Kişisel Verilerin İşlenme Şartları Nedir? KVKK’ya Göre Hukuki Dayanaklar Rehberi (2026)

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK)

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), işletmelerin ve veri sorumlularının kişisel verileri hangi şartlarda işleyebileceğini açık şekilde düzenlemektedir. Özellikle şirketler, mali müşavirler, e-ticaret işletmeleri ve işverenler açısından kişisel veri işleme süreçlerinin hukuka uygun yürütülmesi büyük önem taşımaktadır.

Kişisel Verileri Koruma Kurumu tarafından yayımlanan “Kişisel Verilerin İşlenme Şartları” rehberi, uygulamada en çok karşılaşılan veri işleme süreçlerine önemli açıklamalar getirmektedir.

Kişisel Veri İşleme Nedir?

KVKK’ya göre kişisel verilerin işlenmesi; verilerin elde edilmesi, kaydedilmesi, depolanması, değiştirilmesi, aktarılması, sınıflandırılması veya silinmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi ifade eder.

Bir işletmenin çalışan özlük dosyası oluşturması, müşteri bilgilerini sistemde saklaması veya muhasebe kayıtları için kimlik bilgilerini kullanması da kişisel veri işleme kapsamına girer.

KVKK’ya Göre Kişisel Veri İşleme Şartları Nelerdir?

KVKK’nın 5. maddesine göre kişisel veriler ancak belirli hukuki sebeplerin varlığı halinde işlenebilir. Rehberde belirtilen başlıca işleme şartları şunlardır:

1. Açık Rıza

Kişisel verilerin işlenmesinde temel şartlardan biri ilgili kişinin açık rızasıdır. Ancak KVKK’ya göre öncelikle diğer hukuki sebepler değerlendirilmelidir. Eğer başka bir hukuki dayanak mevcutsa ayrıca açık rıza alınması gerekmeyebilir.

Örneğin:

• Pazarlama amaçlı SMS gönderimleri

• Ticari elektronik ileti izinleri

• Özel kampanya üyelikleri

çoğu durumda açık rıza gerektirir.

2. Kanunlarda Açıkça Öngörülmesi

Bazı durumlarda kişisel verilerin işlenmesi doğrudan kanun gereği zorunlu olabilir.

Örneğin:

• İş Kanunu gereği çalışan özlük dosyası tutulması

• Vergi Usul Kanunu kapsamında belge düzenlenmesi

• Türk Ticaret Kanunu çerçevesinde kayıt saklama yükümlülükleri

Bu tür işlemlerde ayrıca açık rıza aranmaz.

3. Sözleşmenin Kurulması veya İfası İçin Gerekli Olması

Bir sözleşmenin kurulması veya yerine getirilebilmesi için gerekli olan kişisel veriler işlenebilir.

Örnekler:

• Kargo teslimatı için adres bilgisinin alınması

• Maaş ödemesi için banka IBAN bilgisinin kullanılması

• E-ticaret siparişlerinde iletişim bilgilerinin kaydedilmesi

Bu işlemler sözleşmenin ifası kapsamında değerlendirilir.

4. Veri Sorumlusunun Hukuki Yükümlülüğü

Şirketlerin yasal yükümlülüklerini yerine getirebilmesi amacıyla veri işlemesi mümkündür.

Örneğin:

• Vergi denetimlerinde belge ibrazı

• SGK işlemleri

• Çalışan bordro süreçleri

• Mali kayıtların saklanması

gibi işlemler hukuki yükümlülük kapsamında değerlendirilir.

5. Meşru Menfaat

KVKK’da en çok tartışılan işleme şartlarından biri “meşru menfaat” kavramıdır.

Kanuna göre veri sorumlusunun meşru menfaatinin bulunması ve ilgili kişinin temel haklarına zarar verilmemesi şartıyla veri işlenebilir.

Örneğin:

• Çalışan performans değerlendirmeleri

• Şirket içi güvenlik süreçleri

• Dolandırıcılık önleme sistemleri

• Kurumsal denetim faaliyetleri

meşru menfaat kapsamında değerlendirilebilir.

Ancak burada “denge testi” yapılması gerekir. Veri sorumlusunun menfaati ile ilgili kişinin temel hak ve özgürlükleri arasında makul denge kurulmalıdır.

Açık Rıza Her Zaman Gerekli mi?

Hayır.

KVKK rehberine göre veri işleme faaliyetinin başka bir hukuki sebebe dayanması mümkünse ayrıca açık rıza alınması yanıltıcı sonuçlar doğurabilir.

Bu nedenle işletmelerin:

• Öncelikle veri işleme amacını belirlemesi,

• Uygun hukuki dayanağı tespit etmesi,

• Gereksiz açık rıza süreçlerinden kaçınması

önem taşımaktadır.

İşletmeler İçin KVKK Uyumunda Dikkat Edilmesi Gerekenler

Özellikle şirketler ve e-ticaret işletmeleri açısından aşağıdaki konular büyük önem taşır:

• Veri envanteri hazırlanması

• Açık rıza süreçlerinin gözden geçirilmesi

• Aydınlatma metinlerinin güncellenmesi

• Personel eğitimlerinin verilmesi

• Veri saklama ve imha politikalarının oluşturulması

• Kamera kayıtları ve çalışan verilerinin hukuki dayanaklarının belirlenmesi

KVKK’ya uyumsuzluk durumunda ciddi idari para cezaları uygulanabilmektedir.

Sonuç

Kişisel verilerin korunması artık yalnızca büyük şirketlerin değil; küçük işletmelerin, serbest meslek erbaplarının ve e-ticaret yapan girişimcilerin de temel yükümlülüklerinden biri haline gelmiştir.

KVKK kapsamında hangi verinin hangi hukuki sebeple işlendiğinin doğru tespit edilmesi; hem idari yaptırımların önüne geçmek hem de kurumsal güvenilirliği artırmak açısından kritik öneme sahiptir.

Sağlıklı ve güvenli veri yönetimi süreçleri dilerim.

SMMM Halil İbrahim BindebirMali Müşavir ve Danışman

Muhasebe Danışmanlığı

1 sa.

Yer Ayırt

Kaynak: Kişisel Verileri Koruma Kurumu – “Kişisel Verilerin İşlenme Şartları” Rehberi