KVKK Uyumu İçin Asgari Belge Seti: KOBİ'ler İçin 10 Belgelik Liste

Belgeler Neden İlk Adım?

Küçük ve orta ölçekli işletmeler için KVKK uyumu çoğu zaman “nereden başlamalıyız” sorusuyla tıkanır. Çalışan sayısı az, hukuk birimi yok, bütçe sınırlı. Bu koşullarda en verimli başlangıç, uyumun omurgasını oluşturan asgari belge setini tamamlamaktır.

Bu yazıda KVKK için gerekli belgeler listesini, her belgenin neden gerekli olduğunu ve hangi hatalarla işe yaramaz hale geldiğini ele alıyoruz. Sonunda indirilebilir 10 belgelik kontrol listesini ve bu seti hangi yolla tamamlayabileceğinize ilişkin bir karar tablosunu bulacaksınız. KOBİ'lerin KVKK'dan muaf olduğu yönündeki yaygın yanlışları ise KOBİ'ler KVKK'dan muaf mı yazımızda ele aldık.

Neden önce belge seti?

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), çalışan sayısından bağımsız olarak kişisel veri işleyen herkese uygulanır. Veri Sorumluları Sicil Bilgi Sistemi'ne (VERBİS) kayıt muafiyeti yalnızca sicil kaydını kaldırır; aydınlatma, veri güvenliği, ilgili kişi başvurularını yanıtlama ve ihlal bildirimi yükümlülükleri devam eder.

Belge seti, bu yükümlülüklerin nasıl yerine getirildiğini gösteren ilk kanıttır. Bir şikâyet, müşteri denetimi veya Kurul incelemesinde ilk istenen şey çoğu zaman aydınlatma metni, envanter ve sözleşmelerdir. Ancak belgeler tek başına yeterli değildir: Kâğıttaki metin süreçle örtüşmüyorsa, belge riski azaltmak yerine tutarsızlığı kayıt altına alır.

Bu nedenle doğru sıra şudur: önce envanter, sonra envantere dayanan metinler ve sözleşmeler, en son bunları işleten prosedürler. Belgelerin maliyetini olası yaptırımlarla karşılaştırmak isterseniz KOBİ'ler için KVKK uyum maliyeti yazımıza bakabilirsiniz.

Aydınlatma metinleri (çalışan, müşteri, ziyaretçi)

KVKK'nın 10. maddesi, kişisel veriler elde edilirken ilgili kişinin veri sorumlusunun kimliği, işleme amacı, aktarım yapılan taraflar ve amacı, toplama yöntemi ve hukuki sebebi ile 11. maddedeki hakları konusunda bilgilendirilmesini zorunlu tutar. Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ, metnin anlaşılır ve sade bir dille yazılmasını ister.

Tek bir genel metin yerine, her ilgili kişi grubuna ayrı metin hazırlanması önerilir:

Çalışan ve aday aydınlatma metni: İşe alım, özlük, bordro, iş sağlığı ve güvenliği, kamera ve kartlı geçiş gibi süreçleri kapsar. Adaylar için ayrı bir kısa metin, başvuru formunda kullanılabilir.

Müşteri aydınlatma metni: Teklif, satış, faturalama, kargo, müşteri hizmetleri ve varsa ticari ileti süreçlerini anlatır.

Ziyaretçi ve kamera aydınlatma metni: Ziyaretçi kaydı ve güvenlik kamerası için girişte kısa uyarı levhası ve ayrıntılı metne erişim sağlanır.

Web sitesi metinleri: İletişim formu, üyelik ve çerezler için aydınlatma metni ve çerez politikası. Pazarlama çerezlerinin rıza olmadan çalıştırılmasının riskleri Meta pikseli ve Google etiketleri yazımızda anlatıldı.

En sık hata, metnin gerçek süreçlerle örtüşmemesidir: Metin yurt dışı aktarım olmadığını söylerken şirket yurt dışında barındırılan bir e-posta veya muhasebe hizmeti kullanıyor olabilir. Bu nedenle aydınlatma metinleri envanterden türetilmelidir.

Açık rıza metinleri ve kullanıldığı yerler

Açık rıza, belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızadır. KVKK'nın 5. maddesindeki diğer şartlardan biri (sözleşmenin ifası, hukuki yükümlülük, meşru menfaat gibi) varsa açık rızaya başvurulmaz. Her işleme rıza istemek, kişiye gerçek bir seçim hakkı tanımadığı için sorun yaratır ve rıza geri alındığında süreç kilitlenir.

KOBİ'lerde açık rızanın tipik olarak gerektiği yerler şunlardır:

Ticari elektronik ileti ve pazarlama amaçlı profilleme (ticari ileti onayı ayrıca 6563 sayılı Kanun kapsamında değerlendirilir).

Hizmetin zorunlu bir parçası olmayan özel nitelikli veri işlemeleri.

Kanun'un 9. maddesindeki diğer mekanizmaların uygulanamadığı ve arızi nitelikteki bazı yurt dışı aktarımlar.

Çalışan fotoğrafının tanıtım materyallerinde veya sosyal medyada kullanılması gibi iş ilişkisinin gereği olmayan işlemler.

Kişisel Verileri Koruma Kurulu, 18.02.2026 tarihli ve 2026/347 sayılı ilke kararıyla aydınlatma ve açık rıza metinlerinin ayrı ayrı düzenlenmesi gerektiğini bir kez daha vurgulamıştır. Aydınlatma metninin altına “okudum, onaylıyorum” kutusu eklemek, ne aydınlatmayı ne de rızayı doğru biçimde karşılar. Ayrıntılar için aydınlatma ve açık rızayı karıştıran şirketler ve açık rıza metinlerinin geçerliliği yazılarımıza bakabilirsiniz.

Saklama ve imha politikası

Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik, VERBİS'e kayıt yükümlüsü olan veri sorumlularının kişisel veri saklama ve imha politikası hazırlamasını zorunlu tutar. Yönetmeliğe göre periyodik imha aralığı altı ayı geçemez ve silme, yok etme veya anonimleştirme işlemlerine ilişkin kayıtlar en az üç yıl saklanır.

VERBİS'ten muaf bir KOBİ için politika hazırlamak zorunlu olmasa da, saklama sürelerinin yazılı olarak belirlenmesi iki nedenle önerilir: KVKK'nın 4. maddesi verilerin amaç için gerekli süre kadar tutulmasını genel ilke olarak öngörür ve bir ilgili kişi silme talebinde bulunduğunda hangi verinin neden hâlâ saklandığını açıklamanız gerekir.

İyi bir politika en az şunları içerir: veri kategorilerine göre saklama süreleri ve dayanakları, saklama ortamları, imha yöntemleri, periyodik imha takvimi, görevli unvanlar ve imha tutanağı örneği. VERBİS yükümlülüğü eşiklerini VERBİS düzenlemesi ve küçük işletmelere istisna yazımızda bulabilirsiniz.

Veri işleyen sözleşmeleri

KOBİ'ler kişisel verilerin önemli bir bölümünü tedarikçiler aracılığıyla işler: mali müşavir, bordro firması, bulut e-posta, muhasebe ve ön muhasebe yazılımı, kargo, web sitesi barındırma ve CRM hizmetleri. Bu tedarikçiler veriyi sizin adınıza işliyorsa veri işleyen konumundadır.

KVKK'nın 12. maddesinin ikinci fıkrası, veri işleyen tarafından veri işlenmesi halinde veri sorumlusunun veri güvenliği tedbirlerinin alınmasından veri işleyenle birlikte müştereken sorumlu olduğunu düzenler. Bu nedenle tedarikçi sözleşmelerine veya ek protokollere şu konular yazılmalıdır:

Verilerin yalnızca talimatla ve sözleşmedeki amaçla işleneceği.

Uygulanacak teknik ve idari güvenlik tedbirleri ve gizlilik yükümlülüğü.

Alt işleyen kullanımı ve sunucu konumu; yurt dışı aktarım varsa dayanılan mekanizma. Standart sözleşme kullanılıyorsa imzadan itibaren beş iş günü içinde Kurum'a bildirilir.

Veri ihlalinin gecikmeksizin bildirilmesi.

Sözleşme sonunda verilerin iadesi veya imhası.

Tedarikçinin sözleşmede veri sorumlusu mu veri işleyen mi olduğunun nasıl belirleneceğini veri sorumlusu mu, veri işleyen mi yazımızda anlattık.

Başvuru formu ve yanıt prosedürü

KVKK'nın 11. maddesi ilgili kişilere verilerinin işlenip işlenmediğini öğrenme, düzeltme, silme ve itiraz gibi haklar tanır. 13. madde, başvuruların talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırılmasını öngörür. Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ ise başvurunun yazılı olarak veya Kurum'un belirlediği diğer yöntemlerle (kayıtlı elektronik posta, güvenli elektronik imza, mobil imza ya da ilgili kişinin daha önce bildirdiği e-posta adresi gibi) yapılabileceğini düzenler.

KOBİ'nin bu konuda iki belgeye ihtiyacı vardır:

Başvuru formu: Başvuranın kimlik ve iletişim bilgileri, ilişkisi (çalışan, müşteri, aday vb.) ve talebi için alanlar içerir; web sitesinde ve şirket merkezinde erişilebilir olur.

Yanıt prosedürü: Başvurunun kim tarafından kayda alınacağını, kimliğin nasıl doğrulanacağını, otuz günlük sürenin nasıl takip edileceğini ve yanıtın nasıl verileceğini tanımlar.

Yanıtın biçimi de önemlidir. Kişisel Verileri Koruma Kurumu'nun 1 Ekim 2026 tarihli duyurusu, başvurulara verilecek cevabın yazılı olarak veya elektronik ortamda bildirilmesi gerektiğini; telefon veya yüz yüze görüşme gibi sözlü iletişimin Kanun'un 13. maddesi ve Tebliğ'in 6. maddesi uyarınca cevap olarak kabul edilmediğini hatırlatmaktadır.

10 belgelik liste (indirilebilir)

Listenin indirilebilir sürümü, her belge için “var / güncel / eksik” işaretleme alanları ve sorumlu kişi sütunu içerir. Envanteriniz yoksa önce 1 numaralı belgeyle başlayın; 2–7 numaralı belgeler envanterden türetilir. 10 numaralı prosedürün içeriğini veri ihlali müdahale planı yazımızda ayrıntılı anlattık.

KOBİ İçin 10 Belgelik KVKK Listesi

Aşağıdaki liste, bir KOBİ'nin KVKK uyumu için asgari belge setini özetler. “Zorunluluk” sütunu belgenin dayanağını, “Kimler için” sütunu ise belgenin her işletmede mi yoksa belirli koşullarda mı gerektiğini gösterir.

Belge Setini Tamamlama Seçenekleri

Sonuç ve Sonraki Adım

KVKK için gerekli belgeler listesi uzun görünse de bir KOBİ için on belgeyle yönetilebilir bir çerçeve oluşturur. Envanterle başlayın, aydınlatma ve rıza metinlerini birbirinden ayırarak envanterden türetin, saklama sürelerini yazılı hale getirin, tedarikçilerinizle veri işleyen sözleşmelerini imzalayın ve başvuru ile ihlal süreçlerini prosedüre bağlayın. Belgelerin süreçle örtüştüğünü yılda en az bir kez kontrol etmek için KVKK uyum kontrolü öz değerlendirmesi iyi bir başlangıç noktasıdır.

Bu seti tek seferde ve envantere dayalı olarak tamamlamak isterseniz, Temel KVKK Uyum Paketi'nin kapsamını inceleyebilirsiniz. Uyumsuzluğun olası sonuçları için 2026 KVKK idari para cezaları yazımıza bakabilirsiniz.

Sık Sorulan Sorular