KVKK Uyumlu Yazılım Geliştirme Rehberi

KVKK uyumlu yazılım, ilk kaydı veritabanına yazmadan önce üç soruyu cevaplayan yazılımdır: bu alanı hangi hukuki sebeple topluyorum, ne kadar saklayacağım, nasıl sileceğim. Kişisel Verileri Koruma Kurulu 2025 yılında 876 veri sorumlusuna toplam 352.510.494 TL idari para cezası uyguladı; 2026 tarifesinde veri güvenliği ihlalinin tavanı 17.092.242 TL.

Dikkat çeken ayrıntı şu: o 876 cezanın 594'ü, yani üçte ikiden fazlası, bir saldırıdan değil Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğünden doğdu. Yani Türkiye'de kişisel veri cezalarının büyük kısmı sofistike bir siber olaydan değil, kurulmamış bir süreçten geliyor. Bu rehber, o süreci yazılımın mimarisine nasıl gömeceğinizi anlatıyor — çerez banner'ı ve aydınlatma metni düzeyinde değil, veri modeli, akış ve cron işi düzeyinde.

Sitenizin görünen yüzündeki uyum katmanını daha önce web sitesi KVKK uyumu yazısında ele aldık. Burada bir adım aşağıya, kodun içine iniyoruz.

İçindekiler

• KVKK Uyumlu Yazılım Ne Demek?
• Rakamlarla 2025: Ceza Nerede Kesiliyor?
• Veri Envanteri: Yazılımın Kişisel Veri Haritası
• Hukuki Sebep: Açık Rıza En Son Seçenektir
• Açık Rıza Akışlarında Tek Tık Hatası
• Saklama Süresi ve Veri Temizleme Otomasyonu
• Anonimleştirme, Takma Adlaştırma ve Maskeleme
• Yetki Matrisi, Loglar ve Teknik Tedbirler
• Hak Taleplerini Yazılıma Gömmek
• Tedarikçiler, Bulut ve Yurt Dışına Aktarım
• Veri Sızıntısında 72 Saatlik Bildirim Zinciri
• VERBİS Eşikleri 2025'te Yeniden Değişti
• Baştan Uyumlu Tasarım mı, Sonradan Uyum mu?
• Yayına Almadan Önce 12 Maddelik Kontrol Listesi
• Sıkça Sorulan Sorular

KVKK Uyumlu Yazılım Ne Demek?

6698 sayılı Kanun'un 4'üncü maddesi, kişisel veri işlemeye beş ilke koyar: hukuka ve dürüstlük kurallarına uygunluk, doğru ve gerektiğinde güncel olma, belirli-açık-meşru amaç, amaçla bağlantılı ve ölçülü olma, gerekli süre kadar muhafaza. Bir KVKK uyumlu yazılım projesinde bu ilkeler, sözleşmeye eklenen bir madde değil şemaya eklenen bir kolondur. İlkeleri hukuk metni gibi okursanız genel geçer tavsiyeye benzerler. Bir veri modeli gibi okursanız her biri somut bir tasarım kararına dönüşür.

Aşağıdaki tablo, Kanun'un ilkelerini doğrudan teknik karşılıklarına bağlıyor. Bir KVKK uyumlu yazılım geliştirme çalışmasının iskeleti bu eşlemedir.

Kritik ayrım şurada: Kanun sizden "KVKK sertifikalı yazılım" istemez, çünkü böyle bir sertifika yoktur. Kanun'un 12'nci maddesi veri sorumlusundan "uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri" ister. KVKK uyumlu yazılım dediğimiz şey, bu tedbirlerin bir kısmını mümkün kılan mimaridir; uyumsuz yazılım ise aynı tedbirleri imkânsızlaştırır. Sonradan eklenen bir uyum katmanı ise genelde ikinci gruba girer.

Kurum'un Kişisel Veri Güvenliği Rehberi bu noktayı açıkça yazar: yeni sistemlerin tedariği, geliştirilmesi veya mevcut sistemlerin iyileştirilmesi ile ilgili ihtiyaçlar belirlenirken güvenlik gereksinimlerini göz önüne almanız gerekir. Yani güvenlik ve uyum gereksinimi, analiz aşamasının çıktısıdır; test aşamasının bulgusu değil.

Rakamlarla 2025: Ceza Nerede Kesiliyor?

Kurum'un 2025 Yılı Faaliyet Raporu uyum bütçesini nereye harcamanız gerektiğini tahmine bırakmıyor. Kurul 2025'te 42 toplantı yaptı, 2.528 karar aldı ve 876 veri sorumlusuna ceza uyguladı. Cezaların dağılımı şöyle:

Veri ihlali kalemindeki ortalama ceza 636 bin TL dolayında; bir KVKK uyumlu yazılım kurgusunun analiz ve tasarım maliyeti bunun çok altında kalıyor. Bu, bir orta ölçekli projenin toplam geliştirme bütçesiyle aynı mertebede. Aynı yıl Kurum'a 328 veri ihlali bildirimi geldi; 296'sı yurt içi, 32'si yurt dışı kaynaklı. Kurul bunların 51'ini kamuoyuna ilan etti, yani ihlalin maliyeti para cezasıyla bitmiyor.

2026 için geçerli tarife, Kurum'un 31 Aralık 2025'te yayımladığı idari para cezası tablosunda yer alıyor. Tutarlar yeniden değerleme oranıyla (2026 için %25,49) her yıl artar:

Tablonun son satırı 2024'te mevzuata girdi ve pek çok ekip bunu hâlâ bilmiyor. Yurt dışına veri aktarımında kullandığınız standart sözleşmeyi Kuruma bildirmezseniz ceza doğrudan bu kalemden gelir.

Veri Envanteri: Yazılımın Kişisel Veri Haritası

KVKK uyumlu yazılım envanterle başlar, politika metniyle başlamaz. Kişisel veri işleme envanteri, hangi veriyi hangi amaçla işlediğinizi, hukuki sebebini, veri kategorisini, aktardığınız alıcı grubunu, azami saklama süresini, yurt dışına aktarımı ve aldığınız güvenlik tedbirlerini tek tabloda gösteren çalışma dokümanıdır.

Yazılım ekibi için bunun pratik anlamı şu: envanter, veritabanı şemanızın hukuki açıklamasıdır. Dolayısıyla envanteri hukuk tarafı tek başına dolduramaz. Doğru yöntem, şemayı tarayıp kişisel veri içeren her kolonu listelemek ve her satırı dört bilgiyle tamamlamaktır.

Bu tabloyu bir kez doldurmak çoğu ekibin uyum çalışmasındaki en zor adımdır, çünkü ortaya hiçbir amaca hizmet etmeyen kolonlar çıkar. Güvenlik Rehberi de bunu veri azaltma başlığı altında işler: işleme amaçları bakımından bu verilere hâlâ ihtiyaç olup olmadığını değerlendirmeniz ve gereksiz verileri güvenli şekilde imha etmeniz gerekir.

Pratik tavsiye: envanteri ayrı bir Excel dosyasında değil, kod tabanında tutun. Şema üstündeki yorumlar ya da bir data-catalog.yml dosyası, migration her değiştiğinde fark yaratır. Ayrı dosyadaki envanter altı ay içinde gerçeği yansıtmayı bırakır.

Hukuki Sebep: Açık Rıza En Son Seçenektir

KVKK uyumlu yazılım geliştirmeye çalışan ekiplerin en yaygın tasarım hatası, her veri işleme faaliyetine onay kutusu koymaktır. Kanun'un 5'inci maddesi açık rızayı tek yol olarak değil, altı alternatifin yanındaki yedinci yol olarak düzenler. Sözleşmenin kurulması veya ifası (m.5/2-c), hukuki yükümlülük (m.5/2-ç), bir hakkın tesisi (m.5/2-e) ve meşru menfaat (m.5/2-f) günlük yazılım senaryolarının çoğunu karşılar.

Bu ayrım neden önemli? Çünkü açık rızaya dayandırdığınız her işleme faaliyeti, kullanıcının rızayı geri alma hakkıyla birlikte gelir. Teslimat adresini açık rızaya bağlarsanız kullanıcı rızayı geri aldığında siparişi gönderemezsiniz. Aynı veriyi sözleşmenin ifası sebebine bağlarsanız hem hukuken doğru olur hem de akışınız çökmez.

Pratik kural: bir alan hizmetin çalışması için zorunluysa açık rıza istemeyin, aydınlatma yapın. Açık rızayı yalnızca hizmetin dışında kalan işlemeler için saklayın — pazarlama iletisi, profilleme, çerezlerde izleme, ses kaydı, konum geçmişi gibi.

Özel nitelikli veriler ayrı bir rejime tabidir. Sağlık, biyometrik, genetik veri, ceza mahkûmiyeti, sendika üyeliği ve din bilgisi Kanun'un 6'ncı maddesine girer; m.6/3 bu verilerin işlenmesini kural olarak yasaklar ve sınırlı sayıda istisna tanır. Bir klinik yazılımında ya da çalışan sağlık raporu modülünde bu alanları aynı tabloya aynı yetkiyle koymak, teknik olarak kolay ama hukuken en pahalı tercihtir.

Açık Rıza Akışlarında Tek Tık Hatası

Kurul 10 Haziran 2025 tarihli 2025/1072 sayılı ilke kararıyla doğrudan bir arayüz kalıbını hedef aldı. Karar, 26 Haziran 2025 tarihli Resmî Gazete'de yayımlandı ve ödeme, kayıt, üyelik oluşturma gibi akışlarda SMS doğrulama kodu uygulamasını değerlendirdi.

Kurul'un tespiti net: müşteriden alınan tek bir SMS kodu ile üyelik sözleşmesinin onaylanması, kişisel veri işleme izni alınması ve ticari elektronik ileti onayı alınması gibi birbirinden farklı işleme faaliyetlerinin tek eylemle gerçekleştirilmesi uygulamasına son verilmesi gerekir. Açık rıza gereken her faaliyet için ayrı ayrı seçenek sunmanız ve ayrı ayrı rıza almanız şart. Ayrıca ticari ileti rızasını, ürün ve hizmet sunumunun tamamlanması için zorunlu bir unsur gibi sunamazsınız — Kurul bunu önlemek için teknik ve idari tedbir almanızı istiyor.

Bu karar, kasa yazılımından e-ticaret checkout akışına kadar pek çok ürünün yeniden yazılmasını gerektirdi. Doğru kurgu, rızayı tek boolean alan olarak değil ayrı kayıtlar olarak modellemekten geçer:

Rıza kaydını silmeyin, geri alma anını işaretleyin. Kurul bir inceleme açtığında size "rızanız var mıydı" diye sormaz; "o tarihte hangi metne, hangi ekranda, hangi amaç için rıza vardı" diye sorar. Bu soruya ancak sürümlenmiş bir rıza günlüğü cevap verir.

Saklama Süresi ve Veri Temizleme Otomasyonu

Kanun'un 7'nci maddesi, işleme sebepleri ortadan kalktığında kişisel verileri silmenizi, yok etmenizi veya anonim hâle getirmenizi emreder. Usul ve esasları Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik belirler ve bu yönetmelik yazılım ekipleri için iki somut süre getirir.

Birincisi: Sicile kayıtla yükümlü veri sorumluları saklama ve imha politikası hazırlar, periyodik imha aralığını bu politikada belirler ve bu aralık her hâlde altı ayı geçemez. İkincisi: politika hazırlama yükümlülüğü olmayan veri sorumlusu, yükümlülüğün doğduğu tarihi takip eden üç ay içinde veriyi siler. Ayrıca yönetmeliğin 7'nci maddesi, bütün silme ve anonimleştirme işlemlerini kayıt altına almanızı ve kayıtları en az üç yıl saklamanızı ister.

Bu üç sayı doğrudan bir teknik gereksinime çevrilir: zamanlanmış bir imha görevi, görevin her çalışmasında ürettiği denetim kaydı ve kaydın üç yıl saklandığı ayrı bir tablo. Politikanızda "altı ayda bir imha ederiz" yazıp bunu cron'a yazmadıysanız politikanız bir niyet beyanıdır.

Uygulamada en sık gözden kaçan dört kopya şunlardır:

• Soft delete tuzağı. deleted_at alanını doldurmak silme değildir; veri hâlâ erişilebilir durumda duruyor. Uyumlu kurgu, soft delete'i kullanıcı deneyimi için kısa bir geri alma penceresi olarak tutar ve ardından gerçek silmeyi tetikler.
• Yedekler. Canlıdan sildiğiniz kayıt yedeklerde yaşamaya devam eder. Yedek saklama süresini imha politikanızla hizalamanız ve yedek rotasyonunu bu süreye bağlamanız gerekir.
• Log ve olay kayıtları. Uygulama logları, hata izleme araçları ve mesaj kuyrukları kişisel veriyi genelde yapılandırılmamış biçimde taşır. Log satırına e-posta ya da kimlik numarası yazmayan bir logger, sonradan yazılacak her temizleme işinden ucuzdur.
• Analitik ve veri ambarı. ETL işleri kişisel veriyi ikinci bir sisteme kopyalar. Silme isteği yalnızca canlı veritabanına uygulanırsa ambar uyumsuz kalır.

Anonimleştirme, Takma Adlaştırma ve Maskeleme

Üç terim sık sık birbirinin yerine kullanılıyor, oysa hukuki sonuçları farklı. Anonim hâle getirilmiş veri artık kişisel veri değildir ve Kanun kapsamından çıkar. Takma adlaştırılmış veri — tanımlayıcıların bir kod ya da etiketle değiştirildiği veri — hâlâ kişisel veridir, çünkü eşleştirme tablosuyla kişiye geri dönülebilir. Maskeleme ise görüntüleme katmanında bir tedbirdir; kaydın kendisini değiştirmez.

Pratikte bu ayrım şu kararı belirler: analitik ve raporlama ihtiyacınızı anonim bir veri kümesiyle karşılayabiliyorsanız, o kümeyi Kanun kapsamından çıkarmış olursunuz. Bunun için tek tek kayıtların kişiye geri götürülememesi gerekir. Kurum'un rehberi bu amaçla bölgesel gizleme, genelleştirme, alt-üst sınır kodlama, örnekleme, mikro birleştirme ve k-anonimlik gibi yöntemleri sıralar.

Yazılım tarafında işe yarayan kalıp şudur: operasyonel veritabanı gerçek verileri tutar, analitik şema ise doğum tarihi yerine yaş aralığı, adres yerine ilçe, tam tarih yerine ay taşır. Geliştirme ve test ortamlarına ise canlı veri hiç kopyalanmaz — maskelenmiş ya da sentetik veri kullanılır. Güvenlik Rehberi geliştirme, test ve canlı ortamların ayrılmasını teknik tedbirler arasında sayar.

Bir uyarı: ad ve e-postayı silmek anonimleştirme değildir. Konum, gezinme alışkanlığı, cihaz bilgisi ve zaman damgası birleştiğinde tek bir kişiye geri dönmek çoğu veri kümesinde mümkün kalır. Anonimleştirdiğinizi düşündüğünüz kümeyi, geri çıkarım denemesiyle sınamanız gerekir.

Yetki Matrisi, Loglar ve Teknik Tedbirler

Kanun'un 12'nci maddesi teknik ve idari tedbirleri tek cümlede ister, Kurum'un rehberi ise bunları listeler. Rehberin teknik tedbirler özet tablosu şu kalemleri sayar: yetki matrisi, yetki kontrol, erişim logları, kullanıcı hesap yönetimi, ağ güvenliği, uygulama güvenliği, şifreleme, sızma testi, saldırı tespit ve önleme sistemleri, log kayıtları, veri maskeleme, veri kaybı önleme yazılımları, yedekleme, güvenlik duvarları, güncel anti-virüs, silme-yok etme-anonim hâle getirme ve anahtar yönetimi.

Bu listenin yarısı altyapı ekibinin işi, yarısı ise KVKK uyumlu yazılım kodunun kendi işi. Uygulama tarafında en çok fark yaratan dört karar şunlar:

Yetki matrisini koda gömmek yerine veriye taşımak. Rol kontrolünü if (user.role === 'admin') satırlarına dağıtan bir uygulamada, hangi rolün hangi veriye eriştiğini kimse raporlayamaz. Yetkileri tablolaştırırsanız Kurul bir inceleme açtığında matrisi dosya olarak sunabilirsiniz.

Yönetim paneline veri maskeleme koymak. Destek ekibinin müşteri kimlik numarasının tamamını görmesi genellikle gereksiz; son dört hane işi görür. Rehber veri maskelemeyi ayrı bir teknik tedbir olarak sayar ve bu, en düşük maliyetli tedbirlerden biridir.

Erişim loglarını okunur tutmak. Kimin hangi kaydı ne zaman görüntülediğini tutan bir log, ihlal anında kapsamı belirlemenizi sağlar. 72 saatlik bildirim süresinde "kaç kişi etkilendi" sorusuna cevap veremeyen ekipler bu logu tutmayanlar oluyor.

Girdi doğrulama ve bütünlük kontrolü. Rehber bu noktada çok nettir: uygulama sistemlerinin girdilerinin doğru ve uygun olduğuna dair kontroller yapmanız, uygulamalara kontrol mekanizmaları yerleştirmeniz ve uygulamayı, işlem hatalarının veri bütünlüğünü bozma olasılığını asgariye indirecek şekilde tasarlamanız gerekir.

Yedekler için ek bir kural var: rehber, yedeklenen kişisel verilere yalnızca sistem yöneticisinin erişmesini ve yedeklerin ağ dışında tutulmasını önerir. Fidye yazılımı senaryosunda bu tek cümle, kurtarılabilir bir yedekle kaybedilmiş bir yedek arasındaki farkı belirler. Konuyu derinleştirmek isterseniz web sitesi güvenliği rehberimiz altyapı tarafını, mobil uygulama güvenliği yazımız ise istemci tarafını ele alıyor.

Hak Taleplerini Yazılıma Gömmek

Kanun'un 11'inci maddesi ilgili kişiye dokuz hak tanır: işlenip işlenmediğini öğrenme, bilgi talep etme, amacını öğrenme, aktarıldığı üçüncü kişileri bilme, düzeltme isteme, silme veya yok etme isteme, bu işlemlerin üçüncü kişilere bildirilmesini isteme, otomatik sistemlerle analiz sonucu aleyhine çıkan sonuca itiraz etme ve zararın giderilmesini talep etme.

13'üncü madde size bir takvim verir: talebi en kısa sürede ve en geç otuz gün içinde ücretsiz sonuçlandırmanız gerekir. Silme talepleri için yönetmelik aynı otuz günü yineler ve bir ek yükümlülük getirir: veri üçüncü kişilere aktarılmışsa durumu o üçüncü kişiye bildirmeniz ve onun nezdinde de gerekli işlemlerin yapılmasını temin etmeniz gerekir.

Otuz gün, elle yürütülen bir süreç için kısa; otomatik bir süreç için bol. Dolayısıyla doğru yatırım, hakları birer ürün özelliği gibi inşa etmektir:

• Veri indirme. Kullanıcının kendisine ait kayıtları makine okunur biçimde döken bir uçnokta. Bu, hem bilgi talebini hem de taşınabilirlik beklentisini karşılar.
• Hesap silme akışı. Yalnızca "hesabımı kapat" değil; hangi verinin silineceğini, hangisinin hukuki yükümlülük nedeniyle kalacağını ve ne kadar kalacağını gösteren bir ekran.
• Yayılım işi. Silme olayını veri ambarına, e-posta aracına, CRM'e ve varsa alt işleyicilere ileten bir kuyruk. API entegrasyonu kurgunuz bu olayı taşıyabiliyorsa otuz gün sorun olmaz.
• Talep kaydı. Her talebin tarihi, içeriği, cevabı ve cevap tarihi. Kurul'a karşı savunmanız bu kayıt.

Tedarikçiler, Bulut ve Yurt Dışına Aktarım

Modern bir yazılım tek sunucuda çalışmaz. Bulut sağlayıcı, e-posta gönderim servisi, hata izleme aracı, ödeme sağlayıcısı, canlı destek aracı ve analitik platformu; her biri veri işleyen konumundadır. Kanun'un 12/2 maddesi, veri işleyenin tedbirleri alması konusunda sizi müştereken sorumlu tutar. Yani tedarikçinin hatası sizin cezanız olur.

Güvenlik Rehberi veri işleyen sözleşmesi için dört asgari unsuru sayar: sözleşmenin yazılı olması, işleyenin yalnızca sizin talimatlarınız doğrultusunda hareket edeceği hükmü, süresiz sır saklama yükümlülüğü ve herhangi bir ihlalde durumu derhal size bildirme yükümlülüğü. Rehber ayrıca aktarılan veri kategorilerinin sözleşmede ayrı bir maddede sayılmasını ve sistem üzerinde denetim yapma hakkını saklı tutmanızı öneriyor.

Yurt dışına aktarım tarafı 2 Mart 2024'te 7499 sayılı Kanun'la baştan yazıldı. 6698 sayılı Kanun'un yeni 9'uncu maddesi üç kademeli bir yapı kurar:

Standart sözleşmeyi seçerseniz m.9/5 bir takvim dayatır: sözleşme, imzalanmasından itibaren beş iş günü içinde Kuruma bildirilir. Bu bildirimi atlamanın 2026 cezası 90.308 TL'den başlıyor. Kurum'a 2025 yılında 2.497 standart sözleşme sunuldu ve bu sayı bir önceki yıla kıyasla yaklaşık ikiye katlandı — yani denetim hacmi artıyor.

Yazılım tarafındaki çıkarım şu: hangi servisin veriyi hangi ülkede işlediğini mimari dokümanda tutun. Bir SaaS aracını projeye eklemek teknik olarak beş dakika sürer; aynı ekleme hukuki olarak beş iş günlük bir bildirim yükümlülüğü doğurabilir.

Veri Sızıntısında 72 Saatlik Bildirim Zinciri

Kanun'un 12/5 maddesi, kişisel verilerin kanuni olmayan yollarla elde edilmesi hâlinde durumu "en kısa sürede" ilgilisine ve Kurula bildirmenizi ister. Kurul, 24 Ocak 2019 tarihli 2019/10 sayılı kararıyla bu ifadeyi 72 saat olarak yorumladı. Süre, ihlali öğrendiğiniz tarihten işler; haklı bir gerekçeyle geciktiyseniz gecikmenin nedenini de açıklamanız gerekir.

Aynı karar, çoğu ekibin atladığı dört gerekliliği daha getiriyor. Etkilenen kişilere makul olan en kısa sürede bildirim yapmanız; ihlallere ilişkin bilgileri, etkilerini ve aldığınız önlemleri kayıt altına alıp Kurul'un incelemesine hazır tutmanız; veri işleyen nezdindeki bir ihlalde işleyenin gecikmeksizin size bildirmesi; ve bir veri ihlali müdahale planı hazırlayıp belirli aralıklarla gözden geçirmeniz gerekir.

72 saat, kod yazarak kapatılacak bir süre değil. Bu süre içinde dört soruya cevap vermeniz lazım: ne sızdı, kaç kişi etkilendi, ne zaman oldu, şu an durdu mu. Dördünün de cevabı loglarda ve izlemede saklı. Alarm kurmayan bir sistem ihlali 72 saat içinde öğrenemez; öğrendiğinde de kapsamı ölçemez.

Müdahale planının yazılım tarafındaki asgari karşılığı şudur: anormal veri çekme hacminde tetiklenen bir alarm, erişim loglarının kullanıcı bazlı sorgulanabilirliği, etkilenen kullanıcı listesini üretebilen bir sorgu ve bu kullanıcılara toplu bildirim gönderebilen bir kanal.

VERBİS Eşikleri 2025'te Yeniden Değişti

Veri Sorumluları Sicili yükümlülüğü Kanun'un 16'ncı maddesinden doğar ve 2025 cezalarının 594'ü bu kalemde kesildi. Buna karşın eşikler sanıldığından daha hareketli. Kurum'un 1 Ekim 2025 tarihli kamuoyu duyurusu güncel tabloyu veriyor:

İki uyarı gerekiyor. Birincisi, bu bir muafiyet değil yalnızca Sicile kayıt istisnasıdır; aydınlatma, veri güvenliği ve imha yükümlülükleri aynen devam eder. İkincisi, Sicile kayıtlı değilseniz saklama ve imha politikası hazırlama yükümlülüğünüz de doğmaz — ama o zaman yönetmeliğin kısa takvimi, yani üç aylık silme süresi uygulanır. İstisna kapsamına girmek işinizi azaltmıyor, takviminizi sıkıştırıyor.

Baştan Uyumlu Tasarım mı, Sonradan Uyum mu?

KVKK uyumlu yazılım kurgusunu projenin başında kurmakla yayından sonra eklemek arasındaki fark, maliyet kalemlerinin niteliğinde. Baştan yapılan iş analiz ve tasarım saatidir; sonradan yapılan iş veri taşıma, geriye dönük temizlik ve regresyon testidir. Aşağıdaki tablo tipik bir kurumsal projede bu farkın nerede birikdiğini gösteriyor.

Pratikte en pahalı kalem beşincisi: silme yayılımı. Entegrasyon sayısı arttıkça sonradan uyum maliyeti doğrusal değil çarpımsal büyür, çünkü her hedef sistem ayrı bir silme sözleşmesi, ayrı bir test ve ayrı bir doğrulama ister. Bütçe tarafını somutlaştırmak için web sitesi fiyat hesaplayıcımızı kullanabilir, özel yazılım tarafındaki kalemler için özel yazılım geliştirme yazımıza bakabilirsiniz.

Risk tarafı da hesaba girer. IBM'in 2026 Cost of a Data Breach araştırmasına göre küresel ortalama veri ihlali maliyeti 4,99 milyon dolar; yapay zekâ destekli kötü amaçlı ihlallerde bu rakam 6 milyon dolara çıkıyor ve kötü amaçlı ihlallerin dörtte biri artık bu kategoride. Türkiye'deki idari para cezası bu tablonun yalnızca bir kalemi; geri kalanı olay müdahalesi, müşteri kaybı ve itibar.

Yayına Almadan Önce 12 Maddelik Kontrol Listesi

1. Şemadaki her kişisel veri kolonu envanterde yer alıyor ve hukuki sebebi yazılı.
2. Hizmetin çalışması için zorunlu alanlar açık rızaya değil, m.5/2'deki sebeplere bağlı.
3. Açık rıza gereken her amaç için ayrı seçenek ve ayrı kayıt var; tek tık birden çok onayı kapsamıyor.
4. Rıza kaydı metin sürümü, kanal ve zaman damgası tutuyor; geri alma silmeyle değil işaretle oluyor.
5. Her tablonun saklama süresi tanımlı ve periyodik imha görevi altı ayı aşmayan aralıkla çalışıyor.
6. İmha işlemleri denetim kaydı üretiyor ve bu kayıtlar en az üç yıl saklanıyor.
7. Yedek saklama süresi imha politikasıyla hizalı; yedeklere yalnızca sistem yöneticisi erişiyor.
8. Loglar kişisel veri taşımıyor ya da taşıyorsa kendi saklama süresine tabi.
9. Yetki matrisi veriyle tanımlı, yönetim panelinde hassas alanlar maskeli.
10. Hesap silme ve veri indirme akışları ürün özelliği olarak çalışıyor; silme olayı tüm entegrasyonlara yayılıyor.
11. Veri işleyenlerle yazılı sözleşme var; derhal ihlal bildirimi ve denetim hakkı maddeleri yer alıyor.
12. Yurt dışına aktarımda dayanak belirli; standart sözleşme kullanıldıysa beş iş günlük Kurum bildirimi yapılmış.

Bu on iki maddeyi yayın öncesi kontrol listesine koyan ekipler, KVKK uyumlu yazılım hedefini bir proje olarak değil bir kalite kapısı olarak yönetiyor. Fark, altı ay sonra ortaya çıkıyor: ilk gruptaki ürünler yeni bir modül eklediğinde uyum çalışmasını tekrarlamıyor.

Sıkça Sorulan Sorular

KVKK uyumlu yazılım sertifikası var mı?

Hayır. Kişisel Verileri Koruma Kurumu yazılımlara uygunluk sertifikası vermez; Kanun'un 12'nci maddesi yükümlülüğü veri sorumlusuna yükler. Piyasada "KVKK sertifikalı" diye sunulan ürünler, kendi iç denetimlerine ya da ISO 27001 gibi bilgi güvenliği standartlarına atıf yapar.

Hazır bir yazılım satın alırsam KVKK sorumluluğu kimde olur?

Sorumluluk veri sorumlusu olarak sizde kalır. Kanun'un 12/2 maddesi, verinizi işleyen üçüncü kişiyle sizi müştereken sorumlu tutar. Bu nedenle tedarikçiyle yazılı sözleşme yapmanız, derhal ihlal bildirimi yükümlülüğünü sözleşmeye koymanız ve denetim hakkınızı saklı tutmanız gerekir. Hazır ürünün KVKK uyumlu yazılım sayılıp sayılmadığını satış sunumundan değil, saklama süresi ve silme davranışından anlarsınız.

Kişisel veriyi silmek yerine anonimleştirmek yeterli mi?

Yeterlidir, ancak anonimleştirmenin gerçekten geri döndürülemez olması şartıyla. Ad ve e-postayı kaldırıp konum, cihaz ve zaman verisini bırakmak anonimleştirme sayılmaz; kayıtlar başka alanlarla birleşerek kişiye geri götürülebiliyorsa veri hâlâ kişisel veridir ve Kanun kapsamındadır.

Saklama süresi dolan veriyi ne kadar sürede silmem gerekir?

Saklama ve imha politikası hazırlamakla yükümlüyseniz, politikanızda belirlediğiniz periyodik imha aralığında silersiniz ve bu aralık altı ayı geçemez. Politika yükümlülüğünüz yoksa yükümlülüğün doğduğu tarihi takip eden üç ay içinde silmeniz gerekir.

Veri ihlalini Kurula bildirmek için ne kadar sürem var?

Kurul'un 2019/10 sayılı kararına göre ihlali öğrendiğiniz tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kuruma bildirmeniz gerekir. Etkilenen kişilere de makul olan en kısa sürede bildirim yaparsınız. 72 saati haklı bir gerekçeyle aşarsanız gecikmenin nedenini bildirimle birlikte açıklarsınız.

Yurt dışındaki bulut sağlayıcısını kullanmak yasak mı?

Yasak değil, dayanağa bağlı. Kanun'un 9'uncu maddesi önce yeterlilik kararını, yoksa standart sözleşme gibi uygun güvenceleri arar. Standart sözleşme imzalarsanız imza tarihinden itibaren beş iş günü içinde Kuruma bildirmeniz gerekir; bildirmemenin 2026 cezası 90.308 TL'den başlar.

Küçük bir şirketin yazılımı da KVKK kapsamında mı?

Evet. VERBİS'e kayıt yükümlülüğünde çalışan sayısı ve bilanço eşiklerine bağlı istisnalar var, ancak bu istisna yalnızca Sicile kayıt yükümlülüğünü kaldırır. Aydınlatma, veri güvenliği tedbirleri, saklama sürelerine uyma ve ilgili kişi taleplerini otuz gün içinde sonuçlandırma yükümlülükleri şirket büyüklüğünden bağımsız olarak devam eder.

KVKK uyumlu yazılım, bir uyum modülü satın alarak kurulmuyor. Veri envanteri, hukuki sebep eşlemesi, rıza kaydı, saklama süresi ve silme yayılımı; bu beş karar veri modelinin içinde yer aldığında uyum kendiliğinden işleyen bir mekanizmaya dönüşüyor. Dışarıdan eklendiğinde ise her yeni modül, her yeni entegrasyon ve her yeni rapor aynı çalışmayı baştan gerektiriyor.

Mevcut yazılımınızın hangi maddede açık verdiğini öğrenmek ya da yeni projenizi baştan uyumlu kurgulamak isterseniz web yazılım geliştirme hizmetimize göz atın ve bizimle iletişime geçin — veri modelinizi ve akışlarınızı birlikte gözden geçirelim. Teknik tarafı hazırlarken hukuki değerlendirme için bir veri koruma hukukçusuyla çalışmanızı da öneririz; bu rehber teknik bir yol haritasıdır, hukuki görüş değildir.