Denetim ve disiplin soruşturmasında KVKK istisnaları

Bir meslek kuruluşunun disiplin kurulu, üyesi hakkındaki şikâyeti incelerken kaçınılmaz olarak kişisel veri işler. Aynı şey denetim ve düzenleme görevi yürüten kuruluşlar için de geçerlidir. Bu süreçlerde sık sorulan soru şudur: "Soruşturduğum kişiye aydınlatma yapmak, talep ederse dosyayı vermek zorunda mıyım?" Cevap Kanun'un 28. maddesindedir — ve ne tam bir "evet" ne de tam bir "hayır"dır.

Kişisel Verileri Koruma Kurumu, Mart 2026'da bu kitleye özel bir rehber yayımlayarak konuyu ayrıntılı biçimde ele aldı: Kamu Kurum ve Kuruluşları ile Kamu Kurumu Niteliğindeki Meslek Kuruluşları İçin Kişisel Verilerin Korunması Kanununa Uyum Rehberi (KVKK Yayınları No: 114). Aşağıdaki çerçeve, rehberin istisnalara ayrılan bölümüne dayanmaktadır.

İki ayrı istisna türü

Kanun iki farklı istisna öngörür ve ikisi de sınırlı sayma yöntemiyle düzenlenmiştir; kıyasla genişletilemez.

Tam istisna (m.28/1): Kanun hükümleri hiç uygulanmaz. Aile ve kişisel faaliyetler, resmî istatistik ve anonimleştirme, sanat-tarih-edebiyat-bilim amaçlı işleme ile ifade özgürlüğü, millî güvenlik ve kamu düzenine yönelik önleyici ve istihbarî faaliyetler, bir de yargı makamları ile infaz mercilerinin soruşturma, kovuşturma, yargılama ve infaz işlemleri.

Kısmi istisna (m.28/2): Kanun uygulanmaya devam eder; yalnızca üç yükümlülük düşer:

• m.10 — aydınlatma yükümlülüğü,
• m.11 — ilgili kişinin hakları (zararın giderilmesini talep etme hakkı hariç),
• m.16 — VERBİS'e kayıt yükümlülüğü.

Bunun dışındaki her şey — genel ilkeler, işleme şartları, veri güvenliği, saklama ve imha, ihlal bildirimi — aynen sürer.

Meslek kuruluşlarını ilgilendiren bent

Kısmi istisna hâllerinden biri doğrudan bu kitleye hitap eder: Kanun'un verdiği yetkiye dayanılarak, görevli ve yetkili kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarınca yürütülen denetleme veya düzenleme görevleri ile disiplin soruşturma ve kovuşturmaları.

Yani bir baronun, tabip odasının, mali müşavir odasının ya da mimar-mühendis odasının kendi kanunundan doğan disiplin soruşturması kapsamında işlediği veriler bakımından aydınlatma, ilgili kişi hakları ve VERBİS yükümlülükleri uygulanmaz.

Ancak iki koşul birden aranır: yetkinin kanunla verilmiş olması ve işlemenin yalnızca o görevle doğrudan bağlantılı olması.

İstisna nerede biter?

Uygulamadaki asıl risk, istisnanın kapsamının geniş yorumlanmasıdır. Rehber bu konuda iki sınır koyar.

Birincisi: ön koşul. Kısmi istisnadan yararlanmak, Kanun'un amacına ve genel ilkelerine uygun ve orantılı olmayı gerektirir. Yani ölçülülük ortadan kalkmaz. Soruşturma dosyasına, olayla ilgisi olmayan verilerin toplanması istisnayla korunmaz.

İkincisi: kapsam. İstisna yalnızca soruşturma faaliyetini örter. Aynı kuruluşun üyelik işlemleri, aidat tahsilatı, etkinlik duyuruları ve kendi personeline ilişkin süreçleri Kanun'a tam olarak tâbidir. Bir kuruluşun "biz disiplin soruşturması yapıyoruz, o hâlde VERBİS'e kaydolmayız" demesi yanlıştır: istisna faaliyet bazlıdır, kurum bazlı değildir.

Aynı ayrım tam istisnada da geçerlidir. Rehberin verdiği örnekte, yargı makamları ve infaz mercileri bakımından tam istisna işler; ancak bu makamlara iletilmek üzere veri işleyen diğer kurumlar istisna kapsamında değildir — onlar hukuki yükümlülüğün yerine getirilmesi şartına dayanır.

Aydınlatma yükümlülüğü düşünce ne olur?

Kısmi istisna kapsamındaki bir işleme için aydınlatma yapılmaması, kuruluşun hiç aydınlatma yapmayacağı anlamına gelmez. Kuruluşun üye, hizmet alan, ziyaretçi ve personel için ayrı ayrı hazırlanmış aydınlatma metinlerine ihtiyacı sürer; bu metinlerde soruşturma faaliyetinin istisna kapsamında olduğu belirtilebilir.

Metinlerin nasıl kurulacağını ayrı bir yazıda ele almıştık; yayımlanmaları ve güncel tutulmaları ise web sitesi belgeleri başlığının konusudur.

Sık yapılan yanılgılar

1. İstisnayı kurum bazlı sanmak. İstisna faaliyet bazlıdır; kuruluşun diğer süreçleri Kanun'a tâbidir.
2. "Kısmi istisna var, veri güvenliğine de gerek yok." Düşen yalnızca üç yükümlülüktür; güvenlik, saklama-imha ve ihlal bildirimi devam eder.
3. Zararın giderilmesi hakkını da düştü saymak. Kanun bu hakkı açıkça ayrı tutar.
4. Soruşturma dosyasını gereğinden geniş tutmak. Ölçülülük istisnayla ortadan kalkmaz.
5. İstisnayı yazılı olarak gerekçelendirmemek. Hangi faaliyetin hangi bent kapsamında değerlendirildiği kayda geçmezse, denetimde savunulamaz.
6. Soruşturma bitince veriyi süresiz saklamak. Saklama süresi ayrıca belirlenir; saklama ve imha politikası bu faaliyeti de kapsamalıdır.

Bütüncül gözden geçirme

Bir faaliyetin istisna kapsamında olduğuna karar vermek, uyum yapınızın birçok noktasını aynı anda ilgilendirir. Karar verildiğinde: kişisel veri envanterinize o faaliyet istisna notuyla birlikte işlenmeli, aydınlatma metinleriniz istisna kapsamındaki süreçleri ayırt edecek biçimde düzenlenmeli, VERBİS kaydınız yalnızca istisna dışındaki faaliyetleri kapsamalı, saklama ve imha politikanız soruşturma dosyalarının süresini tanımlamalı, dosyaya erişim yetkileri teknik ve idari tedbirler kapsamında daraltılmalı, veri bir üst kuruluşa gönderiliyorsa aktarım çerçevesi kurulmalıdır.

İstisna değerlendirmesi, kuruluşun kendi kanunundaki görev ve yetki hükümleriyle KVKK'nın kesiştiği yerde yapılır; hangi faaliyetin hangi bende girdiği tek başına KVKK okumasıyla belirlenemez. Bu nedenle istisna haritanızın hukuki destek alınarak çıkarılmasını öneririz. Genç Partners, 2016'dan bu yana yürüttüğü uyum projelerindeki deneyimiyle bu ayrımı yapmayı kolaylaştırır; KVKK farkındalık eğitimi ise soruşturma dosyalarına erişen personelin bu sınırları günlük işinde tanımasını sağlar.

Özet

• İstisnalar sınırlı sayıdadır, kıyasla genişletilemez.
• Kısmi istisnada yalnızca aydınlatma, ilgili kişi hakları ve VERBİS düşer; zararın giderilmesini talep etme hakkı düşmez.
• Denetim, düzenleme ve disiplin soruşturması bendi meslek kuruluşlarını doğrudan ilgilendirir; yetkinin kanunla verilmiş olması aranır.
• İstisna faaliyet bazlıdır; kuruluşun diğer süreçleri Kanun'a tâbidir.
• Ölçülülük ve veri güvenliği yükümlülükleri istisnayla ortadan kalkmaz.

Bu yazı bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Hangi faaliyetinizin istisna kapsamında olduğunun belirlenmesi için, kuruluş mevzuatınızla birlikte değerlendirilmek üzere hukuki destek alınız.