KVKK Uyum Süreci: Adım Adım Yol Haritası 2026

6698 sayılı Kişisel Verilerin Korunması Kanunu'na uyum süreci sırasıyla altı temel adımdan oluşur: kişisel veri envanterinin çıkarılması, her işleme faaliyeti için hukuki dayanağın belirlenmesi, aydınlatma yükümlülüğünün yerine getirilmesi (gereken hallerde açık rızanın ayrıca alınması), Veri Sorumluları Sicili'ne (VERBİS) kayıt, 12. madde kapsamında idari ve teknik tedbirlerin uygulanması ve kişisel veri saklama ile imha politikasının oluşturulması. Bu adımlar tek seferlik bir proje değil, sürekli işletilmesi gereken bir uyum döngüsüdür. Aşağıda her adımı mevzuattaki karşılığıyla birlikte açıklıyoruz.

İlk adım kişisel veri envanteridir. Kurumun hangi kişisel verileri hangi süreçte topladığını, kimden aldığını, hangi amaçla işlediğini, kimlerle paylaştığını, nerede sakladığını ve ne kadar süreyle tuttuğunu kategori kategori kayıt altına almanız gerekir. Bu envanter hem VERBİS bildiriminin hem de saklama-imha politikasının temelini oluşturur; envanter olmadan diğer adımlar sağlıklı yürütülemez. Çalışan, müşteri, tedarikçi, aday, ziyaretçi ve çevrimiçi kullanıcı gibi ilgili kişi gruplarını ayrı ayrı ele almak pratikte en verimli yaklaşımdır.

İkinci adımda envanterdeki her işleme faaliyetini bir hukuki dayanağa bağlarsınız. Kanun'un 5. maddesi, kişisel verilerin açık rıza dışında işlenebileceği halleri sayar: kanunlarda açıkça öngörülmesi, sözleşmenin kurulması veya ifası için gereklilik, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi, ilgili kişinin kendisi tarafından alenileştirilmiş olması, bir hakkın tesisi, kullanılması veya korunması için zorunluluk ve veri sorumlusunun meşru menfaati. Açık rıza en son başvurulacak dayanaktır; başka bir işleme şartı varsa açık rıza alınmasına gerek yoktur. Özel nitelikli kişisel veriler (sağlık, biyometrik, din, ceza mahkumiyeti gibi) 6. madde kapsamında daha sınırlı şartlara tabidir. 6. madde, 7499 sayılı Kanun'la değiştirilmiş ve 1 Haziran 2024'te yürürlüğe giren yeni işleme şartları getirmiştir.

Üçüncü adım aydınlatma yükümlülüğüdür. Kanun'un 10. maddesi ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca, veri elde edilirken ilgili kişiye veri sorumlusunun kimliği, işleme amaçları, aktarılacağı taraflar ve amaçları, toplama yöntemi ile hukuki sebebi ve 11. maddede sayılan haklar bildirilmelidir. Aydınlatma her durumda, işlemenin dayanağı açık rıza olsun ya da olmasın yapılır. Açık rıza gereken hallerde bu iki metnin ayrı ayrı düzenlenmesi zorunludur; Kurul, 18 Şubat 2026 tarihli ve 2026/347 sayılı ilke kararıyla aydınlatma ve açık rıza metinlerinin ayrı ayrı sunulması gerektiğini teyit etmiştir. Tek bir metinde birleştirilmiş, açık rızayı ön koşula bağlayan uygulamalar hukuka aykırıdır.

Dördüncü adım VERBİS kaydıdır. Kayıt yükümlülüğünün istisna kriterleri, Kurul'un 4 Eylül 2025 tarihli ve 2025/1572 sayılı kararıyla güncellenmiştir. Buna göre ana faaliyet konusu özel nitelikli kişisel veri işleme olmayan veri sorumlularından yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'den az olanlar kayıttan muaftır. Ana faaliyeti özel nitelikli veri işleme olanlar için eşik, yıllık çalışan sayısı 10'dan az ve yıllık mali bilanço toplamı 10 milyon TL'den az şeklindedir. Bilanço esasına göre defter tutmayan veri sorumluları için yalnızca çalışan sayısı kriteri uygulanır. Muafiyet yalnızca kaydın gerekmemesi anlamına gelir; Kanun'un diğer yükümlülükleri (aydınlatma, veri güvenliği, saklama-imha) muaf işletmeler için de geçerlidir.

Beşinci adım Kanun'un 12. maddesi kapsamındaki veri güvenliği tedbirleridir. Veri sorumlusu, kişisel verilerin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişimi önlemek, verilerin muhafazasını sağlamak için uygun güvenlik düzeyini temin edecek her türlü idari ve teknik tedbiri almakla yükümlüdür. İdari tedbirler arasında kişisel veri işleme politikaları, çalışan gizlilik taahhütleri ve farkındalık eğitimleri, veri işleyenlerle imzalanan sözleşmeler ve erişim yetki matrisleri yer alır. Teknik tedbirler ise yetkilendirme ve erişim kontrolleri, log kayıtları, şifreleme, güvenlik duvarları, düzenli sızma testleri ve yedekleme süreçlerini kapsar. Kurul'un yayımladığı Kişisel Veri Güvenliği Rehberi bu tedbirler için başvuru kaynağıdır.

Altıncı adım kişisel veri saklama ve imha politikasıdır. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik gereği, VERBİS'e kayıt yükümlülüğü olan veri sorumluları saklama ve imha politikası hazırlamak zorundadır. Politika, her veri kategorisi için saklama sürelerini ve süre sonunda uygulanacak imha yöntemini (silme, yok etme veya anonim hale getirme) tanımlar. Verilerin işlenme amacı ortadan kalktığında ve saklamayı gerektiren bir hukuki sebep kalmadığında ilgili veriler resen veya talep üzerine imha edilir; periyodik imha süreleri en fazla altı ay aralıklarla belirlenmelidir.

Yurt dışına veri aktaran kuruluşların ek bir adımı vardır. Kanun'un 9. maddesi, 7499 sayılı Kanun'la değiştirilerek 1 Haziran 2024'te yürürlüğe girmiş, aktarımı yeterlilik kararı, uygun güvenceler (standart sözleşmeler, bağlayıcı şirket kuralları gibi) ve istisnai haller şeklinde kademeli bir yapıya bağlamıştır. Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik 10 Temmuz 2024'te yürürlüğe girmiştir. Standart sözleşmeye dayanan aktarımlarda, imzaların tamamlanmasından itibaren beş iş günü içinde Kurum'a bildirim yapılması gerekmektedir. Yurt dışı aktarımı olan her süreç bu yeni rejime göre yeniden değerlendirilmelidir.

Uyum, bu altı adımın bir kez tamamlanmasıyla bitmez. Yeni bir işleme faaliyeti başladığında envanter güncellenmeli, hukuki dayanak yeniden belirlenmeli, aydınlatma metni gözden geçirilmeli ve gerekiyorsa VERBİS bildirimi değiştirilmelidir. İlgili kişi başvurularını 13. maddeye uygun şekilde en kısa sürede ve en geç otuz gün içinde yanıtlamak, veri ihlallerini Kurul'a ve etkilenen kişilere makul sürede bildirmek de sürekli yükümlülükler arasındadır. Bu döngüyü işletmek için bir veri koruma sorumlusu veya iç sorumlu atanması, sürecin sahipsiz kalmamasını sağlar.

Pratikte en sık yapılan hatalar; envanteri çıkarmadan doğrudan metin hazırlamaya geçmek, aydınlatma ile açık rızayı tek belgede birleştirmek, VERBİS muafiyetini tüm yükümlülüklerden muafiyet sanmak ve saklama sürelerini politikada tanımlamadan verileri süresiz tutmaktır. Bu hatalar hem Kurul incelemelerinde hem de ilgili kişi şikayetlerinde en çok gündeme gelen konulardır. Uyumu bir metin seti değil, işletilen bir yönetim sistemi olarak kurgulamak bu riskleri belirgin şekilde azaltır.

Kurumunuzun bu altı adımın neresinde olduğunu netleştirmek isterseniz, KVKK Danışman ücretsiz bir ön değerlendirme sunuyor. Mevcut durumunuzu envanter, hukuki dayanak ve VERBİS kaydı açısından gözden geçirip öncelikli eksikleri kısaca paylaşabiliriz.

Randevu Al