KVKK'da Veri Sorumlusunun Yükümlülükleri

İlgili çalışma alanı → Kişisel Verilerin Korunması: Veri işleme şartları, Kurul kararları ve uyum süreçleri için çalışma alanı.

Veri sorumlusunun yükümlülükleri, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun uygulamadaki ağırlık merkezidir. Genel ilkeler ve işleme şartları verinin işlenip işlenemeyeceğini belirler; yükümlülükler ise işlemenin hangi düzen içinde yürütüleceğini ve bu düzenin nasıl ispatlanacağını gösterir. Kurul önüne gelen dosyaların çoğunda uyuşmazlık, işlemenin esasından çok bu düzenin eksikliğinden doğar.

Kanun, veri sorumlusuna dağınık bir ödev listesi yüklemez. Yükümlülükler veri toplanırken (aydınlatma), veri işlenirken (güvenlik ve denetim), ilgili kişi talepte bulunduğunda (başvuru cevabı) ve faaliyetin tamamı bakımından (sicile kayıt) devreye girer. Çalışmada bu sıra izlenecek, her yükümlülük Kanun hükmü, doktrin ve Kurul uygulaması birlikte okunarak ele alınacak, ardından yaptırım rejimi ve uygulamadaki tipik hatalar değerlendirilecektir. Kanunun genel çerçevesi için kişisel verilerin korunması rehberi başvurulabilecek ana kaynaktır.

Veri Sorumlusu Kavramı ve Yükümlülüklerin Sistematiği

6698 sayılı Kanun m. 3/1-(ı), veri sorumlusunu kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi olarak tanımlar. Tanımın belirleyici unsuru, işlemenin amacı ve vasıtaları üzerindeki karar yetkisidir. Verileri fiilen elinde tutan kişi veri sorumlusu olmayabilir; veriyi sorumlu adına ve onun yetkisine dayanarak işleyen kişi Kanunda veri işleyen olarak ayrı bir kategoridir. Ayrımın ayrıntısı veri sorumlusu ile veri işleyen arasındaki fark sorusunda ele alınmıştır.

Öğretide veri sorumlusunun yükümlülükleri çoğunlukla Kanunun sıralamasına yakın bir düzenle sınıflandırılır: aydınlatma, ilgili kişi başvurularını cevaplandırma ve Kurul kararlarını yerine getirme, veri güvenliği, silme, yok etme veya anonim hale getirme ve sicile kayıt¹. Bu sınıflandırma yararlıdır, ancak yükümlülüklerin birbirinden bağımsız olmadığını gizleyebilir. Aydınlatma metni yazılırken ortaya konan amaç ve saklama süresi, sonradan sicile bildirilen bilgilerle ve silme politikasıyla tutarlı olmak zorundadır. Bir halkadaki kopukluk, diğer halkalarda da aykırılık doğurur.

Kanaatimizce yükümlülüklerin ortak paydası hesap verebilirliktir. Kanun bunu tek bir hükümde ilan etmemiş olsa da m. 10, m. 12 ve m. 16 birlikte okunduğunda veri sorumlusunun yalnızca uyması değil, uyduğunu göstermesi de beklenmektedir. Kurul incelemelerinde belge istenmesi bu beklentinin pratik karşılığıdır.

Önemli: Veri sorumlusu sıfatı, işletmenin büyüklüğüne veya veriyi işlemeyi asli faaliyeti saymasına bağlı değildir. Bir apartman yönetimi, bir muayenehane veya tek kişilik bir ticari işletme de amaç ve vasıtaları belirliyorsa veri sorumlusudur ve aşağıdaki yükümlülüklere tabidir.

Aydınlatma Yükümlülüğü

Kanuni Çerçeve

Aydınlatma yükümlülüğü 6698 sayılı Kanun m. 10'da düzenlenmiştir. Hükme göre kişisel veriler elde edilirken veri sorumlusu veya yetkilendirdiği kişi, ilgili kişiyi veri sorumlusunun ve varsa temsilcisinin kimliği, kişisel verilerin hangi amaçla işleneceği, işlenen verilerin kimlere ve hangi amaçla aktarılabileceği, kişisel veri toplamanın yöntemi ve hukuki sebebi ile m. 11'de sayılan diğer haklar konusunda bilgilendirir. Yükümlülüğün zamanı veri elde edilirken, yani işlemenin başlangıcıdır. Sonradan yapılan bilgilendirme yükümlülüğü yerine getirilmiş saymaz.

Yükümlülüğün hukuki sebepten bağımsız olduğu hususu uygulamada sık gözden kaçar. Açık rızaya dayanan işlemelerde olduğu kadar, sözleşmenin ifası veya hukuki yükümlülük gibi rıza gerektirmeyen dayanaklarda da aydınlatma yapılır. Rıza aranmaması, bilgilendirmenin de aranmadığı anlamına gelmez.

Aydınlatma ve Açık Rızanın Ayrılması

Kurul, 18.02.2026 tarihli ve 2026/347 sayılı ilke kararıyla veri sorumlularının aydınlatma metni ile açık rıza metnini ayrı ayrı düzenlemesi gerektiğini belirtmiş; karar 24.03.2026 tarihli Resmî Gazete'de yayımlanmıştır². Kararın dayanağı, Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ m. 5/1-(f) hükmüdür; hükme göre kişisel veri işleme faaliyeti açık rıza şartına dayalı olarak gerçekleştirildiğinde aydınlatma yükümlülüğü ve açık rızanın alınması işlemleri ayrı ayrı yerine getirilir. İki metin aynı sayfada yer alsa bile her birinin kendi konumu ve kendi beyanı bulunmalıdır. Aydınlatma metni bir sözleşme olmadığından, ilgili kişiden "kabul ediyorum" yerine "okudum ve anladım" yönünde bir teyit alınması tercih edilir. Konunun uygulamadaki karşılığı aydınlatma metni ile açık rıza metni aynı sayfada olabilir mi sorusunda ayrıca işlenmiştir.

İçerik ve İspat

Aydınlatmanın biçimi Kanunda belirtilmemiştir; Tebliğ m. 5/1 ise anlaşılır, açık ve sade bir dil kullanılmasını (ğ bendi), amacın belirli, açık ve meşru olmasını ve genel nitelikte, muğlak ifadelere yer verilmemesini (g bendi), hukuki sebebin açıkça belirtilmesini (h bendi) ve sicile açıklanan bilgilerle uyumu (ç bendi) arar. Genel nitelikli, hangi veri kategorisinin hangi amaçla işlendiği anlaşılmayan şablon metinler yükümlülüğü karşılamaz. Yükümlülüğün yerine getirildiğini ispat yükü veri sorumlusundadır (Tebliğ m. 5/1-(e)); bu nedenle metnin sunum tarihi, sürümü ve sunum kanalı kayıt altına alınmalıdır. Uygulamaya ilişkin ayrıntılar KVKK aydınlatma metni rehberinde bulunmaktadır.

Kanaatimizce aydınlatma yükümlülüğü, ilgili kişinin bilinçli karar verebilmesine hizmet eden bir şeffaflık ödevidir ve bu yönüyle açık rızanın geçerliliğiyle bağlantılıdır³. Bu bağlantı, 2026/347 sayılı ilke kararındaki ayrım ihtiyacını da açıklar: bilgilendirme olmadan alınan rıza belirli ve bilgilendirilmiş sayılamaz.

Veri Güvenliğine İlişkin Yükümlülükler

Teknik ve İdari Tedbirler

6698 sayılı Kanun m. 12/1, veri sorumlusunu kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, hukuka aykırı olarak erişilmesini önlemek ve muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik her türlü teknik ve idari tedbiri almakla yükümlü kılar. Hükümdeki üç amaç birbirinden bağımsızdır; erişimin önlenmesi için alınan tedbir, işlemenin hukuka uygunluğunu sağlayan tedbirin yerini tutmaz.

Yükümlülük bir özen yükümlülüğüdür. Veri sorumlusundan mutlak güvenlik değil, işlenen verinin niteliğine ve ihlalin olası etkisine uygun bir güvenlik düzeyi beklenir. Özel nitelikli veri işleyen bir sağlık kuruluşundan beklenen düzey ile bir yerel esnaftan beklenen düzey aynı değildir. Kurul, tedbirlerin ihlalden önce alınmış ve fiilen uygulanıyor olmasını arar; ihlal sonrasında hazırlanan politika sorumluluğu ortadan kaldırmaz.

Müşterek Sorumluluk ve Denetim

Kanun m. 12/2, kişisel verilerin veri sorumlusu adına başka bir gerçek veya tüzel kişi tarafından işlenmesi halinde, veri sorumlusunun tedbirlerin alınması bakımından bu kişilerle müştereken sorumlu olduğunu belirtir. Tedarikçi zincirinin bulunduğu her işletmede bu hüküm uyum çalışmasının merkezindedir. Bulut sağlayıcı, çağrı merkezi veya yazılım firması ihlal yaptığında veri sorumlusu "hata tedarikçinindir" savunmasıyla sorumluluktan kurtulamaz.

M. 12/3 ise veri sorumlusuna kendi kurum veya kuruluşunda Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapma veya yaptırma ödevi yükler. Yükümlülük tek seferlik bir uyum projesiyle tükenmez; denetim süreklilik gerektirir. Uygulama yönü veri sorumlusu kendi kurumunda denetim yapmak zorunda mı sorusunda ayrıca ele alınmıştır.

Sır Saklama ve İhlal Bildirimi

M. 12/4 uyarınca veri sorumlusu ve veri işleyenler, öğrendikleri kişisel verileri Kanun hükümlerine aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamaz. Bu yükümlülük görevden ayrılmadan sonra da devam eder. Hükmün kişisel kapsamı kurumun kendisiyle sınırlı değildir; çalışanlar, danışmanlar ve alt yükleniciler de bu yükümlülük içinde değerlendirilir.

M. 12/5 ise işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde veri sorumlusunun bu durumu en kısa sürede ilgili kişiye ve Kurula bildirmesini düzenler. Kurul, 24.01.2019 tarihli ve 2019/10 sayılı ilke kararıyla Kurula bildirimin ihlalin öğrenilmesinden itibaren yetmiş iki saat içinde yapılmasını öngörmüştür. Uygulamanın ayrıntıları veri ihlali ve Kurula 72 saatte bildirim makalesinde işlenmiştir.

Önemli: M. 12/5'teki bildirim yükümlülüğü, m. 12/1'deki tedbir yükümlülüğünün yerine geçmez. Bildirimin süresinde yapılması idari para cezası riskini azaltabilir; ancak ihlale yol açan tedbir eksikliği ayrı bir aykırılık olarak kalır.

İlgili Kişi Başvurularının Sonuçlandırılması

6698 sayılı Kanun m. 13/2'ye göre veri sorumlusu, başvuruda yer alan talepleri talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırır. İşlemin ayrıca bir maliyet gerektirmesi halinde Kurulca belirlenen tarifedeki ücret alınabilir. Veri sorumlusu talebi kabul edebilir veya gerekçesini açıklayarak reddedebilir; cevabını ilgili kişiye yazılı olarak veya elektronik ortamda bildirir.

Bu yükümlülüğün önemi, ihlalin tek başına başvuru yönetiminden doğabilmesindedir. Süresinde cevaplanmayan veya gerekçesiz reddedilen bir talep, esasa ilişkin ihlal bulunmasa da Kurula şikayet yolunu açar. Başvuru usulü ve şikayet süreleri KVKK veri sahibi başvurusu nasıl yapılır sorusunda ayrıntılıdır.

Kurul kararlarını yerine getirme ödevi de bu başlık altında incelenir. Kurul, ihlal tespit ettiğinde m. 15 uyarınca hukuka aykırılığın giderilmesini talimatlandırabilir ve bu talimat kararın tebliğinden itibaren otuz gün içinde yerine getirilmelidir. Talimata uymamak m. 18 kapsamında ayrı bir idari para cezası sebebidir⁴.

Veri Sorumluları Siciline Kayıt Yükümlülüğü

6698 sayılı Kanun m. 16, Kurulun gözetiminde kamuya açık bir Veri Sorumluları Sicili tutulmasını öngörür. Kişisel veri işleyen gerçek ve tüzel kişiler, işlemeye başlamadan önce sicile kaydolmakla yükümlüdür; Kurul objektif kriterlere dayanarak bu yükümlülükten istisna getirebilir. Kayıt bildiriminde veri sorumlusunun kimliği, işleme amaçları, veri kategorileri ve kişi grupları, alıcı grupları, yurt dışına aktarım, güvenlik tedbirleri ve azami saklama süresi yer alır. Bildirilen bilgilerde değişiklik olduğunda bunun derhal sicile iletilmesi gerekir.

Sicil bildirimi yalnızca idari bir formalite değildir. Veri sorumlusunun kendi beyanıdır ve sonraki bir incelemede aleyhine delil oluşturabilir. Aydınlatma metnindeki amaçlarla, saklama ve imha politikasındaki sürelerle örtüşmeyen bir bildirim, yükümlülükler arasındaki tutarsızlığı açıkça gösterir. Muafiyet kapsamının tayini ve güncel istisna ölçütleri VERBİS kaydı kimler için zorunlu sorusunda ve site yönetimi veri sorumlusu mu sorusunda işlenmiştir.

Yaptırım Rejimi ve Kurul Uygulaması

6698 sayılı Kanun m. 18/1, yükümlülüklerin yerine getirilmemesini idari para cezasına bağlar. Aydınlatma yükümlülüğünün ihlali m. 10 (bent a), veri güvenliği yükümlülüğünün ihlali m. 12 (bent b), Kurul kararlarının yerine getirilmemesi m. 15 (bent c), sicile kayıt ve bildirim yükümlülüğünün ihlali m. 16 (bent ç) bakımından ayrı kalemler halinde cezalandırılır; 7499 sayılı Kanunla (yürürlük 01.06.2024) eklenen (d) bendi ise m. 9/5'teki yurt dışına aktarım bildirim yükümlülüğünü kapsar. Aynı Kanunla eklenen m. 18/3 uyarınca Kurulca verilen idari para cezalarına karşı idare mahkemelerinde dava açılabilir. Güncel alt ve üst sınırlar yeniden değerleme oranında değiştiğinden tutarlar için KVKK idari para cezaları ne kadar sayfasındaki güncel dökümün esas alınması gerekir.

Kurul uygulamasında m. 12 ihlallerinin çoğu bir veri ihlali bildirimi veya ilgili kişi şikayeti üzerine gündeme gelir. Kurulun 26.07.2018 tarihli ve 2018/91 sayılı kararı, tedbirlerin ihlalden önce alınması şartının somut bir örneğidir. Bir hazır giyim firmasının internet sitesinde alışveriş yapan kişinin teslimat adresi, ad, soyad ve telefon bilgileri, aynı siteden alışveriş yapan başka müşterilere görünür hale gelmiştir. Kurul, şirketin olaydan sonra sürüm çıkararak sorunu hızla gidermesine rağmen, mağduriyet öncesinde gerekli teknik ve idari tedbirlerin alınmadığı sonucuna varmış ve idari para cezası uygulamıştır. Kararın ayrıntılı incelemesi hazır giyim sitesinde müşteri verilerinin görünür olması başlığında yer almaktadır.

Kararın makale açısından önemi, hızlı düzeltmenin sorumluluğu ortadan kaldırmamasıdır. Olay sonrası tepkinin hızı ve yeterliliği takdir ve cezanın ölçülmesinde dikkate alınabilir; ancak m. 12/1 yükümlülüğü ihlalden önceki duruma bakar. Hata, sistemsel bir yazılım hatasından kaynaklansa bile, uygun güvenlik düzeyinin önceden sağlanmamış olması aykırılığı oluşturur.

Yükümlülüklerin cezai sorumluluk boyutu ayrıca vardır. Türk Ceza Kanunu m. 135 ve devamı hükümleri kişisel verilerin hukuka aykırı kaydedilmesini, verilmesini veya ele geçirilmesini ve yok edilmemesini suç sayar. İdari yaptırım ile ceza sorumluluğu birbirinin yerine geçmez ve farklı kişiler hakkında doğabilir⁵.

Uygulamada

Yükümlülüklerin uygulamada en sık bozulduğu üç nokta vardır.

Birincisi belgelerin gerçek işleme faaliyetinden kopmasıdır. Şablon bir aydınlatma metni, envantere dayanmayan sicil bildirimi ve uygulanmayan saklama politikası, denetimde savunma değil çelişki oluşturur. Kurul incelemesinde ilk bakılan şey belgenin varlığı değil, belgede yazanın fiilen uygulanıp uygulanmadığıdır.

İkincisi tedarikçi zincirinin görünmez kalmasıdır. M. 12/2 müşterek sorumluluk getirdiğinden, her veri işleyenle yapılan sözleşmede güvenlik tedbirleri, denetim hakkı, alt yüklenici sınırı ve ihlal bildirim süresi bulunmalıdır. Sözleşmede bu kayıtlar yoksa ihlal anında veri sorumlusu elini zayıf bulur.

Üçüncüsü başvuru yönetiminin sahipsiz olmasıdır. İlgili kişi talepleri çoğu zaman müşteri hizmetleri veya insan kaynakları biriminde bekler ve otuz günlük süre fark edilmeden dolar. Taleplerin tek bir kayıtta toplandığı, süre takibi yapılan bir akış bu riski doğrudan düşürür.

Stratejik Not

Yükümlülük ihlali iddiasıyla karşılaşan veri sorumlusunun savunması üç soruya dayanır: tedbir ihlalden önce alınmış mıydı, alındığı belgelenebilir mi ve ihlal sonrası süreç zamanında yürütüldü mü. Bu üç sorunun yanıtı önceden hazır tutulmadığında, olay sonrasında üretilen belge Kurul önünde ağırlık taşımaz.

Hukuki danışmanlık açısından ayrıca dikkat edilmesi gereken nokta, yükümlülüklerin işleme dayanağından bağımsız olmasıdır. Açık rızanın geçerli olmadığı ya da geri alındığı bir işlemede bile aydınlatma, güvenlik ve silme yükümlülükleri sürer. Bu nedenle uyum çalışması rıza yönetimiyle sınırlı tutulmamalı, her işleme faaliyeti için yükümlülük listesinin bütünü ayrı ayrı sınanmalıdır.

Sonuç

Veri sorumlusunun yükümlülükleri aydınlatma, veri güvenliği, başvuru cevabı ve sicil kaydından oluşan, birbirini tamamlayan bir bütündür. Kanun bu bütünü hesap verebilirlik anlayışıyla kurmuş, Kurul uygulaması da belgelendirme disiplinini belirleyici saymıştır. 2018/91 sayılı karar tedbirlerin ihlalden önce alınması gerektiğini, 2026/347 sayılı ilke kararı ise aydınlatma ile açık rızanın ayrı yürütülmesi gerektiğini ortaya koymaktadır.

Uygulama açısından sonuç şudur: yükümlülükler tek tek değil, işleme faaliyetinin bütününe bağlı olarak izlenmeli; envanter, aydınlatma metni, saklama politikası ve sicil bildirimi birbiriyle tutarlı tutulmalıdır. Genel çerçeve için kişisel verilerin korunması rehberi, alan bazlı değerlendirme için Kişisel Verilerin Korunması sayfası esas alınabilir.

İlgili içerikler için bkz. Kişisel Verilerin Korunması, Kişisel Verilerin Korunması: Temel Çerçeve ve Yükümlülükler ve Veri İhlali ve Kurula 72 Saatte Bildirim.

GÜNBEY, Onur, Kişisel Verilerin Korunması Kanunu Kapsamında Veri Sorumlusunun Yükümlülükleri, Yüksek Lisans Tezi, İstanbul Bilgi Üniversitesi Lisansüstü Programlar Enstitüsü, İstanbul 2020, s. 88-154 (yükümlülüklerin Üçüncü Bölümdeki sıralaması). 6698 sayılı Kişisel Verilerin Korunması Kanunu, RG 07.04.2016/29677, m. 3, m. 10, m. 12, m. 13, m. 15, m. 16, m. 18. ↩
Kişisel Verileri Koruma Kurulu, 18.02.2026, 2026/347 (ilke kararı), RG 24.03.2026/33203. ↩
Aydınlatma yükümlülüğünün tezde ayrı bir başlık altında ele alındığı bölüm için bkz. GÜNBEY, Yüksek Lisans Tezi, s. 88-107; veri güvenliğine ilişkin yükümlülükler s. 118-128, sicile kayıt yükümlülüğü s. 142-154 aralığında işlenmiştir. Burada ileri sürülen bağlantı yazarın görüşüdür. ↩
Kişisel veri ihlalinden doğan hukuki sorumluluğun genel çerçevesi için bkz. KÜÇÜKKAVRUK, Kemal, Kişisel Verilerin Korunması Yükümlülüğünün İhlalinden Doğan Hukuki Sorumluluk, Yüksek Lisans Tezi, Hacettepe Üniversitesi Sosyal Bilimler Enstitüsü, 2023 (tezin üçüncü bölümünde sorumluluğun koşulları ve kapsamı işlenmiştir). Kurul kararlarına uymama bakımından 6698 sayılı Kanun m. 15 ve m. 18. ↩
5237 sayılı Türk Ceza Kanunu, RG 12.10.2004/25611, m. 135, m. 136, m. 138. KVKK Kurulu, 26.07.2018, 2018/91 sayılı karar özeti Kişisel Verileri Koruma Kurumu internet sitesinde yayımlanmıştır. ↩

KVKK'da Veri Sorumlusunun Yükümlülükleri