Bilişim hukuku, siber güvenlik ve KVKK

Kural olarak evet: kişisel veri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline (VERBİS) kaydolmak zorundadır; Kurul objektif ölçütlere göre bu yükümlülüğe istisna getirebilir (KVKK m. 16). Uygulamada en çok karşılaşılan istisna şudur: yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'den az olan veri sorumluları, ana faaliyet konuları özel nitelikli kişisel veri işlemek değilse kayıt yükümlüsü değildir (Kurulun 06/07/2023 tarihli ve 2023/1154 sayılı kararı). İki şart birlikte aranır; çalışan sayısı az olsa da bilanço eşiği aşılıyorsa kayıt gerekir.

İstisna yalnızca sicile kayıt yükümlülüğünü kaldırır. Aydınlatma, veri güvenliği, başvurulara cevap ve ihlal bildirimi yükümlülükleri kayıttan muaf olan şirket için de aynen geçerlidir.

Kanunda veri koruma görevlisi atama zorunluluğu da yoktur. Danıştay 10. Dairesi, kanunda veri koruma görevlisi kavramı bulunmadığı ve Kurula böyle bir statü oluşturma yetkisi verilmediği gerekçesiyle Kurulun veri koruma görevlisi sertifikasyonuna ilişkin Tebliğini ve belgelendirme programını iptal etti (Danıştay 10. D 15.04.2025, E. 2021/7779, K. 2025/2017; ilk derece kararı, oy çokluğu, kesinleşip kesinleşmediği bilinmiyor).

Hayır. Açık rıza, kişisel veri işlemenin şartlarından yalnızca biridir. Kanunlarda açıkça öngörülmesi, bir sözleşmenin kurulması veya ifası için taraflara ait verilerin işlenmesinin gerekli olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi, bir hakkın tesisi, kullanılması veya korunması ya da ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati gibi şartlardan biri varsa açık rıza aranmaz (KVKK m. 5/2). Bu şartlardan biri varken ayrıca rıza istemek gereksizdir; rıza geri alındığında işlemenin durup durmayacağı sorusunu da doğurur.

Danıştay 10. Dairesi, bağış alındı belgesinde bağışçının T.C. kimlik numarasının istenmesini, sözleşmenin ifası ve meşru menfaat şartlarına dayandığı için açık rıza aranmadan hukuka uygun buldu (Danıştay 10. D 21.04.2025, E. 2021/7696, K. 2025/2125; ilk derece kararı, oy çokluğu, kesinleşip kesinleşmediği bilinmiyor).

Aydınlatma ise her durumda zorunludur: veri elde edilirken veri sorumlusunun kimliği, işleme amacı, verinin kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile kişinin hakları bildirilir (KVKK m. 10). 2024 değişikliğiyle sağlık verisi gibi özel nitelikli veriler için de açık rıza dışındaki işleme şartları genişledi: örneğin çalışanların sağlık verisi, istihdam, iş sağlığı ve güvenliği ve sosyal güvenlik alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunluysa, Kurulun belirlediği yeterli önlemler alınmak şartıyla açık rıza olmadan işlenebiliyor (KVKK m. 6/3, 6/4).

Verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde veri sorumlusu durumu en kısa sürede ilgili kişilere ve Kurula bildirir (KVKK m. 12/5). Kurul bu süreyi, ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat olarak belirledi; bu sürede bildirilemezse gecikmenin sebebi bildirimle birlikte açıklanır. Etkilenen kişiler de, kim oldukları belirlendikten sonra makul en kısa sürede bilgilendirilir (Kurulun 24/01/2019 tarihli ve 2019/10 sayılı kararı).

İhlalin kapsamı, etkilenen kişiler ve veri kategorileri ile alınan tedbirler ilk saatlerden itibaren yazılı olarak kayda geçirilmelidir; bildirim bu kayda dayanır. Bildirim yükümlülüğü veri güvenliğine ilişkin yükümlülüklerin parçası olduğundan, yerine getirilmemesi idari para cezasına konu olabilir (KVKK m. 18/1-b).

Saldırıda kişisel veriler başkalarının eline geçtiyse Kurula ihlalin öğrenilmesinden itibaren en geç 72 saat içinde, etkilenen kişilere de kim oldukları belirlendikten sonra makul en kısa sürede bildirim yapılır (KVKK m. 12/5; Kurulun 24/01/2019 tarihli ve 2019/10 sayılı kararı). Verilerin sızıp sızmadığı henüz belli değilse bu süre beklemeye bırakılmamalı; bilinenle bildirim yapılıp sonradan tamamlanması, sürenin kaçırılmasından daha az risklidir. Süre aşılırsa gecikmenin sebebi bildirimle birlikte açıklanır.

Bundan ayrı olarak Siber Güvenlik Kanunu, bilişim sistemleriyle hizmet sunan, veri toplayan ya da işleyenlerin, hizmet sundukları alanda tespit ettikleri zafiyet ve siber olayları gecikmeksizin Siber Güvenlik Başkanlığı'na bildirmesini istiyor; bu yükümlülük kişisel veri etkilenmese de doğar (7545 s. K. m. 7/1-b). Yerine getirilmemesi bir milyon TL'den on milyon TL'ye kadar idari para cezası sebebidir (7545 s. K. m. 16/10). Sistemlere izinsiz girilmesi ve verilerin değiştirilmesi ya da başka yere gönderilmesi suç olduğundan, korunan kayıtlarla Cumhuriyet başsavcılığına suç duyurusunda da bulunulabilir (TCK m. 243, 244).

Kanun, siber uzayda varlık gösteren, faaliyet yürüten ya da hizmet sunan bütün gerçek ve tüzel kişileri kapsıyor; kanunun kendisi ölçek ayrımı yapmıyor (7545 s. K. m. 2). Başkanlık ise kapsamdakileri sınıflandırıp bazı hükümleri yalnız belirli gruplara uygulayabiliyor (7545 s. K. m. 6/1-g). Bilişim sistemleriyle hizmet sunan, veri toplayan ya da işleyen her şirket, Başkanlığın görevi kapsamında istediği veri, bilgi ve belgeyi zamanında iletmek ve tespit ettiği zafiyet ya da siber olayı gecikmeksizin bildirmek zorundadır (7545 s. K. m. 7/1). Başkanlık bu yükümlülükler için mahallinde denetim yapabilir; denetlenen şirket cihaz, sistem ve yazılımlarını denetime açık tutmakla yükümlüdür; bu yükümlülüğe uymayan ticari şirketlere yüz bin TL'den az olmamak üzere brüt satış hasılatının yüzde 5'ine kadar idari para cezası verilebilir (7545 s. K. m. 8/4, 16/11).

Kritik altyapılar ve kamu kurumları için kurallar daha ağırdır; örneğin bu yerlerde kullanılacak siber güvenlik ürün ve hizmetleri Başkanlıkça yetkilendirilmiş ve belgelendirilmiş uzman ve şirketlerden alınmak zorundadır (7545 s. K. m. 7/1-c). Başkanlığın istediği bilgi ve belgeyi vermemek ise yalnız idari para cezası değil, bir yıldan üç yıla kadar hapis ve adli para cezası gerektiren bir suçtur (7545 s. K. m. 16/1).

İkisi birbirini dışlamıyor. Ceza tebliğden itibaren bir ay içinde ödenirse yüzde 25 indirim uygulanır ve ödeme, karara karşı dava açma hakkını etkilemez (Kabahatler K. m. 17/6). Dava 1 Haziran 2024'ten beri idare mahkemesinde, tebliğden itibaren altmış gün içinde açılıyor (KVKK m. 18/3; İYUK m. 7).

Dava açmak cezanın tahsilini kendiliğinden durdurmaz; tahsilat dursun isteniyorsa yürütmenin durdurulması ayrıca talep edilmelidir (İYUK m. 27/1). Ayrıntısı: KVKK cezası gelen şirketin ilk refleksi “ödeyelim, kapansın” olmamalı.

Aktarılabilir, ancak 2024 değişikliğinden sonra sıralı bir sistem var. Önce aktarılacak ülke, sektör ya da uluslararası kuruluş hakkında Kurulun yeterlilik kararı aranır. Yoksa, kişinin o ülkede de haklarını kullanabilmesi ve etkili kanun yollarına başvurabilmesi kaydıyla uygun güvencelerden biri gerekir: Kurulun ilan ettiği standart sözleşme, Kurulca onaylanan bağlayıcı şirket kuralları ya da Kurul izniyle taahhütname. Bunlar da yoksa aktarım yalnızca arızi olarak ve sayılı hallerde yapılabilir; örneğin kişinin muhtemel riskler hakkında bilgilendirilerek açık rıza vermesi ya da aktarımın kişiyle yapılan sözleşmenin ifası için zorunlu olması. Her durumda ayrıca KVKK m. 5 veya 6'daki işleme şartlarından biri bulunmalıdır (KVKK m. 9).

Standart sözleşme kullanılıyorsa, imzadan itibaren beş iş günü içinde Kuruma bildirilmelidir; bildirilmemesi ayrı bir idari para cezası sebebidir (KVKK m. 9/5, m. 18/1-d).

Ticari elektronik ileti, alıcının önceden onayı alınarak gönderilebilir; onay yazılı olarak ya da her türlü elektronik iletişim aracıyla alınabilir. Alıcı, kendisiyle iletişime geçilmesi için iletişim bilgilerini verdiyse, aldığı mal veya hizmete ilişkin değişiklik, kullanım ve bakım iletileri için ayrıca onay gerekmez. Esnaf ve tacirlere önceden onay alınmadan gönderilebilir (6563 s. K. m. 6).

Alıcı dilediği zaman, gerekçe göstermeden iletileri reddedebilir. Ret yolu iletide kolay ve ücretsiz biçimde sunulmalı, ret talebi ulaştıktan sonra gönderim üç iş günü içinde durdurulmalıdır (6563 s. K. m. 8). Ticari ileti onayı, KVKK'daki aydınlatma yükümlülüğünün yerine geçmez.

Onay ile ret yolu ayrı yükümlülüklerdir: Yargıtay, alıcının onayı bulunduğu gerekçesiyle istenen kanun yararına bozmayı, cezanın onaysız gönderime değil iletide ret bilgisi bulunmamasına dayandığını belirterek reddetti (Yargıtay 7. CD 27.04.2026, E. 2023/3169, K. 2026/5140, oy birliği; 6563 s. K. m. 8/2). Cezaya itiraz sürerken de zamanaşımı işler: Yargıtay, kabahatin işlendiği tarihte başlayıp başvuru sonuçlanıncaya kadar işleyen ve bu olayda üç yıl olan soruşturma zamanaşımı sulh ceza hakimliği karar vermeden dolduğu için ticari iletiye ilişkin cezayı kanun yararına bozma yoluyla kendisi kaldırdı (Yargıtay 7. CD 03.02.2025, E. 2024/7425, K. 2025/1328, oy birliği; Kabahatler Kanunu m. 20).

Tüketici, mesafeli sözleşmeyi kabul etmeden önce yönetmelikte sayılan hususlarda açık ve anlaşılır biçimde bilgilendirilmelidir; bilgilendirmenin yapıldığını ispat yükü satıcıdadır. Mal satışlarında teslim süresi, tüketicinin isteğine göre hazırlanan mallar dışında, siparişten itibaren otuz günü geçemez. Tüketici on dört gün içinde gerekçe göstermeden cayabilir; cayma hakkı konusunda gereği gibi bilgilendirilmezse bu süreyle bağlı değildir ve süre, cayma süresinin bitiminden itibaren bir yıl sonra sona erer (6502 s. K. m. 48).

İade masrafına ve elektronik ürünlerde cayma hakkına ilişkin 2025 yönetmelik değişiklikleri 1 Ocak 2026'dan beri uygulanıyor. Ayrıntısı: İnternetten yapılan satışlarda elektronik ürünler için cayma hakkı ve iade masrafının maliyetlendirilmesi.

Evet. Veri sorumlusuna başvurarak verilerinizin işlenip işlenmediğini, hangi amaçla işlendiğini ve yurt içinde ya da yurt dışında kimlere aktarıldığını öğrenebilir; eksik ya da yanlış işlenmişse düzeltilmesini, işlenmesini gerektiren sebepler ortadan kalkmışsa silinmesini veya yok edilmesini ve bu işlemlerin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteyebilirsiniz (KVKK m. 7, 11).

Başvuru yazılı olarak ya da Kurulun belirlediği diğer yöntemlerle yapılır. Veri sorumlusu talebi en geç otuz gün içinde, kural olarak ücretsiz sonuçlandırır; reddederse gerekçesini açıklar (KVKK m. 13). Başka bir kanun gereği saklanması gereken kayıtlar, örneğin ticari defter ve belgeler, bu süre dolmadan silinmez; çünkü işlenmelerini gerektiren sebep henüz ortadan kalkmamıştır.

Cevabı öğrendiğiniz tarihten itibaren otuz gün ve her halde başvuru tarihinden itibaren altmış gün içinde Kurula şikayette bulunabilirsiniz. Önce veri sorumlusuna başvurmadan doğrudan şikayet yapılamaz (KVKK m. 14). Kurul şikayet tarihinden itibaren altmış gün içinde cevap vermezse talep reddedilmiş sayılır (KVKK m. 15/4).

Kişilik haklarınız ihlal edildiyse, Kurul sürecinden bağımsız olarak genel hükümlere göre tazminat isteme hakkınız saklıdır (KVKK m. 14/3).

Önce içeriği adresi (URL) ve tarihiyle birlikte ekran görüntüsü alarak kayıt altına alın; içerik sonradan silinse de delil kalsın. Ardından:

• Bildirim. Önce içeriği yayımlayana, makul sürede sonuç alınamazsa barındırma hizmeti verene bildirimle içeriğin kaldırılması istenir; kanundaki adıyla uyarı yöntemi (5651 s. K. m. 2). Türkiye'den günlük erişimi bir milyonu aşan sosyal ağlar, kişilik hakkı ve özel hayata ilişkin başvurulara en geç 48 saat içinde, olumsuzsa gerekçeli cevap vermek zorundadır (5651 s. K. ek m. 4). 1 Kasım 2026'dan itibaren bu yükümlülük, kişilerin 5651 sayılı Kanun kapsamındaki bütün başvurularını kapsayacak (7578 s. K. m. 22).
• Hukuk mahkemesi. Kişilik hakkı ihlallerinde sulh ceza hakimliğinden erişim engeli istemeye imkan veren 5651 s. K. m. 9, Anayasa Mahkemesince iptal edildi; iptal 10 Ekim 2024'te yürürlüğe girdi ve yerine yeni bir düzenleme yapılmadı. Bugün yol, asliye hukuk mahkemesinde saldırıya son verilmesi davası ile birlikte içeriğin kaldırılması için ihtiyati tedbir istemektir (TMK m. 24, 25; HMK m. 389). Dava kendi yerleşim yerinizde de açılabilir (TMK m. 25).
• Ceza şikayeti. İçerik hakaret, özel hayatın gizliliğini ihlal ya da kişisel verileri hukuka aykırı olarak yayma suçunu oluşturuyorsa Cumhuriyet başsavcılığına şikayet. Hakaret ve özel hayatın gizliliğini ihlalde şikayet süresi, fiili ve faili öğrendiğiniz tarihten itibaren altı aydır; hakarette her halde fiilden itibaren iki yılı geçemez (TCK m. 73). Paylaşımı yaymak da suç oluşturabilir: Yargıtay, kişinin kendi hesabında paylaştığı fotoğrafları rızası olmadan yayan ve başkasının kimlik bilgilerini sosyal medyada paylaşan kişilerin TCK m. 136'dan mahkumiyetine ilişkin kararları onadı (Yargıtay 12. CD 13.04.2026, E. 2024/1319, K. 2026/3680; 30.03.2026, E. 2024/1134, K. 2026/3010). Ayrıntısı bu konudaki yazıda.

Var. Özel hayatının gizliliğinin ihlal edildiğini düşünen kişi, içeriğin tam adresini (URL), hakkının hangi açılardan ihlal edildiğini ve kimliğini ispatlayan bilgileri belirterek Siber Güvenlik Başkanlığı'na doğrudan başvurabilir; erişim sağlayıcılar engeli en geç dört saat içinde uygular. Başvuran, talebini başvurduğu saatten itibaren yirmi dört saat içinde sulh ceza hakiminin kararına sunmak zorundadır; hakim kırk sekiz saat içinde karar verip Başkanlığa göndermezse engel kendiliğinden kalkar (5651 s. K. m. 9/A).

Süreler saatle işlediği için Başkanlığa yapılacak başvuru ile hakimliğe sunulacak talep birlikte hazırlanmalıdır. Başvurudaki bilgilerde eksiklik varsa talep işleme konulmaz.

Önce kartı ya da hesabı bankaya veya platforma bildirip kapattırın, şifrelerinizi değiştirin ve işlem dökümünü, gelen mesajları ve ekran görüntülerini saklayın. Ardından Cumhuriyet başsavcılığına şikayette bulunun. Fiile göre birden fazla suç söz konusu olabilir: hesaba ya da sisteme izinsiz girmek (TCK m. 243), başkasına ait banka veya kredi kartını rızası olmadan kullanarak yarar sağlamak (TCK m. 245/1; üç yıldan altı yıla kadar hapis), bilişim sistemlerini kullanarak hırsızlık (TCK m. 142/2-e; beş yıldan on yıla kadar hapis) ve bilişim sistemlerinin araç olarak kullanılmasıyla dolandırıcılık (TCK m. 158/1-f; dört yıldan on yıla kadar hapis).

Bu suçların soruşturması şikayete bağlı değildir; savcılık öğrendiği anda harekete geçer. Bir istisna var: işlemi ayrılık kararı verilmemiş eşiniz, üstsoyunuz ya da altsoyunuz (anne baba, çocuk, torun gibi) veya birlikte yaşadığınız kardeşiniz yaptıysa hırsızlık, dolandırıcılık ve kartın kötüye kullanılmasında ceza verilmez, diğer bazı yakınlarda ise ceza şikayete bağlıdır (TCK m. 167, 245/4). Yine de erken şikayet, para transferlerinin izlenmesi ve hesap bilgilerinin bankalardan istenmesi için önemlidir. Açılan davaya katılabilirsiniz; zararın giderilmesi ceza davasında etkin pişmanlık ve hükmün açıklanmasının geri bırakılması aşamasında gündeme gelir, tazminat ise hukuk mahkemesinde ayrıca istenir. Ayrıntısı ceza hukuku sayfasında.

Sızıntı sonucu ele geçen kişisel verileri izinsiz olarak erişime açan, paylaşan ya da satışa çıkaranlara üç yıldan beş yıla kadar hapis cezası verilir (7545 s. K. m. 16/4). Kişisel verileri hukuka aykırı olarak başkasına vermek, yaymak ya da ele geçirmek de ayrıca suçtur (TCK m. 136; iki yıldan dört yıla kadar hapis). İçeriğin adresini (URL) ve ekran görüntüsünü saklayarak Cumhuriyet başsavcılığına şikayette bulunabilirsiniz.

Verilerinizin sızdığı şirkete de başvurup hangi verilerinizin etkilendiğini öğrenebilirsiniz (KVKK m. 11, 13); şirket ihlali size bildirmekle zaten yükümlüdür (KVKK m. 12/5). Zarara uğradıysanız, şirketin gerekli güvenlik tedbirlerini alıp almadığı tartışılarak tazminat istenebilir (KVKK m. 11/1-ğ, 12/1, 14/3).

Açığı nasıl bulduğunuza bağlı. Türk hukukunda iyi niyetli güvenlik araştırması için açık bir istisna yok: bir bilişim sistemine hukuka aykırı olarak girmek, amaç açığı bildirmek olsa bile bir yıla kadar hapis ya da adli para cezası gerektiren bir suçtur; bu sırada veriler yok olur ya da değişirse ceza artar (TCK m. 243/1, 243/3). Açığı yalnızca kendi kurduğunuz deneme ortamında ya da sahibinin izniyle test ettiyseniz bu risk ortadan kalkar; iznin yazılı olması ispat bakımından önemlidir. Açığı istismar eden bir kodu (exploit) yaymak ya da başkasına vermek de, kod münhasıran suç işlemek için hazırlanmış sayılırsa ayrı bir suçtur (TCK m. 245/A; bir yıldan üç yıla kadar hapis).

Bildirimi doğrudan üreticiye ya da bir koordineli bildirim programı üzerinden yapmak, açığı kapatılmadan kamuya açıklamamak ve gerçek bir kişinin verisine dokunmamak en güvenli yoldur. Sızıntı olmadığını bildiği halde panik yaratmak ya da birini hedef göstermek amacıyla sızıntı varmış gibi içerik oluşturmak ya da yaymak da ayrı bir suçtur (7545 s. K. m. 16/5). WordPress eklentilerinde bulduğum açıkları bu yolla bildirdim; örneği bu yazıda.

Mümkün. Kurul, arama motorlarını listeledikleri sonuçlar bakımından veri sorumlusu sayıyor. Bu yüzden önce arama motoruna başvurulur; talep reddedilir ya da cevapsız kalırsa Kurula şikayet yoluna gidilebilir. Kurul talebi, kişinin temel hak ve özgürlükleri ile kamunun bilgiye erişim menfaati arasında denge kurarak değerlendiriyor: haberin güncelliğini yitirip yitirmediği, kişinin kamusal bir kimliği olup olmadığı ve kamu yararı bu değerlendirmede belirleyici (Kurulun 23/06/2020 tarihli ve 2020/481 sayılı kararı).

Arama sonucundan kaldırılmak, haberin kendisinin silinmesi anlamına gelmez; haberin yayından çıkarılması ayrı bir taleptir.

Haberin yayından kaldırılması, kişilik hakkına dayanılarak asliye hukuk mahkemesinde açılacak davayla da istenebilir. Yargıtay, konusu olayda kişinin beraat ettiği eski bir haberin, yayımından on yılı aşkın süre sonra açılan davada unutulma hakkı kapsamında yayından kaldırılmasına ilişkin kararı onadı; bölge adliye mahkemesi kişinin kamusal bir kimliği olmadığını ve haberin güncelliğini yitirdiğini vurgulamıştı (Yargıtay 4. HD 13.03.2025, E. 2022/8289, K. 2025/4252, oy birliği).

İletideki ret yolunu kullanabilirsiniz; gönderen bu yolu kolay ve ücretsiz biçimde sunmak, ret talebiniz ulaştıktan sonra da gönderimi üç iş günü içinde durdurmak zorundadır (6563 s. K. m. 8). Hiç onay vermediğiniz halde ileti gönderilmesi de kanuna aykırıdır (6563 s. K. m. 6).

Gönderim durmazsa Ticaret Bakanlığı'na şikayette bulunabilirsiniz; bu aykırılıklar için idari para cezası öngörülüyor ve tek seferde birden fazla kişiye onaysız ileti gönderilmişse ceza on katına kadar artırılarak uygulanıyor (6563 s. K. m. 12).