KVKK eğitimi zorunlu mu, kanun ve Kurum bu konuda ne diyor?

Sertifika programı · 1.500 ₺'den →WhatsApp'tan Yaz

8 Kasım 2026 · Brodemy Editör Ekibi · 7 dk okuma

İnsan kaynakları, muhasebe, müşteri hizmetleri ya da bir klinikte çalışıyorsanız “KVKK eğitimi almamız şart mı?” sorusunu duymuşsunuzdur. Cevap tek kelimelik değil. Zorunluluk kanunun tek bir cümlesinden değil, birkaç kaynağın birlikte okunmasından çıkar.

Aşağıda bu kaynakları tek tek açıyoruz: Kanun ne diyor, Kurul hangi durumda eğitimi açıkça istiyor, Kurum'un rehberi ne öneriyor ve VERBİS kaydıyla bunun ilişkisi ne. Ceza tutarlarına girmiyoruz; bu tutarlar her yıl yeniden belirleniyor.

Kanunda “KVKK eğitimi zorunludur” yazıyor mu?

Hayır, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nda veri sorumlusuna “çalışanlarına eğitim ver” diyen ayrı bir madde yok. Kanun metninde “eğitim” kelimesi yalnızca Kurum'un kendi personeline ilişkin maddelerde geçer.

Kanun yöntem değil sonuç ister: kişisel verilerin hukuka aykırı işlenmesini ve bunlara hukuka aykırı erişilmesini önlemek, verileri güvenle saklamak. Bu sonuca hangi araçlarla ulaşılacağı veri sorumlusuna bırakılmıştır. Eğitim de bu araçlardan biridir.

KVKK md. 12 veri sorumlusundan ne istiyor?

12. madde, veri sorumlusunun uygun güvenlik düzeyini sağlamak için “gerekli her türlü teknik ve idari tedbirleri” almasını zorunlu tutar. Maddenin beş fıkrası kısaca şunları söyler:

• Kişisel verilerin hukuka aykırı işlenmesini ve bunlara hukuka aykırı erişilmesini önlemek, verilerin muhafazasını sağlamak (1. fıkra).
• Verileri sizin adınıza başka bir şirket işliyorsa, örneğin dışarıdan bir muhasebe bürosu, tedbirlerden onunla birlikte sorumlu olmak (2. fıkra).
• Kanun'un uygulanmasını sağlamak için kendi kurumunuzda denetim yapmak ya da yaptırmak (3. fıkra).
• Öğrenilen verileri amacı dışında kullanmamak ve başkasına açıklamamak; bu yükümlülük görevden ayrıldıktan sonra da sürer (4. fıkra).
• Veriler kanuni olmayan yollarla başkalarının eline geçerse durumu en kısa sürede ilgili kişiye ve Kurul'a bildirmek (5. fıkra).

Kurum'un açıklamasına göre veri güvenliği için tek bir model yoktur; önlemler şirketin büyüklüğüne, yaptığı işe ve koruduğu verinin niteliğine göre seçilir. Dördüncü fıkradaki “açıklamama” yükümlülüğünü düşünün: bunu sağlayacak olan, veriye her gün dokunan çalışanlardır. Kurum'un rehberi de eğitimi idari tedbirler içinde ayrı bir başlık olarak ele alır.

Kurum'un veri güvenliği rehberi eğitim hakkında ne diyor?

Kişisel Veri Güvenliği Rehberi, çalışanların eğitilmesini ve farkındalık çalışmalarını idari tedbirlerin ikinci başlığı olarak anlatır. Rehberin Nisan 2025 tarihli baskısında öne çıkan noktalar şunlar:

• Veri ihlallerinin bir kısmı dikkatsizlik, dalgınlık ya da tecrübesizlikten doğabilir: zararlı yazılım içeren bir e-posta ekini açmak ya da e-postayı yanlış kişiye göndermek gibi.
• Bu yüzden çalışanların, verilerin hukuka aykırı açıklanmaması ve paylaşılmaması konusunda eğitim alması ve farkındalık çalışmaları yapılması “çok önemli” bulunur.
• Hangi konumda olursa olsun her çalışanın kişisel veri güvenliğindeki rolü ve sorumluluğu görev tanımında yazılmalıdır.
• Rehberin özet tablosunda “Eğitim ve Farkındalık Faaliyetleri (Bilgi Güvenliği ve Kanun)” idari tedbirler arasında listelenir.

Rehber, Kurum'un uygulamaya açıklık getirmek ve iyi uygulama örnekleri sunmak için hazırladığı bir metindir; kendi başına ceza maddesi içermez. Ama 12. maddedeki yükümlülükleri yerine getirmemek, Kanun'un 18. maddesine göre idari para cezası gerektiren bir kabahattir. Bir inceleme sırasında tedbir aldığınızı gösterebilmek için eğitimi yapmak kadar tarihini, katılanları ve içeriğini kayda geçirmek de işe yarar.

Hangi durumda KVKK eğitimi açıkça zorunlu?

Sağlık, biyometrik ya da genetik veri gibi özel nitelikli kişisel verileri işleyen çalışanlar için düzenli eğitim, Kurul kararıyla açıkça istenen bir önlemdir. Kanun'un 6. maddesi, özel nitelikli verilerin işlenmesinde Kurul'un belirlediği yeterli önlemlerin alınmasını şart koşar. Kurul'un 31 Ocak 2018 tarihli ve 2018/10 sayılı kararı bu önlemleri sayar ve bu süreçlerde yer alan çalışanlar için şunları ister:

• Kanun, ilgili yönetmelikler ve özel nitelikli kişisel veri güvenliği konularında düzenli olarak eğitim verilmesi,
• Gizlilik sözleşmesi yapılması,
• Verilere erişecek kullanıcıların, yetki kapsamlarının ve sürelerinin net tanımlanması, yetkilerin periyodik olarak kontrol edilmesi,
• Görevi değişen ya da işten ayrılan çalışanın yetkilerinin derhal kaldırılması.

Hastane, klinik, laboratuvar ve eczane gibi sağlık verisi işleyen yerlerde; çalışan sağlık raporlarını tutan insan kaynakları birimlerinde ya da parmak iziyle giriş kullanan işyerlerinde bu karar doğrudan önem taşır. Karardaki “düzenli olarak” ifadesine dikkat edin: bir kez yapılıp unutulan eğitim bu ifadeyle örtüşmez.

VERBİS kaydından muaf olan işletme eğitimi de atlayabilir mi?

Hayır; VERBİS istisnası yalnızca Veri Sorumluları Sicili'ne kayıt ve bildirim yükümlülüğünü kaldırır, 12. maddedeki veri güvenliği yükümlülüğünü kaldırmaz. Kanun'un 16. maddesi, kişisel veri işleyen gerçek ve tüzel kişilerin veri işlemeye başlamadan önce sicile kaydolmasını ister ve Kurul'a bu kayda istisna getirme yetkisi verir.

Kurum'un 1 Ekim 2025 tarihli duyurusuna göre çalışan sayısı ve bilanço eşiğine bağlı iki istisna şöyle:

• Yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'den az olup ana faaliyeti özel nitelikli kişisel veri işlemek olmayanlar,
• Ana faaliyeti özel nitelikli kişisel veri işlemek olsa da yıllık çalışan sayısı 10'dan az ve yıllık mali bilanço toplamı 10 milyon TL'den az olanlar.

Kurul bunların dışında farklı kararlarla bazı veri sorumlularını ve faaliyetleri de istisna tutmuştur ve eşikler yeni kararlarla değişebilir. Kendi durumunuzu Kurum'un sitesindeki güncel duyurulardan kontrol edin.

Kimler KVKK farkındalık eğitimi almalı?

Kişisel veriye dokunan herkes farkındalık eğitiminden yarar görür; rehber de rolü ne olursa olsun her çalışanın sorumluluğunun görev tanımında yazılmasını ister. Önceliği şu gruplara vermek mantıklıdır:

• Hasta kaydı, tahlil sonucu ya da reçete gibi sağlık verisiyle çalışanlar,
• Bordro, özlük dosyası ve işe alım süreçlerini yürüten insan kaynakları ekibi,
• Müşteri listesiyle kampanya hazırlayan pazarlama ve satış ekipleri,
• Telefonda kimlik ve adres bilgisi alan çağrı merkezi çalışanları,
• Sunucu, yedek ve erişim yetkilerini yöneten bilgi işlem ekibi,
• Müşteri kaydını kendi tutan küçük işletme sahipleri.

KVKK eğitimi sertifikası ne işe yarar?

KVKK eğitimi sertifikası, kanunun temel kurallarını öğrendiğinizi gösteren bir belgedir; işveren açısından da çalışanına eğitim verdiğini kayıt altına almanın yollarından biridir. Brodemy'deki KVKK eğitimi sertifika programı bir üniversitenin sürekli eğitim merkezi tarafından online yürütülür; tamamladığınızda üniversite onaylı sertifikanız e-Devlet'te görünür.

Bu belge sizi veri sorumlusu irtibat kişisi yapmaz ve hukuki danışmanlık yetkisi vermez. Size kazandırdığı şey, bir form hazırlanırken, müşteri listesi paylaşılırken ya da bir veri talebi geldiğinde neye dikkat edileceğini bilen kişi olmaktır. Şirketinizin hangi yükümlülüklere tabi olduğu işlediğiniz veriye ve faaliyetinize göre değişir; kendi durumunuz için bir hukukçuya danışın.

Kaynaklar

1. Mevzuat: 6698 sayılı Kişisel Verilerin Korunması Kanunu (mevzuat.gov.tr)
2. KVKK: Özel Nitelikli Kişisel Verilerin İşlenmesinde Alınması Gereken Yeterli Önlemler (Kurul'un 2018/10 sayılı kararı) (kvkk.gov.tr)
3. KVKK: Veri Güvenliğine İlişkin Yükümlülükler (kvkk.gov.tr)
4. KVKK: Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler), Nisan 2025 (kvkk.gov.tr)
5. KVKK: VERBİS kayıt yükümlülüğü istisna kriterine ilişkin kamuoyu duyurusu (1 Ekim 2025) (kvkk.gov.tr)