KOBİ'ler İçin KVKK: Önce Yapılması Gereken Adımlar
KOBİ'ler KVKK uyumuna nereden başlamalı? Veri envanteri, hukuki dayanak, aydınlatma, güvenlik ve VERBİS dahil öncelikli adımlar ve güncel ceza tutarları.
Bir KOBİ'nin KVKK uyumuna atması gereken ilk adım, hangi kişisel verileri hangi amaçla işlediğini yazılı olarak tespit etmek, yani veri envanteri çıkarmaktır. 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında çalışan bordroları, müşteri kayıtları, tedarikçi iletişim bilgileri, kamera görüntüleri ve web sitesi çerezleri dahil işlediğiniz her veri kategorisini; işleme amacını, hukuki dayanağını, saklama süresini ve verinin kimlerle paylaşıldığını listelemeniz gerekir. Envanter olmadan aydınlatma metni, saklama politikası veya güvenlik tedbiri doğru kurgulanamaz. Bu nedenle diğer bütün adımların temeli budur.
Envanterden sonraki adım, her işleme faaliyeti için hukuki dayanağı netleştirmektir. Kanunun 5. maddesi, kişisel verilerin açık rıza dışında da işlenebileceği halleri sayar: bir kanunda açıkça öngörülmesi, sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi, ilgili kişinin kendisi tarafından alenileştirilmiş olması, bir hakkın tesisi veya korunması için zorunlu olması ve temel hak ve özgürlüklere zarar vermemek kaydıyla meşru menfaat. Örneğin çalışanın SGK bildirimi hukuki yükümlülüğe, müşteriye fatura kesmek sözleşmenin ifasına dayanır. Bunlar için ayrıca açık rıza almak hem gereksiz hem de yanlıştır. Rızaya dayanılan yerlerde ise dayanağın gerçekten rıza olması gerekir.
Açık rızayı yalnızca başka bir hukuki sebep bulunmayan durumlar için saklayın. Kanunun 3. maddesi açık rızayı, belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan onay olarak tanımlar. Bu üç unsur pratikte şu anlama gelir: rıza tek bir işlem için alınmalı, önceden işaretlenmiş kutucuklarla veya hizmet şartı haline getirilerek zorlanmamalı ve her an geri alınabilmelidir. Özellikle çalışanlardan alınan rızalar, aradaki bağımlılık ilişkisi nedeniyle Kurul tarafından çoğu zaman özgür irade koşulunu taşımaz kabul edilir. Bu yüzden istihdam ilişkisinde mümkün olduğunca rıza dışı dayanaklara başvurulmalıdır.
Dördüncü adım, aydınlatma yükümlülüğünü yerine getiren metinleri hazırlamaktır. Kanunun 10. maddesi ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca, kişisel veri elde edilmeden önce veya elde edildiği sırada ilgili kişiye veri sorumlusunun kimliği, verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile 11. maddedeki hakları bildirilmelidir. Aydınlatma, açık rızadan ayrı bir yükümlülüktür ve rıza alınıp alınmadığına bakılmaksızın her işleme faaliyetinde yerine getirilmelidir. KOBİ'lerin çalışan, müşteri, ziyaretçi ve internet sitesi için ayrı ayrı aydınlatma metinlerine ihtiyacı olur.
İlgili kişi başvurularını yönetecek bir mekanizma kurmak beşinci adımdır. Kanunun 11. maddesi ilgili kişiye; verilerinin işlenip işlenmediğini öğrenme, düzeltme, silme ve aktarıldığı üçüncü kişileri bilme gibi haklar tanır. 13. madde ise veri sorumlusunun başvuruyu en geç otuz gün içinde sonuçlandırmasını zorunlu kılar. Başvuruların hangi kanaldan geleceği (e-posta, KEP, yazılı dilekçe) belirlenmeli, gelen talepler kayıt altına alınmalı ve süresinde yanıtlanmalıdır. Başvuruyu yanıtsız bırakmak, ilgili kişinin Kurul'a şikayetine ve idari yaptırıma yol açar.
Altıncı adım, verileri sonsuza kadar tutmamak için bir saklama ve imha politikası oluşturmaktır. Kanunun 7. maddesi, işleme sebebi ortadan kalktığında verilerin silinmesini, yok edilmesini veya anonim hale getirilmesini öngörür. Her veri kategorisi için bir saklama süresi belirleyin (örneğin özlük dosyaları için ilgili iş mevzuatındaki süreler), süre dolduğunda verilerin nasıl imha edileceğini yazılı hale getirin ve periyodik imha işlemlerini kayıt altına alın. VERBİS'e kayıt yükümlülüğü olan veri sorumlularının ayrıca Kişisel Veri Saklama ve İmha Politikası hazırlaması zorunludur.
Yedinci adım, Kanunun 12. maddesindeki veri güvenliği tedbirlerini almaktır. Bu tedbirler teknik ve idari olmak üzere iki başlıkta değerlendirilir. Teknik tarafta erişim yetkilerinin kişiye özel tanımlanması, şifreleme, güncel antivirüs ve güvenlik duvarı, log kayıtları ve yedekleme yer alır. İdari tarafta ise çalışanlarla gizlilik taahhütnamesi imzalanması, düzenli farkındalık eğitimleri, veri işleyenlerle (muhasebeci, bulut sağlayıcı, kargo firması gibi) yazılı sözleşme yapılması ve kimin hangi veriye ne amaçla eriştiğinin denetlenebildiği bir düzenin kurulması gerekir. Bir veri ihlali yaşandığında Kurul'a en kısa sürede bildirim yapılması da bu maddenin kapsamındadır.
Yurt dışına veri aktaran KOBİ'ler için ek bir adım vardır. 1 Haziran 2024'te yürürlüğe giren değişiklikle Kanunun 9. maddesi yeniden düzenlendi. Artık yurt dışı aktarım; ancak Kurul'un yeterlilik kararı, uygun güvencelerden birinin varlığı (standart sözleşme, bağlayıcı şirket kuralları, taahhütname veya kamu kurumları arasındaki sözleşmeler) ya da maddedeki istisnai hallerden biriyle mümkündür. Kurum'un yayımladığı standart sözleşme metinleri üzerinde değişiklik yapılamaz ve imzalanan standart sözleşmenin, imzadan itibaren beş iş günü içinde Kurum'a bildirilmesi zorunludur. Yurt dışı sunucu, e-posta veya bulut hizmeti kullanan pek çok KOBİ bu kapsama girer.
VERBİS kaydı için önce muafiyet durumunuzu kontrol edin. Yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı belirli bir tutarın altında olan, ana faaliyet konusu özel nitelikli veri işlemek olmayan veri sorumluları VERBİS'e kayıttan istisna tutulmuştur. Kurul, 4 Eylül 2025 tarihli kararıyla ana faaliyeti özel nitelikli veri işlemek olan işletmeler için de daha düşük eşiklerle yeni bir istisna getirdi. Ancak kritik nokta şudur: VERBİS muafiyeti, KVKK uyumundan muafiyet değildir. Muaf olsanız bile envanter, aydınlatma, güvenlik ve ilgili kişi başvurusu yükümlülükleriniz aynen devam eder; muafiyet yalnızca Sicile kayıt ve bildirim yükümlülüğünü kaldırır.
Bu adımların ihmali soyut bir risk değildir. 2025 yılında aydınlatma yükümlülüğünün ihlalinde idari para cezası yaklaşık 68 bin TL'den başlayıp 1,3 milyon TL'ye kadar, veri güvenliği yükümlülüklerinin ihlalinde ise yaklaşık 204 bin TL'den başlayıp 13,6 milyon TL'ye kadar uygulanabilmektedir. Bu tutarlar her yıl yeniden değerleme oranıyla artmaktadır. Kurul cezayı çoğunlukla bir ilgili kişi şikayeti veya veri ihlali bildirimi üzerine gündeme alır; dolayısıyla küçük ölçekli olmak denetim dışı kalmayı garanti etmez. Doğru sıralama şudur: envanter, hukuki dayanak, rıza, aydınlatma, başvuru yönetimi, saklama ve imha, güvenlik, gerekliyse yurt dışı aktarım ve VERBİS.
İşletmenizin hangi adımda olduğunu ve öncelikli açıklarınızı görmek için KVKK Danışman'ın ücretsiz ön değerlendirmesinden yararlanabilirsiniz. Kısa bir görüşmeyle mevcut durumunuzu değerlendirir, envanter ve aydınlatma başta olmak üzere ilk adımlar için somut bir yol haritası çıkarırız.