# KVKK ve Veri Koruma Hukuku Süreçlerinde Müvekkillerde Gördüğümüz Tipik Hatalar
KVKK dosyalarında büroya gelen taleplerin büyük bölümü, aslında sürecin en başında yapılan küçük ama kritik hatalardan kaynaklanıyor. Veri sorumlusu sıfatına sahip şirketlerin çoğu, aydınlatma metnini web sitesine koymakla ya da VERBİS kaydını yaptırmakla yükümlülüklerini tamamladığını sanıyor. Oysa kişisel verilerin işlenmesi dinamik bir süreç; yapılan tek seferlik işlemler, Kurul incelemelerinde ve tazminat davalarında belirleyici olmuyor. Uygulamada aynı hataları düzenli olarak görüyoruz. Bu yazıda, dosyalarda karşılaştığımız tipik yanlışları, hangi somut süreçlerde ortaya çıktıklarını ve nasıl önlenebileceklerini aktarmak istiyoruz.
## 1. Aydınlatma Yükümlülüğünü “Formalite” Olarak Görmek
Müvekkillerimizin en sık düştüğü ilk hata, aydınlatma yükümlülüğünü yalnızca bir metin yayınlamaktan ibaret sanmak. Hâlbuki KVKK’nın 10. maddesi uyarınca veri sorumlusu, kişisel verileri elde ettiği anda veri sahibini bilgilendirmekle yükümlü. Bu bilgilendirme, sözleşme şartları arasında kaybolmuş bir maddeyle ya da siteye eklenen genel bir metinle yerine getirilmiş olmuyor.
Pratikte çok gördüğümüz bir örnek: Şirketler, müşterinin onayını tek bir tıklamayla alıp sözleşmenin 12. maddesine serpiştirilmiş aydınlatma hükümlerine dayanıyor. İnceleme başladığında ya da tüketici mahkemesinde delil olarak sunulduğunda, bu metinlerin açık ve anlaşılır olmadığı gerekçesiyle geçersiz kabul edilebiliyor. Özellikle aydınlatma yükümlülüğünün açık rıza ile karıştırılması da ayrı bir sorun. Aydınlatma, rıza almanın ön koşulu; açık rıza ise işleme şartlarından yalnızca biri. Bu ikisini tek metinde birleştiren şirketler, hem bilgilendirme yükümlülüğünü hem de rızanın geçerliliğini riske atıyor.
Dosyalarda gördüğümüz çözüm, aydınlatma metninin kişisel veri işleme envanteri ile birebir uyumlu olması. Hangi veri kategorisinin hangi amaçla işlendiği, aktarılıyorsa kimlere aktarıldığı ve hukuki dayanağı tek tek gösteren metinler, hem Kurul süreçlerinde hem yargıda çok daha güçlü bir savunma aracı hâline geliyor.
## 2. Açık Rızayı “Genel Onay Kutusuna” Sıkıştırmak
Açık rıza, KVKK’nın en çok tartışılan kavramlarından biri. Kanun metninde “belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza” olarak tanımlanıyor. Ancak pratikte bu şartların çoğu karşılanmıyor.
Müvekkillerimizde gördüğümüz tipik hata, açık rızayı “Evet, [şirket] ile iletişime geçilmesini ve pazarlama faaliyeti yapılmasını kabul ediyorum” şeklinde genel bir kutudan ibaret tutmak. Bu tarz bir onay, Türk hukukunda “belirli bir konuya ilişkin” olmaktan uzak. Rıza metninde hangi verilerin, hangi amaçla, ne kadar süreyle işleneceği ve bu işlemenin kapsamı açıkça yer almalı. Ayrıca rızanın istendiği an ile veri işleme faaliyeti arasında doğrudan bir bağlantı olmalı.
Bir diğer sorun da rızanın geri alınabilirliğinin göz ardı edilmesi. Veri sahibi rızasını geri aldığında, şirketlerin bu talebi işleme koymak yerine “sözleşmenin gereği” diyerek işlemeye devam ettiğini görüyoruz. Rızanın geri alınması, veri sorumlusunun diğer meşru hukuki dayanakları varsa veri işlemeye engel değildir; ancak yalnızca rızaya dayanılarak yürütülen bir faaliyet açısından bu talebin dikkate alınmaması, idari para cezasına kadar uzanan sonuçlar doğuruyor.
## 3. VERBİS Kaydını Güncellememek
VERBİS’e kayıt, birçok şirket için “başvuruyu yaptım, iş tamam” algısıyla bitiyor. Ancak VERBİS yükümlülüğü süreklidir. Veri sorumlusunun işlediği kişisel veri kategorisi değiştiğinde, yeni bir alıcı grubuna aktarım başladığında ya da işleme amacı genişlediğinde, bu değişikliklerin VERBİS’e derhâl işlenmesi gerekiyor.
Uygulamada karşımıza çıkan tipik görünüm şu: Şirket, müşteri verisini işlerken daha sonra insan kaynakları süreçlerinde de aynı veri tabanını kullanıyor ve bu durumu VERBİS’e yansıtmıyor. Yapılan denetimde, kayıtlı envanter ile fiili işleme faaliyeti arasındaki fark tespit edildiğinde “eksik bildirim” gerekçesiyle yaptırım uygulanabiliyor. Bu yaptırımın hukuki dayanağını tartışmak yerine, müvekkillerimize önerimiz şu: Her yılın başında envanter gözden geçirilmeli ve hangi veri kategorisinin hangi süreçte kullanıldığı yeniden eşleştirilmeli. Ayrıca yeni bir veri işleme faaliyetine başlanmadan önce VERBİS bildiriminin yapılması, sonradan düzeltmeye göre çok daha az maliyetlidir.
## 4. Veri İhlali Bildiriminde Zaman ve İçerik Hataları
KVKK’nın 12. maddesi, işlenen kişisel verilerin kanuna aykırı olarak işlenmesini önlemek, üçüncü kişiler tarafından yetkisiz erişimini engellemek ve hukuka aykırı işleme faaliyetlerini tespit etmek için gerekli teknik ve idari tedbirleri alma yükümlülüğü getiriyor. Bu tedbirlere rağmen bir ihlal meydana gelirse, veri sorumlusunun bunu “mümkün olan en kısa sürede” Kurula bildirmesi gerekiyor. Yönetmelik bu süreyi 72 saat olarak öngörüyor.
Pratikte en büyük hata, 72 saati bir “kesin süre” olarak görmek yerine, “ihlali öğrendikten sonra” hukuk müşavirine danışıp süreci uzatarak bildirimi geç yapmak. Sürenin başlangıcı, ihlalin öğrenildiği an; bu anın tespiti dosyalarda ciddi uyuşmazlık yaratıyor. Çoğu şirket, siber saldırıyı fark ettiği hâlde “henüz etki analizi yapmadık, ne olduğunu tam bilmiyoruz” gerekçesiyle bildirimi erteliyor. Oysa 72 saatlik süre, ihlalin tam olarak aydınlatılması için tanınmış bir süre değildir; ilk bildirimin yapılması için tanınmış azami sınırdır. İlk bildirimden sonra detaylı bilgi Kurula ek beyanlarla iletilebilir.
Bildirimin içeriği de en az zamanlama kadar önemli. Etkilenen kişi sayısı, ihlalin muhtemel sonuçları, alınan tedbirler ve kişi sayısının tespit edilememesi durumunda bunun gerekçesi gibi unsurlar eksik olduğunda, Kurul bu bildirimi “eksik” kabul edip ayrıca yaptırım uygulayabiliyor. İhlal bildiriminde en sık yapılan ikinci hata ise, etkilenen veri sahiplerine bildirim yapılmaması. Kurul, ihlal sonucunda gerçek kişilerin zarar görebileceği kanaatine varırsa bu bildirimin yapılmasına karar verebiliyor; ancak şirketler genellikle yalnızca Kurula bildirimle yetinip veri sahiplerini bilgilendirmiyor.
## 5. Saklama ve İmha Süreçlerini Uygulamaya Geçirememek
Kişisel verilerin işlendikleri amaçla sınırlı olarak saklanması ve kanuni süreler sona erdiğinde imha edilmesi, KVKK’nın temel ilkelerinden biri. Bu yükümlülük yalnızca bir “imha politikası” hazırlamakla yerine getirilmiyor. Şirketlerin büyük bölümünde saklama süreleri tablosu mevcut; ancak bu tablolar operasyonel süreçlere entegre edilmediği için kağıt üzerinde kalıyor.
Dosyalarda gördüğümüz tipik olgu: Bir şirket, 5 yıl boyunca müşteri verilerini arşivliyor; oysa ilgili mevzuat gereği 3 yıl sonra imha etmesi gerekiyor. Ya da tam tersi, kanuni bir düzenleme gereği 10 yıl saklaması gereken bir belgeyi, “KVKK gereği” diyerek 2 yılın sonunda imha ediyor. İmha yükümlülüğü, ilgili mevzuattaki saklama süreleriyle birlikte değerlendirilmeli. Aksi hâlde şirket, hem veri koruma mevzu
KVKK dosyalarında büroya gelen taleplerin büyük bölümü, aslında sürecin en başında yapılan küçük ama kritik hatalardan kaynaklanıyor. Veri sorumlusu sıfatına sahip şirketlerin çoğu, aydınlatma metnini web sitesine koymakla ya da VERBİS kaydını yaptırmakla yükümlülüklerini tamamladığını sanıyor. Oysa kişisel verilerin işlenmesi dinamik bir süreç; yapılan tek seferlik işlemler, Kurul incelemelerinde ve tazminat davalarında belirleyici olmuyor. Uygulamada aynı hataları düzenli olarak görüyoruz. Bu yazıda, dosyalarda karşılaştığımız tipik yanlışları, hangi somut süreçlerde ortaya çıktıklarını ve nasıl önlenebileceklerini aktarmak istiyoruz.
## 1. Aydınlatma Yükümlülüğünü “Formalite” Olarak Görmek
Müvekkillerimizin en sık düştüğü ilk hata, aydınlatma yükümlülüğünü yalnızca bir metin yayınlamaktan ibaret sanmak. Hâlbuki KVKK’nın 10. maddesi uyarınca veri sorumlusu, kişisel verileri elde ettiği anda veri sahibini bilgilendirmekle yükümlü. Bu bilgilendirme, sözleşme şartları arasında kaybolmuş bir maddeyle ya da siteye eklenen genel bir metinle yerine getirilmiş olmuyor.
Pratikte çok gördüğümüz bir örnek: Şirketler, müşterinin onayını tek bir tıklamayla alıp sözleşmenin 12. maddesine serpiştirilmiş aydınlatma hükümlerine dayanıyor. İnceleme başladığında ya da tüketici mahkemesinde delil olarak sunulduğunda, bu metinlerin açık ve anlaşılır olmadığı gerekçesiyle geçersiz kabul edilebiliyor. Özellikle aydınlatma yükümlülüğünün açık rıza ile karıştırılması da ayrı bir sorun. Aydınlatma, rıza almanın ön koşulu; açık rıza ise işleme şartlarından yalnızca biri. Bu ikisini tek metinde birleştiren şirketler, hem bilgilendirme yükümlülüğünü hem de rızanın geçerliliğini riske atıyor.
Dosyalarda gördüğümüz çözüm, aydınlatma metninin kişisel veri işleme envanteri ile birebir uyumlu olması. Hangi veri kategorisinin hangi amaçla işlendiği, aktarılıyorsa kimlere aktarıldığı ve hukuki dayanağı tek tek gösteren metinler, hem Kurul süreçlerinde hem yargıda çok daha güçlü bir savunma aracı hâline geliyor.
## 2. Açık Rızayı “Genel Onay Kutusuna” Sıkıştırmak
Açık rıza, KVKK’nın en çok tartışılan kavramlarından biri. Kanun metninde “belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza” olarak tanımlanıyor. Ancak pratikte bu şartların çoğu karşılanmıyor.
Müvekkillerimizde gördüğümüz tipik hata, açık rızayı “Evet, [şirket] ile iletişime geçilmesini ve pazarlama faaliyeti yapılmasını kabul ediyorum” şeklinde genel bir kutudan ibaret tutmak. Bu tarz bir onay, Türk hukukunda “belirli bir konuya ilişkin” olmaktan uzak. Rıza metninde hangi verilerin, hangi amaçla, ne kadar süreyle işleneceği ve bu işlemenin kapsamı açıkça yer almalı. Ayrıca rızanın istendiği an ile veri işleme faaliyeti arasında doğrudan bir bağlantı olmalı.
Bir diğer sorun da rızanın geri alınabilirliğinin göz ardı edilmesi. Veri sahibi rızasını geri aldığında, şirketlerin bu talebi işleme koymak yerine “sözleşmenin gereği” diyerek işlemeye devam ettiğini görüyoruz. Rızanın geri alınması, veri sorumlusunun diğer meşru hukuki dayanakları varsa veri işlemeye engel değildir; ancak yalnızca rızaya dayanılarak yürütülen bir faaliyet açısından bu talebin dikkate alınmaması, idari para cezasına kadar uzanan sonuçlar doğuruyor.
## 3. VERBİS Kaydını Güncellememek
VERBİS’e kayıt, birçok şirket için “başvuruyu yaptım, iş tamam” algısıyla bitiyor. Ancak VERBİS yükümlülüğü süreklidir. Veri sorumlusunun işlediği kişisel veri kategorisi değiştiğinde, yeni bir alıcı grubuna aktarım başladığında ya da işleme amacı genişlediğinde, bu değişikliklerin VERBİS’e derhâl işlenmesi gerekiyor.
Uygulamada karşımıza çıkan tipik görünüm şu: Şirket, müşteri verisini işlerken daha sonra insan kaynakları süreçlerinde de aynı veri tabanını kullanıyor ve bu durumu VERBİS’e yansıtmıyor. Yapılan denetimde, kayıtlı envanter ile fiili işleme faaliyeti arasındaki fark tespit edildiğinde “eksik bildirim” gerekçesiyle yaptırım uygulanabiliyor. Bu yaptırımın hukuki dayanağını tartışmak yerine, müvekkillerimize önerimiz şu: Her yılın başında envanter gözden geçirilmeli ve hangi veri kategorisinin hangi süreçte kullanıldığı yeniden eşleştirilmeli. Ayrıca yeni bir veri işleme faaliyetine başlanmadan önce VERBİS bildiriminin yapılması, sonradan düzeltmeye göre çok daha az maliyetlidir.
## 4. Veri İhlali Bildiriminde Zaman ve İçerik Hataları
KVKK’nın 12. maddesi, işlenen kişisel verilerin kanuna aykırı olarak işlenmesini önlemek, üçüncü kişiler tarafından yetkisiz erişimini engellemek ve hukuka aykırı işleme faaliyetlerini tespit etmek için gerekli teknik ve idari tedbirleri alma yükümlülüğü getiriyor. Bu tedbirlere rağmen bir ihlal meydana gelirse, veri sorumlusunun bunu “mümkün olan en kısa sürede” Kurula bildirmesi gerekiyor. Yönetmelik bu süreyi 72 saat olarak öngörüyor.
Pratikte en büyük hata, 72 saati bir “kesin süre” olarak görmek yerine, “ihlali öğrendikten sonra” hukuk müşavirine danışıp süreci uzatarak bildirimi geç yapmak. Sürenin başlangıcı, ihlalin öğrenildiği an; bu anın tespiti dosyalarda ciddi uyuşmazlık yaratıyor. Çoğu şirket, siber saldırıyı fark ettiği hâlde “henüz etki analizi yapmadık, ne olduğunu tam bilmiyoruz” gerekçesiyle bildirimi erteliyor. Oysa 72 saatlik süre, ihlalin tam olarak aydınlatılması için tanınmış bir süre değildir; ilk bildirimin yapılması için tanınmış azami sınırdır. İlk bildirimden sonra detaylı bilgi Kurula ek beyanlarla iletilebilir.
Bildirimin içeriği de en az zamanlama kadar önemli. Etkilenen kişi sayısı, ihlalin muhtemel sonuçları, alınan tedbirler ve kişi sayısının tespit edilememesi durumunda bunun gerekçesi gibi unsurlar eksik olduğunda, Kurul bu bildirimi “eksik” kabul edip ayrıca yaptırım uygulayabiliyor. İhlal bildiriminde en sık yapılan ikinci hata ise, etkilenen veri sahiplerine bildirim yapılmaması. Kurul, ihlal sonucunda gerçek kişilerin zarar görebileceği kanaatine varırsa bu bildirimin yapılmasına karar verebiliyor; ancak şirketler genellikle yalnızca Kurula bildirimle yetinip veri sahiplerini bilgilendirmiyor.
## 5. Saklama ve İmha Süreçlerini Uygulamaya Geçirememek
Kişisel verilerin işlendikleri amaçla sınırlı olarak saklanması ve kanuni süreler sona erdiğinde imha edilmesi, KVKK’nın temel ilkelerinden biri. Bu yükümlülük yalnızca bir “imha politikası” hazırlamakla yerine getirilmiyor. Şirketlerin büyük bölümünde saklama süreleri tablosu mevcut; ancak bu tablolar operasyonel süreçlere entegre edilmediği için kağıt üzerinde kalıyor.
Dosyalarda gördüğümüz tipik olgu: Bir şirket, 5 yıl boyunca müşteri verilerini arşivliyor; oysa ilgili mevzuat gereği 3 yıl sonra imha etmesi gerekiyor. Ya da tam tersi, kanuni bir düzenleme gereği 10 yıl saklaması gereken bir belgeyi, “KVKK gereği” diyerek 2 yılın sonunda imha ediyor. İmha yükümlülüğü, ilgili mevzuattaki saklama süreleriyle birlikte değerlendirilmeli. Aksi hâlde şirket, hem veri koruma mevzu
Önemli Not
Yalnızca genel bilgilendirme amacı taşır; kesin hukuki görüş, tavsiye veya yönlendirme olarak değerlendirilmemelidir.
Her somut olay farklıdır. Hukuki bir karar vermeden önce mutlaka avukat desteği alın.