KVKK ve Veri Koruma Hukuku Dosyalarında Uygulamada Sık Karşılaştığımız Hukuki Riskler (2026)

Büromuzun veri koruma pratiğinde, özellikle 2026 yılının ilk yarısında, müvekkil şirketlerin yalnızca Kurul kararlarına değil, doğrudan ceza mahkemelerine ve hukuk davalarına konu olan süreçlere sürüklendiğini gözlemliyoruz. Artık dosyalarımızın önemli bir kısmı, Veri Sorumluları Sicil Bilgi Sistemi'ne (VERBİS) kayıt yaptırmış ancak operasyonel süreçlerini bu kayıtlarla uyumlu hale getirememiş şirketlerden oluşuyor. Bu yazıda, saha deneyimlerimizden süzülen ve sıklıkla karşılaştığımız hukuki riskleri, tipik hataları ve dava süreçlerindeki pratik zorlukları aktarmaya çalışacağız.

1. Aydınlatma Yükümlülüğünün "Kâğıt Üzerinde" Kalması ve İspat Sorunu

Müvekkillerimizle ilk toplantıda gördüğümüz en büyük yanılgı, aydınlatma metninin web sitesine eklenmesinin veya sözleşmenin bir maddesi haline getirilmesinin yeterli olduğunun düşünülmesidir. Oysa uygulamada, özellikle iş hukuku kaynaklı uyuşmazlıklarda, işçinin iş sözleşmesini imzalarken aydınlatma metnini görüp görmediği, hatta metnin hangi veri kategorilerini kapsadığı mahkeme tarafından doğrudan sorgulanmaktadır.

Bir işe iade davasında, işveren vekili olarak sunduğumuz savunmada, işçinin işe girişte imzaladığı geniş kapsamlı aydınlatma metnini delil olarak gösterdik. Ancak mahkeme, metnin işçinin fiilen kullandığı dijital sistemde (örneğin e-posta veya personel yazılımı) kayıtlı olup olmadığını, işçinin bu metne erişim sağlayıp sağlayamadığını sordu. İşverenin metni yalnızca İK birimindeki fiziksel dosyada saklaması, ispat açısından yetersiz kaldı. Bu durum, aydınlatmanın yalnızca hukuki bir formalite değil, aynı zamanda bir ispat aracı olduğunu ve süreçlerin dijital ortamda izlenebilir şekilde kurgulanması gerektiğini bir kez daha gösterdi.

2. Açık Rızanın Geçerliliği ve "Zorunlu" Rıza Uygulamaları

2026 yılında en çok tartıştığımız konulardan biri, açık rızanın hukuka uygunluk sebebi olarak kullanılmasındaki özensizliktir. Özellikle insan kaynakları süreçlerinde, işverenlerin işçiden aldığı "açık rıza" metinlerinin, iş sözleşmesinin imzalanmasıyla eş zamanlı ve zorunlu bir koşul olarak sunulması, rızanın özgür iradeye dayanmadığı iddialarını gündeme getirmektedir.

Bir perakende şirketinin müşteri verilerini pazarlama amacıyla kullanması üzerine açılan bir tazminat davasında, şirketin satış noktasında müşteriden aldığı rıza metninin, üyelik sözleşmesinin ayrılmaz bir parçası olarak konumlandırıldığını tespit ettik. Müşteri, üye olmak istediğinde rıza metnini reddetme şansının olmadığını, aksi halde üyelik işleminin tamamlanamadığını beyan etti. Mahkeme, bu durumda rızanın "açık" olmakla birlikte "özgür iradeye dayanmadığı" gerekçesiyle, şirketin pazarlama faaliyetlerini hukuka aykırı buldu. Bu karar, rıza metinlerinin hazırlanmasında, metnin sunulduğu ortamın ve alternatif sunulup sunulmadığının (örneğin, rıza verilmeden de hizmetin sunulması) kritik önemde olduğunu ortaya koymaktadır.

3. Veri Sorumlusu ile Veri İşleyen Arasındaki Sözleşmelerin Eksikliği

Uygulamada sıklıkla karşılaştığımız bir diğer risk, veri sorumlusu ile veri işleyen arasında imzalanan sözleşmelerin, KVKK'nın 12. maddesinde düzenlenen veri güvenliğine ilişkin yükümlülükleri somut olarak içermemesidir. Çoğu zaman bu sözleşmeler, genel hizmet sözleşmesinin bir parçası olarak tek bir maddeyle geçiştirilmekte veya yalnızca "taraflar KVKK'ya uyacaktır" şeklinde genel bir beyanla sınırlandırılmaktadır.

Bir yazılım firmasının müşterisi olan sağlık kuruluşunun verilerinin, firmanın yurt dışındaki sunucularında işlenmesi nedeniyle doğan bir uyuşmazlıkta, sözleşmede veri işleyenin alt işleyen kullanıp kullanamayacağı, kullanacaksa hangi koşullarda kullanabileceği, veri ihlali durumunda bildirim yükümlülüğünün süresi ve kapsamı gibi hususların hiçbirinin düzenlenmediğini gördük. Bu eksiklik, hem idari para cezası sürecinde hem de hukuk davasında, sorumluluğun paylaştırılmasını son derece güçleştirdi. Sözleşmelerin, veri kategorilerini, işleme amaçlarını, saklama sürelerini ve güvenlik önlemlerini açıkça tanımlaması gerektiğini her dosyada yeniden deneyimliyoruz.

4. İmha Süreçlerinin İşletilmemesi ve "Saklama Süresi" Kavramının Yanlış Yorumlanması

Müvekkil şirketlerin en çok zorlandığı konulardan biri, mevzuatta öngörülen veya ticari teamüllere göre belirlenen saklama sürelerinin dolmasının ardından verilerin imha edilmemesidir. Şirketler, olası bir ticari uyuşmazlıkta delil olarak kullanabilme endişesiyle, süresi dolan verileri "bir ihtimal" gerekçesiyle tutmaya devam etmektedir. Bu durum, veri minimizasyonu ilkesine aykırılık teşkil etmekte ve Kurul nezdinde yapılan denetimlerde veya şikayetlerde ağır bir ihlal olarak değerlendirilmektedir.

Bir lojistik firmasında yapılan iç denetimde, 2018 yılına ait eski müşteri sipariş kayıtlarının, ticari defter saklama süreleri çoktan dolmasına rağmen aktif veri tabanında tutulduğunu tespit ettik. Firma yöneticileri, bu verilerin olası bir alacak davasında işlerine yarayabileceğini düşünüyordu. Ancak bu yaklaşım, hem KVKK kapsamında idari para cezası riskini artırmakta hem de veri ihlali durumunda etkilenecek kişi sayısını ve dolayısıyla zararın boyutunu büyütmektedir. Saklama sürelerinin tespitinde yalnızca ilgili mevzuata değil, aynı zamanda şirketin fiili ihtiyaçlarına ve Kurul'un konuya ilişkin rehber kararlarına da bakılması gerektiğini savunuyoruz.

5. Veri İhlali Bildiriminin Geç Yapılması ve Kriz Yönetimi Eksikliği

Veri ihlali durumunda, KVKK'nın 12. maddesi uyarınca Kurul'a ve ilgili kişiye bildirim yapılması zorunluluğu bulunmaktadır. Ancak uygulamada, ihlalin tespit edilmesinden Kurul'a bildirim yapılmasına kadar geçen süreçte ciddi aksaklıklar yaşanmaktadır. Şirketlerin bilişim birimleri, ihlali tespit ettiklerinde öncelikle kendi içlerinde "durumu kurtarmaya" çalışmakta, hukuk birimine veya dış danışmana geç bilgi aktarmaktadır. Bu gecikme, hem idari yaptırım riskini artırmakta hem de ilgili kişilerin mağduriyetinin büyümesine neden olmaktadır.

Bir e-ticaret platformunda yaşanan veri sızıntısında, şirketin bilişim ekibi ihlali tespit ettikten sonra yaklaşık 10 gün boyunca kendi başına müdahale etmeye çalışmış, bu süre zarfında Kurul'a bildirimde bulunulmamıştı. İhlalin boyutunun büyümesi ve müşteri şikayetlerinin artması üzerine büromuza başvurulduğunda, gecikmenin hukuki izahı neredeyse imkansızdı. Bu tür durumlarda, şirketlerin bir "veri ihlali müdahale planı" oluşturması ve bu planın bir parçası olarak hukuk danışmanına derhal haber verilmesi gerektiğini artık tüm müvekkillerimize özellikle tavsiye ediyoruz.

Sonuç Yerine: Pratik Öneriler

KVKK dosyalarında gördüğümüz risklerin ortak noktası, çoğu zaman mevzuatın bilinmemesinden değil, bilinen kuralların operasyonel süreçlere doğru şekilde aktarılamamasından kaynaklanmasıdır. Aydınlatma metinlerinin dijital ortamda izlenebilir olması, açık rızanın özgür iradeye dayanacak şekilde kurgulanması, veri işleyen sözleşmelerinin detaylandırılması ve imha süreçlerinin takvime bağlanması, dosyalarımızda en çok üzerinde durduğumuz başlıklardır.

Veri koruma hukuku, yalnızca bir uyum süreci değil; aynı zamanda şirketlerin itibarını, müşteri sadakatini ve olası hukuki sorumluluklarını doğrudan etkileyen stratejik bir alandır. Bu nedenle, süreçlerin yalnızca kağıt üzerinde değil, fiilen işletildiğinden emin olunması ve düzenli aralıklarla iç denetimler yapılması, karşılaşılabilecek hukuki risklerin minimize edilmesinde en etkili yöntem olarak öne çıkmaktadır. Hukuki süreçlerde profesyonel destek almak, yalnızca uyuşmazlık anında değil, bu tür risklerin doğmasını engellemek adına da büyük önem taşımaktadır.