Bilişim hukuku ve KVKK

Kural olarak evet: kişisel veri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline (VERBİS) kaydolmak zorundadır; Kurul objektif ölçütlere göre bu yükümlülüğe istisna getirebilir (KVKK m. 16). Uygulamada en çok karşılaşılan istisna şudur: yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'den az olan veri sorumluları, ana faaliyet konuları özel nitelikli kişisel veri işlemek değilse kayıt yükümlüsü değildir (Kurulun 06/07/2023 tarihli ve 2023/1154 sayılı kararı). İki şart birlikte aranır; çalışan sayısı az olsa da bilanço eşiği aşılıyorsa kayıt gerekir.

İstisna yalnızca sicile kayıt yükümlülüğünü kaldırır. Aydınlatma, veri güvenliği, başvurulara cevap ve ihlal bildirimi yükümlülükleri kayıttan muaf olan şirket için de aynen geçerlidir.

Hayır. Açık rıza, kişisel veri işlemenin şartlarından yalnızca biridir. Kanunlarda açıkça öngörülmesi, bir sözleşmenin kurulması veya ifası için taraflara ait verilerin işlenmesinin gerekli olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi, bir hakkın tesisi, kullanılması veya korunması ya da ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati gibi şartlardan biri varsa açık rıza aranmaz (KVKK m. 5/2). Bu şartlardan biri varken ayrıca rıza istemek gereksizdir; rıza geri alındığında işlemenin durup durmayacağı sorusunu da doğurur.

Aydınlatma ise her durumda zorunludur: veri elde edilirken veri sorumlusunun kimliği, işleme amacı, verinin kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile kişinin hakları bildirilir (KVKK m. 10). 2024 değişikliğiyle sağlık verisi gibi özel nitelikli veriler için de açık rıza dışındaki işleme şartları genişledi: örneğin çalışanların sağlık verisi, istihdam, iş sağlığı ve güvenliği ve sosyal güvenlik alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunluysa, Kurulun belirlediği yeterli önlemler alınmak şartıyla açık rıza olmadan işlenebiliyor (KVKK m. 6/3, 6/4).

Verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu durumu en kısa sürede ilgili kişilere ve Kurula bildirir (KVKK m. 12/5). Kurul bu süreyi, ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat olarak belirledi; bu sürede bildirilemezse gecikmenin sebebi bildirimle birlikte açıklanır. Etkilenen kişiler de, kim oldukları belirlendikten sonra makul en kısa sürede bilgilendirilir (Kurulun 24/01/2019 tarihli ve 2019/10 sayılı kararı).

İhlalin kapsamı, etkilenen kişiler ve veri kategorileri ile alınan tedbirler ilk saatlerden itibaren yazılı olarak kayda geçirilmelidir; bildirim bu kayda dayanır. Bildirim yükümlülüğü veri güvenliğine ilişkin yükümlülüklerin parçası olduğundan, yerine getirilmemesi idari para cezasına konu olabilir (KVKK m. 18/1-b).

İkisi birbirini dışlamıyor. Ceza tebliğden itibaren bir ay içinde ödenirse yüzde 25 indirim uygulanır ve ödeme, karara karşı dava açma hakkını etkilemez (Kabahatler K. m. 17/6). Dava 1 Haziran 2024'ten beri idare mahkemesinde, tebliğden itibaren altmış gün içinde açılıyor (KVKK m. 18/3; İYUK m. 7).

Dava açmak cezanın tahsilini kendiliğinden durdurmaz; tahsilat dursun isteniyorsa yürütmenin durdurulması ayrıca talep edilmelidir (İYUK m. 27/1). Ayrıntısı: KVKK cezası gelen şirketin ilk refleksi “ödeyelim, kapansın” olmamalı.

Aktarılabilir, ancak 2024 değişikliğinden sonra sıralı bir sistem var. Önce aktarılacak ülke, sektör ya da uluslararası kuruluş hakkında Kurulun yeterlilik kararı aranır. Yoksa, kişinin o ülkede de haklarını kullanabilmesi ve etkili kanun yollarına başvurabilmesi kaydıyla uygun güvencelerden biri gerekir: Kurulun ilan ettiği standart sözleşme, Kurulca onaylanan bağlayıcı şirket kuralları ya da Kurul izniyle taahhütname. Bunlar da yoksa aktarım yalnızca arızi olarak ve sayılı hâllerde yapılabilir; örneğin kişinin muhtemel riskler hakkında bilgilendirilerek açık rıza vermesi ya da aktarımın kişiyle yapılan sözleşmenin ifası için zorunlu olması. Her durumda ayrıca KVKK m. 5 veya 6'daki işleme şartlarından biri bulunmalıdır (KVKK m. 9).

Standart sözleşme kullanılıyorsa, imzadan itibaren beş iş günü içinde Kuruma bildirilmelidir; bildirilmemesi ayrı bir idari para cezası sebebidir (KVKK m. 9/5, m. 18/1-d).

Ticari elektronik ileti, alıcının önceden onayı alınarak gönderilebilir; onay yazılı olarak ya da her türlü elektronik iletişim aracıyla alınabilir. Alıcı, kendisiyle iletişime geçilmesi için iletişim bilgilerini verdiyse, aldığı mal veya hizmete ilişkin değişiklik, kullanım ve bakım iletileri için ayrıca onay gerekmez. Esnaf ve tacirlere önceden onay alınmadan gönderilebilir (6563 s. K. m. 6).

Alıcı dilediği zaman, gerekçe göstermeden iletileri reddedebilir. Ret yolu iletide kolay ve ücretsiz biçimde sunulmalı, ret talebi ulaştıktan sonra gönderim üç iş günü içinde durdurulmalıdır (6563 s. K. m. 8). Ticari ileti onayı, KVKK'daki aydınlatma yükümlülüğünün yerine geçmez.

Tüketici, mesafeli sözleşmeyi kabul etmeden önce yönetmelikte sayılan hususlarda açık ve anlaşılır biçimde bilgilendirilmelidir; bilgilendirmenin yapıldığını ispat yükü satıcıdadır. Mal satışlarında teslim süresi, tüketicinin isteğine göre hazırlanan mallar dışında, siparişten itibaren otuz günü geçemez. Tüketici on dört gün içinde gerekçe göstermeden cayabilir; cayma hakkı konusunda gereği gibi bilgilendirilmezse bu süreyle bağlı değildir ve süre, cayma süresinin bitiminden itibaren bir yıl sonra sona erer (6502 s. K. m. 48).

İade masrafına ve elektronik ürünlerde cayma hakkına ilişkin 2025 yönetmelik değişiklikleri 1 Ocak 2026'dan beri uygulanıyor. Ayrıntısı: İnternetten yapılan satışlarda elektronik ürünler için cayma hakkı ve iade masrafının maliyetlendirilmesi.

Evet. Veri sorumlusuna başvurarak verilerinizin işlenip işlenmediğini, hangi amaçla işlendiğini ve yurt içinde ya da yurt dışında kimlere aktarıldığını öğrenebilir; eksik ya da yanlış işlenmişse düzeltilmesini, işlenmesini gerektiren sebepler ortadan kalkmışsa silinmesini veya yok edilmesini ve bu işlemlerin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteyebilirsiniz (KVKK m. 7, 11).

Başvuru yazılı olarak ya da Kurulun belirlediği diğer yöntemlerle yapılır. Veri sorumlusu talebi en geç otuz gün içinde, kural olarak ücretsiz sonuçlandırır; reddederse gerekçesini açıklar (KVKK m. 13). Başka bir kanun gereği saklanması gereken kayıtlar, örneğin ticari defter ve belgeler, bu süre dolmadan silinmez; çünkü işlenmelerini gerektiren sebep henüz ortadan kalkmamıştır.

Cevabı öğrendiğiniz tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunabilirsiniz. Önce veri sorumlusuna başvurmadan doğrudan şikâyet yapılamaz (KVKK m. 14). Kurul şikâyet tarihinden itibaren altmış gün içinde cevap vermezse talep reddedilmiş sayılır (KVKK m. 15/4).

Kişilik haklarınız ihlal edildiyse, Kurul sürecinden bağımsız olarak genel hükümlere göre tazminat isteme hakkınız saklıdır (KVKK m. 14/3).

Önce içeriği adresi (URL) ve tarihiyle birlikte ekran görüntüsü alarak kayıt altına alın; içerik sonradan silinse de delil kalsın. Ardından:

• Bildirim. Önce içeriği yayımlayana, makul sürede sonuç alınamazsa barındırma hizmeti verene bildirimle içeriğin kaldırılması istenir; kanundaki adıyla uyarı yöntemi (5651 s. K. m. 2). Türkiye'den günlük erişimi bir milyonu aşan sosyal ağlar, kişilik hakkı ve özel hayata ilişkin başvurulara en geç 48 saat içinde, olumsuzsa gerekçeli cevap vermek zorundadır (5651 s. K. ek m. 4). 1 Kasım 2026'dan itibaren bu yükümlülük, kişilerin 5651 sayılı Kanun kapsamındaki bütün başvurularını kapsayacak (7578 s. K. m. 22).
• Hukuk mahkemesi. Kişilik hakkı ihlallerinde sulh ceza hâkimliğinden erişim engeli istemeye imkân veren 5651 s. K. m. 9, Anayasa Mahkemesince iptal edildi; iptal 10 Ekim 2024'te yürürlüğe girdi ve yerine yeni bir düzenleme yapılmadı. Bugün yol, asliye hukuk mahkemesinde saldırıya son verilmesi davası ile birlikte içeriğin kaldırılması için ihtiyati tedbir istemektir (TMK m. 24, 25; HMK m. 389). Dava kendi yerleşim yerinizde de açılabilir (TMK m. 25).
• Ceza şikâyeti. İçerik hakaret, özel hayatın gizliliğini ihlal ya da kişisel verileri hukuka aykırı olarak yayma suçunu oluşturuyorsa Cumhuriyet başsavcılığına şikâyet. Hakaret ve özel hayatın gizliliğini ihlalde şikâyet süresi, fiili ve faili öğrendiğiniz tarihten itibaren altı aydır; hakarette her hâlde fiilden itibaren iki yılı geçemez (TCK m. 73).

Var. Özel hayatının gizliliğinin ihlal edildiğini düşünen kişi, içeriğin tam adresini (URL), hakkının hangi açılardan ihlal edildiğini ve kimliğini ispatlayan bilgileri belirterek Siber Güvenlik Başkanlığı'na doğrudan başvurabilir; erişim sağlayıcılar engeli en geç dört saat içinde uygular. Başvuran, talebini başvurduğu saatten itibaren yirmi dört saat içinde sulh ceza hâkiminin kararına sunmak zorundadır; hâkim kırk sekiz saat içinde karar verip Başkanlığa göndermezse engel kendiliğinden kalkar (5651 s. K. m. 9/A).

Süreler saatle işlediği için Başkanlığa yapılacak başvuru ile hâkimliğe sunulacak talep birlikte hazırlanmalıdır. Başvurudaki bilgilerde eksiklik varsa talep işleme konulmaz.

Mümkün. Kurul, arama motorlarını listeledikleri sonuçlar bakımından veri sorumlusu sayıyor. Bu yüzden önce arama motoruna başvurulur; talep reddedilir ya da cevapsız kalırsa Kurula şikâyet yoluna gidilebilir. Kurul talebi, kişinin temel hak ve özgürlükleri ile kamunun bilgiye erişim menfaati arasında denge kurarak değerlendiriyor: haberin güncelliğini yitirip yitirmediği, kişinin kamusal bir kimliği olup olmadığı ve kamu yararı bu değerlendirmede belirleyici (Kurulun 23/06/2020 tarihli ve 2020/481 sayılı kararı).

Arama sonucundan kaldırılmak, haberin kendisinin silinmesi anlamına gelmez; haberin yayından çıkarılması ayrı bir taleptir.

İletideki ret yolunu kullanabilirsiniz; gönderen bu yolu kolay ve ücretsiz biçimde sunmak, ret talebiniz ulaştıktan sonra da gönderimi üç iş günü içinde durdurmak zorundadır (6563 s. K. m. 8). Hiç onay vermediğiniz hâlde ileti gönderilmesi de kanuna aykırıdır (6563 s. K. m. 6).

Gönderim durmazsa Ticaret Bakanlığı'na şikâyette bulunabilirsiniz; bu aykırılıklar için idari para cezası öngörülüyor ve tek seferde birden fazla kişiye onaysız ileti gönderilmişse ceza on katına kadar artırılarak uygulanıyor (6563 s. K. m. 12).