KVKK Nedir? Web Siteleri ve Üniversiteler İçin KVKK Uyumu Rehberi

KVKK, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun kısaltmasıdır. Kişisel veriler işlenirken özel hayatın gizliliğini ve kişilerin temel hak ve özgürlüklerini korumayı amaçlar. Şirketlerin, kamu kurumlarının ve kişisel veri işleyen diğer kişi ve kuruluşların uyması gereken kuralları belirler.

Bir web sitesindeki iletişim formu, bir mağazanın sadakat kartı ve bir üniversitenin öğrenci kayıt sistemi kişisel veri işleme faaliyetlerine örnektir. Bu rehberde KVKK'nın temel kavramlarını, aydınlatma ve açık rıza arasındaki farkı, 2026 ceza tutarlarını ve web siteleri ile üniversiteler için uygulanabilecek uyum adımlarını bulabilirsiniz.

KVKK ne demek? Açılımı ve yasal dayanağı

KVKK'nın açılımı Kişisel Verilerin Korunması Kanunudur. 24 Mart 2016'da kabul edilen 6698 sayılı Kanun, 7 Nisan 2016 tarihli Resmî Gazete'de yayımlandı. Hükümleri farklı yürürlük tarihleriyle uygulanmaya başladı.

Kanun, kişisel verilerin korunmasına ilişkin genel çerçeveyi oluşturur. Sağlık, bankacılık ve elektronik haberleşme gibi alanlardaki özel düzenlemeler de ilgili faaliyetlerde dikkate alınır. Uygulamanın ayrıntıları yönetmelikler, tebliğler ve Kurul kararlarıyla şekillenir.

Kanun, Kurum ve Kurul arasındaki fark

Günlük kullanımda KVKK kısaltması hem kanunu hem de kurumu ifade edebilir. Ancak bu üç kavram farklıdır:

• Kanun: Kişisel verilerin işlenmesine ilişkin hakları, yükümlülükleri ve yaptırımları düzenleyen 6698 sayılı metindir.
• Kurum: Kişisel Verileri Koruma Kurumu, bu alandaki denetim ve düzenleme görevlerini yürütür.
• Kurul: Kişisel Verileri Koruma Kurulu, Kurumun karar organıdır; şikâyetleri inceler ve görev alanındaki kararları alır.

KVKK'nın amacı ve kapsamı

KVKK, kimliği belirli veya belirlenebilir gerçek kişilere ait bilgileri korur. Bir şirketin ticaret unvanı, yalnızca tüzel kişiyi tanımlıyorsa kişisel veri değildir. Buna karşılık bir çalışanın adını içeren kurumsal e-posta adresi kişisel veri niteliği taşıyabilir.

Kanun; verileri tamamen veya kısmen otomatik yollarla işleyenleri, ayrıca bir veri kayıt sisteminin parçası olmak şartıyla otomatik olmayan yöntemlerle işleyenleri kapsar. Dolayısıyla düzenli tutulan fiziksel personel dosyaları da kapsamda olabilir. Yükümlülükler hem kamu kurumları hem de özel sektör için geçerlidir.

Kanunun 28. maddesinde belirli istisnalar bulunur. Ancak bir faaliyetin aile içi kullanım, araştırma veya bilimsel çalışma olarak adlandırılması tek başına istisna sağlamaz. İlgili hükümdeki koşulların ayrıca karşılanması gerekir.

KVKK'da temel kavramlar

Özel nitelikli kişisel veriler; ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili bilgiler ile biyometrik ve genetik verilerdir. Telefon numarası veya banka hesap bilgisi bu listede bulunmasa da kişisel veri olarak korunur.

Bir tablodan yalnızca ad ve soyadı silmek, veriyi mutlaka anonim hâle getirmez. Kalan bilgiler veya başka kayıtlarla eşleştirme yoluyla kişi belirlenebiliyorsa kişisel veri işlenmeye devam eder.

Kişisel veri işlemenin genel ilkeleri

Veri işleme faaliyetinin geçerli bir hukuki sebebe dayanması yeterli değildir. KVKK'nın 4. maddesindeki ilkeler de gözetilmelidir:

• İşlemler hukuka ve dürüstlük kurallarına uygun yürütülmelidir.
• Veriler doğru tutulmalı, gerektiğinde güncellenmelidir.
• İşleme amacı belirli, açık ve meşru olmalıdır.
• Toplanan veri, amaçla ilgili ve gerekli olanla sınırlı tutulmalıdır.
• Veriler, mevzuatın öngördüğü veya işleme amacının gerektirdiği süreden uzun saklanmamalıdır.

Örneğin yalnızca e-posta bülteni göndermek için T.C. kimlik numarası istemek, veri minimizasyonuyla bağdaşmaz. Açık rıza alınması da gereksiz veri toplamayı kendiliğinden hukuka uygun hâle getirmez.

Kişisel veriler hangi şartlarda işlenebilir?

Özel nitelikli olmayan kişisel veriler için işleme şartları Kanunun 5. maddesinde düzenlenir. Açık rızanın yanı sıra aşağıdaki şartlardan biri de işleme dayanak olabilir:

• İşlemenin kanunlarda açıkça öngörülmesi.
• Rızasını fiilen açıklayamayan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da başka bir kişinin hayatını veya beden bütünlüğünü korumak için işlemenin zorunlu olması.
• Bir sözleşmenin kurulması veya yerine getirilmesiyle doğrudan bağlantılı olarak, sözleşmenin taraflarına ait verilerin işlenmesinin zorunlu olması.
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için işlemenin zorunlu olması.
• Verinin ilgili kişi tarafından alenileştirilmiş olması; kullanımın da alenileştirme amacıyla uyumlu bulunması.
• Bir hakkın oluşturulması, kullanılması veya korunması için veri işlemenin zorunlu olması.
• Kişinin temel hak ve özgürlüklerine zarar vermeden, veri sorumlusunun meşru menfaati için işlemenin zorunlu olması.

Açık rıza tek hukuki sebep değildir

Her işlem için genel bir “KVKK onayı” istenmesi doğru değildir. Örneğin teslimat adresinin siparişi ulaştırmak için kullanılması sözleşmeye, çalışanın SGK bildirimi ise hukuki yükümlülüğe dayanabilir. Bu işlemler için ayrıca açık rıza istenmemelidir.

Rızaya dayanan bir işlemde ise kişinin neye onay verdiğini anlaması ve gerçek bir seçim yapabilmesi gerekir. Rıza geri alındığında, o rızaya dayanılarak sürdürülen işleme son verilmelidir. Ayrı bir hukuki sebebe dayanan zorunlu işlemler, yalnızca kendi amaç ve kapsamları içinde devam edebilir.

Özel nitelikli kişisel veriler ve 2024 değişikliği

1 Haziran 2024'te yürürlüğe giren değişiklikle özel nitelikli kişisel verilerin işlenme şartları yeniden düzenlendi. Önceki sağlık verisi ve diğer özel nitelikli veri ayrımının yerine, Kanunun 6. maddesinde ortak bir şart listesi getirildi.

Açık rıza, kanunda açıkça düzenlenmiş işlemler, bir hakkın korunması için zorunluluk ve istihdam, iş sağlığı ve güvenliği veya sosyal güvenlik alanındaki hukuki yükümlülükler bu şartlara örnektir. Her şartın kendi sınırları bulunur. Sağlık hizmetlerine ilişkin işleme şartı da belirlenen amaçlarla ve sır saklama yükümlülüğü altındaki kişiler veya yetkili kurum ve kuruluşlar bakımından uygulanır.

Bu verileri işleyenler, Kurulun belirlediği yeterli önlemleri de almak zorundadır. Erişim yetkilerinin sınırlandırılması, uygun şifreleme yöntemleri, güvenli işlem kayıtları ve ilgili çalışanların düzenli eğitimi bu önlemler arasındadır.

KVKK aydınlatma metni ve açık rıza arasındaki fark

KVKK aydınlatma metni, kişiye verilerinin nasıl işleneceğini açıklamak için hazırlanır. Açık rıza metni ise rızaya dayanan bir işlem için onay alınmasını sağlar. Aydınlatma, açık rıza alınsa da başka bir hukuki sebebe dayanılarak veri işlense de yerine getirilmesi gereken ayrı bir yükümlülüktür; Kanundaki istisnalar saklıdır.

Aydınlatma kapsamında şu bilgiler verilmelidir:

• Veri sorumlusunun ve varsa temsilcisinin kimliği.
• Kişisel verilerin işlenme amaçları.
• Verilerin hangi alıcılara, hangi amaçlarla aktarılabileceği.
• Verilerin toplanma yöntemi ve işlemenin hukuki sebebi.
• İlgili kişinin Kanunun 11. maddesindeki hakları.

Kurulun 18 Şubat 2026 tarihli ve 2026/347 sayılı ilke kararı, aydınlatma ile açık rızanın ayrı düzenlenmesini vurgular. İki metin aynı sayfada bulunabilir; ancak farklı başlıklar altında sunulmalı ve birbirinden ayrı beyanlarla ele alınmalıdır. “Aydınlatma metnini onaylıyorum” yerine, gerekiyorsa yalnızca okunduğunu ve bilgi edinildiğini belirten bir geri bildirim kullanılmalıdır.

KVKK kapsamında ilgili kişinin hakları

Kanunun 11. maddesi, kişisel verisi işlenen kişiye şu hakları tanır:

• Verisinin işlenip işlenmediğini öğrenmek ve işlenmişse bilgi istemek.
• İşleme amacını ve verinin bu amaca uygun kullanılıp kullanılmadığını öğrenmek.
• Verinin yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilmek.
• Eksik veya yanlış verilerin düzeltilmesini istemek.
• Kanundaki şartlar oluştuğunda verilerin silinmesini veya yok edilmesini istemek.
• Düzeltme ve silme işlemlerinin verinin aktarıldığı üçüncü kişilere bildirilmesini istemek.
• Yalnızca otomatik analizle ortaya çıkan ve kendi aleyhine olan bir sonuca itiraz etmek.
• Hukuka aykırı işleme nedeniyle uğradığı zararın giderilmesini talep etmek.

Veri sorumlusuna başvuru ve Kurula şikâyet

İlgili kişi önce veri sorumlusuna başvurur. Veri sorumlusu, talebi niteliğine göre en kısa sürede ve en geç 30 gün içinde sonuçlandırır. İşlem kural olarak ücretsizdir.

Başvuru reddedilir veya cevap yetersiz bulunursa, cevabın öğrenilmesinden itibaren 30 gün içinde ve her durumda ilk başvuru tarihinden itibaren 60 gün dolmadan Kurula şikâyet edilebilir. İlk 30 günde cevap verilmezse, başvuru tarihinden itibaren 60 günlük süre içinde şikâyet yolu kullanılabilir. Geç gelen cevap bu 60 günlük üst sınırı uzatmaz. Şikâyet için öncelikle veri sorumlusuna başvuru yolunun tüketilmesi gerekir.

Veri sorumlusunun KVKK yükümlülükleri

Aydınlatma ve ilgili kişi başvurularını cevaplama yükümlülüklerinin yanında veri güvenliği, sicil kaydı, saklama ve imha ile veri aktarımı süreçleri de yönetilmelidir.

Veri güvenliği ve 72 saatlik ihlal bildirimi

Veri sorumlusu, hukuka aykırı işlemeyi ve erişimi önlemek, verileri güvenli biçimde muhafaza etmek için gerekli teknik ve idari tedbirleri alır. Veriler kendi adına bir hizmet sağlayıcı tarafından işleniyorsa, güvenlik tedbirleri bakımından veri işleyenle birlikte sorumluluğu bulunur. Yetkilendirme, güncel yazılım, yedekleme, şifreleme ve çalışan farkındalığı bu tedbirlerin örnekleridir.

İşlenen kişisel verilerin hukuka aykırı yollarla başkaları tarafından elde edildiği öğrenilirse bildirim süreci başlatılmalıdır. Kurulun 2019/10 sayılı kararına göre Kurula bildirim, ihlalin öğrenilmesinden itibaren gecikmeden ve en geç 72 saat içinde yapılır. İhlalden etkilenen kişiler belirlendiğinde, bu kişilere de makul olan en kısa sürede bilgi verilmelidir. Kurula bildirim süresi ile kişilere bildirim kuralı aynı değildir.

VERBİS kaydı: Kimler yükümlü, kimler istisna kapsamında?

VERBİS, Veri Sorumluları Sicil Bilgi Sistemi'dir. Kayıtla yükümlü veri sorumluları, işledikleri veri kategorileri, amaçları, alıcı grupları, saklama süreleri ve güvenlik tedbirleri gibi bilgileri sisteme bildirir. Kişilerin kayıtları tek tek VERBİS'e yüklenmez.

Kurulun büyüklük ölçütlerine dayanan başlıca kayıt istisnaları şöyledir:

• Ana faaliyeti özel nitelikli kişisel veri işleme olmayan, yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'den az olan veri sorumluları.
• Ana faaliyeti özel nitelikli kişisel veri işleme olan, yıllık çalışan sayısı 10'dan az ve yıllık mali bilanço toplamı 10 milyon TL'den az olan veri sorumluları. Bu istisna 2025/1572 sayılı kararla düzenlenmiştir.

Bilanço esasına göre defter tutmayanlar bakımından, ilgili gruba ait çalışan sayısı ölçütü esas alınır. Bunların dışında Kurulun farklı faaliyetler için belirlediği istisnalar da vardır. Kamu kurum ve kuruluşlarının kayıt yükümlülüğü ayrıca değerlendirilir; devlet üniversiteleri de kayıtla yükümlüdür.

VERBİS kaydından istisna olmak, KVKK'dan muaf olmak anlamına gelmez. Aydınlatma, hukuka uygun işleme, veri güvenliği ve diğer yükümlülükler devam eder.

Saklama, silme ve imha

Verilerin işlenmesini haklı kılan şartların tamamı ortadan kalktığında veriler silinmeli, yok edilmeli veya anonim hâle getirilmelidir. Saklama süreleri veri kategorisine, işleme amacına ve ilgili mevzuata göre belirlenir. Her kişisel veri için geçerli tek bir saklama süresi yoktur.

VERBİS'e kayıtla yükümlü veri sorumluları, kişisel veri saklama ve imha politikası hazırlamalıdır. Politikası bulunan veri sorumlusu, imha yükümlülüğü doğduktan sonraki ilk periyodik imhada gerekli işlemi yapar; periyodik imha aralığı altı ayı aşamaz. Politika hazırlama yükümlülüğü bulunmayanlar ise imha yükümlülüğünün doğmasını izleyen üç ay içinde işlem yapar.

İlgili kişinin silme veya yok etme talebinde, şartların oluşup oluşmadığı değerlendirilir ve talep en geç 30 gün içinde sonuçlandırılır. Altı aylık periyodik imha aralığı, tüm verilerin altı ay saklanacağı veya başvuruların bu süre boyunca bekletilebileceği anlamına gelmez.

Yurt dışına veri aktarımı

2024'te değişen aktarım sistemi üç temel yol öngörür:

1. Yeterlilik kararı: İlgili ülke, ülke içindeki sektör veya uluslararası kuruluş hakkında yeterlilik kararı bulunması ve uygun veri işleme şartının karşılanması.
2. Uygun güvenceler: Yeterlilik kararı yoksa, kanundaki diğer koşullarla birlikte standart sözleşme, onaylanmış bağlayıcı şirket kuralları veya Kurul iznine dayanan taahhüt gibi güvencelerden yararlanılması.
3. Arızi aktarım: İlk iki yolun sağlanamadığı durumlarda, yalnızca kanunda sayılan istisnai şartlarla ve düzenli olmayan aktarımlar için kullanılabilen yol.

Uygun güvencelere dayanan aktarımlarda da geçerli bir veri işleme şartı bulunmalı; ilgili kişinin haklarını kullanabilmesi ve etkili hukuki yollara başvurabilmesi mümkün olmalıdır. Standart sözleşmenin imzaları tamamlandıktan sonra beş iş günü içinde Kuruma bildirilmesi gerekir.

Yurt dışındaki bulut, e-posta veya analitik hizmetleri bu kapsamda değerlendirilmelidir. Sunucunun konumuna ek olarak yurt dışından erişim, alt hizmet sağlayıcılar ve verinin izlediği yol da incelenmelidir. Sağlayıcıyla sıradan bir hizmet sözleşmesi yapılması, aktarım şartlarını tek başına karşılamaz.

KVKK cezaları 2026: İdari para cezası tutarları

KVKK kapsamındaki idari para cezaları yıllık olarak güncellenir. Kurumun yayımladığı resmî tabloya göre 2026 yılında uygulanacak alt ve üst sınırlar şöyledir:

İlk dört satırdaki idari para cezaları, gerçek kişi veri sorumluları ve özel hukuk tüzel kişileri için düzenlenmiştir. Standart sözleşmenin bildirimine ilişkin yaptırım ise veri sorumlularını veya veri işleyenleri kapsayabilir.

Kanunun 18. maddesinin ilk dört bendindeki ihlallerin kamu kurumlarında gerçekleşmesi hâlinde, Kurulun bildirimi üzerine sorumlu kamu görevlileri hakkında disiplin hükümleri uygulanır. Bu düzenleme, kamu kurumlarının veri koruma yükümlülüklerini ortadan kaldırmaz.

Kurulun idari para cezalarına karşı idare mahkemelerinde dava açılabilir. Ayrıca kişisel verilerin hukuka aykırı kaydedilmesi, paylaşılması veya gerekli şartlarda yok edilmemesi, somut olayın koşullarına göre Türk Ceza Kanunu kapsamında cezai sorumluluk doğurabilir.

KVKK ile GDPR arasındaki farklar

GDPR, Avrupa Birliği'nin 25 Mayıs 2018'den itibaren uygulanan Genel Veri Koruma Tüzüğü'dür. KVKK ile ortak ilkeleri bulunsa da iki düzenlemenin kapsamı, hakları ve yükümlülükleri birebir aynı değildir.

Türkiye'deki bir kurum, faaliyetlerine göre GDPR kapsamına da girebilir. AB'deki bir yerleşkenin faaliyetleriyle bağlantılı veri işleme, AB'de bulunan kişilere mal veya hizmet sunmayı hedefleme ya da bu kişilerin AB içindeki davranışlarını izleme buna örnektir. Bir üniversitenin yabancı veya AB vatandaşı öğrenci kabul etmesi, tek başına GDPR'ın uygulanacağı anlamına gelmez. Somut faaliyetin kapsamı değerlendirilmelidir.

Web sitelerinde KVKK uyumu: Adım adım kontrol listesi

İletişim formları, aday başvuruları, kullanıcı hesapları ve çerezler web sitesinin veri işleme noktalarıdır. Uyum çalışması, sitede hangi verilerin toplandığını ve hangi hizmetlere aktarıldığını belirlemekle başlamalıdır.

Gizlilik politikası nedir, aydınlatma metninin yerini tutar mı?

Gizlilik politikası, bir kurumun kişisel verileri nasıl ele aldığını açıklayan metindir. Ancak bu başlığın kullanılması, aydınlatma yükümlülüğünün yerine getirildiğini tek başına göstermez. Metnin gerekli bilgileri içermesi, gerçek veri işleme faaliyetleriyle örtüşmesi ve uygun zamanda sunulması gerekir.

• Formun amacına uygun aydınlatma bilgilerini, kullanıcı verisini paylaşmadan önce erişilebilir biçimde sunun.
• Yalnızca sayfa altına genel bir bağlantı eklemekle yetinmeyin; ilgili formun yanında açıklama veya bağlantı bulundurun.
• Hangi verinin neden işlendiğini, hukuki sebebini ve aktarım yapılan alıcı gruplarını açıkça belirtin.
• Hakların kullanılması için başvuru yöntemlerini ve iletişim bilgilerini gösterin.

Formlarda açık rıza

• Yalnızca formun amacı için gerekli alanları zorunlu yapın.
• Rızaya dayanan ek işlemler için ayrı ve önceden işaretlenmemiş seçenekler sunun.
• İletişim veya başvuru formunun gönderilmesini, hizmet için gerekli olmayan pazarlama rızasına bağlamayın.
• Onayın hangi açıklama ve amaç için, ne zaman verildiğini gösterebilecek kayıtları uygun sürelerle saklayın.
• Ticari elektronik iletiler için 6563 sayılı Kanun kapsamındaki onay ve istisnaları ayrıca değerlendirin.

Formun konusu doğrudan rızaya dayanan bir işlemse, rıza verilmediğinde o işlem gerçekleştirilemez. Örneğin bülten aboneliği ile üniversiteye gönderilen genel bir bilgi talebi aynı kurallarla tasarlanmamalıdır.

Çerez onayı

Kurumun Temmuz 2025 tarihli Çerez Uygulamaları Hakkında Rehberi, çerezleri kullanım amacına göre değerlendirir. Talep edilen hizmet için kesinlikle gerekli çerezlerle davranışsal reklam çerezleri aynı kategoride değildir. Birinci taraf analitik çerezler için de amaç, çapraz takip ve veri paylaşımı gibi koşullar incelenmelidir; her analitik araç otomatik olarak rızadan muaf değildir.

• Rıza gerektiren çerezleri kullanıcı onay verene kadar çalıştırmayın.
• Bu çerezlere ait seçenekleri başlangıçta kapalı tutun.
• Kabul, ret ve tercih seçeneklerini benzer görünürlükte ve kolay erişilebilir biçimde sunun.
• Farklı amaçlar için ayrı tercihler yapılabilmesini sağlayın.
• Kullanıcının tercihini değiştirmesini ve rızasını geri almasını kolaylaştırın.
• Çerezin amacı, süresi ve taraf bilgisi gibi açıklamaları çerez aydınlatma metninde belirtin.

Siteyi ziyaret etmek veya bir bildirimi kapatmak tek başına açık rıza değildir. İçeriğe erişimi tüm çerezlerin kabulüne bağlayan çerez duvarları da kişinin özgür seçim yapmasını engelleyebilir. Teknik uygulama, panelde verilen tercihe gerçekten uymalıdır.

Teknik tedbirler ve yurt dışındaki hizmetler

• HTTPS kullanın; yönetim panelindeki erişimleri görevlerle sınırlandırın ve uygun hesaplarda çok faktörlü kimlik doğrulamayı etkinleştirin.
• Drupal çekirdeğini, modülleri ve sunucu yazılımlarını güvenlik güncellemeleriyle destekleyin.
• Form kayıtları ve kullanıcı verileri için saklama sürelerini ve uygulanabilir imha işlemlerini tanımlayın.
• Hizmet sağlayıcıların rollerini, erişimlerini ve veri güvenliği sorumluluklarını sözleşmelerde açıkça düzenleyin.
• Yurt dışındaki hizmetler ve uzaktan erişimler için aktarım koşullarını kontrol edin.
• İhlal durumunda görev dağılımını ve bildirim sürecini belirleyen bir müdahale planı hazırlayın.

Drupal tarafındaki yapılandırma başlıkları için Drupal'da KVKK ve GDPR uyumu yazısına da bakabilirsiniz. Bir modülün kurulması veya çerez panelinin eklenmesi, kurumun tüm veri işleme faaliyetlerinin uyumlu olduğu anlamına gelmez.

Üniversitelerde KVKK uyumu: Öğrenci, aday ve akademisyen verisi

Üniversiteler; aday öğrencilerin iletişim bilgilerini, öğrencilerin not ve devam kayıtlarını, burs başvurularını, mezun bilgilerini ve personel dosyalarını işler. Sağlık raporları ve kimlik doğrulamada kullanılan biyometrik veriler ise özel nitelikli kişisel veri kapsamında ayrıca değerlendirilir.

Devlet üniversitelerinin kamu kurumu olması, aydınlatma ve veri güvenliği yükümlülüklerini ortadan kaldırmaz. Veri koruma süreçleri; öğrenci işleri, insan kaynakları, bilgi işlem ve web içerik ekiplerinin görevleriyle birlikte ele alınmalıdır.

2026 tarihli şu Kurul kararları üniversiteler açısından özellikle önemlidir:

• 2026/1301: Kamu tüzel kişilerinin internette kişisel veri paylaşımına ilişkindir. İlanlarda yalnızca gerekli veriler kullanılmalı, yayın süreleri belirlenmeli ve sınav sonuçlarında mümkün olduğunca kişinin yalnızca kendi sonucuna erişebileceği güvenli yöntemler tercih edilmelidir.
• 2026/921: Yalnızca mesai takibi amacıyla biyometrik veri işlenmesini ele alır. Bu amaçla parmak izi veya yüz tanıma kullanımı, açık rıza bulunsa bile ölçülülük şartını sağlamaz. Farklı amaçlara dayanan biyometrik uygulamalar ayrıca değerlendirilir.
• 2026/2035: Kurumsal e-posta ve iş iletişim kanallarının denetimine ilişkindir. Hesabın kuruma ait olması sınırsız denetim yetkisi vermez; hukuki sebep, bilgilendirme ve ölçülülük şartları gözetilmelidir.

Üniversite web sitesinde özellikle şu üç alan kontrol edilmelidir:

• Aday öğrenci formları: İlk bilgi talebi aşamasında yalnızca gerekli bilgiler alınmalı; tanıtım iletilerine ilişkin tercihler başvuru işleminden ayrılmalıdır.
• Akademisyen profilleri: Yayımlanan bilgiler görev ve amaçla ilişkili tutulmalıdır. Kişisel cep telefonu gibi bilgiler, yayımlanmasının hukuki dayanağı ve gerekliliği değerlendirilmeden varsayılan olarak herkese açılmamalıdır.
• Öğrenciye özel bilgiler: Not, borç ve kişisel ders programı gibi kayıtlara erişim kimlik doğrulama ve yetkilendirmeyle sınırlandırılmalıdır. Başka öğrencilerin kayıtlarına erişim engellenmelidir.

Akademik yayın bilgilerinin kurumsal kaynaklardan yönetilmesini akademisyen sayfasındaki yayın listesinin kaynağı yazısında ele aldık. Öğrenci kayıtlarının yetkili sistemlerle bağlantısını kurarken de Drupal öğrenci bilgi sistemi entegrasyonu yaklaşımından yararlanabilirsiniz.

Öğrenci verilerinin web uygulamasında tutulması kategorik olarak yasak değildir. Ancak gereksiz kopyalar oluşturulmamalı; saklama ihtiyacı, erişim yetkileri ve güvenlik tedbirleri belirlenmelidir. Kişiye özel bilgilerin herkese açık önbelleklere veya arama sonuçlarına yansımaması da kontrol edilmelidir.

KVKK hakkında sık sorulan sorular

Son güncelleme: 22.10.2026 17:59