KVKK Nedir, Kişisel Veri Kanunda Nasıl Tanımlanıyor?

---

Bir siteye üyelik formu koyduğunuz anda, kanunun ilgilendiği bir işe başlamış oluyorsunuz. Ad, e-posta, telefon; hepsi bir kişiyi işaret ettiği ölçüde korumaya giriyor ve bu koruma isteğe bağlı değil.

Bu yazı kanunun neyi amaçladığını, kişisel verinin nasıl tanımlandığını, "işleme" sayılan fiilleri, veri sorumlusu ile veri işleyen ayrımını ve verisi işlenen kişinin haklarını 6698 sayılı Kanun'un metnine bakarak topluyor.

Kanun neyi amaçlıyor?​

6698 sayılı Kanun amacını ilk maddesinde koyuyor: kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak; ayrıca kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemek.

Kapsam maddesi ise kimin muhatap olduğunu söylüyor: verileri işlenen gerçek kişiler ile bu verileri tamamen veya kısmen otomatik olan ya da bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişiler.

Kişisel veri ne demek?​

Tanımlar maddesi kavramı geniş tutuyor: kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.

Buradaki "belirlenebilir" kelimesi kapsamı büyütüyor. Tek başına anlamsız görünen bir kayıt, başka bilgilerle birleştiğinde bir kişiye ulaştırıyorsa yine kişisel veri sayılıyor.

• Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.
• İlgili kişi: Kişisel verisi işlenen gerçek kişi.
• Veri kayıt sistemi: Verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemi.

"İşleme" nedir?​

Kanun işlemeyi tek bir fiile indirgemiyor. Tanıma göre kişisel verilerin işlenmesi, verilerin tamamen veya kısmen otomatik olan ya da bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesiyle başlıyor.

Yani bir formdan gelen kaydı veritabanına yazmak da, kâğıt bir listeyi belirli bir düzene göre tutmak da işleme sayılıyor. Kâğıt üzerinde tutulan yapılandırılmış bir kayıt, otomasyon olmasa bile kapsama giriyor.

Püf nokta' Alıntı:

Veriyi toplamamak ile toplayıp kullanmamak aynı şey değil; kanun toplamayı da işleme sayıyor.

Genişletmek için tıkla ...

Veri sorumlusu mu, veri işleyen mi?​

Bu ayrım yükümlülüğün kimde olduğunu belirliyor. Kanuna göre veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen taraf.

Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi. Kararı veren ile kararı uygulayan arasındaki fark burada.

Pratikte site sahibi çoğu zaman veri sorumlusu, barındırma sağlayıcısı ya da e-posta hizmeti veri işleyen konumunda kalıyor. Kimin ne yaptığını sözleşmede yazmak bu yüzden önemli; gizlilik tarafındaki metnin nasıl hazırlandığını gizlilik sözleşmesi yazımızda ele almıştık.

İşlemenin uyması gereken ilkeler​

Kanun genel ilkeleri madde madde sayıyor ve bunlara uyulmasını zorunlu tutuyor:

• Hukuka ve dürüstlük kurallarına uygun olma.
• Doğru ve gerektiğinde güncel olma.
• Belirli, açık ve meşru amaçlar için işlenme.
• İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma.
• Mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.

Son madde çoğu sitede atlanıyor: veriyi süresiz saklamak, ilkeye aykırı bir tercih. Aydınlatma metninde bu sürelerin nasıl anlatıldığını aydınlatma metni yazımızda anlatmıştık.

Verisi işlenen kişinin hakları​

Kanun, herkesin veri sorumlusuna başvurarak kullanabileceği hakları sıralıyor: verinin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme.

Liste devam ediyor: yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini isteme, kanunda öngörülen şartlar çerçevesinde silinmesini veya yok edilmesini isteme, düzeltme ve silme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme.

Verisi sızdırılan tarafın ilk gün atması gereken adımları veri sızıntısı yazımızda toplamıştık.

Sık Sorulan Sorular​

KVKK nedir?
6698 sayılı Kanun; kişisel verilerin işlenmesinde temel hak ve özgürlükleri korumayı ve verileri işleyenlerin yükümlülüklerini düzenlemeyi amaçlıyor.

Kişisel veri neyi kapsıyor?
Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi.

Kâğıt üzerindeki kayıtlar da kapsamda mı?
Bir veri kayıt sisteminin parçası olmak kaydıyla, otomatik olmayan yollarla işlenen veriler de kapsama giriyor.

Veri sorumlusu kim oluyor?
İşleme amaçlarını ve vasıtalarını belirleyen taraf; onun adına işleyen ise veri işleyen sayılıyor.

Verimin silinmesini isteyebilir miyim?
Kanun, öngörülen şartlar çerçevesinde silinmesini veya yok edilmesini isteme hakkını sayıyor.

Özetle​

KVKK, kimliği belirli veya belirlenebilir bir kişiye ilişkin her türlü bilgiyi koruma altına alıyor ve toplamayı da işleme sayıyor. Yükümlülük, işleme amacını ve vasıtalarını belirleyen tarafta; onun adına çalışan taraf veri işleyen oluyor. İşleme beş ilkeye bağlı ve bunların arasında verinin yalnız gerekli süre kadar saklanması da var. Verisi işlenen kişi ise öğrenme, düzeltme ve silinmesini isteme haklarına sahip.

Sitenizde topladığınız verilerin ne kadar süre saklanacağını yazılı olarak belirlediniz mi?

Güncelleme: 2 Eylül 2026. 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 1, 2, 3, 4 ve 11. maddeleri kontrol edildi.

---