gun şekilde düzenlenmiştir. Buna göre; 6698 sayılı
Kanun’da kişisel verilerin işlenmesi bakımından
sayılan genel (temel) ilkeler şunlardır:
• Hukuka ve dürüstlük kurallarına uygun olma.
• Doğru ve gerektiğinde güncel olma.
• Belirli, açık ve meşru amaçlar için işlenme.
-- 5 of 20 --
6 | KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN TEMEL İLKELER
• İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü
olma.
• İlgili mevzuatta öngörülen veya işlendikle-
ri amaç için gerekli olan süre kadar muhafaza
edilme.
Kişisel verilerin işlenmesine ilişkin ilkeler, tüm kişi-
sel veri işleme faaliyetlerinin özünde bulunmalıdır
ve bütün kişisel veri işleme faaliyetleri bu ilkelere
uygun olarak gerçekleştirilmelidir.
a. Hukuka ve Dürüstlük Kurallarına Uygun Olma
İlkesi
Hukuka ve dürüstlük kuralına uygun olma, kişisel
verilerin işlenmesinde kanunlarla ve diğer hukuk-
sal düzenlemelerle getirilen ilkelere uygun hareket
edilmesi zorunluluğunu ifade etmektedir. Dürüst-
lük kuralına uygun olma ilkesi uyarınca veri sorum-
lusu, kişisel veri işlemedeki hedeflerine ulaşmaya
çalışırken, ilgili kişilerin çıkarlarını ve makul bek-
lentilerini dikkate almalıdır. Diğer bir ifadeyle; ilgili
kişinin beklemediği ve beklemesinin de gerekme-
-- 6 of 20 --
Madde Bilinmiyor — ir. Dürüst-
lük kuralına uygun olma ilkesi uyarınca veri sorum-
lusu, kişisel veri işlemedeki hedeflerine ulaşmaya
çalışırken, ilgili kişilerin çıkarlarını ve makul bek-
lentilerini dikkate almalıdır. Diğer bir ifadeyle; ilgili
kişinin beklemediği ve beklemesinin de gerekme-
-- 6 of 20 --
KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN TEMEL İLKELER | 7
diği sonuçların ortaya çıkmasını önleyici şekilde
hareket etmesi gerekmektedir. Anılan ilke uyarınca,
ayrıca ilgili kişi için söz konusu kişisel veri işleme
faaliyetinin şeffaf olması ve veri sorumlusunun
aydınlatma yükümlülüğüne uygun hareket etmesi
gerekmektedir.
Hukuka ve dürüstlük kuralına uygun olma ilkesi,
diğer ilkeleri de kapsayıcı bir özelliğe sahiptir. Hu-
kuka uygunluk, genel olarak hukuk normlarına ve
evrensel hukuk ilkelerine uygunluktur. Hukuka uy-
gunluğun kapsamı geniş olup mevzuata uygunluk
da buna dahildir. Örneğin; kanuna aykırı bir uygu-
lama aynı zamanda hukuka aykırılığı beraberinde
getirir.
Dürüstlük kurallarına uygunluk ise hukukumuzda,
4721 sayılı Türk Medeni Kanunu’nun 2. maddesin-
de düzenlenen dürüstlük kuralının, kişisel veriler
işlenirken ihlal edilmemesidir. Bu ilke kişisel veri-
ler işlenirken, hakkın kötüye kullanılmasına ilişkin
yasağa da riayet edilmesini gerektirmektedir. Dü-
rüstlük kuralı, kişilerin haklarını kullanırken güven
-- 7 of 20 --
Madde Bilinmiyor — . maddesin-
de düzenlenen dürüstlük kuralının, kişisel veriler
işlenirken ihlal edilmemesidir. Bu ilke kişisel veri-
ler işlenirken, hakkın kötüye kullanılmasına ilişkin
yasağa da riayet edilmesini gerektirmektedir. Dü-
rüstlük kuralı, kişilerin haklarını kullanırken güven
-- 7 of 20 --
8 | KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN TEMEL İLKELER
kurallarına uygun ve makul bir kimseden beklenen
şekilde davranılmasını ifade eder.
Kişisel verilerin korunması açısından ise dürüst-
lük kuralı, kişilerin kendilerine kişisel veri işleme
konusunda izin ya da emir veren hukuk kurallarına
dayanarak gerçekleştirdikleri fillerde, bu hukuk ku-
ralının amacına göre mümkün olan en az miktarda
kişisel veri işlemeleri, ilgili kişilerin öngöremeye-
ceği biçimde hareket etmemeleri gibi davranışları
gerektirir.
Veri sorumlularının, ilgili kişilerin çıkarlarını ve
makul beklentilerini göz önüne almaları dürüst-
lük kuralının gereğidir. Haklı bir gerekçe olmaksızın
ilgili kişinin özel hayatının gizliliğini, onurunu ihlal
edecek şekilde kişisel veri işlenmesi şüphesiz bu
ilkeye aykırılık teşkil edecektir. Örneğin; özel haya-
tın gizliliği çerçevesinde makul olmayan kişisel ve-
rinin, ilgili kişiden talep edilmesi veya bunun veri
sorumlusu tarafından dürüstlük kurallarına aykırı
olarak işlenmesi bu ilkeye aykırıdır.
-- 8 of 20 --
Madde Bilinmiyor — şüphesiz bu
ilkeye aykırılık teşkil edecektir. Örneğin; özel haya-
tın gizliliği çerçevesinde makul olmayan kişisel ve-
rinin, ilgili kişiden talep edilmesi veya bunun veri
sorumlusu tarafından dürüstlük kurallarına aykırı
olarak işlenmesi bu ilkeye aykırıdır.
-- 8 of 20 --
KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN TEMEL İLKELER | 9
Dürüstlük kuralı, veri korumanın diğer ilkeleri ara-
cılığıyla somutlaştırılmıştır. Bu ilkelere uyulmaksı-
zın kişisel veri işlenmesi, dürüstlük kuralına dola-
yısıyla hukuka uygun kişisel veri işlenmesine aykırı
olacaktır.
Örneğin; bir tüzel kişilik nezdinde kişisel veri-
lerin silinmesi halinde kişisel verilerin teknik
olarak depolanması, korunması ve yedeklen-
mesinden sorumlu olan kişiler tarafından ve-
rilere erişim sağlanması mümkün bulunmakla
birlikte, bahse konu tüzel kişilik içerisinde kişi-
sel verilerin depolanması, korunması ve yedek-
lenmesinden sorumlu kişi sayısının gerektiğin-
den fazla belirlenmesi durumunda, gerekenin
dışındaki kişilerce silinen kişisel verilere erişim
sağlanması dürüstlük kuralına aykırılık teşkil
edecektir.
Bu ilkenin uygulanabilir olup olmadığının, önce-
likle Anayasa’nın temel hak ve özgürlükler rejimi
-- 9 of 20 --
Madde Bilinmiyor — lu kişi sayısının gerektiğin-
den fazla belirlenmesi durumunda, gerekenin
dışındaki kişilerce silinen kişisel verilere erişim
sağlanması dürüstlük kuralına aykırılık teşkil
edecektir.
Bu ilkenin uygulanabilir olup olmadığının, önce-
likle Anayasa’nın temel hak ve özgürlükler rejimi
-- 9 of 20 --
10 | KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN TEMEL İLKELER
kapsamında değerlendirilmesi gerekir. Kişisel ve-
rilerin işlenmesi, kişinin temel haklarına müdahale
edilmesi anlamına gelmekte olup bu müdahalenin
dürüst ve hukuka uygun kabul edilebilmesi için,
Anayasa’nın temel hak ve özgürlüklerin kısıtlanma-
sıyla ilgili düzenlemelerine uygun olması zorun-
ludur. Hukuka uygunlukla ilgili vurgulanması ge-
reken en önemli noktalardan biri ise bu kavramın
tüm hukuk sistemini kastettiğidir. Bir kişisel veri
işlemeye bir kanun tarafından izin verilmiş, hatta
işlemenin emredilmiş olması onun hukuka uygun
olduğuna karinedir.
b. Doğru ve Gerektiğinde Güncel Olma İlkesi
Kişisel verilerin doğruluğunun ve güncelliğinin
önemini vurgulayan bu ilke ile 6698 sayılı Ka-
nun’da öngörülen ilgili kişinin, kişisel verilerinin
düzeltilmesini talep etme hakkı uyumludur. Kişi-
sel verilerin doğru ve güncel bir şekilde tutulması,
veri sorumlusunun çıkarına uygun olduğu gibi il-
-- 10 of 20 --
Madde Bilinmiyor — verilerin doğruluğunun ve güncelliğinin
önemini vurgulayan bu ilke ile 6698 sayılı Ka-
nun’da öngörülen ilgili kişinin, kişisel verilerinin
düzeltilmesini talep etme hakkı uyumludur. Kişi-
sel verilerin doğru ve güncel bir şekilde tutulması,
veri sorumlusunun çıkarına uygun olduğu gibi il-
-- 10 of 20 --
KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN TEMEL İLKELER | 11
gili kişinin temel hak ve özgürlüklerinin korunması
açısından da gereklidir. Kişisel verilerin doğru ve
gerektiğinde güncel olmasının sağlanması nokta-
sında aktif özen yükümlülüğü; veri sorumlusu eğer
bu verilere dayalı olarak ilgili kişiyle ilgili bir sonuç
ortaya koyuyor ise geçerlidir (örneğin kredi verme
işlemleri). Bunun dışında veri sorumlusu her za-
man ilgili kişinin kişisel verilerinin doğru ve güncel
olmasını temin edecek kanalları açık tutmalıdır.
Kişilerin, güncel olmayan veya yanlış tutulan kişi-
sel verileri nedeniyle maddi ve manevi zarar gör-
mesi mümkündür. Örneğin bir kişinin veri sorum-
lusunun sisteminde kayıtlı telefon numarasının
doğru olmaması ya da artık ilgili kişi tarafından
kullanılmıyor oluşu, o kişiye ilişkin gerçek bir veriyi
yansıtmadığından hatalı sonuçların ortaya çıkma-
sına neden olabilmektedir. Yine, adres bilgisi yan-
lış kaydedilen bir kişinin kendisine ait tebligatları
zamanında alamaması veya yanlış bir kişiye tebliğ
edilmesi durumlarında ilgili kişi maddi ve manevi
zarar görebilir. Bu ilke, ilgili kişinin haklarını ko-
-- 11 of 20 --
Madde Bilinmiyor — sonuçların ortaya çıkma-
sına neden olabilmektedir. Yine, adres bilgisi yan-
lış kaydedilen bir kişinin kendisine ait tebligatları
zamanında alamaması veya yanlış bir kişiye tebliğ
edilmesi durumlarında ilgili kişi maddi ve manevi
zarar görebilir. Bu ilke, ilgili kişinin haklarını ko-
-- 11 of 20 --
12 | KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN TEMEL İLKELER
ruduğu gibi veri sorumlusunun da menfaatlerine
yöneliktir.
Kişisel verilerin doğru ve güncel tutulabilmesini te-
min etmek amacıyla; kişisel verilerin elde edildiği
kaynaklar belirli olmalı, kişisel verilerin toplandığı
kaynağın doğruluğu test edilmeli, kişisel verilerin
doğru olmamasından kaynaklı talepler göz önünde
bulundurulmalı ve bu kapsamda makul önlemler
alınmalıdır.
c. Belirli, Açık ve Meşru Amaçlar İçin İşlenme İlkesi
Kişisel verilerin işlenme amaçlarının belirli, meşru
ve açık olması ilkesi;
• Kişisel veri işleme faaliyetlerinin ilgili kişi tara-
fından açık bir şekilde anlaşılabilir olmasını,
• Kişisel veri işleme faaliyetlerinin hangi hukuki
işleme şartına dayalı olarak gerçekleştirildiğinin
tespit edilmesini,
• Kişisel veri işleme faaliyetinin ve bu faaliyetin
gerçekleştirilme amacının belirliliğini sağlaya-
cak detayda ortaya konulmasını
sağlamaktadır.
-- 12 of 20 --
Madde Bilinmiyor — laşılabilir olmasını,
• Kişisel veri işleme faaliyetlerinin hangi hukuki
işleme şartına dayalı olarak gerçekleştirildiğinin
tespit edilmesini,
• Kişisel veri işleme faaliyetinin ve bu faaliyetin
gerçekleştirilme amacının belirliliğini sağlaya-
cak detayda ortaya konulmasını
sağlamaktadır.
-- 12 of 20 --
KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN TEMEL İLKELER | 13
Bu ilke veri sorumlusunun, kişisel veri işleme ama-
cını açık ve kesin olarak belirlemesini ve bu amacın
meşru olmasını zorunlu kılmaktadır. Veri sorum-
lularının, ilgili kişiye belirttikleri amaçlar dışında,
başka amaçlarla kişisel veri işlemeleri halinde,
bu fiillerinden dolayı sorumlulukları doğacaktır.
Amacın meşru olması, veri sorumlusunun işledi-
ği kişisel verilerin, yapmış olduğu iş veya sunmuş
olduğu hizmetle bağlantılı ve bunlar için gerekli
olması anlamına gelmektedir. Örneğin; bir hazır
giyim mağazasının, müşterilerinin ad-soyadı bilgi-
lerini işlemesi meşru amaç kapsamındayken, anne
kızlık soyadını işlemesi meşru amaç kapsamında
değerlendirilemeyecektir.
Kişisel verileri işleme amaçlarının sadece veri so-
rumlusu bakımından bilinmesi ya da tahmin edi-
lebilir olması bu ilkeye aykırıdır. Bu itibarla, kişisel
veri işleme amaçlarının açıklandığı hukuki işlem ve
metinlerde (açık rıza, aydınlatma, ilgili kişinin baş-
vurularını cevaplama, Veri Sorumluları Siciline kayıt
gibi) belirlilik ve açıklık ilkesine uyumda hassasiyet
-- 13 of 20 --
Madde Bilinmiyor — lebilir olması bu ilkeye aykırıdır. Bu itibarla, kişisel
veri işleme amaçlarının açıklandığı hukuki işlem ve
metinlerde (açık rıza, aydınlatma, ilgili kişinin baş-
vurularını cevaplama, Veri Sorumluları Siciline kayıt
gibi) belirlilik ve açıklık ilkesine uyumda hassasiyet
-- 13 of 20 --
14 | KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN TEMEL İLKELER
gösterilmelidir ve anlaşılması güç, teknik-hukuki
ifadelerin kullanımından kaçınılmalıdır. Bu esasa
uygun hareket etme aynı zamanda dürüstlük ilke-
sine uyum bakımından da son derece önemlidir.
ç. İşlendikleri Amaçla Bağlantılı, Sınırlı ve Ölçülü
Olma İlkesi
İşlenen kişisel verilerin belirlenen amaçların ger-
çekleştirilebilmesi için elverişli olması, amacın
gerçekleştirilmesiyle ilgili olmayan veya ihtiyaç du-
yulmayan kişisel verilerin işlenmesinden kaçınıl-
masını gerektirmektedir. Sonradan ortaya çıkması
muhtemel ihtiyaçların karşılanmasına yönelik ola-
rak kişisel veri işleme yoluna gidilmemelidir. Çünkü
muhtemel ihtiyaçlara yönelik kişisel veri işlenmesi,
yeni bir kişisel veri işleme faaliyeti anlamına ge-
lecektir. Bu durumda, 6698 sayılı Kanun’un 5. ve 6.
maddelerinde düzenlenmiş olan kişisel verilerin
işlenme şartlarından birinin bulunması gereke-
cektir. Ayrıca işlenen kişisel veri, sadece amacın
gerçekleştirilmesi için gerekli olan kişisel verilerle
sınırlı tutulacaktır. Amaç için gerekli olanın dışında
-- 14 of 20 --
Madde Bilinmiyor — 8 sayılı Kanun’un 5. ve 6.
maddelerinde düzenlenmiş olan kişisel verilerin
işlenme şartlarından birinin bulunması gereke-
cektir. Ayrıca işlenen kişisel veri, sadece amacın
gerçekleştirilmesi için gerekli olan kişisel verilerle
sınırlı tutulacaktır. Amaç için gerekli olanın dışında
-- 14 of 20 --
KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN TEMEL İLKELER | 15
kişisel veri işlenmesi, sınırlı tutulma ilkesine ay-
kırılık teşkil edecektir. Burada önemli olan; amacı
gerçekleştirmeye yönelik yeterli kişisel verinin te-
min edilmesi, bunun dışındaki amaç için gerekli
olmayan kişisel veri işlemeden kaçınılmasıdır.
Mevcutta olmayan ve sonradan gerçekleşmesi dü-
şünülen amaçlarla kişisel veri işlenmemelidir.
Ölçülülük ilkesi, kişisel veri işleme ile gerçekleşti-
rilmesi istenen amaç arasında makul bir dengenin
kurulması anlamına gelmektedir. Yani kişisel veri
işlemenin, amacı gerçekleştirecek ölçüde olması
demektir. Örneğin; kredi kartı başvurusunda bu-
lunan kişiden sosyal hayatına ve sosyal faaliyet-
lerine yönelik tercihleri konusunda bilgi talebin-
de bulunulması ölçülülük ilkesine aykırılık teşkil
edebilecektir.
d. İlgili Mevzuatta Öngörülen veya İşlendikleri
Amaç İçin Gerekli Olan Süre Kadar Muhafaza
Edilme İlkesi
Kişisel verilerin “amaçla sınırlılık ilkesi”nin bir gereği
olarak işlendikleri amaç için gerekli olan süreye uy-
-- 15 of 20 --
Madde Bilinmiyor — ük ilkesine aykırılık teşkil
edebilecektir.
d. İlgili Mevzuatta Öngörülen veya İşlendikleri
Amaç İçin Gerekli Olan Süre Kadar Muhafaza
Edilme İlkesi
Kişisel verilerin “amaçla sınırlılık ilkesi”nin bir gereği
olarak işlendikleri amaç için gerekli olan süreye uy-
-- 15 of 20 --
16 | KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN TEMEL İLKELER
gun olarak muhafaza edilmesi gerekir. Buna ilişkin
olarak veri sorumlusu, idari ve teknik tedbirleri al-
makla yükümlüdür. 6698 sayılı Kanun’un 12. madde-
sinde de belirtildiği gibi veri sorumlusu; kişisel verile-
rin hukuka aykırı olarak işlenmesini önlemek, kişisel
verilere hukuka aykırı olarak erişilmesini önlemek ve
kişisel verilerin muhafazasını sağlamak amacıyla uy-
gun güvenlik düzeyini temin etmeye yönelik gerekli
her türlü teknik ve idari tedbirleri almak zorundadır.
Bununla ilgili olarak veri sorumlusu, gerekli teknik
ve idari tedbirleri belirlemek ve kişisel verilerin bu
esaslara uygun olarak muhafazasını sağlamakla
yükümlüdür. Kişisel veri saklama ve imha politikası
hazırlamakla yükümlü olan (Sicil’e kayıt yükümlü-
lüğü bulunanlar) veri sorumluları da bu esaslara
uygun bir şekilde hareket etmelidir.
Kişisel verilerin saklanması için amaçla sınırlılık il-
kesi uyarınca veri sorumlusu tarafından belirlenen
saklama sürelerinin yanı sıra veri sorumlusunun
tabi olduğu ilgili mevzuat kapsamında da belirlen-
miş saklama süreleri mevcuttur. Buna göre veri so-
rumluları, işledikleri kişisel veriler için mevzuatta
-- 16 of 20 --
Madde Bilinmiyor — ilerin saklanması için amaçla sınırlılık il-
kesi uyarınca veri sorumlusu tarafından belirlenen
saklama sürelerinin yanı sıra veri sorumlusunun
tabi olduğu ilgili mevzuat kapsamında da belirlen-
miş saklama süreleri mevcuttur. Buna göre veri so-
rumluları, işledikleri kişisel veriler için mevzuatta
-- 16 of 20 --
KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN TEMEL İLKELER | 17
öngörülmüş bir süre varsa bu süreye uyacak; eğer
mevzuatta bir süre öngörülmemişse kişisel verileri
ancak işlendikleri amaç için gerekli olan süre kadar
saklayabilecektir. Bir kişisel verinin daha fazla sak-
lanması için geçerli bir sebep bulunmaması halinde,
o veri silinecek, yok edilecek ya da anonim hale ge-
tirilecektir. İleride tekrar kullanılabileceği düşünü-
lerek ya da herhangi bir başka gerekçe ile kişisel ve-
rilerin muhafaza edilmesi yoluna gidilemeyecektir.
Ayrıca veri sorumlusu, 6698 sayılı Kanun’un 16.
maddesi uyarınca Sicil’e kayıt için başvuru ya-
parken kişisel verilerin işlenme amacı için gerekli
azami süreyi Veri Sorumluları Sicili Hakkında Yö-
netmelik’in 9. maddesini göz önünde bulundura-
rak tespit etmek ve bu süreyi Veri Sorumluları Sicil
Bilgi Sistemine (VERBİS) bildirmek zorundadır.
Veri sorumlusu tarafından Sicil’e bildirilen veri
kategorilerinin işleme amaçları ve bu amaçlara
dayalı olarak işlenmeleri için gerekli olan azami
muhafaza edilme süreleri ile mevzuatta öngörülen
süreler farklı olabilir. Bu durumda mevzuatta aza-
mi muhafaza edilme süresi öngörülmüşse bu süre;
-- 17 of 20 --
Madde Bilinmiyor — sorumlusu tarafından Sicil’e bildirilen veri
kategorilerinin işleme amaçları ve bu amaçlara
dayalı olarak işlenmeleri için gerekli olan azami
muhafaza edilme süreleri ile mevzuatta öngörülen
süreler farklı olabilir. Bu durumda mevzuatta aza-
mi muhafaza edilme süresi öngörülmüşse bu süre;
-- 17 of 20 --
18 | KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN TEMEL İLKELER
yoksa bunlardan en uzun süre esas alınarak söz
konusu veri kategorisi için Sicil’e bildirim yapılır.
Burada önemle belirtmek gerekir ki; mevzuatta ön-
görülen sürelere uyum için gerçekleştirilen sakla-
ma faaliyetleri işleme faaliyetinin amacı için ge-
rekli olan ve dolayısıyla veri sorumlusu tarafından
buna göre belirlenen saklama sürelerini aşıyorsa,
tutulmaya devam edilen kişisel verilerin veri so-
rumlusunca belirlenen süreyi aşan müddetçe ilgili
mevzuatta belirtilen saklama yükümlülüğünü yeri-
ne getirmek amacıyla yalnızca muhafaza edilmesi,
(örneğin; kişisel verilerin mahkemeye sunulması
gibi) yeni bir işleme faaliyetini gerektiren bir du-
rum gündeme gelmedikçe, başkaca bir şekilde kul-
lanılmaması gerekmektedir. Hem veri sorumlusu-
nun hukuki yükümlülükleri gereğince tabi olduğu
mevzuat kapsamında öngörülen sürelerin hem de
veri sorumlusunun belirlediği saklama sürelerinin
aşılması durumunda, kişisel verilerin veri sorum-
lusu tarafından Kişisel Verilerin Silinmesi, Yok Edil-
mesi ve Anonim Hale Getirilmesi Hakkında Yönet-
melik’e göre silinmesi, yok edilmesi veya anonim
hale getirilmesi gerekir.
-- 18 of 20 --
KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN TEMEL İLKELER | 19
-- 19 of 20 --
Adres: Nasuh Akar Mahallesi
1407. Sokak No: 4
Çankaya/ANKARA
Telefon: 0 312 216 50 00
Web: www.kvkk.gov.tr
kvkkurumu
-- 20 of 20 --
