Kişisel Verileriniz: KVKK Size Hangi Hakları Veriyor?
6698 sayılı Kanun çerçevesinde verinin sahibi olarak haklarınız
Kişisel veri nedir, kim hangi şartla işleyebilir, verinizin silinmesini nasıl istersiniz? KVKK m.11 hakları ve başvuru yolu üzerine vatandaş rehberi.
Kasadaki görevli telefon numaranızı istiyor; çoğumuz numarayı hiç duraksamadan söylüyoruz. Oysa o numara sizin kişisel verinizdir ve hukuk ona bir eşya gibi değil, kişiliğinizin parçası gibi bakar. Anayasa'nın 20. maddesi açıktır: herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu hakkın işleyen mekanizması ise 6698 sayılı Kişisel Verilerin Korunması Kanunu'dur. Bu yazıda, verinin sahibi olarak elinizdeki hakları ve o hakları nasıl kullanacağınızı anlatıyorum.
Kişisel veri nedir, özel nitelikli veri nedir?
Kanunun tanımı geniştir: kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi kişisel veridir (KVKK m.3). Adınız, telefonunuz, adresiniz, plakanız, fotoğrafınız, ses kaydınız, konumunuz, alışveriş geçmişiniz; hepsi bu kapsamdadır.
Bir de özel nitelikli kişisel veriler vardır (KVKK m.6): ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek-vakıf-sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler. Bunlar, öğrenilmesi hâlinde kişinin mağdur olmasına veya ayrımcılığa uğramasına yol açabilecek verilerdir; işlenmeleri daha sıkı şartlara bağlıdır.
Verinizi kim, hangi şartla işleyebilir?
Ana kural şudur: kişisel veriler, ilgili kişinin açık rızası olmaksızın işlenemez (KVKK m.5). Açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızadır. Ucu açık, ne olduğu belirsiz, hizmetin şartı hâline getirilmiş bir onay kutusu bu tanıma her zaman uymaz.
Kanun, açık rıza aranmayan hâlleri de sayar: kanunlarda açıkça öngörülmesi, bir sözleşmenin kurulması veya ifası için gerekli olması, veri sorumlusunun hukuki yükümlülüğü, verinin ilgili kişinin kendisi tarafından alenileştirilmiş olması, bir hakkın tesisi ve korunması için zorunlu olması gibi. Yani her veri işleme rızaya dayanmak zorunda değildir; ama her veri işleme mutlaka bu şartlardan birine dayanmak zorundadır.
Şartlar bir yana, kanunun 4. maddesindeki genel ilkeler her durumda geçerlidir: veriler hukuka ve dürüstlük kurallarına uygun, doğru ve gerektiğinde güncel olmalı; belirli, açık ve meşru amaçlar için işlenmeli; amaçla bağlantılı, sınırlı ve ölçülü olmalı; gereken süreden fazla tutulmamalıdır. Kısacası "lazım olur, dursun" hukuken bir veri saklama sebebi değildir.
Verinin sahibi olarak haklarınız
Kanunun 11. maddesi, size şu soruları sorma hakkı verir. Verim işleniyor mu? İşlendiyse ne işlendi, ne amaçla işlendi, amaca uygun mu kullanıldı? Yurt içinde veya yurt dışında kime aktarıldı? Yanlışsa düzeltilmesini, işlenme şartları ortadan kalktıysa silinmesini veya yok edilmesini isteyebilirsiniz (KVKK m.7 ile birlikte). Ayrıca verilerinizin yalnız otomatik sistemlerce analiz edilmesi sonucu aleyhinize bir sonuç doğmasına itiraz etme ve kanuna aykırı işleme yüzünden zarara uğradıysanız zararınızın giderilmesini talep etme hakkınız vardır.
Bir hak daha var ki çoğu kişi bilmez: aydınlatma yükümlülüğü (KVKK m.10). Veriniz toplanırken; veri sorumlusunun kimliği, işleme amacı, aktarım yapılacaksa kime ve neden yapılacağı, toplamanın yöntemi ve hukuki sebebi ile 11. maddedeki haklarınız size bildirilmek zorundadır. O uzun metinler süs değildir; okunmak için oradadır.
Hakkınızı nasıl kullanırsınız: iki basamaklı yol
Birinci basamak veri sorumlusuna başvurudur (KVKK m.13). Talebinizi yazılı olarak veya Kurulun belirlediği diğer yöntemlerle veri sorumlusuna iletirsiniz; veri sorumlusu, talebi en geç otuz gün içinde ücretsiz olarak sonuçlandırmak zorundadır (işlemin ayrıca bir maliyeti varsa, ancak Kurulca belirlenen tarifedeki ücret istenebilir). Başvurmadan doğrudan şikâyet yoluna gidilemez; kanun önce muhatabınıza fırsat vermenizi ister.
İkinci basamak Kişisel Verileri Koruma Kurulu'na şikâyettir (KVKK m.14). Başvurunuz reddedilirse, verilen cevabı yetersiz bulursanız veya süresinde cevap verilmezse; cevabı öğrendiğiniz tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunabilirsiniz. Kurul, ihlal tespit ederse hukuka aykırılığın giderilmesine karar verir ve idari yaptırım uygulayabilir.
Bu iki basamak, genel hükümlere göre tazminat hakkınızı ortadan kaldırmaz; kişilik hakları ihlal edilenler ayrıca yargı yoluna gidebilir. Verilerin hukuka aykırı olarak kaydedilmesi, ele geçirilmesi ve yayılması ise Türk Ceza Kanunu'nda ayrıca suç olarak düzenlenmiştir (TCK m.135 ve devamı); ciddi durumlarda savcılığa suç duyurusu da gündeme gelir.
Uygulamada Dikkat Edilecek Noktalar
Temel hak ve özgürlüklere ilişkin uyuşmazlıklarda ilk bakılacak şey takvimdir: idari dava süreleri, kanun yolu süreleri ve Anayasa Mahkemesi'ne bireysel başvurudaki otuz günlük süre hak düşürücü niteliktedir. Tebligatın alındığı tarihin belgelenmesi ve kararın son sayfasındaki kanun yolu bildiriminin dikkatle okunması, hak kaybını önleyen en basit iki alışkanlıktır.
Devlete yapılan her başvurunun (dilekçe, bilgi edinme, itiraz, şikâyet) tarihli ve kayıtlı olması gerekir; başvurunun bir örneği ile varsa alındı belgesi, e-Devlet çıktısı veya posta kaydı saklanmalıdır. Cevapsız kalan başvuru, çoğu zaman yeni bir hukuki yolun başlangıç tarihini belirler.
Bu bölümdeki yazılar mevzuatın genel çerçevesini anlatır; somut olayda hangi hakkın, hangi usulle korunacağı olayın özelliklerine, işlem tarihine ve güncel mevzuata göre değişebilir. Özellikle idari dava ve bireysel başvuru gibi süre baskısı yüksek konularda vakit kaybetmeden bir avukata danışmak gerekir.
İlgili Kanun Maddeleri
- Anayasa m.20Özel hayatın gizliliği (kişisel veri fıkrası)Madde 20 – Herkes, özel hayatına ve aile hayatına saygı gösterilmesini isteme hakkına sahiptir. Özel hayatın ve aile hayatının gizliliğine dokunulamaz. (Mülga üçüncü cümle: 3/10/2001-4709/5 md.) (…) (Ek fıkra: 7/5/2010-5982/2 md.) Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir.
Kaynak: mevzuat.gov.tr · son inceleme: 2026-09-03
- KVKK m.3Tanımlar (ilgili bentler)MADDE 3- (1) Bu Kanunun uygulanmasında; a) Açık rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızayı, (…) ç) İlgili kişi: Kişisel verisi işlenen gerçek kişiyi, d) Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi, (…) ı) Veri sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi, ifade eder.
Kaynak: mevzuat.gov.tr · son inceleme: 2026-09-03
- KVKK m.4Genel ilkelerMADDE 4- (1) Kişisel veriler, ancak bu Kanunda ve diğer kanunlarda öngörülen usul ve esaslara uygun olarak işlenebilir. (2) Kişisel verilerin işlenmesinde aşağıdaki ilkelere uyulması zorunludur: a) Hukuka ve dürüstlük kurallarına uygun olma. b) Doğru ve gerektiğinde güncel olma. c) Belirli, açık ve meşru amaçlar için işlenme. ç) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma. d) İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.
Kaynak: mevzuat.gov.tr · son inceleme: 2026-09-03
- KVKK m.5Kişisel verilerin işlenme şartlarıMADDE 5- (1) Kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez. (2) Aşağıdaki şartlardan birinin varlığı hâlinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesi mümkündür: a) Kanunlarda açıkça öngörülmesi. b) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması. c) Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması. ç) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması. d) İlgili kişinin kendisi tarafından alenileştirilmiş olması. e) Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması. f) İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.
Kaynak: mevzuat.gov.tr · son inceleme: 2026-09-03
- KVKK m.6Özel nitelikli kişisel verilerin işlenme şartlarıMADDE 6- (1) Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir. (2) (Mülga: 2/3/2024-7499/33 md.) (3) (Değişik: 2/3/2024-7499/33 md.) Özel nitelikli kişisel verilerin işlenmesi yasaktır. Ancak bu verilerin işlenmesi; a) İlgili kişinin açık rızasının olması, b) Kanunlarda açıkça öngörülmesi, c) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması, ç) İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması, d) Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması, e) Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması, f) İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması, g) Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların, tâbi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut veya eski üyelerine ve mensuplarına veyahut bu kuruluş ve oluşumlarla düzenli olarak temasta olan kişilere yönelik olması, halinde mümkündür. (4) Özel nitelikli kişisel verilerin işlenmesinde, ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır.
Kaynak: mevzuat.gov.tr · son inceleme: 2026-09-03
- KVKK m.7Kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesiMADDE 7- (1) Bu Kanun ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel veriler resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinir, yok edilir veya anonim hâle getirilir. (2) Kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesine ilişkin diğer kanunlarda yer alan hükümler saklıdır. (3) Kişisel verilerin silinmesine, yok edilmesine veya anonim hâle getirilmesine ilişkin usul ve esaslar yönetmelikle düzenlenir.
Kaynak: mevzuat.gov.tr · son inceleme: 2026-09-03
- KVKK m.10Veri sorumlusunun aydınlatma yükümlülüğüMADDE 10- (1) Kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi, ilgili kişilere; a) Veri sorumlusunun ve varsa temsilcisinin kimliği, b) Kişisel verilerin hangi amaçla işleneceği, c) İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği, ç) Kişisel veri toplamanın yöntemi ve hukuki sebebi, d) 11 inci maddede sayılan diğer hakları, konusunda bilgi vermekle yükümlüdür.
Kaynak: mevzuat.gov.tr · son inceleme: 2026-09-03
- KVKK m.11İlgili kişinin haklarıMADDE 11- (1) Herkes, veri sorumlusuna başvurarak kendisiyle ilgili; a) Kişisel veri işlenip işlenmediğini öğrenme, b) Kişisel verileri işlenmişse buna ilişkin bilgi talep etme, c) Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme, ç) Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme, d) Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme, e) 7 nci maddede öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme, f) (d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme, g) İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme, ğ) Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme, haklarına sahiptir.
Kaynak: mevzuat.gov.tr · son inceleme: 2026-09-03
- KVKK m.13Veri sorumlusuna başvuruMADDE 13- (1) İlgili kişi, bu Kanunun uygulanmasıyla ilgili taleplerini yazılı olarak veya Kurulun belirleyeceği diğer yöntemlerle veri sorumlusuna iletir. (2) Veri sorumlusu başvuruda yer alan talepleri, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırır. Ancak, işlemin ayrıca bir maliyeti gerektirmesi hâlinde, Kurulca belirlenen tarifedeki ücret alınabilir. (3) Veri sorumlusu talebi kabul eder veya gerekçesini açıklayarak reddeder ve cevabını ilgili kişiye yazılı olarak veya elektronik ortamda bildirir. Başvuruda yer alan talebin kabul edilmesi hâlinde veri sorumlusunca gereği yerine getirilir. Başvurunun veri sorumlusunun hatasından kaynaklanması hâlinde alınan ücret ilgiliye iade edilir.
Kaynak: mevzuat.gov.tr · son inceleme: 2026-09-03
- KVKK m.14Kurula şikâyetMADDE 14- (1) Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde başvuruya cevap verilmemesi hâllerinde; ilgili kişi, veri sorumlusunun cevabını öğrendiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunabilir. (2) 13 üncü madde uyarınca başvuru yolu tüketilmeden şikâyet yoluna başvurulamaz. (3) Kişilik hakları ihlal edilenlerin, genel hükümlere göre tazminat hakkı saklıdır.
Kaynak: mevzuat.gov.tr · son inceleme: 2026-09-03
- TCK m.135Kişisel verilerin kaydedilmesiMadde 135- (1) Hukuka aykırı olarak kişisel verileri kaydeden kimseye bir yıldan üç yıla kadar hapis cezası verilir. (2) Kişisel verinin, kişilerin siyasi, felsefi veya dini görüşlerine, ırki kökenlerine; hukuka aykırı olarak ahlaki eğilimlerine, cinsel yaşamlarına, sağlık durumlarına veya sendikal bağlantılarına ilişkin olması durumunda birinci fıkra uyarınca verilecek ceza yarı oranında artırılır.
Kaynak: mevzuat.gov.tr · son inceleme: 2026-09-03
Madde metinleri yalnızca bilgilendirme amaçlıdır. Güncel ve resmî metin için mevzuat.gov.tr esastır.
Sonuç
Kişisel verileriniz üzerinde söz hakkı sizindir; kim, neyi, neden topluyor sorma hakkınız, yanlışı düzelttirme ve gereksiz veriyi sildirme yetkiniz vardır. Yol bellidir: önce veri sorumlusuna başvuru, sonuç alamazsanız Kurula şikâyet, zarar varsa yargı yolu. Numaranızı, adresinizi, fotoğrafınızı isteyen herkese sorabileceğiniz tek soru aslında şudur: hangi amaçla ve hangi hukuki sebeple?
Bu makale bilgilendirme amaçlıdır ve hukuki görüş yerine geçmez. Sorularınız ve görüşleriniz için bana yazabilirsiniz.
İletişim