# KVKK Temel Maddeler Referans

## Madde 3 - Tanımlar

- **Kişisel veri**: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi
- **Özel nitelikli kişisel veri**: Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep, diğer inançlar, kılık ve kıyafet, dernek, vakıf üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti, biyometrik ve genetik veriler
- **Veri sorumlusu**: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sistemini kuran kişi
- **Veri işleyen**: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen kişi

## Madde 5 - Kişisel Verilerin İşlenme Şartları

Açık rıza olmaksızın işleme şartları:
1. Kanunlarda açıkça öngörülmesi
2. Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda
3. Sözleşmenin kurulması veya ifasıyla doğrudan ilgili
4. Veri sorumlusunun hukuki yükümlülüğü
5. İlgili kişinin kendisi tarafından alenileştirilmiş
6. Bir hakkın tesisi, kullanılması veya korunması
7. Veri sorumlusunun meşru menfaatleri

## Madde 6 - Özel Nitelikli Kişisel Verilerin İşlenmesi

- Açık rıza olmadan işlenemez
- Sağlık ve cinsel hayata ilişkin veriler: Ancak kamu sağlığı, tıbbi teşhis gibi amaçlarla, sır yükümlülüğü olan kişilerce
- Diğer özel nitelikli veriler: Kanunlarda öngörülen hallerde

## Madde 7 - Kişisel Verilerin Silinmesi, Yok Edilmesi

- İşleme şartları ortadan kalktığında silinmeli veya anonim hale getirilmeli
- Kurul tarafından belirlenen usul ve esaslara göre
- Periyodik imha: En geç 6 ayda bir

## Madde 9 - Kişisel Verilerin Yurt Dışına Aktarılması

- Açık rıza gerekir VEYA
- Aktarılacak ülkede yeterli koruma bulunması (Kurul kararı ile belirlenir)
- Yeterli korumanın bulunmaması halinde: Türkiye'deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli korumayı yazılı olarak taahhüt etmesi + Kurul izni

## Madde 10 - Veri Sorumlusunun Aydınlatma Yükümlülüğü

Aydınlatma metni içerikleri:
1. Veri sorumlusunun ve varsa temsilcisinin kimliği
2. Kişisel verilerin hangi amaçla işleneceği
3. İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği
4. Kişisel veri toplamanın yöntemi ve hukuki sebebi
5. Madde 11'de sayılan diğer haklar

## Madde 11 - İlgili Kişinin Hakları

1. Kişisel verilerinin işlenip işlenmediğini öğrenme
2. İşlenmişse buna ilişkin bilgi talep etme
3. İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme
4. Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme
5. Eksik veya yanlış işlenmiş verilerin düzeltilmesini isteme
6. Kanunda öngörülen şartlar çerçevesinde silinmesini veya yok edilmesini isteme
7. 5 ve 6'daki işlemlerin aktarılan üçüncü kişilere bildirilmesini isteme
8. Münhasıran otomatik sistemler vasıtasıyla analiz edilmesi sonucu aleyhine çıkan sonuca itiraz
9. Kanuna aykırı işlenmesi sebebiyle zarara uğraması halinde zararın giderilmesini talep

## Madde 12 - Veri Güvenliğine İlişkin Yükümlülükler

Veri sorumlusu:
a) Hukuka aykırı işlemeyi önlemek
b) Hukuka aykırı erişimi önlemek
c) Muhafazasını sağlamak

için uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorunda.

**İhlal durumunda:** En kısa sürede ve en geç 72 saat içinde Kurula bildirme yükümlülüğü.

## VERBİS (Veri Sorumluları Sicil Bilgi Sistemi)

- **Yükümlü olanlar:** Yıllık çalışan sayısı 50'den fazla veya yıllık mali bilançosu 25 milyon TL üzeri veri sorumluları
- **İstisna:** Dernek, vakıf, sendika gibi kuruluşlar (sadece üye verisi işleyenler)
- **Kayıt zorunluluğu:** Veri işlemeye başlamadan önce

## KVKK vs GDPR Karşılaştırması

| Konu | KVKK | GDPR |
|------|------|------|
| Uygulama alanı | Türkiye | AB/AEA |
| Veri işleme şartları | Benzer | 6 hukuki dayanak |
| İlgili kişi hakları | Benzer | + Taşınabilirlik hakkı |
| Yurt dışı aktarım | Kurul izni/taahhüt | Yeterlilik kararı/SCCs |
| İhlal bildirimi | Kurul'a bildir | 72 saat + ilgili kişi |
| Ceza | İdari para cezası | %4 küresel ciro veya 20M Euro |