Kişisel Verilerin Korunması Hukuku

Kural olarak kişisel veri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline (VERBİS) kaydolmak zorundadır (6698 sayılı Kişisel Verilerin Korunması Kanunu m.16 (Resmî metin, yeni sekmede açılır)). Kişisel Verileri Koruma Kurulu bu yükümlülüğe istisnalar getirmiştir. Kurulun 2025/1572 sayılı kararına göre yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'den az olup ana faaliyeti özel nitelikli kişisel veri işleme olmayanlar kayıttan istisnadır. Ana faaliyeti özel nitelikli veri işleme olanlarda eşik 10 çalışan ve 10 milyon TL'dir; 2025/2393 sayılı karara göre bilanço esasına göre defter tutmayanlarda yalnızca çalışan sayısına bakılır. Güncel durum için resmî metne bakınız.

Hayır. Aydınlatma, veri toplanırken kişiye verileri kimin, hangi amaçla ve hangi hukuki sebeple işlediğini, kimlere aktarabileceğini ve kişinin haklarını bildirmektir (6698 sayılı Kişisel Verilerin Korunması Kanunu m.10 (Resmî metin, yeni sekmede açılır)). Bu yükümlülük, veri hangi şarta dayanarak işlenirse işlensin yerine getirilir ve kişinin talebine bağlı değildir. Açık rıza ise belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızadır (6698 sayılı Kişisel Verilerin Korunması Kanunu m.3 (Resmî metin, yeni sekmede açılır)). İşleme açık rızaya dayanıyorsa aydınlatma ve açık rıza ayrı ayrı yerine getirilir (Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ m.5 (Resmî metin, yeni sekmede açılır)).

Herkes veri sorumlusuna başvurarak verilerinin işlenip işlenmediğini öğrenebilir, bilgi isteyebilir, düzeltilmesini veya silinmesini talep edebilir (6698 sayılı Kişisel Verilerin Korunması Kanunu m.11 (Resmî metin, yeni sekmede açılır)). Başvuru yazılı olarak veya Kurulun belirlediği diğer yöntemlerle yapılır. Veri sorumlusu talebi en geç 30 gün içinde ve kural olarak ücretsiz sonuçlandırır (6698 sayılı Kişisel Verilerin Korunması Kanunu m.13 (Resmî metin, yeni sekmede açılır)). Kişisel Verileri Koruma Kurumunun 1 Ekim 2026 tarihli duyurusuna göre telefonla veya yüz yüze verilen bilgi cevap yerine geçmez; cevap yazılı olarak veya elektronik ortamda bildirilir.

Başvuru reddedilir, cevap yetersiz bulunur ya da süresinde cevap verilmezse Kişisel Verileri Koruma Kuruluna şikâyette bulunulabilir (6698 sayılı Kişisel Verilerin Korunması Kanunu m.14 (Resmî metin, yeni sekmede açılır)). Şikâyet, cevabın öğrenildiği tarihten itibaren 30 gün ve her hâlde başvuru tarihinden itibaren 60 gün içinde yapılır. Önce veri sorumlusuna başvurulmadan şikâyet yoluna gidilemez. Kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkı saklıdır.

Hayır. Kanunda açıkça öngörülmesi, bir sözleşmenin kurulması veya ifası için gerekli olması, veri sorumlusunun hukuki yükümlülüğü, bir hakkın tesisi veya korunması ve meşru menfaat gibi hâllerde açık rıza aranmaz (6698 sayılı Kişisel Verilerin Korunması Kanunu m.5 (Resmî metin, yeni sekmede açılır)). Meşru menfaat şartı, ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla uygulanır. Özel nitelikli kişisel veriler için şartlar daha sınırlıdır (6698 sayılı Kişisel Verilerin Korunması Kanunu m.6 (Resmî metin, yeni sekmede açılır)). Hangi şart uygulanırsa uygulansın aydınlatma yükümlülüğü devam eder.

Veriler kanuni olmayan yollarla başkalarınca elde edilirse veri sorumlusu durumu en kısa sürede ilgili kişilere ve Kurula bildirir (6698 sayılı Kişisel Verilerin Korunması Kanunu m.12 (Resmî metin, yeni sekmede açılır)). Kurulun 2019/10 sayılı kararına göre "en kısa süre" 72 saattir; Kurula bildirim, ihlalin öğrenilmesinden itibaren en geç 72 saat içinde yapılır. Etkilenen kişilere, belirlenmelerinden sonra makul olan en kısa sürede bildirim yapılır. Gecikme olursa nedeni bildirimle birlikte açıklanır; ihlal ve alınan önlemler kayıt altına alınır.

Yurt dışı aktarım, işleme şartlarından birinin bulunması ve aktarılacak ülke için Kurulun yeterlilik kararı vermiş olması hâlinde yapılabilir (6698 sayılı Kişisel Verilerin Korunması Kanunu m.9 (Resmî metin, yeni sekmede açılır)). Kurumun internet sitesine göre henüz yeterlilik kararı verilmiş bir ülke yoktur. Bu durumda standart sözleşme veya bağlayıcı şirket kuralları gibi uygun güvencelerden biri gerekir; standart sözleşme imzalandıktan sonra beş iş günü içinde Kuruma bildirilir. Bunlar da yoksa aktarım yalnızca kanunda sayılan arızi hâllerde yapılabilir; ayrıntılar Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik (Resmî metin, yeni sekmede açılır) ile düzenlenir. Güncel durum için resmî metne bakınız.

Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler özel niteliklidir (6698 sayılı Kişisel Verilerin Korunması Kanunu m.6 (Resmî metin, yeni sekmede açılır)). Bu verilerin işlenmesi kural olarak yasaktır. Açık rıza, kanunda açıkça öngörülme, sağlık hizmetleri ve istihdam alanındaki hukuki yükümlülükler gibi sayılı hâllerde işlenebilir. Her durumda Kurulun belirlediği yeterli önlemlerin alınması şarttır.

Aydınlatma, veri güvenliği, Kurul kararlarına uyma, VERBİS kaydı ve standart sözleşme bildirimi yükümlülüklerine aykırılık idari para cezası gerektirir (6698 sayılı Kişisel Verilerin Korunması Kanunu m.18 (Resmî metin, yeni sekmede açılır)). Kanundaki tutarlar, Kabahatler Kanunu gereğince her yıl yeniden değerleme oranında artırılarak uygulanır. Kurulun verdiği idari para cezalarına karşı idare mahkemesinde dava açılabilir. Kişisel verileri hukuka aykırı olarak kaydetmek (5237 sayılı Türk Ceza Kanunu m.135 (Resmî metin, yeni sekmede açılır)), başkasına vermek, yaymak veya ele geçirmek ise suçtur (5237 sayılı Türk Ceza Kanunu m.136 (Resmî metin, yeni sekmede açılır)). Güncel durum için resmî metne bakınız.