KVKK nedir? 6698 sayılı kanun ve işyerinde uygulaması

KVKK, kişisel verilerin korunmasını düzenleyen temel kanunun kısaltmasıdır ve bugün neredeyse her kurumu doğrudan ilgilendirir. Bir iş yeri, çalışanının kimlik bilgisinden özgeçmişine, sağlık raporundan kamera kaydına kadar sayısız kişisel veri işler; KVKK bu verinin nasıl toplanacağını, kullanılacağını, saklanacağını ve korunacağını belirler. Bu yazı; KVKK’nın ne olduğunu, temel kavramlarını, işleme şartlarını ve iş yerinde nasıl uygulandığını sade bir dille anlatır.

KVKK nedir, ne demek?

KVKK, Kişisel Verilerin Korunması Kanunu’nun kısaltmasıdır. 6698 sayılı bu kanun, 2016 yılında yürürlüğe girmiştir ve kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumayı amaçlar. Aynı zamanda verileri işleyen gerçek ve tüzel kişilerin yükümlülüklerini düzenler.

Kanunun temel mantığı basittir: kişisel veri, sahibinin kontrolünde kalmalıdır. Bir kurum bir kişinin verisini ancak hukuka uygun bir sebebe dayanarak, belirli bir amaçla ve gerektiği kadar işleyebilir. KVKK, bu dengeyi kurumların keyfine bırakmaz; kurallara ve denetime bağlar. Uygulamayı Kişisel Verileri Koruma Kurumu ve Kurulu yürütür.

Temel kavramlar

KVKK’yı anlamak, birkaç temel kavramı anlamaktan geçer. Bu kavramlar, kanunun hemen her maddesinde karşınıza çıkar ve doğru kullanıldığında süreç netleşir.

• Kişisel veri: Kimliği belirli ya da belirlenebilir bir kişiye ilişkin her türlü bilgi (ad, TC no, telefon, e-posta, konum, fotoğraf vb.).
• Özel nitelikli (hassas) veri: Sağlık, din, siyasi görüş, biyometrik ve ceza mahkûmiyeti gibi daha sıkı korunan veriler.
• İlgili kişi: Kişisel verisi işlenen gerçek kişi (örneğin çalışan, müşteri, aday).
• Veri sorumlusu: Verinin işlenme amacını ve yöntemini belirleyen kişi/kurum (genellikle işveren).
• Veri işleyen: Veri sorumlusu adına veriyi işleyen taraf (örneğin bir bulut hizmeti sağlayıcısı).
• Açık rıza: Belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle verilen onay.

Kişisel veri hangi hallerde işlenebilir?

Yaygın bir yanılgı, kişisel veri işlemek için her zaman kişinin açık rızasının gerektiğidir. Oysa KVKK, açık rızayı işleme şartlarından yalnızca biri sayar. Kanunda sayılan diğer haller varsa, açık rıza aranmadan da veri işlenebilir: kanunlarda açıkça öngörülmesi, bir sözleşmenin kurulması/ifası için gereklilik, veri sorumlusunun hukuki yükümlülüğü, bir hakkın tesisi ve veri sorumlusunun meşru menfaati bunlardan bazılarıdır.

Bu ayrım iş yerleri için özellikle önemlidir. Çalışan verilerinin büyük kısmı, açık rızaya değil; iş sözleşmesine, kanuni yükümlülüklere (SGK, vergi) ve meşru menfaate dayanır. Nedeni basittir: iş ilişkisindeki güç dengesizliği, çalışanın rızasının gerçekten “özgür” sayılmasını güçleştirir. Bu yüzden mümkün olduğunca diğer işleme şartlarına dayanmak daha sağlamdır.

Özel nitelikli veriler için kurallar daha sıkıdır ve ek güvenlik önlemleri gerekir. Örneğin bir çalışanın sağlık raporu, ancak sınırlı hallerde ve gereken korumayla işlenebilir. Bu yazı bilgilendirme amaçlıdır; somut durumlarda güncel mevzuatı ve gerekirse hukuk danışmanını esas alın.

KVKK uyumu bir belge işi değil, verinin nerede-neden-ne kadar tutulduğunu bilen bir düzen işidir.

Aydınlatma yükümlülüğü ve açık rıza farkı

KVKK’nın en çok karıştırılan iki kavramı aydınlatma ve açık rızadır. Aydınlatma, verisi işlenen kişiye; kim tarafından, hangi amaçla, hangi hukuki sebeple ve nasıl işlendiğinin anlatılmasıdır. Bu bir yükümlülüktür ve işlemenin hangi şarta dayandığından bağımsız olarak hemen her durumda yapılmalıdır.

Açık rıza ise yalnızca işleme açık rızaya dayandığında alınır. Yani her zaman aydınlatma yaparsınız, ama her zaman açık rıza almazsınız. İkisini aynı belgede birbirine karıştırmak — örneğin aydınlatmayı rıza alır gibi imzalatmak — sık yapılan ve risk doğuran bir hatadır. Ayrıntı için KVKK aydınlatma metni yazısına bakabilirsiniz.

İlgili kişinin hakları

KVKK, verisi işlenen kişiye bir dizi hak tanır ve veri sorumlusunu bu başvuruları yanıtlamakla yükümlü kılar. Kişi; verisinin işlenip işlenmediğini öğrenme, buna ilişkin bilgi talep etme, işleme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme, eksik/yanlış işlenmişse düzeltilmesini, şartlar oluşmuşsa silinmesini ya da yok edilmesini isteme ve zararın giderilmesini talep etme haklarına sahiptir.

Bu hakların işlerliği, kurumun iç süreçlerine bağlıdır. Bir başvuruyu zamanında ve doğru yanıtlayabilmek için verinin nerede, neden ve ne kadar süredir tutulduğunun bilinmesi gerekir. Bu da KVKK uyumunun aslında bir belge işi değil, bir düzen işi olduğunu gösterir.

VERBİS nedir?

VERBİS (Veri Sorumluları Sicil Bilgi Sistemi), belirli kriterleri aşan veri sorumlularının kaydolmak ve veri işleme envanterlerine dayalı bilgileri bildirmek zorunda olduğu bir sicildir. Kayıt yükümlülüğü, çalışan sayısı, yıllık mali bilanço ve işlenen verinin niteliği gibi ölçütlere göre değişir; bazı veri sorumluları istisna kapsamındadır.

VERBİS’e kayıt, uyumun görünür bir adımıdır ama tek başına yeterli değildir. Asıl iş, kaydın arkasındaki gerçek süreçlerin — aydınlatma, güvenlik, saklama ve imha — fiilen işlemesidir. Kayıt yükümlülüğünüzün olup olmadığını güncel kriterlere göre teyit edin.

KVKK’nın temel ilkeleri

KVKK, kişisel verilerin işlenmesinde uyulması gereken bir dizi genel ilke koyar; bu ilkeler, hangi işleme şartına dayanılırsa dayanılsın geçerlidir. Veriler hukuka ve dürüstlük kurallarına uygun işlenmeli, doğru ve güncel tutulmalıdır. İşleme belirli, açık ve meşru bir amaca bağlı olmalı; o amaçla sınırlı ve ölçülü kalmalıdır.

En çok ihmal edilen ilke ise saklama süresidir: veriler, ilgili mevzuatta öngörülen ya da işlendikleri amaç için gerekli olan süre kadar tutulmalı, bu süre dolunca silinmeli, yok edilmeli ya da anonim hale getirilmelidir. “Her ihtimale karşı sonsuza dek saklama” alışkanlığı, bu ilkeye doğrudan aykırıdır.

Bu ilkeleri bir kontrol listesi gibi görmek yararlıdır: her yeni veri işleme süreci başlatılırken “amacım açık mı, bu kadar veriye gerçekten ihtiyacım var mı, ne kadar süre saklayacağım?” sorularını sormak, uyumsuzlukların büyük bölümünü baştan önler. İlkeler soyut gibi görünse de, günlük kararların pusulasıdır.

İş yerinde KVKK uygulaması

Bir iş yeri, çalışanına dair çok sayıda veri işler: özlük dosyası, bordro, SGK bildirimleri, sağlık raporları, kamera kayıtları, giriş-çıkış verileri ve performans kayıtları. Bunların her biri bir amaca ve hukuki sebebe bağlı olmalı, gereğinden fazla veri toplanmamalı ve belirlenen süreler sonunda imha edilmelidir. “Her ihtimale karşı saklayalım” yaklaşımı, KVKK açısından bir risktir.

İşe alım sürecinden işten ayrılışa kadar her aşamada aydınlatma yapılmalı ve hassas veriler ayrıca korunmalıdır. Bordro ve özlük bilgilerinin güvenli iletimi, kamera aydınlatması ve çalışanların haklarını kullanabileceği bir başvuru kanalı; iş yerinde KVKK’nın somut görünümleridir.

Veri güvenliği ve ihlal

KVKK, veri sorumlusuna kişisel verileri hukuka aykırı erişime ve kayba karşı korumak için gerekli teknik ve idari tedbirleri alma yükümlülüğü getirir. Bir veri güvenliği ihlali yaşandığında — örneğin bir sızıntı ya da yetkisiz erişim — bunun Kurula ve etkilenen kişilere bildirilmesi gerekir. İhlalin sonuçları ve cezalar ciddi olabilir.

Veri güvenliği yalnızca bir BT konusu değildir; en sık ihlaller insan hatasından (yanlış kişiye e-posta, oltalamaya kanma) doğar. Bu yüzden teknik önlemlerin yanında çalışan farkındalığı ve bilgi güvenliği kültürü KVKK uyumunun ayrılmaz parçasıdır.

KVKK iletişimini ve kanıtını yönetmek

KVKK uyumunun büyük kısmı iletişim ve kanıttır: aydınlatma metinlerini duyurmak, gereken yerlerde açık rızayı almak, politika güncellemelerini çalışanlara iletmek ve kimin ne zaman okuyup onayladığını belgelemek. “Duyurduk” demek yetmez; göstermek gerekir.

Xanons, KVKK’nın bu iletişim ve kanıt parçalarını tek panelde toplamanızı sağlar: zorunlu okuma akışları, imzalı okundu makbuzu ve denetime hazır dışa aktarım. Platform hukuki metinlerinizi yazmaz; ama onların doğru kişilere ulaştığını ve onaylandığını kanıtlar. Konunun bütünü için İK ve Uyum İletişimi Rehberi.

Sık sorulan sorular

KVKK ne demek? Kişisel Verilerin Korunması Kanunu demektir. 6698 sayılı bu kanun 2016’da yürürlüğe girmiş olup kişisel verilerin işlenmesinde kişilerin temel hak ve özgürlüklerini korur ve veri işleyenlerin yükümlülüklerini düzenler.

Kişisel veri işlemek için her zaman açık rıza gerekir mi? Hayır. Açık rıza işleme şartlarından yalnızca biridir. Kanunda sayılan diğer haller (sözleşme, hukuki yükümlülük, meşru menfaat vb.) varsa açık rıza aranmadan da işleme yapılabilir. İş yerlerinde çalışan verileri genellikle açık rıza dışındaki şartlara dayanır.

Aydınlatma ile açık rıza aynı şey mi? Hayır. Aydınlatma, kişiye verisinin nasıl işlendiğini anlatma yükümlülüğüdür ve hemen her durumda yapılır. Açık rıza ise yalnızca işleme açık rızaya dayandığında alınır. İkisini aynı belgede karıştırmak hatalıdır.

VERBİS’e kayıt zorunlu mu? Belirli kriterleri (çalışan sayısı, mali bilanço, işlenen verinin niteliği) aşan veri sorumluları için zorunludur; bazıları istisna kapsamındadır. Güncel kriterleri resmi kaynaktan teyit edin.