Bu yazıya en can alıcı cümleyle başlayalım: mükellefinizin beyannamesini WhatsApp'tan gönderdiğinizde, KVKK karşısında sorumlu olan Meta değil, sizsiniz.
Bu, çoğu ofisin farkında olmadığı bir ayrım. Mesajlaşma uygulamasının altyapısı, şifrelemesi veya sunucusunun nerede olduğu ikinci meseledir. Birinci mesele şudur: mükellefin kişisel verisini hangi araçla işleyeceğine karar veren kişi müşavirdir, dolayısıyla o veriyi işlemenin hukuki sorumluluğu da müşavirindir.
Mali Müşavir Veri Sorumlusudur ve Bunu Devredemez
6698 sayılı Kanun, kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen kişiyi "veri sorumlusu" olarak tanımlar. Mükellefine ait beyannameyi, tahakkuk fişini, VKN veya TCKN bilgisini hangi kanaldan ileteceğine karar veren müşavir, bu tanımın tam ortasındadır.
Kullanılan araç (WhatsApp, e-posta, bir yazılım) ise en iyi ihtimalle "veri işleyen" konumundadır. Veri işleyen kullanmak sorumluluğu ortadan kaldırmaz; aksine, uygun tedbirleri almış bir veri işleyen seçme yükümlülüğü de veri sorumlusuna aittir.
Pratik sonucu şu: "ben sadece WhatsApp'tan gönderdim" savunması KVKK karşısında bir savunma değildir.
Beyanname Kişisel Veridir
Bu noktayı atlamamak gerekiyor. Bir KDV beyannamesi ya da gelir vergisi tahakkuk fişi; kimlik bilgisi (VKN/TCKN), mali durum ve mesleki faaliyet verisi içerir. Bunların tümü kişisel veri kapsamındadır.
Kişisel Verileri Koruma Kurumu, yurt dışı menşeli haberleşme uygulamalarının kurumsal iş süreçlerinde kullanılmasına ilişkin yayımladığı kamuoyu duyurusunda, bu tür uygulamalar üzerinden kişisel veri içeren belge paylaşımının açıkça bir kişisel veri işleme faaliyeti olduğunu ve KVKK yükümlülüklerine tabi bulunduğunu belirtmiştir. Duyuru kamu kurumları bağlamında yapılmış olsa da, ortaya koyduğu ilke kişisel veri işleyen her veri sorumlusu için aynıdır.
2026 Ceza Tutarları
İnternetteki pek çok yazı hâlâ eski rakamları veriyor. KVKK idari para cezaları her yıl yeniden değerleme oranıyla güncelleniyor. 2026 yılı için geçerli tutarlar şöyle:
Veri güvenliği yükümlülüğünü ihlal etmenin cezası 256.357 TL ile 17.092.242 TL arasında. Mükellef belgesinin yanlış kişiye gitmesi, ikinci el telefonda kalması veya gruba düşmesi bu kalem kapsamında değerlendirilir. WhatsApp senaryosunda asıl bakılması gereken rakam budur.
Aydınlatma yükümlülüğünü yerine getirmemenin cezası 85.437 TL ile 1.709.200 TL arasında. Mükellefe, verisinin hangi amaçla ve hangi kanalla işleneceğini açıklamadıysanız bu kalem devrededir.
Kurul kararlarına uymamanın cezası 427.263 TL ile 17.092.242 TL arasında.
Bu tutarlar üst sınırlardır ve Kurul ihlalin ağırlığına göre takdir yetkisi kullanır. Ancak ölçek fikri veriyor: risk, ofisin yıllık cirosuyla kıyaslanabilecek boyutta.
Pratikte Ne Kırılıyor
Ceza tutarları teorik. Ofiste asıl yaşanan üç şey var:
Yanlış numaraya gönderim. Rehberde yan yana duran iki mükellefin karışması, tek dokunuşla bir mükellefin mali verisini bir başkasına iletmek demek. Geri alma süresi geçtikten sonra telafisi yok.
Cihaz devri. Ofis telefonu değiştirildiğinde, personel ayrıldığında veya cihaz ikinci el satıldığında, üzerindeki yıllara ait beyanname arşivi de gidiyor.
Aydınlatma boşluğu. Mükelleften WhatsApp üzerinden veri paylaşımı için usulüne uygun aydınlatma ve gerekli hâllerde açık rıza alınmamış oluyor. Bu, ihlal olmasa bile başlı başına bir yükümlülük eksikliği.
Güvenli Alternatifte Aranacaklar
Alternatif ararken pazarlama metnine değil şu dört maddeye bakın:
Verinin nerede tutulduğu. Sunucuların hangi ülkede olduğu ve yurt dışı aktarım varsa hangi mekanizmaya dayandığı yazılı olarak belirtilmeli.
Erişim izolasyonu. Bir ofisin verisine başka bir ofisin erişememesi teknik olarak garanti altında olmalı; "erişmiyoruz" taahhüdü değil, erişememe mimarisi.
Erişim kaydı. Belgeyi kimin ne zaman gördüğü kayıt altında olmalı. Bu hem KVKK hesap verebilirliği hem de ofisin kendi takibi için gerekli.
Rol tanımı. Sağlayıcının veri işleyen sıfatıyla hareket ettiği ve sizin veri sorumlusu olduğunuz sözleşmede açıkça yazmalı. Bu ayrımı netleştirmeyen bir sağlayıcı, sorun çıktığında sizi yalnız bırakır.
AkıllıBeyan bu dört maddeyi karşılamak üzere kurgulandı: veriler AB bölgesinde tutuluyor, ofis izolasyonu veritabanı seviyesinde satır düzeyi güvenlikle sağlanıyor, belgenin okunup okunmadığı kayıt altında ve rol ayrımı sözleşmede açık: mükellef verisi için veri sorumlusu müşavirdir, biz veri işleyeniz.
Ama seçtiğiniz araç ne olursa olsun, değişmeyen bir şey var: sorumluluk sizde kalır. Doğru araç bu sorumluluğu ortadan kaldırmaz, taşınabilir hâle getirir.
Kaynaklar
6698 sayılı Kişisel Verilerin Korunması Kanunu, madde 3 (tanımlar), madde 10 (aydınlatma yükümlülüğü), madde 12 (veri güvenliğine ilişkin yükümlülükler) ve madde 18 (kabahatler). Kişisel Verileri Koruma Kurumu, yurt dışı menşeli haberleşme uygulamalarının kullanımına ilişkin kamuoyu duyurusu (kvkk.gov.tr). 2026 yılı idari para cezası tutarları, KVKK madde 18'de yer alan tutarların 2026 yeniden değerleme oranı uygulanmış hâlidir.
Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık yerine geçmez. Ofisinizin özel durumu için mevzuatın güncel hâlini ve gerekiyorsa hukuk danışmanınızın görüşünü esas alın.