GRC PERSPEKTİF: VERİ KORUMA & UYUM BÜLTENİ– AĞUSTOS 2026
TÜRKİYE’DE NELER OLUYOR?
Kişisel Verileri Koruma Kurumu Tarafından Kırk Yedi Adet Yeni Kurul Kararı Yayımlandı!
Kişisel Verileri Koruma Kurumu (“Kurum”) tarafından 10 Ağustos 2026 tarihinde Kişisel Verileri Koruma Kurulu (“Kurul”)’nun yeni karar özetleri yayımlanmıştır.
Yayımlanan karar özetlerinde reklam ve pazarlama amaçlı izinsiz ticari ileti gönderilmesi, uçak içi internet hizmetinin açık rıza şartına bağlanması, güvenlik kameralarıyla ses ve görüntü kaydı alınması, internet sitelerinde çerez kullanımı, finans ve sigorta sektörlerinde kişisel veri işleme faaliyetleri, çalışan verileri, veri ihlalleri ve ilgili kişi başvuruları gibi farklı konulara ilişkin Kurul değerlendirmelerine yer verilmiştir.
Kararların tamamı farklı sektörler bakımından yol gösterici nitelikte olmakla birlikte, hizmet sunumunun açık rıza şartına bağlanması ile kamera, çerez ve pazarlama süreçlerinin birlikte değerlendirildiği kararların, geniş bir veri sorumlusu kitlesini ilgilendirmesi nedeniyle özellikle öne çıktığı değerlendirilmektedir.
Uçak İçi İnternet Hizmetinin Açık Rıza Şartına Bağlanmasına İlişkin Kurul Kararı
Kurul’un 15.08.2024 tarihli ve 2024/1393 sayılı Karar Özeti, uçak yolculuğu sırasında sunulan internet hizmetinden yararlanmak isteyen bir kişinin, üyelik aşamasında belirli veri işleme ve paylaşım faaliyetlerini kabul etmek zorunda bırakılmasına ilişkin şikâyeti konu almaktadır.
Şikâyete konu olayda ilgili kişi, uçuş sırasında sunulan internet paketinden yararlanmak amacıyla yönlendirildiği internet sitesinde, işleme devam edebilmek için iki ayrı onay kutusuyla karşılaştığını belirtmiştir. Bunlardan birinde, havayolu şirketine bildirilen bilgilerin internet kullanıcı bilgilerinin doğrulanması amacıyla ilgili makamlar ve internet servis sağlayıcısıyla paylaşılmasının kabul edilmesi istenmiştir. İlgili kişi, bu onay verilmeden internet hizmetinden yararlanılamadığını; işleme faaliyetinin Kanun’un 5’inci maddesindeki diğer işleme şartlarından birine dayanması mümkünken açık rıza talep edilmesinin hukuka ve dürüstlük kurallarına uygun olma ilkesiyle bağdaşmadığını ileri sürmüştür.
İnceleme kapsamında havayolu şirketi, 5809 sayılı Elektronik Haberleşme Kanunu gereğince internet hizmetinin yetkilendirilmiş internet servis sağlayıcısı tarafından sunulduğunu, internet hizmetine ilişkin sözleşmenin ilgili kişiyle servis sağlayıcı arasında kurulduğunu ve havayolu şirketinin bu sözleşmenin tarafı olmadığını belirtmiştir. Kurulun değerlendirmesinde de kişisel veri işleme faaliyetinin amaç ve vasıtalarını belirleyen tarafın tespitine odaklanılmış ve somut hizmet bakımından veri sorumluluğu rolü incelenmiştir.
Karar, özellikle ücretsiz veya tamamlayıcı dijital hizmetlerin sunumunda açık rızanın konumlandırılması bakımından önem taşımaktadır. Bir hizmetin alınabilmesi için zorunlu tutulan onayların, ilgili kişiye gerçek bir tercih olanağı bırakıp bırakmadığının değerlendirilmesi gerekmektedir. Nitekim Kanun’da açık rıza, belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlanmaktadır. Kurum’un açık rızaya ilişkin açıklamalarında da rızanın özgür iradeye dayanmasının geçerlilik şartlarından biri olduğu belirtilmektedir.
GRC LEGAL PERSPEKTİFİ
İlgili karar, veri sorumlularının hizmet sunumu sırasında kullandıkları onay ekranlarını yalnızca teknik bir üyelik adımı olarak değerlendirmemesi gerektiğini göstermektedir. Özellikle temel hizmetin sunulması için zorunlu olmayan reklam, pazarlama, profilleme veya ilave veri paylaşımı faaliyetlerinin hizmete erişim şartı hâline getirilmesi, açık rızanın özgür iradeye dayanması unsurunu zedeleyebilecektir.
Bu kapsamda dijital hizmet sağlayıcıların; sözleşmenin kurulması veya ifası için gerçekten gerekli olan veri işleme faaliyetleri ile tercihe bağlı işlemleri birbirinden ayırmaları, her işleme amacı bakımından doğru hukuki sebebi belirlemeleri ve açık rızaya dayanan faaliyetler yönünden reddetme seçeneğini işlevsel şekilde sunmaları önem taşımaktadır. Veri sorumlusu ve veri işleyen rollerinin de yalnızca taraflar arasındaki sözleşmede kullanılan sıfatlara göre değil, kişisel veri işleme faaliyetinin amaç ve vasıtalarını fiilen belirleyen taraf dikkate alınarak değerlendirilmesi gerekmektedir.
Kamera, Ses Kaydı, Çerez ve Pazarlama Amaçlı Açık Rıza Süreçlerine İlişkin Kurul Kararı
Kurul’un 08.08.2024 tarihli ve 2024/1361 sayılı Karar Özeti, tek bir uyuşmazlık kapsamında güvenlik kamerasıyla ses ve görüntü kaydı alınması, aydınlatma yükümlülüğünün yerine getirilmemesi, internet sitesinde çerezler vasıtasıyla kişisel verilerin işlenmesi ve hizmet sunumunun reklam ve pazarlama amaçlı açık rızaya bağlanması iddialarını birlikte ele almaktadır.
Şikâyete konu olayda ilgili kişi, öğrenci sıfatıyla veri sorumlusunun ofisinde bulunduğu sırada bir çalışanla yaptığı görüşmenin ses ve görüntü kaydının alındığını sonradan öğrendiğini; kamera ve ses kaydı yoluyla gerçekleştirilen kişisel veri işleme faaliyeti hakkında kendisine herhangi bir aydınlatma yapılmadığını ileri sürmüştür. İlgili kişi ayrıca, görüntü kaydına ek olarak ses kaydı alınmasının daha müdahaleci bir yöntem olduğunu ve sürekli gözetim algısı yaratabilecek bu uygulamanın ölçülülük ilkesiyle bağdaşmadığını belirtmiştir.
Güvenlik kameraları aracılığıyla görüntü kaydı alınması açıkça bir kişisel veri işleme faaliyetidir. Kurum’un iş yerlerinde güvenlik kamerası kullanımına ilişkin kamuoyu duyurusunda, kamera sistemlerinin belirlenen amaç dışında veya ölçüsüz şekilde kullanılmasının özel hayatın gizliliği hakkına müdahale edebileceği ve kişisel verilerin hukuka aykırı işlenmesine yol açabileceği belirtilmiştir. Kurum ayrıca, kamera kullanımının Kanun’un 5’inci maddesinde yer alan bir işleme şartına dayanması ve Kanun’da öngörülen diğer yükümlülüklere uygun olarak yürütülmesi gerektiğini vurgulamıştır.
Ses kaydının görüntü kaydıyla birlikte alınması ise ayrıca değerlendirilmesi gereken bir veri işleme faaliyetidir. Ortam güvenliğinin yalnızca görüntü kaydıyla sağlanmasının mümkün olduğu durumlarda sürekli ses kaydı yapılması, amaçla bağlantılı, sınırlı ve ölçülü olma ilkesi bakımından daha yüksek risk doğurmaktadır. Kurul’un önceki kararlarında da ses kaydının görüntü kaydına kıyasla daha müdahaleci bir yöntem olduğu ve somut amaç bakımından gerekliliğinin ayrıca ortaya konulması gerektiği değerlendirilmiştir.
Kararda internet sitesinde kullanılan çerezler aracılığıyla gerçekleştirilen kişisel veri işleme faaliyetleri ile reklam ve pazarlama süreçleri de incelenmiştir. Bu yönüyle karar, fiziksel ortamda kamera sistemleriyle gerçekleştirilen veri işleme faaliyetlerinin yanı sıra internet sitesi ve pazarlama süreçlerindeki veri işleme uygulamalarının da aynı veri sorumlusunun hesap verebilirlik yükümlülüğü kapsamında bütüncül biçimde değerlendirilebileceğini göstermektedir.
Aydınlatma yükümlülüğü ile açık rıza alma süreçlerinin birbirinden ayrılması da kararın önemli sonuçlarından biri olarak değerlendirilmektedir. Kurul’un 18.02.2026 tarihli ve 2026/347 sayılı İlke Kararı uyarınca, aydınlatma yükümlülüğünün kişisel veri işlemeye başlamadan önce ve ilgili kişinin onayından bağımsız olarak yerine getirilmesi; veri işleme faaliyetinin açık rızaya dayanması hâlinde ise aydınlatma ve açık rıza metinlerinin ayrı ayrı düzenlenmesi gerekmektedir.
GRC LEGAL PERSPEKTİFİ
İlgili karar, veri koruma uyumunun yalnızca aydınlatma metni hazırlanmasıyla sınırlı bir dokümantasyon faaliyeti olmadığını açıkça ortaya koymaktadır. Kamera ve ses kaydı sistemlerinin teknik özellikleri, kameraların konumu, kayıt kapsamı, erişim yetkileri, saklama süreleri, çerezlerin işlevleri ve pazarlama izin ekranlarının tasarımı birlikte değerlendirilmelidir.
Özellikle güvenlik amacıyla kurulan sistemlerde ses kaydının varsayılan olarak açık bırakılması yerine, kaydın somut amaç bakımından gerekli olup olmadığı ayrıca değerlendirilmelidir. İnternet sitelerinde ise zorunlu çerezlerle analitik ve reklam çerezleri ayrıştırılmalı; zorunlu olmayan çerezler yönünden ilgili kişiye gerçek ve dengeli bir tercih olanağı tanınmalıdır. Pazarlama amacıyla alınacak açık rızanın da eğitim, üyelik veya başka bir temel hizmetin ön şartı olarak sunulmaması gerektiği hususu gözetilmelidir.
Mesai Takibi Amacıyla Biyometrik Veri İşlenmesine İlişkin Kamuoyu Duyurusu Yayımlandı!
Kurum tarafından 27 Ağustos 2026 tarihinde yayımlanan kamuoyu duyurusu, farklı sektörlerde faaliyet gösteren veri sorumlularının ilgili İlke Kararı’nın kapsamına ve uygulanmasına ilişkin görüş talepleri üzerine hazırlanmıştır.
Kurul’un 29.04.2026 tarihli ve 2026/921 sayılı İlke Kararı’nda, parmak izi, yüz tanıma, iris ve retina taraması gibi biyometrik tanımlama sistemlerinin hızlı ve manipülasyona dirençli olmakla birlikte kişisel verilerin korunması bakımından son derece hassas bir alan oluşturduğu belirtilmiştir. İşçi ve işveren arasındaki yapısal güç dengesizliğinin, çalışan tarafından verilen açık rızanın özgür iradeye dayanıp dayanmadığı konusunda ciddi tereddütler doğurabileceği de özellikle vurgulanmıştır.
İlke Kararı’nda, çalışma sürelerinin takip ve belgelendirilmesine ilişkin hukuki yükümlülükler bulunmasına karşın, bu takibin biyometrik tanımlama sistemleri aracılığıyla yapılmasını açıkça öngören bir kanuni düzenleme bulunmadığı ifade edilmiştir. Çalışanın rıza göstermeme veya rızasını geri çekme imkânının etkin biçimde sunulmadığı ya da rıza göstermemenin çalışan açısından olumsuz sonuç doğurabildiği durumlarda, açık rızanın özgür iradeye dayandığından söz edilemeyeceği belirtilmiştir.
Biyometrik verilerin mesai takibi amacıyla yalnızca açık rıza şartına dayanılarak işlenmesinin de kural olarak yeterli bir hukuki zemin oluşturmayacağı değerlendirilmiştir.
İlgili kamuoyu duyurusu ile; parmak izi veya avuç içi taraması gibi yöntemlerle elde edilen verilerin matematiksel bir koda dönüştürülerek veri tabanında saklanmasının, bunların biyometrik veri niteliğini ortadan kaldırmadığı açıklığa kavuşturulmuştur. Belirli bir teknik yöntem kullanılarak gerçek kişiyi benzersiz biçimde tanımlamaya veya doğrulamaya elverişli hâle getirilen veriler biyometrik veri olmaya devam etmektedir.
Kurum ayrıca, bazı tesis ve faaliyet alanlarının taşıdığı güvenlik riski bakımından genel mesai takibi uygulamalarından ayrılabileceğini; ancak bu alanlarda gerçekleştirilecek biyometrik veri işleme faaliyetlerinin de yalnızca gerekli kritik alanlar ve kişilerle sınırlı ve ölçülü olması gerektiğini belirtmiştir.
İlke Kararı’nın yalnızca mesai takibi amacıyla gerçekleştirilen biyometrik veri işleme faaliyetlerine yönelik olduğu, mesai takibi dışındaki faaliyetlerin hukuka uygunluğunun ise işleme amacı, işin niteliği ve somut olayın özellikleri çerçevesinde veri sorumlusu tarafından ayrıca değerlendirilmesi gerektiği açıklanmıştır.
GRC LEGAL PERSPEKTİFİ
Kurum’un yaklaşımı, biyometrik sistemlerin hızlı veya operasyonel açıdan elverişli olmasının tek başına bu sistemlerin kullanımını hukuka uygun hâle getirmediğini göstermektedir. Çalışan devam kontrolünün kartlı geçiş, kişisel şifre, mobil uygulama veya benzeri daha az müdahaleci yöntemlerle sağlanabildiği durumlarda biyometrik veri kullanımının gerekliliğini ve ölçülülüğünü ortaya koymak güçleşmektedir.
Veri sorumlularının mevcut biyometrik sistemleri bakımından öncelikle işleme amacını, hukuki sebebi, alternatif yöntemleri, erişim yetkilerini, saklama sürelerini ve uygulamanın çalışan üzerindeki etkilerini değerlendirmesi gerekir. Güvenlik bakımından kritik kabul edilen alanlarda dahi biyometrik doğrulamanın tüm çalışanları ve tüm tesis alanlarını kapsayacak şekilde yaygınlaştırılması yerine, gerekli alanlar ve kişilerle sınırlandırılması önem taşımaktadır.
Sadakat Kartı Uygulamalarına İlişkin Uyum Süresi 28 Şubat 2027’ye Uzatıldı!
Kurum tarafından yayımlanan 13 Ağustos 2026 tarihli kamuoyu duyurusu ile “Sadakat Kart Üyeliği Bulunan Bir Kişinin Cep Telefonu Numarasının veya Sadakat Kart Numarasının Üçüncü Bir Kişi Tarafından Alışveriş Esnasında Kullanılması Hakkında İlke Kararı”na uyum süresi uzatılmıştır. Bu kapsamda veri sorumlularının sadakat kart sahibi ilgili kişinin cep telefonu numarasının veya sadakat kart numarasının kasa görevlisine bildirilmesi suretiyle gerçekleştirilen alışveriş işleminin ilgili kişinin bilgisi ve rızası dahilinde gerçekleştiğinin doğrulanmasını sağlayacak mekanizmaları oluşturulabilmesi için son tarih 28 Şubat 2027 olarak belirlenmiştir.
Kurul’un 11.02.2026 tarihli ve 2026/266 sayılı İlke Kararı, başta gıda, kozmetik, teknoloji, yapı market ve giyim olmak üzere çeşitli sektörlerde uygulanan sadakat programlarında, bir kişiye ait cep telefonu veya sadakat kartı numarasının üçüncü kişilerce alışveriş sırasında kullanılmasını konu almaktadır. Kurul, ilgili kişinin bilgisi ve iradesi dışında herhangi bir doğrulama yapılmaksızın gerçekleştirilen işlemlerin hukuka aykırı kişisel veri işleme faaliyetine ve kişisel veri ihlallerine yol açabileceğini değerlendirmiştir.
İlke Kararı’nda, üyelik aşamasında SMS yoluyla tek kullanımlık doğrulama kodu gönderilmesi veya mobil uygulama ya da internet sitesi üzerinden barkod ve QR kod okutulması gibi yöntemlerin kullanılabildiğine dikkat çekilmiştir. Buna karşılık üyelik sonrasında, yalnızca telefon ya da kart numarasının kasa görevlisine söylenmesi suretiyle üçüncü kişiler tarafından alışveriş yapılması ve işlemin kart sahibi adına kaydedilmesi riskli bulunmuştur. Kurulun temel beklentisi, sadakat kartı üzerinden yapılan işlemin gerçekten ilgili kişinin bilgisi ve iradesi dâhilinde gerçekleştiğinin doğrulanmasını sağlayacak mekanizmaların kurulmasıdır.
Uyum süresinin uzatılması, söz konusu yükümlülüklerin ortadan kaldırıldığı veya uygulamanın belirsiz süreyle ertelendiği anlamına gelmemektedir. Veri sorumlularının 28 Şubat 2027 tarihine kadar sadakat programlarının teknik altyapısını, kasa süreçlerini, üyelik koşullarını, doğrulama yöntemlerini ve kişisel veri işleme akışlarını İlke Kararı’na uygun hâle getirmesi gerekmektedir.
GRC LEGAL PERSPEKTİFİ
Sadakat programları bakımından tek tip doğrulama yöntemi benimsenmesi yerine, işlem niteliğine ve risk seviyesine uygun çözümler tasarlanabilecek olup doğrulama modelinin müşteri deneyimini kolaylaştırma amacıyla etkisiz hâle getirilmemesi ve üyelik hesabının üçüncü kişilerce kullanılmasını fiilen engelleyebilmesi gerekmektedir.
Perakende, e-ticaret ve hizmet sektörlerinde faaliyet gösteren veri sorumlularının tanınan ek süreyi yalnızca teknik geliştirme dönemi olarak değil, uçtan uca uyum dönemi olarak değerlendirmesi önem arz etmektedir. Üyelik sözleşmeleri ve aydınlatma metinlerinin yanı sıra, kasa görevlisi talimatları, çağrı merkezi senaryoları, mobil uygulama akışları, işlem logları ve müşteri şikâyeti süreçleri de gözden geçirilmesi tavsiye edilmektedir.
Dijital Reklamcılıkta Yeni Uyum Dönemi Başladı!
Ticaret Bakanlığı Tüketicinin Korunması ve Piyasa Gözetimi Genel Müdürlüğü ile Mevzuat Uyum Derneği iş birliğinde düzenlenen “Ticari Reklam ve Haksız Ticari Uygulamalarda Yeni Dönem: Yönetmelik Değişikliklerine Uyum Çalıştayı” 20 Ağustos tarihinde gerçekleştirilmiş olup Ticari Reklam ve Haksız Ticari Uygulamalar Yönetmeliği’nde yapılan ve 1 Ağustos 2026 tarihinde yürürlüğe giren değişiklikler ile bu değişikliklerin uygulamaya etkileri ele alınmıştır.
Özellikle hedefli reklamcılık alanında uygulamanın şekillenmesine yardımcı olacak ikincil yönlendirmelerin ve rehber dokümanların hazırlanmasının beklendiği ifade edilmiştir. Hedefli reklamcılık faaliyetleri bakımından kişisel verilerin kullanımı, tüketicilerin bilgilendirilmesi ve reklam gösterim kriterlerinin açıklanması konularında KVKK düzenlemelerinin de belirleyici olmaya devam edeceği değerlendirilmiştir. Bu nedenle işletmelerin reklam mevzuatı ile veri koruma yükümlülüklerini birlikte değerlendirmesi gerekecektir.
Yapay zekâ destekli reklam uygulamaları bakımından ise Yönetmelikte yer verilen “tüketicinin ekonomik davranışını önemli ölçüde etkileyebilecek” ifadesinin uygulamadaki sınırlarının zaman içerisinde netleşmesinin beklendiği belirtilmektedir. Bu süreçte reklam faaliyetlerinin temel reklam hukuku ilkeleri olan doğruluk, dürüstlük, şeffaflık ve tüketiciyi yanıltmama prensipleri çerçevesinde değerlendirilmesinin önem taşıdığı ifade edilmektedir. Bu yaklaşım, yapay zekâ kullanımının tek başına değil, ortaya çıkardığı tüketici etkisi üzerinden değerlendirileceğini göstermektedir.
Sosyal medya etkileyicileri aracılığıyla gerçekleştirilen reklam faaliyetleri bakımından da yeni yükümlülüklerin uygulamaya yansımaları değerlendirilmiştir. Reklam içeriğinin yapay zekâ desteğiyle oluşturulması veya kurgusal unsurlar içermesi tek başına hukuka aykırılık oluşturmasa da, ilgili kişinin rızasının bulunması ve reklamın niteliğinin tüketiciler tarafından açıkça anlaşılabilir olması gerektiği vurgulanmaktadır. Bu kapsamda influencer reklamlarının da reklam mevzuatının genel ilkelerine ve açıklama yükümlülüklerine uygun şekilde yürütülmesi önem taşımaktadır.
Yeni düzenlemelerde çocuklara yönelik reklam uygulamaları da dikkat çeken alanlardan biri olarak öne çıkmaktadır. Özellikle çocukları veya çocuk olduğu tahmin edilen kullanıcı gruplarını hedef alan reklam faaliyetlerinin daha yakından izleneceği; buna karşılık çocukların da izleyici kitlesi içerisinde yer aldığı ancak doğrudan onları hedeflemeyen reklamlar bakımından daha dengeli bir değerlendirme yaklaşımının benimsenmesinin beklendiği ifade edilmektedir. Bu yaklaşım, çocukların korunmasına ilişkin ilkelerin hedefli reklamcılık ve dijital pazarlama faaliyetlerinde daha görünür hale geldiğini göstermektedir.
İndirimli satış reklamlarına ilişkin düzenlemeler bakımından da önemli değerlendirmeler yapılmış olup Yönetmelik değişiklikleriyle birlikte, indirim öncesi fiyatın belirlenmesinde esas alınacak on günlük referans süre uygulaması yalnızca standart satış fiyatları bakımından değil, sadakat programları kapsamında sunulan fiyat avantajları yönünden de önem kazanmıştır.
Sadakat programlarının indirimli satış hükümlerinden kaçınmak amacıyla kullanılmaması gerektiği ve her satış kanalının kendi içerisinde değerlendirilmesinin beklendiği ifade edilmektedir. Ayrıca doğrudan indirim kampanyaları ile belirli koşulların gerçekleşmesine bağlı kampanyaların aynı sistematik içerisinde değerlendirilmesi yaklaşımının benimsendiği görülmektedir. Bu hususlar Yönetmelik değişikliklerinde yer alan indirimli satış hükümleriyle de uyumludur.
Çevresel beyanlar bakımından ise işletmeler açısından ispat yükümlülüğü önemli ölçüde güçlendirilmiş olup reklamlarda kullanılan çevresel iddiaların ve sürdürülebilirlik beyanlarının, ilgili sertifikalar veya teknik değerlendirmeler ile desteklenmesi gerekmektedir. Bu kapsamda sertifika ve doğrulamaların akredite veya bağımsız kuruluşlar tarafından sağlanması önem taşımaktadır. Özellikle son yıllarda artan “greenwashing” incelemeleri dikkate alındığında, çevresel iddiaların pazarlama diliyle değil teknik verilerle desteklenmesi beklenmektedir.
Gıda ve takviye edici gıda reklamları bakımından da belirli sınırlamalar öne çıkmaktadır. Özellikle takviye edici gıdaların normal beslenmenin veya geleneksel gıdaların yerine geçtiği izlenimini yaratabilecek reklam uygulamalarından kaçınılması gerektiği vurgulanmaktadır.
Bunun yanında hedefli reklamcılık uygulamalarında kullanılan hedefleme kriterlerinin şeffaf şekilde açıklanması gerektiği belirtilmektedir. Yaş, ilgi alanı, konum, cinsiyet veya benzeri parametrelerin reklam hedeflemesinde kullanılması halinde, tüketicilerin reklamın neden karşılarına çıktığını anlayabilecek düzeyde bilgilendirilmesi önem taşımaktadır. Bu yaklaşım aynı zamanda kişisel verilerin korunması hukukundaki şeffaflık ve hesap verebilirlik ilkeleriyle de paralellik gösterdiği değerlendirilmektedir.
Son olarak yeni düzenlemeler kapsamında şans oyunları, fal ve astroloji temelli bazı reklam faaliyetlerine ilişkin yasakların da gündemde olduğu görülmektedir. Reklam Kurulu uygulamalarıyla birlikte değerlendirildiğinde, tüketicilerin hassasiyetlerinden yararlanabilecek veya ekonomik davranışlarını aşırı şekilde etkileyebilecek reklam uygulamalarına yönelik denetimlerin artması beklenmektedir. Daha detaylı bir inceleme için “Ticari Reklamlarda Yeni Dönem: 2026 Yönetmelik Değişiklikleri & Uyum Yükümlülükleri” başlıklı makalemizi de inceleyebilirsiniz.
GRC LEGAL PERSPEKTİFİ
Yönetmelik değişiklikleri incelendiğinde, düzenleyici yaklaşımın yalnızca reklam içeriğine değil; reklamın hangi veri setleri kullanılarak gösterildiğine, nasıl hedeflendiğine, hangi teknolojilerden yararlandığına ve tüketici üzerindeki etkisine odaklandığı görülmektedir.
Özellikle hedefli reklamcılık, yapay zekâ destekli reklamlar, influencer pazarlaması ve sadakat programları bakımından veri koruma hukuku ile reklam hukukunun birbirine yaklaştığı yeni bir dönem başlamıştır. Bu nedenle işletmelerin pazarlama stratejilerini yalnızca ticari açıdan değil, veri koruma, tüketici hukuku ve uyum perspektifiyle de yeniden değerlendirmeleri önem taşımaktadır.
Türkiye Barolar Birliği’nden Avukatlar İçin Yapay Zeka Kullanım Rehberi Yayımlandı!
Türkiye Barolar Birliği tarafından yayımlanan Avukatlar İçin Yapay Zekâ Kullanımı Tavsiye Rehberi, yapay zekâ araçlarının avukatlık faaliyetlerinde kullanımı bakımından önemli prensipler ortaya koymaktadır.
Rehberde, yapay zekâ sistemlerinin hukuki araştırma, mevzuat taraması, doküman özetleme ve taslak hazırlama süreçlerinde kullanılabileceği kabul edilmekle birlikte, üretilen çıktıların nihai hukuki değerlendirme olarak kabul edilemeyeceği vurgulanmaktadır. Bu kapsamda yapay zekâ tarafından oluşturulan tüm içeriklerin güncel mevzuat, içtihat, somut olayın özellikleri ve müvekkil menfaatleri bakımından avukat tarafından ayrıca değerlendirilmesi gerektiği belirtilmektedir.
Rehberde ayrıca mesleki sır saklama yükümlülüğü ile kişisel verilerin korunmasına ilişkin riskler üzerinde durulmaktadır. Buna göre; müvekkil bilgileri, özel nitelikli kişisel veriler, dava ve icra dosyaları, deliller, ticari sırlar ve stratejik müzakere bilgileri gibi hassas verilerin, yeterli teknik ve hukuki güvenceleri sağlamayan yapay zekâ sistemlerine aktarılmaması gerektiği ifade edilmektedir. Yapay zekâ hizmeti alınırken verilerin nerede işlendiği, model eğitiminde kullanılıp kullanılmadığı, üçüncü kişilere veya yurt dışına aktarılıp aktarılmadığı gibi hususların da değerlendirilmesi önerilmektedir.
Rehberde yapay zekâ kullanım senaryoları risk seviyelerine göre ele alınmış; genel mevzuat araştırması ve kamuya açık içeriklerin özetlenmesi düşük riskli faaliyetler arasında değerlendirilirken, dilekçe ve sözleşme taslaklarının hazırlanması gibi faaliyetlerde insan denetiminin korunmasının önemi vurgulanmıştır. Dava dosyaları, sağlık verileri, adli sicil kayıtları ve ticari sırlar gibi hassas bilgi içeren kullanım alanlarında ise ilave teknik ve idari tedbirlerin uygulanması gerektiği belirtilmiştir.
Bunun yanında hukuk büroları ve hukuk departmanlarına, yapay zekâ kullanımına ilişkin yazılı politika ve prosedürler oluşturulması tavsiye edilmektedir. Kullanılabilecek sistemlerin, sistemlere aktarılmayacak veri kategorilerinin, doğrulama süreçlerinin ve olası veri ihlallerinde izlenecek yöntemlerin önceden belirlenmesinin kurumsal risklerin azaltılmasına katkı sağlayacağı ifade edilmektedir.
Yabancı Dijital Konaklama Platformlarına Yönelik Yeni Düzenleme TBMM Gündeminde
TBMM’ye sunulan Yabancı Dijital Konaklama Platformları Kanunu Teklifi, Türkiye’de faaliyet gösteren yurt dışı merkezli dijital konaklama platformlarına yönelik yeni bir düzenleyici çerçeve oluşturmayı amaçlamaktadır. Teklif kapsamında, Türkiye’de faaliyet gösterecek platformların Kültür ve Turizm Bakanlığı’ndan izin belgesi alması ve Türkiye’de temsilci bulundurması öngörülmektedir. Ayrıca izin başvurusu için dijital hizmet vergisi mükellefiyeti, vergi borcunun bulunmaması ve Türkiye’de tebligata esas bir adres gösterilmesi gibi şartlar getirilmektedir.
Düzenleme taslağında platformların komisyon ve hizmet bedellerine ilişkin sınırlamalar da yer almaktadır. Bunun yanında platformların, ilan verdikleri konaklama işletmeleri ve turizm amaçlı kiralanan konutlara ilişkin belge numaralarını doğrulaması ve ilanlarda göstermesi yükümlülüğü öngörülmektedir. Teklif ayrıca, konaklama işletmelerinin farklı satış kanallarında farklı fiyat uygulamasını veya alternatif mecralarda tanıtım yapmasını engelleyebilecek uygulamalara karşı koruyucu hükümler içermektedir.
Teklif kapsamında yükümlülüklere aykırılık halinde idari para cezaları uygulanabileceği, belirli durumlarda izin belgesinin iptal edilebileceği ve gerekli şartları sağlamadan faaliyet gösteren platformlar hakkında erişimin engellenmesi tedbirlerinin gündeme gelebileceği belirtilmektedir. Düzenleme kapsamındaki faaliyetlerden doğan uyuşmazlıklarda ise Türk hukukunun uygulanması ve Türk mahkemelerinin yetkili olması öngörülmektedir.
GRC LEGAL PERSPEKTİFİ
İlgili Kanun Teklifi, dijital platformların Türkiye’deki faaliyetlerinin daha yakından düzenlenmesine yönelik eğilimin yeni bir örneği olarak değerlendirilebilir. Özellikle lisanslama, yerel temsilcilik, vergi yükümlülükleri ve platform-işletme ilişkilerine yönelik hükümler, yabancı dijital platformların Türkiye operasyonlarını hukuki ve operasyonel açıdan yeniden değerlendirmesini gerektirebilecektir. Düzenlemenin yasalaşması halinde yalnızca platformların değil, bu platformlar aracılığıyla faaliyet gösteren konaklama işletmelerinin de sözleşme, fiyatlandırma ve uyum süreçlerini gözden geçirmesi önem arz edecektir.
DÜNYADA NELER OLUYOR?
Avrupa Birliği Yapay Zekâ Yasası’nın Şeffaflık Hükümleri Uygulanmaya Başladı!
Avrupa Birliği Yapay Zekâ Yasası’nın belirli hükümleri 2 Ağustos 2026 tarihinde uygulanmaya başlamış; Avrupa Komisyonu bünyesindeki Yapay Zekâ Ofisi ile ulusal yetkili makamlar aynı tarih itibarıyla düzenlemenin uygulanmasında görev almaya başlamıştır. Avrupa Komisyonu, Yapay Zekâ Yasası’nı yapay zekâ geliştiricileri ve kullanıcıları bakımından belirli kullanım alanlarına göre risk temelli kurallar getiren kapsamlı bir hukuki çerçeve olarak tanımlamaktadır.
2 Ağustos 2026 itibarıyla Yapay Zekâ Yasası’nın 50’nci maddesinde yer alan şeffaflık yükümlülükleri de uygulama alanı bulmuştur. Bu çerçevede belirli etkileşimli yapay zekâ sistemlerinin, kişilere bir insanla değil yapay zekâ sistemiyle etkileşimde bulunduklarını açıkça bildirmesi gerekmektedir. Yapay zekâ tarafından üretilen veya değiştirilen belirli içeriklerin tespit edilebilmesini sağlayacak makine tarafından okunabilir işaretler taşıması; deepfake niteliğindeki görüntü, ses ve videoların da etiketlenmesi öngörülmüştür.
Avrupa Komisyonu’nun 50’nci maddeye ilişkin şeffaflık kılavuzu, yapay zekâ sistemi sağlayıcıları ve kullanıcılarının yükümlülüklerini açıklığa kavuşturmayı amaçlamaktadır. Kılavuza göre sağlayıcılar, kişiler bir yapay zekâ sistemiyle doğrudan etkileşime girdiğinde bunun açıkça bildirilmesini sağlayacak şekilde sistem tasarlamalı ve yapay zekâ tarafından üretilen veya manipüle edilen içeriğin tespit edilebilmesi için makine tarafından okunabilir işaretler kullanmalıdır.
Yapay zekâ sistemlerini kullanan kuruluşlar bakımından ise duygu tanıma ve biyometrik kategorizasyon araçlarına maruz kalan kişilerin bilgilendirilmesi; deepfake içeriklerin ve insan incelemesi ya da editoryal kontrol olmaksızın kamu yararını ilgilendiren konularda yayımlanan yapay zekâ üretimi metinlerin açıklanması gerekmektedir. Bu yükümlülükler, kişilerin yapay zekâ ile karşı karşıya olduklarını anlayabilmesini ve dijital içeriklerin niteliği hakkında bilinçli değerlendirme yapabilmesini amaçlamaktadır.
Düzenlemenin uygulanması tek bir otoriteye bırakılmamış olup Yapay Zekâ Ofisi genel amaçlı yapay zekâ modeli sağlayıcıları ve kendi yetki alanındaki sistemler bakımından; ulusal yetkili makamlar diğer yapay zekâ sistemleri bakımından; Avrupa Veri Koruma Denetçisi ise Avrupa Birliği kurumlarınca kullanılan sistemler bakımından yetkili kılınmıştır.
GRC LEGAL PERSPEKTİFİ
2 Ağustos 2026 tarihi, yapay zekâ uyumunda özellikle şeffaflık bakımından önemli bir uygulama eşiği olarak değerlendirilebilecektir. Avrupa Birliği’nde faaliyet gösteren veya Avrupa Birliği pazarına yapay zekâ tabanlı ürün ve hizmet sunan kuruluşların, sohbet botları, üretken yapay zekâ araçları, deepfake teknolojileri ve yapay zekâ ile oluşturulan içerikler bakımından kullanıcı bilgilendirmelerini incelemesi önem taşımaktadır.
Kuruluşların yalnızca kendi geliştirdikleri yapay zekâ sistemlerini değil, üçüncü taraf sağlayıcılardan temin ederek internet sitesi, müşteri hizmetleri, pazarlama veya içerik üretimi süreçlerinde kullandıkları araçları da değerlendirmeleri gerekir. Yapay zekâ etkileşiminin açıklanması, içeriklerin işaretlenmesi, insan kontrolü ve sağlayıcı ile kullanıcı arasındaki sorumluluk paylaşımı, sözleşme ve ürün tasarımı aşamasında ele alınması önem arz etmektedir.
AYIN GRC KAVRAMI
Düzenleyici Yakınsama (Regulatory Convergence)
Düzenleyici yakınsama, geçmişte birbirinden bağımsız değerlendirilen hukuki ve düzenleyici alanların dijitalleşme ve teknolojik gelişmelerin etkisiyle giderek daha fazla kesişmesini ifade etmektedir. Günümüzde veri koruma, tüketici hukuku, siber güvenlik, elektronik ticaret ve sektörel düzenlemeler arasındaki sınırlar belirgin şekilde daralmaktadır.
Özellikle dijital hizmetlerin yaygınlaşmasıyla birlikte kurumların faaliyetleri çoğu zaman tek bir mevzuat kapsamında değerlendirilememektedir. Örneğin hedefli reklamcılık, sadakat programları veya dijital platform faaliyetleri; aynı anda veri koruma, tüketici hakları ve sektörel düzenlemelere ilişkin yükümlülükler doğurabilmektedir. Bu nedenle kurumlar açısından uyum artık yalnızca belirli bir mevzuata odaklanmayı değil, farklı düzenlemeler arasındaki etkileşimi birlikte değerlendirmeyi gerektirmektedir.
Veri koruma, hukuk, uyum, bilgi güvenliği ve operasyon ekiplerinin koordineli çalıştığı bütüncül bir yaklaşım, günümüz uyum programlarının temel unsurlarından biri haline gelmektedir. Önümüzdeki dönemde başarılı kurumların, düzenlemeleri ayrı ayrı takip etmek yerine kesişen yükümlülükleri birlikte değerlendirerek uyum süreçlerini bu bütüncül bakış açısıyla yönetmeleri beklenmektedir.
