KVKK Veri Sorumlusu Nedir? Hak ve Yükümlülükleri

Kısa Tanım

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) uyarınca veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir. Kısaca, verilerin neden ve nasıl işleneceğine karar veren taraf veri sorumlusudur. Bu kavram, veri işleyen (sadece veri sorumlusunun verdiği yetkiye dayanarak veri işleyen kişi) ile karıştırılmamalıdır. Veri sorumlusu, KVKK'nın getirdiği yükümlülüklerin muhatabı olup, veri işleme faaliyetlerinin hukuka uygunluğundan nihai olarak sorumludur.

Detaylı Açıklama

1. Veri Sorumlusu Kavramı ve Hukuki Dayanağı

KVKK'nın 3. maddesinin (ı) bendinde veri sorumlusu, "Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi" olarak tanımlanmıştır. Bu tanım, Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) ile uyumlu olup, veri sorumlusunun kim olduğunu belirlemede iki temel kriter öne çıkar:

• İşleme amaçlarını belirleme: Verilerin hangi amaçla işleneceğine karar verme yetkisi.
• İşleme vasıtalarını belirleme: Verilerin hangi yöntemlerle (otomatik veya manuel) işleneceğini belirleme yetkisi.

Örneğin, bir e-ticaret şirketi müşterilerinin sipariş bilgilerini işlerken, bu verilerin hangi amaçla (siparişin teslimi) ve hangi yöntemle (dijital ortamda) işleneceğine karar veriyorsa veri sorumlusudur. Şirketin bu işlemleri bir yazılım firmasına devretmesi durumunda ise yazılım firması veri işleyen konumundadır.

2. Veri Sorumlusu ile Veri İşleyen Arasındaki Fark

KVKK'nın 3. maddesinin (ğ) bendinde veri işleyen, "Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi" olarak tanımlanmıştır. Temel fark, karar verme yetkisinin veri sorumlusunda olmasıdır. Veri işleyen, veri sorumlusunun talimatları doğrultusunda hareket eder ve kendi başına işleme amacı belirleyemez. Örneğin, bir şirketin insan kaynakları maaşlarını hesaplamak için dışarıdan bir muhasebe firmasıyla anlaşması durumunda, muhasebe firması veri işleyendir; çünkü maaş verilerini işleme amacı şirket tarafından belirlenmiştir.

3. Veri Sorumlusunun Yükümlülükleri

KVKK'nın 10. maddesi ve devamında veri sorumlusuna çeşitli yükümlülükler getirilmiştir. Bunların başlıcaları şunlardır:

#### a) Aydınlatma Yükümlülüğü

Veri sorumlusu, kişisel verileri elde ederken ilgili kişiyi aydınlatmakla yükümlüdür (KVKK m.10). Aydınlatma kapsamında; veri sorumlusunun kimliği, verilerin hangi amaçla işleneceği, işlenen verilerin kimlere ve hangi amaçla aktarılabileceği, veri toplamanın yöntemi ve hukuki sebebi ile ilgili kişinin hakları konusunda bilgi verilmelidir. Aydınlatma yükümlülüğü, açık rıza alınmasından bağımsız olarak her durumda yerine getirilmelidir.

#### b) Veri İşleme Şartlarına Uyma

KVKK'nın 5. maddesi, kişisel verilerin ancak belirli şartların varlığı halinde işlenebileceğini düzenler. Bu şartlar şunlardır:

• İlgili kişinin açık rızasının bulunması,
• Kanunlarda açıkça öngörülmesi,
• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda olan kişinin kendisinin ya da başka bir kişinin hayatı veya beden bütünlüğünün korunması için zorunlu olması,
• Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması,
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
• İlgili kişinin kendisi tarafından alenileştirilmiş olması,
• Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.

Özel nitelikli kişisel veriler (sağlık, cinsel hayat, din, ırk vb.) için ise KVKK'nın 6. maddesi daha sıkı şartlar öngörmüştür. Bu veriler, ilgilinin açık rızası olmaksızın işlenemez; ancak belirli istisnalar (kamu sağlığı, koruyucu hekimlik, tıbbi teşhis vb.) mevcuttur.

#### c) Veri Güvenliğini Sağlama

KVKK'nın 12. maddesi, veri sorumlusunu kişisel verilerin hukuka aykırı işlenmesini önlemek, verilere hukuka aykırı erişimi engellemek ve verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirleri almakla yükümlü kılmıştır. Bu kapsamda veri sorumlusu, risk analizi yapmalı, personelini eğitmeli, erişim kontrolleri oluşturmalı ve gerekli durumlarda veri işleyenlerle sözleşmeler yapmalıdır.

#### d) Veri Sorumlusu Siciline Kayıt Yükümlülüğü

KVKK'nın 16. maddesi uyarınca, veri sorumluları Veri Sorumluları Sicili'ne (VERBİS) kaydolmak zorundadır. Kayıt yükümlülüğü, belirli istisnalar dışında tüm veri sorumlularını kapsar. Kayıt sırasında veri sorumlusunun kimlik bilgileri, işlediği veri kategorileri, veri aktarımı yapılan alıcı grupları, yurt dışına aktarım yapılıyorsa bu aktarımların amacı ve güvenlik tedbirleri gibi bilgiler beyan edilir.

#### e) İlgili Kişinin Başvurularını Yanıtlama

KVKK'nın 13. maddesi, ilgili kişinin kendisiyle ilgili veriler hakkında veri sorumlusuna başvuruda bulunabileceğini ve veri sorumlusunun bu başvuruyu en geç 30 gün içinde sonuçlandırması gerektiğini düzenler. Başvuru sonucu ücretsiz olarak yanıtlanmalı; ancak işlemin ayrıca maliyet gerektirmesi halinde ücret talep edilebilir.

#### f) Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi

KVKK'nın 7. maddesi, işlenmesini gerektiren sebeplerin ortadan kalkması halinde veri sorumlusunun, kişisel verileri resen veya ilgili kişinin talebi üzerine silmek, yok etmek veya anonim hale getirmekle yükümlü olduğunu hükme bağlar. Bu yükümlülük, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik'te ayrıntılı olarak düzenlenmiştir.

4. Veri Sorumlusunun Hakları

Veri sorumlusunun hakları, KVKK'da doğrudan düzenlenmemiş olmakla birlikte, genel hukuk ilkeleri çerçevesinde değerlendirilebilir. Veri sorumlusu, ilgili kişinin taleplerini reddetme hakkına sahiptir (örneğin, talebin haksız olması veya veri işlemenin hukuka uygun olması durumunda). Ayrıca, veri sorumlusu, KVKK'nın 15. maddesi uyarınca Kurul kararlarına karşı idari yargıda dava açma hakkına sahiptir.

5. 2026 Yılı Güncel Cezai Yaptırımlar

KVKK'nın 18. maddesi uyarınca, veri sorumlusuna ve veri işleyene idari para cezaları öngörülmüştür. 2026 yılı için yeniden değerleme oranı dikkate alınarak belirlenen ceza tutarları şu şekildedir:

• Aydınlatma yükümlülüğünü yerine getirmeyenler: 59.864 TL'den 1.497.690 TL'ye kadar,
• Veri güvenliği yükümlülüklerini yerine getirmeyenler: 119.815 TL'den 5.990.760 TL'ye kadar,
• VERBİS'e kayıt ve bildirim yükümlülüğüne aykırı hareket edenler: 239.630 TL'den 5.990.760 TL'ye kadar,
• Kurul tarafından verilen kararları yerine getirmeyenler: 299.538 TL'den 5.990.760 TL'ye kadar.

Ayrıca, KVKK'nın 17. maddesi uyarınca, kişisel verileri hukuka aykırı olarak işleyen veya yayan kişiler hakkında Türk Ceza Kanunu'nun 135. ila 140. maddeleri uyarınca ceza yargılaması yapılır. Örneğin, verileri hukuka aykırı olarak ele geçiren veya yayan kişi 1 yıldan 4 yıla kadar hapis cezası ile cezalandırılabilir.

6. Sonuç

KVKK veri sorumlusu, kişisel verilerin korunması rejiminin merkezinde yer alır. Veri sorumlusunun hak ve yükümlülüklerini bilmesi, hem hukuka uygunluk hem de olası idari para cezalarından kaçınmak açısından büyük önem taşır. Bu rehberde açıklanan yükümlülüklerin yerine getirilmesi, veri sorumlularının KVKK'ya tam uyum sağlamasına yardımcı olacaktır.

Sıkça Sorulan Sorular

Veri sorumlusu ile veri işleyen arasındaki fark nedir?

Veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen kişidir; veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına veri işleyen gerçek veya tüzel kişidir. Örneğin, bir şirket müşteri verilerini işlerken veri sorumlusudur; bu verileri bulutta saklamak için bir bulut sağlayıcısıyla anlaşırsa, bulut sağlayıcısı veri işleyendir.

KVKK'ya göre veri sorumlusunun yükümlülükleri nelerdir?

Veri sorumlusunun başlıca yükümlülükleri şunlardır: aydınlatma yükümlülüğü, veri işleme şartlarına uyma, veri güvenliğini sağlama, VERBİS'e kayıt olma, ilgili kişinin başvurularını yanıtlama ve verileri silme/yok etme/anonim hale getirme yükümlülüğüdür.

2026 yılında KVKK ihlallerinde uygulanacak idari para cezaları nelerdir?

2026 yılı için yeniden değerleme oranına göre, aydınlatma yükümlülüğünü ihlal edenlere 59.864 TL'den 1.497.690 TL'ye kadar, veri güvenliği yükümlülüklerini ihlal edenlere 119.815 TL'den 5.990.760 TL'ye kadar, VERBİS'e kayıt yükümlülüğünü ihlal edenlere 239.630 TL'den 5.990.760 TL'ye kadar idari para cezası verilebilir.