Çorlu KVKK Avukatı

Çorlu, Çerkezköy ve Ergene hattında faaliyet gösteren bir şirket çalışan, müşteri ve ziyaretçi verisi işler; bu yüzden 6698 sayılı Kişisel Verilerin Korunması Kanunu’na (KVKK) uymakla yükümlüdür. Çorlu KVKK avukatı arayanlar genellikle iki gruptan birindedir: VERBİS kaydı, veri ihlali bildirimi ya da Kişisel Verileri Koruma Kurulu (Kurul) incelemesiyle uğraşan şirketler ve verisi izinsiz kullanılan kişiler. Bu sayfada iki tarafın yükümlülüklerini, sürelerini ve başvuru yollarını 2026 itibarıyla güncel mevzuata göre anlatıyoruz.

Kanun’un son değişikliği 7499 sayılı Kanun’la yapıldı ve 1 Haziran 2024’te yürürlüğe girdi. Bu tarihten önce yazılmış kaynaklardaki ceza itiraz yolu, yurt dışına aktarım kuralları ve özel nitelikli veri şartları artık geçerli değildir.

Çorlu KVKK avukatı hangi işlerde çalışır?

KVKK uyuşmazlıklarının iki tarafı vardır. Bir yanda verinin işlenme amacını ve yöntemini belirleyen veri sorumlusu, öbür yanda verisi işlenen ilgili kişi bulunur. Aynı hukuki bilgi iki taraf için farklı işlere dönüşür: şirket için önleyici uyum ve savunma, birey için başvuru, şikâyet ve dava.

Şirketler için

Şirket tarafındaki işler, veri işleme faaliyetlerinin tespitiyle başlar. Bunu kişisel veri işleme envanteri, VERBİS kaydı, aydınlatma ve açık rıza metinleri, saklama ve imha politikası, tedarikçi sözleşmeleri ve yurt dışına aktarım için standart sözleşmeler izler. Veri ihlali yaşandığında 72 saat içinde Kurul’a ve etkilenen kişilere yapılacak bildirim, Kurul’dan gelen bilgi ve belge talebine verilecek cevap ve idari para cezasına karşı idare mahkemesinde açılacak dava da şirket tarafındaki işlerdir.

Çorlu ve çevresinde Çerkezköy Organize Sanayi Bölgesi, Ergene ve Velimeşe OSB’leri ile Çorlu Deri İhtisas OSB’de çalışan sayısı 50’yi aşan çok sayıda işletme vardır. Bu işletmeler VERBİS eşiğini çalışan sayısı nedeniyle aşar; vardiya düzeni, alt işveren (taşeron) çalışanları, servis araçları, kamera sistemleri ve kartlı geçişler nedeniyle de yoğun çalışan verisi işler. Ergene’deki Avrupa Serbest Bölgesi’nde faaliyet gösteren ve yurt dışındaki grup şirketleriyle aynı yazılımı kullanan firmalar için ayrıca yurt dışına aktarım kuralları gündeme gelir.

Bireyler için: Çorlu kişisel verilerin korunması avukatı ne yapar?

Verisi izinsiz paylaşılan, rızası olmadan reklam mesajı alan, sağlık bilgisi işyerinde konuşulan ya da kamera görüntüsü sosyal medyaya düşen kişinin önünde birkaç yol vardır. Bunlar veri sorumlusuna başvuru, Kurul’a şikâyet, tazminat davası ve suç oluşturan durumlarda ceza şikâyetidir. Hangi yolun seçileceği, kişinin amacına göre değişir: verinin silinmesini isteyen, uğradığı zararın karşılanmasını isteyen ve failin cezalandırılmasını isteyen kişi farklı merciye gider. Süreler kısa olduğu için ilk adımın tarihini doğru belgelemek gerekir.

Çorlu’da KVKK danışmanı mı, avukat mı?

Çorlu KVKK avukatı arayan bir şirket, piyasada KVKK danışmanlığı veren bilişim ve danışmanlık firmalarıyla da karşılaşır. Teknik tedbirlerin kurulması (log yönetimi, yetki matrisi, şifreleme, sızma testi) çoğu zaman bilgi işlem ekiplerinin işidir. Kurul önünde şirketi temsil etmek, idari para cezasına karşı dava açmak, iş sözleşmesi ve tedarikçi sözleşmesi hazırlamak ise avukatlık faaliyetidir. Uyum projelerinde hukuki metinler ile teknik tedbirlerin birbiriyle uyumlu olması gerekir; envanterde “şifreleniyor” yazan bir sistemin gerçekte şifrelenmemesi Kurul incelemesinde şirketin aleyhine sonuç doğurur.

Kişisel veri, veri sorumlusu ve özel nitelikli veri

Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir (KVKK m. 3). Ad soyad ve T.C. kimlik numarasının yanında telefon numarası, IP adresi, araç plakası, kamera görüntüsü, ses kaydı, konum bilgisi ve bordro kaydı da kişisel veridir. Tüzel kişiye ait bilgi (şirket unvanı, vergi numarası) kişisel veri değildir; şirket yetkilisinin adı ve cep telefonu ise kişisel veridir.

Veri sorumlusu, verinin işlenme amaçlarını ve araçlarını belirleyen gerçek veya tüzel kişidir. Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına veri işleyen kişidir: dış kaynaklı bordro firması, bulut sağlayıcı, çağrı merkezi, kamera sistemini uzaktan izleyen güvenlik şirketi bunlara örnektir. Veri sorumlusu, veri işleyenin alması gereken güvenlik tedbirlerinden onunla birlikte müştereken sorumludur (m. 12/2). Bu nedenle veri işleyenle yapılan sözleşmede hangi verinin, hangi amaçla, ne kadar süre işleneceği ve ihlal hâlinde bildirim yükümlülüğü yazılmalıdır.

Kanun her veri işlemenin şu ilkelere uymasını ister: hukuka ve dürüstlük kurallarına uygunluk, doğruluk, belirli ve meşru amaç, amaçla bağlantılı, sınırlı ve ölçülü olma ve gerekli süre kadar saklama (m. 4). Uygulamada şirketlerin en çok takıldığı ilke ölçülülüktür: bir işlem için açık rıza alınmış olsa bile amaçla orantısız bir veri toplama hukuka aykırı kabul edilebilir.

İşleme şartları ve açık rızanın yeri

Kişisel veri, Kanun’un 5. maddesinde sayılan şartlardan birine dayanarak işlenir. Bunlar kanunlarda açıkça öngörülme, fiili imkânsızlık hâlinde hayati menfaat, sözleşmenin kurulması veya ifası için gereklilik, veri sorumlusunun hukuki yükümlülüğü, ilgili kişinin veriyi kendisinin alenileştirmesi, bir hakkın tesisi, kullanılması veya korunması ve veri sorumlusunun meşru menfaatidir. Bu şartlardan hiçbiri yoksa açık rıza gerekir.

Açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızadır. Her işlemi açık rızaya bağlamak sık yapılan bir hatadır: rıza her an geri alınabilir ve geri alındığında o işlemin dayanağı ortadan kalkar. Maaş ödemesi için banka hesap bilgisinin işlenmesi iş sözleşmesine, SGK bildirimi hukuki yükümlülüğe dayanır; bunlar için çalışandan rıza istemek hem gereksizdir hem de rızanın şart olduğu izlenimi verir.

Kanun’un uygulanmadığı hâller

Kişinin kendisi ve aynı konutta yaşayan aile fertleriyle ilgili ev içi faaliyetler, anonimleştirilerek yapılan resmî istatistik ve araştırmalar ve yargı makamlarının yargılama faaliyetleri kapsam dışındadır (m. 28/1). Suç soruşturması, kişinin kendisinin alenileştirdiği veriler ve kamu kurumlarının denetim faaliyetleri gibi hâllerde ise aydınlatma, VERBİS ve bazı ilgili kişi hakları uygulanmaz; zararın giderilmesini isteme hakkı bu hâllerde de saklıdır (m. 28/2).

7499 sayılı Kanun ile KVKK’da ne değişti?

12 Mart 2024 tarihli Resmî Gazete’de yayımlanan 7499 sayılı Kanun, KVKK’nın 6, 9 ve 18. maddelerini değiştirdi ve bir geçici madde ekledi. Değişiklikler 1 Haziran 2024’te yürürlüğe girdi. Mevzuat Bilgi Sistemi’ndeki 6698 sayılı Kanun’un güncel metni Ekim 2026 itibarıyla bu değişikliği son değişiklik olarak göstermektedir; 2025 ve 2026’da Kanun metninde yeni bir değişiklik yapılmamıştır. Uygulamayı bu dönemde değiştiren düzenlemeler Kurul kararları, ilke kararları ve rehberlerdir.

Özel nitelikli verilerin yeni işlenme şartları

Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler özel nitelikli kişisel veridir (m. 6/1). Eski metinde rızasız işleme dar tutulmuştu: sağlık ve cinsel hayat dışındaki veriler yalnız kanunda öngörülmüşse, sağlık ve cinsel hayata ilişkin veriler ise yalnız sır saklama yükümlülüğü altındaki kişi ve kurumlarca belirli sağlık amaçlarıyla işlenebiliyordu. Diğer tüm hâllerde açık rıza gerekiyordu.

Yeni m. 6/3, işlemeyi kural olarak yasaklar ve şu hâllerde izin verir: açık rıza, kanunlarda açıkça öngörülme, hayati menfaat, ilgili kişinin alenileştirmesi, bir hakkın tesisi, kullanılması veya korunması için zorunluluk, sır saklama yükümlülüğü altındakilerce sağlık hizmetlerinin yürütülmesi, istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmet ve sosyal yardım alanlarındaki hukuki yükümlülükler ve vakıf, dernek ve sendikaların kendi üyelerine ilişkin faaliyetleri. Sanayi işletmelerini en çok ilgilendiren değişiklik (f) bendidir: işe giriş muayenesi, periyodik sağlık kontrolü ve iş kazası kayıtları gibi İSG mevzuatından doğan yükümlülükler için çalışanın açık rızası aranmaz. Özel nitelikli veri işlenirken Kurul’un 31.01.2018 tarihli ve 2018/10 sayılı kararındaki yeterli önlemlerin (ayrı erişim yetkisi, şifreleme, gizlilik taahhüdü, eğitim) alınması ise şarttır (m. 6/4).

Yurt dışına veri aktarımı: bulut, e-posta ve CRM kullanan herkes için

Sunucusu yurt dışında olan bir e-posta, bulut depolama, CRM, muhasebe veya yapay zekâ hizmetine çalışan ya da müşteri verisi yüklemek, çoğu durumda yurt dışına aktarım sayılır. Yeni m. 9 aktarımı kademeli bir sisteme bağladı:

1. Yeterlilik kararı: Kurul’un bir ülke, ülke içindeki bir sektör veya uluslararası kuruluş için yeterli koruma bulunduğuna karar vermesi. Kurum’un internet sitesinde Ekim 2026 itibarıyla bu konuda henüz bir belirleme yapılmadığı belirtilmektedir.
2. Uygun güvenceler: Kurul’un ilan ettiği standart sözleşme, Kurul’ca onaylanmış bağlayıcı şirket kuralları, Kurul izniyle yazılı taahhütname veya kamu kurumları arasındaki anlaşma. Standart sözleşmenin dört tipi vardır: veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene, veri işleyenden veri işleyene ve veri işleyenden veri sorumlusuna. Metin üzerinde seçimlik hükümler dışında değişiklik yapılmaz.
3. Arızi aktarım: Yeterlilik kararı ve uygun güvence yoksa, yalnız düzenli olmayan, tek seferlik aktarımlar için sayılı hâllerde (risk konusunda bilgilendirilmiş açık rıza, sözleşmenin ifası, bir hakkın korunması gibi) aktarım yapılabilir (m. 9/6).

Standart sözleşme, imzalanmasından itibaren 5 iş günü içinde Kurum’a bildirilir (m. 9/5). Bu bildirimi yapmayan veri sorumlusu ya da veri işleyene ayrı bir idari para cezası verilir (m. 18/1-d). Eski düzende yaygın olan “açık rıza ile yurt dışına aktarım”, geçici madde 3 uyarınca 1 Eylül 2024’e kadar uygulanabildi; bu tarihten sonra düzenli aktarımlar açık rızaya dayandırılamaz.

İdari para cezalarına karşı yol değişti

Eskiden Kurul’un idari para cezalarına karşı Kabahatler Kanunu’na göre 15 gün içinde sulh ceza hâkimliğine başvuruluyordu. 7499 sayılı Kanun’la eklenen m. 18/3 uyarınca artık idare mahkemesinde dava açılır. 1 Haziran 2024’te sulh ceza hâkimliklerinde görülmekte olan başvurular ise bu hâkimliklerde sonuçlandırılır (geçici m. 3/2). Yargı yolunun ayrıntısını aşağıda ayrı bir başlıkta anlatıyoruz.

VERBİS kaydı: kimler zorunlu, kimler istisna?

Veri Sorumluları Sicili (VERBİS), Kurum’un tuttuğu ve kamuya açık sicildir. Kanun’a göre kişisel veri işleyen her gerçek ve tüzel kişi işlemeye başlamadan önce kayıt olmak zorundadır; Kurul ise objektif ölçütlerle istisna getirebilir (m. 16/2). Bugünkü istisnanın dayanağı, 04.09.2025 tarihli ve 2025/1572 sayılı kararla değiştirilen 2018/87 sayılı Kurul kararıdır.

Veri sorumlusu	Kayıt durumu
Yıllık çalışan sayısı 50 veya üzeri	Zorunlu
Yıllık mali bilanço toplamı 100 milyon TL veya üzeri	Zorunlu
Çalışanı 50’den az ve bilanço toplamı 100 milyon TL’den az, ana faaliyeti özel nitelikli veri işlemek değil	İstisna
Ana faaliyeti özel nitelikli veri işlemek (örneğin sağlık), çalışanı 10 veya üzeri ya da bilanço toplamı 10 milyon TL veya üzeri	Zorunlu
Ana faaliyeti özel nitelikli veri işlemek, çalışanı 10’dan az ve bilanço toplamı 10 milyon TL’den az	İstisna (2025/1572 ile getirildi)
Bilanço esasına göre defter tutmayan (işletme hesabı esası)	Yalnız çalışan sayısına bakılır (Kurul’un 25.12.2025 tarihli ve 2025/2393 sayılı kararı)
Noterler, avukatlar, mali müşavirler ve yeminli mali müşavirler, gümrük müşavirleri, siyasi partiler; kendi üyeleri, çalışanları ve bağışçılarıyla sınırlı olarak dernek, vakıf ve sendikalar	Kurul kararlarıyla istisna

İstisna yalnız kayıt yükümlülüğünü kaldırır. Aydınlatma, veri güvenliği, ihlal bildirimi ve başvurulara cevap yükümlülükleri her işletme için geçerlidir. Kayıt eşiğini sonradan aşan veri sorumlusu, yükümlülüğün doğduğu tarihten itibaren 30 gün içinde kayıt yaptırır. Kurum, 2025 yılı bilançosu nedeniyle yükümlü hâle gelen kurumlar vergisi mükellefleri için son tarihi 05.06.2026 olarak ilan etti. Kayıttaki bilgilerde değişiklik olursa bu da derhâl bildirilir (m. 16/4).

VERBİS kaydı nasıl yapılır?

1. Şirketin eşik veya ana faaliyet bakımından kayıt yükümlüsü olup olmadığı son yılın çalışan sayısı ve bilançosuyla tespit edilir.
2. Kişisel veri işleme envanteri hazırlanır; kayıt bildirimi bu envantere dayanır.
3. Şirket yetkilisi sisteme giriş yapar ve şirketle Kurum arasındaki yazışmaları yürütecek irtibat kişisini tanımlar.
4. İrtibat kişisi; işleme amaçlarını, veri konusu kişi gruplarını ve veri kategorilerini, alıcı gruplarını, yurt dışına aktarılan verileri, güvenlik tedbirlerini ve azami saklama sürelerini sisteme girer (m. 16/3).
5. Envanter veya iş süreçleri değiştikçe kayıt güncellenir.

Çorlu KVKK uyum yükümlülükleri

VERBİS kaydı uyumun yalnız bir parçasıdır. Kurul incelemelerinde ceza konusu olan eksiklikler çoğunlukla aydınlatma metinleri, veri güvenliği tedbirleri ve ihlal bildirimiyle ilgilidir. Aşağıdaki tablo şirketin başlıca yükümlülüklerini, dayanaklarını ve sürelerini gösterir; ceza tutarları ileride ayrı tabloda yer alır.

Yükümlülük	Dayanak	Süre	Aykırılıkta yaptırım
Aydınlatma	KVKK m. 10, Aydınlatma Tebliği	Veri elde edilirken	İdari para cezası (m. 18/1-a)
Teknik ve idari güvenlik tedbirleri	m. 12/1-3	Sürekli	İdari para cezası (m. 18/1-b)
Veri ihlali bildirimi	m. 12/5, Kurul’un 2019/10 sayılı kararı	Öğrenmeden itibaren 72 saat	İdari para cezası (m. 18/1-b)
İlgili kişi başvurusuna cevap	m. 13, Başvuru Tebliği	En geç 30 gün	Kurul’un giderme kararı; uyulmazsa m. 18/1-c cezası
Kurul kararını yerine getirme	m. 15/5	Tebliğden itibaren en geç 30 gün	İdari para cezası (m. 18/1-c)
VERBİS kaydı ve güncelleme	m. 16	İşlemeden önce; sonradan yükümlülükte 30 gün; değişiklikte derhâl	İdari para cezası (m. 18/1-ç)
Standart sözleşme bildirimi	m. 9/5	İmzadan itibaren 5 iş günü	İdari para cezası (m. 18/1-d)
Silme, yok etme, anonimleştirme	m. 7, Silme Yönetmeliği	Periyodik imha en fazla 6 ay arayla; talep üzerine 30 gün	Kurul kararı; silmemek TCK m. 138 suçu (KVKK m. 17/2)
Ticari elektronik ileti onayı ve ret	6563 sayılı Kanun m. 6, 8	Ret talebinden itibaren 3 iş günü	Ticaret Bakanlığı idari para cezası (6563 m. 12)

Aydınlatma metni ile açık rıza metni ayrı olmalı

Aydınlatma, veriyi elde ederken ilgili kişiyi bilgilendirme yükümlülüğüdür. Metin veri sorumlusunun kimliğini, işleme amaçlarını, verinin kimlere ve hangi amaçla aktarılabileceğini, toplama yöntemini ve hukuki sebebini ve ilgili kişinin haklarını içerir (m. 10). İşleme hangi şarta dayanırsa dayansın aydınlatma yapılır; açık rıza ise yalnız başka bir işleme şartı olmadığında ayrıca alınır.

Kurul, 18.02.2026 tarihli ve 2026/347 sayılı ilke kararında (Resmî Gazete, 24.03.2026) iki metnin iç içe sunulmasını en sık karşılaştığı aykırılıklardan biri olarak saydı. Karara göre aydınlatma metninin altına “okudum ve kabul ediyorum” ya da “okudum ve açık rıza veriyorum” yazılmamalı; doğru ifade “okudum ve anladım” şeklindedir. İki metin aynı sayfada olacaksa ayrı başlıklar altında, alt alta ve ayrı beyanlarla düzenlenir. Başka bir şirketin metnini uyarlamadan kopyalamak, “verileriniz Kanun’un 5. ve 6. maddelerindeki şartlar kapsamında işlenmektedir” gibi muğlak ifadeler kullanmak ve yurt dışına aktarım yapılmıyorken aktarım yapılıyormuş izlenimi veren cümleler de aynı kararda aykırılık örnekleri arasında sayıldı.

Envanter, saklama ve imha politikası

Kişisel veri işleme envanteri; iş süreçlerini, veri kategorilerini, ilgili kişi gruplarını, işleme amaçlarını ve hukuki sebepleri, alıcı gruplarını, azami saklama sürelerini, yurt dışına aktarımı ve güvenlik tedbirlerini gösteren tablodur. VERBİS’e kayıt yükümlüsü olan şirket, envanterine uygun bir kişisel veri saklama ve imha politikası da hazırlar. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik’e göre periyodik imha aralığı altı ayı geçemez; ilgili kişi silme talep ederse talep 30 gün içinde sonuçlandırılır. Saklama süreleri belirlenirken vergi mevzuatının, iş mevzuatının ve zamanaşımı sürelerinin gerektirdiği saklama yükümlülükleri dikkate alınır; “süresiz saklama” kabul edilmez.

Veri güvenliği tedbirleri ve veri işleyenle sözleşme

Kanun teknik ve idari tedbirleri tek tek saymaz; veri sorumlusundan “uygun güvenlik düzeyini” sağlamasını ister (m. 12/1). Kurum’un veri güvenliği rehberi bu tedbirleri somutlaştırır: yetki matrisi ve erişim kayıtları (log), şifreleme, sızma testi, yedekleme, çalışan gizlilik taahhütleri, eğitim ve ayrılan çalışanın yetkilerinin derhâl kaldırılması. Şirket, Kanun’un kendi bünyesinde uygulanıp uygulanmadığını denetlemek veya denetletmek zorundadır (m. 12/3).

Bayi ağıyla çalışan üreticiler ve distribütörler için kimin veri sorumlusu, kimin veri işleyen olduğu sözleşmede açıkça belirlenmelidir. Bayinin topladığı müşteri verisini merkez firma kendi kampanyalarında kullanacaksa bayi, merkez firma adına veri işleyen değil, veriyi ayrı amaçla aktaran bir veri sorumlusu konumundadır ve aktarım için ayrıca hukuki dayanak gerekir.

Veri ihlali olursa: 72 saatlik bildirim

İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından ele geçirilmesi hâlinde veri sorumlusu bunu en kısa sürede ilgilisine ve Kurul’a bildirir (m. 12/5). Kurul’un 24.01.2019 tarihli ve 2019/10 sayılı kararı bu süreyi ihlalin öğrenildiği andan itibaren en geç 72 saat olarak belirlemiştir; süre hafta sonu ve bayram günlerinde de işler. Fidye yazılımı saldırısı, e-postanın yanlış alıcıya gönderilmesi, dizüstü bilgisayarın çalınması ve müşteri dosyasının yetkisiz kişilerce görülmesi de olayın özelliğine göre ihlal sayılabilir.

1. İhlalin öğrenildiği tarih ve saat kayda geçirilir; 72 saat bu andan başlar, teknik incelemenin bitmesi beklenmez.
2. Sızıntıyı durdurmak için erişimler kapatılır, şifreler değiştirilir, deliller (log kayıtları, e-postalar) korunur.
3. Etkilenen veri kategorileri ve kişi sayısı yaklaşık olarak belirlenir.
4. Kurul’a veri ihlali bildirim formuyla bildirim yapılır. Bilgiler eksikse bildirim ertelenmez, eksikler sonradan tamamlanır; 72 saat aşılmışsa gecikmenin nedeni açıklanır.
5. Etkilenen kişilere, iletişim bilgisi varsa doğrudan, yoksa uygun yöntemlerle makul en kısa sürede bildirim yapılır.
6. İhlal, alınan önlemler ve sonuçları şirket içinde belgelenir; veri işleyenin sebep olduğu ihlallerde sözleşmedeki rücu hükümleri işletilir.

Kurul gerekli gördüğünde bildirilen ihlali kendi internet sitesinde ilan edebilir (m. 12/5). Bu nedenle bildirim metni, hem Kurul’a hem kamuoyuna yansıyabileceği düşünülerek hazırlanmalıdır.

İlgili kişi başvurularına cevap

İlgili kişi taleplerini yazılı olarak, kayıtlı elektronik posta (KEP), güvenli elektronik imza, mobil imza, şirkete daha önce bildirip sistemde kayıtlı olan e-posta adresi veya başvuru amaçlı bir uygulama üzerinden iletir. Şirket başvuruyu en geç 30 gün içinde ücretsiz sonuçlandırır (m. 13/2). Cevap on sayfayı aşarsa sayfa başına 1 TL, CD veya flash bellekle verilirse kayıt ortamının maliyeti kadar ücret alınabilir (Başvuru Tebliği m. 7).

Kurum, 1 Ekim 2026 tarihli kamuoyu duyurusunda bazı şirketlerin başvuruları telefonla ya da yüz yüze cevaplandırdığını tespit ettiğini açıkladı. Duyuruya göre ek bilgi istemek için başvuru sahibini telefonla aramak mümkündür, ancak telefonda veya yüz yüze verilen bilgi Kanun’un aradığı cevap sayılmaz. Nihai cevap yazılı veya elektronik ortamda verilmeli; kabul edilen ve reddedilen talepler ile ret gerekçeleri açıkça yazılmalıdır.

İnternet sitesi, çerezler ve ticari ileti

Şirket sitesinde iletişim formu, e-bülten aboneliği veya online satış varsa ayrı aydınlatma metinleri gerekir. Kurum’un 2022’de yayımladığı çerez rehberine göre sitenin çalışması için zorunlu olmayan analiz, kişiselleştirme ve reklam çerezleri açık rızaya dayanır; bu çerezler kullanıcı onay vermeden çalıştırılmamalı ve önceden işaretli kutucuk kullanılmamalıdır.

SMS, e-posta veya arama yoluyla tanıtım mesajı göndermek 6563 sayılı Kanun’a tabidir. Ticari elektronik ileti ancak alıcının önceden onayıyla gönderilir; esnaf ve tacirlere onaysız gönderilebilir (m. 6). Onayların İleti Yönetim Sistemi’ne (İYS) aktarılması gerekir; sisteme aktarılmayan onay geçersiz sayılır (m. 11/5). Alıcı ret bildirdiğinde gönderim üç iş günü içinde durdurulur (m. 8/3).

Bu kurallara aykırılıkta cezayı Ticaret Bakanlığı verir; aynı ileti için telefon numarasının hukuka aykırı elde edilmesi ise ayrıca KVKK incelemesine konu olabilir.

İşyerinde çalışan verisi: kamera, biyometri ve e-posta

Çalışan verilerinin büyük bölümü iş sözleşmesine ve iş mevzuatından doğan hukuki yükümlülüklere dayanarak işlenir; işe iade, kıdem ve fazla mesai uyuşmazlıklarını iş hukuku sayfamızda ayrıca ele alıyoruz. KVKK açısından sorun, işverenin topladığı verinin amaçla orantısız hâle geldiği noktada başlar.

Kamera ile izleme

Güvenlik amacıyla üretim alanında, depoda ve girişlerde kamera kullanılması kural olarak meşru menfaate dayandırılabilir. Kameranın varlığı ve amacı, kamera alanına girmeden görülebilecek bir uyarı yazısıyla ve ayrıntılı aydınlatma metniyle duyurulur. Görüntülere kimlerin erişebileceği ve kayıtların ne kadar saklanacağı envanterde belirlenir. Ses kaydı alan kameralar, ses kaydını gerektiren özel bir neden yoksa ölçülülük ilkesine aykırı düşer.

Soyunma odası, tuvalet, duş ve dinlenme alanları gibi özel hayatın en yoğun yaşandığı yerlerde kamera bulundurulması amaçla orantılı kabul edilmez; kayıt alınıyorsa TCK m. 134 kapsamında özel hayatın gizliliğini ihlal suçu da gündeme gelir. Kamera görüntüsünün işyerindeki bir olay nedeniyle WhatsApp gruplarında veya sosyal medyada paylaşılması, şirketin veri güvenliği yükümlülüğünü ihlal etmesi anlamına gelir.

Parmak izi ve yüz tanıma ile mesai takibi

Kurul, 29.04.2026 tarihli ve 2026/921 sayılı ilke kararında (Resmî Gazete, 02.06.2026) bu konuda kesin bir tutum aldı. Karara göre iş mevzuatı çalışma sürelerinin belgelenmesini öngörür, ancak bunun biyometrik sistemle yapılmasını öngören açık bir kanun hükmü yoktur. İşçi ile işveren arasındaki güç dengesizliği nedeniyle çalışanın açık rızası özgür iradeye dayanmaz ve rıza geri alındığında sistem işlemez hâle gelir. Kartlı veya şifreli sistemler, RFID/NFC kartlar ve imzalı devam çizelgeleri gibi daha az müdahaleci yöntemler bulunduğundan, yalnız mesai takibi için biyometrik veri işlemek açık rıza olsa bile ölçülülük ilkesine aykırıdır.

Kurul bu kararda Danıştay İdari Dava Daireleri Kurulu’nun 2024/225 esas, 2024/2625 karar sayılı kararına ve Anayasa Mahkemesi’nin 10.03.2022 tarihli, 2018/11988 başvuru numaralı Genel Kurul kararına da dayandı. Kurum’un sonraki duyurusuna göre mesai takibi dışındaki biyometrik kullanımlar, örneğin yüksek güvenlik gerektiren kritik alanlara giriş kontrolü, bu ilke kararının kapsamında değildir ve her olayda ayrıca değerlendirilir. Parmak izli turnike kullanan fabrikaların sistemi hangi amaçla kullandığını belgelemesi ve mesai kaydını alternatif bir yönteme taşıması gerekir.

İşe alım, özlük dosyası ve sağlık verisi

İş başvurusuyla gelen özgeçmişler işe alım süreci için işlenir; başvuru olumsuz sonuçlandığında ne kadar saklanacağı aday aydınlatma metninde yazılmalıdır. Referans kişileri aramak ve adayın sosyal medya hesaplarını incelemek de amaçla sınırlı tutulmalıdır. Özlük dosyasındaki belgeler (4857 sayılı İş Kanunu m. 75) yalnız yetkili insan kaynakları personelinin erişebileceği şekilde saklanır.

Sağlık raporları, işyeri hekimi kayıtları ve engellilik bilgisi özel nitelikli veridir. 7499 sonrasında İSG mevzuatından doğan yükümlülükler için rıza aranmaz; ancak işyeri hekiminin muayene bulgularının ayrıntısını yöneticilerle paylaşması bu kapsama girmez ve hekimlik sır saklama yükümlülüğü devam eder. Hastane ve muayenehanelerde sağlık verisinin hatalı ifşası ise çoğu zaman bir tıbbi uygulama uyuşmazlığıyla birlikte gündeme gelir; bu yönünü malpraktis sayfamızda anlatıyoruz. Sendika üyeliği bilgisi aidat kesintisi gibi kanuni işlemlerle, adli sicil kaydı ise yalnız mevzuatın aradığı görevlerle sınırlı olarak istenebilir.

Kurumsal e-posta, bilgisayar, araç takibi ve mesajlaşma grupları

İşverenin kurumsal e-posta ve bilgisayarları denetleyebilmesi için denetimin önceden yazılı bir politikayla çalışanlara duyurulması, amacın (bilgi güvenliği, ticari sırların korunması gibi) belirli olması ve denetimin amaçla sınırlı kalması gerekir. Şirket araçlarındaki konum takip sistemleri iş saatleri ve iş amaçlı kullanımla sınırlı tutulmalıdır; aracın özel kullanımına izin verilen hâllerde mesai dışı konum kaydı ölçüsüz hâle gelir.

Vardiya listelerinin, izin ve rapor bilgilerinin ya da müşteri bilgilerinin kişisel mesajlaşma uygulamalarındaki gruplarda paylaşılması yaygın bir uygulamadır. Bu gruplara erişimin kontrol edilememesi, ayrılan çalışanın verilere erişmeye devam etmesi ve verinin yurt dışındaki sunuculara gitmesi ayrı ayrı risk oluşturur. Bu nedenle iş yazışmaları için yönetimi şirkette olan bir iletişim aracı ve yazılı kullanım kuralları belirlenmelidir.

OSB’lerde ortak güvenlik, ziyaretçi kaydı ve plaka tanıma

Organize sanayi bölgelerinde giriş kontrolü, ortak güvenlik ve kamera sistemleri bölge müdürlüğü ile katılımcı firmalar arasında paylaşılabilir. Böyle bir yapıda hangi kaydın kimin sorumluluğunda olduğu, ziyaretçi kaydında hangi bilgilerin alınacağı ve plaka tanıma kayıtlarının ne kadar saklanacağı yazılı olarak belirlenmelidir. Ad soyad ve ziyaret bilgisinin yeterli olduğu bir girişte ziyaretçinin kimlik kartının fotokopisini almak, ölçülülük ilkesi bakımından tartışmalıdır. Alt işveren çalışanlarının verileri için asıl işveren ile alt işveren, her biri kendi işleme faaliyeti bakımından ayrı ayrı veri sorumlusudur.

Yapay zekâ araçlarına veri yüklemek

Çalışanların müşteri yazışmalarını, sözleşmeleri veya personel listelerini üretken yapay zekâ araçlarına yüklemesi, hem verinin amacı dışında işlenmesi hem de çoğu zaman yurt dışına aktarım anlamına gelir. Kurum bu konuda “Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi”ni yayımlamıştır. Şirketin yazılı kullanım politikasında hangi araçların kullanılabileceği, hangi veri türlerinin yüklenemeyeceği ve verinin hangi durumlarda maskeleneceği belirtilmelidir.

Çorlu KVKK danışmanlığı: uyum projesi adım adım

KVKK uyum belgeleri şirketin işleyişi değiştikçe güncellenir. İşe yeni bir yazılım alındığında, tedarikçi değiştiğinde, kamera sistemi genişletildiğinde veya Kurul yeni bir ilke kararı yayımladığında metinler ve envanter yeniden gözden geçirilir. Kurul incelemesinde belgelerin şirketin gerçek işleyişiyle örtüşüp örtüşmediğine bakılır.

1. Ön görüşme ve bilgi toplama: şirketin faaliyet alanı, çalışan sayısı, bilanço toplamı, kullanılan yazılımlar ve tedarikçiler belirlenir.
2. Veri akışının çıkarılması: her departmanla görüşülerek hangi verinin nereden toplandığı, kimlerin eriştiği, nereye aktarıldığı ve ne kadar saklandığı tespit edilir.
3. Hukuki dayanak eşleştirmesi: her faaliyet için m. 5 veya m. 6’daki şartlardan hangisine dayanıldığı yazılır; gereksiz açık rıza talepleri kaldırılır.
4. Belgelerin hazırlanması: aydınlatma metinleri, gerekli yerlerde ayrı açık rıza metinleri, saklama ve imha politikası, veri işleyen sözleşmeleri, standart sözleşmeler.
5. VERBİS kaydı veya güncellemesi ve standart sözleşmelerin Kurum’a bildirimi.
6. Teknik tedbirlerin bilgi işlem ekibiyle birlikte gözden geçirilmesi ve eksiklerin kayda geçirilmesi.
7. Prosedürler ve eğitim: ihlal müdahale planı, ilgili kişi başvuru akışı, çalışan farkındalık eğitimi.
8. Periyodik denetim: imha dönemleri, yeni süreçler ve mevzuat değişiklikleri için yılda en az bir gözden geçirme.

Uyum projesinin sonunda şirketin elinde bulunması gereken başlıca belgeler şunlardır:

• Kişisel veri işleme envanteri
• Çalışan, aday, müşteri, ziyaretçi, tedarikçi ve kamera aydınlatma metinleri
• Gerekli işlemler için ayrı açık rıza metinleri
• Kişisel veri saklama ve imha politikası
• Özel nitelikli veriler için güvenlik politikası
• Veri işleyen sözleşmeleri ve gizlilik taahhütnameleri
• Yurt dışına aktarım varsa imzalı standart sözleşmeler ve Kurum’a bildirim kayıtları
• Veri ihlali müdahale planı ve ilgili kişi başvuru formu
• Çerez politikası ve çerez yönetim paneli
• Eğitim ve iç denetim kayıtları

Bir Çorlu KVKK avukatı ile ilk görüşmede bu listenin hangi kısmının zaten hazır olduğu ve hangisinin eksik kaldığı çıkarılır; böylece iş, mevcut belgelerin güncellenmesiyle mi yoksa sıfırdan kurulumla mı yürüyeceği netleşir.

Kurul incelemesi ve 2026 idari para cezaları

Kurul, ilgili kişinin şikâyeti üzerine ya da ihlal iddiasını başka bir yoldan öğrendiğinde resen inceleme başlatır (m. 15/1). İnceleme genellikle Kurum’un veri sorumlusuna gönderdiği bilgi ve belge talebi yazısıyla başlar. Şirket, devlet sırrı niteliğindekiler hariç istenen bilgi ve belgeleri 15 gün içinde göndermek ve gerektiğinde yerinde inceleme yapılmasına izin vermek zorundadır (m. 15/3). Bu yazıya verilecek cevap, şirketin savunması niteliğindedir; envanter, aydınlatma metinleri ve log kayıtlarıyla desteklenmesi gerekir.

İnceleme sonunda Kurul, tespit ettiği hukuka aykırılıkların giderilmesine karar verir ve bu karar tebliğden itibaren en geç 30 gün içinde yerine getirilir (m. 15/5). Telafisi güç zarar ve açık hukuka aykırılık varsa veri işlemenin veya yurt dışına aktarımın durdurulmasına da karar verebilir (m. 15/7). Aykırılık yaygınsa ilke kararı alır; 2026’da biyometrik mesai takibi, açık rıza ile aydınlatma metinlerinin ayrılması, site ve apartmanlarda borç listelerinin asılması ve kaza mağdurlarının verileri hakkında ilke kararları yayımlandı.

İdari para cezaları her yıl başında yeniden değerleme oranında artırılır (5326 sayılı Kabahatler Kanunu m. 17/7). 2026 için oran yüzde 25,49’dur. Aşağıdaki tutarlar Kurum’un yayımladığı 2026 idari para cezası tablosundan alınmıştır.

Aykırılık	Kanun maddesi	2026 alt sınır	2026 üst sınır
Aydınlatma yükümlülüğünü yerine getirmeme	m. 18/1-a	85.437 TL	1.709.200 TL
Veri güvenliği yükümlülüklerini yerine getirmeme	m. 18/1-b	256.357 TL	17.092.242 TL
Kurul kararlarını yerine getirmeme	m. 18/1-c	427.263 TL	17.092.242 TL
VERBİS kayıt ve bildirim yükümlülüğüne aykırılık	m. 18/1-ç	341.809 TL	17.092.242 TL
Standart sözleşmeyi 5 iş günü içinde bildirmeme	m. 18/1-d	90.308 TL	1.806.177 TL

İlk dört ceza veri sorumlusuna, standart sözleşme bildirimine ilişkin ceza ise veri sorumlusu veya veri işleyen gerçek kişilere ve özel hukuk tüzel kişilerine verilir (m. 18/2). Kamu kurumlarında aykırılık hâlinde ceza yerine görevliler hakkında disiplin işlemi yapılır (m. 18/4).

Ceza tebliğden itibaren bir ay içinde ödenirse yüzde 25 indirim uygulanır ve ödeme dava açma hakkını ortadan kaldırmaz (5326 m. 17/6). Kişisel verileri hukuka aykırı kaydetme, başkasına verme veya ele geçirme ise şirket çalışanları ve yöneticileri bakımından ayrıca suç oluşturabilir; bu suçları aşağıda birey bölümünde kısaca anlatıyoruz.

Kurul kararlarına karşı dava: idare mahkemesi yolu

Kurul’un verdiği idari para cezalarına karşı idare mahkemelerinde dava açılır (m. 18/3). KVKK’da ayrı bir süre öngörülmediğinden dava açma süresi kararın tebliğinden itibaren 60 gündür (2577 sayılı İYUK m. 7). Hukuka aykırılığın giderilmesine ilişkin kararlar, veri işlemenin durdurulması kararları ve ilgili kişinin şikâyetinin reddi gibi diğer Kurul kararlarına karşı da idare mahkemesinde iptal davası açılır.

Kural olarak yetkili mahkeme, işlemi yapan idarenin bulunduğu yerdeki idare mahkemesidir (İYUK m. 32/1). Kurum’un merkezi Ankara’da olduğundan (KVKK m. 19/3) bu davalar kural olarak Ankara idare mahkemelerinde görülür; Çorlu’daki bir şirkete verilen ceza da bu kuraldan etkilenmez. Dava dilekçesi UYAP üzerinden doğrudan gönderilebileceği gibi, idare mahkemesi bulunmayan Çorlu’da asliye hukuk mahkemesine de verilebilir; dilekçe yetkili mahkemeye iletilir (İYUK m. 4). İdari yargı süreçleri ve yürütmenin durdurulması hakkında genel bilgiyi idare hukuku sayfamızda bulabilirsiniz.

Ceza tebliğ edilen şirketin Çorlu KVKK avukatı ile ilk değerlendirmesi gereken konular bu 60 günlük süre ve cezanın indirimli ödenip ödenmeyeceğidir. Dava açmak cezanın tahsilini kendiliğinden durdurmaz; cezanın şirketin mali durumunu ağır etkileyeceği durumlarda dava dilekçesinde yürütmenin durdurulması da istenir. 1 Haziran 2024’ten önce sulh ceza hâkimliğine yapılmış ve o tarihte derdest olan itirazlar ise sulh ceza hâkimliklerinde sonuçlandırılır.

Kişisel veriniz ihlal edildiyse: başvuru, şikâyet ve dava

Verisi ihlal edildiği için Çorlu KVKK avukatı arayan kişinin önce bilmesi gereken, Kanun’un ona tanıdığı haklardır. İlgili kişi, verisini işleyen şirkete başvurarak verisinin işlenip işlenmediğini öğrenme, işlenmişse bilgi isteme, işleme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme, verinin aktarıldığı kişileri bilme, yanlış verinin düzeltilmesini, koşulları varsa silinmesini isteme, bu işlemlerin aktarılan kişilere bildirilmesini isteme, yalnız otomatik sistemlerle yapılan analizin aleyhe sonucuna itiraz etme ve zararın giderilmesini isteme haklarına sahiptir (m. 11).

Veri sorumlusuna başvuru nasıl yapılır?

Kurul’a şikâyetten önce veri sorumlusuna başvurmak zorunludur (m. 14/2). Başvuruda şunlar yer almalıdır (Başvuru Tebliği m. 5):

1. Ad, soyad ve yazılı başvuruda imza
2. T.C. kimlik numarası (yabancılar için uyruk ve pasaport numarası)
3. Tebligata esas yerleşim yeri veya iş yeri adresi
4. Varsa bildirime esas e-posta adresi ve telefon numarası
5. Talebin açık konusu ve ilgili belgeler (ekran görüntüsü, SMS, arama kaydı)

Başvuru noter aracılığıyla, iadeli taahhütlü postayla, KEP ile veya şirkete daha önce bildirdiğiniz e-posta adresinden yapılabilir. Yazılı başvuruda tarih, evrakın şirkete tebliğ edildiği gündür; bu tarih şikâyet süresinin başlangıcını belirlediği için tebliğ belgesi saklanmalıdır.

Kurul’a şikâyet ve süreler

Başvurunuz reddedilir, cevap yetersiz kalır ya da 30 gün içinde cevap gelmezse, cevabı öğrendiğiniz tarihten itibaren 30 gün ve her hâlde başvuru tarihinden itibaren 60 gün içinde Kurul’a şikâyette bulunabilirsiniz (m. 14/1). Şikâyet, Kurum’un e-Devlet kapısı üzerinden de erişilebilen elektronik şikâyet sistemiyle veya dilekçeyle yapılabilir. Kurul şikâyet tarihinden itibaren 60 gün içinde cevap vermezse talep reddedilmiş sayılır (m. 15/4); bu zımni ret üzerine idare mahkemesinde dava açma süresi işlemeye başlar.

Aşama	Nereye	Süre	Not
1. Başvuru	Veri sorumlusu (şirket)	Şirket en geç 30 gün içinde cevap verir	Zorunlu ilk adım; yazılı veya KEP
2. Şikâyet	Kişisel Verileri Koruma Kurulu	Cevaptan itibaren 30 gün, her hâlde başvurudan itibaren 60 gün	Ücretsiz; elektronik veya dilekçe
3. Kurul cevabı	Kurul	Şikâyetten itibaren 60 gün	Cevap yoksa ret sayılır
4. Kurul kararına karşı dava	İdare mahkemesi (kural olarak Ankara)	Tebliğden veya zımni retten itibaren 60 gün	İptal davası
5. Tazminat davası	Asliye hukuk mahkemesi	Öğrenmeden itibaren 2 yıl, her hâlde 10 yıl	Kurul’a şikâyet şartı yok
6. Ceza şikâyeti	Cumhuriyet başsavcılığı	TCK m. 135, 136 ve 138 suçları resen soruşturulur	Bilişim ve ceza hukuku kapsamında

Kurul’a gitmeden mahkemeye başvurulabilir mi?

Evet. Kurum’un kendi açıklamasına göre veri sorumlusuna başvuru zorunlu, Kurul’a şikâyet ise ihtiyaridir; başvurusu açıkça veya zımnen reddedilen kişi Kurul’a gitmeden doğrudan yargı yoluna başvurabilir. Kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkı da saklıdır (m. 14/3). Kurul’un yetkisi idari yaptırımla sınırlıdır; size tazminat ödenmesine Kurul değil mahkeme karar verir.

Tazminat davası ve Çorlu’da görevli mahkeme

Kanuna aykırı veri işleme kişilik hakkına saldırı niteliğindedir. Dayanak Türk Medeni Kanunu m. 24-25 ile Türk Borçlar Kanunu m. 49 (haksız fiil) ve m. 58’dir (kişilik hakkının zedelenmesi nedeniyle manevi tazminat). Davada saldırının durdurulması, verinin silinmesi gibi sonuçlarının ortadan kaldırılması ve maddi ile manevi tazminat birlikte istenebilir. Görevli mahkeme asliye hukuk mahkemesidir.

Çorlu Adliyesi’nde beş asliye hukuk mahkemesi bulunur. Kişilik hakkı davası davacının kendi yerleşim yerinde de açılabildiğinden (TMK m. 25/5), Çorlu’da oturan kişi İstanbul veya Ankara merkezli bir şirkete karşı davayı Çorlu’da açabilir.

Talep süresi kural olarak zararı ve sorumluyu öğrenmeden itibaren 2 yıl, her hâlde olaydan itibaren 10 yıldır (TBK m. 72). Uyuşmazlık banka hesabı veya GSM aboneliği gibi bir tüketici işleminden doğuyorsa görevli mahkeme ve dava şartı arabuluculuk bakımından ayrıca değerlendirme yapılmalıdır. Manevi tazminat miktarının nasıl belirlendiğini ve maddi zararın ispatını tazminat hukuku sayfamızda anlatıyoruz.

Ceza şikâyeti

Kişisel verileri hukuka aykırı olarak kaydetmek bir yıldan üç yıla (TCK m. 135), başkasına vermek, yaymak veya ele geçirmek iki yıldan dört yıla (m. 136), süresi geçen verileri yok etmemek bir yıldan iki yıla kadar (m. 138) hapis cezası gerektirir. Bu üç suç şikâyete bağlı değildir; savcılık resen soruşturur (m. 139). Kamu görevlisinin görevini kötüye kullanarak veya bir mesleğin sağladığı kolaylıktan yararlanarak işlediği hâllerde ceza yarı oranında artar (m. 137). Sosyal medyada içerik kaldırma, hesap ele geçirme ve bilişim sistemine girme suçlarını bilişim hukuku sayfamızda ayrıntılı olarak ele alıyoruz.

Sık görülen ihlaller

• Rıza vermediğiniz numaraya gelen reklam SMS’leri ve aramalar; ret bildirdiğiniz hâlde süren gönderimler
• Bankanın, GSM operatörünün veya bir mağazanın müşteri bilgisini üçüncü kişiyle paylaşması
• Hastane, eczane veya işyerinde sağlık bilginizin ilgisiz kişilerce öğrenilmesi
• Kamera görüntünüzün sosyal medyada veya mesajlaşma gruplarında paylaşılması
• Eski işverenin iş ilişkisi bittikten sonra verilerinizi gereğinden uzun saklaması veya referans soranlara özlük bilgisi vermesi
• Borcunuz nedeniyle yakınlarınızın ve iş arkadaşlarınızın tahsilat amacıyla aranması
• Site veya apartman yönetiminin aidat borçlularının listesini ortak alanlara asması; Kurul 18.02.2026 tarihli ve 2026/348 sayılı ilke kararıyla bu uygulamanın hukuka uygun bir işleme şartına dayanmadığını açıkladı
• Kasada bir başkasının telefon numarasıyla sadakat kartı indirimi kullanılması (Kurul’un 11.02.2026 tarihli ve 2026/266 sayılı ilke kararı)
• İş veya trafik kazasından sonra, sizin vermediğiniz iletişim bilgileriyle “hasar danışmanlığı” adı altında aranmak; Kurul 20.05.2026 tarihli ve 2026/1095 sayılı ilke kararında bu kişilerin şikâyet edilebileceğini, durumun TCK m. 136 suçunu da oluşturabileceğini belirtti
• Okul, kurs veya spor kulübünün öğrenci fotoğraflarını ve bilgilerini izinsiz yayımlaması
• Adınızla yapılan internet aramasında artık güncelliğini yitirmiş haberlerin çıkması; Kurul’un 23.06.2020 tarihli ve 2020/481 sayılı kararına göre bu tür sonuçların indeksten çıkarılması için önce arama motoruna başvurulur, sonuç alınamazsa Kurul’a şikâyet edilebilir

Sık yapılan hatalar

Şirket tarafında en sık görülen hata, KVKK uyumunu yalnızca bir web sitesi metni ve VERBİS kaydı olarak görmektir. Envanteri gerçek süreçlerle örtüşmeyen, başka şirketten kopyalanmış aydınlatma metni kullanan ve her işlemi açık rızaya bağlayan şirket, ilk şikâyette birden fazla aykırılıkla karşılaşır. Bunlara şu hatalar eklenir:

• İhlali öğrendikten sonra iç incelemenin bitmesini beklemek ve 72 saati kaçırmak
• Yurt dışı sunuculu hizmetleri aktarım olarak görmemek, standart sözleşme imzalamamak ya da imzalayıp 5 iş günü içinde bildirmemek
• İlgili kişi başvurusunu telefonla cevaplamak veya 30 günü geçirmek
• Kurul’un bilgi talebine 15 gün içinde eksik ya da çelişkili belgeyle cevap vermek
• Ceza tebliğ edildikten sonra eski bilgiyle sulh ceza hâkimliğine başvurmak ve idare mahkemesindeki 60 günlük süreyi kaçırmak
• Ayrılan çalışanın e-posta, bulut ve mesajlaşma grubu erişimlerini kapatmamak

Birey tarafında ise en sık hata, veri sorumlusuna başvurmadan doğrudan Kurul’a şikâyet etmek ve bu nedenle şikâyetin incelenmemesidir. Başvurunun tarihini ispatlayamamak, 60 günlük şikâyet süresini kaçırmak ve ihlali gösteren SMS, ekran görüntüsü ve arama kayıtlarını silmek de sık yapılan hatalardır.

Tekirdağ KVKK avukatı ile ilk görüşmeye hazırlık

Şirketler için çalışan sayısı ve son bilanço toplamı, VERBİS kaydı varsa çıktısı, mevcut aydınlatma metinleri ve politikalar, kullanılan yazılım ve bulut hizmetlerinin listesi, tedarikçi sözleşmeleri ve varsa Kurul’dan gelen yazı ile tebliğ tarihi görüşmeyi hızlandırır. Veri ihlali yaşandıysa ihlalin öğrenildiği saat ve o zamandan beri atılan adımlar tarih sırasıyla not edilmelidir.

Bireyler için ihlali gösteren belgeler (SMS, e-posta, ekran görüntüsü, arama kaydı), veri sorumlusuna yapılan başvurunun örneği ve tebliğ belgesi, gelen cevap ve varsa Kurul’a yapılan şikâyetin kaydı yeterlidir. Dosyanızla ilgili bilgi almak için büromuzla iletişime geçebilirsiniz; şirket kuruluşu, ortaklık ve ticari sözleşmeler gibi KVKK dışındaki şirket işleri için şirketler hukuku sayfamıza bakabilirsiniz.