KVKK Uyum Süreci ve KVKK Danışmanlığı: VERBİS, Envanter, Politikalar ve Ücretler (2026)
KVKK uyum süreci, tek bir metin yazdırmak değil; altı ayaklı bir sistem kurmaktır: kişisel veri işleme envanterinin çıkarılması, yükümlüyseniz VERBİS kaydının yapılması, aydınlatma, açık rıza ve çerez metinlerinin süreçlere gömülmesi, saklama ve imha politikasıyla periyodik imha düzeninin kurulması, yurt dışına aktarım için 2024 sonrası araçların (yeterlilik kararı, standart sözleşme, bağlayıcı şirket kuralları) devreye alınması ve veri ihlaline 72 saat içinde Kurul bildirimiyle cevap verecek müdahale planının hazırlanması. En az bilinen iki kural: standart sözleşmeyle yurt dışına aktarımda sözleşmenin imzadan itibaren beş iş günü içinde Kuruma bildirilmesi zorunludur ve uyumsuzluğun 2026 bedeli tek kalemde 17.092.242 TL’ye ulaşan idari para cezalarıdır. KVKK danışmanlık ücretleri serbestçe kararlaştırılır; avukatlık hizmetlerinde TBB Avukatlık Asgari Ücret Tarifesi alt sınırdır.
KVKK Uyumu Neden Sistemdir?
On yılı aşkın uygulamanın ardından Kurul denetimleri artık metin varlığına değil, sistem işlerliğine bakmaktadır: envanterle aydınlatma metni tutarlı mı, imha takvimi fiilen çalışıyor mu, ihlalde 72 saatlik refleks var mı? Dayanak 6698 sayılı Kanun m.10 (aydınlatma), m.12 (veri güvenliği), m.16 (VERBİS) ve 7499 sayılı Kanunla yeniden yazılan m.9’dur (yurt dışına aktarım). Uyumsuzluğun bilançosu KVKK cezaları yazımızda; şikayet tarafının nasıl işlediğini görmek isteyen veri sorumluları için KVKK şikayeti nasıl yapılır rehberi ayna işlevi görür.
1. Aşama: Veri Envanteri ve VERBİS
Denetim Gerçeği
Envanter, tüm belgelerin anasıdır
Kurul incelemelerinde ilk istenen belge envanterdir; VERBİS beyanı, aydınlatma metinleri ve imha takvimi envanterle çelişiyorsa uyum kağıt üzerinde kalmış sayılır ve veri güvenliği bendinden ceza riski doğar.
Envanter; hangi verinin, hangi süreçte, hangi hukuki sebeple, ne kadar süreyle işlendiğini ve kimlere aktarıldığını birim bazında haritalar; VERBİS beyanı, saklama-imha politikası ve aydınlatma metinleri bu envanterden beslenir. Envantersiz yazılan metinler denetimde çelişkiyle çöker. VERBİS kayıt yükümlülüğü; Kurulca belirlenen çalışan sayısı ve bilanço eşiklerini aşanlar, ana faaliyeti özel nitelikli veri işlemek olanlar ve kamu kurumları içindir; kayıt ve envanter kurulumunun adım adım anlatımı VERBİS kayıt ve veri envanteri hazırlama yazımızdadır.
2. Aşama: Aydınlatma, Açık Rıza ve Çerez Metinleri
Kurul Uygulaması
Zorlama rıza, rıza değildir
Hizmetin açık rıza şartına bağlanması, önceden işaretli kutucuklar ve tek metinde toplanan battaniye rızalar Kurul kararlarında geçersiz sayılmakta ve aydınlatma ile veri güvenliği bentlerinden ceza uygulanmaktadır.
Aydınlatma yükümlülüğü (m.10); veri sorumlusunun kimliği, işleme amacı, aktarım alıcıları, toplama yöntemi ve hukuki sebebi ile m.11 haklarını, veri toplanmadan önce ve katmanlı biçimde sunmayı gerektirir. Açık rıza; belirli konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle açıklanmış olmalıdır: hizmeti rızaya şart koşmak, kutucuğu önceden işaretlemek ve battaniye rıza almak geçersizdir. Web sitesi, mobil uygulama ve üyelik akışlarındaki tipik hatalar ile çerez yönetimi aydınlatma metni, açık rıza ve çerez politikası hazırlama rehberimizde; ihlal senaryolarının ilgili kişi cephesi açık rıza ve aydınlatma yükümlülüğü ihlalleri yazımızdadır.
Avukata Sor
KVKK Uyum Projesi ve benzeri uyuşmazlıklarda durumunuzu bir avukatla değerlendirin; her dosya kendi delil durumuna göre incelenir.
3. Aşama: Saklama ve İmha Politikası
Kişisel veriler, işleme amacının gerektirdiği süre kadar saklanır; süre dolduğunda silme, yok etme veya anonim hale getirme yükümlülüğü doğar ve periyodik imha, politikada belirlenen aralıklarla (azami altı ay) yürütülür. Politika; veri kategorisi bazlı saklama sürelerini, imha yöntemlerini ve sorumluları içermelidir; kurulum rehberi kişisel veri saklama ve imha politikası yazımızdadır. Süresi dolan veriyi imha etmemek yalnızca idari değil, cezai sorumluluk da doğurur; bkz. verileri yok etmeme suçu (TCK 138).
4. Aşama: Yurt Dışına Veri Aktarımı (2024 Sonrası)
Yeni Rejim (7499 ile m.9)
Üç katman ve 5 iş günü kuralı
Katman 1: yeterlilik kararı verilen ülke, sektör veya uluslararası kuruluşlara aktarım. Katman 2: yeterlilik yoksa uygun güvenceler: Kurulca ilan edilen standart sözleşme (imzadan itibaren 5 iş günü içinde Kuruma bildirim zorunlu; bildirmemek idari para cezasına tabidir), bağlayıcı şirket kuralları (BCR), yazılı taahhütname onayı veya kamu kurumları arası anlaşmalar. Katman 3: arızi haller (açık rıza, sözleşmenin ifası gibi) yalnızca tek seferlik ve süreklilik arz etmeyen aktarımlar içindir. Bulut servisleri, yurt dışı merkezli CRM ve e-posta altyapıları bu rejime tabidir. Araç seçimi ve sözleşme kurulumları yurt dışına veri aktarımı: standart sözleşme ve BCR yazımızda; geçiş dönemine ilişkin pratik yol haritası yurt dışına veri aktarımı 2024 sonrası nasıl yapılır rehberimizdedir.
5. Aşama: Eğitim ve Veri İhlali Müdahale Planı
Veri güvenliği (m.12) teknik tedbir kadar insan davranışıdır: yanlış alıcıya e-posta, kaybolan cihaz ve oltalama, ihlallerin başlıca kaynağıdır. Yıllık farkındalık eğitimi, rol bazlı yetki matrisi ve tatbikatlı ihlal müdahale planı asgari settir. İhlal anında Kurulun 2019/10 sayılı kararı devreye girer: öğrenmeden itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirim, etkilenen kişilere makul en kısa sürede bilgilendirme. Eğitim programı ve plan şablonu KVKK eğitimi ve veri ihlali müdahale planı yazımızda; kriz anı yönetimi veri ihlali 72 saat bildirimi nasıl yönetilir rehberimizde saat saat anlatılmıştır.
6. Aşama: Sektörel Uyum
Bankacılıkta sır saklama ve BDDK ikincil düzenlemeleri, sağlıkta özel nitelikli veri ve hasta mahremiyeti, sigortada SEDDK çerçevesi, e-ticarette 6563 ve İYS, teknolojide bulut ve yapay zeka kullanımları; genel uyumun üzerine sektörel katman gerektirir. Sektör bazlı riskler ve denetim pratiği bankacılık, sağlık, sigorta, e-ticaret ve teknolojide KVKK uyuşmazlıkları yazımızda; çalışan verisi boyutu KVKK ve işçi verileri rehberimizdedir.
KVKK Danışmanlık Ücretleri
Ücretlendirme Ölçütleri
Kapsam ücreti belirler
Ücret; çalışan ve lokasyon sayısı, işlenen veri kategorileri (özel nitelikli veri yoğunluğu), sektörel mevzuat katmanı, yurt dışı aktarım mimarisi ve projenin kapsamına (gap analizi, metin seti, VERBİS, eğitim, yıllık denetim) göre şekillenir. Avukatlık hizmeti niteliğindeki işlerde TBB Avukatlık Asgari Ücret Tarifesi alt sınırdır; yazılı danışmanlık sözleşmesi kapsam ve teslimatları netleştirmelidir.
Uygulama Uyarısı
Şablon set, denetimde savunma üretmez
İnternetten indirilen metinlerle yapılan “kağıt üzerinde uyum”, Kurul incelemesinde envanter-metin çelişkileriyle kolayca çözülür ve idari para cezası iptali davasında da savunmayı zayıflatır. Uyumun amacı denetimi geçmek değil; ihlal olasılığını ve olası cezanın takdirini birlikte düşürmektir. İhlalin tazminat cephesi için KVKK ihlali tazminat davası ana yazımıza bakınız.
Bu yazıda atıf yapılan kanunun güncel ve resmi metnine mevzuat.gov.tr üzerinden ulaşabilirsiniz.
KVKK Uyum Projesi ve Avukat Desteği
Envanterden VERBİS’e, politika setinden ihlal müdahale planına kadar uyum sürecinizi uçtan uca kuruyor ve denetliyoruz.
Sık Sorulan Sorular
KVKK uyum süreci hangi adımlardan oluşur?
Sağlıklı bir uyum projesi şu sırayla ilerler: mevcut durum (gap) analizi; birim bazlı kişisel veri işleme envanterinin çıkarılması; hukuki sebep haritalaması (hangi veri hangi şartla işleniyor); VERBİS yükümlülüğü varsa kayıt; aydınlatma, açık rıza, çerez ve gizlilik metinlerinin süreçlere yerleştirilmesi; saklama ve imha politikası ile periyodik imha takviminin kurulması; sözleşmelerin (çalışan, tedarikçi, veri işleyen) revizyonu; teknik ve idari tedbirlerin belgelenmesi; çalışan eğitimi ve veri ihlali müdahale planı. Uyum bir kerelik proje değil, yıllık denetimle yaşayan bir sistemdir.
VERBİS’e kimler kayıt olmak zorunda?
Kurul kararlarıyla belirlenen eşikleri aşan veri sorumluları kayıt yükümlüsüdür: yıllık çalışan sayısı veya yıllık mali bilanço toplamı Kurulca belirlenen eşiklerin üzerinde olanlar, ana faaliyeti özel nitelikli kişisel veri işleme olan gerçek ve tüzel kişiler ile kamu kurumları ve yurt dışında yerleşik veri sorumluları. Eşik altında kalanlar için kayıt muafiyeti, envanter ve aydınlatma yükümlülüklerini kaldırmaz. Kayıt yükümlülüğünün ihlali, 2026 itibarıyla milyonlarca liraya ulaşan idari para cezasına tabidir; güncel eşik ve süreç ayrıntısı VERBİS rehberimizdedir.
2024 sonrası yurt dışına veri aktarımı nasıl yapılır?
7499 sayılı Kanunla değişik m.9 üç katmanlı bir rejim kurar: birinci yol, Kurulca hakkında yeterlilik kararı verilen ülkelere aktarım; ikinci yol, yeterlilik kararı yoksa uygun güvencelerden biri: Kurulca ilan edilen standart sözleşmenin imzalanması (imzadan itibaren beş iş günü içinde Kuruma bildirim zorunludur), bağlayıcı şirket kuralları (BCR) onayı, taahhütname onayı veya kamu kurumları arası anlaşma; üçüncü yol, bunlar yoksa açık rıza ve sözleşme gerekliliği gibi arızi hallerle sınırlı aktarım. Eski rejimdeki salt açık rızaya dayalı sürekli aktarım dönemi kapanmıştır.
Veri ihlali yaşarsak 72 saatlik süreci nasıl yönetmeliyiz?
Kurulun 2019/10 sayılı kararı uyarınca veri sorumlusu, ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirmek, ihlalden etkilenen kişilere de makul en kısa sürede ulaşmak zorundadır. Doğru yönetim; ihlalin tespiti ve kayıt altına alınması, etki analizi, Kurul bildirim formunun doldurulması, 72 saat aşılacaksa gerekçenin hazırlanması, ilgili kişi bildirim metni ve delillerin korunması adımlarını içerir. Bildirmemek veya geciktirmek, ihlalin kendisinden daha ağır cezalandırılabilmektedir; hazır bir müdahale planı bu riski yönetir.
KVKK danışmanlık ücretleri ne kadar?
Sabit bir tarife yoktur; ücret, şirketin ölçeğine, veri işleme karmaşıklığına, lokasyon ve iştirak sayısına, sektörel mevzuata (bankacılık, sağlık gibi) ve projenin kapsamına (yalnız metin seti mi, uçtan uca uyum ve eğitim mi) göre belirlenir. Avukatlık hizmeti niteliğindeki işlerde TBB Avukatlık Asgari Ücret Tarifesi alt sınır oluşturur; yazılı sözleşmeyle kapsamın, teslimatların ve sürelerin netleştirilmesi hem veri sorumlusunu hem danışmanı korur. Ucuz görünen kopyala-yapıştır metin setleri, denetimde en pahalı seçenek haline gelmektedir.
