KİŞİSEL VERİLERİN KORUNMASI KANUNU HAKKINDA GENEL BİLGİLENDİRME

Son Güncelleme Tarihi: 19.05.2026

Bu sayfa, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") hakkında genel bilgilendirme sağlamak amacıyla hazırlanmıştır. Burada yer alan açıklamalar, kişisel verilerin korunması konusunda temel kavramları, ilgili kişilerin haklarını ve veri sorumlularının genel yükümlülüklerini anlaşılır biçimde özetlemeyi amaçlar.

Bu metin, belirli bir ürün, hizmet, internet sitesi, üyelik sistemi veya ticari faaliyet kapsamında kişisel verilerin nasıl işlendiğine ilişkin özel bir aydınlatma metni niteliğinde değildir. Belirli bir veri işleme faaliyeti hakkında bilgi almak için ilgili kurum, kuruluş veya hizmet sağlayıcının ayrıca yayımladığı "KVKK Aydınlatma Metni", "Gizlilik Politikası" veya "Çerez Politikası" incelenmelidir.

1. KVKK Nedir?

KVKK, kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumayı ve kişisel veri işleyen gerçek ve tüzel kişilerin yükümlülüklerini düzenlemeyi amaçlayan temel kanundur.

Kanun, kişisel verilerin hangi şartlarda işlenebileceğini, kişisel verileri işlenen kişilerin hangi haklara sahip olduğunu ve veri sorumlularının hangi ilkelere uyması gerektiğini belirler.

2. Kişisel Veri Nedir?

Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir.

Ad, soyad, telefon numarası, e-posta adresi, adres, T.C. kimlik numarası, müşteri numarası, IP adresi, lokasyon bilgisi, ses kaydı, görüntü kaydı, işlem geçmişi, ödeme bilgileri ve benzeri bilgiler kişisel veri niteliği taşıyabilir.

Bir bilginin kişisel veri sayılması için tek başına kişiyi doğrudan tanımlaması şart değildir. Başka bilgilerle bir araya getirildiğinde kişiyi belirlenebilir hâle getiriyorsa da kişisel veri olarak kabul edilebilir.

3. Özel Nitelikli Kişisel Veri Nedir?

Bazı kişisel veriler, niteliği gereği daha hassas kabul edilir ve daha sıkı korumaya tabidir.

Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veri kapsamındadır.

Özel nitelikli kişisel veriler, yalnızca kanunda belirtilen şartların bulunması ve gerekli güvenlik önlemlerinin alınması hâlinde işlenebilir.

4. Kişisel Verilerin İşlenmesi Ne Anlama Gelir?

Kişisel verilerin işlenmesi, veriler üzerinde gerçekleştirilen her türlü faaliyeti ifade eder.

Bir kişisel verinin elde edilmesi, kaydedilmesi, saklanması, değiştirilmesi, açıklanması, aktarılması, sınıflandırılması, kullanılması, silinmesi veya yok edilmesi kişisel veri işleme faaliyeti olabilir.

Bu nedenle kişisel verilerin işlenmesi yalnızca aktif kullanım anlamına gelmez. Bir verinin sistemde saklanması dahi kişisel veri işleme faaliyeti kapsamında değerlendirilebilir.

5. Veri Sorumlusu ve Veri İşleyen Kimdir?

Veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen gerçek veya tüzel kişidir. Başka bir ifadeyle, kişisel verilerin neden ve nasıl işleneceğine karar veren taraftır.

Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen gerçek veya tüzel kişidir. Örneğin bir şirketin kullandığı teknik altyapı sağlayıcısı, kargo firması, muhasebe yazılımı veya çağrı merkezi hizmet sağlayıcısı somut duruma göre veri işleyen veya ayrı bir veri sorumlusu olabilir.

6. Kişisel Verilerin İşlenmesinde Temel İlkeler

KVKK'ya göre kişisel veriler işlenirken belirli temel ilkelere uyulmalıdır.

Kişisel veriler hukuka ve dürüstlük kurallarına uygun şekilde işlenmelidir.

İşlenen veriler doğru ve gerektiğinde güncel olmalıdır.

Kişisel veriler belirli, açık ve meşru amaçlar için işlenmelidir.

Veriler, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmalıdır.

Kişisel veriler, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmelidir.

Bu ilkeler, kişisel veri işleme faaliyetlerinin yalnızca teknik değil, aynı zamanda hukuki ve etik bir çerçevede yürütülmesini amaçlar.

7. Kişisel Veriler Hangi Hukiki Sebeplerle İşlenebilir?

KVKK kapsamında kişisel veriler kural olarak ilgili kişinin açık rızasıyla işlenebilir. Ancak açık rıza, kişisel veri işlenmesinin tek hukuki sebebi değildir.

Kanunlarda açıkça öngörülmesi, bir sözleşmenin kurulması veya ifası için veri işlemenin gerekli olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi, bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması ya da ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati bulunması gibi hâllerde de kişisel veriler işlenebilir.

Bu nedenle her veri işleme faaliyeti için ayrıca açık rıza alınması gerekmez. Ancak açık rızaya dayanılması gereken faaliyetlerde, rızanın özgür iradeyle, belirli bir konuya ilişkin ve bilgilendirmeye dayalı olarak alınması gerekir.

8. Aydınlatma Yükümlülüğü Nedir?

Aydınlatma yükümlülüğü, veri sorumlusunun kişisel verileri işlenen kişileri bilgilendirme yükümlülüğüdür.

Veri sorumlusu, kişisel verilerin elde edilmesi sırasında ilgili kişiye kim olduğunu, kişisel verilerin hangi amaçlarla işleneceğini, verilerin kimlere ve hangi amaçlarla aktarılabileceğini, kişisel veri toplamanın yöntemini ve hukuki sebebini ve ilgili kişinin sahip olduğu hakları bildirmelidir.

Aydınlatma yükümlülüğü, açık rızadan farklıdır. Açık rıza alınmasa bile, kişisel veri işleme faaliyeti hakkında ilgili kişinin bilgilendirilmesi gerekir.

9. Açık Rıza Nedir?

Açık rıza, ilgili kişinin belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıkladığı rızadır.

Açık rıza genel, belirsiz veya varsayıma dayalı olmamalıdır. Kişinin neye onay verdiğini anlayabileceği şekilde açık ve belirli olmalıdır.

Örneğin yalnızca "kişisel verilerimin işlenmesini kabul ediyorum" şeklindeki genel ifadeler, somut bağlama göre yeterli olmayabilir. Rızanın hangi veri işleme faaliyetine ilişkin olduğu anlaşılabilir olmalıdır.

10. İlgili Kişi Kimdir?

İlgili kişi, kişisel verisi işlenen gerçek kişidir.

KVKK yalnızca gerçek kişilere ait kişisel verileri korur. Tüzel kişilere ait ticaret unvanı, şirket adresi veya vergi numarası gibi bilgiler doğrudan KVKK kapsamında kişisel veri sayılmaz. Ancak bir şirket yetkilisinin adı, telefonu, e-posta adresi veya imzası gibi gerçek kişiye ilişkin bilgiler kişisel veri niteliği taşıyabilir.

11. İlgili Kişinin Hakları Nelerdir?

KVKK kapsamında ilgili kişiler, veri sorumlusuna başvurarak kendileriyle ilgili kişisel verilerin işlenip işlenmediğini öğrenme hakkına sahiptir.

İlgili kişi, kişisel verileri işlenmişse buna ilişkin bilgi talep edebilir.

Kişisel verilerin işlenme amacını ve bu amaca uygun kullanılıp kullanılmadığını öğrenebilir.

Kişisel verilerin yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri öğrenebilir.

Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini talep edebilir.

Kanunda öngörülen şartların oluşması hâlinde kişisel verilerin silinmesini veya yok edilmesini isteyebilir.

Düzeltme, silme veya yok etme işlemlerinin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini talep edebilir.

İşlenen verilerin münhasıran otomatik sistemler aracılığıyla analiz edilmesi sonucunda kişinin kendisi aleyhine bir sonuç ortaya çıkmasına itiraz edebilir.

Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep edebilir.

12. İlgili Kişi Haklarını Nasıl Kullanabilir?

İlgili kişiler, KVKK kapsamındaki haklarını kullanmak için ilgili veri sorumlusuna başvurabilir.

Başvuru; yazılı olarak, kayıtlı elektronik posta adresiyle, güvenli elektronik imzayla, mobil imzayla veya veri sorumlusu tarafından daha önce bildirilen ve sisteminde kayıtlı bulunan elektronik posta adresi üzerinden yapılabilir.

Başvuruda kişinin kimliğini doğrulamaya yarayan bilgiler, talebin konusu ve varsa talebe ilişkin belgeler yer almalıdır.

Veri sorumlusu, başvuruları mevzuatta öngörülen süreler içinde sonuçlandırmakla yükümlüdür.

13. Kişisel Verilerin Aktarılması

Kişisel veriler, belirli şartlar altında üçüncü kişilere aktarılabilir.

Aktarım; hizmet sağlayıcılarına, iş ortaklarına, kargo firmalarına, ödeme kuruluşlarına, teknik altyapı sağlayıcılarına, yetkili kamu kurumlarına veya hukuki danışmanlara yapılabilir.

Ancak aktarımın hukuka uygun olabilmesi için veri işleme şartlarından birine dayanması, aktarım amacının açık olması ve ölçülülük ilkesine uyulması gerekir.

Yurt dışına veri aktarımı ise KVKK'da öngörülen özel şartlara tabidir. Bu nedenle yurt dışı hizmet sağlayıcılarıyla çalışılması hâlinde ayrıca değerlendirme yapılmalıdır.

14. Kişisel Verilerin Saklanması ve Silinmesi

Kişisel veriler sınırsız süreyle saklanamaz.

Veriler, ilgili mevzuatta öngörülen süre kadar veya işleme amacı için gerekli olan süre boyunca muhafaza edilmelidir.

Saklama süresi sona erdiğinde veya işleme amacı ortadan kalktığında, kişisel veriler silinmeli, yok edilmeli veya anonim hâle getirilmelidir.

Bu süreç, veri sorumlusunun kişisel veri saklama ve imha politikası kapsamında düzenlenebilir.

15. Çerezler ve İnternet Kullanımı

İnternet siteleri, çerezler ve benzeri teknolojiler aracılığıyla kullanıcıların cihazlarında bilgi saklayabilir veya bu bilgilere erişebilir.

Zorunlu çerezler, internet sitesinin temel fonksiyonlarının çalışması için kullanılabilir. Analitik, reklam, pazarlama veya kişiselleştirme amaçlı çerezler ise somut duruma göre kullanıcının açık rızasını gerektirebilir.

Bu nedenle internet sitelerinde çerez kullanımı hakkında açık, anlaşılır ve erişilebilir bir Çerez Politikası bulunması önemlidir.

16. Veri Güvenliği

Veri sorumluları, kişisel verilerin hukuka aykırı olarak işlenmesini, erişilmesini, kaybolmasını, değiştirilmesini veya yetkisiz kişilerle paylaşılmasını önlemek için gerekli teknik ve idari tedbirleri almakla yükümlüdür.

Bu tedbirler; erişim yetkilendirmesi, şifreleme, log kayıtları, güvenli bağlantı kullanımı, personel eğitimi, veri minimizasyonu, yedekleme, güvenlik testleri ve iç politika/prosedürlerin oluşturulması gibi uygulamaları içerebilir.

Kişisel verilerin korunması yalnızca hukuki metin yayımlamakla sınırlı değildir. Fiilî güvenlik tedbirlerinin alınması ve süreçlerin doğru yönetilmesi gerekir.

17. KVKK Metinleri Arasındaki Farklar

Gizlilik Politikası, genellikle bir internet sitesi veya hizmet kapsamında kişisel verilerin genel olarak nasıl işlendiğini anlatan metindir.

KVKK Aydınlatma Metni, belirli bir veri işleme faaliyeti bakımından veri sorumlusunun ilgili kişiye vermesi gereken zorunlu bilgilendirmeyi içerir.

Açık Rıza Metni, ilgili kişinin rızasına dayanılması gereken veri işleme faaliyetleri için kullanılır.

Çerez Politikası, internet sitesinde kullanılan çerezleri, amaçlarını, sürelerini ve kullanıcı tercihlerini açıklar.

Bu metinler birbirine benzer görünse de hukuki işlevleri aynı değildir.

18. Genel Değerlendirme

KVKK'nın temel amacı, kişisel verilerin keyfî, ölçüsüz veya belirsiz şekilde işlenmesini önlemek ve kişilerin kendi verileri üzerinde bilgi ve kontrol sahibi olmasını sağlamaktır.

Kişisel verilerin korunması, hem bireyler hem de veri işleyen kurum ve işletmeler açısından güven ilişkisinin önemli bir parçasıdır.

Bu nedenle kişisel veri işleyen her kişi veya kuruluşun, yalnızca hukuki metin yayımlamakla yetinmemesi; veri işleme süreçlerini, saklama sürelerini, aktarım ilişkilerini ve güvenlik tedbirlerini düzenli olarak gözden geçirmesi gerekir.

19. Daha Fazla Bilgi

KVKK ve kişisel verilerin korunması hakkında daha ayrıntılı bilgi almak için Kişisel Verileri Koruma Kurumu'nun yayımladığı rehberler, kararlar ve bilgilendirici içerikler incelenebilir.

Bu sayfa genel bilgilendirme amacı taşır. Somut bir veri işleme faaliyeti, hukuki uyuşmazlık veya özel durum hakkında değerlendirme yapılması gerekiyorsa profesyonel hukuki danışmanlık alınması önerilir.