KVKK Veri Güvenliği Yükümlülüğü Nedir? 6698 Sayılı Kanun m.12 Rehberi 2026
KVKK m.12 veri sorumlusuna hangi temel yükümlülükleri getirir?
6698 sayılı Kişisel Verilerin Korunması Kanunu m.12, veri güvenliğinin ana hükmüdür. Veri sorumlusu üç temel sonucu sağlamak için gerekli teknik ve idari tedbirleri almak zorundadır: kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, kişisel verilere hukuka aykırı erişilmesini önlemek ve kişisel verilerin muhafazasını sağlamak.
Bu yükümlülük yalnız bilişim ekibinin görevi değildir. Veri güvenliği; yönetim, hukuk, insan kaynakları, bilgi teknolojileri, satın alma, fiziksel güvenlik ve iş birimlerinin birlikte yürüttüğü kurumsal bir uyum faaliyetidir.
Kanun belirli tek bir teknoloji veya güvenlik ürünü emretmez. Alınacak tedbirlerin düzeyi veri kategorisi, işleme miktarı, sistem mimarisi, risk, maliyet ve olası ihlalin kişiler üzerindeki etkisine göre belirlenir. Özel nitelikli veya büyük ölçekli veriler daha güçlü tedbir gerektirir.
Veri güvenliği tek seferlik proje değildir. Tehditler, yazılımlar, çalışanlar ve tedarikçiler değiştikçe risk analizi ve tedbirler de güncellenmelidir.
Kişisel verilerin hukuka aykırı işlenmesini önlemek ne demektir?
Hukuka aykırı işleme yalnız dışarıdan yapılan siber saldırı değildir. Kurum çalışanının kişisel veriyi görevi dışında kullanması, veri işleme amacının dışına çıkılması, gereksiz veri toplanması veya saklama süresi dolmuş verinin tutulması da hukuka aykırı işleme olabilir.
Veri sorumlusu hangi birimin hangi veriyi hangi hukuki sebeple işleyeceğini tanımlamalıdır. Yetki matrisi, veri envanteri, prosedürler ve çalışan eğitimleri bu kontrolü sağlar.
Örneğin müşteri iletişim verisinin teslimat için erişilebilir olması, bütün çalışanların bu bilgiyi reklam veya kişisel amaçlarla kullanabileceği anlamına gelmez. Her erişim iş amacıyla bağlantılı olmalıdır.
Yeni proje veya yazılım kurulurken “privacy by design” yaklaşımıyla yalnız gerekli veri toplanmalı, varsayılan ayarlar aşırı veri işlemeye yol açmamalı ve gereksiz alanlar kaldırılmalıdır.
Hukuka aykırı erişimi önleme yükümlülüğü nasıl uygulanır?
Kişisel verilere yalnız görev gereği ihtiyaç duyan yetkili kişilerin erişebilmesi gerekir. “Herkes her klasörü görebiliyor” veya ortak kullanıcı adı-şifre kullanımı m.12 bakımından ciddi risk yaratır.
Rol tabanlı erişim, çok faktörlü kimlik doğrulama, güçlü parola politikası, düzenli yetki gözden geçirmesi, başarısız giriş takibi ve oturum yönetimi temel tedbirler arasındadır. İşten ayrılan çalışanın hesabı zamanında kapatılmalıdır.
Özel nitelikli kişisel veriler için erişim daha da sınırlı olmalıdır. Sağlık, biyometrik veya adli sicil verisine yalnız görevi gereği erişmesi gereken sınırlı personel ulaşabilmelidir.
Fiziksel arşiv de erişim kontrolüne tabidir. Personel dosyaları, sağlık kayıtları veya müşteri evrakları açık rafta herkesin erişimine bırakılmamalı; kilitli alan ve kayıtlı erişim kullanılmalıdır.
Kişisel verilerin muhafazasını sağlamak ne anlama gelir?
Muhafaza yükümlülüğü verinin yetkisiz silinme, bozulma, kaybolma veya değişikliğe uğramasını önlemeyi de kapsar. Veri güvenliği yalnız gizlilik değil, bütünlük ve erişilebilirlik boyutlarını birlikte içerir.
Düzenli ve test edilmiş yedekleme, felaket kurtarma planı, sistem güncellemeleri, kötü amaçlı yazılım koruması ve donanım güvenliği verinin muhafazasını destekler. Yedeğin bulunması tek başına yeterli değildir; yedekten geri dönüş testi yapılmalıdır.
Fidye yazılımı saldırısında verinin şifrelenmesi hem erişilebilirlik hem gizlilik ihlali yaratabilir. Yedeklerin ana ağdan ayrıştırılması ve saldırganın aynı kimlik bilgileriyle yedekleri de silememesi önemlidir.
Veri yaşam döngüsü tamamlandığında muhafaza yükümlülüğü m.7’deki imha yükümlülüğüyle dengelenir. Saklama sebebi kalmayan veriyi “güvenli biçimde” sonsuza kadar tutmak da hukuka uygun değildir.
KVKK kapsamında hangi teknik tedbirler alınabilir?
Teknik tedbirler kuruluşun risk yapısına göre belirlenir. Ağ segmentasyonu, güvenlik duvarı, saldırı tespit/önleme sistemleri, güncel antivirüs/EDR, çok faktörlü kimlik doğrulama, şifreleme, veri kaybı önleme, güvenli yedekleme ve log yönetimi temel örneklerdir.
Yazılımlar güncel tutulmalı ve bilinen güvenlik açıkları makul sürede kapatılmalıdır. Kullanılmayan servisler kapatılmalı, varsayılan parolalar değiştirilmelidir. İnternet erişimli sistemlerde düzenli güvenlik testi yapılması önemlidir.
Veri tabanlarında üretim verisi test ortamına kontrolsüz kopyalanmamalıdır. Test için gerekiyorsa maskeleme veya anonimleştirme uygulanmalıdır. Yazılım geliştiricilerin gerçek müşteri verisine sürekli erişmesi engellenmelidir.
Log kayıtları güvenlik olaylarının tespitinde önemlidir; ancak logların kendisi de kişisel veri içerebilir. Saklama süresi, erişim yetkisi ve bütünlüğü ayrıca korunmalıdır.
KVKK kapsamında hangi idari tedbirler alınmalıdır?
İdari tedbirlerin başında kişisel veri işleme envanteri ve risk analizi gelir. Kuruluş hangi veriyi nerede tuttuğunu bilmiyorsa güvenliği de yönetemez. Veri akışları, alıcılar, yurt dışı aktarım ve saklama süreleri kayıt altına alınmalıdır.
Çalışanlara görevlerine uygun KVKK ve bilgi güvenliği eğitimi verilmelidir. Tek seferlik genel eğitim yerine işe giriş, rol değişikliği ve periyodik yenileme eğitimi uygulanmalıdır.
Gizlilik taahhütleri, disiplin süreçleri, tedarikçi değerlendirmesi, veri ihlali müdahale planı, iş sürekliliği ve erişim yetkisi prosedürleri yazılı olmalıdır.
Tedarikçi sözleşmelerinde veri güvenliği, alt işleyen kullanımı, ihlal bildirimi, denetim, veri iadesi/silme ve sözleşme sona erdiğinde yapılacaklar açıkça düzenlenmelidir.
Veri işleyen kullanıldığında sorumluluk kime aittir?
KVKK m.12, veri sorumlusunun kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde gerekli tedbirlerin alınması konusunda bu kişilerle birlikte sorumlu olduğunu düzenler. Veri sorumlusu “bulut şirketine verdim, artık sorumluluk onlarda” diyemez.
Tedarikçi seçerken güvenlik kapasitesi, sertifikalar, teknik mimari, veri lokasyonu, alt işleyenler, geçmiş ihlaller ve sözleşmesel taahhütler incelenmelidir.
Veri işleyen yalnız veri sorumlusunun talimatıyla hareket etmeli ve veriyi kendi bağımsız amaçları için kullanmamalıdır. Kendi amaçları için karar veren taraf somut faaliyet bakımından ayrıca veri sorumlusu hâline gelebilir.
Veri sorumlusu tedarikçiyi sözleşme imzalandıktan sonra da izlemelidir. Güvenlik raporları, denetim sonuçları ve önemli değişiklikler periyodik kontrol edilmelidir.
KVKK m.12 denetim yükümlülüğü getirir mi?
Evet. Veri sorumlusu kendi kurum veya kuruluşunda Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptırmak zorundadır. Bu hüküm uyum programının kağıt üzerinde kalmamasını amaçlar.
Denetim iç denetim, bağımsız güvenlik testi, süreç incelemesi, örneklem kontrolü veya tedarikçi denetimi şeklinde olabilir. Denetim yöntemi kuruluşun büyüklüğü ve riskine göre belirlenir.
Tespit edilen eksiklikler için aksiyon planı, sorumlu kişi ve hedef tarih belirlenmelidir. Aynı açığın yıllarca raporlarda kalması denetimin etkin olmadığını gösterir.
Yönetim, yüksek riskli bulguları izlemeli ve gerekli bütçe ile kaynak sağlamalıdır. Veri güvenliği yalnız teknik personelin kişisel sorumluluğuna bırakılamaz.
Çalışanların sır saklama yükümlülüğü işten ayrılınca biter mi?
KVKK m.12, veri sorumluları ve veri işleyen kişilerin öğrendikleri kişisel verileri Kanun hükümlerine aykırı olarak başkasına açıklayamayacağını ve işleme amacı dışında kullanamayacağını düzenler. Bu yükümlülük görevden ayrılmalarından sonra da devam eder.
Çalışanın müşteri listesini, hasta verisini, personel dosyasını veya başka kişisel veriyi işten ayrılırken kendine kopyalaması hukuka aykırı olabilir. Erişimlerin kapatılması, cihazların iadesi ve veri çıkarma kontrolleri çıkış sürecinde uygulanmalıdır.
Gizlilik sözleşmesi bu kanuni yükümlülüğü destekler; yükümlülüğün kaynağı yalnız sözleşme değildir. Personel gizlilik kurallarını ihlal ettiğinde iş hukuku, KVKK, haksız fiil ve somut olaya göre ceza hukuku sonuçları gündeme gelebilir.
Çalışan eğitimlerinde gerçek örnekler üzerinden amaç dışı kullanım ve veri sızıntısı riski anlatılmalıdır.
Kişisel veri ihlali olursa bildirim yükümlülüğü nedir?
KVKK m.12/5’e göre işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kişisel Verileri Koruma Kuruluna bildirir. Kurul gerekli görürse ihlali kendi internet sitesinde veya uygun başka yöntemle ilan edebilir.
Kurulun veri ihlali bildirimlerine ilişkin karar ve uygulama rehberleri, bildirimin gecikmeksizin yapılması ve olayın belirli bilgilerle raporlanması gerektiğini somutlaştırır. Veri sorumlusu olay müdahale planını önceden hazırlamalıdır.
İhlal yalnız hacker saldırısı değildir. Yanlış kişiye e-posta gönderme, çalınan dizüstü bilgisayar, kaybolan USB, açık internet klasörü, yetkisiz çalışan erişimi veya kağıt dosyanın yanlış kişiye teslimi de kişisel veri ihlali oluşturabilir.
İhlalin fark edildiği tarih, etkilenen kişi ve veri kategorileri, muhtemel sonuçlar ve alınan tedbirler kayıt altına alınmalıdır. Olayın başlangıçta bütün ayrıntıları bilinmiyorsa araştırma devam ederken mevcut bilgilerle bildirim ve sonradan güncelleme mekanizması kullanılabilir.
Veri ihlali olduğunda hangi adımlar atılmalıdır?
İlk adım ihlali durdurmak ve kapsamını sınırlamaktır. Ele geçirilmiş hesap kapatılmalı, sızdırılan bağlantı devre dışı bırakılmalı, kötü amaçlı erişim kesilmeli ve deliller korunmalıdır.
İkinci adım olayın kapsamını belirlemektir: hangi sistem, kaç kişi, hangi veri kategorisi, özel nitelikli veri olup olmadığı, verinin şifreli olup olmadığı ve saldırganın ne kadar süre eriştiği tespit edilir.
Üçüncü adım hukuki bildirim değerlendirmesidir. KVKK m.12 kapsamındaki Kurul ve ilgili kişi bildirimleri ile varsa sektör düzenleyicilerine yapılacak bildirimler planlanır.
Dördüncü adım kök neden ve düzeltici faaliyettir. Parola zayıflığı, yanlış yetkilendirme, güncellenmemiş yazılım veya çalışan hatası gibi nedenler giderilir. Olay kapandıktan sonra politika ve eğitim güncellenir.
Sık sorulan sorular
KVKK veri güvenliği kimin sorumluluğunda?
Veri sorumlusu m.12 kapsamındaki teknik ve idari tedbirleri almak zorundadır.
Veri işleyen kullanınca sorumluluk biter mi?
Hayır. Veri sorumlusu gerekli tedbirler bakımından veri işleyenle birlikte sorumludur.
Şifreleme KVKK’da zorunlu mu?
Kanun tek tek teknoloji saymaz; risk ve veri türüne göre gerekli güvenlik düzeyi sağlanmalıdır. Şifreleme birçok yüksek riskli süreçte uygun teknik tedbirdir.
Çalışan veriyi yanlış kişiye gönderirse ihlal midir?
Yetkisiz kişiye kişisel veri ifşa edildiyse kişisel veri ihlali gündeme gelir.
Veri ihlali Kurula bildirilmeli mi?
M.12/5 kapsamındaki kanuni olmayan elde etme hâlinde veri sorumlusu en kısa sürede ilgili kişiye ve Kurula bildirim yapmalıdır.
İşten ayrılan personelin gizlilik yükümlülüğü devam eder mi?
Evet. Kanun bu yükümlülüğün görevden ayrılma sonrasında da devam ettiğini düzenler.
Veri sorumlusu denetim yapmak zorunda mı?
Evet. Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptırmak zorundadır.
Bulut sağlayıcı ihlal yaşarsa kim bildirim yapar?
Sözleşme ve rol dağılımı önemlidir; veri sorumlusu KVKK kapsamındaki kendi bildirim yükümlülüğünü takip etmek zorundadır.
Fiziksel dosyalar da KVKK güvenliğine tabi mi?
Evet. Kişisel veri içeren kağıt ve fiziksel arşivler de uygun erişim ve muhafaza tedbirleriyle korunmalıdır.
Saklama süresi dolan veriyi güvenli tutmak yeterli mi?
Hayır. İşleme sebebi sona ermişse m.7 kapsamında silme, yok etme veya anonimleştirme yükümlülüğü değerlendirilir.
Resmî kaynak ve bağlantılı rehberler
6698 sayılı Kanun’un güncel metni için Mevzuat Bilgi Sistemi; kişisel veri güvenliği rehberi ve ihlal bildirim kararları için Kişisel Verileri Koruma Kurumu kullanılmalıdır. Veri silme ve imha için KVKK m.7 rehberi, yurt dışı aktarım için KVKK m.9 rehberi incelenebilir.
Hukukçu incelemesi ve E-E-A-T: İçerik 11 Eylül 2026 tarihinde KVKK m.12’nin yürürlükteki hükümleri ve Kişisel Verileri Koruma Kurumunun veri güvenliği uygulamaları esas alınarak hazırlanmıştır. Teknik-idari tedbir, veri işleyenle müşterek sorumluluk, denetim, gizlilik ve ihlal bildirimi yükümlülükleri ayrı başlıklar hâlinde açıklanmıştır.
Hukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
