Kişisel Verilerin Korunması
Veri envanteri, aydınlatma ve rıza yapıları, veri ihlali süreçleri ve Kurul başvuruları.
Kişisel verilerin korunması alanındaki çalışmalarımız; veri envanterinin oluşturulmasından VERBİS kaydına, aydınlatma ve açık rıza yapılarının hazırlanmasından veri ihlali bildirimlerine ve Kurul süreçlerine kadar uyum çalışmasının tüm aşamalarını kapsamaktadır.
Veri sorumlusu sıfatı taşıyan müvekkillerimize uyum yapısının kurulmasında danışmanlık hizmeti sunmakta, Kişisel Verileri Koruma Kurulu nezdindeki başvuru ve inceleme süreçlerinde müvekkillerimizi temsil etmekteyiz. Uyum yapısı, veri işleme süreçlerindeki değişikliklere göre düzenli olarak gözden geçirilmektedir.
Uygulamada en sık karşılaşılan teknik konu, veri ihlali bildirimlerine ilişkindir. 6698 sayılı Kanunun 12. maddesinin beşinci fıkrası, işlenen kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi hâlinde veri sorumlusunun durumu en kısa sürede ilgili kişiye ve Kurula bildirmesini öngörmektedir. Kişisel Verileri Koruma Kurulunun ilke kararı uyarınca Kurula bildirim, ihlalin öğrenilmesinden itibaren yetmiş iki saat içinde yapılmaktadır.
Uyum çalışması, veri envanterinin çıkarılması ve işleme faaliyetlerinin Kanunun 5 ve 6. maddelerindeki şartlarla eşleştirilmesiyle başlamakta; aydınlatma metinleri, saklama ve imha politikası ile veri işleyen sözleşmeleri bu envantere göre hazırlanmaktadır. Yurt dışına aktarımda 9. madde kapsamında imzalanan standart sözleşme, imza tarihinden itibaren beş iş günü içinde Kuruma bildirilmekte; ihlal ve şikâyet süreçleri Kurul nezdinde yürütülmektedir.
Çalışma konuları
- Veri envanteri ve işleme faaliyetleri kayıtlarının oluşturulması
- VERBİS kaydı ve güncelleme işlemleri
- Aydınlatma metinleri ve açık rıza yapılarının hazırlanması
- Çalışan, müşteri, tedarikçi ve ziyaretçi verilerine ilişkin süreçlerin düzenlenmesi
- Saklama ve imha politikası hazırlanması
- Veri işleyen sözleşmelerinin düzenlenmesi
- Yurt dışına veri aktarımına ilişkin yapıların kurulması
- İlgili kişi başvurularının yönetimi
- Veri ihlali bildirimlerinin hazırlanması ve Kurul süreçlerinin yürütülmesi
- Kurul kararlarına karşı başvuru ve dava süreçleri
Bu alanda çalışan avukatlar
Feride KENAR
Avukat
İş ve Sosyal Güvenlik Hukuku · Kişisel Verilerin Korunması
feridekenar@srnhukuk.comSık sorulan sorular
Veri ihlali Kurula hangi sürede bildirilmektedir?
6698 sayılı Kanunun 12. maddesinin beşinci fıkrası, ihlalin öğrenilmesinden itibaren en kısa sürede ilgili kişiye ve Kurula bildirim yapılmasını öngörmektedir. Kişisel Verileri Koruma Kurulunun 24 Ocak 2019 tarihli ilke kararı uyarınca bu süre, Kurula bildirim bakımından yetmiş iki saat olarak uygulanmaktadır. Yetmiş iki saat içinde bildirim yapılamaması hâlinde gecikmenin nedenleri bildirimle birlikte Kurula açıklanmaktadır.
İlgili kişi başvurusu hangi sürede sonuçlandırılmaktadır?
6698 sayılı Kanunun 13. maddesi uyarınca veri sorumlusu, ilgili kişinin başvurusunu talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırmaktadır. İşlemin ayrıca bir maliyet gerektirmesi hâlinde Kurulca belirlenen tarifedeki ücret alınabilmektedir. Başvurunun reddi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâllerinde 14. madde uyarınca Kurula şikâyet yolu açılmaktadır.
Kurula şikâyet süresi nasıl hesaplanmaktadır?
6698 sayılı Kanunun 14. maddesi uyarınca ilgili kişi, veri sorumlusunun cevabını öğrendiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunabilmektedir. Kurula şikâyet yolu, veri sorumlusuna başvuru yolu tüketilmeden kullanılamamaktadır. 15. madde uyarınca Kurulun şikâyet üzerine altmış gün içinde cevap vermemesi, talebin reddedildiği anlamına gelmektedir.
Yurt dışına veri aktarımında standart sözleşme nasıl bildirilmektedir?
6698 sayılı Kanunun 9. maddesi uyarınca yeterlilik kararı bulunmayan hâllerde aktarım, uygun güvencelerden biri olan standart sözleşmeye dayandırılabilmektedir. Standart sözleşme, imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilmektedir. Bu bildirim yükümlülüğünü yerine getirmeyenler hakkında Kanunun 18. maddesi kapsamında idari para cezası uygulanmaktadır.
Kurulun idari para cezalarına karşı hangi yargı yolu işlemektedir?
6698 sayılı Kanunun 18. maddesinin üçüncü fıkrası uyarınca Kurulca verilen idari para cezalarına karşı idare mahkemelerinde dava açılmaktadır. 2577 sayılı Kanunun 32. maddesindeki yetki kuralı gereğince dava, veri sorumlusunun merkezi Eskişehir’de bulunsa dahi işlemi tesis eden Kurulun bulunduğu yer idare mahkemesinde görülmektedir. Dava açma süresi, tebliğ tarihini izleyen günden itibaren altmış gündür.
İlgili hukuki gelişmeler
- Veri ihlali bildiriminde yetmiş iki saat: süre ne zaman başlar, bildirim neyi içerir? — 18 Ağustos 2026
- Yurt dışına veri aktarımı: yeterlilik kararı, uygun güvenceler ve arızi hâller — 5 Mayıs 2026