Bir yoga, pilates ya da dans stüdyosu her gün kişisel veri işler: kayıt formundaki ad ve telefon, yoklama listesi, paket ödemesi, "bel fıtığı var" notu, Instagram'daki ders fotoğrafı. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) büyük şirketler için değil, bu verileri tutan herkes içindir.
Bu yazı stüdyo sahibine pratik bir çerçeve verir: hangi veriyi neden topladığınızı yazmak, aydınlatma ile açık rıza farkı, sağlık beyanı ve 2024 değişikliği, çocuk öğrenciler, fotoğraf, eğitmen erişimi, saklama ve imha, VERBİS ve veri ihlali.
Veri sorumlusu kim
Kanun'un 3. maddesine göre veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen ve veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan kişidir. Stüdyonuzda bu genellikle işletmenin kendisidir: şahıs işletmesiyse siz, şirketse şirket.
Excel, defter ya da yazılım kullanmanız bunu değiştirmez: verinin neden toplandığına ve kimin gördüğüne siz karar verirsiniz. Kanun'un 4. maddesi temel ilkeleri sayar: belirli, açık ve meşru amaç; amaçla bağlantılı, sınırlı ve ölçülü olma; yalnızca gereken süre kadar saklama.
Veri envanteri: neyi neden tutuyorsunuz
İlk iş, tuttuğunuz verilerin listesini çıkarmaktır. Aşağıdaki tablo örnektir; "olası hukuki sebep" sütunu Kanun'un 5. ve 6. maddelerindeki şartlardan hangisinin gündeme gelebileceğini gösterir, sizin durumunuz için kesin cevap değildir.
| Veri | Neden | Olası hukuki sebep (netleştirin) | Kim görür |
|---|---|---|---|
| Ad, soyad, telefon | Kayıt, ders iptali bildirimi | Sözleşmenin kurulması ve ifası (md. 5/2-c) | Yönetici, ilgili eğitmen |
| E-posta | Bilgilendirme | Sözleşmenin ifası | Yönetici |
| Yoklama kaydı | Paketten ders düşmek | Sözleşmenin ifası | Yönetici, ilgili eğitmen |
| Ödeme ve paket bilgisi | Tahsilat takibi | Sözleşmenin ifası, yasal yükümlülük (md. 5/2-ç) | Yönetici |
| Sağlık beyanı, yaralanma notu | Dersi güvenli yürütmek | Özel nitelikli veri; çoğu stüdyo için açık rıza (md. 6) | Yönetici, ilgili eğitmen |
| Fotoğraf ve video | Tanıtım | Ayrı izin; hukuki sebebi netleştirin | Yönetici, sosyal medya sorumlusu |
| Veli adı ve telefonu | Çocuk öğrenciyle iletişim | Sözleşmenin ifası | Yönetici, ilgili eğitmen |
Tabloyu doldururken her satır için şu soruyu sorun: bu veriyi kullanmıyorsam neden topluyorum? Doğum tarihi, adres ya da T.C. kimlik numarası gibi alanlar formunuzda alışkanlıkla duruyorsa ve bir amacı yoksa kaldırın.
Aydınlatma metni ile açık rıza farkı
En sık karıştırılan konu budur.
- Aydınlatma, kişiye bilgi vermektir. Kanun'un 10. maddesine göre veri toplanırken kişiye veri sorumlusunun kimliği, verinin hangi amaçla işleneceği, kime ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile 11. maddedeki hakları bildirilir. Her durumda yapılır; kişinin onayına bağlı değildir.
- Açık rıza, kişinin belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle verdiği onaydır (md. 3). Yalnızca işleme başka bir hukuki sebebe dayanmıyorsa gerekir.
Kişisel Verileri Koruma Kurulu'nun 18.02.2026 tarihli ve 2026/347 sayılı ilke kararına ilişkin duyuruya göre:
- Açık rızaya dayanılıyorsa aydınlatma metni ile açık rıza metni farklı başlıklar altında ayrı metinler olmalı; aynı sayfadaysa iki ayrı beyan bulunmalı.
- Başka bir hukuki sebebe dayanılıyorsa kişiye ayrıca açık rıza metni sunulmamalı.
- Aydınlatma yapıldığına dair kişiden onay ya da rıza istenmesi Kurul'un hukuka aykırı bulduğu uygulamalar arasında sayılıyor; kişiden yalnızca metni okuduğuna ve bilgi edindiğine dair geri bildirim alınabilir.
Stüdyo için pratik sonuç: kayıt formunda tek bir "KVKK metnini okudum ve onaylıyorum" kutusu yerine, bir aydınlatma metni ve yalnızca gerçekten açık rıza gereken konular (ör. sağlık beyanı) için ayrı, işaretsiz kutular kullanın.
Sağlık beyanı ve 2024 değişikliği
Pilates ve yogada sağlık sorusu sormak çoğu zaman gereklidir: fıtık, gebelik, ameliyat, tansiyon. Kanun'un 6. maddesi sağlık verisini özel nitelikli kişisel veri sayar ve işlenmesini kural olarak yasaklayıp sınırlı istisnalar tanır.
Bu madde, 12.03.2024 tarihli Resmî Gazete'de yayımlanan 7499 sayılı Kanun ile değiştirildi; Kurum'un Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehber duyurusunda belirtildiği gibi mevcut şartlara yenileri eklendi. Güncel metinde açık rızanın yanında, kanunda açıkça öngörülme, hayatı ya da beden bütünlüğünü korumak için zorunluluk, bir hakkın kurulması ya da korunması için zorunluluk ve sır saklama yükümlülüğü altındaki kişilerce sağlık hizmetleri gibi şartlar yer alıyor. Bir stüdyonun sağlık beyanı için bu yeni şartlardan birine dayanıp dayanamayacağı somut duruma bağlıdır; çoğu stüdyo için en öngörülebilir yol açık rızadır (bunu hukukçunuzla netleştirin).
Kanun'un 6/4 maddesi ayrıca Kurul'un belirlediği yeterli önlemleri şart koşar. Kurul'un 2018/10 sayılı kararı bunları sayar: ayrı bir politika, çalışanlara eğitim ve gizlilik taahhüdü, yetkilerin sınırlanması, ayrılanın yetkisinin hemen kaldırılması, elektronik ortamda şifreleme, kâğıt evrakta yetkisiz erişimin engellenmesi.
Uygulamada: sağlık sorusunu dersle ilgili olanla sınırlayın ("Doktorunuzun egzersizi kısıtladığı bir durum var mı?"), formu kilitli dolapta ya da erişimi sınırlı bir dijital alanda tutun, yoklama listesine yazmayın ve yalnızca ilgili eğitmene gösterin.
Çocuk öğrenciler
Çocuk gruplarında veriyi veli verir ve izinleri veli verir. Kurul kararları bu konuda yol gösteriyor:
- 2020/255 sayılı karar özeti: Bir eğitim kurumu öğrencilere test uygulayıp sağlık verisi elde etmiş; velinin bilgisinin olması açık rıza yerine sayılmamış ve kuruma idari para cezası verilmiş.
- 2022/776 sayılı karar özeti: Velinin açık rızası olmadan 8 yaşındaki bir çocuğa tanıtım broşürü gönderen kişiye idari para cezası verilmiş; Kurul, broşür gönderiminin Kanun'daki işleme şartlarından hiçbirine dayanmadığı sonucuna varmış.
İki karardan çıkan pratik ders: izni yazılı alın, ispatlayabileceğiniz biçimde saklayın ve "veli zaten biliyordu" savunmasına güvenmeyin. Veliyle iletişimin geri kalanı için veli iletişimi rehberine bakın.
Fotoğraf ve video
Yüzü görünen bir fotoğraf, kimliği belirlenebilir bir kişiye ait bilgi olduğu için kişisel veridir (md. 3). Tanıtımda kullanacaksanız kayıt formunda ayrı, işaretsiz bir izin kutusu koyun ve kullanım yerini yazın (Instagram, web sitesi). İzin vermeyenlerin listesini fotoğraf çeken kişiye verin; izin geri alınırsa yeni paylaşımlarda kullanmayın. Hangi hukuki sebebe dayanacağınızı hukukçunuzla netleştirin; ayrı izin almak en az tartışmalı yoldur.
Eğitmen erişimi: en az yetki
Eğitmenin yoklama için öğrenci adına, güvenli ders için de varsa sağlık notuna ihtiyacı vardır; ödeme tutarlarına ya da diğer grupların öğrencilerine çoğu zaman ihtiyacı yoktur. İlke: herkes işini yapmaya yetecek kadarını görsün.
- Bütün öğrencileri içeren Excel dosyasını eğitmenlerle paylaşmayın; gerekiyorsa yalnızca kendi grubunun listesini verin.
- Ayrılan eğitmenin dosya, grup ve hesap erişimini aynı gün kapatın.
- Öğrenci listesini WhatsApp'ta dosya olarak dolaştırmayın.
Saklama ve imha
Kanun'un 7. maddesine göre işleme sebepleri ortadan kalkınca veri silinir, yok edilir ya da anonim hale getirilir. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik'e göre:
- Saklama ve imha politikası hazırlama yükümlülüğü, VERBİS'e kayıt yükümlüsü olan veri sorumluları içindir (md. 5).
- Politikası olanlar periyodik imha aralığını kendisi belirler; bu aralık altı ayı geçemez (md. 11/2).
- Politika hazırlama yükümlülüğü olmayanlar, silme yükümlülüğünün doğduğu tarihi izleyen üç ay içinde işlemi yapar (md. 11/3).
- Silme ve imha işlemlerinin kayıtları en az üç yıl saklanır (md. 7/3).
- İlgili kişinin silme talebi en geç otuz gün içinde sonuçlandırılır (md. 12).
Hesap örneği: ayrılan öğrencinin kaydı ne zaman silinir
Varsayım (örnek; süreyi kendi işinize ve hukukçunuzun görüşüne göre siz belirlersiniz): stüdyo, ayrılan öğrencinin iletişim ve yoklama verisini son dersten sonra 1 yıl tutmaya karar verdi. Stüdyo VERBİS istisnasında, politika hazırlama yükümlülüğü yok.
- Öğrencinin son dersi: 15 Mart 2026.
- Saklama süresi bitişi: 15 Mart 2026 + 1 yıl = 15 Mart 2027.
- Politika yükümlülüğü olmadığı için silme süresi: 15 Mart 2027'yi izleyen üç ay, yani en geç 15 Haziran 2027.
- Aynı stüdyo bir politika hazırlayıp periyodik imhayı haziran ve aralık aylarında yapsaydı: süre 15 Mart 2027'de dolduğu için silme, izleyen ilk periyot olan Haziran 2027'de yapılırdı.
Fatura ve muhasebe kayıtlarının ayrıca saklanması gereken yasal süreleri olabilir; bunları mali müşavirinize sorun ve kişisel veri envanterinizde ayrı satır olarak yazın.
VERBİS: kayıt gerekiyor mu
Kanun'un 16. maddesi veri sorumlularının işlemeye başlamadan Veri Sorumluları Siciline (VERBİS) kaydolmasını ister ve Kurul'a istisna belirleme yetkisi verir. Kurum'un duyurularına göre güncel istisna şöyle:
- Ana faaliyet konusu özel nitelikli kişisel veri işleme olmayan, yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'den az olanlar kayıttan istisna (2018/87 kararı, 2023/1154 ile değişik).
- Ana faaliyet konusu özel nitelikli kişisel veri işleme olan, yıllık çalışan sayısı 10'dan az ve yıllık mali bilanço toplamı 10 milyon TL'den az olanlar da istisna (04.09.2025 tarihli ve 2025/1572 sayılı karar).
- Kurum'un 12 Ocak 2026 tarihli duyurusuna göre bilanço esasına göre defter tutanlarda iki ölçüt birlikte aranır; bilanço esasına göre defter tutmayanlarda yalnızca çalışan sayısına bakılır (2025/2393 sayılı karar).
Örnek kontrol (varsayım): 6 çalışanı olan, işletme hesabı esasına göre defter tutan bir yoga stüdyosu. Bilanço tutmadığı için yalnızca çalışan sayısına bakılır. Ana faaliyeti özel nitelikli veri işleme sayılmazsa eşik 50, sayılırsa 10; 6 kişi iki eşiğin de altında. Stüdyonun ana faaliyetinin hangisine girdiğini kendiniz ve hukukçunuzla değerlendirin. Kayıttan istisna olmak Kanun'un diğer yükümlülüklerinden istisna olmak demek değildir.
Veri ihlali: 72 saat
Telefonunuz çalındı, öğrenci listesini içeren dosya yanlış gruba gönderildi ya da e-posta hesabınız ele geçirildi. Kanun'un 12/5 maddesi, işlenen verilerin hukuka aykırı olarak başkalarınca elde edilmesi halinde veri sorumlusunun bunu en kısa sürede ilgili kişiye ve Kurul'a bildirmesini ister. Kurum'un duyurusuna göre Kurul, 2019/10 sayılı kararıyla "en kısa süre"yi 72 saat olarak yorumluyor: ihlali öğrendiğiniz andan itibaren gecikmeksizin ve en geç 72 saat içinde Kurul'a bildirim; etkilenen kişilere de makul en kısa sürede.
Hazırlık için şimdiden yazın: ihlal fark edilirse kim karar verir, hangi şifreler değiştirilir, kimlere nasıl haber verilir.
Kontrol listesi
- Veri envanteri tablosunu doldurdum; amacı olmayan alanları formdan çıkardım.
- Kayıt formunda ayrı bir aydınlatma metni var; "okudum, onaylıyorum" kutusu yok.
- Sağlık beyanı ve fotoğraf izni için ayrı, işaretsiz kutular var.
- Çocuklar için izinleri veliden yazılı alıp saklıyorum.
- Sağlık notları erişimi sınırlı bir yerde; eğitmenler yalnızca kendi gruplarını görüyor.
- Ayrılan öğrenci verisi için saklama süresine karar verdim ve takvime yazdım.
- VERBİS istisnasında olup olmadığımı güncel eşiklerle kontrol ettim.
- İhlal halinde 72 saat içinde ne yapacağımı yazdım.
Programda veri ve erişim
OpenDanceAcademy'de eğitmen hesabı yalnızca kendi derslerini ve o derslere kayıtlı öğrencileri görür; bu öğrencilerin kaydını ve öğrenciye eklenen notları da görür. Sağlık notunu not alanına yazıyorsanız, o öğrencinin dersine giren eğitmenin de göreceğini bilin. Program aydınlatma ya da açık rıza metni yönetmez, saklama süresini takip etmez ve süresi dolan kaydı kendiliğinden silmez; bunlar sizin süreçlerinizdir. Yoklama listesindeki veri meselesini yoklama rehberinin KVKK bölümünde, Excel ile farkını Excel mi program mı yazısında anlattık. Pilates için: pilates stüdyosu programı.
Sık sorulan sorular
Aydınlatma metni ile açık rıza metni aynı kâğıtta olabilir mi?
Aynı sayfada olabilir ama ayrı başlıklar altında ayrı metinler ve ayrı beyanlar olmalı (2026/347 sayılı ilke kararı). Açık rızaya dayanmıyorsanız ayrıca açık rıza metni sunmayın.
Pilates stüdyosunda sağlık beyanı almak için ne gerekir?
Yalnızca dersle ilgili bilgiyi isteyin, ayrı bir açık rıza alın (ya da hukukçunuzla başka bir şartı netleştirin), formu erişimi sınırlı bir yerde saklayın ve yalnızca ilgili eğitmene gösterin.
Küçük bir stüdyo VERBİS'e kaydolmak zorunda mı?
Ana faaliyeti özel nitelikli veri işleme olmayan, 50'den az çalışanı ve 100 milyon TL'den az bilançosu olanlar istisna; ana faaliyeti özel nitelikli veri işleme olanlarda eşik 10 çalışan ve 10 milyon TL. Güncel eşikleri kvkk.gov.tr'den teyit edin.
Öğrenci listesi içeren telefonum çalınırsa ne yapmalıyım?
Bu bir veri ihlali olabilir. İhlali öğrendiğiniz andan itibaren en geç 72 saat içinde Kurul'a bildirim yapılır, etkilenen kişilere de makul en kısa sürede haber verilir.
Kaynaklar
- Mevzuat Bilgi Sistemi: 6698 sayılı Kişisel Verilerin Korunması Kanunu (erişim: 2026-11-07)
- Kişisel Verileri Koruma Kurumu: Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehber (erişim: 2026-11-07)
- Kişisel Verileri Koruma Kurumu: 2018/10 sayılı Karar, özel nitelikli veride yeterli önlemler (erişim: 2026-11-07)
- Kişisel Verileri Koruma Kurumu: 2026/347 sayılı İlke Kararına ilişkin kamuoyu duyurusu (açık rıza ve aydınlatma metinlerinin ayrı düzenlenmesi) (erişim: 2026-11-07)
- Kişisel Verileri Koruma Kurumu: Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (erişim: 2026-11-07)
- Kişisel Verileri Koruma Kurumu: Ana faaliyet konusu özel nitelikli veri işleme olanların VERBİS istisnası hakkında kamuoyu duyurusu (erişim: 2026-11-07)
- Kişisel Verileri Koruma Kurumu: 2025/1572 sayılı Kararın uygulama esaslarına ilişkin kamuoyu duyurusu (erişim: 2026-11-07)
- Kişisel Verileri Koruma Kurumu: 2023/1154 sayılı Karar, VERBİS istisna kriterinde değişiklik (erişim: 2026-11-07)
- Kişisel Verileri Koruma Kurumu: Veri ihlali bildirimine ilişkin kamuoyu duyurusu (2019/10 sayılı karar) (erişim: 2026-11-07)
- Kişisel Verileri Koruma Kurumu: 2020/255 sayılı Karar Özeti (erişim: 2026-11-07)
- Kişisel Verileri Koruma Kurumu: 2022/776 sayılı Karar Özeti (erişim: 2026-11-07)