Kuaför ve Güzellik Salonu İçin KVKK Rehberi: Aydınlatma, Açık Rıza, VERBİS ve İYS (2026)

Evet, KVKK kuaför, berber ve güzellik salonlarını da kapsar. Müşterinin adını, telefonunu ve randevu geçmişini kaydeden her işletme, 6698 sayılı Kişisel Verilerin Korunması Kanunu'na göre veri sorumlusudur. Bir salonun yapması gereken dört temel iş vardır: müşteriyi aydınlatmak, gereken durumlarda açık rıza almak, verileri güvenle saklamak ve amacı bitince silmek. VERBİS kaydı çoğu küçük salon için zorunlu değildir; kampanya mesajları ise ayrıca İleti Yönetim Sistemi'nde (İYS) kayıtlı onay gerektirir.

Bu yazıda bir salonun hangi verileri işlediğini, aydınlatma metnine neler yazılması gerektiğini, açık rızanın ne zaman gerekip ne zaman gerekmediğini, önce–sonra fotoğraflarını, VERBİS istisnalarını, randevu mesajı ile kampanya mesajı arasındaki İYS farkını ve 2026 ceza tutarlarını anlatıyoruz. Sonda 10 adımlık bir kontrol listesi ve resmî kaynakların bağlantıları var.

KVKK kuaförü ve güzellik salonunu kapsar mı?

Kapsar. Kanun, kişisel veriyi işleyen herkese uygulanır; işletmenin büyüklüğü, şahıs ya da şirket olması bunu değiştirmez. Defterde tutulan bir telefon numarası da, programa yazılan bir randevu da kişisel veridir.

Bu ilişkide iki rol vardır:

• Veri sorumlusu: Verinin neden ve nasıl işleneceğine karar veren işletmenin kendisidir. Müşteriye karşı sorumlu olan salondur.
• Veri işleyen: Veriyi işletme adına işleyen taraftır; örneğin randevu programı sağlayıcısı ya da muhasebe bürosu. Veri işleyen, işletmenin talimatıyla ve sözleşmeye göre çalışır.

Salonda hangi veriler işlenir?

Güzellik salonu, lazer ve cilt bakımı merkezleri ile kliniklerde en çok dikkat edilmesi gereken satır sonuncusudur. Alerji ya da cilt hastalığı bilgisi sağlık verisidir ve Kanun'un 6. maddesine göre özel nitelikli kişisel veri sayılır. Bu verilerin işlenme şartları daha sıkıdır; işlenmesi için genellikle açık rıza gerekir ve ek güvenlik önlemleri alınmalıdır.

Aydınlatma yükümlülüğü: müşteriye ne söylenmeli?

Kişisel veriyi toplarken müşteriyi bilgilendirmek zorunludur. Kanun'un 10. maddesine göre aydınlatma metninde en az şunlar bulunmalıdır:

1. Veri sorumlusunun, yani işletmenin kimliği
2. Verilerin hangi amaçla işleneceği
3. Verilerin kimlere ve hangi amaçla aktarılabileceği
4. Verilerin hangi yöntemle toplandığı ve hukuki sebebi
5. Müşterinin Kanun'un 11. maddesindeki hakları: bilgi isteme, düzeltme, silme, itiraz gibi

Aydınlatma metni randevu sayfasında, web sitesinde ve gerekirse kasada görülebilecek bir yerde olmalıdır. Aydınlatma "bilgi vermek"tir, onay istemek değildir. Bu yüzden aydınlatma metni ile açık rıza metni birbirinden ayrı tutulmalıdır.

Açık rıza ne zaman gerekir, ne zaman gerekmez?

Açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle verilen onaydır. Ancak her işlem için açık rıza gerekmez. Kanun'un 5. maddesindeki diğer şartlardan biri varsa, örneğin işlem bir sözleşmenin kurulması ya da ifası için gerekliyse, rıza aranmaz.

Önce–sonra fotoğrafları

Müşterinin yüzünün ya da saçının göründüğü fotoğraf kişisel veridir. Fotoğrafı yalnız müşteri kaydında, bir sonraki işlemde referans olsun diye tutmak ile Instagram'da paylaşmak ayrı işlemlerdir:

• Kayıtta tutmak: Amacı aydınlatma metninde açıkça yazılmalıdır; fotoğraf yalnız yetkili personelin erişebileceği yerde durmalıdır.
• Sosyal medyada paylaşmak: Müşterinin açık rızası alınmalıdır; tercihen yazılı ve hangi fotoğrafın nerede paylaşılacağı belirtilerek.
• Yüzü göstermemek: Yalnız saçın ya da tırnağın göründüğü, kişinin tanınamadığı kareler riski azaltır; yine de izin istemek en doğrusudur.
• Geri alma: Rızasını geri alan müşterinin fotoğrafı paylaşımdan kaldırılmalıdır.

VERBİS'e kayıt gerekir mi?

VERBİS, veri sorumlularının kaydolduğu sicildir. Kişisel Verileri Koruma Kurulu küçük işletmeler için istisnalar tanımıştır:

VERBİS istisnası, işletmeyi KVKK'nın diğer yükümlülüklerinden muaf tutmaz. Aydınlatma, veri güvenliği ve silme yükümlülükleri VERBİS'e kayıtlı olmayan salonlar için de geçerlidir.

Veri güvenliği: salonda pratik önlemler

Kanun'un 12. maddesi, verilerin hukuka aykırı erişime karşı korunmasını ister. Bir salonda bunun karşılığı çoğu zaman basit alışkanlıklardır:

• Herkes kendi şifresiyle girsin: Ortak şifre, kimin neye baktığını belirsizleştirir.
• Yetkiyi işe göre verin: Her personel tüm müşteri listesini, kasa raporunu ya da telefon numaralarını görmek zorunda değildir.
• Ayrılan personelin erişimini hemen kapatın: İşten ayrılan birinin programa ya da müşteri grubuna erişimi kalmamalıdır.
• Defteri ortada bırakmayın: Kâğıt kayıtlar kilitli bir yerde durmalıdır.
• Müşteri bilgisini kişisel telefonlara dağıtmayın: Personelin kendi telefonunda müşteri listesi tutması kontrolü zorlaştırır.
• Ekranı kilitleyin: Kasada ya da resepsiyonda açık bırakılan ekran, sırada bekleyen müşteriye başkalarının bilgisini gösterebilir.

Bir veri ihlali olursa, örneğin bir bilgisayar çalınır ya da müşteri listesi sızarsa, durum öğrenildikten sonra en kısa sürede ve en geç 72 saat içinde Kurul'a bildirilmelidir; etkilenen müşterilere de bilgi verilmelidir.

Saklama, silme ve müşteri talepleri

• Gerektiği kadar saklayın: Veri, işlenme amacı için gereken süre kadar tutulur. Vergi ve muhasebe kayıtları gibi mevzuatın saklamayı zorunlu kıldığı belgeler o süre boyunca saklanır.
• Amacı bitince silin ya da anonim hâle getirin: Yıllardır gelmeyen müşterinin sağlık notları ya da fotoğrafları süresiz tutulmamalıdır.
• Müşteri başvurularına 30 gün içinde cevap verin: Müşteri, hangi verilerinin işlendiğini öğrenmek, düzeltilmesini ya da silinmesini istemek için başvurabilir. Kanun'un 13. maddesine göre başvuru en geç 30 gün içinde ve kural olarak ücretsiz sonuçlandırılır.

Randevu mesajı mı, kampanya mesajı mı? İYS farkı

Müşteriye gönderilen her mesaj aynı kurala tabi değildir. Ticari elektronik iletiler 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ile düzenlenir ve alıcının onayı İYS'de kayıtlı olmalıdır.

Mesajın içinde indirim, kampanya ya da işletmeyi tanıtan bir çağrı varsa, mesaj bilgilendirme olmaktan çıkar ve ticari ileti sayılır. Randevu onayı ve hatırlatması gibi saf bilgilendirme mesajlarına kampanya eklememek, bu ayrımı korumanın en kolay yoludur. Hatırlatma metni örnekleri için randevu hatırlatma mesajı örnekleri.

KVKK cezaları 2026'da ne kadar?

KVKK'daki idari para cezaları her yıl yeniden değerleme oranıyla güncellenir. 2026 için oran yüzde 25,49 olarak açıklanmıştır (Resmî Gazete, 27.11.2025). Salonları en çok ilgilendiren kalemler:

Ceza tutarı ihlalin niteliğine ve işletmenin durumuna göre bu aralıkta belirlenir. Ticari ileti kurallarına aykırılığın cezaları ise 6563 sayılı Kanun'a göre ayrıca uygulanır.

Randevu programı seçerken KVKK açısından bakılacaklar

Randevu programı KVKK uyumunu tek başına sağlamaz; aydınlatma ve rıza işletmenin sorumluluğudur. Ama iyi bir program bu işleri kolaylaştırır:

10 adımlık KVKK kontrol listesi

1. Hangi verileri, hangi amaçla topladığınızı tek sayfada yazın.
2. Gereksiz veri toplamayın; işinize yaramayan alanları formdan çıkarın.
3. Aydınlatma metnini hazırlayın; randevu sayfasında ve sitenizde yayınlayın.
4. Sağlık bilgisi alıyorsanız ayrı ve açık bir rıza alın.
5. Önce–sonra fotoğrafı paylaşmadan önce yazılı açık rıza alın.
6. Kampanya mesajı gönderecekseniz İYS'ye kaydolun ve onayları orada tutun.
7. Her personele ayrı hesap ve işine göre yetki verin; ayrılanın erişimini hemen kapatın.
8. Kâğıt kayıtları kilitli tutun, ekranları kilitleyin.
9. Saklama sürelerini belirleyin; süresi dolan verileri silin ya da anonim hâle getirin.
10. VERBİS istisnasına girip girmediğinizi her yıl çalışan sayınız ve bilançonuza göre kontrol edin.

Kaynaklar

• 6698 sayılı Kişisel Verilerin Korunması Kanunu (mevzuat.gov.tr)
• Kişisel Verileri Koruma Kurumu
• KVKK kamuoyu duyurusu: özel nitelikli veri işleyenler için VERBİS istisnası, 1 Ekim 2025
• 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun (mevzuat.gov.tr)
• İleti Yönetim Sistemi (İYS)

Sıkça sorulan sorular

KVKK kuaför ve güzellik salonu için zorunlu mu?

Evet. Müşterinin adını, telefonunu ya da randevu geçmişini kaydeden her işletme veri sorumlusudur ve KVKK'ya uymak zorundadır. İşletmenin küçük olması ya da şahıs işletmesi olması bunu değiştirmez.

Salon müşteriden açık rıza almak zorunda mı?

Her işlem için değil. Randevuyu kaydetmek ve hatırlatma göndermek hizmetin gereğidir; bunlar için genellikle açık rıza gerekmez. Alerji ve cilt hastalığı gibi sağlık bilgilerini kaydetmek ve önce–sonra fotoğrafını paylaşmak için ise açık rıza alınmalıdır.

Kuaför VERBİS'e kayıt olmak zorunda mı?

Ana faaliyeti özel nitelikli veri işlemek olmayan, yıllık çalışan sayısı 50'den ve yıllık mali bilanço toplamı 100 milyon TL'den az olan işletmeler VERBİS'e kayıt yükümlülüğünden istisnadır. Çoğu kuaför ve berber bu kapsama girer. İstisna, aydınlatma ve veri güvenliği yükümlülüklerini kaldırmaz.

KVKK cezaları 2026'da ne kadar?

2026'da aydınlatma yükümlülüğüne aykırılığın cezası 85.437 TL ile 1.709.200 TL, veri güvenliği yükümlülüklerine aykırılığın cezası 256.357 TL ile 17.092.242 TL arasındadır. Tutarlar her yıl yeniden değerleme oranıyla güncellenir.

Randevu hatırlatma mesajı için İYS kaydı gerekir mi?

Randevu onayı ve hatırlatması gibi alınan hizmete ilişkin bilgilendirme mesajları için genellikle İYS onayı gerekmez. Mesaja indirim ya da kampanya eklenirse mesaj ticari ileti sayılır ve önceden onay ile İYS kaydı gerekir.

Müşterinin önce–sonra fotoğrafını Instagram'da paylaşabilir miyim?

Müşterinin açık rızasını almadan paylaşmamalısınız. Rızayı tercihen yazılı alın, hangi fotoğrafın nerede paylaşılacağını belirtin ve müşteri rızasını geri alırsa fotoğrafı kaldırın.

Randevu programı KVKK uyumunu sağlar mı?

Tek başına sağlamaz; aydınlatma, açık rıza ve saklama kararları işletmenin sorumluluğudur. Ancak verilerin nerede tutulduğu, kişiye özel giriş, personele göre yetki ve silme gibi özellikler uyumu kolaylaştırır. Program seçerken bu soruları sağlayıcıya sorun.