Onay ve banner'lar

Türkiye'de İş Yapmak mı? KVKK ve VERBİS Hakkında Bilmeniz Gerekenler

7 Temmuz 2026 · 15 dk okuma

Hızlı Cevap: Türkiye'nin birincil veri koruma yasası olan KVKK (Kanun No. 6698), Türkiye'deki bireylerin kişisel verilerini işleyen her türlü kuruluş, yerli veya yabancı için geçerlidir. VERBİS, KVKK kapsamında zorunlu veri kontrolörü kaydıdır. Çoğu orta ve büyük ölçekli kuruluşun VERBİS'e kaydolması gerekmekte, aksi takdirde idari para cezası ile karşılaşmaktadır. 2026 itibarıyla kayıt süreci Türkiye'nin e-Devlet platformu üzerinden erişilebilir hale gelmiş ve küçük işletmeler için muafiyet eşikleri netleştirilmiştir.

Ana Noktalar

KVKK (Kişisel Verilerin Korunması Kanunu), 2016 yılında yürürlüğe giren ve kısmen GDPR ilkelerine dayanan Türkiye'nin veri koruma yasasıdır, ancak yerel gereksinimleri ile farklılık göstermektedir.
VERBİS, veri kontrolörlerinin veri işleme faaliyetlerini işlemeye başlamadan önce beyan etmek zorunda olduğu çevrimiçi kayıttır.
Türk ikametgâhında bulunan bireylerin verilerini işleyen yabancı şirketler, şirketin bulunduğu yere bakılmaksızın KVKK'ya tabidir.
12 Ocak 2026 itibarıyla, 10'dan az çalışanı ve yıllık bilançosu 10 milyon TL'nin altında olan küçük ölçekli veri kontrolörleri, birincil faaliyetleri özel kategori verileri içeriyorsa VERBİS kaydından muaf tutulmaktadır. [4]
VERBİS kayıt süresi, 2025 mali tablolarına göre uygunluk gösteren kuruluşlar için 5 Haziran 2026'ya kadar uzatılmıştır. [1]
1 Temmuz 2026 itibarıyla, VERBİS hizmetleri Türkiye'nin e-Devlet (e-Hükümet) platformu ile tamamen entegre olmuştur. [3]
KVKK'nın 18. Maddesi uyarınca uyumsuzluk cezaları önemli idari para cezalarına ulaşabilmekte ve KVKK otoritesi bunları aktif bir şekilde uygulamaktadır.
KVKK uyarınca onay, serbestçe verilmiş, belirli, bilgilendirilmiş ve kesin olmalıdır; bir Onay Yönetim Platformu (CMP), web tabanlı uyum için pratik bir araçtır.

KVKK Nedir? Türkiye'nin Veri Koruma Yasası Açıklandı

KVKK (Kişisel Verilerin Korunması Kanunu, Kanun No. 6698), 7 Nisan 2016'da yürürlüğe giren Türkiye'nin kapsamlı kişisel veri koruma yasasıdır. Bu yasa, Türkiye'de faaliyet gösteren veri kontrolörleri ve işleyicileri tarafından kişisel verilerin nasıl toplandığını, saklandığını, işlendiğini, aktarıldığını ve silindiğini düzenler.

Yasa, uygulama, rehberlik ve VERBİS kaydı için sorumlu bağımsız denetim organı olan Kişisel Verileri Koruma Kurumu'nu (KVKK) kurmuştur.

KVKK kapsamındaki temel ilkeler şunlardır:

Hukuka uygunluk, adalet ve şeffaflık
Amaç sınırlaması (verilerin yalnızca belirli, açık amaçlar için toplanması)
Veri minimizasyonu
Doğruluk ve verilerin güncel tutulması
Saklama sınırlaması (verilerin gerekli olandan daha uzun süre saklanmaması)
Bütünlük ve gizlilik

Kişisel verilerin işlenme amaçlarını ve yöntemlerini belirleyen herhangi bir varlık, KVKK uyarınca "veri kontrolörü" olarak nitelendirilir ve birincil uyum yükümlülüklerini taşır.

KVKK ve GDPR: Temel Farklılıklar ve Uyum Kapsamı

KVKK, AB'nin GDPR'si ile yapısal bir DNA paylaşırken, iki çerçeve birkaç operasyonel açıdan önemli şekilde ayrılmaktadır. Zaten GDPR uyumlu olan kuruluşlar, otomatik olarak KVKK uyumlu olduklarını varsaymamalıdır.

Boyut	KVKK (Türkiye)	GDPR (AB)
Yürürlüğe girdi	2016	2018 (uygulama)
Denetim organı	KVKK Otoritesi	Üye devletlere göre ulusal DPAs
Veri kaydı	VERBİS (çoğu için zorunlu)	Eşdeğer zorunlu kayıt yok
Yurtdışına veri transferleri	Açık onay veya yeterlilik gerektirir	Yeterlilik kararları veya SCC'ler
DPO gerekliliği	Resmi DPO zorunluluğu yok	Belirli durumlarda zorunlu
İhlal bildirimi	Otoriteye 72 saat	Otoriteye 72 saat

Ana ayrım: KVKK, veri kontrolörlerinin VERBİS'e kaydolmasını ve işleme faaliyetlerini proaktif olarak beyan etmesini gerektirir. GDPR'nın eşdeğer bir kamu kaydı yükümlülüğü yoktur. Ayrıca, KVKK'nın sınır ötesi veri transferi kuralları pratikte daha kısıtlayıcıdır ve ya veri sahibinin açık onayını ya da resmi bir yeterlilik kararını gerektirir; Türkiye'nin AB yeterlilik statüsü yoktur.

"GDPR uyumu faydalı bir temel oluşturur, ancak Türkiye'de iş yapmak ayrı bir KVKK uyum katmanı gerektirir, özellikle VERBİS kaydı ve sınır ötesi transfer kuralları etrafında."

VERBİS Nedir ve Nasıl Çalışır?

VERBİS (Veri Sorumluları Sicil Bilgi Sistemi), veri kontrolörlerinin işlemeye başlamadan önce kişisel veri işleme faaliyetlerini kaydetmeleri ve beyan etmeleri gereken KVKK Otoritesi tarafından sürdürülen çevrimiçi kayıttır. Bunu, kimin ne veriyi, hangi amaçla ve hangi saklama politikası altında işlediğine dair kamuya açık bir envanter olarak düşünün.

VERBİS'in pratikte nasıl çalıştığı:

Veri kontrolörü, VERBİS portalında bir hesap oluşturur (artık 1 Temmuz 2026 itibarıyla Türkiye'nin e-Devlet platformu üzerinden erişilebilir). [3]
Kontrolör, işlenen her kişisel veri kategorisini, işleme amacını, yasal dayanağını, veri kategorilerini, alıcı gruplarını ve saklama sürelerini beyan eder.
Beyanlar sunulur ve kamu kaydının bir parçası haline gelir.
İşleme faaliyetlerindeki herhangi bir değişiklik, VERBİS'te derhal güncellenmelidir.
Kayıt olmama veya güncellememe durumu, KVKK'nın 18. Maddesi uyarınca cezaları tetikler. [5]

1 Temmuz 2026'da, KVKK Otoritesi ayrıca veri kontrolörlerinin kayıt yükümlülüklerini yönlendirmek için "Sorularla VERBİS" rehber belgesinin ve resmi VERBİS Kılavuzu'nun güncellenmiş versiyonlarını yayımlamıştır. [2]

Yabancı Şirketlerin KVKK Uyumuna İhtiyacı Var mı?

Evet. KVKK, Türkiye'de bulunan bireylerin kişisel verilerini işleyen her veri kontrolörüne uygulanır; kontrolörün nerede kurulduğu veya bulunduğu önemli değildir. Türk müşterileri olan bir Alman SaaS şirketi, Türkiye'ye gönderim yapan bir ABD e-ticaret platformu veya Türk tüketicilere yönelik kampanyalar yürüten bir İngiliz pazarlama ajansı, KVKK'nın kapsamına girmektedir.

Yabancı şirketler için pratik sonuçlar:

Fiziksel bir varlıkları yoksa Türkiye'de yerel bir temsilci atamak zorundadırlar (ancak bu konudaki yasanın uygulanması devam eden bir süreçtir, yerel hukuki danışmanlık alınmalıdır).
Belirli bir muafiyet uygulanmadıkça VERBİS kayıt gerekliliklerine uymak zorundadırlar.
Türkiye'den yurtdışına veri transferleri, ya veri sahibinin açık onayını ya da resmi bir yeterlilik mekanizmasını gerektirir; bu, çoğu AB dışı destinasyon için basit değildir.

Yaygın hata: Yabancı şirketlerin, GDPR uyumunun veya genel bir gizlilik politikasının Türk kullanıcı tabanlarını kapsadığını varsaymalarıdır. KVKK, yargı alanına özgü açıklamalar, onay mekanizmaları ve kayıt beyanları gerektirir.

VERBİS Kayıt Gereklilikleri: Kimler Kayıt Olmalı ve Nasıl

Küçük işletme muafiyet eşiğinin üzerindeki çoğu veri kontrolörünün VERBİS'e kaydolması gerekmektedir. Bu yükümlülük, hem özel sektör kuruluşlarına hem de kamu kurumlarına uygulanmaktadır. [6]

Kayıt gereklidir eğer veri kontrolörü:

50 veya daha fazla çalışanı (tam zamanlı eşdeğer) varsa, VEYA
Yıllık mali bilanço toplamı 25 milyon TL'yi aşıyorsa, VEYA
Özel kategori kişisel verileri (sağlık, biyometrik, ceza kayıtları vb.) işliyorsa, boyutuna bakılmaksızın, küçük ölçekli muafiyet uygulanmadıkça.

Yeni başlayanlar ve büyüyen şirketler için: Eşik, yıllık çalışan sayısı ve bilanço rakamlarına dayanmaktadır. Belirli bir yıl içinde 50 çalışan sınırını veya bilanço eşiklerini aşan bir yeni girişim, kaydolma yükümlülüğü altına girmektedir. Kayıt, yeni eşik altında işlemeye başlamadan önce tamamlanmalıdır, yıl sonunda geriye dönük olarak değil.

Adım adım VERBİS kayıt süreci:

KEP (kayıtlı elektronik posta) adresi veya yetkili imza bilgileri kullanarak e-Devlet (e-Hükümet) üzerinden VERBİS portalına giriş yapın. [3]
Veri kontrolörü profilini tamamlayın (şirket adı, yasal şekil, iletişim bilgileri, yetkili temsilci).
İşlenen her farklı kişisel veri kategorisi için bir "işleme faaliyeti" girişi oluşturun.
Her faaliyet için, veri kategorisi, amaç, yasal dayanak, veri sahibi grubu, alıcılar ve saklama süresini beyan edin.
Gönderin ve bir VERBİS kayıt numarası alın.
İşleme faaliyetleri önemli ölçüde değiştiğinde kaydı güncelleyin.

KVKK Muafiyetleri: Küçük İşletmeler ve Kapsam Dışı Veriler

Her kuruluşun VERBİS'e kaydolması gerekmez. 12 Ocak 2026'da, KVKK Otoritesi küçük ölçekli veri kontrolörleri için muafiyet kriterlerini netleştirmiştir. [4]

Muafiyet, ÜÇ koşulun da sağlanması durumunda geçerlidir:

10'dan az çalışan
Yıllık bilanço toplamı 10 milyon TL'nin altında
Birincil faaliyet, özel kategori kişisel verileri işlemeyi içeriyorsa (muafiyet, özellikle küçük sağlık hizmeti sağlayıcıları, klinikler ve benzeri kuruluşlar için tasarlanmıştır)

CMS Hukuk tarafından yayımlanan hukuki analiz, bu muafiyetin başlangıçta göründüğünden daha dar olduğunu belirtmektedir; bu, genel bir küçük işletme muafiyeti değil, hassas veri kategorilerini içeren kuruluşları hedef alan bir muafiyettir. [7] Erdem & Erdem, bu yeni muafiyetlerin uygulama ilkelerini daha da netleştirmiştir. [8]

KVKK kapsamına girmeyen veri kategorileri:

Anonimleştirilmiş veriler (yeniden tanımlamanın imkânsız olduğu veriler)
Tamamen kişisel veya hanehalkı amaçları için işlenen veriler (ticari faaliyet yok)
Ceza yargılamaları için yargı organları tarafından işlenen veriler (ayrı bir mevzuatla düzenlenmektedir)

Sınır durumu: Pseudonimleştirilmiş veriler, kontrolör bireyleri yeniden tanımlama imkanını koruyorsa KVKK uyarınca hala kişisel veri olarak kabul edilmektedir. Pseudonimleştirmeyi, uyum amaçları için anonimleştirme ile eşdeğer olarak değerlendirmeyin.

KVKK Onay Gereklilikleri Müşteri Verileri İçin

KVKK uyarınca, geçerli onay serbestçe verilmiş, belirli, bilgilendirilmiş ve kesin olmalıdır. Onay, hizmet şartlarının kabulü ile birleştirilemez ve önceden işaretlenmiş kutular geçerli onay olarak kabul edilmez.

Onay şunları içermelidir:

Serbestçe verilmiş: Onay, hizmete erişimin zorunlu kılınması veya koşul olarak sunulamaz
Belirli: Tanımlanmış bir amaca bağlı olmalıdır, genel bir yetkilendirme değil
Bilgilendirilmiş: Veri sahibi, verilerin kim tarafından toplandığını ve neden toplandığını bilmelidir
Kesin: Olumlu bir eylem (tıklama, imza, onay kutusu) gerektirir

Web siteleri ve dijital platformlar için, uyumlu bir Onay Yönetim Platformu uygulamak en pratik yaklaşımdır. Biscotti CMP, web sitesi sahiplerinin ve işletmelerin KVKK ve diğer veri koruma çerçeveleri ile uyumlu bir şekilde onay toplama süreçlerini yönetmelerine yardımcı olmak için tasarlanmıştır ve denetim izleri ile ayrıntılı onay kayıtları sağlar.

Açık onay, ayrıca özel kategori kişisel veriler (sağlık, biyometrik, genetik, ceza kayıtları vb.) ve yeterlilik mekanizması olmayan sınır ötesi veri transferleri için gereklidir.

KVKK Uyumuna Uymamanın Cezaları ve Para Cezaları

KVKK'nın uygulanması teorik değildir. KVKK Otoritesi, hem yerli hem de yabancı kuruluşlara karşı para cezaları vermiştir. Cezalar, yasanın 18. Maddesi uyarınca düzenlenmektedir.

18. Madde uyarınca idari ceza kategorileri:

Açıklama yükümlülüklerini yerine getirmeme: 9,027 TL ile 180,536 TL (2024 tahmini aralığı; tutarlar yıllık enflasyona göre güncellenmektedir)
Veri güvenliğini sağlama yükümlülüğünü yerine getirmeme: 45,135 TL ile 9,027,000 TL
KVKK Otoritesi kararlarına uymama: 45,135 TL ile 9,027,000 TL
VERBİS'e kaydolmama veya VERBİS'i güncellememe: 39,337 TL ile 1,966,862 TL

Not: Ceza tutarları yıllık olarak endekslenmektedir ve yukarıdaki rakamlar 2024 için yayımlanan aralıkları yansıtmaktadır. 2026 uygulama eylemleri için güncel rakamları KVKK Otoritesi veya Türk hukuki danışmanlık ile doğrulayın.

Ceza sorumluluğu, belirli ihlaller (yasa dışı işleme, verileri silmeme) için Türk Ceza Kanunu uyarınca hapis cezası ile sonuçlanabilir; bu, GDPR'nın uygulama araç setinde bulunmayan bir boyuttur.

KVKK Veri İhlali Bildirim Kuralları

KVKK uyarınca, veri kontrolörleri, kişisel veri ihlalinden haberdar oldukları andan itibaren 72 saat içinde KVKK Otoritesi'ni bilgilendirmek zorundadır. Eğer ihlal, veri sahiplerini olumsuz etkileyebilecekse, bu bireyler de derhal bilgilendirilmelidir.

İhlal bildirim kontrol listesi:

İhlali tanımlayın ve kontrol altına alın
Veri sahipleri üzerindeki kapsamı ve muhtemel etkisini değerlendirin
Resmi bildirim formu aracılığıyla 72 saat içinde KVKK Otoritesi'ne bildirin
İhlali içsel olarak belgeleyin (ne oldu, hangi veriler etkilendi, düzeltme adımları)
Yüksek zarar riski varsa etkilenen veri sahiplerini bilgilendirin

Gerekli süre içinde bildirimde bulunmamak, 18. Madde uyarınca ceza gerektiren bir ihlal olarak değerlendirilir.

İşletmelerin Yaptığı Yaygın KVKK Uyum Hataları

1. VERBİS'i tek seferlik bir görev olarak görmek. VERBİS kayıtları, işleme faaliyetleri değiştiğinde güncellenmelidir. Yeni bir CRM edinmek, farklı veri kategorileri ile yeni bir pazarlama kampanyası başlatmak veya yeni bir veri işleyici ile çalışmaya başlamak, VERBİS güncellemelerini gerektirebilir.

2. Türk kullanıcılar için GDPR onayına güvenmek. KVKK onay gerekliliklerinin yerel nüansları vardır. GDPR için optimize edilmiş bir onay banner'ı, KVKK'nın gerektirdiği özel açıklamaları yakalayamayabilir.

3. Sınır ötesi transfer kurallarını göz ardı etmek. Türk müşteri verilerini ABD merkezli bir analiz platformuna veya bulut sağlayıcısına geçerli bir transfer mekanizması olmadan göndermek, yaygın ve sıkça ceza verilen bir ihlaldir.

4. Muafiyetin doğrulanmadan varsayılması. Ocak 2026'daki açıklama, muafiyetin üç kriterin de aynı anda karşılanmasına bağlı olduğunu netleştirmiştir. [4]

5. Veri saklama politikası olmaması. KVKK, verilerin işleme amacı sona erdiğinde silinmesini, yok edilmesini veya anonimleştirilmesini gerektirir. Birçok işletme, belgelenmiş bir saklama takvimi olmaksızın verileri süresiz olarak toplar.

SSS

S: KVKK, Türkiye'de faaliyet gösteren tüm işletmeler için zorunlu mu? Evet, Türkiye'de bireylerin kişisel verilerini işleyen her varlık KVKK'ya tabidir; şirketin büyüklüğü veya milliyeti önemli değildir. Küçük işletme muafiyet eşiğinin üzerindeki çoğu varlık için VERBİS kaydı zorunludur.

S: 2026'da VERBİS kayıt süresi nedir? KVKK Otoritesi, 2025 mali tablolarına göre uygunluk gösteren kuruluşlar için VERBİS kayıt süresini 5 Haziran 2026'ya kadar uzatmıştır. [1] Önceki eşikleri karşılayan kuruluşların zaten kayıtlı olması gerekmektedir.

S: Yabancı bir şirket KVKK uyarınca ceza alabilir mi? Evet. KVKK Otoritesi, Türk ikametgâhında bulunan bireylerin verilerini işleyen her veri kontrolörü üzerinde yetki sahibidir; bu, yabancı şirketleri de kapsar. Yabancı varlıklara yönelik uygulama, gelişen bir alan olmakla birlikte, hukuki maruziyet gerçektir.

S: Veri işleme faaliyetlerini beyan etmek için VERBİS dışında bir alternatif var mı? Hayır. VERBİS, KVKK uyarınca tek zorunlu kayıttır. Veri kontrolörü kayıt yükümlülüğünü yerine getirmek için alternatif bir mekanizma yoktur.

S: VERBİS kaydı ne kadar sürer? 1 Temmuz 2026 itibarıyla e-Devlet entegrasyonu ile teknik süreç, basit durumlar için birkaç saat içinde tamamlanabilir. [3] Ancak, tüm veri işleme faaliyetlerini haritalamak, yasal dayanakları belirlemek ve saklama sürelerini belgelemek için hazırlık çalışmaları genellikle orta ölçekli kuruluşlar için haftalar alır.

S: KVKK, Veri Koruma Görevlisi (DPO) gerektiriyor mu? KVKK, GDPR'nın gerekliliğine eşdeğer resmi bir DPO rolü talep etmemektedir. Ancak, KVKK Otoritesi, veri kontrolörlerinin uyumu yönetmek için içerde sorumlu bir kişi atamalarını önermektedir.

S: KVKK uyarınca özel kategori kişisel veriler nelerdir? Özel kategoriler şunları içerir: ırk, etnik köken, siyasi görüş, felsefi inanç, din, mezhep, sağlık verileri, cinsel yaşam, ceza mahkumiyetleri, biyometrik veriler ve genetik veriler. Bu kategorilerin işlenmesi, açık onay veya belirli bir yasal dayanak gerektirir.

S: KVKK, web sitelerinde çerez onayını nasıl ele alır? Kişisel veri toplayan çerezler (analitik, reklam tanımlayıcıları) KVKK uyarınca geçerli onay gerektirir. Uyumlu bir CMP, web sitesi sahiplerinin çerez onayını KVKK yükümlülükleri doğrultusunda yakalamalarına, saklamalarına ve yönetmelerine yardımcı olabilir.

S: Kamu kurumlarının VERBİS'e kaydolması zorunlu mu? Evet. Kamu kurumları ve kuruluşları VERBİS'e kaydolmak zorundadır. Kamu varlıkları için kayıt dönemi 1 Nisan 2019'da başlamış ve tamamlanma süresi 30 Haziran 2020'dir. [6]

S: Bir şirket işleme faaliyetlerini güncellerse ancak VERBİS'i güncellemezse ne olur? VERBİS'in mevcut işleme faaliyetlerini yansıtacak şekilde güncellenmemesi, uyum ihlali olarak değerlendirilir ve KVKK'nın 18. Maddesi uyarınca idari para cezaları ile sonuçlanabilir. [5]

Sonuç: KVKK ve VERBİS Uyum İçin Eyleme Geçilebilir Adımlar

Türkiye'de iş yapmak, veri koruma konusunda yapılandırılmış, yargı alanına özgü bir yaklaşım gerektirir. KVKK aktif olarak uygulanmakta, VERBİS kaydı çoğu kuruluş için isteğe bağlı değildir ve Ocak 2026'daki muafiyet açıklamaları, küçük işletmeler için ayrım noktalarını daraltmıştır. [4]

Türkiye'de faaliyet gösteren kuruluşlar için acil eylemler:

Veri haritalama çalışması yapın. İşlenen her kişisel veri kategorisini, amacını, yasal dayanağını ve alıcıyı belirleyin.
VERBİS yükümlülüğünü belirleyin. Çalışan sayısı ve bilanço eşiklerini uygulayarak kaydın gerekip gerekmediğini doğrulayın. Şüphe durumunda kaydolun.
VERBİS kaydını tamamlayın veya güncelleyin. Veri kontrolörü kaydınızı tamamlamak veya güncellemek için e-Devlet entegreli VERBİS portalını kullanın. [3]
Onay mekanizmalarını denetleyin. Web sitesi onay banner'larının ve veri toplama formlarının KVKK'nın özel gerekliliklerini karşıladığından emin olun. Yapılandırılmış, denetlenebilir onay yönetimi için Biscotti CMP'yi (www.biscotti-cmp.com) kullanmayı düşünün.
Sınır ötesi transfer düzenlemelerini gözden geçirin. Türk kişisel verilerini alan tüm üçüncü taraf işleyicileri ve bulut hizmetlerini belirleyin ve her transfer için yasal dayanağı değerlendirin.
Bir ihlal yanıt protokolü oluşturun. 72 saatlik bildirim prosedürünü belgeleyin ve iç sorumluluğu atayın.
Yerel hukuki danışmanlık alın. KVKK'nın yorumları gelişmeye devam etmekte ve bir Türk veri koruma avukatı, genel uyum çerçevelerinin yerini tutamayacak yargı alanına özgü rehberlik sağlayabilir.

Türkiye'de iş yapma uyum manzarası hızla olgunlaşmaktadır. KVKK'yı bir kontrol listesi egzersizi olarak değil, sürekli bir program olarak gören kuruluşlar, uygulamanın yoğunlaşmasıyla kendilerini maruz kalmış bulacaklardır.