Hukuk ve yargı
Türkiye'de KVKK Veri Koruma Kanunu: İşletmeler İçin Uyum
6698 sayılı Kişisel Verilerin Korunması Kanunu, 7 Nisan 2016 tarihinde yürürlüğe girdi. Bununla birlikte, sıradan işletmeler için en önemli değişiklik, kanunun yurt dışına veri aktarımına ilişkin kurallarının yeniden yazıldığı 2024 yılında gerçekleşti. Bu, eski "önce açık rıza" modelinden bir uzaklaşmaya işaret etti.
6698 sayılı Kanun, uyumu sağlamak amacıyla idari ve mali özerkliğe sahip bir kamu tüzel kişisi olan Kişisel Verileri Koruma Kurumu'nu kurdu. Kurumun temel karar organı, Kanun hükümlerini uygulamaktan sorumlu olan Kişisel Verileri Koruma Kurulu'dur.
Kuruma göre, işletmeler ve dernekler KVKK'nın tüm gerekliliklerine anında tabi değildir. Kanunun öngördüğü yetkili makam, kişisel verileri işlemeden önce işletmenin Kurum tarafından tutulan Veri Sorumluları Sicil Bilgi Sistemi olan VERBİS'e kayıt yaptırmasını şart koşar. [Linklaters 2025]
VERBİS pratikte neleri gerektiriyor? Resmi kılavuz, kuruluşların toplanan verileri, işleme amaçlarını, saklama sürelerini ve ilgili sapmaları detaylandıran bir veri envanterini VERBİS şablonuna yüklemesi gerektiğini belirtmektedir. [Linklaters 2025] Küçük işletmelerin; müşteri veri tabanları ve çevrim içi işlemler gibi yaygın veri akışlarını belgelendirmeleri gerekecektir. VERBİS'in uygulanıp uygulanmayacağı eşik değerlere bağlı olabilir, bu nedenle bu belgelendirme adımı kişisel bilgi barındıran birçok kuruluş için zorunlu kılınabilir.
Uyuma dair önemli bir husus da veri işlemenin hukuki dayanağıdır. Hukuki sebepler yalnızca açık rıza ile sınırlı değildir; bir sözleşmenin ifası, hukuki bir yükümlülüğün yerine getirilmesi, veri sahibinin kendi haklarının korunması veya kuruluşun kendi meşru menfaatleri bunlara örnek olarak gösterilebilir. Daha hassas nitelikteki özel nitelikli kişisel veriler de belirli şartlar gerektirir.
1 Eylül 2024'ten bu yana Kanun, aktarımın yapılacağı hedef için bir yeterlilik kararını önceleyen değiştirilmiş 9. Madde çerçevesinde kişisel verilerin yurt dışına aktarılmasına izin vermektedir. [Linklaters 2025] Bu düzenleme, sahibinin riskleri bilerek aktarıma rıza göstermesi kaydıyla veri sahibinin açık rızası da dahil olmak üzere yalnızca sınırlı durumlarda yurt dışına aktarıma izin veren önceki modelin yerini almıştır. [Personal Data Protection Authority 2016] Daha az katı standartlara sahip hedef ülkelerle uluslararası nitelikte olmayan anlaşmalara taraf olanlar da belirli durumlarda Kurum iznini tercih edebilir. [Linklaters 2025] Kanunun resmi sayfası, Kurumu bu yeterlilik kararlarından sorumlu merci olarak konumlandırmaktadır. [Personal Data Protection Authority 2019]
Kurumun yasal kılavuzu, VERBİS'in aynı zamanda bu aktarım değerlendirmelerine dayanak oluşturan veri işleme envanterini de sağladığını belirtmektedir. [Linklaters 2025] İşletmelerin bulut depolama, uluslararası müşteri desteği ve sınırlar arası paylaşılan hizmetler gibi sınır ötesi veri akışlarının bile haritasını çıkarmaları gerekecektir. Kurul, yetkisiz erişim ve yetki izinlerinin kötüye kullanılması gibi veri güvenliği tedbirlerini sıklıkla yaptırıma tabi davranışların kilit alanları olarak göstermektedir.
Özetle, KVKK'ya uyum sağlarken küçük işletmeler ve web sitesi sahipleri; veri işlemelerini ve yurt dışı aktarımlarını belgelemeli, VERBİS kayıt sisteminin gerekliliklerini benimsemeli, rızaları usulüne uygun yönetmeli ve veri güvenliği ile veri işlemenin meşru temellerine ilişkin Kurum kılavuzlarını takip etmelidir. Kurulun güvenlik odaklı uygulamalara yaptığı vurgu, olası bir ihlale karşı hazırlıklı olmanın gerekliliğinin altını çizmektedir.