# Bordroyu WhatsApp'tan Göndermek KVKK İhlali mi? > Bordroyu mali müşavire göndermek KVKK'ya aykırı değil; sorun aydınlatmada ve izi tutulmayan kanalda. Doğru kurulumun beş parçasını görün. _PONEOM Teknoloji A.Ş. · İşletme · 19 Ağustos 2026 · 7 dk okuma_ --- Aykırı değil. Çalışanınızın kimlik, ücret ve banka bilgisini mali müşavirinize göndermeniz, 6698 sayılı Kanunun 5. maddesinin ikinci fıkrasındaki hukuki yükümlülük şartına dayanır ve açık rıza aramaz. İhlal aktarımın kendisinden değil, iki ayrı yerden doğar: çalışana aydınlatma yapılmamış olması ve verinin izi tutulmayan bir kanaldan çıkması. WhatsApp meselesi tam burada başlar. Bu ayrımı kurmadan yapılan her KVKK tartışması, yanlış soruyu tartışıyor demektir. ## Aktarım zaten hukuka uygun, sorun rıza değil Muhasebe bürolarının bir kısmı, mükellefin çalışanlarından "verilerimin mali müşavire aktarılmasına izin veriyorum" diye başlayan bir metin imzalatıyor. Bu, iyi niyetli ama hatalı bir refleks. Kanunun 5. maddesi, açık rızayı yalnızca diğer işleme şartlarının hiçbiri yoksa devreye sokar. Bordro verisinin müşavire gitmesinin arkasında ise üst üste binmiş kanuni yükümlülükler var: 5510 sayılı Kanun kapsamında aylık prim ve hizmet belgesi, 193 sayılı Kanun uyarınca stopaj beyanı, 4857 sayılı Kanunun 37. maddesi gereği ücret hesap pusulası, 213 sayılı Kanunun defter tutma hükümleri. Bunların hiçbiri çalışanın onayına bağlı değil. Rızaya dayanmanın pratikte ne kadar sakat olduğunu şu senaryo gösteriyor. Çalışan, açık rızanın doğası gereği her zaman kullanabileceği bir hakla rızasını geri çekiyor. Rızaya dayandıysanız bordrosunu müşavire göndermeyi durdurmanız gerekir; ama durduramazsınız, çünkü SGK bildirimi yapmak zorundasınız. Hukuki sebebi baştan yanlış seçtiğiniz için, geri alınamayan bir rızayla çalışıyorsunuz demektir. Kurum denetiminde bu, aydınlatma yükümlülüğünün ihlali olarak değerlendiriliyor. Doğru kurgu şu: hukuki sebep kanundan gelir, çalışana yapılması gereken şey ise izin istemek değil, **bilgi vermek**tir. ## Statü sözleşmeyle devredilemez Mükellef ile müşavir arasındaki hizmet sözleşmelerinde sık rastlanan bir madde var: "Kişisel verilerin korunmasına ilişkin tüm sorumluluk müşavire aittir." Bu cümle hukuken bir şey ifade etmiyor. Kişisel Verileri Koruma Kurumunun rehberlerinde meslek mensubunun, müşterisinin hesaplarına ilişkin kayıtları tutarken **veri sorumlusu** sıfatıyla hareket ettiği belirtiliyor. Ayrım şurada: veri işleyen, veriyi yalnızca veri sorumlusunun talimatı doğrultusunda işler. Mali müşavir ise defter tutma, beyanname verme ve belgeyi saklama yükümlülüğünü müşterisinin talimatından değil, 3568 sayılı Kanun ile vergi mevzuatından alıyor. Mükellef "bu beyannameyi verme" diyemez. Yani ortada bir veri sorumlusu ile onun taşeronu yok, birbirine veri aktaran iki bağımsız veri sorumlusu var. Sonucu net: - İşveren, kendi çalışanına yapılacak aydınlatmadan sorumludur. Müşavir bu görevi üstlenemez, çünkü çalışanla arasında bir ilişki yoktur. - Müşavir, büroya giren veriyi kendi teknik ve idari tedbirleriyle korumaktan sorumludur. Mükellefin sözleşmeye koyduğu madde bu sorumluluğu ona geçirmez. - Bir sızıntı olduğunda Kurul, her iki tarafı kendi cephesinden ayrı ayrı değerlendirir. "Diğer taraf ihmal etti" savunması, kendi yükümlülüğünüzü ortadan kaldırmaz. Bunun yerine sözleşmeye konması gereken şey sorumluluk devri değil, bir **veri paylaşım protokolü**: hangi veri, hangi amaçla, hangi kanaldan, ne sıklıkta gidecek; ilişki bittiğinde veri ne olacak. ## VERBİS'e kayıt yok, yükümlülük var Burada iki ayrı istisna birbirine karışıyor. Meslek mensupları açısından: serbest muhasebeci mali müşavirler ve yeminli mali müşavirler, Kurulun 2018/32 sayılı kararıyla Sicile kayıt yükümlülüğünden istisna tutuldu. Ancak istisna meslek mensubuna tanınmıştır; **mali müşavirlik şirketleri bu kapsamda değildir**. Büronuz limited şirket olarak yapılandırılmışsa, ortağının unvanına bakılmaksızın genel kurallara tabisiniz. Genel istisna açısından: yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'den az olan, ana faaliyet konusu özel nitelikli veri işleme olmayan veri sorumluları kayıttan muaf. Bilanço eşiği 2023 yılında 25 milyon TL'den 100 milyon TL'ye çıkarıldı. Kurulun 04.09.2025 tarihli ve 2025/1572 sayılı kararı ise ana faaliyeti özel nitelikli veri işlemek olanlar için ayrı ve çok daha düşük bir eşik getirdi. Türkiye'deki KOBİ'lerin ezici çoğunluğu ilk gruba giriyor, yani VERBİS kaydı yapmıyor. Kayıt yapmamak, yükümlülüğün olmaması anlamına gelmiyor. Sicile kaydolmasanız da aydınlatma metni hazırlamak, kişisel veri işleme envanteri tutmak, saklama ve imha politikası oluşturmak, teknik ve idari tedbirleri almak ve ilgili kişi başvurularını 30 gün içinde cevaplamak zorundasınız. En sık yapılan hata, "VERBİS'e kayıtlı değiliz, bize bir şey olmaz" cümlesiyle bu beş kalemin hiçbirine dokunmamak. ## Kanal seçimi bir teknik tedbir sorusudur Kanunun 12. maddesi veri sorumlusuna, kişisel verilere hukuka aykırı erişimi önleme ve verileri muhafaza etme yükümlülüğü yüklüyor. Hangi kanaldan gönderdiğiniz, bu maddenin kapsamı içinde. Somut bir tabloya bakalım. Denizli'de 22 kişi çalıştıran bir tekstil atölyesinde ön muhasebe elemanı, her ayın ilk haftası bordro dosyasını ve yeni girenlerin kimlik fotokopilerini büro çalışanının kişisel telefonuna gönderiyor. Altı ay sonra büro çalışanı işten ayrılıyor. Dosyalar hâlâ o telefonda, muhtemelen bulut yedeğinde de. Hangi belgenin kime gittiğinin kaydı yok, geri alma imkânı yok, silindiğini doğrulama imkânı yok. Buradaki risk şifreleme değil, **denetlenebilirlik**. Sohbet uygulaması size şunları veremiyor: kimin ne zaman hangi belgeyi indirdiği, erişimin ilişki bittiğinde kesilmesi, saklama süresi dolan dosyanın imhası, yanlış kişiye gönderimin geri alınması. Bir ihlal bildirimi hazırlamanız gerektiğinde, etkilenen veri kategorilerini ve kişi sayısını sohbet geçmişinden çıkaramazsınız. Bordro dosyasının içeriği, bir maliyet tablosundan farklı. [Ekip maliyeti hesaplama](https://poneo.co/hesaplama/ekip-maliyeti) ekranında gördüğünüz şey toplam rakamlardır ve kimseyi işaret etmez; bordronun içinde ise ad soyad, TC kimlik numarası, IBAN, medeni hâl, çocuk sayısı, varsa icra kesintisi ve nafaka bilgisi vardır. İkincisi kişiselleştirilmiş veridir ve bir kısmı doğrudan özel nitelikli veri kategorisine yaklaşır. Belgelerin kim tarafından ne zaman yüklendiği ve indirildiği kayıt altına alınan bir ön muhasebe programı üzerinden paylaşım, 12. madde için somut bir dayanak üretir. PONEO'da aylık belge akışı bu şekilde yürüdüğünde, müşavirle mükellef arasında "ben göndermiştim" tartışması da ortadan kalkar. Her ay hangi belgenin müşavire gitmesi gerektiği [aylık belge teslim listesinde](https://poneo.co/blog/aylik-belge-teslimi-mali-musavire-ne-gonderilir) kalem kalem sayılı; o listeyi kanal kararıyla birlikte kurmak, altı ay sonra geriye dönüp arşiv taramaktan kolay. ### Özel nitelikli veri ayrı bir kutu Sağlık raporu, engelli raporu ve sendika üyeliği bilgisi 6. madde kapsamındadır ve genel verilerden daha ağır bir korumaya tabidir. İstirahat raporunun teşhis kısmını değil yalnızca gün sayısını iletmek, çoğu durumda hem yeterli hem de doğru olan yaklaşımdır. Müşavirin puantajı işlemek için tanıyı bilmesi gerekmiyor. ## Bir şey ters giderse 72 saatiniz var Kurulun 24.01.2019 tarihli ve 2019/10 sayılı kararı, kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusunun bunu gecikmeksizin ve en geç **72 saat** içinde Kurula bildirmesini öngörüyor. Sürenin başlangıcı ihlalin gerçekleştiği an değil, sizin öğrendiğiniz an. 72 saat, ihlali fark ettikten sonra "acaba gerçekten sızdı mı" diye düşünmek için kısa bir süre. Bu yüzden bildirim formunda istenen bilgilerin, ihlal olmadan önce hazır olması gerekiyor: hangi veri kategorileri etkilendi, kaç kişi etkilendi, veri hangi tarihte hangi yolla dışarı çıktı, alınan tedbirler neler. Çalınan bir dizüstü bilgisayarda ya da kayıp bir telefonda üç yıllık sohbet geçmişi varsa, bu soruların hiçbirine 72 saat içinde cevap veremezsiniz. Kişisel veri işleme envanteri tam da bu anda işe yarıyor. İhlal ayrıca etkilenen kişilere de bildirilmek zorunda. Yirmi iki kişilik bir işletmede bu, çalışanların tek tek bilgilendirilmesi demek. Müşavir değişikliği de aynı disiplini gerektiriyor. Devrin evrak tarafı [mali müşavir değiştirirken dosya devri](https://poneo.co/blog/mali-musavir-degistirme-dosya-devri) yazısında ayrıca ele alınıyor; buradaki mesele ise eski büroda kalan nüshaların ne olacağı ve bunun çoğu zaman hiç konuşulmaması. Vergi mevzuatının aradığı muhafaza süresi boyunca müşavirin belgeyi kendi yükümlülüğü için saklaması ayrı bir konu, ama devirden sonra o veriye erişimin kimde kaldığı yazılı olarak belirlenmeli. ## 2026 ceza tablosu İdari para cezalarının alt ve üst sınırları her yıl yeniden değerleme oranıyla artıyor. 2026 tutarları, 585 sıra numaralı Vergi Usul Kanunu Genel Tebliği ile belirlenen %25,49 oranı uygulanarak güncellendi. | Aykırılık | Alt sınır | Üst sınır | |---|---|---| | Aydınlatma yükümlülüğünün yerine getirilmemesi | 85.437 TL | 1.709.200 TL | | Veri güvenliğine ilişkin yükümlülüklerin ihlali | 256.357 TL | 17.092.242 TL | | VERBİS kayıt ve bildirim yükümlülüğüne aykırılık | 341.809 TL | 17.092.242 TL | | Kurul kararlarının yerine getirilmemesi | 427.263 TL | 17.092.242 TL | Tablodaki ilk satır, bu yazının konusu açısından en anlamlı olanı. Aydınlatma metni hazırlamak bir günlük iş, cezası ise 85.437 TL'den başlıyor. ## Kurulması gereken beş parça Bir KOBİ için uyumun makul asgarisi beş parçadan oluşuyor. **Aydınlatma metni.** İşe giriş dosyasının içine, imza karşılığı. Kişisel verilerin hangi amaçla işlendiği, mali müşavire ve SGK'ya aktarıldığı, saklama süresi ve 11. maddedeki haklar yazılı olmalı. Rıza metni değil, bilgilendirme metni. **Kişisel veri işleme envanteri.** Hangi veriyi tutuyorsunuz, nerede duruyor, kime aktarıyorsunuz, ne kadar saklıyorsunuz. Tek sayfalık bir tablo çoğu işletme için yeterli. **Saklama ve imha politikası.** Burada yaygın bir hata var: çalışan işten ayrılınca dosyasını hemen silmek. Silemezsiniz. Vergi Usul Kanunu belgeleri beş yıl muhafaza ettirir, Türk Ticaret Kanununun 82. maddesi ticari defter ve belgeler için on yıl der, iş hukukundan doğan alacaklarda ise zamanaşımı süreleri devreye girer. Doğru davranış, veriyi süresi dolana kadar erişimi kısıtlanmış biçimde saklamak ve süre dolduğunda periyodik imha ile yok etmektir. **Müşavirle veri paylaşım protokolü.** Gizlilik taahhüdü, kullanılacak kanal, aktarılacak veri kategorileri, ilişkinin sona ermesi hâlinde iade ya da imha. **Kanalın kendisi.** İz bırakan, yetkisi geri alınabilen, silme kaydı tutan bir ortam. Bu beş parçanın hiçbiri pahalı değil. Pahalı olan, altıncı aydan sonra hatırlanması. Meslek mensubu tarafında ise bir kalem daha var: müşterinin çalışanına yapılan aydınlatmayı büro üstlenemez, ama büronun kendi aydınlatma metni de bulunmak zorunda. Mükellefin ortakları, imza yetkilileri ve büroya belge getiren personeli, müşavir açısından ayrı birer ilgili kişi. Uygulamada bu metin çoğu büroda hiç yazılmıyor, çünkü herkes aydınlatmanın yalnızca çalışanla ilgili olduğunu sanıyor. Ayrıntılı rehberler, kişisel veri işleme envanteri örnekleri ve güncel Kurul kararları için [kvkk.gov.tr](https://www.kvkk.gov.tr) doğrudan başvurulacak kaynak. Metinleri sıfırdan yazmak yerine oradaki rehberlerden uyarlamak, hem daha hızlı hem de denetimde daha savunulabilir bir yol. ## İlgili hesaplama araçları - [Ekip Maliyeti](https://poneo.co/hesaplama/ekip-maliyeti) — Kaç kişilik ekip işverene aylık ve yıllık kaça mal olur? Pozisyon bazında 12 aylık maliyet tablosu. ## Sık sorulan sorular ### Mali müşavirime çalışanlarımın kimlik ve maaş bilgilerini göndermem KVKK'ya aykırı mı? Aykırı değil. SGK bildirimi, ücret bordrosu düzenleme ve defter tutma yükümlülükleri nedeniyle bu aktarım 6698 sayılı Kanunun 5. maddesindeki hukuki yükümlülük şartına dayanır ve açık rıza gerektirmez. İhlali doğuran şey aktarımın kendisi değil, çalışana aydınlatma yapılmamış olması ve verinin izi tutulmayan bir kanaldan çıkmasıdır. ### Mali müşavirim veri işleyen mi yoksa ayrı bir veri sorumlusu mu? Ayrı bir veri sorumlusudur. Kişisel Verileri Koruma Kurumunun rehberlerinde meslek mensubunun müşterisinin kayıtlarını tutarken veri sorumlusu sıfatıyla hareket ettiği belirtiliyor, çünkü defter tutma ve beyan yükümlülüğünü müşterinin talimatından değil doğrudan kanundan alıyor. Bu statü sözleşmeye konulacak bir maddeyle karşı tarafa devredilemez. ### Muhasebe büromun VERBİS'e kayıt olması gerekir mi? Serbest muhasebeci mali müşavirler ve yeminli mali müşavirler 2018/32 sayılı Kurul kararıyla kayıttan istisna tutuldu, ancak bu istisna meslek mensubuna tanınmıştır ve mali müşavirlik şirketlerini kapsamaz. Kayıt istisnası aydınlatma, envanter, teknik tedbir ve başvuru cevaplama yükümlülüklerini ortadan kaldırmaz. --- Kaynak: https://poneo.co/blog/kvkk-mali-musavir-mukellef-veri-paylasimi Etiketler: kvkk mali müşavir veri paylaşımı, muhasebe bürosu kvkk yükümlülükleri, veri sorumlusu veri işleyen ayrımı, verbis kayıt zorunluluğu muhasebe, bordro paylaşımı kişisel veri, aydınlatma metni çalışan