Ana Sayfa Hakkımızda Hizmetler Ödüller Ekip Yayınlar Kariyer İletişim TÜRKÇEENGLISH Devin Law & IP — İstanbul
← Tüm Yayınlar
KategoriVeri Koruma
Yayın Tarihi6 Şubat 2026
Yazarlar
Uğurcan TekinOrtak
İnci ÖzçilsalAvukat

Şirket Bünyesinde KVK Kurulu Yapılanması

6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) kapsamında veri sorumlusu sıfatını haiz şirketler, kişisel veri işleme faaliyetlerini mevzuata uygun şekilde yürütmek ve bu faaliyetlere ilişkin süreçleri şeffaf ve izlenebilir bir yapı içerisinde yönetmekle yükümlüdür. Bu yükümlülük, yalnızca yazılı politika ve prosedürlerin hazırlanması ile sınırlı olmayıp, kişisel verilerin şirket içinde fiilen nasıl işlendiğinin, denetlendiğinin ve yönetildiğinin ortaya konulabilmesini de kapsamaktadır. Şirketler bünyesinde kişisel veri işleme faaliyetlerinin insan kaynakları, hukuk, finans, bilgi teknolojileri/IT ve operasyon gibi farklı departmanlar tarafından yürütülmesi, sürecin parçalı ve kontrol edilmesi güç bir yapıya dönüşmesine yol açabilmektedir. Bu durum, hukuki uyumun sürekliliğini zorlaştırabildiği gibi, olası veri ihlallerinde şirketlerin süreci bütüncül şekilde yönetmesini de güçleştirebilmektedir. Bu çerçevede, kişisel verilerin korunmasına ilişkin süreçlerin şirket yönetimlerinin bilgisi ve takibi altında, merkezi ve sistematik bir yapı içerisinde ele alınması, uygulamada etkin bir yaklaşım olarak öne çıkmaktadır.

Bu kapsamda, şirket 1 bünyesinde bir KVK Kurulu oluşturulması; kişisel veri işleme faaliyetlerinin düzenli olarak ele alınmasına, alınan kararların yazılı şekilde kayıt altına alınmasına ve gerektiğinde şirket yönetimlerine raporlanabilmesine imkân tanıyan bir yapı sunmaktadır. Kurul yapılanması, mevzuata uyumun sürdürülebilir şekilde yönetilmesini desteklemenin yanı sıra, hukuki ve operasyonel risklerin erken aşamada tespit edilmesine de katkı sağlamaktadır. KVK Kurulu’nun belirli periyotlarla, örneğin üç ayda bir toplanması; kurul toplantılarında alınan kararların yazılı tutanak altına alınması ve bu tutanakların gerektiğinde ibraz edilebilir şekilde muhafaza edilmesi, özellikle Kişisel Verileri Koruma Kurumu (“Kurum”) nezdinde yapılabilecek denetimlerde şirketlerin hesap verebilirliğini ortaya koyan önemli unsurlar arasında yer almaktadır. Kurul faaliyetlerinin belgeli ve düzenli şekilde yürütülmesi, idari para cezalarının belirlenmesinde de şirketler lehine değerlendirilebilecek bir savunma zemini oluşturmaktadır.

Grup şirketleri bakımından ise, her bir şirketin ayrı birer veri sorumlusu sıfatına sahip olması nedeniyle, her şirket için ayrı KVK Kurulu yapılanmasının esas alınması daha sağlıklı bir yaklaşım sunmaktadır. Bununla birlikte, operasyonel kolaylık sağlanması amacıyla kurul toplantılarının tek bir oturumda gerçekleştirilmesi, ancak her bir şirket için ayrı kurul karar tutanaklarının düzenlenmesi uygulamada pratik ve işlevsel bir yöntem olarak değerlendirilmektedir. Sonuç olarak, KVK Kurulu yapılanması; şirketlerin kişisel verilerin korunmasına ilişkin yükümlülüklerini düzenli, denetlenebilir ve sürdürülebilir bir çerçevede yönetmesini sağlayan bir organizasyon modeli sunmaktadır. Bu yapının hayata geçirilmesi, şirketlerin hukuki güvenliğini güçlendiren ve yönetim nezdinde risklerin daha etkin şekilde kontrol edilmesine katkı sağlayan bir araç niteliği taşımaktadır.

Genel Değerlendirme ve Çalışmanın Amacı

KVKK kapsamında veri sorumlusu sıfatını haiz şirketler, kişisel veri işleme faaliyetlerini mevzuata uygun şekilde yürütmek ve bu faaliyetlerin uygunluğunu her zaman ortaya koyabilecek bir organizasyon yapısı içerisinde yönetmek durumundadır. Bu kapsamda, KVKK’nın özellikle veri güvenliğine ilişkin yükümlülükleri düzenleyen 12. maddesi uyarınca, şirketlerin uygun güvenlik düzeyini temin etmeye yönelik teknik ve idari tedbirleri alma ve bu tedbirlerin uygulanmasını sağlama sorumluluğu bulunmaktadır. Kişisel veri işleme faaliyetlerinin şirketler bünyesinde farklı departmanlar tarafından yürütülmesi, sürecin tek bir merkezden izlenmesini ve yönetilmesini zorlaştırabilmektedir. Bu nedenle, kişisel verilerin korunmasına ilişkin süreçlerin şirket yönetimlerinin bilgisi ve takibi altında, düzenli olarak ele alınması; hukuki uyumun sağlanması ve olası risklerin önlenmesi bakımından işlevsel bir yaklaşım sunmaktadır. Kişisel Verileri Koruma Kurumu tarafından yayımlanan rehber ve ilke kararları, veri sorumlularının KVKK kapsamındaki yükümlülüklerini nasıl yerine getirmesi gerektiğine ilişkin uygulamaya yön veren temel kaynaklar arasında yer almaktadır.

Özellikle Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler)’nde; veri güvenliğine ilişkin politikaların yalnızca hazırlanmasının yeterli olmadığı, bu politikaların şirketlerin içi işleyişine entegre edilmesi, düzenli olarak izlenmesi ve güncellenmesi gerektiği açık şekilde vurgulanmaktadır. Bu yaklaşım, kişisel verilerin korunmasına ilişkin süreçlerin belirli bir organizasyon yapısı altında, süreklilik arz edecek şekilde yönetilmesini gerekli kılmaktadır. Bu çerçevede, kişisel veri işleme faaliyetlerinin sistematik şekilde izlenmesine, alınan kararların kayıt altına alınmasına ve gerektiğinde şirket yönetimlerine sunulmasına imkân tanıyan bir KVK Kurulu yapılanması, uygulamada tercih edilen bir organizasyon modeli olarak öne çıkmaktadır.

KVK Kurulu Yapılanmasının Kapsamı ve Şirketler İçi İşlevi

KVK Kurulu’nun, kişisel verinin yoğun olarak işlendiği birimlerin temsil edildiği bir yapı şeklinde oluşturulması, veri işleme faaliyetlerinin yalnızca yazılı düzenlemeler üzerinden değil, fiili iş süreçleri dikkate alınarak ele alınmasını mümkün kılmaktadır. İnsan kaynakları, hukuk, finans, bilgi teknolojileri/IT ve operasyon birimleri başta olmak üzere, şirketlerin faaliyet alanına özgü departmanların bu yapıya dahil edilmesi, kişisel verilerin korunmasına ilişkin süreçlerin şirketlerin gerçek işleyişiyle uyumlu şekilde yönetilmesine katkı sağlamaktadır. Bu kapsamda KVK Kurulu, şirketler bünyesinde yürütülen veri işleme faaliyetlerini düzenli olarak ele alan, süreçlerde meydana gelen değişiklikleri izleyen ve ortaya çıkabilecek hukuki ve operasyonel risklerin erken aşamada tespit edilmesine imkân tanıyan bir koordinasyon yapısı işlevi görmektedir. Kurul yapılanması sayesinde kişisel verilerin korunması, yalnızca belirli birimlerin sorumluluğunda yürütülen dağınık bir alan olmaktan çıkarak, şirket genelinde takip edilen bir süreç hâline gelmektedir.

Toplanan, karar alan ve tutanak tutan bir kurul, politika metnini ispat edilebilir uyuma dönüştürür.

Kurul Toplantıları, Tutanak Düzeni ve Kayıt Altına Alma Sistemi

KVK Kurulu yapılanmasının etkin şekilde işlemesi, kurulun düzenli aralıklarla toplanması ve alınan kararların yazılı olarak kayıt altına alınması ile mümkün olmaktadır. Kurulun belirli periyotlarla, örneğin üç ayda bir toplanması; kişisel veri işleme faaliyetlerinin güncel durumunun ele alınabilmesi ve yeni ortaya çıkan risklerin değerlendirilmesi bakımından işlevsel bir yaklaşım sunmaktadır. Kurul toplantılarında alınan kararların yazılı tutanak altına alınması ve bu tutanakların gerektiğinde şirket yönetimlerine sunulabilecek şekilde muhafaza edilmesi, sürecin 3 izlenebilirliğini ve denetlenebilirliğini desteklemektedir. Bu doğrultuda, KVK Kurulu’nun görev alanını ve çalışma esaslarını ortaya koyan bir bilgi notunun hazırlanması ile örnek kurul karar tutanaklarının oluşturulması, kurul faaliyetlerinin somutlaştırılmasına katkı sağlamaktadır.

Hesap Verilebilirlik İlkesi ve Denetimlerde İspat Yükü

KVK’nın temel ilkelerinden biri olan hesap verilebilirlik ilkesi uyarınca, veri sorumlusu sıfatını haiz şirketlerin, kişisel verilerin korunmasına ilişkin yükümlülüklerini yerine getirdiklerini ortaya koyabilecek bir yapı içerisinde faaliyet göstermeleri önem taşımaktadır. Kurum tarafından gerçekleştirilen denetimlerde, yalnızca yazılı politika ve prosedürlerin varlığı değil, bu düzenlemelerin şirketler içinde nasıl uygulandığı ve hangi mekanizmalarla takip edildiği de değerlendirilmektedir. Şirketler bünyesinde düzenli çalışan bir KVK Kurulu yapılanmasının bulunması ve bu kurulun faaliyetlerine ilişkin kayıtların tutulması, uyum çalışmalarının fiili olarak yürütüldüğünü gösteren önemli bir dayanak oluşturmaktadır. Bu yaklaşım, olası bir denetim veya veri ihlali incelemesinde şirketin süreci sistematik şekilde yönettiğini ortaya koyan bir çerçeve sunmaktadır.

İdari Tedbirler, Organizasyonel Riskler ve Olay Yönetimi

Kişisel Verileri Koruma Kurumu tarafından yayımlanan Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler) başta olmak üzere Kurum’un rehber ve yönlendirme dokümanlarında, veri güvenliğine ilişkin idari ve teknik tedbirlerin belirlenmesinin tek başına yeterli olmadığı; bu tedbirlerin şirketlerin işleyişine entegre edilmesi, düzenli olarak kontrol edilmesi ve güncellenmesi gerektiği açıkça ifade edilmektedir. Rehberlerde öngörülen bu yaklaşım, kişisel veri işleme süreçlerinin anlık değil, süreklilik arz eden bir yapı içerisinde yönetilmesini esas almaktadır. KVK Kurulu yapılanması sayesinde, iş süreçlerinde meydana gelen değişiklikler düzenli olarak ele alınabilmekte; olası bir veri ihlali durumunda izlenecek adımlar önceden belirlenmiş bir çerçeve içerisinde yönetilebilmektedir. Bu yaklaşım hem operasyonel belirsizliklerin azaltılmasına hem de çalışanlar üzerindeki yükün dengelenmesine katkı sağlamaktadır.

Ceza Hukuku Boyutu

Kişisel verilerin hukuka aykırı olarak kaydedilmesi, ele geçirilmesi, yayılması veya başkasına verilmesi gibi fiillerin, şartlarına göre Türk Ceza Kanunu’nda düzenlenen suç tipleri kapsamında değerlendirilebilmesi mümkündür. Bu nedenle kişisel verilerin korunmasına ilişkin süreçlerin, 4 yalnızca idari yaptırımlar açısından değil, belirli hâllerde ceza hukuku boyutu itibarıyla da ele alınması önem taşımaktadır. Uygulamada, kişisel veri ihlallerine ilişkin incelemelerde, şirketler bünyesinde gerekli organizasyonel ve idari tedbirlerin alınıp alınmadığı; bu kapsamda süreçlerin sistematik şekilde izlenip izlenmediği hususlarının dikkate alındığı görülmektedir. KVK Kurulu yapılanması, kişisel verilerin korunmasına ilişkin görev ve sorumlulukların kurumsal bir çerçeve içerisinde ele alınmasına ve denetim süreçlerinin daha düzenli şekilde yürütülmesine katkı sağlayan bir yapı sunmaktadır.

Grup Şirketleri Bakımından KVK Kurulu Yapılanması

Denetimde fiilen incelenen şey, üç aylık toplantı tutanaklarıdır.

KVK Kurulu yapılanması, şirketler kapsamında yürütülen uyum çalışmalarının sürdürülebilirliğini destekleyen ve şirketlerin içi koordinasyonunu güçlendiren bir araç olarak öne çıkmaktadır. Grup şirketleri arasında organik bir bağ ve operasyonel bir bütünlük söz konusu olsa dahi, her bir grup şirketinin hukuk önünde ayrı bir tüzel kişiliğe ve dolayısıyla bağımsız bir veri sorumlusu sıfatına sahip olduğu gerçeği göz ardı edilmemelidir. Bu hukuki statü farkı nedeniyle, uyum süreçlerine ilişkin kurul kararlarının, risk analizlerinin ve toplantı tutanaklarının her bir şirket özelinde ayrı ayrı tanzim edilmesi; prosedürlerin işletilmesi ve ispat yükümlülüğünün yerine getirilmesi açısından en sağlıklı yaklaşımı sunmaktadır. Uygulamada pratiklik sağlanması amacıyla kurul toplantılarının tek bir oturumda gerçekleştirilmesi mümkündür. Ancak, bu noktada kritik olan husus, oturum sonunda her bir grup şirketi için müstakil karar tutanaklarının oluşturulmasıdır.

Bu yöntem, her bir şirketin kendine has veri işleme envanteri, spesifik risk alanları ve idari/teknik tedbir gereksinimleri bakımından titizlikle değerlendirildiğini objektif bir şekilde ortaya koymaktadır. Netice itibarıyla, kararların bu şekilde ayrıştırılması hem şirketlerin içi denetimlerinde hem de Kişisel Verileri Koruma Kurumu nezdinde gerçekleşebilecek olası incelemelerde, her bir veri sorumlusunun üzerine düşen özen yükümlülüğünü eksiksiz yerine getirdiğini kanıtlayan işlevsel ve hukuki açıdan korunaklı bir sistem inşasına imkân tanımaktadır.

Kurul Mu, Komite Mi? - Yapılanma Modeline İlişkin Değerlendirme

Mevzuatta, şirketler bünyesinde belirli bir isim altında bir yapılanmanın tesis edilmesini zorunlu kılan açık bir düzenleme bulunmamaktadır. Bununla birlikte, Kurum tarafından yayımlanan rehber ve yönlendirme dokümanlarında, veri sorumlusunun veri güvenliğini sağlamak amacıyla gerekli organizasyonel yapıyı oluşturmasına yönelik beklentiler açıkça ortaya konulmaktadır. Bu kapsamda, söz konusu yapının komite veya çalışma grubu şeklinde oluşturulması mümkün olmakla birlikte, kurul statüsünde ve şirketlerin iç yönergesi ile yetkilendirilmiş bir yapılanmanın, karar alma süreçlerine daha doğrudan entegre olan bir çerçeve sunduğu görülmektedir. Kurulun asgari üye sayısı ve yapılanma modeline ilişkin olarak, uygulamada kişisel veri işleme süreçlerinde aktif rol üstlenen birimlerin temsil edildiği, en az iki veya üç kişiden oluşan bir kurul yapılanmasının işlevsel olduğu görülmektedir. Bu kapsamda, akademik görüşler ve Kurum uygulamaları da dikkate alındığında, sınırlı sayıda ancak yetki ve sorumluluğu net belirlenmiş üyelerden oluşan bir kurul yapısının; karar alma süreçlerinin etkinliği, koordinasyonun sağlanması ve kurul faaliyetlerinin sürdürülebilirliği açısından uygun bir çerçeve sunduğu değerlendirilmektedir.

Sonuç ve Genel Değerlendirme

Kişisel verilerin korunması süreci, şirketlerin faaliyetlerinden bağımsız bir uyum alanı olmayıp, operasyonlarının doğal bir parçası olarak ele alınmaktadır. Bu sürecin düzenli, izlenebilir ve sürdürülebilir şekilde yönetilmesi, sistematik bir organizasyon yapısı ile mümkün olmaktadır. KVK Kurulu yapılanması, bu ihtiyaca cevap veren ve şirketlerin kişisel verilerinin korunmasına ilişkin süreçlerini belirli bir çerçeve içerisinde ele almasına imkân tanıyan bir yapı sunmaktadır. Bu kapsamda, KVK Kurulu yapılanmasının hayata geçirilmesi; şirketlerin hukuki güvenliğini destekleyen, denetim süreçlerine hazırlık sağlayan ve yönetim nezdinde risklerin daha etkin şekilde izlenmesine katkı sunan bir uygulama olarak değerlendirilmektedir. Bu yaklaşım, Kişisel Verileri Koruma Kurumu’nun rehber ve yönlendirme dokümanlarında ortaya koyduğu uygulama esasları ile de örtüşen bir çerçeve sunmaktadır. Bilgilerinize sunarız.

Ortak Avukat / Marka Vekili Ortak / Marka Vekili

Stajyer Avukat Stajyer Avukat Sınai Mülkiyet Uzmanı

İlgili çalışma alanıKişisel Verilerin Korunması, Mahremiyet ve Siber Güvenlik→

İlgili yazılar

Veri Korumaİş Yerlerinde Güvenlik Kamerası Sistemleri: Kurum'un 8 Haziran 2026 Tarihli Kamuoyu Duyurusu18 Haziran 2026Veri KorumaAnayasa Mahkemesi'nin Viennalife Kararı: Alenileştirilmiş Kişisel Veriler ve Amaçla Bağlılık16 Haziran 2026Veri KorumaÜçüncü Kişilerle Veri Paylaşımı ve Borç Ödeme Süreçlerinde Uyulması Gereken Esaslar31 Mart 2026