6698 sayılı Kanun (KVKK): işletme ne yapmalı, 2026 cezaları

Bu yazı genel bilgilendirme içindir, hukuki danışmanlık değildir. Kendi durumunuz için bir avukata danışın; güncel kuralları kvkk.gov.tr'den kontrol edin.

6698 sayılı Kanun, Kişisel Verilerin Korunması Kanunu'dur; kısaca KVKK denir. Müşterisinin adını, telefonunu ya da adresini kaydeden her işletme bu kanuna uymak zorundadır: tek kişilik kuaför de, 40 çalışanlı mağaza da. Küçük bir işletmeden istenenler beş başlıkta toplanır: kişiyi bilgilendirmek, gerektiğinde açık rıza almak, verileri korumak, sızıntıyı 72 saat içinde bildirmek ve kişinin başvurusuna 30 gün içinde cevap vermek.

VERBİS kaydı ise çoğu küçük işletme için zorunlu değildir. Kuralları çiğnemenin bedeli, 2026 için 85.437 TL'den başlayan idari para cezalarıdır. Aşağıda her başlığı bir işletme sahibinin günlük işine çevirerek anlatıyoruz.

6698 sayılı Kanun kimleri kapsar?

Kanun 24 Mart 2016 tarihlidir ve kişisel veri işleyen herkesi kapsar. Kişisel veri, kimliği belli ya da belirlenebilir bir kişiye ait her bilgidir: ad, telefon numarası, adres, plaka, fotoğraf, kamera görüntüsü, WhatsApp yazışması. İşleme de geniş bir kavramdır; veriyi kaydetmek, saklamak, değiştirmek, paylaşmak ve silmek hepsi işlemedir.

Kanunda iki rol vardır. Verinin neden ve nasıl işleneceğine karar veren kişi veri sorumlusudur; işletmenizin müşteri listesi için bu sizsiniz. Sizin adınıza ve verdiğiniz yetkiyle veriyi işleyen hizmet sağlayıcıya (örneğin bulut depolama ya da web sitesi altyapısı) veri işleyen denir. İdari para cezaları veri sorumlusu olan gerçek kişilere ve şirketlere uygulanır; yani şahıs şirketi sahibi de kapsamın içindedir.

Küçük bir işletmede kişisel veri genellikle şu yerlerde durur:

Nerede?	Hangi veri?	İlk yapılacak iş
Randevu defteri, ajanda	Ad, telefon, randevu saati	Defteri herkesin görebileceği yerde bırakmamak
WhatsApp ve Instagram mesajları	Ad, numara, adres, fotoğraf	Telefonu şifrelemek, çalışan ayrılınca erişimi kapatmak
Web sitesi formu	Ad, e-posta, mesaj	Formun altına aydınlatma metni bağlantısı koymak
Güvenlik kamerası	Görüntü	Girişe görünür bir bilgilendirme yazısı asmak
Personel dosyaları	Kimlik, adres, sağlık raporu	Kilitli dolapta ya da şifreli klasörde saklamak
Kargo ve fatura kayıtları	Ad, adres, vergi numarası	Yalnızca gereken kişilerin erişmesini sağlamak

Kişisel veri mi, özel nitelikli kişisel veri mi?

Kanun bazı verileri daha hassas sayar ve bunlara özel nitelikli kişisel veri der. Madde 6'daki liste şudur: ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep ve diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleri ile biyometrik ve genetik veriler.

İşletme dilinde bunun karşılığı şöyledir: klinikteki hasta kaydı sağlık verisidir; güzellik merkezinde danışanın cilt hastalığına dair not sağlık verisidir; spor salonunun parmak izli turnikesi biyometrik veri işler. Bu veriler kural olarak işlenemez; ancak kanunun saydığı şartlardan biri varsa işlenebilir.

7499 sayılı Kanun'la yapılan ve 1 Haziran 2024'te yürürlüğe giren değişiklik bu şartları genişletti. Örneğin sağlık verisi, sır saklama yükümlülüğü altındaki kişilerce (hekim gibi) teşhis, tedavi ve bakım hizmeti için açık rıza aranmadan işlenebilir. Personelin sağlık raporu gibi veriler de iş sağlığı ve sosyal güvenlikteki hukuki yükümlülükler için işlenebilir. Ama aynı hasta listesine kampanya mesajı göndermek bu şartların hiçbirine girmez. Sağlık alanında çalışıyorsanız doktor ve klinik siteleri için kurallar yazımıza da bakın.

Açık rıza ne zaman gerekir, ne zaman gerekmez?

Açık rıza, kanundaki tanımıyla “belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza”dır. Sık yapılan hata, her şey için açık rıza istemektir. Kanunun 5. maddesi, açık rıza aranmadan veri işlenebilecek durumları sayar: kanunda açıkça öngörülmesi, bir sözleşmenin kurulması ya da yerine getirilmesi için gerekmesi, işletmenin hukuki yükümlülüğü, kişinin bilgiyi kendisinin herkese açması, bir hakkın korunması ve kişinin temel haklarına zarar vermemek kaydıyla işletmenin meşru menfaati.

Bunlardan biri varsa açık rıza istemeniz gerekmez; hiçbiri yoksa açık rıza alırsınız. Günlük işlerde durum kabaca şöyledir:

Ne yapıyorsunuz?	Dayanak	Açık rıza
Siparişi göndermek için adres almak	Sözleşmenin yerine getirilmesi	Gerekmez
Fatura için ad ve vergi numarası almak	Hukuki yükümlülük	Gerekmez
Randevu için telefon numarası almak	Sözleşmenin kurulması	Gerekmez
Hasta bilgisini tedavi için kaydetmek (hekim)	Madde 6, sağlık hizmeti	Gerekmez
Müşterinin fotoğrafını Instagram'da paylaşmak	Diğer şartlar genelde uymaz	Gerekir
Müşteri listesine kampanya mesajı göndermek	Diğer şartlar uymaz	Gerekir; ayrıca ticari ileti onayı

Son satırdaki ticari ileti onayı ayrı bir kanundan (6563 sayılı Kanun) gelir ve SMS ya da e-postayla tanıtım göndermeden önce alınır. Ayrıntısı İYS ve ticari ileti izni yazımızda.

Açık rıza alırken üç şeye dikkat edin. Rızayı hizmetin şartı yapmayın: “Fotoğrafınızı paylaşmamıza izin vermezseniz randevu veremeyiz” demek özgür iradeyle bağdaşmaz. Onay kutusunu önceden işaretli bırakmayın. Rıza metnini aydınlatma metninden ayrı tutun ki kişi neyi onayladığını açıkça görsün.

Aydınlatma: müşteriye ne söylemeniz gerekir?

Açık rıza gereksin ya da gerekmesin, veriyi alırken kişiyi bilgilendirmek her zaman zorunludur. Buna aydınlatma yükümlülüğü denir. Madde 10'a göre kişiye şunlar söylenir:

1. İşletmenin (veri sorumlusunun) kimliği,
2. Verinin hangi amaçla işleneceği,
3. Kimlere ve hangi amaçla aktarılabileceği,
4. Verinin hangi yolla ve hangi hukuki sebeple toplandığı,
5. Kişinin Madde 11'deki hakları.

Bu bilgiyi verinin toplandığı yerde verin: web sitesi formunun altında bir bağlantı, kasanın yanında ya da girişte bir yazı, kamera olan yerde görünür bir levha. Metnin nasıl yazılacağını adım adım KVKK aydınlatma metni rehberimizde anlattık. Siteniz çerez kullanıyorsa çerez politikası ve çerez bandı da aynı işin parçasıdır.

VERBİS kaydı kimlere zorunlu? 2026 eşikleri

VERBİS, Veri Sorumluları Sicil Bilgi Sistemi'dir. Kayıt yükümlüsü işletmeler hangi verileri neden işlediklerini buraya bildirir. Kurul, küçük işletmeleri bu kayıttan muaf tutar; ölçütler en son 4 Eylül 2025 tarihli ve 2025/1572 sayılı kararla güncellendi:

İşletmenin durumu	Kayıt gerekmez	Kayıt gerekir
Ana faaliyeti özel nitelikli veri işlemek değil (kuaför, emlakçı, butik, oto yıkama, kafe)	Yıllık çalışan 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'den az	Çalışan 50 ya da fazla veya bilanço 100 milyon TL ya da fazla
Ana faaliyeti özel nitelikli veri işlemek (örneğin muayenehane, sağlık kuruluşu)	Yıllık çalışan 10'dan az ve yıllık mali bilanço toplamı 10 milyon TL'den az	Çalışan 10 ya da fazla veya bilanço 10 milyon TL ya da fazla

Kurul'un 25 Aralık 2025 tarihli ve 2025/2393 sayılı kararına göre, bilanço esasına göre defter tutmayan işletmelerde yalnızca çalışan sayısına bakılır. İşletme hesabı esasına göre defter tutan çoğu şahıs işletmesi bu gruptadır. Bilanço esasına göre defter tutanlarda iki ölçüt birlikte uygulanır.

Örnek: 3 çalışanlı, işletme hesabı esasına göre defter tutan bir diş muayenehanesi düşünelim. Ana faaliyeti sağlık verisi işlemek olduğu için 10 çalışan eşiğine bakılır; 3 çalışanla eşiğin altında kalır ve VERBİS'e kayıt olması gerekmez. 60 çalışanlı bir mağaza zinciri ise bilançosu ne olursa olsun kayıt yükümlüsüdür.

İki önemli not var. Kayıttan muaf olmak, kanunun diğer yükümlülüklerinden muaf olmak demek değildir; aydınlatma, güvenlik ve başvurulara cevap verme her işletme için geçerlidir. Çalışan sayısının ve bilanço toplamının nasıl hesaplanacağı Kurum'un “Sorularla VERBİS” rehberinde anlatılır; eşiğe yakınsanız mali müşavirinizle birlikte bakın.

Veri güvenliği: küçük işletme için 10 maddelik liste

Madde 12, işletmeden verileri korumak için uygun güvenlik düzeyini sağlayan teknik ve idari tedbirleri almasını ister. Kanun belirli bir cihaz ya da program şartı koymaz; ölçü, verinin hassaslığına göre makul önlem almaktır. Küçük bir işletme için şu liste iyi bir başlangıçtır:

1. Gerekmeyen veriyi toplamayın. Randevu için ad ve telefon yetiyorsa kimlik numarası istemeyin; kanun verinin amaçla sınırlı ve ölçülü olmasını ister.
2. Müşteri bilgisi tutan bilgisayarı, telefonu ve tableti şifreleyin.
3. E-posta, Instagram ve WhatsApp hesaplarında iki adımlı doğrulamayı açın.
4. Her çalışana yalnızca işi için gereken erişimi verin; ortak şifre kullanmayın.
5. Çalışan ayrıldığı gün hesaplara ve iş gruplarına erişimini kapatın.
6. Kâğıt dosyaları, randevu defterini ve personel dosyalarını kilitli dolapta tutun.
7. Müşteri listesini ve yazışmaları çalışanların kişisel telefonlarına taşımayın.
8. Verilerin düzenli yedeğini alın ve yedeği de şifreleyin.
9. Çalışanlarla gizlilik taahhüdü imzalayın; neyin paylaşılmayacağını yazılı olarak söyleyin.
10. İşi biten veriyi silin. Kanun, verinin işlendiği amaç için gereken süre kadar saklanmasını ister.

Silme için ayrı bir yönetmelik vardır. Kişisel veri saklama ve imha politikası hazırlayan işletmeler (VERBİS'e kayıt yükümlüleri bu politikayı hazırlar) silme işini politikada belirledikleri, altı ayı geçmeyen aralıklarla yapar. Politikası olmayan işletme, silme yükümlülüğü doğduktan sonra üç ay içinde veriyi siler.

Veri sızarsa ne yapmalısınız? 72 saat kuralı

Telefonunuz çalındı ve içinde müşteri listesi vardı ya da web sitenizin formuna yetkisiz erişildi. Kanun bu durumda işletmenin en kısa sürede hem Kurul'a hem de etkilenen kişilere haber vermesini ister. Kurul, 2019/10 sayılı kararıyla bu süreyi ihlali öğrendiğiniz andan itibaren 72 saat olarak belirledi.

1. Sızıntıyı durdurun: şifreleri değiştirin, çalınan cihazı uzaktan kilitleyin ya da silin.
2. Hangi verinin ve kaç kişinin etkilendiğini not alın.
3. 72 saat içinde Kurum'un Kişisel Veri İhlal Bildirim Formu ile Kurul'a bildirin. Bilgilerin hepsi hazır değilse aşamalı olarak verebilirsiniz; gecikirseniz gecikmenin gerekçesini de yazarsınız.
4. Etkilenen kişileri belirledikten sonra makul en kısa sürede onlara da haber verin: iletişim bilginiz varsa doğrudan, yoksa web siteniz gibi bir yolla.

Müşteri “verilerimi silin” derse ne olur?

Madde 11 herkese şu hakları tanır: verisinin işlenip işlenmediğini öğrenmek, bilgi istemek, amacı ve kimlere aktarıldığını öğrenmek, yanlışsa düzeltilmesini, işleme sebebi kalmadıysa silinmesini istemek ve kanuna aykırı işlemeden doğan zararın giderilmesini talep etmek.

Bir müşteri size bu haklardan biriyle başvurursa, talebi en geç 30 gün içinde ve kural olarak ücretsiz sonuçlandırmanız gerekir. Başvuru reddedilir, cevap yetersiz bulunur ya da 30 gün içinde cevap verilmezse kişi Kurul'a şikâyet edebilir. Pratik öneri: başvuruları tek bir e-posta adresinde toplayın, geldiği tarihi not edin ve yasal olarak saklamak zorunda olduğunuz kayıtları (örneğin vergi mevzuatı gereği saklanan faturalar) neden silmediğinizi kısa bir cevapla açıklayın.

2026 için KVKK idari para cezaları

Madde 18'deki cezalar her yıl yeniden değerleme oranıyla artar; 2026 için bu oran yüzde 25,49'dur. Kurum'un yayımladığı 2026 tutarları şöyledir:

Aykırılık	Alt sınır	Üst sınır
Aydınlatma yükümlülüğünü yerine getirmemek (Madde 10)	85.437 TL	1.709.200 TL
Veri güvenliği yükümlülüklerini yerine getirmemek (Madde 12)	256.357 TL	17.092.242 TL
Kurul kararlarına uymamak (Madde 15)	427.263 TL	17.092.242 TL
VERBİS kayıt ve bildirim yükümlülüğüne aykırılık (Madde 16)	341.809 TL	17.092.242 TL
Yurt dışı aktarımda standart sözleşmeyi 5 iş günü içinde Kurum'a bildirmemek (Madde 9)	90.308 TL	1.806.177 TL

Tablodaki en hafif aykırılık, yani eksik bir aydınlatma, bile en az 85.437 TL ceza demektir. Bunlar idari cezalardır; kişisel verileri hukuka aykırı kaydetmek, başkasına vermek ya da süresi dolunca yok etmemek gibi fiiller ayrıca Türk Ceza Kanunu'nun 135 ila 140. maddelerine göre suçtur. Tutarlar her yıl değiştiği için güncel tabloyu kvkk.gov.tr'den kontrol edin.

Adım adım: küçük işletme için KVKK uyum listesi

1. Hangi veriyi nerede tuttuğunuzu bir sayfaya yazın (yukarıdaki ilk tablo gibi).
2. Her veri için dayanağınızı belirleyin: sözleşme mi, hukuki yükümlülük mü, açık rıza mı?
3. Aydınlatma metnini hazırlayın ve verinin toplandığı her yere koyun.
4. Açık rıza gereken işler için ayrı ve işaretlenmemiş bir onay kutusu ya da imza alın.
5. VERBİS eşiklerine göre kayıt yükümlülüğünüz olup olmadığına bakın.
6. Güvenlik listesindeki 10 maddeyi uygulayın.
7. Başvurular için bir e-posta adresi belirleyin; 30 günlük süreyi takvime yazın.
8. Sızıntı olursa kimin ne yapacağını önceden konuşun; 72 saat kısa bir süredir.

İnternetten satış yapıyorsanız KVKK; mesafeli satış, cayma hakkı ve ETBİS kurallarıyla birlikte gelir. Hepsini e-ticarette yasal yükümlülükler yazımızda bir arada bulabilirsiniz.

Panasis'te nasıl?

Panasis'te site formlarında KVKK onay kutusu ve aydınlatma metni bağlantısı bulunur. Ziyaret sayımı çerezsiz yapılır; GA4, Tag Manager ya da Meta Pixel bağlarsanız bunlar ziyaretçi çerez bandında onay verince çalışır. KVKK araçları arasında verilerin dışa aktarılması ve hesabın silinmesi de vardır; mağazada müşteriler kendi hesaplarını silebilir. SSL sertifikası kendiliğinden kurulur ve yenilenir. Mağazada gizlilik ve çerez sayfaları hazır gelir; bu metinleri bir hukukçuya kontrol ettirmenizi öneririz. Ayrıntılar Güvenlik ve KVKK sayfasında.