Türk Hukukunda Kişisel Veri Kullanılması

2026 yılında tek bir veri güvenliği ihlali, bir şirkete 17 milyon TL’yi aşan idari para cezası olarak dönebilir. Bu tablo, kişisel verilerin işlenmesi konusunun artık yalnızca bilgi işlem birimlerinin değil, doğrudan yönetim kurullarının gündeminde olduğunu gösteriyor.

Bu rehberde, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (KVKK) kurumsal süreçlere nasıl yansıdığını uygulamaya dönük biçimde ele alıyoruz. Özellikle üç noktada yoğunlaşıyoruz:

• Bir veri işleme faaliyetinin hangi hukuki dayanağa oturması gerektiği
• Alacak takibi ve icra süreçlerinde sık karşılaşılan aykırılıklar
• 2026 yılında Kurul’un yaklaşımını gösteren güncel kararlar ve yaptırım tutarları

Kişisel Veri Nedir, Ne Zaman İşlenmiş Sayılır?

Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Ad, telefon numarası, TCKN, IP adresi, ses kaydı ve konum bilgisi bu kapsamdadır. İşleme ise verinin elde edilmesinden silinmesine kadar üzerinde gerçekleştirilen her türlü faaliyeti kapsar.

Kanun’un tanımı bilinçli olarak geniş tutulmuştur. Bir veriyi yalnızca kaydetmek bile işleme sayılır; kullanmak, aktarmak veya sınıflandırmak şart değildir. Bu nedenle “biz o bilgiyi kullanmıyoruz, sadece sistemde duruyor” savunması kurul nezdinde karşılık bulmaz.

Belirlenebilirlik ölçütü de önemlidir. Tek başına anlam ifade etmeyen bir müşteri numarası, elinizdeki başka kayıtlarla eşleştirildiğinde kişiyi işaret ediyorsa kişisel veridir. Anonim hale getirme ise ancak geri döndürülemez olduğunda Kanun kapsamından çıkarır.

Tüzel kişilere ait veriler KVKK kapsamında değildir. Ancak bir şirketin yetkilisine ait ad, imza ve iletişim bilgisi gerçek kişiye ilişkin olduğu için korunur. Ticari ilişkilerde bu ayrım sıklıkla gözden kaçar.

KVKK’nın Beş Temel İlkesi

Her veri işleme faaliyeti, hukuki dayanağı bulunsa dahi Kanun’un 4’üncü maddesindeki beş ilkeye uymak zorundadır. Bu ilkeler bir tercih listesi değil, kümülatif bir sınavdır. İlkelerden birinin ihlali, geçerli bir işleme şartının varlığını anlamsız kılar.

1. Hukuka ve dürüstlük kurallarına uygunluk: Veri, ilgili kişinin makul beklentisini aşan yöntemlerle toplanamaz.
2. Doğru ve gerektiğinde güncel olma: Hatalı kayıt, yalnızca operasyonel değil hukuki bir risktir.
3. Belirli, açık ve meşru amaçlarla işleme: “İleride lazım olur” gerekçesi geçerli bir amaç değildir.
4. Amaçla bağlantılı, sınırlı ve ölçülü olma: En sık ihlal edilen ilke budur.
5. Sürelerle sınırlı muhafaza: Amaç ortadan kalktığında veri silinmeli, yok edilmeli veya anonim hale getirilmelidir.

Ölçülülük ilkesi, Kurul’un son dönem kararlarında belirleyici hale gelmiştir. Bir amaca daha az veriyle ulaşılabiliyorsa, fazla veri toplayan yöntem açık rıza alınmış olsa bile hukuka aykırı sayılabilmektedir.

Saklama süreleri de yazılı olarak belirlenmelidir. Kişisel veri saklama ve imha politikası bulunmayan bir şirket, verinin ne zaman silineceğini kanıtlayamaz. Kurul incelemelerinde ilk istenen belgelerden biri budur.

Açık Rıza İstisnadır, İşleme Şartları Asıldır

Türk hukukunda kişisel verilerin işlenmesi için tek yol açık rıza değildir. Kanun’un 5’inci maddesinin ikinci fıkrasındaki şartlardan biri varsa rıza aranmaz. Uygulamadaki en yaygın hata, her süreç için rıza formu imzalatmaya çalışmaktır.

Rıza aranmaksızın işleme yapılabilecek başlıca haller şunlardır:

• Kanunlarda açıkça öngörülmesi: Örneğin İcra ve İflas Kanunu’nun öngördüğü işlemler.
• Sözleşmenin kurulması veya ifası için gereklilik: Taraflara ait verilerle sınırlıdır.
• Veri sorumlusunun hukuki yükümlülüğü: Vergi, SGK ve muhasebe mevzuatı kaynaklı zorunluluklar.
• İlgili kişinin kendisi tarafından alenileştirilmiş olması: Alenileştirme iradesinin kapsamıyla sınırlı yorumlanır.
• Bir hakkın tesisi, kullanılması veya korunması için zorunluluk: Dava ve icra takibi süreçlerinin temel dayanağıdır.
• Meşru menfaat: İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla uygulanır ve denge testi gerektirir.

Açık rızanın hukuki niteliği de yanlış anlaşılmaktadır. Açık rıza belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle açıklanmalıdır. Hizmetin alınmasının rıza şartına bağlanması, rızayı geçersiz kılar.

Rıza her zaman geri alınabilir. Geri alma halinde işlemeye devam edilecekse, başka bir işleme şartına dayanılması ve bunun kayıt altına alınması gerekir. Bu nedenle sözleşmesel süreçlerde rıza yerine m.5/2-c dayanağının tercih edilmesi daha sağlam bir yapı kurar.

Özel Nitelikli Veriler ve 2024 Değişikliğinin Bugünkü Hali

Sağlık, biyometrik veri, ceza mahkümiyeti, din, sendika üyeliği ve benzeri veriler özel nitelikli kabul edilir ve daha ağır bir rejime tabidir. 7499 sayılı Kanun’la yapılan ve 1 Haziran 2024’te yürürlüğe giren değişiklik, bu alandaki en kapsamlı revizyondur.

Değişiklik öncesinde sağlık ve cinsel hayat dışındaki özel nitelikli veriler yalnızca kanunlarda öngörülmesi halinde rızasız işlenebiliyordu. Yeni düzenleme, tüm özel nitelikli veriler için ortak bir işleme şartları listesi getirmiştir. Bu liste, istihdam ve iş sağlığı ile güvenliği gibi somut ihtiyaçları da kapsamaktadır.

Ancak genişleyen dayanaklar, ölçülülük denetimini ortadan kaldırmaz. İnsan kaynakları süreçlerinde özel nitelikli veri toplarken, o verinin gerçekten zorunlu olup olmadığı ayrıca test edilmelidir. Adayın sağlık raporunu işe alım aşamasında istemek, çoğu pozisyon için bu testi geçmez.

Yurt Dışına Veri Aktarımı: Bulut ve Yapay Zeka Riski

Sunucuları yurt dışında bulunan bir hizmete kişisel veri girilmesi, KVKK m.9 kapsamında yurt dışına aktarım sayılır. E-posta altyapısı, CRM, muhasebe yazılımı ve üretken yapay zeka araçları bu tanıma girer. Aktarımın “bilinçli bir transfer” olarak planlanmış olması gerekmez.

7499 sayılı Kanun’la kurulan üç kademeli yapı şöyledir:

1. Yeterlilik kararı: Kurul’un yeterli koruma sağladığını ilan ettiği ülkelere aktarım serbesttir.
2. Uygun güvenceler: Yeterlilik kararı yoksa standart sözleşme, bağlayıcı şirket kuralları, taahhütname veya kamu kurumları arası anlaşma kullanılır.
3. Arızi haller: Yalnızca süreklilik arz etmeyen, tek seferlik aktarımlar için başvurulabilir.

En çok gözden kaçan yükümlülük bildirimdir: standart sözleşmenin imzalanmasını takip eden beş iş günü içinde Kurum’a bildirim yapılması zorunludur. Bu yükümlülüğün ihlali, 2026 yılında 90.308 TL ile 1.806.177 TL arasında idari para cezası doğurur.

Yapay zeka araçları özelinde ek bir risk vardır. Bir müvekkil dosyasının veya müşteri listesinin analiz amacıyla dış kaynaklı bir modele girilmesi, hem aktarım hem de amaçla bağlantılılık yönünden sorgulanır. Kurumsal yapay zeka kullanım politikası bu nedenle artık isteğe bağlı bir belge değildir.

Alacak Takibi ve İcra Süreçlerinde Kişisel Veri Kullanımı

Alacak tahsili, KVKK açısından en yoğun veri işleme faaliyetlerinden biridir ve Kurul’un mercek altına aldığı alanların başında gelir. Takip süreçlerinde veri işlemenin dayanağı genellikle açık rıza değil, hakkın tesisi ve kullanılması ile kanunlarda açıkça öngörülme şartlarıdır.

Bu dayanaklar geniş bir hareket alanı sağlar; sınırsız değildir. Kurum, alacaklı vekilleri tarafından borçlunun yakınlarınıntelefon numaralarına erişilerek borç bilgisinin paylaşılmasının Kanun’a aykırılık oluşturabileceğini ve somut olaya göre idari para cezasına konu olabileceğini kamuoyu duyurusuyla açıklamıştır. Burada iki ayrı ihlal doğar: borçlunun borç bilgisinin üçüncü kişiye açıklanması ve konuyla ilgisi bulunmayan yakının verisinin işlenmesi.

Buna karşılık İcra ve İflas Kanunu’nun 89’uncu maddesi kapsamında üçüncü kişilere haciz ihbarnamesi gönderilmesi, kanunda açıkça öngörülmüş bir işlem olduğu için hukuka uygundur. Ayrım nettir: kanunun öngördüğü usul içinde kalan aktarım korunur, usul dışında kurulan gayriresmi temas korunmaz.

Çağrı merkezi uygulamaları da ayrı bir risk başlığıdır. Kurul, bir alacak yönetim şirketinin çağrı merkezini arayan numaraları otomatik olarak borçlunun iletişim bilgisi haline getirmesini hukuka aykırı bulmuş, veri güvenliği yükümlülüğünün ihlali nedeniyle idari para cezası uygulamış ve uygulamaya son verilmesi yönünde talimat vermiştir.

Tahsilat süreçlerinde asgari olarak şu noktalar gözetilmelidir:

• İletişim bilgisi yalnızca alacaklıdan veya resmî kayıtlardan temin edilmeli, “araştırma” yoluyla genişletilmemelidir.
• Arama sırasında karşı tarafın borçlu olduğu doğrulanmadan borç bilgisi açıklanmamalıdır.
• Ses kayıtları için ayrı aydınlatma yapılmalı ve saklama süresi tanımlanmalıdır.
• Otomatik arama ve tahsilat yazılımlarının hangi verileri hangi dayanakla kaydettiği belgelenmelidir.

İcra ve alacak yönetimi süreçlerinizin veri koruma açısından gözden geçirilmesi için çalışma alanlarımıza göz atabilirsiniz.

2026’da Öne Çıkan Kurul Kararları

2026 yılı, Kurul’un genel ilkeleri somut teknolojilere uyguladığı bir dönem olmuştur. Kararların ortak paydası ölçülülük denetiminin sıkılaşmasıdır. Açık rızanın varlığı, artık tek başına koruyucu bir kalkan sayılmamaktadır.

• Mesai takibinde biyometrik veri (29.04.2026 tarihli, 2026/921 sayılı ilke kararı): Kurul, çalışma sürelerinin takibi için parmak izi veya yüz tanıma kullanılmasının ölçülülük kriterini karşılamadığını, geçerli açık rıza bulunsa dahi bu sonucun değişmediğini belirtmiştir. Kartlı, PIN tabanlı veya RFID/NFC sistemler gibi alternatiflere yönelinmesi gerekir.
• Açık rıza ve aydınlatma metinleri (18.02.2026 tarihli, 2026/347 sayılı ilke kararı): İki metnin ayrı ayrı düzenlenmesi gerektiği, başka bir veri sorumlusunun metinlerinin uyarlanmadan kopyalanmasının kabul edilemeyeceği ortaya konmuştur.
• Veri ihlali ilanlarında süre sınırı: Kurul’un 25.12.2025 tarihli kararıyla, veri ihlali bildirimlerinin Kurum internet sitesinde en fazla 60 gün süreyle yayımlanması esası benimsenmiştir.
• Güvenlik kameraları: Kurum, 8 Haziran 2026’da biri apartman ve site yönetimlerine, diğeri işverenlere yönelik olmak üzere iki kamuoyu duyurusu yayımlamıştır.

Bu kararların pratik sonucu şudur: teknoloji seçimi artık bir bilgi işlem kararı değil, hukuki bir karardır. Yeni bir sistem devreye alınmadan önce daha az veri işleyen alternatiflerin değerlendirildiğinin yazılı olarak kanıtlanabilmesi gerekir.

Yaptırımlar: 2026 idari Para Cezası Tutarları

KVKK m.18 kapsamındaki idari para cezaları her yıl yeniden değerleme oranına göre güncellenir. 2026 yılı tutarları 31 Aralık 2025 tarihli Kurum kararıyla belirlenmiş ve 1 Ocak 2026’da yürürlüğe girmiştir.

Kurul, alt ve üst sınırlar arasında takdir yetkisini kullanırken ihlalin niteliğini, kusurun ağırlığını, aykırılığın süresini ve veri koruma sistematiği üzerindeki etkisini birlikte değerlendirmektedir.

Yaptırım idari para cezasıyla da sınırlı değildir. Türk Ceza Kanunu’nun 135 ila 140’ıncı maddeleri kişisel verileri hukuka aykırı olarak kaydetme, yayma ve ele geçirme fiillerini hapis cezası gerektiren suçlar olarak düzenlemiştir. Ayrıca ilgili kişinin genel hükümlere göre tazminat talep etme hakkı saklıdır.

Uyum Kontrol Listesi

Aşağıdaki liste, bir veri koruma denetiminde ilk sorulan başlıkları kapsar. Her maddenin yalnızca yapılmış olması değil, belgeyle kanıtlanabilir olması önemlidir.

1. Adım: Veri envanterini çıkarın; hangi verinin hangi süreçte, hangi dayanakla işlendiğini kayıt altına alın.
2. Adım: Her işleme faaliyeti için m.5 veya m.6 dayanağını yazılı olarak belirleyin.
3. Adım: Aydınlatma metinlerini kendi faaliyetinize uyarlayın; açık rıza metinlerini ayrı belgeler halinde düzenleyin.
4. Adım: Saklama ve imha politikanızı hazırlayın, periyodik imha süreçlerini işletin.
5. Adım: Yurt dışı aktarım envanterini çıkarın; bulut ve yapay zeka araçlarını da dahil edin ve bildirim yükümlülüğünü takip edin.
6. Adım: VERBİS kaydınızı güncel tutun.
7. Adım: 72 saatlik ihlal bildirim prosedürünü yazılı hale getirin ve yılda bir kez test edin.
8. Adım: Çağrı merkezi, tahsilat ve İK süreçlerini ölçülülük açısından ayrıca gözden geçirin.

Sonuç

Türk hukukunda kişisel verilerin işlenmesi, 2026 itibarıyla şekli bir uyum ödevinden çıkıp ölçülülük denetimine dayanan bir risk yönetimi konusuna dönüşmüştür. Kurul’un güncel kararları, açık rızanın tek başına koruma sağlamadığını açıkça göstermektedir.

Üç başlık öne çıkmaktadır. Birincisi, her veri işleme faaliyetinin doğru hukuki dayanağa oturtulması. İkincisi, bulut ve yapay zeka kullanımının yurt dışı aktarım rejimi karşısında değerlendirilmesi. Üçüncüsü, alacak takibi gibi yoğun veri işleyen süreçlerin ayrı bir titizlikle kurgulanması.

FBK & Partners olarak kurumsal müvekkillerimize veri envanteri çıkarılmasından tahsilat süreçlerinin veri koruma uyumuna kadar uçtan uca danışmanlık sağlıyoruz. Süreçlerinizi birlikte değerlendirmek için bizimle iletişime geçebilirsiniz.