Enerji Şirketlerinde KVKK Uyum Rehberi 2026 | Enerji Hukuku ve Veri Güvenliği

Enerji şirketlerinde KVKK uyumu nasıl sağlanır? GES, RES, elektrik üretim ve dağıtım şirketleri için kişisel veri işleme süreçleri, VERBİS, veri güvenliği, SCADA sistemleri, çalışan verileri ve 2026 güncel hukuki yükümlülükler hakkında kapsamlı rehber

Enerji sektörü, dijital dönüşümün en hızlı yaşandığı alanlardan biridir. Güneş Enerji Santralleri (GES), Rüzgâr Enerji Santralleri (RES), elektrik üretim şirketleri, dağıtım şirketleri, tedarik şirketleri ve enerji depolama tesisleri; çalışanlara, abonelere, tedarikçilere, ziyaretçilere ve iş ortaklarına ait çok sayıda kişisel veriyi işlemektedir.

Akıllı sayaçlar, SCADA sistemleri, uzaktan izleme altyapıları, mobil uygulamalar, çağrı merkezleri ve ERP sistemlerinin yaygınlaşmasıyla birlikte enerji şirketlerinin 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamındaki yükümlülükleri daha da önem kazanmıştır. Bunun yanında enerji sektörüne özgü Enerji Sektöründe Siber Güvenlik Yetkinlik Modeli Yönetmeliği ile kritik altyapılar için ilave teknik ve idari güvenlik tedbirleri öngörülmektedir.

Özellikle Ankara, İstanbul, İzmir, Bursa ve Mersin gibi enerji yatırımlarının yoğun olduğu şehirlerde faaliyet gösteren şirketlerin KVKK uyum süreçlerini eksiksiz tamamlaması; idari para cezalarının, tazminat davalarının ve itibar kayıplarının önlenmesi açısından kritik öneme sahiptir.

---

KVKK Nedir?

KVKK, kişisel verilerin hukuka uygun şekilde işlenmesini, saklanmasını, aktarılmasını ve korunmasını düzenleyen temel kanundur.

Enerji şirketleri;

• çalışan verileri,
• müşteri bilgileri,
• ziyaretçi kayıtları,
• kamera görüntüleri,
• araç takip kayıtları,
• biyometrik veriler,
• tedarikçi bilgileri,
• çağrı merkezi kayıtları

gibi çok sayıda kişisel veriyi işlemektedir.

---

Hukuki Dayanak

Enerji şirketlerinin KVKK uyumunda başlıca aşağıdaki düzenlemeler uygulanmaktadır:

• 6698 sayılı Kişisel Verilerin Korunması Kanunu
• KVKK ikincil düzenlemeleri
• Türk Borçlar Kanunu
• Türk Ticaret Kanunu
• Elektrik Piyasası Kanunu
• Elektrik Piyasası Lisans Yönetmeliği
• 7545 sayılı Siber Güvenlik Kanunu
• Enerji Sektöründe Siber Güvenlik Yetkinlik Modeli Yönetmeliği
• KVKK Kurul kararları ve rehberleri

---

Enerji Şirketleri Hangi Verileri İşler?

Enerji sektöründe en sık işlenen kişisel veriler şunlardır:

• Ad-soyad
• T.C. kimlik numarası
• İletişim bilgileri
• Abonelik bilgileri
• Fatura bilgileri
• Sayaç verileri
• Konum verileri
• Kamera kayıtları
• Personel özlük dosyaları
• SGK bilgileri
• Banka hesap bilgileri
• Araç giriş-çıkış kayıtları
• IP adresleri
• SCADA kullanıcı kayıtları
• Sistem erişim logları

---

Veri İşleme Şartları

Enerji şirketleri kişisel verileri;

• Kanuni yükümlülük,
• Sözleşmenin kurulması veya ifası,
• Hukuki yükümlülüğün yerine getirilmesi,
• Meşru menfaat,
• Açık rıza (gerektiği durumlarda)

gibi hukuki sebeplere dayanarak işleyebilir.

Her veri işleme faaliyeti için uygun hukuki sebep belirlenmelidir.

---

Aydınlatma Yükümlülüğü

KVKK kapsamında veri sahiplerine;

• hangi verilerin işlendiği,
• hangi amaçla işlendiği,
• kimlere aktarılabileceği,
• ne kadar süre saklanacağı,
• haklarının neler olduğu

açık ve anlaşılır şekilde bildirilmelidir.

---

Açık Rıza Her Zaman Gerekli midir?

Hayır.

Enerji şirketleri birçok veriyi açık rıza olmaksızın da işleyebilir.

Ancak;

• pazarlama faaliyetleri,
• ticari elektronik ileti,
• bazı üçüncü kişi veri aktarımları

gibi işlemlerde açık rıza gerekebilir.

---

VERBİS Yükümlülüğü

Kanunda öngörülen şartları sağlayan veri sorumluları için VERBİS kaydı zorunluluğu devam etmektedir.

Şirketlerin;

• veri kategorileri,
• işleme amaçları,
• alıcı grupları,
• saklama süreleri

gibi bilgileri doğru şekilde kayıt altına alması gerekir.

---

Çalışan Verilerinin Korunması

Enerji şirketlerinde;

• özlük dosyaları,
• performans kayıtları,
• disiplin kayıtları,
• giriş çıkış kayıtları,
• vardiya planları,
• biyometrik veriler

KVKK hükümlerine uygun şekilde işlenmelidir.

---

Kamera Sistemleri

GES ve RES sahalarında kullanılan güvenlik kameraları nedeniyle;

• aydınlatma metni hazırlanmalı,
• kayıt süreleri belirlenmeli,
• erişim yetkileri sınırlandırılmalı,
• kayıtlar güvenli şekilde saklanmalıdır.

---

SCADA ve Log Kayıtları

SCADA sistemlerinde bulunan kullanıcı kayıtları, IP adresleri ve erişim logları kişisel veri niteliği taşıyabilir.

Bu nedenle;

• erişim yetkilendirmesi,
• log güvenliği,
• veri bütünlüğü,
• düzenli yedekleme

sağlanmalıdır. Enerji sektörüne özgü siber güvenlik modeli, üretim tesisleri için teknik kontrol maddeleri ve referans topolojiler öngörmektedir.

---

Veri Güvenliği Tedbirleri

Enerji şirketleri en azından;

• erişim kontrolü,
• çok faktörlü kimlik doğrulama,
• şifreleme,
• log yönetimi,
• yedekleme,
• sızma testleri,
• ağ segmentasyonu,
• antivirüs ve EDR çözümleri,
• çalışan eğitimleri

gibi teknik ve idari tedbirleri uygulamalıdır.

---

Kişisel Verilerin Aktarılması

Enerji şirketleri;

• bulut hizmet sağlayıcılarına,
• ERP firmalarına,
• çağrı merkezi şirketlerine,
• hukuk bürolarına,
• muhasebe firmalarına,
• bakım şirketlerine

veri aktarırken KVKK hükümlerine uygun hareket etmelidir.

Veri işleyenlerle yazılı sözleşmeler yapılması önemlidir.

---

Veri İhlali Durumunda Yapılması Gerekenler

Veri ihlali meydana geldiğinde;

1. Olay derhal tespit edilmelidir.
2. İhlalin kapsamı belirlenmelidir.
3. Deliller korunmalıdır.
4. Sistem güvenliği sağlanmalıdır.
5. Gerekli değerlendirme yapılmalıdır.
6. KVKK kapsamındaki bildirim yükümlülükleri yerine getirilmelidir.
7. İlgili kişiler bilgilendirilmelidir.
8. Olay kayıt altına alınmalıdır.

---

Delil Olarak Kullanılabilecek Belgeler

• KVKK politika ve prosedürleri
• VERBİS kayıtları
• Aydınlatma metinleri
• Açık rıza metinleri
• Veri işleme envanteri
• Log kayıtları
• SCADA kayıtları
• Kamera kayıtları
• Siber olay raporları
• Penetrasyon test raporları
• Bilirkişi raporları
• Veri işleyen sözleşmeleri

---

Hukuki Riskler

KVKK’ya aykırı uygulamalar;

• idari para cezaları,
• veri ihlali süreçleri,
• tazminat davaları,
• ticari itibar kaybı,
• sözleşmesel uyuşmazlıklar,
• müşteri güveninin azalması

gibi önemli sonuçlara yol açabilir.

---

Şirketler İçin Öneriler

Enerji şirketlerinin;

• KVKK uyum projesi yürütmesi,
• veri envanteri hazırlaması,
• VERBİS kayıtlarını güncel tutması,
• veri saklama-imha politikası oluşturması,
• çalışanlara düzenli KVKK eğitimi vermesi,
• SCADA ve OT sistemlerini güvenlik açısından denetlemesi,
• veri işleyen sözleşmelerini güncellemesi,
• düzenli penetrasyon testleri yaptırması,
• ISO 27001 ve EPDK siber güvenlik gerekliliklerine uyum sağlaması,
• KVKK ve siber güvenlik süreçlerini birlikte yönetmesi

olası hukuki ve mali riskleri önemli ölçüde azaltacaktır.

Enerji sektöründe KVKK uyumu yalnızca kişisel verilerin korunması anlamına gelmez; aynı zamanda kurumsal yönetim, bilgi güvenliği, sözleşme yönetimi ve kritik altyapı güvenliğinin de ayrılmaz bir parçasıdır. Bu nedenle FFK PARTNER HUKUK VE DANIŞMANLIK bünyesinde görev yapan Arb. Av. Fırat Fesih Kaya, enerji şirketlerinin düzenli KVKK uyum denetimleri yaptırmasını, veri işleme süreçlerini periyodik olarak gözden geçirmesini ve EPDK’nın sektörel siber güvenlik gereklilikleriyle entegre bir uyum programı oluşturmasını önermektedir.

2026 Güncel Değerlendirme

2026 yılı itibarıyla KVKK uygulamaları ile enerji sektörüne özgü siber güvenlik yükümlülükleri birlikte değerlendirilmektedir. EPDK’nın Enerji Sektöründe Siber Güvenlik Yetkinlik Modeli Yönetmeliği elektrik üretim tesisleri için GES, RES ve diğer tesislere özgü teknik kontrol maddeleri ve referans mimariler içermektedir. Bunun yanında KVKK, veri güvenliği tedbirleri ve veri ihlali süreçlerine ilişkin rehber ve kararlarını güncellemeye devam etmektedir.

Resmî Kurumlara Dış Bağlantı Önerileri

• Enerji Piyasası Düzenleme Kurumu (EPDK)
• Kişisel Verileri Koruma Kurumu (KVKK)
• Siber Güvenlik Başkanlığı
• Enerji ve Tabii Kaynaklar Bakanlığı
• Bilgi Teknolojileri ve İletişim Kurumu (BTK)
• UYAP
• Mevzuat Bilgi Sistemi
• Türkiye Noterler Birliği
• TEİAŞ
• TÜBİTAK BİLGEM

Enerji şirketleri KVKK kapsamında veri sorumlusu mudur?

Evet. Kişisel veri işleyen enerji şirketleri, işledikleri veriler bakımından KVKK kapsamındaki yükümlülüklere tabidir.

SCADA sistemlerindeki log kayıtları kişisel veri sayılır mı?

İçeriğine göre kullanıcı bilgileri, IP adresleri ve erişim kayıtları kişisel veri niteliği taşıyabilir.

Her enerji şirketinin VERBİS kaydı yaptırması gerekir mi?

Hayır. VERBİS yükümlülüğü kanunda ve ilgili düzenlemelerde belirtilen kriterlere göre değerlendirilir.

Çalışan kameraları KVKK kapsamında mıdır?

Evet. Kamera kayıtlarının işlenmesi KVKK hükümlerine tabidir ve aydınlatma yükümlülüğü gibi kurallara uyulmalıdır.

Veri ihlali olursa ne yapılmalıdır?

İhlal kontrol altına alınmalı, gerekli teknik inceleme yapılmalı ve KVKK kapsamındaki bildirim yükümlülükleri yerine getirilmelidir.

EPC yüklenicileri de KVKK kapsamında sorumlu olabilir mi?

Kişisel veri işleyen veya veri işleyen sıfatıyla hareket eden yükleniciler, kendi faaliyetleri bakımından KVKK kapsamındaki yükümlülüklere tabi olabilir.

Enerji şirketleri neden düzenli KVKK denetimi yaptırmalıdır?

Mevzuata uyumun sağlanması, veri ihlali riskinin azaltılması ve idari yaptırımların önlenmesi için periyodik denetimler önemlidir.

Enerji şirketleri neden avukat desteği almalıdır?

KVKK uyum sürecinin kurulması, veri işleme sözleşmelerinin hazırlanması, veri ihlallerinin yönetilmesi ve olası idari veya hukuki süreçlerin doğru yürütülmesi açısından uzman hukuki danışmanlık büyük önem taşır.

Uzman Hukuki Destek

Enerji şirketlerinde KVKK uyumu; enerji hukuku, bilişim hukuku, ticaret hukuku ve siber güvenlik mevzuatının birlikte değerlendirilmesini gerektirir. FFK PARTNER HUKUK VE DANIŞMANLIK ve Arb. Av. Fırat Fesih Kaya, enerji şirketlerine KVKK uyum projeleri, VERBİS süreçleri, veri işleme sözleşmeleri, siber güvenlik uyumu, idari denetimler ve veri ihlallerinden kaynaklanan uyuşmazlıklarda profesyonel hukuki danışmanlık sunmaktadır.

Hemen Ara: 0312 434 22 22
WhatsApp: 0532 769 22 22
E-posta: ffk@ffkpartnerhukuk.com.tr

Uyarı: Bu makale genel bilgilendirme amaçlı olup, herhangi bir hak kaybına uğramamak adına kendi özel durumunuz için avukatınıza danışmanızı tavsiye ederiz.