KVKK 2025 FAALİYET RAPORU
Kişisel Verileri Koruma Kurumu (“Kurum”) tarafından 2025 yılı Faaliyet Raporu (“Rapor”) yayımlanmıştır.Rapor’da; yurt dışına kişisel veri aktarımı, standart sözleşmeler, Veri Sorumluları Sicili (“VERBİS”) kayıt ve bildirim yükümlülüğü, ihbar ve şikâyet başvuruları, veri ihlali bildirimleri ile idari para cezalarına ilişkin dikkat çekici veriler yer almaktadır.
Yurt Dışına Veri Aktarım Taahhütnameleri
2025 yılında, Kişisel Verilerin Korunması Kanunu’nun (“Kanun” veya “KVKK”) 9’uncu maddesi kapsamında Kurum’a sunulan yurt dışına veri aktarım taahhütnamelerine ilişkin veriler incelendiğinde; toplam 90 taahhütname sunulduğu, bunlardan 89’unun incelemesinin tamamlandığı, 13’üne aktarıma izin verildiği, 76’sı bakımından ise aktarıma izin verilmediği görülmektedir.
2024 yılı Raporu’nda incelemesi tamamlanan 86 taahhütnameden yalnızca 10’una izin verildiği dikkate alındığında; 2025 yılında izin verilen taahhütname sayısında sınırlı bir artış olmakla birlikte, taahhütname mekanizmasının onay oranının hâlen oldukça düşük olduğu görülmektedir.
Standart Sözleşmelere İlişkin Bilgi ve Değerlendirmeler
2025 yılında, Kanun’un 9’uncu maddesinin dördüncü fıkrasının (c) bendi kapsamında Kurum’a sunulan standart sözleşme sayısı 2.497 olarak açıklanmıştır. 2024 yılı Raporu’nda bu sayının 1.364 olduğu dikkate alındığında, standart sözleşme bildirimlerinde önemli bir artış yaşandığı anlaşılmaktadır.
Ayrıca Rapor’da, Kurum’a intikal eden standart sözleşme bildirimleri hakkında yapılan değerlendirmeler sonucunda 70bildirim bakımından resen inceleme başlatıldığı, bu incelemelerden 21’inin sonuçlandırıldığı ve sonuçlandırılan incelemelerin 3’ü hakkında toplam 150.000 TL idari para cezası uygulandığı belirtilmiştir.
GRC LEGAL PERSPEKTİFİ
2025 yılı verileri, standart sözleşme mekanizmasının yurt dışına kişisel veri aktarımında veri sorumluları ve veri işleyenler tarafından yoğun şekilde tercih edilmeye başlandığını göstermektedir. Bununla birlikte, Kurum’un standart sözleşmeleri yalnızca şekli bir bildirim olarak değerlendirmediği; standart metinde değişiklik yapılması, geçerli imza eksikliği veya bildirim yükümlülüğünün gereği gibi yerine getirilmemesi gibi hususlarda re’sen inceleme başlatarak yaptırım uygulayabildiği anlaşılmaktadır.
Bu doğrultuda, standart sözleşme imzalanması tek başına yeterli görülmemeli; sözleşmenin doğru metin üzerinden kurulması, imzaların eksiksiz olması, Kurum’a süresinde bildirim yapılması ve aktarım faaliyetine ilişkin veri envanteri/aydınlatma metni/veri işleme süreçlerinin de bu aktarımı destekleyecek şekilde güncellenmesi gerekmektedir.
VERBİS Kayıt ve Bildirim Yükümlülüğü
Rapor’da, VERBİS’e kayıt ve bildirim yükümlülüğünün yerine getirilmesi için veri sorumlularına tanınan sürenin 31 Aralık 2021 tarihinde sona erdiği; ancak sistemin hâlen erişim, başvuru ve bildirim düzenlemesine açık olduğu belirtilmiştir. Ayrıca, sonradan kayıt yükümlüsü hâline gelen veri sorumlularının, Veri Sorumluları Sicili Hakkında Yönetmelik’in 8’inci maddesi uyarınca yükümlülük altına girmelerini müteakip 30 gün içinde Sicil’e kaydolmaları gerektiği ifade edilmiştir.
2025 yılı itibarıyla VERBİS nezdindeki göstergeler incelendiğinde; 249.474 VERBİS başvurusu, 9.558 başvuru güncelleme işlemi ve 96.731 başvurularla ilgili telefon görüşmesi bulunduğu görülmektedir. Başvuruların 202.507’si onaylanmış, 8.310’u reddedilmiş, 38.657’sinin ise değerlendirmesi devam etmektedir.
Bunun yanında, 2025 yılında Sicil’e kayıt yükümlülüğünü süresinde yerine getirmeyen 594 veri sorumlusu hakkında toplam 216.860.000 TL idari para cezası uygulanmıştır.
GRC LEGAL PERSPEKTİFİ
2025 yılı verileri, VERBİS yükümlülüklerine ilişkin uyum eksikliklerinin devam ettiğini göstermektedir. Özellikle süresinde kayıt yaptırmayan 594 veri sorumlusu hakkında toplam 216.860.000 TL idari para cezası uygulanmış olması, Kurul’un denetim ve yaptırım yaklaşımını sürdürdüğünü ortaya koymaktadır.
Bu doğrultuda, Kurum’un internet sitesinde konuya ilişkin yeni bir bildirim veya duyuru yayımlanmamış olmasına rağmen, VERBİS yükümlülüklerine yönelik denetim ve yaptırım faaliyetlerinin aktif şekilde sürdürüldüğü anlaşılmaktadır. Özellikle kayıt yükümlülüğünü süresinde yerine getirmeyen veri sorumluları hakkında uygulanan idari para cezaları, VERBİS süreçlerinin Kurul tarafından yakından takip edildiğini göstermektedir.
İhbar ve Şikâyetlere İlişkin Veriler
2025 yılında Kurum’a toplam 12.512 ihbar ve şikâyet intikal etmiştir. Başvuruların 9.315’i CİMER, 2.058’i e-şikâyet modülü, 1.139’u ise posta yoluyla yapılmıştır. Buna göre başvuruların %75’i CİMER, %16’sı e-şikâyet modülü ve%9’u posta aracılığıyla Kurum’a iletilmiştir.
Sektörel dağılım incelendiğinde, en yüksek başvuru adedinin 1.691 başvuru ile hizmet sektörüne ait olduğu; hizmet sektörünü medya, bankacılık ve finans, kamu, telekomünikasyon, hukuk hizmetleri ve ticaret sektörlerinin takip ettiği görülmektedir.
Konu bazlı dağılımda ise başvuruların aşağıdaki tablo şeklinde gerçekleştiği görülmektedir.
Başvuru Konusu | Başvuru Sayısı | Başvuru Oranı |
Kişisel verilerin hukuka aykırı olarak işlenmesi | 6.506 | %52 |
Kişisel verilerin üçüncü kişilerle hukuka aykırı paylaşılması | 2.838 | %22 |
İzinsiz SMS / arama | 1.394 | %11 |
İlgili kişi taleplerinin yerine getirilmemesi | 689 | %6 |
Veri sorumlusu tarafından verilerin silinmemesi, yok edilmemesi veya anonim hale getirilmemesi | 551 | %4 |
Kişisel verilerin hukuka aykırı yurt dışına aktarılması | 105 | %1 |
Aydınlatma yükümlülüğünün yerine getirilmemesi | 60 | %1 |
Unutulma hakkı kapsamındaki talepler | 53 | %1 |
Standart sözleşmelere ilişkin ihbar ve şikâyet dışı resen incelemeler | 70 | %1 |
Diğer | 246 | %1 |
TOPLAM | 12.512 | %100 |
GRC LEGAL PERSPEKTİFİ
2024 yılında Kurum’a iletilen başvuru sayısı 8.275 iken, 2025 yılında bu sayı 12.512’ye yükselmiştir. Bu artış, ilgili kişilerin kişisel verilerin korunması alanındaki farkındalığının arttığını ve veri işleme süreçlerine ilişkin şikâyet mekanizmalarının daha yoğun kullanıldığını göstermektedir.
Dikkat çekici bir diğer husus ise, “kişisel verilerin hukuka aykırı olarak üçüncü kişilerle paylaşılması” başlığındaki artıştır. 2024 yılında 1.389 olan bu başvuru sayısı, 2025 yılında 2.838’e yükselmiştir. Bu durum, veri aktarımı süreçlerinin; grup şirketleriyle paylaşım, tedarikçilerle paylaşım, platform sağlayıcılarıyla paylaşım ve yurt dışına aktarım başlıklarıyla birlikte daha sıkı bir incelemeye konu olabileceğini göstermektedir.
Buna karşılık, izinsiz SMS ve arama başvurularının 2024 yılına kıyasla azaldığı görülmektedir. Ancak bu başlık, 2025 yılında da en çok başvuru yapılan üçüncü konu olmayı sürdürmektedir. Bu nedenle ticari elektronik ileti süreçlerinde açık rıza, ileti yönetim sistemi kayıtları, ret hakkı ve pazarlama amaçlı veri işleme faaliyetlerinin ayrı şekilde kurgulanması önemini korumaktadır.
Başvuruların Sonuçlandırılma Durumu
2025 yılında Kurum’a iletilen 12.512 ihbar ve şikâyete ek olarak, geçmiş yıllardan devrolan 3.066 dosya ile birlikte toplam 15.578 dilekçe hakkında inceleme süreci yürütülmüştür. Bu dilekçelerin 13.456’sı sonuçlandırılmış, 2.122’si bakımından ise değerlendirme süreci devam etmiştir.
Sonuçlandırılan başvuruların 9.183’ü usul şartlarını taşımadığı, 3.384’ü Kanun kapsamı dışında kaldığı, 667’si Kanun’a aykırılık bulunmadığı gerekçesiyle sonuçlandırılmış; 140 başvuru bakımından idari para cezası uygulanmış, 82 başvuru bakımından ise veri sorumlusu talimatlandırılmıştır.
GRC LEGAL PERSPEKTİFİ
Rapor’da yer alan sonuçlandırma verileri, Kurum’a yapılan başvuruların önemli bir kısmının usul şartlarını taşımadığı veya Kanun kapsamı dışında kaldığı gerekçesiyle reddedildiğini göstermektedir. Bu durum, ilgili kişi başvurularının doğru usulle yapılmasının önemini ortaya koyduğu gibi, veri sorumluları bakımından da başvuru cevap süreçlerinin dikkatle yönetilmesi gerektiğini göstermektedir.
Veri sorumlularının ilgili kişi başvurularına süresi içinde, açık, gerekçeli ve Kanun’un 11’inci maddesinde yer alan hakları karşılayacak şekilde cevap vermesi; yalnızca şikâyet riskini azaltmakla kalmayıp, Kurum nezdinde yürütülebilecek incelemelerde de veri sorumlusunun uyum seviyesini gösterecek önemli bir unsur olarak değerlendirilmektedir.
Başvuruların Sonuçlandırılma Durumu
2025 yılı içerisinde Kurum’a 328 veri ihlali bildirimi yapılmıştır. 2024 yılında bu sayının 289 olduğu dikkate alındığında, veri ihlali bildirimlerinde artış yaşandığı görülmektedir. 2025 yılında gelen veri ihlali bildirimlerinin 296’sı yurt içi, 32’si ise yurt dışı kaynaklı dosya olarak sınıflandırılmıştır.
Rapor’da ayrıca, veri ihlali bildirimlerinde veri sorumlusunun ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurul’a bildirimde bulunması gerektiği; ihlalden etkilenen kişilerin belirlenmesini müteakip ilgili kişilere de makul olan en kısa süre içinde bildirim yapılması gerektiği hatırlatılmıştır.
GRC LEGAL PERSPEKTİFİ
Veri ihlali bildirimlerindeki artış, veri güvenliği risklerinin uygulamada önemini koruduğunu göstermektedir. 2025 yılında veri ihlali bildirimlerine ilişkin uygulanan idari para cezası tutarı 90.358.500 TL olarak açıklanmış olup, bu kalem 2024 yılına kıyasla sınırlı da olsa artış göstermiştir.
Bu kapsamda şirketlerin yalnızca teknik güvenlik tedbirlerine odaklanması yeterli olmayıp olası bir ihlal hâlinde ihlalin tespiti, iç müdahale, Kurul’a bildirim, ilgili kişilere bildirim, olay müdahale kayıtlarının tutulması ve kök neden analizinin yapılması gibi süreçlerin önceden belirlenmiş bir veri ihlali müdahale prosedürü çerçevesinde yürütülmesi gerekmektedir.
İdari Para Cezaları
2025 yılında Kurul tarafından 140’ı ihbar ve şikâyetler, 142’si veri ihlali bildirimi ve 594’ü VERBİS kayıt ve bildirim yükümlülüğü kapsamında olmak üzere toplam 876 veri sorumlusu hakkında idari para cezası uygulanmıştır. Toplam idari para cezası tutarı 352.510.494 TL olarak açıklanmıştır.
| 2019 | 2020 | 2021 | 2022 | 2023 | 2024 | 2025 | ||||||
Şikayet ve İhbarlara İlişkin Uygulanan İdari Para Cezaları | 1.905.000 TL | 11.497.000 TL | 16.351.000 TL | 20.738.000 TL | 50.917.000TL | 41.907.101 TL | 45.291.994 TL | ||||||
Veri İhlal Bildirimlerine İlişkin Uygulanan İdari Para Cezaları | 11.200.828 TL | 9.893.000 TL | 15.395.000 TL | 34.955.000 TL | 39.455.000TL | 88.384.000TL | 90.358.500 TL | ||||||
VERBİS Kayıt ve Bildirim Yükümlülüğüne Aykırı Hareket | – | – | – | 29.790.000 TL | 150.710.000TL | 421.897.000 TL | 216.860.000 TL | ||||||
TOPLAM | 13.105.828 TL | 21.390.000 TL | 31.746.000 TL | 85.483.000 TL | 241.082.000 TL | 552.188.101 TL | 352.510.494 TL | ||||||
2024 yılında toplam idari para cezası tutarının 551.139.817 TL olduğu dikkate alındığında, 2025 yılında toplam ceza tutarında düşüş yaşandığı görülmektedir. Ancak VERBİS yükümlülükleri, 2025 yılında da toplam idari para cezası içinde en yüksek paya sahip kalem olmayı sürdürmüştür.
Genel Değerlendirme
2025 yılı Faaliyet Raporu, Kurum’un üç ana eksende yoğunlaştığını göstermektedir: yurt dışına veri aktarımı süreçlerinin denetlenmesi, VERBİS kayıt ve bildirim yükümlülüklerinin takibi ve veri güvenliği/veri ihlali bildirimleri kapsamında yaptırım uygulamasıdır.
Özellikle standart sözleşme bildirimlerindeki artış, 2024 yılında yürürlüğe giren KVKK reformunun uygulamaya daha aktif şekilde yansıdığını göstermektedir. Bununla birlikte, standart sözleşmelerin hatalı kullanımı veya bildirim yükümlülüğüne aykırılık hâlinde idari yaptırım uygulanabilmesi, şirketlerin yurt dışına aktarım süreçlerini yalnızca sözleşme imzalama aşamasıyla sınırlı görmemesi gerektiğini ortaya koymaktadır.
2025 yılı itibarıyla Kurum’un denetim ve yaptırım pratiğinde VERBİS, veri ihlali bildirimleri, hukuka aykırı veri paylaşımı ve ilgili kişi başvurularına cevap süreçleri öne çıkan risk alanları olarak değerlendirilmektedir. Bu nedenle veri sorumlularının KVKK uyum süreçlerini statik bir dokümantasyon çalışması olarak değil; güncel, izlenebilir ve düzenli olarak revize edilen bir uyum programı olarak ele alması önem taşımaktadır.