Kısa cevap
Kimliği istemek yasaldır; WhatsApp'tan toplamak ise riskli. Kuyumcuda MASAK kimlik tespiti bir hukuki yükümlülük olduğu için açık rıza gerekmez (KVKK md. 5/2-ç), ama müşteriye aydınlatma yapmak (md. 10) ve veriyi güvende tutmak (md. 12) zorunludur. Kimlik fotoğrafı telefonda, gruplarda ve yedeklerde kalır; Kurul, müşteri pasaportlarının WhatsApp grubunda paylaşıldığı bir olayda veri güvenliği ihlali saptamış ve idari para cezası vermiştir (2021/78). Güvenli yol, kimliği telefonun NFC’siyle çipten okumak veya kayıt sistemine doğrudan aktarmaktır.
| Konu | Değer | Kaynak (madde) |
|---|---|---|
| Hukuki sebep | Hukuki yükümlülük; açık rıza gerekmez | KVKK md. 5/2-ç; 5549 md. 3 |
| Aydınlatma | Veri elde edilirken zorunlu | KVKK md. 10 |
| Veri güvenliği | Uygun teknik ve idari tedbir | KVKK md. 12/1, 12/3 |
| Yurt dışı aktarım | Yeterlilik kararı, güvence veya arızi hal | KVKK md. 9 (7499 sayılı Kanunla değişik) |
| Saklama ve silme | 8 yıl, sonra silme | Tedbirler Yönetmeliği md. 46; KVKK md. 7 |
KVKK: 6698 sayılı Kişisel Verilerin Korunması Kanunu. Kurul: Kişisel Verileri Koruma Kurulu. MASAK: Mali Suçları Araştırma Kurulu Başkanlığı.
Son güncelleme: 25 Ekim 2026
Kimlik bilgisi KVKK'da nasıl bir veri?
KVKK’ya göre kişisel veri, kimliği belirli veya belirlenebilir bir kişiye ilişkin her türlü bilgidir. Ad, soyad, T.C. kimlik numarası, doğum tarihi ve fotoğraf bu tanımın içindedir. Kimlik fotoğrafını almak, kaydetmek, telefonda tutmak ve iletmek kişisel veriyi işlemek demektir; bunu yapan siz veri sorumlususunuz. Kimlik bilgisi, KVKK md. 6’daki özel nitelikli veri listesinde (din, sağlık, biyometrik veri gibi) sayılmaz; ancak genel nitelikli olması riskin küçük olduğu anlamına gelmez. Kimlik görüntüsüyle dolandırıcılık yapmak mümkündür, bu yüzden güvenlik beklentisi yüksektir.
Açık rıza gerekir mi? Hayır, ama aydınlatma gerekir
KVKK md. 5/1 genel kural olarak açık rıza ister; md. 5/2 ise rıza aranmayan hâlleri sayar. Bunlardan ikisi buraya uyar: kanunlarda açıkça öngörülmesi (a) ve veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması (ç). Kuyumcular 5549 sayılı Kanun md. 2/1-d uyarınca MASAK yükümlüsüdür ve işlemden önce müşterinin kimliğini tespit etmek zorundadır (md. 3/1). Bu yükümlülük yerine getirilirken kimlik verisi rıza olmadan işlenebilir. Çerçeveyi MASAK uyum rehberinde bulabilirsiniz.
İki uyarı var. Birincisi, rıza onay kutusu koymak yanlış izlenim verir: yasal zorunlulukta müşteri “vermiyorum” diyebilecekmiş gibi görünür. Rıza yerine açık bir aydınlatma yapın (md. 10). İkincisi, dayanak yalnız kimlik tespiti gereken işlemler için geçerlidir. Tutar 370.000 TL’nin altındaysa ve şüphe ya da sürekli iş ilişkisi yoksa (eşik sayfası) her müşteriden kimlik fotoğrafı istemek MASAK yükümlülüğü değildir. KVKK md. 4/2-ç verinin “amaçla bağlantılı, sınırlı ve ölçülü” olmasını ister. Kurul, benzer bir yaklaşımla konaklama sektöründe kimlik fotokopisi alınmasını “gereğinden fazla veri işleme” saymıştır (6 Kasım 2025 tarihli 2025/2120 sayılı ilke kararı); o karar turizm sektörü içindir, kuyumcu için dayanak MASAK mevzuatıdır, ama ölçülülük mantığı aynıdır.
MASAK ne istiyor: fotoğraf mı, asıl belge mi?
Tedbirler Yönetmeliği md. 5/2 kimlik tespitinin işlemden önce tamamlanmasını, md. 6/2 ise kimlik belgesinin asıl ibrazı sonrası okunabilir fotokopisinin ya da elektronik görüntüsünün alınmasını ya da bilgilerin kaydedilmesini ister. Yani MASAK kopyayı zaten ister; Kurul da bu tür kopya alımının mevzuatta öngörüldüğü durumları hukuka uygun bulmuştur (2021/850). Farkı yaratan kopyanın nasıl alındığı ve nerede durduğudur.
Ayrıca md. 20, kuyumcular dahil finansal olmayan belirli iş ve meslekleri yeni dağıtım kanallarına ve yüz yüze olmayan işlem yöntemlerine özel dikkat göstermeye ve uygun tedbirleri almaya zorlar. Md. 6/A uzaktan kimlik tespitine ancak yükümlünün faaliyet alanındaki mevzuat yüz yüze gelmeden kimlik doğrulamaya izin veriyorsa izin verir; yöntemleri Bakanlık belirler. Bu sayfanın yazıldığı tarihte kuyumcular için yüz yüze gelmeden kimlik tespitine izin veren böyle bir düzenleme tespit edemedik. Bu yüzden WhatsApp’tan gelen fotoğrafı tek başına kimlik tespiti saymak güvenli değildir; teyidi mali müşavirinizden ve MASAK’tan alın.
WhatsApp ile toplamanın riskleri
| Risk | Neden önemli | Kaynak |
|---|---|---|
| Cihazda kalır | Fotoğraf galeriye inebilir; personelin kişisel telefonunda ve çalışan ayrılınca onda kalır. | KVKK md. 12/1; Kurul 2021/850 |
| Gruplara düşer | Kimlik ve pasaport görüntüleri çalışan gruplarına iletilebilir. | Kurul 2021/78 |
| Yedeklenir | Telefon yedeği başka bir yerde kopya bırakır; siz silseniz de orada durur. | KVKK md. 12/1-c |
| Denetlenemez | Kimin gördüğü, kime iletildiği ve kaç kopya olduğu bilinmez. | KVKK md. 12/3 |
| Silinemez | Süre dolunca bütün kopyalar bulunamaz. | KVKK md. 7 |
| Yurt dışı ve veri ihlali | Sunucular yurt içinde değil; ihlalde ilgiliye ve Kurula bildirim gerekir. | KVKK md. 9, 12/5 |
İki Kurul kararı farkı açık gösteriyor. 2021/850’de şirketin anlatımına göre kimlik, uygulama üzerinden doğrudan sisteme aktarılıyordu ve telefonda depolanmıyordu; Kurul mevzuatta öngörülen bu işlemde ve alınan tedbirlerde aykırılık görmedi. 2021/78’de ise müşteri pasaportlarının çalışanlar arasındaki bir WhatsApp grubunda paylaşıldığına dair kanıt vardı; Kurul KVKK md. 12/1 ve 12/3 ihlali saptadı, bir çalışanın kimlik resimlerini kişisel telefonunda tutmasından doğan ihlali Kurula bildirmemek nedeniyle md. 12/5 ihlali de buldu, md. 18/1-b uyarınca idari para cezası verdi ve ihbar edilen eylemler için Türk Ceza Kanunu md. 136 kapsamında suç duyurusunda bulundu. Çıkarılacak ders: sorun kimlik almak değil, kimliği kontrolsüz bir kanalda tutmaktır.
Yurt dışına aktarım: KVKK md. 9 ve 2024 değişikliği
7499 sayılı Kanunla değişen md. 9, 1 Haziran 2024 itibarıyla yürürlüğe girdi. Kişisel veri yurt dışına, 5. ve 6. maddelerdeki şartlardan biri varsa ve yeterlilik kararı bulunan ülke veya sektöre aktarılabilir. Yeterlilik kararı yoksa uygun güvenceler aranır (standart sözleşme, bağlayıcı şirket kuralları, taahhütname gibi); bunlar da yoksa yalnızca arızi hâllerde aktarım mümkündür (md. 9/6). Standart sözleşme imzadan itibaren beş iş günü içinde Kuruma bildirilir (md. 9/5).
WhatsApp için Kurum 2021’de kullanım şartlarındaki veri paylaşımı ve yurt dışına aktarım konusunu değerlendireceğini duyurdu; 29 Ocak 2026 tarihli duyuruda ise yurt dışı menşeli haberleşme uygulamalarının yurt içinde veri merkezi bulunmadığına dikkat çekti ve bu uygulamalar üzerinden kişisel veri içeren belge paylaşımını kişisel veri işleme faaliyeti saydı (duyuru kamu kurumları içindir). Bir kuyumcunun WhatsApp’la kimlik toplamasının md. 9 kapsamında aktarım sayılıp sayılmadığına dair doğrudan bir Kurul kararı doğrulayamadık. Yine de kimlik gibi riskli bir veriyi kontrolünüz dışındaki yedeklerde tutmak md. 12 yükümlülüğünüzü zorlar.
Güvenli alternatif: NFC ve hızlı kimlik
Kimlik fotoğrafı yerine NFC kullanılabilir: kimlik kartı telefona yaklaştırılır ve çipteki bilgiler okunur. Bilgi basılı yüzün fotoğrafından değil karttan alındığı için elle girişteki yazım hataları da azalır. Müşteri dükkânda değilse ya da ekran başında bekletilmesi istenmiyorsa hızlı kimlik yolu vardır: müşteriye bir kod verilir ve müşteri kimliğini kendi telefonundan gönderir. İkisinde de bilgi işlemle ilişkili kayda gider; telefonunuzun galerisine, sohbet geçmişine ve gruplara düşen bir fotoğraf olmaz. Müşteriye aydınlatma yapılması yine gerekir. NFC ile kimlik tespiti sayfasında akış anlatılıyor.
Saklama ve silme
MASAK mevzuatı kimlik tespitine ilişkin belge ve kayıtların son işlem tarihinden itibaren sekiz yıl saklanmasını ister (5549 md. 8; Tedbirler Yönetmeliği md. 46/1). KVKK md. 7/2 diğer kanunlardaki saklama hükümlerini saklı tuttuğu için bu süre dolmadan silmeyin; süre dolunca silinir, yok edilir veya anonim hale getirilir (Silme Yönetmeliği, RG 28/10/2017). Pratikte: gelen kopyayı kayıt sistemine aldıktan sonra sohbetten, galeriden ve yedekten silin; sekiz yıllık nüshayı tek yerde, yetkili erişimle tutun; süre dolan kayıtları düzenli aralıklarla imha edin.
Müşteriye ne söylemeli? Kısa aydınlatma örneği
KVKK md. 10, veri sorumlusunun kimliğini, işleme amacını, kimlere aktarılabileceğini, toplama yöntemini ve hukuki sebebini ve hakları sayar. WhatsApp’ta kimlik isterken kısa bir not ve tam metne bağlantı yeterlidir:
“Kimlik bilgileriniz, 5549 sayılı Kanun kapsamındaki kimlik tespiti yükümlülüğümüz nedeniyle (KVKK md. 5/2-ç) [firma unvanı] tarafından işlenmekte, yasal süre olan 8 yıl saklanmakta ve talep halinde yetkili kurumlara aktarılabilmektedir. KVKK md. 11 kapsamındaki haklarınız ve tam aydınlatma metni için: [bağlantı].”
KuyumHub bunu nasıl yapar
KuyumHub kimliği NFC ile çipten okur; müşteri isterse hızlı kimlik koduyla kimliğini kendi telefonundan gönderir. 370.000 TL eşiğinde uyarı verir, parçalara bölünmüş işlem ve riskli müşteri için gerekçeli uyarı üretir; yaptırım taramasında BM, ABD Hazine Bakanlığı (OFAC), Avrupa Birliği ve Birleşik Krallık listelerini (her gün güncellenir) ve Resmî Gazete'deki mal varlığı dondurma kararlarını (her sabah) kullanır. Kayıt geçmişi tutulur, kayıtlar 8 yıllık dijital arşivde saklanır; MASAK Uyum puanı ve yapılacaklar listesi eksikleri gösterir. ŞİB’i KuyumHub göndermez, uyum görevlisi MASAK Online’dan verir. Ayrıntılar: MASAK uyum yazılımı, sarraf programı, döviz bürosu programı.
Sık sorulan sorular
Müşteriden WhatsApp'tan kimlik fotoğrafı istemek KVKK'ya aykırı mı?
Kimlik almak kendi başına aykırı değildir; kuyumcuda MASAK kimlik tespiti bir hukuki yükümlülüktür. Sorun, toplama kanalında doğar: aydınlatma yapılmazsa (md. 10) ya da fotoğraf telefonda, gruplarda ve yedeklerde denetimsiz kalırsa veri güvenliği yükümlülüğü ihlal edilir (md. 12). Kurul'un bu tür bir ihlali yaptırıma bağladığı karar vardır (2021/78).
Kimlik fotoğrafı için müşteriden açık rıza almam gerekir mi?
Hayır. Kimlik tespiti zorunlu olduğu işlemde veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için işleme zorunludur (KVKK md. 5/2-ç). Rıza yerine müşteriyi bilgilendirmek (aydınlatma) gerekir. Rıza kutusu koymak, müşteriye reddetme hakkı varmış gibi yanlış bir izlenim verebilir.
WhatsApp'tan gelen kimliği telefonumda tutabilir miyim?
Tutmanız önerilmez. Kimlik fotoğrafının personelin kişisel telefonunda kalması, bir olayda Kurul tarafından veri güvenliği ihlali olarak değerlendirilmiştir (2021/78). İşleme aldıktan sonra kopyayı sohbetten, galeriden ve yedekten silip kaydı yalnızca kayıt sisteminizde, yetkili erişimle tutun.
Aydınlatma nasıl yapılır?
Kimlik alınırken, KVKK md. 10 uyarınca veri sorumlusunun kimliği, verinin işleme amacı, kimlere aktarılabileceği, toplama yöntemi ve hukuki sebebi ile müşterinin hakları bildirilir. Bu sözlü, yazılı ya da elektronik olabilir. WhatsApp'ta isteğin yanında kısa bir bilgilendirme metni ve tam aydınlatma metnine bağlantı göndermek pratik bir yoldur.
WhatsApp ile kimlik toplamak yurt dışına aktarım sayılır mı?
Bu soruya Kurul'un doğrudan cevap veren bir kararını doğrulayamadık. Bilinen şu: Kurum, yurt dışı menşeli haberleşme uygulamalarının yurt içinde veri merkezi bulunmadığına dikkat çekmiş ve bu uygulamalar üzerinden kişisel veri paylaşımını kişisel veri işleme faaliyeti saymıştır (29 Ocak 2026 duyurusu, kamu kurumları için). Temkinli yaklaşım, md. 9'un yeni şartlarını da gözetmektir.
Kimlik fotoğrafı ne kadar saklanır, ne zaman silinir?
Kimlik tespitine ilişkin belge ve kayıtlar son işlem tarihinden itibaren sekiz yıl saklanır (Tedbirler Yönetmeliği md. 46). KVKK md. 7/2 diğer kanunlardaki saklama hükümlerini saklı tuttuğu için bu süre bitene kadar silinmez; süre dolunca silinir, yok edilir veya anonim hale getirilir.
Müşteri kimliğini göndermek istemezse ne olur?
Kimlik tespitinin zorunlu olduğu bir işlemdeyse (370.000 TL ve üzeri, şüphe, sürekli iş ilişkisi) kimlik tespiti işlemden önce tamamlanmalıdır. Zorunlu olmayan bir işlemde kimlik fotoğrafı istemek ise MASAK yükümlülüğü sayılmaz ve ölçülülük ilkesiyle bağdaşmayabilir.
NFC ile okuma WhatsApp'tan fotoğraf almaktan neden daha güvenli?
NFC ile bilgiler kartın çipinden okunur ve işlemle ilişkili kayda aktarılır; telefonun galerisine ya da sohbet geçmişine fotoğraf düşmez. KuyumHub bu okumayı yapar, ayrıca müşteri verilen kodla kimliğini kendi telefonundan gönderebilir (hızlı kimlik).