda yıllık çalışan sayısının 50’den, yıllık mali bilanço toplamının 100 milyon TL’den az olması; ana faaliyeti özel nitelikli veri işleme olanlarda ise bu eşikler 10 çalışan ve 10 milyon TL’dir.¹¹ Önemli bir yanılgıya dikkat çekmek gerekir: bu istisna yalnızca Sicile kayıt yükümlülüğünü kaldırır; aydınlatma, veri güvenliği, imha ve başvurulara cevap verme yükümlülükleri aynen devam eder.

Aktarım kuralları

Yurt içi aktarım, 8. madde uyarınca 5. ve 6. maddelerdeki şartlara tabidir. Yurt dışına aktarım ise 9. maddede öngörülen kademeli yapıya göre yapılır: önce yeterlilik kararı, yoksa uygun güvenceler (standart sözleşme, bağlayıcı şirket kuralları, taahhütname), bunlar da yoksa sınırlı sayıdaki arızi aktarım hâlleri. Standart sözleşme imzalandıktan sonra beş iş günü içinde Kuruma bildirilmelidir.¹²

Uyulmamanın sonuçları

2026 yılı için aydınlatma yükümlülüğünün ihlalinde 85.437 TL ile 1.709.200 TL; veri güvenliği yükümlülüklerinin, Kurul kararlarının ve VERBİS yükümlülüğünün ihlalinde ise 256.357 TL ile 17.092.242 TL arasında değişen idari para cezaları öngörülmüştür. İdari para cezası tek risk değildir: Kanun’un 17. maddesi kişisel verilere ilişkin suçlar bakımından Türk Ceza Kanunu’nun 135 ilâ 140. maddelerine yollama yapar ve zarara uğrayan ilgili kişi genel hükümlere göre tazminat talep edebilir. İdari para cezalarına karşı ise idare mahkemelerinde dava açılır (m. 18/3).

Uygulamada sık yapılan hatalar

• Aydınlatma metni ile açık rıza metninin tek bir belgede veya tek bir onay kutusunda birleştirilmesi.
• Elverişli bir hukuki sebep varken tüm işlemenin açık rızaya dayandırılması.
• Veri envanteri çıkarılmadan politika ve metin hazırlanması; belgelerin fiilî süreçlerle uyuşmaması.
• VERBİS istisnasının, Kanun’un tamamından muafiyet gibi yorumlanması.
• 72 saatlik ihlal bildirim süresinin iş günü sanılması; iç eskalasyon akışının tanımsız bırakılması.
• Saklama ve imha politikasının hazırlanmasına rağmen periyodik imha döngüsünün hiç işletilmemesi.
• Yurt dışına sürekli aktarımda standart sözleşme imzalanmaması ya da beş iş günlük bildirimin unutulması.

Hukuki Dayanaklar ve Kaynaklar

1. 6698 sayılı Kişisel Verilerin Korunması Kanunu, RG 07.04.2016, S. 29677.
2. Tutarlar, 5326 sayılı Kabahatler Kanunu m. 17/7 uyarınca her yıl yeniden değerleme oranında güncellenir. 2026 yılında uygulanan oran, 2025 yılı için tespit edilen %25,49’dur; bkz. 585 Sıra No.lu Vergi Usul Kanunu Genel Tebliği, RG 27.11.2025, S. 33090.
3. Kişisel Verileri Koruma Kurumu, Kişisel Verilerin Korunması Kanununa İlişkin Uygulama Rehberi, Ankara, Mart 2018, s. 94 vd.
4. 7499 sayılı Kanun, RG 12.03.2024, S. 32487; ilgili değişiklikler 01.06.2024 tarihinde yürürlüğe girmiştir.
5. Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ, RG 10.03.2018, S. 30356, m. 4-5.
6. Kişisel Verileri Koruma Kurulunun 18.02.2026 tarihli ve 2026/347 sayılı İlke Kararı, RG 24.03.2026, S. 33203.
7. Zehra Yürük, “Veri Sorumlusunun Veri Güvenliğine İlişkin İdari ve Teknik Tedbirleri Alma Yükümlülüğü”, İstanbul Ticaret Üniversitesi Sosyal Bilimler Dergisi, C. 22, S. 48, 2023, s. 899-920, s. 904 ve 916.
8. Kişisel Verileri Koruma Kurulunun 24.01.2019 tarihli ve 2019/10 sayılı Kararı; bildirimin asgari içeriği için 18.09.2019 tarihli ve 2019/271 sayılı Karar.
9. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik, RG 28.10.2017, S. 30224.
10. Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ, RG 10.03.2018, S. 30356.
11. Kişisel Verileri Koruma Kurulunun 04.09.2025 tarihli ve 2025/1572 sayılı Kararı, RG 01.10.2025, S. 33034; uygulama esasları için 25.12.2025 tarihli ve 2025/2393 sayılı Karar ile Kurumun 12.01.2026 tarihli duyurusu.
12. Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik, RG 10.07.2024, S. 32598.