Ticari şirketlerde KVKK uyumu, çalışan, müşteri ve tedarikçi temsilcilerinin kişisel verilerini hukuka uygun işlemek ve bunu belgeleyebilmek demektir. Kişisel veri işleyen her anonim veya limited şirket, küçük olsa bile 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamındadır.

Temel işler; aydınlatma yapmak, veri güvenliği tedbirleri almak, başvuruları 30 gün içinde yanıtlamak, veri ihlalini 72 saat içinde bildirmek ve şartları varsa VERBİS’e kaydolmaktır. Uyumsuzluğun sonucu 2026’da 17.092.242 TL’ye varan idari para cezası, tazminat davası ve bazı hallerde ceza sorumluluğu olabilir.

KVKK uyumu hangi şirketleri kapsar?

KVKK’nın 3. maddesine göre kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Bordro, CV, müşteri listesi, kamera kaydı ve kartvizit bilgisi bu kapsama girebilir.

Kişisel verilerin işleme amacını ve vasıtalarını belirleyen şirket veri sorumlusudur. Bir başkası adına veri işleyen şirket ise veri işleyendir; muhasebe veya yazılım hizmeti alan bir şirket için bu ayrım özellikle önemlidir.

Ticaret unvanı ve şirket adresi gibi tüzel kişi bilgileri kural olarak kişisel veri değildir. Ancak şirket temsilcisinin adı, soyadı ve iletişim bilgileri KVKK’ya tabidir. Yargıtay 4. Hukuk Dairesi de 2025 tarihli kararında bu ayrımı yapmıştır.

Şirketlerin temel KVKK yükümlülükleri

Yükümlülük	Dayanak	Temel ölçüt
Hukuka uygun veri işleme	KVKK m. 4, 5, 6	Genel ilkeler ve geçerli bir işleme şartı
Aydınlatma	KVKK m. 10	Veri elde edilirken yapılır
Veri güvenliği	KVKK m. 12	Gerekli teknik ve idari tedbirler
İhlal bildirimi	KVKK m. 12/5, Kurul 2019/10	Öğrenmeden itibaren en geç 72 saat
Başvuru yanıtlama	KVKK m. 13	En geç 30 gün
Kurul talebi	KVKK m. 15	Bilgi ve belge için 15 gün
Silme ve imha	KVKK m. 7, Yönetmelik m. 11	Periyodik imha aralığı en fazla 6 ay
Yurt dışı aktarım	KVKK m. 9	Standart sözleşme bildirimi 5 iş günü

Aydınlatma ve açık rıza ayrı metinlerdir

Açık rıza, belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle verilen onaydır. Her veri işleme için gerekli değildir. KVKK m. 5/2; sözleşmenin ifası, hukuki yükümlülük ve meşru menfaat gibi başka işleme şartları da sayar.

Kurul’un 18.02.2026 tarihli ve 2026/347 sayılı İlke Kararı uyarınca iki metin ayrı düzenlenmelidir. Açık rıza gerekmeyen bir işlem için ayrıca rıza alınmamalı, aydınlatma metninde onay istenmemelidir. Başka şirketin metnini aynen kullanmak da karara aykırıdır.

Veri ihlalinde 72 saat kuralı

Kurul’un 2019/10 sayılı kararına göre şirket, ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurul’a bildirim yapmalıdır. Etkilenen kişilere de makul en kısa sürede bilgi verilmelidir. Haklı gerekçeyle gecikilirse neden Kurul’a açıklanır. Aynı kararda veri ihlali müdahale planı hazırlanması da istenmektedir.

Veri işleyen hizmet almanız sorumluluğu ortadan kaldırmaz. KVKK m. 12/2 uyarınca güvenlik tedbirlerinden veri işleyenle müşterek sorumlu olursunuz. Bu nedenle ticari sözleşmelerinize veri işleme hükümleri eklenmelidir.

VERBİS kaydı hangi şirketler için zorunlu?

Kural, kayıt zorunluluğudur (KVKK m. 16). Ancak Kurul’un 2018/87 sayılı kararı, 2025/1572 sayılı kararla değişik hâliyle şu istisnaları tanır:

Şirket durumu	Yıllık çalışan	Yıllık mali bilanço toplamı
Ana faaliyeti özel nitelikli veri işleme değil	50’den az	100 milyon TL’den az
Ana faaliyeti özel nitelikli veri işleme	10’dan az	10 milyon TL’den az

Kurul’un 2025/2393 sayılı kararına göre bilanço esasına göre defter tutan şirketlerde iki ölçüt birlikte aranır. Ölçütlerden biri aşılırsa kayıt yükümlülüğü doğar. Bilanço esasına göre defter tutmayanlarda yalnızca çalışan sayısına bakılır.

Sonradan yükümlü hâle gelen şirket, Veri Sorumluları Sicili Hakkında Yönetmelik m. 8 uyarınca 30 gün içinde kayıt ve bildirim yapmalıdır. Bilanço eşiği nedeniyle kayıt yükümlülüğünüzü her yıl beyanname döneminde kontrol etmeniz yerinde olur.

VERBİS istisnası, KVKK’dan muafiyet değildir. Aydınlatma, veri güvenliği ve başvuru yanıtlama yükümlülükleri devam eder.

2026 KVKK idari para cezaları ve diğer yaptırımlar

Kurum’un yayımladığı tabloya göre 2026 yılı tutarları şöyledir:

Aykırılık	Dayanak	Alt sınır (TL)	Üst sınır (TL)
Aydınlatma yükümlülüğü	m. 18/1-a	85.437	1.709.200
Veri güvenliği	m. 18/1-b	256.357	17.092.242
Kurul kararına uymama	m. 18/1-c	427.263	17.092.242
VERBİS kayıt ve bildirim	m. 18/1-ç	341.809	17.092.242
Standart sözleşme bildirimi	m. 18/1-d	90.308	1.806.177

Kurul cezayı bu aralıkta kabahatin haksızlık içeriği, kusur ve ekonomik duruma göre belirler (Kabahatler Kanunu m. 17/2). Tebliğden itibaren bir ay içinde ödeme hâlinde %25 indirim uygulanır ve ödeme dava hakkını etkilemez (m. 17/6).

KVKK m. 18/3 uyarınca cezaya karşı idare mahkemesinde dava açılabilir. Kanunda özel süre gösterilmediğinden İYUK m. 7’deki 60 günlük genel süreyi tebliğ tarihinden itibaren gözetmeniz gerekir.

Yaptırım para cezasıyla sınırlı değildir:

• Ceza sorumluluğu: KVKK m. 17, TCK m. 135-140’a yollama yapar. Hukuka aykırı veri kaydetmenin cezası bir yıldan üç yıla, verileri hukuka aykırı verme veya ele geçirmenin cezası iki yıldan dört yıla kadar hapistir. Tüzel kişiler için güvenlik tedbiri de uygulanır.
• Tazminat: İlgili kişi KVKK m. 11 ve m. 14/3 ile genel hükümlere dayanarak maddi ve manevi tazminat isteyebilir.
• Yönetici riski: Şirket içi sorumluluk ayrıca yönetici kusuru yönünden değerlendirilebilir.

Çalışan verilerinde 2026 ilke kararları

İşverenler için iki yeni ilke kararı uygulamayı değiştirmektedir. Konuyu iş hukuku süreçlerinizle birlikte ele almanız gerekir.

Kurumsal e-posta denetimi: Kurul’un 16.09.2026 tarihli ve 2026/2035 sayılı İlke Kararı 8 Ekim 2026’da yayımlandı. “E-postalar denetlenebilir” gibi genel bir bildirim yeterli sayılmaz. Çalışana denetimin amacı, kapsamı ve yöntemi önceden açıklanmalıdır. İçeriğe erişim, trafik kayıtlarının yetmediği istisnai hallerde, somut şüphe varsa ve iddiayla sınırlı olarak gündeme gelebilir. Gizli ve sürekli izleme ölçülü kabul edilmez.

Biyometrik mesai takibi: Kurul’un 29.04.2026 tarihli ve 2026/921 sayılı İlke Kararı’na göre parmak izi veya yüz tanıma ile mesai takibi, açık rıza alınsa bile çoğu durumda ölçülülük ilkesine aykırı sayılabilir. Kart, PIN ve personel çizelgesi gibi daha az müdahaleci yöntemler kararın örnekleri arasındadır.

KVKK uyumu için izlenecek adımlar

1. Veri haritası çıkarın. Hangi birimin, hangi veriyi, hangi amaçla ve ne kadar süre tuttuğunu yazın. VERBİS’e kayıtlı şirketlerde kişisel veri işleme envanteri zorunludur.
2. Hukuki sebepleri eşleştirin. Her süreci KVKK m. 5 veya m. 6’daki bir şarta dayandırın.
3. Metinleri ayrıştırın. Aydınlatma ve açık rıza metinlerini sürece özel olarak hazırlayın.
4. VERBİS durumunu belirleyin. Çalışan sayısı, bilanço ve ana faaliyetinizi kontrol edin.
5. Saklama ve imha düzeni kurun. Kayıt yükümlüsü şirketler politika hazırlar; periyodik imha aralığı altı ayı geçemez. Politika yükümlüsü olmayanlar silme yükümlülüğünü üç ay içinde yerine getirir. İşlem kayıtları en az üç yıl saklanır.
6. Güvenlik tedbirlerini güçlendirin. Yetki sınırları, loglama, çok faktörlü doğrulama ve çalışan eğitimi uygulayın.
7. Tedarikçileri gözden geçirin. Veri işleyen sözleşmelerini ve yurt dışı aktarımları kontrol edin.
8. Başvuru ve ihlal planı yazın. 30 günlük ve 72 saatlik süreleri kimin takip edeceğini belirleyin.
9. Düzenli denetim yapın. KVKK m. 12/3 şirketin gerekli denetimleri yapmasını veya yaptırmasını ister.

Güncel yargı ve Kurul kararları

Anayasa Mahkemesi Genel Kurulu, Viennalife Emeklilik ve Hayat A.Ş. Başvurusu, B. No: 2020/32193, T. 27.01.2026 (R.G. 16.06.2026, 33282). Şirket, bir internet sitesinde gördüğünü belirttiği numarayı aramış ve “alenileştirme amacına aykırılık” gerekçesiyle cezalandırılmıştır. Mahkeme, kanunun öngörülemez şekilde geniş yorumlandığını belirterek suçta ve cezada kanunilik ilkesinin ihlal edildiğine ve yeniden yargılamaya hükmetmiştir. Karar, davanın nasıl sonuçlanması gerektiğini söylemez; internetteki veriyi pazarlamada serbestçe kullanma izni olarak okunmamalıdır.

Yargıtay 4. Hukuk Dairesi, E. 2022/3953, K. 2025/2404, T. 13.02.2025. Banka, mahkemenin istemediği döneme ait hesap hareketlerini dosyaya sunmuştur. Daire, KVKK m. 11 sorumluluğunun kusur sorumluluğu olduğunu belirtmiş ve gerçek kişi davacılar lehine manevi tazminat gerektiği gerekçesiyle bozmuştur. Belgelerin sonradan geri çekilmesi sorumluluğu kaldırmamış, yalnızca tazminat miktarında göz önüne alınabilecek bir husus sayılmıştır.

Yargıtay 4. Hukuk Dairesi, E. 2022/12435, K. 2025/8782, T. 29.05.2025. Konaklama kayıtlarının paylaşıldığı iddiasıyla otel şirketine açılan manevi tazminat davasında, eylemi otel çalışanının yaptığına dair somut delil bulunmadığından ret kararı onanmıştır. İlgili kişi bakımından da ispat önemlidir.

Anayasa Mahkemesi, B. No: 2016/13011, T. 29.09.2020 ve Yargıtay 9. Hukuk Dairesi, E. 2023/3540, K. 2023/5286, T. 11.04.2023. Yargıtay kararının aktardığı üzere Anayasa Mahkemesi, kurumsal e-postanın izlenebileceğine dair açık bilgilendirme yapılmadan içeriğe erişilmesini ihlal saymıştır. Yeniden yargılamada ise fesih, e-postalar dışındaki delillerle geçerli bulunmuş ve ret kararı onanmıştır. Yani ihlal kararı davanın sonucunu tek başına belirlememiştir.

Kişisel Verileri Koruma Kurulu, K. 2024/728, T. 09.05.2024. Sahte yönetici e-postasına inanan çalışan, 217 Türk üyenin bilgilerini içeren listeyi göndermiştir. Kurul, yetersiz tedbirler için 750.000 TL, 72 saatlik sürede bildirim yapılmaması için 250.000 TL olmak üzere toplam 1.000.000 TL ceza vermiştir.

Sık yapılan hatalar

• Aydınlatma metnine imza atıldığında açık rıza alındığını sanıp tek metin kullanmak
• İş sözleşmesine konan genel bir madde ile her işleme faaliyetini çözdüğünü düşünmek
• VERBİS istisnasını KVKK’dan tam muafiyet saymak
• Başka bir sitenin aydınlatma metnini kopyalamak
• Önce ihlalin tüm ayrıntılarını netleştirmeyi bekleyip 72 saati kaçırmak
• Kurul’un bilgi ve belge talebini 15 gün içinde yanıtlamamak
• Saklama süresi dolan verileri silmeden tutmak

Sık sorulan sorular

Küçük şirketler KVKK uyumu yapmak zorunda mı?

Evet. VERBİS’ten istisna olmak, örneğin aydınlatma ve veri güvenliği yükümlülüklerini kaldırmaz.

Her müşteriden açık rıza almam gerekir mi?

Hayır. Sözleşmenin ifası veya kanuni yükümlülük gibi bir şart varsa açık rıza gerekmez. Aydınlatma ise her durumda yapılır.

Şirket VERBİS’e kaydolursa uyum tamamlanmış olur mu?

Hayır. VERBİS uyumun yalnızca bir parçasıdır. Süreçler, metinler ve güvenlik tedbirleri de bulunmalıdır.

İşveren çalışanın kurumsal e-postasını okuyabilir mi?

Sınırsız okuyamaz. 2026/2035 sayılı İlke Kararı önceden somut bilgilendirme, ölçülülük ve kademeli denetim arar. Somut olay ayrıca değerlendirilmelidir.

Veri ihlali olursa ne yapmalıyım?

İhlali sınırlandırın, kayıt altına alın ve öğrendiğiniz andan itibaren en geç 72 saat içinde Kurul’a bildirin. Bilgiler eksikse aşamalı tamamlanabilir.

İlgili kişi doğrudan Kurul’a şikayette bulunabilir mi?

Kural olarak önce şirkete başvurmalıdır. Ret, yetersiz yanıt veya yanıtsızlıkta cevabın öğrenilmesinden itibaren 30 gün, her hâlde başvurudan itibaren 60 gün içinde şikayet edilebilir (KVKK m. 13, 14).

Sonuç

KVKK uyumu tek seferlik belge işi değil, şirketin süreçleriyle birlikte güncellenen bir düzendir. 2026 ilke kararları ve artan ceza tutarları nedeniyle metinlerinizi, VERBİS durumunuzu ve çalışan uygulamalarınızı gözden geçirmeniz yerinde olur.

İzmir’de veya başka bir ilde faaliyet gösteren şirketiniz için somut durumu değerlendirmek isterseniz ticaret ve şirketler hukuku alanında hukuki destek alabilirsiniz.

Bu yazı genel bilgilendirme amacı taşır; somut olayınıza ilişkin hukuki görüş yerine geçmez.