Veri Koruma ve Uyum Bülteni – Eylül 2025
Kişisel Verilerin Korunması Hukuku, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK” veya “Kanun”) ve ikincil düzenlemeleriyle birlikte sürekli gelişen ve güncellenen bir hukuk alanıdır. Bu alandaki uygulamalar yalnızca Kanun ve ilgili yönetmeliklerle sınırlı kalmayıp; Kişisel Verileri Koruma Kurulu’nun (“Kurul”) kararları, ilke kararları ve karar özetleriyle şekillenmekte ve somutlaşmaktadır. Bu kapsamda, ilgili ay bazında hazırlanan KVKK Bültenleri, veri koruma alanındaki güncel gelişmeleri takip etmek isteyenler için bir kaynak niteliği taşımakta, güncelliği sağlamayı ve ilgilileri bilgilendirmeyi amaçlamaktadır.
2025 Eylül ayında Kişisel Verileri Koruma Kurumu (“Kurum”) internet sitesi olan www.kvkk.gov.tr alan adlı sitede bir adet veri ihlal bildirimi yayımlanmıştır.
Ek olarak, 07.09.2025 tarihli ve 33010 sayılı Resmî Gazete’de yayımlanan 2026-2028 Orta Vadeli Program’da (“Program”), KVKK’nın Avrupa Birliği Genel Veri Koruma Tüzüğü (“General Data Protection Regulation”, “GDPR”) ile uyumlaştırılmasına yönelik çalışmaların 2026 yılının üçüncü çeyreğinde tamamlanacağı açıklanmıştır. Programda; Kanun’un Avrupa Birliği Yapay Zekâ Tüzüğü ile uyumlaştırılması, siber güvenlik alanında ihtiyaç duyulan düzenlemelerin Avrupa Birliği müktesebatı dikkate alınarak hazırlanması ve veri ekonomisine geçişi hızlandırmak üzere ulusal bir politika çerçevesi oluşturulması öngörülmektedir. Bu kapsamda, veri yönetişimine ilişkin çatı mevzuat ve altyapının oluşturulacağı, veri mahremiyeti ve güvenliğini gözeten Ulusal Veri Stratejisi ve Eylem Planı hayata geçirileceği belirtilmiştir.
VERİ İHLAL BİLDİRİMİ
KVKK madde 12/5 uyarınca, işlenen kişisel verilerin hukuka aykırı yollarla üçüncü kişiler tarafından elde edilmesi hâlinde; veri sorumlusu, bu durumu ilgili kişiye ve Kurul’a ivedilikle bildirmekle yükümlüdür. Anılan hüküm çerçevesinde; Kurul, gerekli görmesi hâlinde söz konusu veri ihlalini kendi internet sitesi aracılığıyla veya uygun göreceği başka yöntemlerle kamuoyuna ilan edebilmektedir. İşbu düzenleme, veri ihlallerinin etkin şekilde yönetilmesini ve ilgili kişilerin zamanında bilgilendirilmesini teminen getirilmiştir.
Sinch AB[1]
Veri sorumlusu sıfatını haiz Sinch AB tarafından Kurula iletilen veri ihlali bildirimine göre; ihlalin 28.08.2025 ve 30.08.2025 tarihleri arasında bilgisayar korsanlığı (hacking) yoluyla gerçekleştiği bildirilmiştir.
İhlalden kullanıcılar etkilenmiş olup; açığa çıkan kişisel verilerin isim, e-posta, adres, kredi kartının son 4 hanesi, kart türü (Visa, Mastercard vb.) ve kredi kartının son kullanma tarihi bilgileri olduğu belirtilmiştir. Konuya ilişkin incelemeler devam etmekle birlikte, toplam 716 kişinin ilgili ihlalden etkilendiği bildirilmiştir.
GRC LEGAL Yorumu: Sinch AB tarafından bildirilen veri ihlali, finansal verilere ilişkin hassasiyetin bir kez daha altını çizmektedir. Kredi kartı bilgilerinin (her ne kadar yalnızca son dört hane ve kart türü gibi sınırlı veriler olsa dahi) açığa çıkması, kullanıcı güvenliği ve finansal dolandırıcılık riskleri bakımından kritik önem taşımaktadır. Bu durum, ödeme sistemleri ve kullanıcı hesap bilgilerini işleyen tüm şirketlerin siber saldırılara karşı gelişmiş güvenlik önlemleri uygulamasını zorunlu kılmaktadır. Bununla birlikte, uluslararası nitelikte faaliyet gösteren şirketlerin Türkiye’deki kullanıcıların verilerini de işlediği düşünüldüğünde, KVKK kapsamındaki yükümlülüklerin sadece yerel değil, küresel ölçekte dikkate alınması gerektiği de bir kez daha ortaya çıkmaktadır.
GÜNCELDE NELER OLUYOR?
TÜRKİYE’DEN HABERLER
Kamu Denetçiliği Kurumu’ndan “Kurum Kartındaki Kişisel Bilgiler Gizlenmeli” Kararı
Anadolu Ajansı’nın 05.09.2025 tarihli haberine göre, Kamu Denetçiliği Kurumu (“KDK”), çalıştığı kuruma ait kimlik kartında yer alan kişisel bilgilerin gizlenmesini talep eden başvurucuyu haklı bularak ilgili kurumla iletişime geçmiş ve kişisel veri içermeyen yeni kimlik kartının düzenlenmesini sağlamıştır.
Somut olayda, özel bütçeli bir kamu kurumunda çalışan kişi, kaybolan kimlik kartının yenilenmesi için yaptığı başvuruda; kart üzerinde yer alan anne adı, baba adı, doğum tarihi ve doğum yeri gibi bilgilerin açıkça görünmesinden rahatsız olduğunu, yeni kartta yalnızca ad, soy ad, unvan, çalıştığı il ve kurum sicil numarasının yer almasını talep etmiştir. İlgili kurum tarafından talep reddedilmiş; başvurucunun KDK’ya yaptığı müracaat üzerine Kurum, başvurucuyu haklı bularak ilgili kurum ile talebin karşılanması adına temasa geçmiş ve KDK’nın girişimi sonucu kurum, başvurucuya kişisel bilgileri içermeyen yeni kurum kimlik kartı hazırlamış ve teslim etmiştir.
GRC LEGAL Yorumu: KDK’nın bu kararı, veri minimizasyonu ilkesinin önemini bir kez daha açıkça ortaya koymaktadır. Kimlik kartları gibi sürekli görünür ve kayıp/çalıntı riski yüksek araçlar üzerinde anne–baba adı, tam doğum tarihi/doğum yeri gibi amaca hizmet etmeyen kişisel verilerin yer alması; kartın kaybolması veya üçüncü kişiler tarafından görülmesi halinde ciddi riskler doğurabilmekte ve veri ihlali yaşanmasına sebebiyet verebilmektedir. Kurumların kimlik kartı tasarımlarında ad–soyadı, fotoğraf, unvan/birim, kurum adı, personel/sicil numarası ve geçerlilik tarihi gibi asgari bilgilerle yetinmesi; ek bilgilere ihtiyaç duyulması halinde bunların rol bazlı erişimle QR/NFC üzerinden ve yalnız yetkili kişilere gösterilmesi uygun olacaktır.
Siber Güvenlik Kanunu İlk Kez Uygulandı: Kişisel Verilerin Ele Geçirilip Satılmasına İlişkin Soruşturma
Hürriyet tarafından yayımlanan 15.09.2025 tarihli habere göre; Ankara Cumhuriyet Başsavcılığı tarafından, milyonlarca vatandaşın ve üst düzey bürokratın kişisel verilerinin hukuka aykırı biçimde ele geçirilip internet sitesinde satılması ve paylaşılması nedeniyle on yedi şüpheli hakkında iddianame düzenlenmiştir. Şüphelilerin, Oğuzhan Uğur ve Haluk Levent gibi ünlülerin yanı sıra Cumhurbaşkanı Tayyip Erdoğan’ın görüntülerini sahte reklamlar hazırlamak için kullandıkları belirtilmiştir.
İlgili olay akabinde, dokuz şüpheli tutuklu bulunurken şüpheliler hakkında “kişisel veri ihlali, yasak cihaz ve program bulundurmak, Siber Güvenlik Kanunu’na muhalefet” suçlarından 15 yıla kadar hapis cezası talep edilmiştir.
İlgili iddianamede, internet sitesinin zararlı yazılım bağlantıları, çalıntı kredi kartı bilgileri, kamu kurumlarına ait sistemlere yetkisiz erişim denemeleri ve kişisel verilerin para karşılığı paylaşımına ev sahipliği yaptığı tespit edilmiş olup soruşturma başlatılmıştır. Sitenin 2021 yılında kurulmuş ve 2023 yılına kadar aktif kalmış olduğu, IP lokasyon bilgisinin Hollanda’da olduğu, 24.188 üyeye sahip olduğu ve şüphelilerin cihazlarında yaklaşık 101 milyon Türkiye Cumhuriyeti vatandaşına ait kişisel veri seti bulunduğu; bu setlerde T.C. kimlik numarası, adres, SGK ve banka kayıtları, araç ruhsat bilgileri, tapu bilgileri, eğitim ve mesleki bilgiler gibi verilerin yer aldığı belirtilmiştir.
İddianamede, şüphelilerin yalnızca veri satışıyla kalmayıp mağdurların özel mesaj dökümleri, cinsel içerikli görüntüler ve mahrem belgeleri de cihazlarında bulunduğu; bu içeriklerin sistematik olarak şantaj amacıyla kullanıldığı yer almıştır. Ek olarak, kamu kurumlarının kritik sistemlerine sızılması suretiyle diploma, ustalık veya kalfalık belgelerini sahte şekilde ürettikleri de anlaşılmıştır.
İddianamede “siber uzay” kavramı yalnızca interneti değil, internete bağlanabilen kapalı devre sistemleri de kapsayacak şekilde yorumlanmış ve bu kapsamda verilerin hukuka aykırı ele geçirilmesinin suç teşkil edeceği vurgulanmıştır.
GRC LEGAL Yorumu: İşbu dosya, Mart 2025’te yürürlüğe giren Siber Güvenlik Kanunu’nun ilk kez bir iddianameye konu olması bakımından dikkat çekici nitelikte olup; kişisel verilerin korunması ve siber güvenlik mevzuatının kesişiminde önemli bir dönüm noktasıdır. KVKK kapsamında kişisel verilerin hukuka aykırı elde edilmesi mevcut durumda ağır yaptırımlara tabi iken, yeni Siber Güvenlik Kanunu ile birlikte bu tür eylemler artık daha geniş bir çerçevede ve daha yüksek yaptırım tehdidi altında değerlendirilmektedir.
DÜNYADAN HABERLER
Avrupa Birliği Veri Tüzüğü (EU Data Act) Yürürlüğe Girdi
Avrupa Komisyonu tarafından yapılan açıklamaya göre, 28 Haziran 2023 tarihinde kabul edilen ve uzun süredir hazırlıkları devam eden Avrupa Birliği Veri Tüzüğü (“EU Data Act”), 12 Eylül 2025 tarihi itibarıyla yürürlüğe girmiştir. Düzenleme, dijital ekonomide verilerin adil kullanımını sağlamayı, kullanıcıların cihazlarından üretilen verilere erişimini kolaylaştırmayı ve verinin daha şeffaf bir şekilde paylaşılmasını amaçlamaktadır.
Tüzük; akıllı ev ürünleri, giyilebilir teknolojiler, endüstriyel makineler ve bağlantılı araçlar gibi Nesnelerin İnterneti (“IoT”) cihazları üzerinden elde edilen verileri kapsamaktadır. Kullanıcılar bu sayede cihazlarının ürettiği verilere doğrudan erişim hakkına sahip olacak ve diledikleri takdirde bu verileri üçüncü kişilerle paylaşabilecektir. Kamu kurumları da olağanüstü durumlarda özel sektör verilerine erişim sağlayabilecek; böylelikle kamu hizmetlerinde daha hızlı ve etkin çözümler geliştirilebilecektir.
Komisyon, düzenlemenin aynı zamanda KOBİ’ler için rekabet avantajı yaratacağını, veri paylaşımına ilişkin haksız sözleşme koşullarını yasakladığını ve bulut hizmetleri arasında daha kolay geçiş imkânı tanıdığını vurgulamaktadır. Ticari sırların korunmasına ve Avrupa Birliği dışından gelen hukuka aykırı veri taleplerinin engellenmesine yönelik hükümler de düzenleme kapsamında yer almaktadır.
GRC LEGAL Yorumu: EU Data Act’in 12 Eylül 2025 itibarıyla uygulanmaya başlaması, Avrupa Birliği’nde veri ekonomisinin “kullanıcı erişimi, adil paylaşım ve taşınabilirlik” eksenlerinde yeniden düzenlendiğini gösteriyor. Bununla birlikte kişisel verilerden bağımsız olarak cihaz ve endüstriyel verilerin kullanımına ilişkin kapsamlı kurallar getiriyor, veri ekonomisini düzenleme ve rekabeti artırma yönünde atılacak adımların önemli bir öncüsü olma görevini üstleniyor.
[1] İlgili veri ihlali, 23 Eylül 2025 Kurum’un internet sitesinde yayımlanmıştır.
