Türkiye Veri Gizliliği Yasaları: KVKK, 7499 Sayılı Kanun ve 2024 Sınır Ötesi Aktarım Reformu

Türkiye'nin başlıca veri gizliliği mevzuatı olan 6698 sayılı Kanun (KVKK), Türkiye'de bulunan tüm bireylerin kişisel verilerinin korunmasını düzenler. 1 Haziran 2024'te yürürlüğe giren 7499 sayılı Kanun, sınır ötesi aktarım kurallarını köklü şekilde değiştirmiş ve eski rıza ve onay modelini yeterlilik kararları, standart sözleşme hükümleri ve sınırlı istisnalardan oluşan üç katmanlı bir çerçeveyle değiştirmiştir.

Türkiye'nin veri gizliliği rejimi; bir kanuna, anayasal bir hakka ve 2023'ten bu yana istikrarlı biçimde daha kararlı hâle gelen bağımsız bir denetim otoritesine dayanmaktadır. Bu rejimi anlamak, hem 2016 yılındaki ilk kanunu hem de kişisel verilerin ülke dışına gönderilme biçimini kökten değiştiren 2024 tarihli büyük reformları kavramayı gerektirir.

Hızlı Yanıt: Türkiye'nin Veri Koruma Çerçevesi

Türkiye'nin başlıca veri koruma kanunu, kısaca KVKK olarak anılan ve resmi olarak 6698 sayılı Kanun olarak adlandırılan Kişisel Verilerin Korunması Kanunu'dur. 7 Nisan 2016 tarihinde yürürlüğe girmiş olup Türkiye'nin ilk kapsamlı veri koruma mevzuatıdır.

Denetleyici kurum, Kişisel Verileri Koruma Kurumu'dur. Kurumun dokuz üyeden oluşan karar organı olan Kişisel Verileri Koruma Kurulu, bağlayıcı kararlar almakta, soruşturmalar yürütmekte, para cezaları uygulamakta ve düzenleyici rehberlik yayımlamaktadır.

Mart 2024'te Türkiye Büyük Millet Meclisi, 12 Mart 2024 tarihli ve 32487 sayılı Resmî Gazete'de yayımlanan 7499 sayılı Kanun'u kabul etmiştir. KVKK'ya ilişkin hükümler 1 Haziran 2024'te yürürlüğe girmiş olup 1 Eylül 2024'e kadar süren bir geçiş dönemi öngörülmüştür. Bu mevzuat, KVKK'nın yürürlüğe girmesinden bu yana yapılan en kapsamlı değişikliktir.

Anayasal Dayanak: Madde 20 ve 2010 Değişikliği

Türkiye'nin veri koruma çerçevesinin açık bir anayasal temeli bulunmaktadır. 1982 yılında kabul edilen Türkiye Cumhuriyeti Anayasası'nın ilk hâli, özel hayatın gizliliğine ilişkin 20. madde hükümleri kapsamında mahremiyeti genel olarak korumaktaydı. 2010 yılında yapılan önemli bir anayasa değişikliğiyle, 13 Mayıs 2010 tarihli ve 27580 sayılı Resmî Gazete'de yayımlanan 20. maddeye 3. fıkra eklenmiştir.

20/3. madde, herkesin kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahip olduğunu düzenlemektedir. Bu hüküm, kişisel veriler hakkında bilgilendirilme, bu verilere erişme, düzeltilmesini veya silinmesini isteme ve verilerin öngörülen amaçlara uygun kullanılıp kullanılmadığını öğrenme hakkını açıkça tanımaktadır. Ayrıca, kişisel verilerin ancak kanunda öngörülen hâllerde veya kişinin açık rızasıyla işlenebileceğini belirtmektedir.

2010 değişikliği, kanun koyucuya kişisel verilerin korunmasına ilişkin özel bir kanun çıkarma yükümlülüğü getirmiştir. Bu anayasal zorunluluk, altı yıl sonra, 2016 yılında KVKK'nın kabul edilmesiyle sonuçlanmıştır. Bu anayasal temel, Türkiye'yi veri korumanın yalnızca sıradan bir mevzuata dayandığı birçok ülkeden ayırmakta ve mahremiyet ile veri korumayı Türk hukukunun en üst katmanına yerleştirmektedir.

Türkiye ayrıca, Avrupa Konseyi'nin Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Bireylerin Korunması Sözleşmesi'ne (108 Sayılı Sözleşme) taraftır; bu sözleşme, anayasal ve yasal çerçeveyi uluslararası hukuk yükümlülükleriyle desteklemektedir.

KVKK'nın Kapsamı

KVKK, Türkiye'de bulunan bireylerin kişisel verilerini işleyen her gerçek veya tüzel kişiye uygulanır. Bu kapsama Türk şirketleri, Türkiye'de yerleşik kişilere mal veya hizmet sunan yabancı kuruluşlar ve Türkiye'deki bireylerin davranışlarını izleyen organizasyonlar dâhildir.

KVKK kapsamında kişisel veri, kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin her türlü bilgi anlamına gelir. Bu tanım geniştir ve isimleri, kimlik numaralarını, e-posta adreslerini, IP adreslerini, konum verilerini ve bir bireyi doğrudan veya dolaylı olarak tanımlayabilecek diğer her türlü bilgiyi kapsar.

Kanun, otomatik işlemeye olduğu kadar, bir veri kayıt sisteminin parçasını oluşturması kaydıyla otomatik olmayan işlemeye de uygulanır. Kuruluşları temel yükümlülüklerden muaf tutan veya bu yükümlülükleri tetikleyen bir gelir veya çalışan sayısı eşiği bulunmamakla birlikte, yurt içi veri sorumluları için VERBİS kayıt eşikleri mevcuttur.

Veri İşlemenin Temel İlkeleri

KVKK'nın 4. maddesi, tüm kişisel veri işleme faaliyetlerini yöneten temel ilkeleri düzenlemektedir. Bu ilkeler, çoğu modern veri koruma çerçevesindekilere benzerdir.

Veriler hukuka ve dürüstlük kuralına uygun olarak işlenmelidir. İşlemenin geçerli bir hukuki dayanağı bulunmalı ve ilgili kişiyi yanıltmamalıdır. Tüm işleme, belirli, açık ve meşru bir amaca bağlı olmalıdır. Veri sorumluları, belirtilen amaç için gerekli olandan daha fazla veri toplayamaz.

Doğruluk zorunludur. Veri sorumlularının verileri güncel tutması ve tespit edilen yanlışlıkları düzeltmesi gerekir. Veriler, işlemenin amacının gerektirdiği süre kadar saklanabilir. Bu amaç gerçekleştiğinde veya kanuni saklama süresi dolduğunda, verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesi gerekir.

İşleme İçin Hukuki Dayanaklar

KVKK'nın 5. maddesi, kişisel verilerin hukuka uygun şekilde işlenebileceği koşulları düzenlemektedir. Temel dayanak açık rızadır. Ancak, rıza olmaksızın işlemeye izin veren çeşitli alternatif dayanaklar da mevcuttur.

Kanunlarda açıkça öngörülmesi, rızasını açıklayamayacak durumdaki bir kişinin hayatı veya beden bütünlüğünün korunması için zorunlu olması, ilgili kişinin taraf olduğu bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması, verinin ilgili kişi tarafından alenileştirilmiş olması, bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması ve ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati için veri işlemenin zorunlu olması hâllerinde, rıza aranmaksızın işleme yapılabilir.

KVKK'nın meşru menfaat dayanağı, GDPR kapsamındakinden daha dar yorumlanmaktadır. KVKK Kurulu tarihsel olarak açık rızayı tercih edilen hukuki dayanak olarak vurgulamış olup, meşru menfaate dayanan kuruluşlar daha ağır bir ispat yükü taşımaktadır.

Özel Nitelikli Kişisel Veri Kategorileri

KVKK'nın 6. maddesi özel nitelikli kişisel veri kategorilerini tanımlamakta ve bunlara daha sıkı işleme koşulları getirmektedir. Bu kategoriler; ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık verileri, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik verileri kapsar.

7499 sayılı Kanun'dan önce, KVKK sağlık ve cinsel hayat verileri ile diğer hassas kategoriler arasında ayrı bir iç ayrım yapmakta ve her bir gruba farklı hukuki koşullar uygulamaktaydı. 2024 değişikliği bu iç ayrımı kaldırmıştır. Tüm özel nitelikli veriler artık birleştirilmiş bir dizi hukuki dayanağa tabidir.

Değiştirilmiş 6. madde uyarınca, kanunlarda açıkça öngörülmesi, rızasını açıklayamayacak durumdaki bir kişinin hayatı veya beden bütünlüğünün korunması için zorunlu olması, verinin ilgili kişi tarafından alenileştirilmiş olması, bir hakkın tesisi veya kullanılması için işlemenin zorunlu olması, istihdam veya iş sağlığı ve güvenliği yükümlülüklerinin yerine getirilmesi için gerekli olması ya da dernek ve vakıflar tarafından yalnızca kendi üyelerine yönelik ve üçüncü kişilere ifşa edilmeksizin işlenmesi hâllerinde, hassas veriler açık rıza olmaksızın işlenebilir.

Değişiklik ayrıca, yeterli gizlilik ve teknik güvenlik önlemlerinin sağlanması kaydıyla, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetleri ile sağlık hizmetlerinin planlanması ve finansmanı amacıyla sağlık meslek mensupları tarafından yapılan işlemeye ilişkin istisnayı da genişletmiştir.

Özel nitelikli verilerin tüm işlenmesi, KVKK Kurulu'nun belirleme yetkisine sahip olduğu ek koruyucu önlemlere uyulmasını gerektirmeye devam etmektedir.

Kurul'un özel nitelikli verilere ilişkin son dönemdeki en önemli kararı, iş yerinde biyometrik veri kullanımına ilişkindir. 29 Nisan 2026 tarihinde alınan ve 2 Haziran 2026 tarihli Resmî Gazete'de yayımlanan 2026/921 sayılı İlke Kararı, çalışanların biyometrik verilerinin yalnızca devam veya çalışma saatlerinin takibi amacıyla işlenmesinin 6. maddedeki koşulların hiçbirini karşılamadığına ve geçerli bir açık rızanın dahi bu işlemeyi hukuka uygun hâle getirmediğine hükmetmiştir; zira işleme, 4. maddedeki ölçülülük ilkesine aykırıdır. Kurum, Ağustos 2026 tarihli bir açıklamasında, avuç içi damar ve parmak izi verilerinin matematiksel bir kod olarak saklandığında dahi biyometrik veri olmaya devam ettiğini, gerçek bir güvenlik riski taşıyan yerlerde ise biyometrik kimlik doğrulamanın kritik alan ve personelle sınırlı tutulması ve alternatif yöntemlerin yetersiz kalması kaydıyla kullanılabileceğini eklemiştir.

KVKK Kurulu ve Kişisel Verileri Koruma Kurumu

Kişisel Verileri Koruma Kurumu (KVKK Kurumu), bağımsız denetim organıdır. Dokuz üyeden oluşan Kurul, beşi Türkiye Büyük Millet Meclisi tarafından seçilen ve dördü Cumhurbaşkanı tarafından atanan üyelerden meydana gelmektedir. Kurul üyeleri, 6698 sayılı Kanun'un 21. maddesinin 8. fıkrası uyarınca dört yıllık bir görev süresi için görev yapmakta ve yeniden seçilebilmektedir. Bağımsız hareket etmeleri beklenmektedir.

Kurulun uygulama yetkileri geniştir. Şikâyetleri inceler, re'sen soruşturmalar yürütür, düzeltici işlem yapılmasını gerektiren bağlayıcı kararlar alır, idari para cezaları uygular, kılavuzlar ve düzenleyici rehberlik yayımlar, sınır ötesi veri aktarım mekanizmalarını onaylar veya reddeder ve VERBİS sicilini yönetir.

Kurum Başkanlığı, günlük idari işleri yürütmekte, VERBİS kayıtlarını işlemekte, soruşturma çalışmalarını desteklemekte ve Kurumun internet sitesinde ihlal bildirimlerinin yayımlanması dâhil kamuoyu iletişimini yönetmektedir.

2023'ten bu yana Kurul, uygulama faaliyetlerini hızlandırmıştır. Sohbet robotları, derin sahte içerikler (deepfake) ve yapay zekâ sistemleri gibi yeni teknoloji konularında rehberlik yayımlamış ve dijital platformlar ile finansal kuruluşlara yönelik denetimini genişletmiştir.

VERBİS: Veri Sorumluları Sicili

KVKK'nın en dikkat çekici özelliklerinden biri, VERBİS olarak bilinen Veri Sorumluları Sicil Bilgi Sistemi'dir. Kamuya açık bu çevrimiçi sicil, veri sorumlularının Türkiye'de kişisel veri işlemeye başlamadan önce kaydolmasını zorunlu kılmaktadır.

Kayıt işlemi, veri sorumlusunun işlenen kişisel veri kategorilerini, işleme amaçlarını, veri konusu kişi kategorilerini, verinin aktarıldığı alıcıları, öngörülen saklama sürelerini ve sınır ötesi veri aktarımlarını beyan etmesini gerektirir. Bu bilgilerdeki her türlü değişikliğin yedi gün içinde güncellenmesi gerekmektedir.

Yurt İçi Kayıt Eşikleri

Türkiye'de kurulu veri sorumluları için, 50 veya daha fazla çalışanı olması ya da yıllık bilanço toplamının 100 milyon TL veya üzerinde olması hâlinde kayıt zorunludur. Daha küçük kuruluşlar için bir muafiyet mevcuttur; ancak bu muafiyet yalnızca asıl faaliyet konusunun özel nitelikli veri işleme olmaması hâlinde geçerlidir. Asıl faaliyeti hassas veri işleme olan veri sorumluları, 10 veya daha fazla çalışanı ya da en az 10 milyon TL yıllık bilançosu varsa kaydolmak zorundadır.

Bu eşikler, 4 Eylül 2025 tarihli ve 2025/1572 sayılı Kurul Kararı ile yeniden düzenlenmiş olup karar 1 Ekim 2025'te yürürlüğe girmiştir. Karar, hem çalışan hem de mali eşikleri güncellemiş ve küçük veri sorumluları için özel nitelikli veri işleme ölçütünü netleştirmiştir.

Sonraki bir karar, iki ölçütün nasıl birlikte uygulanacağını açıklamaktadır. 25 Aralık 2025 tarihli ve 2025/2393 sayılı Kurul Kararı uyarınca, çalışan sayısı ve bilanço ölçütleri yalnızca bilanço esasına göre defter tutan veri sorumluları bakımından birlikte uygulanmaktadır. Bilanço esasına göre defter tutmayan veri sorumlularının yıllık bilanço toplamı bulunmadığından, bunlar yalnızca çalışan sayısı üzerinden değerlendirilmektedir.

Yabancı Veri Sorumluları

Yurt içi eşikler yabancı veri sorumlularına uygulanmaz. Türkiye'deki bireylerin kişisel verilerini işleyen herhangi bir yabancı kuruluş, büyüklüğünden, personel sayısından veya yıllık gelirinden bağımsız olarak VERBİS'e kaydolmak zorundadır. Yabancı veri sorumlularının ayrıca Türkiye'de ikamet eden yerel bir temsilci ataması gerekir. Bu temsilci, KVKK Kurumu ve haklarını kullanmak isteyen ilgili kişiler için başlıca irtibat noktası görevi görür.

VERBİS Uygulama Faaliyetleri

VERBİS uygulaması 2024 yılında başlamamıştır. Kurul, muafiyet kapsamında olmayan tüm veri sorumluları için kayıt son tarihini 31 Aralık 2021 olarak belirlemiş olup kayıt cezaları o tarihten bu yana her yıl uygulanmaktadır: Kurumun 2024 Yılı Faaliyet Raporu'na göre 2022'de 29,8 milyon TL, 2023'te 150,7 milyon TL ve 2024'te 421,9 milyon TL.

Kurul, 1 Ağustos 2024 tarihli kamuoyu duyurusunda, kayıt yükümlülüğü bulunduğu tespit edilen yaklaşık 130.600 veri sorumlusundan yaklaşık 16.350'sinin bu yükümlülüğü yerine getirmediğinin belirlendiğini ve bunların re'sen incelemeye alındığını, cezaların ise yıllık bilanço aktif toplamına dayalı bir tablo üzerinden belirlendiğini bildirmiştir. Kayıt yükümlülüğünün ihlaline ilişkin toplam cezalar bu tarih itibarıyla 503.935.000 TL'ye ulaşmıştır. Bu rakam, tek bir Ağustos 2024 işleminin sonucu değil, 2022'den bu yana süregelen uygulamanın toplamıdır; 16.350 sayısı da ceza uygulanan değil, incelemeye alınan veri sorumlularını göstermektedir.

Kamu kurumları dâhil olmak üzere hem yurt içi hem de yabancı veri sorumluları yaptırımla karşılaşmıştır. Kurul, Mart 2023'te Meta ve WhatsApp'a VERBİS kayıt yükümlülüğünü yerine getirmemeleri nedeniyle her biri için 2.665.000 TL, toplamda 5,33 milyon TL ceza uygulamış ve her ikisine 30 gün içinde kaydolma talimatı vermiştir.

2024 Değişikliği: 7499 Sayılı Kanun

7499 sayılı Kanun, geniş kapsamlı, çok sektörlü bir reform tasarısı olarak kabul edilmiştir. KVKK'ya ilişkin hükümleri, 6698 sayılı Kanun'un 6, 9 ve 18. maddelerini değiştirmiş olup, değişiklikler 1 Haziran 2024'te yürürlüğe girmiş ve 1 Eylül 2024'e kadar süren bir geçiş dönemi öngörülmüştür.

Değişiklik iki amaçla yönlendirilmiştir: Türkiye'nin sınır ötesi aktarım çerçevesini GDPR'ın V. Bölümü ile uyumlu hâle getirmek ve hassas veri işleme için hukuki dayanakları genişletmek. Her ikisi de, orijinal 2016 kanununun işletmeler için pratik zorluklar yarattığı ve AB ortaklarıyla sürtüşmeye yol açtığı alanlardı.

Sınır Ötesi Veri Aktarımları: Yeni Üç Katmanlı Çerçeve

9. maddede yapılan 2024 değişiklikleri, KVKK tarihindeki en önemli değişikliği temsil etmektedir. 7499 sayılı Kanun'dan önce, uluslararası veri aktarımları ya ilgili kişinin açık rızasını ya da KVKK Kurulu tarafından vaka bazında onaylanan bir taahhüdü gerektirmekteydi. Bu süreç yavaştı, belirsizlik yaratıyordu ve sistematik sınır ötesi veri akışlarının yönetimini zorlaştırıyordu. Yeni çerçeve bunun yerine üç mekanizmadan oluşan bir hiyerarşi getirmiştir.

1. Katman: Yeterlilik Kararları

KVKK Kurulu, belirli bir ülkenin, bir ülke içindeki belirli bir sektörün veya uluslararası bir kuruluşun KVKK ile esasen eşdeğer düzeyde veri koruma sağladığını tanıyan resmi yeterlilik kararları verebilir. Böyle bir karar mevcut olduğunda, kişisel veriler, ek bir yetkilendirme veya sözleşmesel mekanizma gerekmeksizin 5. ve 6. maddeler kapsamındaki olağan hukuki dayanaklar kullanılarak bu hedefe aktarılabilir.

Türk yeterlilik rejiminin dikkat çekici bir özelliği, sektörel düzeyde de uygulanabilmesidir. Bir ülke genel olarak yeterli bulunmamış olsa dahi, o ülke içindeki belirli bir sektöre yeterlilik statüsü verilebilir. Yeterlilik kararları, en az dört yılda bir periyodik olarak gözden geçirilmektedir.

2026 yılı başı itibarıyla, KVKK Kurulu henüz yeterli ülkeler veya sektörlere ilişkin kesinleşmiş bir liste yayımlamamıştır. Bu belirleme süreci gelişmeye devam etmekte olup, kuruluşlar çoğu aktarım hedefi için henüz bir yeterlilik kararına dayanamamaktadır.

2. Katman: Uygun Güvenceler

Bir yeterlilik kararı bulunmadığında, 9. maddenin 4. fıkrası, dört uygun güvenceden birinin bulunması hâlinde aktarıma izin vermektedir. Bunlardan ilki, yabancı kamu kurum ve kuruluşları veya uluslararası kuruluşlar ile Türkiye'deki kamu kurum ve kuruluşları veya kamu kurumu niteliğindeki meslek kuruluşları arasında yapılan ve uluslararası sözleşme niteliği taşımayan bir anlaşmanın bulunması ve Kurul'un izin vermesidir. Bu yol yalnızca kamu kesimine açıktır. Özel sektör kuruluşları bakımından önem taşıyan üç mekanizma ise standart sözleşme, bağlayıcı şirket kuralları ve Kurul tarafından izin verilen yazılı taahhütnamedir.

Standart Sözleşme Hükümleri (SCC), KVKK Kurulu tarafından yayımlanan önceden onaylı örnek sözleşmelerdir. Kurul dört modül yayımlamıştır: veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene, veri işleyenden veri işleyene ve veri işleyenden veri sorumlusuna. Hükümlerin değişiklik yapılmaksızın olduğu gibi kabul edilmesi gerekir. Veri kategorileri, amaçlar ve güvenlik önlemleri gibi operasyonel ayrıntıları ele almak için ek ekler eklenebilir; ancak hükmün ana metni değiştirilemez.

İmzaların tamamlanmasının ardından, standart sözleşmenin beş iş günü içinde Kurum'a bildirilmesi gerekir. Sınır ötesi aktarım Yönetmeliği'nin 14. maddesinin 5. fıkrası üç kanala izin vermektedir: fiziksel başvuru, kayıtlı elektronik posta (KEP) veya Kurul tarafından belirlenen başka bir yöntem. Kurul'un elektronik kanalı, 17 Ekim 2024 tarihli ve 2024/1793 sayılı Kurul Kararı ile açılan ve standartsozlesme.kvkk.gov.tr adresinde yer alan Standart Sözleşme Bildirim Modülü'dür. Fiziksel başvuru ve KEP de aynı ölçüde geçerliliğini korumaktadır.

Taraflar, bildirimi hangisinin yapacağını sözleşmede belirtebilir. Belirtmedikleri takdirde bildirimi aktaran taraf yapar.

Kullanım bir anda değil, kademeli olarak artmıştır. Kurum, Faaliyet Raporları'na göre 2024 yılında 1.364, 2025 yılında ise 2.497 standart sözleşme bildirimi almıştır. Bildirim modülü Ekim 2024'e kadar açılmadığından, 2024 bildirimlerinin çoğu fiziksel olarak veya KEP üzerinden yapılmıştır.

Bildirim, Kurul onayı anlamına gelmemektedir. Aktarımın hukuka uygunluğu, Kurul tarafından onaylanmış hüküm metninin doğru şekilde kabul edilmesinden kaynaklanmaktadır. Bildirim, Kurum'un izlemesine yardımcı olan idari bir başvurudur.

Bağlayıcı Şirket Kuralları (BCR), çok uluslu kuruluşların grup içi aktarım çerçeveleri oluşturmasına imkân tanır. BCR'lerin onay için KVKK Kurulu'na sunulması ve veri güvenliği, şeffaflık ve ilgili kişi haklarının uygulanmasına ilişkin taahhütler dâhil olmak üzere, katılan tüm grup kuruluşları genelinde yeterli koruma standartlarının sağlandığını göstermesi gerekir.

Yazılı taahhütnameler üçüncü bir seçenektir. Bir veri sorumlusu veya veri işleyen, yabancı alıcıyla, her iki tarafı da yeterli koruma standartlarına bağlayan özel bir yazılı sözleşme hazırlayabilir. SCC'lerden farklı olarak, yazılı taahhütnameler önceden onaylanmış bir Kurul şablonuna dayanmaz. Aktarımlar başlamadan önce bireysel yetkilendirme için Kurul'a sunulması gerekir. Bu mekanizma, alışılmadık aktarım ilişkileri için esneklik sağlar; ancak SCC'lere göre daha fazla hazırlık süresi gerektirir.

3. Katman: İstisnai Haller

Ne bir yeterlilik kararı ne de bir güvence mekanizması mevcut veya uygulanabilir olduğunda, belirli sınırlı istisnalar belirli koşullarda aktarımlara izin vermektedir. Bunlar arasında, ilgili kişinin açık ve bilgilendirilmiş rızasına dayanan aktarımlar, ilgili kişi ile veri sorumlusu arasındaki bir sözleşmenin ifası için gerekli olan aktarımlar, rıza alınamadığında ilgili kişinin hayatı veya beden bütünlüğünün korunması için hayati önem taşıyan aktarımlar ve bir hakkın tesisi veya kullanılması için gerekli olan aktarımlar bulunmaktadır.

1 Eylül 2024 itibarıyla, açık rıza artık düzenli veya tekrarlanan uluslararası aktarımlar için bir dayanak olarak kullanılamamaktadır. İstisna anlamındaki rıza, yalnızca arızi, sistematik olmayan aktarımları kapsamaktadır. Bu değişiklik, yapısal mekanizmaların yerine kullanılan süregelen genel rıza uygulamasını ortadan kaldırmaktadır.

2024 değişiklikleri ayrıca, yalnızca veri sorumlularının değil, veri işleyenlerin de sınır ötesi aktarımlarda bulunmasına açıkça izin vererek, orijinal mevzuattaki bir boşluğu kapatmıştır.

Sınır Ötesi Aktarım Yönetmeliği ve Rehberi

KVKK, Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmeliği 10 Temmuz 2024'te yayımlayarak yeni 9. madde çerçevesinin uygulama ayrıntılarını sunmuştur. Ocak 2025'te Kurum, mekanizmaların hiyerarşisini ve her biri için usul gerekliliklerini netleştiren ek rehberler yayımlamıştır. Rehber, veri sorumlularına hedef ülkedeki koruma düzeyini değerlendirmelerini, bu değerlendirmeyi belgelemelerini ve sonuca göre uygulanabilir mekanizmayı seçmelerini talimatlandırmaktadır.

VERBİS ve Sınır Ötesi Aktarımlar

Sınır ötesi veri aktarımı yapan kuruluşların, bu aktarımları VERBİS kayıtlarına yansıtması gerekir. Yabancı alıcı kategorileri, ilgili ülkeler ve kullanılan aktarım mekanizması eksiksiz olarak beyan edilmelidir. Bir aktarım düzenlemesindeki her türlü değişikliğin VERBİS'te yedi gün içinde güncellenmesi gerekir.

Veri İhlali Bildirimi

KVKK, sıkı ihlal bildirimi yükümlülükleri getirmektedir. Bir kişisel veri ihlali tespit edildiğinde, veri sorumlusunun resmi Kişisel Veri İhlali Bildirim Formu'nu kullanarak 72 saat içinde KVKK Kurulu'na bildirimde bulunması gerekir. 72 saatlik süre, veri sorumlusunun ihlali öğrendiği tarihten itibaren işlemeye başlar. 2019/10 sayılı Kurul Kararı, BT ekibinin tespiti ile yönetimin haberdar olması arasında bir ayrım yapmamaktadır; bu nedenle veri sorumlusu, kendi güvenlik ekibi incelemesini sürdürürken sürenin durduğunu varsaymamalıdır.

Türkiye'nin bildirim yükümlülüğü, GDPR'dakinden dikkat çekici biçimde daha geniştir. GDPR, yalnızca ihlalin gerçek kişilerin hak ve özgürlükleri açısından risk oluşturması muhtemel olduğunda bildirim gerektirmektedir. KVKK'da böyle bir risk eşiği bulunmamaktadır. Tüm ihlallerin, ciddiyetinden veya bireylere zarar verme olasılığından bağımsız olarak Kurul'a bildirilmesi gerekir.

Bildirimde, ihlalin niteliği, etkilenen kişisel veri kategorileri ve yaklaşık sayısı, etkilenen ilgili kişilerin yaklaşık sayısı, olası sonuçlar ve ihlali gidermek için alınan veya önerilen tedbirler açıklanmalıdır. Veri sorumlusu formdaki bilgilerin tamamını aynı anda sunamıyorsa, 2019/10 sayılı Kurul Kararı beklemek yerine gecikmeksizin kısım kısım bildirim yapılmasını gerektirmektedir. Veri sorumlusu 72 saat içinde hiç bildirim yapamıyorsa, gecikmenin nedenlerini bildirimle birlikte Kurul'a açıklaması gerekir.

Veri sorumlularının, etkilenen ilgili kişileri de koruyucu tedbirler alabilmeleri için en kısa sürede bilgilendirmesi gerekir. 2019/10 sayılı Kurul Kararı uyarınca, veri sorumlusunun ilgili kişinin iletişim adresine ulaşabildiği hâllerde bildirim doğrudan kişiye yapılır. Ulaşılamadığı hâllerde ise veri sorumlusunun, bildirimi kendi internet sitesinde yayımlamak gibi uygun başka bir yöntem kullanması gerekir.

Bundan ayrı olarak, 6698 sayılı Kanun'un 12. maddesinin 5. fıkrası, Kurul'un gerekli görmesi hâlinde ihlali bizzat Kurumun internet sitesinde veya uygun göreceği başka bir yöntemle ilan etmesine imkân tanımaktadır. Bu, Kurul'un veri sorumlusuna verdiği bir talimat değil, kendisinin kullandığı bir yetkidir.

25 Aralık 2025'ten itibaren, KVKK Kurumu'nun internet sitesinde yayımlanan ihlal bildirimleri en fazla 60 gün sonra kaldırılmaktadır. Bu değişiklik, önceki süresiz saklama uygulamasının yerine geçen 2025/2451 sayılı Kurul Kararı ile getirilmiştir. Etkilenen tüm bireylerin daha önce doğrudan bilgilendirildiğini gösterebilen veri sorumlularının bildirimleri daha erken kaldırılabilir.

KVKK'ya tabi her veri sorumlusunun, iç bildirim zincirlerini belirleyen, bildirim sorumluluğunu atayan ve olayların belgelenmesi ile araştırılmasına ilişkin prosedürler oluşturan test edilmiş bir ihlal müdahale planı bulundurması beklenmektedir.

İlgili Kişi Hakları

KVKK'nın 11. maddesi, bireylere kişisel verileri hakkında bir dizi hak tanımaktadır. 7499 sayılı Kanun 11. maddeye dokunmamıştır; bu nedenle söz konusu liste 2016'dan bu yana değişmeden kalmıştır.

İlgili kişiler, kişisel verilerinin işlenip işlenmediğini öğrenebilir. İşleniyorsa, işlemenin niteliği hakkında bilgi talep edebilir. İşleme amacını ve verilerin bu amaca uygun kullanılıp kullanılmadığını öğrenebilir. Verilerinin aktarıldığı yurt içindeki veya yurt dışındaki üçüncü kişileri öğrenebilir. Eksik veya yanlış verilerin düzeltilmesini talep edebilir. İşlemeyi gerektiren sebepler ortadan kalktığında veya saklama süresi dolduğunda verilerin silinmesini veya yok edilmesini talep edebilir.

İlgili kişiler, yapılan düzeltme veya silme işlemlerinin, verilerin aktarıldığı üçüncü kişilere bildirilmesini talep edebilir. Münhasıran otomatik sistemler aracılığıyla yapılan ve kendileri aleyhine bir sonuç doğuran işlemeye itiraz edebilirler. Ayrıca hukuka aykırı işleme nedeniyle uğradıkları zararın tazminini talep edebilirler.

GDPR'dan farklı olarak, KVKK veri taşınabilirliği hakkı tanımamaktadır. 7499 sayılı Kanun yalnızca 6, 9 ve 18. maddeleri değiştirmiş ve Geçici Madde 3'ü eklemiştir; bu haklar listesinde hiçbir değişiklik yapmamıştır. Otomatik işlemeye ilişkin hak da GDPR'daki karşılığından dardır: 11. maddenin birinci fıkrasının (g) bendi, kişiye yalnızca münhasıran otomatik sistemlerle yapılan analiz sonucu aleyhine doğan sonuca itiraz etme imkânı tanımakta ve bunun ötesine geçmemektedir.

Bu hakları kullanmak için, ilgili kişinin öncelikle veri sorumlusuna yazılı bir başvuruda bulunması gerekir. Veri sorumlusunun 30 gün içinde yanıt vermesi gerekir. Veri sorumlusu talebi reddeder, yetersiz bir yanıt verir veya yanıt vermezse, ilgili kişi, yanıtı öğrendiği tarihten itibaren 30 gün içinde veya başvuru tarihinden itibaren 60 gün içinde KVKK Kurulu'na şikâyette bulunabilir. Şikâyetler, KVKK Şikâyet Modülü aracılığıyla sunulmaktadır.

KVKK ile GDPR Karşılaştırması: Temel Benzerlikler ve Farklar

KVKK ve AB'nin Genel Veri Koruma Tüzüğü (GDPR), Avrupa veri koruma geleneğinde ortak bir kökene sahiptir. Türkiye'nin 108 Sayılı Sözleşme üyeliği ve AB'ye katılım adaylığı, KVKK'nın tasarımını şekillendirmiştir. Ancak, 2024 reformlarından sonra bile anlamlı farklılıklar devam etmektedir.

Bölgesel kapsam. GDPR, kuruluşun nerede yerleşik olduğundan bağımsız olarak AB'de yerleşik kişilerin verilerini işleyen her kuruluşa uygulanır. KVKK, Türkiye'de yerleşik kişileri hedef alan yabancı kuruluşlara uygulanır; ancak sınır ötesi uygulaması pratikte daha az gelişmiştir.

Hukuki dayanaklar. Her iki kanun da açık rızayı, sözleşmenin ifasını, hukuki yükümlülükleri, hayati menfaatleri ve meşru menfaatleri tanımaktadır. KVKK'nın meşru menfaat dayanağı daha dar yorumlanmakta olup Kurul tarihsel olarak açık rızayı tercih etmiştir.

Ceza düzeyleri. GDPR, 20 milyon EUR'ya veya küresel yıllık cirosunun yüzde 4'üne kadar para cezası öngörmektedir. KVKK'nın 2026 yılı azami idari para cezası 17.092.242 TL olup, Türkiye Cumhuriyet Merkez Bankası'nın 9 Eylül 2026 tarihli 1 EUR = 56,31 TL kuruyla kabaca 300.000 EUR'ya karşılık gelmektedir. Türk lirası hızlı hareket ettiğinden, EUR karşılığının kullanılmadan önce güncel bir Merkez Bankası bülteni üzerinden yeniden hesaplanması gerekir. KVKK, idari para cezalarını, bireyler için hapis cezası dâhil olmak üzere Türk Ceza Kanunu aracılığıyla cezai yaptırımlarla desteklemektedir.

VERBİS ile Veri Koruma Görevlisi (DPO) ve Veri Koruma Etki Değerlendirmesi (DPIA) karşılaştırması. KVKK, GDPR'de doğrudan bir karşılığı bulunmayan VERBİS kaydını gerektirmektedir. GDPR, belirli yüksek riskli veya büyük ölçekli işleme bağlamlarında Veri Koruma Etki Değerlendirmesi ve Veri Koruma Görevlisi bulundurulmasını gerektirmektedir. Ne DPO ne de DPIA, KVKK tarafından resmi olarak zorunlu kılınmamıştır; ancak birçok uygulayıcı bunları en iyi uygulama olarak önermektedir.

İhlal bildirimi eşiği. GDPR risk temelli bir eşik kullanmaktadır. KVKK ise herhangi bir eşik olmaksızın tüm ihlaller için bildirim gerektirmektedir.

Aktarımlar için yeterlilik. Her iki kanun da yeterlilik kararları, SCC'ler ve BCR'ler ile sonuçlanan katmanlı bir aktarım çerçevesi kullanmaktadır. Türkiye'nin çerçevesi, 2024 reformunun ardından GDPR'ın V. Bölümü örnek alınarak tasarlanmıştır. Ancak Türkiye henüz herhangi bir yeterlilik kararı vermemiş olup, bu durum SCC'leri çoğu uluslararası aktarım için başlıca pratik mekanizma hâline getirmektedir.

Cezalar ve Uygulama

2026 Yılı İdari Para Cezaları

KVKK kapsamındaki idari para cezaları, Türkiye'nin kanuni yeniden değerleme oranına göre her yıl güncellenmektedir. 2026 yılı için yeniden değerleme oranı, 27 Kasım 2025 tarihli ve 33090 sayılı Resmî Gazete uyarınca 2025 rakamlarına eklenerek yüzde 25,49 olarak belirlenmiştir. Kesin 2026 ceza aralıkları şu şekildedir:

• İlgili kişileri aydınlatma yükümlülüğüne uymama: asgari 85.437 TL, azami 1.709.200 TL
• Veri güvenliği yükümlülüklerini yerine getirmeme: asgari 256.357 TL, azami 17.092.242 TL
• Kurul kararlarına uymama: asgari 427.263 TL, azami 17.092.242 TL
• VERBİS'e kaydolmama veya bildirim yapmama: asgari 341.809 TL, azami 17.092.242 TL
• Sınır ötesi aktarımlara ilişkin standart sözleşme hükümlerini Kurum'a bildirmeme: asgari 90.308 TL, azami 1.806.177 TL

Son kategori, SCC bildirim yükümlülüğü için özel bir uygulama aracı olarak 2024 değişikliğiyle eklenmiştir.

İdari para cezalarına daha önce sulh ceza mahkemelerinde itiraz edilebilmekteydi. 7499 sayılı Kanun bunu değiştirmiştir: cezalara artık idari mahkemelerde itiraz edilmekte olup bu usul değişikliği, KVKK rejiminin idari hukuk niteliğiyle uyumludur.

Cezai Yaptırımlar

KVKK'nın 17. maddesi, ciddi ihlalleri, veri koruma suçları için hapis cezası öngören Türk Ceza Kanunu'na (5237 sayılı Kanun) atıfta bulunmaktadır:

• Kişisel verilerin hukuka aykırı olarak kaydedilmesi: 1 ila 3 yıl hapis cezası; hassas kategoriler için artırılmış cezalar uygulanır
• Kişisel verilerin başkalarına hukuka aykırı olarak verilmesi veya hukuka aykırı yollarla ele geçirilmesi: 2 ila 4 yıl hapis cezası
• Kanunen gerektiğinde verilerin silinmemesi veya anonim hâle getirilmemesi: 1 ila 2 yıl hapis cezası

Bu hükümler gerçek kişilere uygulanmakta olup, şirket yöneticileri ve yetkilileri veri koruma ihlalleri nedeniyle kişisel cezai sorumlulukla karşılaşabilir.

Dikkat Çekici Uygulama Kararları

KVKK Kurulu'nun 2024 yılı toplam cezaları, 862 veri sorumlusu bakımından 552.188.101 TL'dir; bunun 421,9 milyon TL'si 597 veri sorumlusuna VERBİS kayıt yükümlülüğünün ihlali nedeniyle uygulanmıştır. Uygulama sonrasında hız kesmiştir. Kurumun 2025 Yılı Faaliyet Raporu, 2025 cezalarını 876 veri sorumlusu bakımından 352.510.494 TL olarak göstermektedir: 45,3 milyon TL şikâyet, 90,4 milyon TL ihlal bildirimi ve 216,9 milyon TL VERBİS kaynaklıdır. Eğilim düz bir yükseliş çizgisi değildir.

Dikkat çekici bireysel uygulamalar arasında, VERBİS kayıt yükümlülüğünü yerine getirmemeleri nedeniyle Mart 2023'te Meta ve WhatsApp'a her biri için 2.665.000 TL, toplamda 5,33 milyon TL uygulanan cezalar bulunmaktadır. Twitch, 35.000'den fazla Türk kullanıcıyı etkileyen bir veri ihlali nedeniyle 2024 yılında 2 milyon TL ceza almıştır.

2025 yılında KVKK Kurumu, Sermaye Piyasası Kurulu ile bir iş birliği protokolü imzalamıştır. Bu durum, kişisel veri işleyen finansal kuruluşlar ve halka açık şirketler üzerindeki ortak denetimin genişlediğine işaret etmekte ve finans sektöründe koordineli soruşturmalar ile kurumlar arası uygulamanın habercisi niteliğindedir.

Gelişen Konular: Yapay Zekâ, Sohbet Robotları ve Derin Sahte İçerikler

KVKK Kurumu, yeni teknoloji konularında somut rehberlik yayımlamaya başlamıştır. 2024 yılında Kurum, ChatGPT dâhil sohbet robotları, derin sahte içerikler ve çeşitli yapay zekâ tabanlı veri işleme kategorileri için hukuki dayanaklar hakkında bilgi notları yayımlamıştır. Bu rehberlik henüz bağlayıcı düzenlemeler şeklinde değildir; ancak gelecekteki uygulamanın yönüne işaret etmektedir.

Kurulun görüşü, kişisel veri işleyen yapay zekâ sistemlerinin, hukuka uygun işleme dayanağı, veri minimizasyonu, şeffaflık ve ilgili kişi hakları gerekliliklerini de içeren KVKK'nın tam çerçevesine tabi olduğu yönündedir. Türkiye'de yerleşik kişilerin kişisel verilerini işleyen yapay zekâ araçları kullanan kuruluşların, hukuki dayanağı belgelemesi, ilgili kişi aydınlatma metinleri hazırlaması ve yabancı yapay zekâ sağlayıcılarına yapılan veri aktarımlarının sınır ötesi aktarım rejimine uygun olup olmadığını değerlendirmesi gerekir.

Kurum ayrıca, büyük teknoloji platformlarına yönelik soruşturmaların giderek hem veri koruma hem de rekabet hukuku boyutlarını taşıdığını belirterek, META soruşturması ve AB'deki benzer eylemlerin izlediği modele işaret etmiştir.

Kuruluşlar İçin Uyumluluk Kontrol Listesi

KVKK'ya tabi kuruluşların, uyumluluk oluşturmak ve sürdürmek için aşağıdaki alanları ele alması gerekir.

Türkiye'de herhangi bir kişisel veri işlemeden önce VERBİS'e kaydolun. Yabancı veri sorumluları büyüklüklerinden bağımsız olarak kaydolmalı ve Türkiye'de ikamet eden bir temsilci atamalıdır. Genel eşiklerin altında kalan yurt içi veri sorumluları, asıl faaliyetleri özel nitelikli veri işleme ise ve 10 veya daha fazla çalışanı ya da 10 milyon TL veya üzerinde bilanço toplamı varsa yine de kaydolmalıdır.

Her kişisel veri işleme faaliyeti için hukuka uygun bir dayanak belirleyin ve belgeleyin. Başka bir dayanağın daha uygun ve istikrarlı olduğu durumlarda açık rıza varsayılan seçim olmamalıdır.

Tüm sınır ötesi veri aktarımlarını haritalandırın ve uygulanabilir aktarım mekanizmasını belirleyin. SCC kullanıyorsanız, değişiklik yapmadan uygulayın ve beş iş günü içinde fiziksel olarak, kayıtlı elektronik posta (KEP) yoluyla ya da standartsozlesme.kvkk.gov.tr adresindeki Standart Sözleşme Bildirim Modülü üzerinden KVKK'ya bildirimde bulunun. Yazılı taahhütname kullanıyorsanız, aktarımlar başlamadan önce Kurul yetkilendirmesi alın.

Teknik ve idari veri güvenliği önlemlerini uygulayın. Periyodik olarak iç denetim programları sürdürün ve uyumluluk önlemlerini belgeleyin.

Tüm ihlaller için, ciddiyetinden bağımsız olarak Kurul'a 72 saat içinde bildirim yapılmasını destekleyen bir veri ihlali müdahale planı hazırlayın ve test edin. Planı en az yılda bir kez gözden geçirin.

İlgili kişi başvurularına 30 gün içinde yanıt verin. Başvuruları alma, doğrulama ve işleme sürecini sürdürün.

İşleme faaliyetlerinde, veri kategorilerinde, alıcılarda veya aktarım düzenlemelerinde herhangi bir değişiklik olduğunda VERBİS kaydını yedi gün içinde güncelleyin.

Yapay zekâ ve otomatik işleme faaliyetlerini KVKK gereklilikleri açısından gözden geçirin. Türkiye'de yerleşik kişilerin kişisel verilerini işleyen sohbet robotları veya yapay zekâ tabanlı araçları içeren işleme için şeffaflık bildirimleri hazırlayın.

Ayrıca Bakınız

Kayıt hukuku, telefon dinleme ve Türk Ceza Kanunu rıza kuralları için bkz. Türkiye Kayıt Yasaları.