Kişisel Verilerin Korunması Kanunu (KVKK) Eğitimi Ekibi10 Haziran 2026İdare Hukuku

Kişisel verilerin dijital ortamlarda kontrolsüzce yayılması, bireylerin mahremiyetini korumak için6698 sayılı Kişisel Verilerin Korunması Kanunu’nun çıkarılmasını mecburi kılmıştır. Bu yasa, kişisel verilerin toplanması, saklanması ve paylaşılması süreçlerini disiplin altına alarak bireylerin temel haklarını güvence altına alır. Günümüzde verilerin çalınması veya kötüye kullanılması durumları doğrudanSiber suçlarKapsamına girdiği için, bu verilerin korunması sadece idari bir aşama değil, aynı zamanda ciddi bir ceza hukuku konusudur.

1. KVKK Nedir?
2. KVKK Eğitimi Nedir?
3. KVKK Eğitimi Neden Önemlidir?
4. KVKK Eğitimi Kimler için Zorunludur?
5. KVKK Eğitiminin Yasal Dayanağı
6. KVKK Eğitiminin Amacı ve Hedefi
7. KVKK Eğitiminin Kapsamı
8. Kişisel Veri ve Özel Nitelikli Kişisel Veri Kavramı
9. Veri İşleme Şartları Nelerdir?
10. Açık Rıza Nedir ve Nasıl Alınır?
11. Veri Sorumlusunun Yükümlülükleri
12. Veri İşleyenlerin Sorumlulukları
13. Aydınlatma Yükümlülüğü Nedir?
14. Veri Güvenliği Tedbirleri Nelerdir?
15. KVKK Kapsamında İdari Para Cezaları
16. VERBİS Kaydı Nedir ve Kimler Kayıt Olmalıdır?
17. KVKK Eğitimi Ne Sıklıkla Verilmelidir?
18. Online KVKK Eğitimi Mi, Yüz Yüze Eğitim Mi?
19. KVKK Eğitimi Sonrası Uyum Süreci
20. Sıkça Sorulan Sorular (Sss)
    1. KVKK Eğitimi Zorunlu Mu?
    2. KVKK Eğitimi Almayan Şirketlere Ceza Verilir Mi?
    3. KVKK Eğitimi Kimler Tarafından Verilmelidir?
    4. Çalışanlara KVKK Eğitimi Vermek Zorunlu Mu?
    5. Küçük İşletmeler için KVKK Eğitimi Gerekli Mi?
    6. KVKK Eğitimi Sertifikası Zorunlu Mu?
    7. KVKK İhlali Durumunda Ne Yapılmalıdır?
    8. VERBİS Kaydı Olmadan Faaliyet Gösterilebilir Mi?
    9. Açık Rıza Her Durumda Gerekli Midir?
    10. Kişisel Veriler Ne Kadar Süre Saklanabilir?

Yasanın12. Maddesi, verileri elinde bulunduran kurumlara (veri sorumlularına) çok net bir görev yükler: Kişisel verilerin hukuka aykırı olarak işlenmesini ve bu verilere yetkisiz kişilerin erişmesini engellemek için gerekli her türlü teknik veIdari tedbiriAlmak.

Bu tedbirlerin en başında ise kurum çalışanlarının eğitilmesi gelir. Çünkü veri sızıntılarının çok büyük bir bölümü sistem hatalarından değil, personelin bilgisizliği nedeniyle yaptığı hatalardan kaynaklanmaktadır.

Eğitim süreci, bir verinin alındığı andan silindiği ana kadar geçen tüm aşamalarda hukuka uygun davranılmasını sağlar. Yasa maddelerinin ve uygulama kurallarının doğru öğrenilmesi, olası bir ihlal hâlinde kurumun ağırÖdenek davalarıIle karşı karşıya kalmasını önler. Dolayısıyla bu eğitimler, şirketleri hem yüksek idari para cezalarından korur hem de kurumsal güvenilirliğin devamlılığını sağlar.

KVKK Nedir?

KVKK, yani 6698 sayılı Kişisel Verilerin Korunması Kanunu, bireylere ait verilerin sınırsız ve denetimsiz bir şekilde toplanmasını, saklanmasını ve başkalarına aktarılmasını engelleyen temel hukuk düzenlemesidir.

Bu yasa, kişisel verilerin işlenmesi sürecinde disiplin sağlayarak bireylerin temel haklarını koruma altına alır. Özellikle günümüzde verilerin dijital mecralarda izinsiz şekilde ele geçirilmesi,Bilişim hukukuAlanında ciddi bir ihlal olarak kabul edilmekte ve ağır yaptırımlara tabi tutulmaktadır.

Yasanın temel dayanağı,Anayasa’nın 20. MaddesindeYer alan herkesin kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına dayanır. Bu bağlamda veri işleyen her kurum, yasanın4.

MaddesindeSayılan hukuka ve dürüstlük kurallarına uygun olma, doğru ve gerektiğinde güncel olma gibi temel ilkelere uymak zorundadır. Bu ilkelere aykırı hareket edilmesi, sadece idari bir sorun değil, aynı zamanda ilgili kişinin uğradığı zararlar nedeniyle ödenek davası açma hakkını da doğurmaktadır.

Kişisel veri, sadece isim veya soyisimden ibaret değildir; bir kişiyi doğrudan veya dolaylı olarak belirlenebilir kılan her türlü bilgi bu kapsamdadır. Veri sorumluları, bu verileri işlerken belirli bir amaca dayanmak ve bu amacı veri sahibine bildirmekle yükümlüdür. Yasa çerçevesinde belirlenen kurallara uyulmaması, kurumlarıKişisel Verileri Koruma KurumuTarafından kesilen yüksek idari para cezaları ile karşı karşıya bırakmaktadır.

KVKK Eğitimi Nedir?

KVKK eğitimi, bir kurumdaki tüm hiyerarşik yapıya kişisel verilerin işlenmesi, korunması ve imha edilmesi süreçlerine dair yasal sorumluluklarını öğreten sistemli bir bilinçlendirme programıdır.

Bu eğitim, personelin günlük iş akışı sırasında temas ettiği verilerin hangilerinin koruma altında olduğunu anlamasını sağlar. Özellikle çalışanların işe alım süreçlerinde veya özlük dosyalarının yönetilmesi sırasında yapılan hatalar,Iş hukukuKapsamında ciddi uyuşmazlıklara ve iş sözleşmelerinin feshine kadar varan sonuçlar doğurabildiği için bu eğitim hayati önem taşır.

Yasa koyucu,KVKK 12. MaddesiIle veri sorumlusuna, verilerin güvenliğini sağlama yükümlülüğü yüklemiştir; bu yükümlülüğün en somut karşılığı ise personelin eğitilmesidir. Eğitimde, verinin hukuka aykırı olarak paylaşılmasının sadece bir idari hata değil, aynı zamanda Türk Ceza Kanunu kapsamındaKişisel verileri yayma suçuTeşkil edebileceği vurgulanır.

Bu sayede çalışanlar, yaptıkları her işlemin cezai bir karşılığı olabileceğinin bilincine vararak daha dikkatli hareket ederler.

Başarılı bir eğitim süreci sonucunda personelin; veriyi toplama, saklama ve gerektiğinde anonim hale getirme becerileri yasal standartlara ulaşır. Kurum içerisinde bu kültürün yerleşmesi, olası bir veri ihlali hâlinde kurumun kusursuz sorumluluğunu hafifleten veMaddi ödenekRisklerini dengeleyen bir savunma mekanizması oluşturur. Eğitim, sadece teorik bilginin aktarılması değil, kurumsal risk yönetiminin en stratejik parçasıdır.

KVKK Eğitimi Neden Önemlidir?

Kişisel verilerin korunmasına yönelik eğitimler, veri sorumlusunun yasa karşısındakiÖzen borcununEn somut kanıtıdır. Teknik altyapı ne kadar güçlü olursa olsun, veriyi işleyen personelin bilgi eksikliği büyük veri sızıntılarına yol açma verebilir.

Bu eğitimin temel önemi, çalışan hatalarını en aza indirerek kurumu yüksek tutarlıIdari para cezalarındanKorumasıdır. Bir ihlal hâlinde personeline düzenli eğitim verdiğini belgeleyen bir kurum,Ispat hukukuBakımından gerekli tüm idari tedbirleri aldığını kanıtlayarak yasal sorumluluğunu hafifletebilir.

Ayrıca bu eğitimler, personelin hangi veriyi hangi yasal sebeple işleyebileceğini netleştirerek kurum içindeki yetki karmaşasını sona erdirir. Veri koruma bilincine sahip bir kadro, hem kurumun itibarını muhafaza eder hem de veri sahiplerinin güvenini kazanmasını sağlar. Yasal aşamalar ve ödenek talepleriyle karşılaşma ihtimali, ancak personelin mevzuata uygun hareket etmesiyle engellenebilir.

Sonuç olarak bu eğitimler, sadece bir prosedür değil, kurumun mali ve yasal varlığını koruma altına alan temel bir denetim mekanizmasıdır.

KVKK Eğitimi Kimler için Zorunludur?

KVKK eğitimi, veri sorumlusu bünyesinde kişisel veri işleme süreçlerine doğrudan veya dolaylı olarak dahil olan tüm çalışanlar, birim amirleri ve üst düzey yöneticiler için zorunluluk arz eden bir süreçtir. Yasa, belirli bir unvan ayrımı yapmaksızın, veriye temas eden herkesin bu koruma disiplinine dahil olmasını bekler. Özellikle insan kaynakları, pazarlama, muhasebe ve bilgi işlem birimleri gibi yoğun veri trafiğinin olduğu departmanlarda personelin eğitilmemesi, idare hukuku prensipleri uyarınca kurumun denetimlerde “gerekli özeni göstermediği” şeklinde yorumlanmasına yol açma verir.

Kişisel Verileri Koruma Kurulu tarafından yayımlanan teknik ve idari tedbirler rehberine göre, veri sorumlusunun çalışanlarına eğitim vermesi açıkça talep edilmektedir. Bu bağlamda, özellikleVERBİSKaydı yaptırmakla yükümlü olan veri sorumluları için bu eğitimleri almak ve çalışanlarına aldırmak bir tercih değil, yasal uyumun ayrılmaz bir parçasıdır.

Eğitim eksikliği nedeniyle personelin yaptığı bir hata, kurumun tüzel kişiliğine kesilen cezaların yanı sıra, hatayı yapan personelin borçlar hukuku çerçevesinde kuruma karşı şahsi sorumluluğunun doğmasına da yol açabilir.

Yalnızca tam zamanlı çalışanlar değil, dışarıdan faaliyet alınan taşeron firmalar veya danışmanlar da kurumun verilerine erişim sağlıyorsa, bu kişilerin de veri güvenliği protokolleri konusunda bilgilendirilmiş olması şarttır. Kurum içi hiyerarşide yer alan hüküm vericilerin eğitilmesi ise, stratejik kararlar alınırken veri güvenliğinin bir “maliyet” değil, bir “hukuki koruma alanı” olarak görülmesini sağlar. Bu kapsamda eğitimin zorunluluğu, olası bir veri ihlali sonrası açılacak rücu davaları sırasında kurumun kendi çalışanına karşı elini güçlendiren en temel savunma dayanaklarından biridir.

KVKK Eğitiminin Yasal Dayanağı

KVKK eğitiminin yasal dayanağı, temelini Anayasa’dan alarak 6698 sayılı Yasa ve ikincil düzenlemelerle somutlaşan bir kurallar bütününe dayanmaktadır. Bu zorunluluğun en açık kaynağı, Kanun’un12.

Maddesinin 1. Fıkrasıdır. Bu maddeye göre veri sorumlusu, kişisel verilerin hukuka aykırı olarak işlenmesini önlemek ve verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik her türlü teknik ve idari tedbiri almakla yükümlüdür. Kişisel Verileri Koruma Kurulu’nun yayımladığı rehberlerde, personelin eğitilmesi ve farkındalık çalışmaları yapılması, bu “idari tedbirler” listesinin en başında yer almaktadır.

Yasal çerçeve sadece KVKK ile sınırlı kalmayıp,Türk Ceza Kanunu’nun 135 ile 140.

Maddeleri arasında düzenlenen“Özel Hayata ve Hayatın Gizli Alanına Karşı Suçlar”Ile de doğrudan bağlantılıdır. Personelin bu maddelerdeki suç unsurlarını bilmemesi, kurumun denetim yükümlülüğünü ihlal ettiği anlamına gelir. Ayrıca,Devlet Memurları KanunuVeya iş yerindeki iç yönetmelikler uyarınca personelin iş tanımına uygun hareket etme borcu, bu eğitimlerin yasal dayanaklarından bir diğerini oluşturur. Eğitim verilmeden personelden kanuna tam uyum beklenmesi, hukuk devletinin “belirlilik ilkesi” ile çelişmektedir.

Bununla birlikte, ülkemizin taraf olduğu108 Sayılı Avrupa Konseyi SözleşmesiVe Avrupa Birliği Genel Veri Koruma Tüzüğü gibi uluslararası metinler de veri güvenliği eğitimlerinin evrensel bir hukuk standardı olduğunu teyit etmektedir.

Veri sorumluları için bu eğitimler, sadece bir kurul hükmü değil, aynı zamanda ödenek hukuku ilkeleri gereği“adam çalıştıranın sorumluluğu”kapsamındaki özen yükümlülüğünün bir parçasıdır. Yasal dayanağın bu denli geniş bir mevzuat yelpazesine yayılması, eğitimin ihmal edilmesi hâlinde birden fazla hukuk dalı üzerinden yaptırım uygulanabilmesinin yolunu açmaktadır.

KVKK Eğitiminin Amacı ve Hedefi

KVKK eğitiminin amacı, bir kurum bünyesinde kişisel verilerin işlenmesi süreçlerinde yer alan personelin, yasal sorumluluklarını birer davranış biçimi haline getirmesini sağlamaktır. Eğitimlerin temel hedefi, veriyi sadece bir bilişim öğesi olarak değil, bireyin dokunulmaz bir hakkı olarak gören bir kurumsal kültür inşa etmektir. Bu farkındalık sayesinde, verinin ilk elde edildiği andan imha edildiği ana kadar geçen süreçte yapılabilecek hataların önüne geçilir.

Özellikle hatalı veri aktarımlarının engellenmesi, kurumunCeza hukukuKapsamında “verileri hukuka aykırı olarak verme” gibi ağır suçlamalarla muhatap olmamasını hedefler.

Eğitimin operasyonel hedefi ise, her personelin kendi görev tanımı özelinde KVKK sınırlarını bilmesini sağlamaktır. Örneğin, bir ön muhasebe çalışanının hangi veriyi kiminle paylaşabileceğini bilmesi, kurumunTicaret hukukuVe ticari sırların korunması dengesini kurmasını sağlar. Hedeflenen bu bilinç düzeyi, olası bir veri ihlali hâlinde müdahale süresini kısaltarak zararı minimize etmeyi amaçlar. Kurum içindeki her bir bireyin “veri koruma görevlisi” mantığıyla hareket etmesi, denetimlerde kurumun elini güçlendiren en stratejik hedeftir.

Ayrıca eğitimler, veri öznelerinin (müşteriler, çalışanlar, ziyaretçiler) kuruma duyduğu güveni sürdürülebilir kılmayı hedefler.

Şeffaf ve hukuka uygun veri işleme süreçleri, kurumun sadece yasal cezalarla karşılaşmasını engellemekle kalmaz, aynı zamanda ödenek hukuku çerçevesinde doğabilecek “kişilik haklarına saldırı” iddialarını da kaynağında kurutur. Nihai hedef; hukuk kurallarının kurumun tüm birimlerine entegre edildiği, veri güvenliğinin bir iş yapış biçimine dönüştüğü, risklerden arındırılmış bir çalışma ortamı yaratmaktır.

Kişisel verilerin korunması

KVKK Eğitiminin Kapsamı

Bir kurumda verinin ilk alındığı andan, tamamen silindiği ana kadar geçen her aşama bu eğitimin parçasıdır. Eğitimde sadece yasa maddeleri anlatılmaz; personelin günlük işlerinde kullandığı belgeler, dijital dosyalar ve trafiği gibi somut örnekler üzerinde durulur. Özellikle müşteri bilgilerinin saklanma süreleri veya bu bilgilerin kimlere aktarılabileceği gibi konular, eşya hukuku veya ticaret hukuku gibi farklı alanlardaki kayıt tutma zorunluluklarıyla birlikte ele alınır.

Eğitimin içeriğinde, çalışanların en sık hata yaptığı aydınlatma metinlerinin kullanımı ve açık rıza formlarının nasıl doldurulacağı geniş bir yer tutar.

Ayrıca verilerin güvenli bir şekilde nasıl imha edileceği ve bir siber saldırı hâlinde ilk kiminle iletişime geçileceği gibi acil vaziyet planları da kapsam dahilindedir. Eğer bir personel, kendisine emanet edilen veriyi amacı dışında kullanırsa, bu vaziyet iş hukuku çerçevesindeiş sözleşmesininhaklı nedenle feshine kadar uzanan bir süreci başlatabilir.

Son olarak, bu bilgilendirme süreci sadece ofis içindeki bilgisayarları değil, fiziksel arşivleri, güvenlik kamerası kayıtlarını ve hatta şirkete ait mobil cihazlardaki verileri de kapsar. Veri güvenliğinin sadece bir yazılım meselesi olmadığı, aynı zamanda personelin masa üzerindeki bir belgeyi açıkta bırakmaması gerektiği gibi fiziksel güvenlik kuralları da eğitimde öğretilir. Bu kapsamlı bilinçlenme, kurumun bir bütün olarak ödenek davaları ve idari yaptırımlardan korunmasını sağlar.

KİŞİSEL VERİLERİN KORUNMASI KANUNU (KVKK) EĞİTİMİ

Kişisel Veri ve Özel Nitelikli Kişisel Veri Kavramı

Herhangi bir kişiyi tanımamıza yarayan her türlü bilgi kişisel veridir.

Adınız, telefon numaranız, bindiğiniz aracın plakası veya adresiniz bu kapsama girer. Ancak yasa, bazı verilerin sızması halinde kişinin çok daha büyük zarar göreceğini öngörerek “özel nitelikli kişisel veri” kavramını oluşturmuştur. Sağlık bilgileriniz, siyasi görüşünüz, dininiz veya parmak izi gibi biyometrik verileriniz bu özel gruptadır. Bu hassas verilerin işlenmesi, ceza hukuku açısından çok daha katı kurallara bağlanmıştır ve izinsiz paylaşılması ağır suç teşkil eder.

Yasanın6.

Maddesi, özel nitelikli verilerin kişinin açık rızası olmadan işlenmesini yasaklamıştır. Eğer bu veriler hukuka aykırı şekilde ele geçirilirse, ortaya çıkan zarar diğer verilere göre daha yüksek olduğu için açılacakÖdenek davasıSüreçlerinde hükmedilen bedeller de daha fazla olabilmektedir. Veri sorumluları, bu hassas bilgileri korumak için diğer verilere göre çok daha yüksek güvenlik önlemleri almak zorundadır.

Sıradan bir kişisel veri ile özel nitelikli verinin ayrımını yapamayan bir personel, kurumunu büyük bir risk altına sokar. Örneğin, bir çalışanın sağlık raporunu yetkisiz birine göndermek, sadece bir disiplin suçu değil, aynı zamanda mahremiyetin ihlali anlamına gelir.

Bu gibi hatalar, kurumun insan hakları veanayasal haklarkarşısında sorumlu tutulmasına yol açar. Bu yüzden personelin, elindeki verinin derecesini doğru tartması ve ona göre hareket etmesi gerekir.

Veri İşleme Koşulları Nelerdir?

Bir verinin işlenmesi, ancak6698 sayılı Kanun’un 5. MaddesindeSınırları çizilen yasal bir gerekçeye dayanıyorsa hukuka uygundur. Yasa, veri işlemeyi keyfi bir faaliyetten çıkarıp belirli şartlara bağlamıştır.

Bu şartların başında kişinin açık rızası gelse de taraflar arasındaki bir sözleşmenin yerine getirilmesi için veri işlemek zorunluysa rıza aranmaz. Bu vaziyet, sözleşmeler hukuku prensipleri gereği, tarafların karşılıklı edimlerini ifa edebilmesi için yasal bir dayanak teşkil eder.

Yasal süreçlerde verinin nasıl kullanıldığı, aynı zamanda ispat hukuku açısından da büyük önem taşır. Eğer veri, kanunda öngörülen“bir hakkın tesisi, kullanılması veya korunması”Amacıyla işleniyorsa, bu vaziyet olası bir yargılamada verinin delil olarak sunulabilmesini meşru kılar. Öte yandan, veri sorumlusunun kanunlardan doğan bir görevi yerine getirmesi (örneğin çalışan bildirimleri) veya kişinin kendisi tarafından alenileştirilmiş bir veriyi işlemesi de hukuka uygunluk sebebidir.

Veri işleme faaliyetlerinde “meşru menfaat” dengesi ise en hassas çizgidir.

Kurumun bir veriyi işlemedeki çıkarı ile bireyin temel hakları karşı karşıya geldiğinde,Idare hukukuDenetimlerinde de sıkça vurgulandığı üzere, ölçülülük ilkesine bakılır. Eğer veri işleme şartlarından biri dahi mevcut değilse, yapılan tüm işlemler yok hükmündedir. Bu vaziyet, kurumun denetleyici otoriteler nezdinde“hukuka aykırı veri toplama”Sicili almasına ve sadece maddi cezalarla değil, iş durdurma gibi ağırIdari yaptırımlarlaKarşılaşmasına neden olabilir.

Açık Rıza Nedir ve Nasıl Alınır?

Açık rıza, belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızadır. Yasa koyucu, rızayı sadece bir “evet” cevabı olarak değil, kişinin kendisine ait veriler üzerindeki kontrol hakkını bizzat kullanması olarak görür.

Bu süreçte rızanın geçerli sayılabilmesi için her şeyi kapsayan genel ifadelerden kaçınılmalı; rıza, sadece hedeflenen işlemle sınırlı tutulmalıdır. Bu sınırlama, anayasa hukuku ilkeleri uyarınca kişinin temel hak ve özgürlüklerinin korunması için bir güvencedir.

Rızanın alınma yöntemi kadar, bu sürecin belgelenmesi deUsul hukukuBakımından hayati bir konudur. Yasa uyarınca, rızanın alındığını ispat etme yükümlülüğü tamamen veri sorumlusuna aittir. Dolayısıyla rıza; yazılı, elektronik ortam veya sözlü yollarla alınabilir ancak her durumda doğrulanabilir bir kayıt mekanizmasına sahip olmalıdır.

Eğer rıza, bir hizmetin sunulması için ön koşul olarak dayatılıyorsa (örneğin; “verini paylaşmazsan bu hizmeti alamazsın” deniliyorsa), bu vaziyet iradeyi sakatlayacağı için rızayı geçersiz kılar ve borçlar hukukundaki irade beyanı esaslarına aykırılık teşkil eder.

Açık rıza süreci, mutlaka “aydınlatma yükümlülüğü” ile yürütülmelidir. Kişi, verisinin neden işleneceğini bilmeden rıza verirse, bu rıza hukuken sakattır. Ayrıca rıza, her zaman geri alınabilir bir beyandır. Kişinin rızasını geri çekmesi hâlinde veri işleme faaliyeti derhal durdurulmalıdır.

Bu hakkın kullanımının engellenmesi, tüketici hukuku ve kişisel hakların korunması çerçevesinde kurumun dürüstlük kuralına aykırı davrandığı şeklinde yorumlanır ve ciddi yaptırımların yolunu açar.

Veri Sorumlusunun Yükümlülükleri

Veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir. Yasa, veri sorumlusuna sadece veriyi koruma değil, aynı zamanda şeffaf ve hesap verebilir bir sistem kurma görevi yükler. Bu yükümlülükler yerine getirilmediğinde, kamu hukuku disiplini uyarınca idari otoritelerin müdahalesi ve yüksek yaptırımlar söz konusu olmaktadır.

Veri sorumlusunun temel yükümlülükleri şunlardır:

1. Aydınlatma Yükümlülüğü

Veri sorumlusu, verinin elde edilmesi sırasında ilgili kişiye; verilerin hangi amaçla işleneceği, kimlere aktarılabileceği, toplama yöntemi ve kişinin sahip olduğu haklar konusunda bilgi vermek zorundadır. Verilen bu bilgi aktarımınaaydınlatma yükümlülüğüdenilmektedir.

Bu süreçte kullanılan dilin açık ve anlaşılır olması, ispat hukuku açısından ileride doğabilecek itilaflarda kurumun en önemli delilini oluşturur.

1. Veri Güvenliğine İlişkin Yükümlülükler

Kanun’un 12. Maddesi gereği veri sorumlusu; verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için her türlü teknik ve idari tedbiri almak zorundadır. Bu tedbirlerin alınmaması sonucu meydana gelen sızıntılar, kurumun ödenek hukuku çerçevesinde sorumlulukla karşı karşıya kalmasına neden olabilir.

1. Veri Sorumluları Siciline (VERBİS) Kayıt Yükümlülüğü

Kriterleri sağlayan veri sorumluları, Veri Sorumluları Sicil Bilgi Sistemi’ne (VERBİS) kayıt yaptırmak ve işledikleri veri kategorilerini bildirmekle yükümlüdür. Bu kayıt, devletin denetim yetkisini kullanabilmesi için idare hukuku prensiplerine dayalı bir şeffaflık aracıdır.

Kayıt yükümlülüğüne aykırılık, doğrudan çok yüksek idari para cezalarına yol açar.

1. İlgili Kişilerin Başvurularını Cevaplandırma

Bireylerin kendileriyle ilgili verilere dair bilgi alma, düzeltme veya silme taleplerini veri sorumlusu en geç 30 gün içinde ücretsiz olarak sonuçlandırmalıdır. Bu taleplerin cevapsız bırakılması veya reddedilmesi, kişinin Anayasa Yargı Makamı ve Kişisel Verileri Koruma Kurulu nezdinde hak arama yollarını açar.

1. Kurul Kararlarını Yerine Getirme

Kişisel Verileri Koruma Kurulu tarafından yapılan incelemeler sonucunda verilen kararlar ve talimatlar veri sorumlusu tarafından derhal uygulanmalıdır. Kurul kararlarına direnç gösterilmesi, infaz hukuku mantığına benzer şekilde, yaptırımın ağırlığını artıran bir unsur olarak değerlendirilir.

Veri İşleyenlerin Sorumlulukları

Veri işleyen, veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişidir. Genellikle dışarıdan faaliyet alınan bulut bilişim şirketleri, çağrı merkezleri veya muhasebe büroları bu kapsamda değerlendirilir.

Veri işleyenin sorumluluğu, veri sorumlusu ile arasındaki sözleşme sınırlarıyla başlar; ancak yasa, veri işleyene doğrudan bazı yasal ödevler de yüklemiştir. Bu vaziyet, borçlar hukuku kapsamındaki vekalet veya faaliyet ilişkisinin ötesinde bir denetim mekanizması oluşturur.

Veri işleyenlerin temel sorumlulukları şunlardır:

1. Talimatlara Uygun Hareket Etme

Veri işleyen, kendisine teslim edilen verileri sadece veri sorumlusunun belirlediği amaçlar doğrultusunda işleyebilir. Kendi başına yeni bir veri işleme amacı belirleyemez. Eğer veri işleyen, kendisine verilen yetkiyi aşarak verileri kendi çıkarları için kullanırsa, yasa karşısında artık “veri sorumlusu” statüsüne geçer.

Bu vaziyet, ticaret hukukuve haksız rekabet ilkeleri çerçevesinde de ciddi uyuşmazlıklara yol açabilir.

1. Veri Güvenliğini Sağlama

KVKK’nın 12. MaddesiUyarınca veri işleyen, veri sorumlusu ile verilerin güvenliğini sağlamaktan müştereken sorumludur. Verilerin yetkisiz kişilerin eline geçmesini önlemek için gerekli teknik önlemleri (şifreleme, erişim logları vb.) almak zorundadır. Bir veri sızıntısı yaşandığında, veri işleyenin gerekli önlemleri almadığı tespit edilirse, bu vaziyet ödenek hukuku çerçevesindemüteselsil sorumlulukdoğurur.

1. Denetime Açık Olma

Veri işleyen, veri sorumlusunun veya yetkili kurulların yapacağı denetimlere imkân sağlamakla yükümlüdür.

Veri işleme faaliyetlerinin kanuna ve sözleşmeye uygun olduğunu ispatlayacak kayıtları tutmalıdır.

1. Sır Saklama Yükümlülüğü

Veri işleyen personeli, görevi sırasında öğrendiği kişisel verileri görevinden ayrılsa dahi açıklayamaz ve amacı dışında kullanamaz. Bu yükümlülüğün ihlali, hem iş akdinin feshi gibi iş hukukuna dayalı sonuçlar doğurur hem de ceza hukuku bakımından suç da gündeme getirebilir.

Aydınlatma Yükümlülüğü Nedir?

Aydınlatma yükümlülüğü, veri sorumlusunun kişisel verisini işlediği gerçek kişilere, verilerinin hangi amaçla ve nasıl kullanıldığını açıklamakla görevli olduğuYasal bir zorunluluktur. Bu yükümlülük sadece bir bilgilendirme formu sunmak değil, bireyin anayasal bir hakkı olan“Kişisel Verilerin Korunmasını İsteme Hakkı”Nın somut bir karşılığıdır. 6698 sayılı Yasa uyarınca; verinin işlenme amacı, aktarılacağı taraflar, veri toplamanın yöntemi ve yasal sebebi açıkça belirtilmelidir.

Yasal süreçlerde aydınlatmanın eksik yapılması, ispat hukuku bakımından veri sorumlusunu oldukça zor bir duruma sokar; zira aydınlatmanın usulüne uygun yapıldığını ispat yükü tamamen veri sorumlusuna aittir. ÖzellikleKişisel Verilerin Yurt Dışına AktarılmasıDurumlarında, aydınlatma metninde bu hususun açıkça belirtilmemesi, kurumunMilletlerarası özel hukukKuralları ve Kurul kararları nezdinde ağır ihlaller yapması anlamına gelir.

Şeffaf olmayan bir aydınlatma metni, kişinin verdiği rızayı da “bilgilendirilmiş olma” şartını taşımadığı için sakat bırakır.

Bilişim HukukuÇerçevesinde, dijital ortamlarda (web sitesi çerezleri, mobil uygulamalar vb.) yapılan aydınlatmaların zamanlaması hayati önem taşır. Veri işleme faaliyeti henüz başlamadan, en geç verinin elde edilmesi anında bu bilgilendirme yapılmalıdır. Bu yükümlülüğün ihmal edilmesi, sadeceIdari para cezalarıIle sonuçlanmaz; aynı zamanda hukuka aykırı yöntemle elde edilen verilerin yargılama süreçlerinde geçersiz sayılmasına ve kişilik haklarına saldırı nedeniyle sorumlu tutulmasına yol açar.

Veri Güvenliği Tedbirleri Nelerdir?

Kişisel verilerin güvenliğini sağlamak, veri sorumlusu için sadece teknik bir gereklilik değil, ispat hukuku ve idare hukuku düzleminde yerine getirilmesi mecburi olan kapsamlı bir özen borcudur. Bu tedbirler verinin dijital ve fiziksel ortamlarda hukuka aykırı erişimlere karşı korunmasını amaçlayan teknik ve idari hamlelerin birleşimidir.

Teknik boyutta; verilerin şifrelenmesi, siber saldırılara karşı güncel güvenlik duvarlarının tesisi ve veriye erişen her personelin iz bıraktığı zaman damgalıLog kayıtlarınınTutulması, olası bir veri ihlalinde kurumun “elinden gelen tüm özeni gösterdiğini” kanıtlayan en somut delillerdir.

ÖzellikleERişim yönetimi çerçevesinde, her çalışanın sadece kendi iş tanımıyla sınırlı verilere ulaşabilmesini sağlayan kısıtlamaların getirilmesi, iş hukuku ve kurumsalsadakat yükümlülüğüaçısından da kritik bir kontrol mekanizmasıdır.

Güvenlik sürecinin idari ayağı ise teknik önlemleri anlamlı kılan ve kurumsal bir veri politikası oluşturan yönetimsel stratejileri kapsar. Veri sorumlusunun bünyesinde hazırlayacağıKişisel Veri İşleme Envanteri, hangi verinin hangi yasal sebeple tutulduğunu gösteren bir yol haritası niteliğindedir veKVKK denetimlerindeKurumun yasal şeffaflığının temel taşıdır.

Personelle yapılan gizlilik taahhütnameleri, iş akitlerine eklenen veri güvenliği hükümleri ve düzenli olarak gerçekleştirilenFarkındalık eğitimleri, kurumun veri güvenliğini bir “kurum kültürü” haline getirdiğinin göstergesidir. Belirtmek gerekir ki, idari tedbirlerin eksikliği, en gelişmiş yazılımların bile insan hatası karşısında etkisiz kalmasına yol açarak kurumun borçlar hukuku kapsamında kusurlu sayılmasına yol açma verir. Bu nedenle veri güvenliği, sürekli güncellenen risk analizleri ve periyodik denetimlerle desteklenen, yaşayan bir yasal koruma kalkanı olarak yönetilmelidir.

KVKK Kapsamında İdari Para Cezaları

KVKK uyarınca kesilen idari para cezaları, sadece bir rakamdan ibaret olmayıp kurumunMali ve yasal saygınlığınıDoğrudan etkileyen ağır yaptırımlardır.

Yasa; aydınlatma yükümlülüğünün yerine getirilmemesi, veri güvenliğine ilişkin teknik ve idari tedbirlerin alınmaması, Kurul tarafından verilen kararların uygulanmaması veyaVeri Sorumluları Siciline (VERBİS)Kayıt yükümlülüğüne aykırı davranılması gibi dört temel başlık altında bu yaptırımları düzenlemiştir.

Bir kurumun veri güvenliği tedbirlerini almadığı için sızıntı yaşaması hâlinde kesilen cezalar, sadece idari para cezasıyla da sınırlı kalmaz. Mağdurların açacağı ödenek davaları ve kurum yöneticilerinin ceza hukuku kapsamında“verileri hukuka aykırı olarak verme veya ele geçirme”Suçundan yargılanma riski doğurur. Bu nedenle, yaptırımlardan korunmanın yolu sadece kâğıt üzerinde uyum değil, fiilen yaşayan ve denetlenen bir veri koruma disiplini oluşturmaktır.

VERBİS Kaydı Nedir ve Kimler Kayıt Olmalıdır?

Veri Sorumluları Sicil Bilgi Sistemi (VERBİS), veri sorumlularının kategorik bazda hangi verileri işlediklerini, saklama sürelerini ve veri güvenliği tedbirlerini beyan ettikleri, kamuya açık bir sicildir. Kayıt yükümlülüğü belirlenirken kurumun yıllık çalışan sayısı, mali bilanço toplamı veya işlenen verinin özel nitelikli olup olmaması gibi somut kriterler esas alınır.

Bu kriterleri karşılayan kurumlar için kayıt yaptırmak isteğe bağlı bir tercih değil,Kamu düzeniniIlgilendiren mutlak bir ödevdir. Sicile beyan edilen bilgiler ile fiili veri işleme faaliyetlerinin örtüşmemesi, ispat hukuku açısından kurumun yanıltıcı beyanda bulunduğu sebebiyle ağır yaptırımlarla sonuç doğurur.

VERBİS kayıt zorunluluğu kapsamında olan ancak bu yükümlülüğü süresinde yerine getirmeyen veri sorumluları, 6698 sayılı Kanun’un 18. Maddesi uyarınca çok yüksekIdari para cezalarıIle karşı karşıya kalmaktadır. Kayıt sürecinde hazırlanacak olanKişisel Veri İşleme Envanteri, VERBİS beyanının temelini oluşturduğu için, bu envanterin yasal bir titizlikle hazırlanması kurumunBorçlar hukukuVe sözleşme süreçlerindeki risk yönetimini de doğrudan etkiler.

Nihayetinde VERBİS, kurumların veri dünyasındaki “sicil kaydı” niteliğinde olup, bu kaydın güncel tutulmaması hem idari yaptırımlara hem de kurumun ticari itibarının zedelenmesine yol açan ciddi bir yasal ihmaldir.

KVKK Eğitimi Ne Sıklıkla Verilmelidir?

Kişisel verilerin korunmasına yönelik eğitim faaliyetleri, veri sorumlusununÖzen yükümlülüğüKapsamında süreklilik arz etmesi gereken dinamik bir süreçtir. Mevzuatın ve Kurul’un ilke kararlarının sürekli güncellenmesi, personelin bilgilerinin taze tutulmasını mecburi kılmaktadır. Yasal açıdan bakıldığında, eğitiminYılda en az bir kezPeriyodik olarak yinelenmesi, olası bir veri ihlali hâlinde kurumun ispat hukuku çerçevesinde “gerekli idari tedbirleri aldığını” kanıtlaması için en güçlü savunma argümanıdır. Personel sirkülasyonunun olduğu veya görev tanımlarının değiştiği durumlarda ise bu eğitimlerin takvime bakılmaksızınDerhal verilmesi, iş hukuku ve sadakat yükümlülüğü gereği bir zorunluluktur.

Sadece bir kez verilen ve üzerinden uzun zaman geçmiş bir eğitimin, güncel siber tehditler veya değişen veri işleme yöntemleri karşısında yasal bir koruma sağlamayacağı açıktır.

Eğitimin sıklığı kadar, içeriğinin güncelliği de denetimlerde kritik bir rol oynar. Kurul’un yayımladığı yeni rehberler ve teknolojik gelişmelerle ortaya çıkan yeni veri işleme yöntemleri, eğitim müfredatının bir parçası haline getirilmelidir. Eğitimin teorik bilgilerden ibaret kalmaması, vaka analizleri ve kurum içi spesifik riskler üzerinden güncellenmesi gerekir. Bu süreklilik arz eden eğitim modeli, kurumda bir “veri koruma kültürü” oluşturarak hata payını minimize eder.

Her eğitim sonunda yapılan ölçme ve değerlendirme sınavlarının kayıt altına alınması, kurumun yasal risklerini yönettiği stratejik bir yatırımdır. Dolayısıyla periyodik eğitimler, sadece bir yasal prosedür değil, gelecektekiÖdenek ve ceza risklerininÖnüne geçen bir mekanizmadır.

Online KVKK Eğitimi Mi, Yüz Yüze Eğitim Mi?

Eğitim yönteminin seçilmesi, veri sorumlusu için sadece bir lojistik tercih değil, aynı zamanda olası bir veri ihlali hâlinde kullanılacakIspat araçlarının niteliğiniBelirleyen stratejik bir karardır.Online eğitimler, geniş personel kadrolarına eş zamanlı ulaşım sağlama ve her bir kullanıcının eğitimde geçirdiği süreyi, izlediği içerikleri ve başarı puanlarını dijital olarak raporlama imkanı sunar. Bu vaziyet, veri sorumlusunun “özen yükümlülüğünü” yerine getirdiğine dair somut, değiştirilemez ve zaman damgalı elektronik delil sağlar. Özellikle binlerce çalışanı olan yapılarda, eğitimin her bir personele ulaştığının tek tek ispatlanması, dijital log kayıtları sayesinde usul hukuku bakımından büyük bir kolaylık yaratır.

Buna karşılıkYüz yüze eğitimler, teorik bilginin ötesine geçerek kuruma ve departmana özgü risklerin interaktif bir şekilde analiz edilmesine olanak tanır.

İnsan kaynakları, pazarlama veya bilgi işlem gibi farklı veri setleriyle çalışan birimlerin, kendi iş süreçlerindekiKritik risk noktalarınıBizzat hukukçularla tartışması farkındalığı en üst düzeye çıkarır. Bu yöntem, personelin “bilgilendirilmiş olma” şartını çok daha derinlemesine sağlar.

Ancak yüz yüze eğitimlerin ispatı, fiziksel imza föyleri ve katılım tutanakları gibi klasik yöntemlere dayandığı için operasyonel yükü daha fazladır. İdeal bir uyum sürecinde; genel kavramların online eğitimle tüm personele aktarılması, birim bazlı özel risklerin ise yüz yüze atölye çalışmalarıyla pekiştirildiğiHibrit model, kurumun yasal savunma hattını en güçlü hale getiren yaklaşımdır.

KVKK Eğitimi Sonrası Uyum Süreci

Eğitimin tamamlanması, veri sorumlusu için sürecin bittiği anlamına gelmez. Eğitimden sonraki asıl amaç, teorik bilgilerin iş süreçlerine aktarılmasını sağlamaktır.

Bu aşamada ilk yapılması gereken, personelin veri işleme alışkanlıklarını kontrol etmek ve mevcutVeri EnvanteriIle uyumlu olup olmadığını denetlemektir. Eğer uygulamada hatalar devam ediyorsa, envanter ve iş akışları derhal güncellenmelidir. Bu takip süreci, olası bir denetimde kurumun kuralları sadece kağıt üzerinde bırakmadığını, fiilen de uyguladığını kanıtlar. Ayrıca, personelin iş sözleşmelerine veri güvenliğiyle ilgili net hükümler eklenmesi, sorumlulukların yasal zeminde belirlenmesi açısından zorunludur.

Sürecin sağlıklı ilerlemesi için eğitim sonrası denetimlerin süreklilik arz etmesi gerekir.

Sadece eğitim vermek, veri ihlallerini önlemek için yeterli değildir. Personelin olası bir veri sızıntısı anında nasıl hareket edeceğini ölçmek için belirli aralıklarla denemeler yapılmalı ve eksikler raporlanmalıdır. Eğitimde anlatılan acil vaziyet planlarının dosyada bekletilmesi yerine, personelin bu planları uygulama becerisi test edilmelidir. Sonuç olarak eğitim sonrası aşama; öğretilenlerin uygulanması, hataların tespit edilmesi ve sistemin sürekli kontrol edilmesinden oluşan birDenetim mekanizmasıdır.

Bu mekanizma kurulmadığı takdirde, alınan teknik önlemler tek başına yasal yaptırımları engellemeye yetmeyecektir.

Sıkça Sorulan Sorular (Sss)

KVKK Eğitimi Mecburi Mu?

6698 sayılı Yasa kapsamında veri sorumlusu, veri güvenliğini sağlamak amacıyla gerekli idari ve teknik tedbirleri almakla yükümlüdür. Kişisel Verileri Koruma Kurulu, yayımladığı rehberlerde personelin eğitilmesini bu idari tedbirlerin ayrılmaz bir parçası olarak kabul etmektedir. Dolayısıyla, mevzuatta doğrudan “eğitim” kelimesi geçmese de, kanuni yükümlülüklerin yerine getirilmesi için bu eğitimin verilmesi fiilen zorunluluk arz eder. Bu eğitim, kurumun özen yükümlülüğünü yerine getirdiğinin en temel ispat aracıdır.

KVKK Eğitimi Almayan Şirketlere Ceza Verilir Mi?

Doğrudan “eğitim almadınız” gerekçesiyle bir ceza düzenlenmese de, bir veri ihlali yaşandığında eğitimin verilmemiş olması ağır idari para cezalarına yol açar.

Kurul, ihlal incelemelerinde personelin farkındalık düzeyine ve kurumun aldığı idari tedbirlere bakmaktadır. Eğitimin verilmediği bir senaryoda, kurumun veri güvenliği yükümlülüğünü ihlal ettiği kabul edilerek en üst sınırdan yaptırım uygulanabilir. Bu vaziyet, kurumun yasal sorumluluğunu ağırlaştıran bir kusur olarak değerlendirilir.

KVKK Eğitimi Kimler Tarafından Verilmelidir?

KVKK eğitimi; hem yasal hem de teknik süreçleri kapsadığı için bu alanlarda uzmanlaşmış hukukçular veya bilişim uzmanları tarafından verilmelidir. Eğitimi veren kişinin, güncel Kurul kararlarına ve mevzuatın işleyişine hakim olması, kurumun risklerini doğru analiz etmesi açısından kritiktir.

Kurum içi uzmanlar veya dışarıdan profesyonel danışmanlık firmaları aracılığıyla bu aşama yürütülebilir. Önemli olan, eğitimin içeriğinin kurumun faaliyet gösterdiği alana ve işlediği veri türüne uygun olmasıdır.

Çalışanlara KVKK Eğitimi Vermek Mecburi Mu?

Veri sorumlusu, kendi kuruluşu içindeki tüm çalışanların veri güvenliği konusunda bilinçlendirilmesini sağlamakla bizzat sorumludur. Çalışanlar veriyi doğrudan işleyen kişiler olduğu için, onlara verilecek eğitim idari tedbirlerin en kritik basamağını oluşturur. Eğitimi almayan bir çalışanın hatası nedeniyle oluşacak sızıntılarda, veri sorumlusu “gerekli denetimi yapmadığı” gerekçesiyle hukuken sorumlu tutulur.

Bu nedenle çalışanlara eğitim verilmesi, kurumsal bir yasal kalkan oluşturmak adına zorunluluktur.

Küçük İşletmeler için KVKK Eğitimi Gerekli Mi?

Kişisel veri işleyen her işletme, ölçeğine bakılmaksızın 6698 sayılı Kanun’a tabidir ve veri güvenliğini sağlamak zorundadır. Küçük işletmelerde veri hacmi az olsa bile, yaşanan tek bir ihlal dahi telafisi güç mali ve yasal sonuçlar doğurabilir. Kurul, işletmenin küçük olmasını veri güvenliği önlemlerinden muafiyet sebebi olarak kabul etmemektedir. Bu sebeple, küçük işletmelerin de temel düzeyde farkındalık eğitimi alması ve süreçlerini mevzuata uydurması gerekir.

KVKK Eğitimi Sertifikası Mecburi Mu?

Mevzuatta “sertifika alma” yönünde bir zorunluluk bulunmamakla birlikte, eğitimin verildiğini kanıtlamak veri sorumlusunun yükümlülüğüdür.

Sertifika veya katılım belgesi, bir denetim esnasında eğitimin yapıldığını gösteren resmi bir ispat aracı işlevi görür. Sadece eğitimin verilmiş olması yetmez; hangi tarihte, hangi personele ve hangi içerikle verildiğinin belgelenmesi gerekir. Bu belgeler, idari denetimlerde kurumun savunmasını güçlendiren en önemli dayanaklardan biridir.

KVKK İhlali Hâlinde Ne Yapılmalıdır?

Bir veri ihlali tespit edildiğinde, durumun en geç 72 saat içerisinde Kişisel Verileri Koruma Kurulu’na ve etkilenen ilgili kişilere bildirilmesi zorunludur. Öncelikle ihlalin kaynağı tespit edilerek yayılması durdurulmalı ve alınan tüm önlemler kayıt altına alınmalıdır.

Bildirimin gecikmesi, tek başına ayrı bir ceza sebebi sayılacağı için aşama çok hızlı yönetilmelidir. İhlal sonrası yapılacak analizlerle, benzer bir durumun tekrarlanmaması için teknik ve idari tedbirler derhal güncellenmelidir.

VERBİS Kaydı Olmadan Faaliyet Gösterilebilir Mi?

Veri sorumlusu, kanunda belirtilen kayıt kriterlerini (çalışan sayısı, mali bilanço veya özel nitelikli veri işleme gibi) karşılıyorsa, VERBİS’e kaydolmadan veri işleme faaliyetine devam etmesi hukuka aykırıdır. Kayıt yükümlülüğünün yerine getirilmemesi, Kurul tarafından doğrudan idari para cezası uygulanmasına neden olan somut bir ihlaldir. Faaliyet devam etse bile, bu vaziyet işletmeyi sürekli bir yasal ve mali risk altında bırakır.

Kayıt kriterlerini sağlamayan işletmeler ise bu sistemden muaf olarak faaliyetlerini yürütebilirler.

Açık Rıza Her Durumda Gerekli Midir?

Açık rıza, kişisel veri işleme şartlarından sadece biridir ve kanunda sayılan diğer istisnai haller mevcutsa rıza alınmasına gerek yoktur. Örneğin; kanunlarda açıkça öngörülmesi, bir sözleşmenin kurulması veya ifası, veri sorumlusunun yasal yükümlülüğü gibi durumlarda veri işlemek için rıza aranmaz. Ancak bu istisnaların hiçbirine girmeyen durumlarda, ilgili kişinin özgür iradesiyle verdiği açık rızanın alınması yasal bir zorunluluktur. Rıza alınması gereken bir durumda rızasız veri işlemek, ağır bir yasa ihlalidir.

Kişisel Veriler Ne Kadar Süre Saklanabilir?

Kişisel veriler, yalnızca işlendikleri amaç için gerekli olan süre veya ilgili mevzuatta öngörülen kanuni süre kadar saklanabilir.

İşleme amacı ortadan kalkan veya saklama süresi dolan verilerin, veri sorumlusu tarafından derhal silinmesi, yok edilmesi veya anonim hale getirilmesi gerekir. Saklama süreleri belirlenirken; zaman aşımı süreleri, ticari teamüller ve yasal arşiv yükümlülükleri dikkate alınmalıdır. Gereğinden uzun süre veri tutmak, veri güvenliği riskini artırdığı gibi başlı başına bir mevzuat ihlalidir.