Sektörel KVKK Uyumu: Bankacılık, Sağlık, Sigorta, E-Ticaret ve Teknoloji Rehberi (2026)
KVKK tek tip bir mevzuat gibi görünse de uygulaması sektöre göre başkalaşır; çünkü veri-yoğun sektörlerin her biri, 6698 sayılı Kanunun üzerine binen ikinci bir düzenleme katmanına tabidir. Bankacılıkta 5411 sayılı Kanunun müşteri sırrı rejimi ve sır niteliğindeki bilgilerin paylaşımına ilişkin yönetmelik, yurt dışına aktarımı KVKK’dan da sıkı kurallara bağlar. Sağlıkta veriler özel niteliklidir; işleme, m.6’nın 2024’te yeniden yazılan şartlarına ve sır saklama yükümlülüğü altındaki kişiler istisnasına dayanır. Sigortacılıkta SEDDK düzenlemeleri, e-ticarette 6563 sayılı Kanun ve İYS onay sistemi, teknoloji sektöründe ise bulut altyapıları, alt işleyen zincirleri ve yurt dışı aktarım mekanizmaları uyumun ağırlık merkezidir. Ana faaliyeti özel nitelikli veri işlemek olan kuruluşlarda VERBİS kaydı eşiksiz zorunludur ve bu sektörlerde bir ihlal; KVKK cezasının yanına sektör düzenleyicisinin (BDDK, SEDDK, Sağlık Bakanlığı) yaptırımlarını da ekleyerek katmanlı sorumluluk doğurur.
Neden Sektörel Yaklaşım Gerekir?
KVKK bir çerçeve kanundur; sahada her sektörün üzerine kendi ikincil mevzuatı biner ve uyum, bu iki katmanın kesişiminde kurulur. Bankanın “açık rıza aldım” savunması müşteri sırrı rejiminde yetersiz kalabilir; hastanenin rıza toplamaya çalışması, sır saklama istisnasını bilmediğini gösterebilir. Genel uyum adımları KVKK uyum süreci ve danışmanlığı ana rehberimizde; bu yazı, o iskeletin sektörlere göre nasıl etlendiğini gösterir. Temel kanun metni için 6698 sayılı Kanun her sektörün ortak zeminidir.
Bankacılık ve Finans: Çifte Sır Rejimi
5411 + KVKK
Müşteri sırrı, KVKK’dan sıkı bir katmandır
5411 sayılı Bankacılık Kanunu uyarınca müşteri sırrı niteliğindeki bilgiler; sır saklama yükümlülüğüne tabidir ve paylaşımı, sır paylaşım yönetmeliğindeki dar hallere bağlıdır. Yurt dışına aktarımda KVKK m.9 mekanizması gerekli ama yeterli değildir; bankacılık mevzuatındaki şartlar ayrıca sağlanmalıdır. Finansta ayrıca; kredi süreçlerinde otomatik karar sistemleri, açık bankacılık paylaşımları ve çağrı kayıtlarının saklama süreleri tipik risk alanlarıdır. Bu sektörde uyum, hukuk-uyum-bilgi güvenliği üçlüsünün ortak programıdır.
Sağlık: Özel Nitelikli Verinin Kalbi
m.6 Yeni Rejim
Tedavi için rıza toplamak, mevzuatı bilmemektir
2024’te yeniden yazılan m.6 uyarınca; sır saklama yükümlülüğü altındaki kişilerce tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi amacıyla işleme, açık rıza aranmaksızın hukuka uygundur. Hastalara tedavi için rıza formu imzalatmak; hem gereksizdir hem rıza geri alındığında sürecin dayanağını tartışmalı kılar. Rıza, yalnızca istisnalara girmeyen amaçlar (pazarlama, memnuniyet aramaları) için doğru araçtır.
Sağlık kuruluşlarında işlenen verinin neredeyse tamamı özel niteliklidir; bu, iki ağır sonuç doğurur: ana faaliyet özel nitelikli veri işlemek olduğundan VERBİS kaydı eşiksiz zorunludur (ayrıntı: VERBİS kaydı ve veri envanteri) ve işleme, m.6’nın sıkı şartlarına bağlıdır. Tedavi zinciri içindeki işleme, sır saklama yükümlülüğü altındaki kişiler istisnasıyla rızasız yürür; laboratuvar sonucunun yanlış kişiye gönderilmesi, hasta dosyasına yetkisiz erişim ve pazarlama amaçlı kullanım ise bu sektörün klasik ihlal üçlüsüdür. Kamera, randevu sistemleri ve hasta yakını bilgilendirmesi için kanal bazlı aydınlatma mimarisi şarttır; kurulum için aydınlatma metni hazırlama rehberimize bakınız.
Avukata Sor
Sektörünüze Özgü Uyum Desteği ve benzeri uyuşmazlıklarda durumunuzu bir avukatla değerlendirin; her dosya kendi delil durumuna göre incelenir.
Sigorta: SEDDK Katmanı
Zincir Sorumluluğu
Acentenin hatası şirketin dosyasına yazılır
Kurul pratiğinde; acente veya eksper elindeki verilerin sızması, sözleşmesel denetim mekanizması kurmayan sigorta şirketinin tedbir eksikliği olarak değerlendirilebilir. Acente sözleşmelerine veri koruma ekleri, ihlal bildirim süreleri ve denetim hakları yazılmadan dağıtım ağı büyütülmemelidir.
Sigortacılıkta; sağlık beyanları ve ekspertiz kayıtları nedeniyle özel nitelikli veri yoğunluğu yüksektir, SEDDK’nın bilgi sistemleri ve dış hizmet alımına ilişkin düzenlemeleri ek yükümlülük katmanı kurar. Acente ve eksper ağı, veri sorumlusu-işleyen ilişkilerinin sözleşmesel haritasını zorunlu kılar: acentenin topladığı teklif verisinin kim adına işlendiği, poliçe sonrası pazarlamada kimin rıza yönetiminden sorumlu olduğu yazılı kurgulanmalıdır. Hasar dosyalarındaki üçüncü kişi verileri (karşı araç sürücüsü, tanıklar) çoğu şirketin envanterinde unutulan kalemdir.
E-Ticaret: İYS, Çerez ve Üyelik
6563 + KVKK
Pazarlama motoru, ceza motoruna dönüşmesin
E-ticarette uyumun üç sıcak noktası; ticari ileti onayları ve İYS yönetimi, çerez rızası ile üyelik formlarında hizmeti pazarlama rızasına bağlama yasağıdır. Sepet hatırlatma, terk edilmiş sepet iletileri ve profilleme; onay ve aydınlatma mimarisi doğru kurulmadığında ileti başına kesilen cezalarla katlanan risk üretir. Ödeme kuruluşu, kargo ve pazaryeri entegrasyonları veri işleyen sözleşmeleriyle bağlanmalı; yurt dışı altyapılar aktarım mekanizmasına oturtulmalıdır, bkz. 2024 sonrası yurt dışına veri aktarımı.
Teknoloji ve SaaS: Alt İşleyen Zinciri
Yazılım ve bulut şirketlerinde uyumun merkezi sözleşme mimarisidir: müşterilerle veri işleme ekleri (DPA), alt işleyenlerle sırt sırta güvence hükümleri, yurt dışı barındırmada standart sözleşme ve bildirim yükümlülükleri. Ürün analitiği ve yapay zeka eğitim verisi kullanımı, veri sorumlusu şapkasıyla ayrıca aydınlatma ve hukuki sebep ister. Bu sektörde ihlal, aynı anda onlarca müşteriyi etkilediğinden müdahale planının müşteri bildirim modülü kritik önemdedir; plan kurulumu için KVKK eğitimi ve veri ihlali müdahale planı rehberimize bakınız.
Sektörler Arası Karşılaştırma Tablosu
| Sektör | Ek Mevzuat Katmanı | Kritik Risk Alanı |
|---|---|---|
| Bankacılık | 5411 müşteri sırrı, BDDK düzenlemeleri | Yurt dışı paylaşım, açık bankacılık, çağrı kayıtları |
| Sağlık | Sağlık mevzuatı, m.6 özel rejim | Yetkisiz dosya erişimi, pazarlama kullanımı |
| Sigorta | SEDDK bilgi sistemleri kuralları | Acente-eksper zinciri, sağlık beyanları |
| E-ticaret | 6563, İYS, tüketici mevzuatı | İleti onayları, çerezler, üyelik formları |
| Teknoloji/SaaS | Sözleşmesel DPA rejimi | Alt işleyen zinciri, yurt dışı barındırma |
Katmanlı Yaptırım Riski
Tek İhlal, Dört Cephe
Ceza aritmetiği sektörde katlanır
Veri-yoğun bir sektörde tek ihlal; Kurul cezası, sektör düzenleyicisinin yaptırımı, ilgili kişilerin tazminat davaları ve koşullarına göre ceza soruşturması olmak üzere dört cephede sonuç doğurabilir. Bu yüzden sektörel uyum, genel uyumun süslemesi değil çekirdeğidir. İhlal gerçekleştiğinde ilk 72 saatin yönetimi cephelerin tamamını etkiler; usul için 72 saat veri ihlali bildirimi, kriz akışı için veri ihlali yaşadık, ne yapmalıyız rehberlerimizi inceleyiniz.
Sektörünüze Özgü Uyum Desteği ve Avukat Desteği
Faaliyet alanınızdaki ikincil mevzuatla KVKK yükümlülüklerinin birlikte haritalanması ve uyum programınızın kurulması için birlikte çalışalım.
Sık Sorulan Sorular
Bankalar müşteri verilerini yurt dışına aktarabilir mi?
Bankalarda çifte rejim işler: KVKK m.9’daki aktarım mekanizmalarına ek olarak 5411 sayılı Kanunun müşteri sırrı hükümleri ve sır niteliğindeki bilgilerin paylaşılmasına ilişkin ikincil düzenlemeler devreye girer; müşteri sırrı niteliğindeki verilerin yurt dışına aktarımı, kural olarak müşterinin talep veya talimatına ve mevzuattaki dar istisnalara bağlıdır. Yani bir banka, standart sözleşme imzalamakla yetinemez; bankacılık mevzuatındaki paylaşım şartlarını da ayrıca sağlamak zorundadır. Bu alan, iki mevzuatın kesişiminde uzman analiz gerektirir.
Hastaneler ve klinikler hasta verilerini hangi şartla işleyebilir?
Sağlık verisi özel niteliklidir ve 2024’te yeniden yazılan m.6 rejimine tabidir: açık rıza bir seçenektir; ancak sır saklama yükümlülüğü altındaki kişiler veya yetkili kurumlarca; kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla işleme, rıza aranmaksızın mümkündür. Pratik sonuç: tedavi sürecinin gerektirdiği işleme rızaya bağlanmaz; pazarlama, hasta memnuniyet aramaları ve tanıtım iletişimi ise bu istisnaya sığmaz, ayrı rıza ister.
E-ticaret sitemiz için KVKK uyumunun öncelikleri neler?
Dört öncelik öne çıkar: üyelik ve sipariş süreçlerinde kanal bazlı aydınlatma ile hizmeti pazarlama rızasına bağlamayan form mimarisi; ticari elektronik iletiler için İYS üzerinden onay yönetimi ve ret taleplerinin gecikmesiz işlenmesi; çerez banner’ında reklam-analitik çerezler için geçerli rıza kurgusu; ödeme ve kargo entegrasyonlarında veri işleyen sözleşmeleri ile yurt dışı altyapıların aktarım mekanizmasına bağlanması. Sepet hatırlatma iletileri ve profilleme, en sık şikayet üreten alanlardır; ileti rejiminin cezaları için izinsiz ticari ileti rehberimize bakınız.
SaaS ve yazılım şirketleri veri sorumlusu mu, veri işleyen mi?
Çoğu senaryoda ikili şapka vardır: müşterileriniz adına barındırdığınız veriler bakımından veri işleyensiniz; kendi çalışanlarınız, potansiyel müşteri kayıtlarınız ve ürün analitiği bakımından veri sorumlususunuz. Veri işleyen sıfatı sorumluluğu kaldırmaz: m.12 güvenlik yükümlülüğü müştereken sürer, yurt dışı aktarımda standart sözleşme ve bildirim yükümlülükleri veri işleyenler için de işler ve müşteri sözleşmelerindeki veri işleme ekleri (DPA) alt işleyen yetkilendirmelerini düzenlemek zorundadır. Alt işleyen zincirinin haritalanmaması, bu sektörün en pahalı hatasıdır.
Sektör düzenleyicisinin cezası ile KVKK cezası aynı anda uygulanabilir mi?
Evet; korunan hukuki yararlar farklı olduğundan katmanlı yaptırım mümkündür. Bir bankadan müşteri verisi sızdığında BDDK süreçleri ile Kurul incelemesi paralel yürüyebilir; bir hastane ihlalinde Sağlık Bakanlığı denetimi, Kurul cezasını dışlamaz. Buna ilgili kişilerin tazminat davaları, koşullarına göre TCK soruşturmaları ve sözleşmesel sorumluluklar eklenir. Bu katmanlılık, veri-yoğun sektörlerde uyumun neden yönetim kurulu seviyesinde ele alınması gerektiğinin cevabıdır; ihlal anında bildirim yönetimi için 72 saat rehberlerimiz yol göstericidir.
