KVKK Kişisel Veri İşleme Şartları Nelerdir? 6698 Sayılı Kanun m.5 Rehberi 2026
KVKK m.5 kişisel veri işlemeyi nasıl düzenler?
6698 sayılı Kanun’un 5. maddesi kişisel verilerin işlenmesinde temel hukuki dayanakları belirler. Maddenin ilk fıkrası kişisel verilerin ilgili kişinin açık rızası olmaksızın işlenemeyeceğini belirtir. İkinci fıkra ise açık rıza aranmaksızın işleme yapılabilecek hukuki sebepleri sayar. Bu sistemde veri sorumlusu her işlem için önce “hangi veriyi, hangi amaçla, hangi hukuki sebebe dayanarak işliyorum?” sorusuna cevap vermelidir.
Açık rıza bütün veri işleme faaliyetlerinin zorunlu ve tek temeli değildir. M.5/2’deki hukuki sebeplerden biri somut işleme faaliyetine gerçekten uygulanıyorsa veri sorumlusu o işleme için ayrıca açık rıza almak zorunda değildir. Hatta hukuki yükümlülük veya sözleşmenin zorunlu ifası gibi durumlarda işlemenin sanki tamamen isteğe bağlıymış gibi rızaya bağlanması, rızanın özgür iradeye dayanması bakımından sorun yaratabilir.
Hukuki sebep belirlenirken işleme faaliyetinin amacı ve veri kategorisi ayrıştırılmalıdır. Aynı veri farklı amaçlarla farklı hukuki sebeplere dayanarak işlenebilir. Örneğin çalışanın banka hesap bilgisi ücret ödemek için sözleşme ve hukuki yükümlülük kapsamında işlenirken aynı bilginin reklam veya profil çıkarma amacıyla kullanılması ayrı bir hukuki sebep gerektirir.
Madde 5 genel nitelikli kişisel veriler içindir. Sağlık, biyometrik, genetik, ceza mahkûmiyeti veya siyasi düşünce gibi özel nitelikli kişisel veriler bakımından Kanun’un 6. maddesindeki özel işleme şartları ayrıca uygulanır.
Açık rıza hangi durumlarda kullanılmalıdır?
Kanundaki diğer hukuki sebeplerden hiçbiri işleme faaliyetini karşılamıyorsa ve işlem yasaklanmış bir amaç taşımıyorsa açık rıza hukuki dayanak olabilir. Açık rızanın belirli konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir irade beyanı olması gerekir.
Genel ve sınırsız “her türlü verimin her amaçla işlenmesini kabul ediyorum” ifadeleri belirli konu şartını karşılamaz. Rıza hangi veri veya veri kategorisi için, hangi amaçla ve gerekiyorsa hangi alıcı grubuna yönelik olarak verildiğini anlaşılır biçimde göstermelidir.
Rızanın hizmetin ön şartı hâline getirilmesi de her durumda geçerli değildir. Sözleşmenin ifası için zorunlu olmayan bir veri işleme faaliyeti, tüketicinin veya çalışanın esas hizmetten yararlanmasını engelleyecek şekilde rızaya bağlanıyorsa özgür irade unsuru tartışmalı hâle gelir.
Açık rıza geri alınabilir. Geri alma, geri alma anından sonraki rızaya dayalı işlemleri etkiler. Veri sorumlusu aynı işleme faaliyeti için başka bir hukuki sebebe gerçekten sahipse o sebep kapsamında zorunlu işlemeye devam edebilir; ancak “rıza geri alındı, yine de eski rızaya dayanarak devam ederim” yaklaşımı kanuna uygun değildir.
Kanunlarda açıkça öngörülme hukuki sebebi nedir?
KVKK m.5/2-a, kişisel veri işlemenin kanunlarda açıkça öngörülmesi hâlinde açık rıza aranmayacağını düzenler. Burada veri işleme faaliyeti başka bir kanun hükmünün öngördüğü görev, kayıt, bildirim veya saklama yükümlülüğüyle bağlantılı olmalıdır.
Örneğin işverenin vergi, sosyal güvenlik veya iş mevzuatı gereği belirli çalışan verilerini resmi kurumlara bildirmesi kanundan doğan yükümlülüklerle ilişkilendirilebilir. Banka, sigorta veya sağlık alanlarında da özel mevzuat veri işleme yükümlülükleri öngörebilir.
Bu hukuki sebep “bir kanunda kurumun adı geçiyor” şeklinde geniş yorumlanmamalıdır. Veri işleme ile dayanak kanuni görev arasında açık ve gerçek bağlantı bulunmalıdır. İşlenen veri miktarı, amaçla sınırlı olmalı ve KVKK m.4’teki ölçülülük ilkesine uymalıdır.
Kanun değiştiğinde hukuki sebep de yeniden değerlendirilmelidir. Eski mevzuat gereği yıllarca tutulan veri, yeni düzenlemede artık zorunlu değilse veri sorumlusu saklama ve imha süreçlerini güncellemelidir.
Fiili imkânsızlık ve hayat veya beden bütünlüğünün korunması şartı
KVKK m.5/2-b, fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da başka bir kişinin hayatı veya beden bütünlüğünün korunması için veri işlemenin zorunlu olması hâlini düzenler.
Bu istisna dar yorumlanmalıdır. Sıradan kolaylık, işlem hızlandırma veya maliyet azaltma bu hukuki sebebe girmez. Kişinin rızasını fiilen açıklayamaması ve işlemenin hayat veya beden bütünlüğünü korumak için zorunlu olması birlikte aranır.
Örneğin kimliği bilinmeyen ve bilinci kapalı bir kişinin acil sağlık müdahalesinde kimlik veya yakın bilgilerine ulaşılması somut koşullarda bu hukuki sebebe dayanabilir. Ancak sağlık verilerinin özel nitelikli veri olması nedeniyle m.6’daki özel şartlar da ayrıca dikkate alınır.
Veri sorumlusu acil durum gerekçesi sona erdiğinde aynı veriyi farklı amaçlarla işlemeye devam edemez. Sonraki kullanım için yeni amaca uygun hukuki sebep bulunmalıdır.
Sözleşmenin kurulması veya ifası için veri işleme şartı
KVKK m.5/2-c, bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması hâlini düzenler. Buradaki “doğrudan doğruya ilgili” ve “gerekli” ifadeleri sınır koyar.
Bir e-ticaret siparişinde ürünün teslimi için ad, adres ve iletişim bilgisi; ödeme veya iade için gerekli hesap bilgileri bu hukuki sebep kapsamında değerlendirilebilir. Ancak aynı müşterinin doğum tarihi, sosyal medya hesabı veya ailesine ilişkin bilgilerin ürün teslimi için zorunlu olduğu kabul edilemez.
Sözleşme öncesi aşama da kapsamdadır. Bir teklif hazırlamak, rezervasyon oluşturmak veya kişinin talebi üzerine sözleşme öncesi işlem yapmak için gerekli veriler işlenebilir. Ancak potansiyel müşteriye ilgisiz pazarlama profili oluşturmak sözleşmenin kurulması hukuki sebebiyle otomatik olarak meşrulaşmaz.
Sözleşme sona erdiğinde bütün verilerin derhâl silineceği sonucu da otomatik değildir. Vergi, ticaret veya uyuşmazlıkların çözümü için başka hukuki saklama sebepleri bulunabilir. Her veri kategorisinin saklama süresi ayrı belirlenmelidir.
Veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi
KVKK m.5/2-ç, veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için veri işlemenin zorunlu olması hâlinde açık rıza aranmamasını düzenler. Bu sebep, yalnız kanunda açıkça “şu veriyi işle” denilen durumlarla sınırlı değildir; hukuken üstlenilmiş zorunlu görevin yerine getirilebilmesi için gerekli veri işleme faaliyetlerini de kapsar.
İşverenin çalışan ücret bordrosu ve yasal kesintiler için gerekli verileri tutması, finansal kuruluşun düzenleyici otoriteye zorunlu raporlama yapması veya şirketin ticari kayıtlarını kanuni süre boyunca saklaması bu kapsama örnek olabilir.
Hukuki yükümlülük somut ve gösterilebilir olmalıdır. Veri sorumlusu “kurumsal gereklilik” veya “şirket politikası” diyerek m.5/2-ç’ye dayanamaz. Şirket politikası hukuki yükümlülük değildir.
İşleme kapsamı yükümlülükle orantılı olmalıdır. Resmi kurum yalnız belirli bilgileri istiyorsa veri sorumlusu bütün müşteri profilini aynı gerekçeyle paylaşamaz.
İlgili kişinin kendisi tarafından alenileştirilen veriler işlenebilir mi?
KVKK m.5/2-d, ilgili kişinin kendisi tarafından alenileştirilmiş kişisel verilerinin işlenmesini açık rıza aranmayan hukuki sebepler arasında sayar. Ancak “internette görülebiliyor” olmak tek başına sınırsız işleme yetkisi vermez.
Alenileştirmenin ilgili kişinin kendisi tarafından yapılmış olması ve işleme faaliyetinin alenileştirme amacıyla uyumlu olması gerekir. Kişinin iletişim bilgilerini malını satmak için ilan sayfasında yayımlaması, bu verinin sınırsız reklam veri tabanına alınmasına otomatik izin vermez.
Sosyal medya hesabının herkese açık olması da bütün içeriklerin her amaçla toplanabileceği anlamına gelmez. Veri sorumlusu amaçla bağlantılılık, ölçülülük ve ilgili kişinin makul beklentisini değerlendirmelidir.
Alenileştirilen verinin sonradan kaldırılması veya kullanım amacının değişmesi durumunda hukuki sebep yeniden gözden geçirilmelidir. Veri sorumlusu eski ekran görüntüsünü süresiz ve amaç dışı tutamaz.
Bir hakkın tesisi, kullanılması veya korunması
KVKK m.5/2-e, bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması hâlini düzenler. Bu hukuki sebep özellikle alacak takibi, dava, savunma, sözleşmesel talep, sigorta uyuşmazlığı ve benzeri hukuk süreçlerinde önemlidir.
Bir şirketin eski çalışanına karşı açılan davada bordro ve işyeri kayıtlarını saklaması, kişinin kendi hakkını ispatlamak için ilgili yazışmaları kullanması veya sözleşme ihlali nedeniyle delil niteliğindeki kayıtların korunması bu sebep kapsamında değerlendirilebilir.
Ancak “ileride bir dava çıkabilir” denilerek bütün verilerin süresiz saklanması ölçülü değildir. Olası uyuşmazlığın niteliği, zamanaşımı süreleri, verinin ispat değeri ve saklama riskleri birlikte değerlendirilmelidir.
Özel nitelikli kişisel veri söz konusuysa m.6’daki şartlar ayrıca aranır. M.5’teki bir hakkın tesisi hukuki sebebi tek başına özel nitelikli verilerin bütün işlenmesini karşılamaz.
Meşru menfaat hukuki sebebi nasıl uygulanır?
KVKK m.5/2-f, ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri için veri işlemenin zorunlu olması hâlini düzenler. Bu hukuki sebep iki aşamalı bir denge testi gerektirir.
Önce veri sorumlusunun gerçek, hukuka uygun ve belirli bir menfaati bulunmalıdır. Sonra veri işleme faaliyetinin bu menfaat için gerçekten gerekli olup olmadığı değerlendirilir. Daha az veriyle veya kişisel veri işlemeksizin aynı amaç sağlanabiliyorsa zorunluluk şartı zayıflar.
Son aşamada ilgili kişinin temel hak ve özgürlükleriyle denge kurulur. Verinin hassasiyeti, kişinin veri sorumlusuyla ilişkisi, işleme kapsamı, beklenmedik etkiler, profil çıkarma, otomatik karar ve güvenlik riskleri dikkate alınır.
Meşru menfaat, “kurumun işine yarıyor” anlamına gelmez. Veri sorumlusu değerlendirmesini yazılı bir denge testiyle belgelemeli ve aydınlatma metninde bu hukuki sebebi açıkça belirtmelidir.
KVKK m.5 tek başına yeterli midir?
Hayır. Bir hukuki işleme şartının bulunması, kişisel verinin sınırsız şekilde işlenebileceği anlamına gelmez. KVKK m.4’teki genel ilkeler her işleme faaliyetinde uygulanır: hukuka ve dürüstlük kurallarına uygun olma; doğru ve gerektiğinde güncel olma; belirli, açık ve meşru amaçlar için işlenme; işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma; ilgili mevzuatta öngörülen veya amaç için gerekli süre kadar muhafaza edilme.
Örneğin sözleşme için müşterinin teslimat adresini işlemek m.5/2-c kapsamında hukuka uygun olabilir; fakat bu adresi sözleşme sona erdikten sonra on yıllarca pazarlama amacıyla saklamak m.4 ilkelerine aykırı olabilir.
Veri sorumlusu her amaç için veri envanteri oluşturmalı, hukuki sebebi belirlemeli, erişim yetkilerini sınırlamalı ve saklama-imha sürelerini tanımlamalıdır. Aydınlatma yükümlülüğü de m.10 uyarınca yerine getirilmelidir.
İşleme faaliyeti sona erdiğinde m.7 uyarınca silme, yok etme veya anonim hâle getirme yükümlülüğü gündeme gelir. Hukuki sebep ve amaç kalmadığında verinin “belki ileride lazım olur” diyerek tutulması kanunun sistemine uygun değildir.
Veri sorumlusu işleme hukuki sebebini nasıl belgelendirmelidir?
İlk adım kişisel veri işleme envanterinde her veri kategorisi için amaç, hukuki sebep, alıcı grubu, saklama süresi ve güvenlik tedbirlerini göstermektir. VERBİS yükümlülüğü bulunmasa bile iç envanter ve süreç haritası uyum açısından önemlidir.
İkinci adım aydınlatma metinlerini gerçek işleme faaliyetleriyle uyumlu hâle getirmektir. “KVKK kapsamında işlenmektedir” şeklindeki genel cümle hukuki sebebi açıklamaz. Hangi amaç için m.5/2’nin hangi sebebine dayanıldığı anlaşılır olmalıdır.
Üçüncü adım rıza kullanılan süreçleri diğer hukuki sebeplerden ayırmaktır. Zorunlu işleme için rıza kutusu, pazarlama için aynı kutuda zorunlu onay ve sözleşmeyle ilgisiz veri talepleri uyum riskidir.
Dördüncü adım periyodik gözden geçirmedir. İş süreci, teknoloji veya mevzuat değiştiğinde hukuki sebep ve veri miktarı yeniden değerlendirilmelidir. Yeni amaç için eski hukuki sebep otomatik olarak kullanılamaz.
Sık sorulan sorular
KVKK’ya göre açık rıza olmadan veri işlenebilir mi?
Evet. M.5/2’deki hukuki sebeplerden biri somut işleme için mevcutsa açık rıza aranmaz.
Her sözleşmede KVKK açık rızası almak gerekir mi?
Hayır. Sözleşmenin kurulması veya ifasıyla doğrudan ilgili ve gerekli veriler m.5/2-c kapsamında işlenebilir.
Kanuni zorunluluk varsa açık rıza gerekir mi?
Kanunda açıkça öngörülme veya hukuki yükümlülük şartları mevcutsa ilgili işlem için açık rıza aranmaz.
İnternette açık olan veri serbestçe kullanılabilir mi?
Hayır. Alenileştirmenin kişi tarafından yapılmış olması ve kullanımın alenileştirme amacıyla uyumlu olması gerekir.
Meşru menfaat her veri işlemeyi kapsar mı?
Hayır. İşlemenin zorunlu olması ve ilgili kişinin temel hak ve özgürlüklerine zarar vermemesi gerekir.
Dava için kişisel veri saklanabilir mi?
Bir hakkın tesisi, kullanılması veya korunması için zorunlu veri m.5/2-e kapsamında saklanabilir; ölçülülük ve süre şartları devam eder.
Açık rıza geri alınabilir mi?
Evet. Geri alma ileriye dönük olarak rızaya dayalı işlemeyi sona erdirir; başka hukuki sebep varsa o sebep ayrıca değerlendirilir.
Sağlık verisi m.5’e göre işlenebilir mi?
Sağlık verisi özel nitelikli kişisel veridir; m.6’daki özel şartlar ayrıca uygulanır.
Hukuki sebep sonradan değiştirilebilir mi?
Yeni işleme amacı gerçekten başka bir hukuki sebebe dayanıyorsa süreç yeniden tasarlanabilir; veri sorumlusu geriye dönük olarak uygun olmayan işlemi kâğıt üzerinde farklı sebebe çeviremez.
Hukuki sebep aydınlatma metninde yazılmalı mı?
Evet. Aydınlatma yükümlülüğü kapsamında kişisel verilerin hangi hukuki sebeple toplandığı ilgili kişiye bildirilmelidir.
Resmî kaynak ve bağlantılı rehberler
6698 sayılı Kişisel Verilerin Korunması Kanunu’nun güncel metni için Mevzuat Bilgi Sistemi ve uygulama rehberleri için Kişisel Verileri Koruma Kurumu kullanılmalıdır.
Hukukçu incelemesi ve E-E-A-T: İçerik 11 Eylül 2026 tarihinde KVKK m.4 ve m.5’in yürürlükteki sistemine göre hazırlanmıştır. Açık rıza, kanundaki diğer işleme şartlarının yerine geçen genel bir zorunluluk gibi sunulmamış; her hukuki sebep ayrı şartlarıyla açıklanmıştır.
Hukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
Bakırcı & Keskin Hukuk Bürosu sitesinden daha fazla şey keşfedin
Son gönderilerin e-postanıza gönderilmesi için abone olun.
