GRC PERSPEKTİF: VERİ KORUMA & UYUM BÜLTENİ– HAZİRAN 2026
TÜRKİYE’DE NELER OLUYOR?
İş yerlerinde Güvenlik Kamerası Sistemi Kullanımına İlişkin Kamuoyu Duyurusu Yayımlandı
Duyuruda, iş yerlerinde güvenlik kameraları aracılığıyla gerçekleştirilen görüntü kayıtlarının kişisel veri işleme faaliyeti niteliğinde olduğu ve bu kapsamda söz konusu faaliyetlerin 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK” veya “Kanun”)’na uygun şekilde yürütülmesi gerektiği vurgulanmıştır.
Kurum tarafından özellikle; güvenlik kamerası sistemlerinin kullanım amacının önceden belirlenmesi, işleme faaliyetinin belirli, açık ve meşru amaçlarla gerçekleştirilmesi, işlenen verilerin amaçla bağlantılı, sınırlı ve ölçülü olması ve veri minimizasyonu ilkesinin gözetilmesi gerektiği belirtilmiştir. Bu kapsamda iş yeri güvenliğinin sağlanması, iş sağlığı ve güvenliği tedbirlerinin takibi veya suçların önlenmesi gibi amaçlarla kamera kullanımı mümkün olmakla birlikte, çalışanların performansının izlenmesi, verimliliğinin ölçülmesi veya genel gözetim amacıyla kamera sistemlerinden yararlanılmasının meşru amaç kapsamında değerlendirilemeyeceği ifade edilmiştir.
Duyuruda ayrıca; kamera konumlarının ve görüş açılarının ölçülülük ilkesi çerçevesinde belirlenmesi, çalışanların makul mahremiyet beklentisinin dikkate alınması ve tuvalet, soyunma odası, mescit ve dinlenme alanları gibi özel nitelikteki alanlarda kamera sistemi kullanılmaması gerektiği belirtilmiştir. Ses kayıt özelliği bulunan sistemlerin ise özel hayatın gizliliğine daha yoğun müdahale teşkil etmesi nedeniyle ancak gerekli ve hukuken gerekçelendirilebilir durumlarda kullanılabileceği vurgulanmıştır.
Bunun yanında, çalışanların kamera ile kayıt alındığı hususunda uygun şekilde aydınlatılması, kayıtların güvenliğinin sağlanması amacıyla gerekli teknik ve idari tedbirlerin alınması, kayıtlara erişimin yetkili kişilerle sınırlandırılması ve kayıtların işleme amacı için gerekli olan süre kadar muhafaza edilerek sonrasında silinmesi, yok edilmesi veya anonim hale getirilmesi gerektiği hatırlatılmıştır. Kurum, belirtilen yükümlülüklere aykırı uygulamaların tespiti halinde, ilgili veri sorumluları hakkında KVKK kapsamında idari yaptırım uygulanabileceğini de ifade etmiştir.
Apartmanlarda Güvenlik Kamerası Sistemi Kullanımına İlişkin Kamuoyu Duyurusu Yayımlandı
Duyuruda, güvenlik amacıyla kamera kullanımının mümkün olduğu, ancak bu faaliyetlerin Kanun’a uygun şekilde yürütülmesi gerektiği vurgulanmıştır. Kurum, kamera sistemleri aracılığıyla kişilerin görüntülerinin kaydedilmesinin kişisel veri işleme faaliyeti niteliğinde olduğunu ve apartman/site yönetimlerinin veri sorumlusu sıfatıyla KVKK kapsamındaki yükümlülüklere tabi bulunduğunu belirtmiştir.
Ek olarak, 634 sayılı Kat Mülkiyeti Kanunu çerçevesinde ortak alanlarda güvenlik amacıyla kamera kurulabilmekle birlikte, bu yetkinin KVKK hükümlerinden bağımsız değerlendirilemeyeceği ifade edilmiştir. Duyuruda, kamera yerleşimlerinin ölçülülük ilkesine uygun olması gerektiği; özel alanların (örneğin daire içi görünecek şekilde kapı önü) izlenmemesi, yüz tanıma veya ses kaydı gibi ilave teknolojilerin kullanılmaması ve gereksiz geniş kapsamlı kayıt yapılmaması gerektiği belirtilmiştir.
Bununla birlikte, kayıtların yalnızca gerekli süre boyunca saklanması, yetkisiz erişime karşı korunması ve ilgili kişilere KVKK’nın 10. maddesi uyarınca aydınlatma yapılması gerektiği vurgulanmıştır. Kurum, veri sorumlularının KVKK’nın 12. maddesi kapsamında gerekli teknik ve idari tedbirleri almakla yükümlü olduğunu hatırlatmış; aksi halde 18. madde kapsamında idari yaptırımlar uygulanabileceğini ifade etmiştir.
GRC LEGAL PERSPEKTİFİ
Her iki kamuoyu duyurusu birlikte değerlendirildiğinde, Kurum’un güvenlik kamerası uygulamalarına ilişkin uzun süredir geçerli olan KVKK ilkelerini yeniden hatırlattığı ve özellikle uygulamadaki aykırılıklara dikkat çektiği görülmektedir. Bu hususlar yeni yükümlülükler getirmekten ziyade; artan şikâyetler ve denetim ihtiyacı doğrultusunda, veri sorumlularının mevcut yükümlülüklerini fiilen uygulamalarını sağlamaya yönelik bir hatırlatma niteliği taşımaktadır. Bu kapsamda veri minimizasyonu, ölçülülük, amaçla sınırlılık, saklama süresi ve aydınlatma yükümlülüğü gibi temel ilkelerin uygulamada etkin şekilde hayata geçirilmesi önemini korumaktadır.
Alenileştirilmiş Kişisel Verileri ve Suçta-Cezada Kanunilik İlkesini Değerlendiren AYM Kararı Yayımlandı
6.06.2026 tarihli ve 33282 sayılı Resmî Gazete’de yayımlanan Anayasa Mahkemesi kararıyla; KVKK kapsamında uygulanan bir idari para cezası bakımından, suçta ve cezada kanunilik ilkesinin ihlal edildiğine oybirliğiyle karar verilmiştir.
Başvuruya konu olayda, bir sigorta şirketi tarafından ilgili kişinin açık rızası olmaksızın pazarlama amacıyla telefonla aranması nedeniyle Kişisel Verileri Koruma Kurulu tarafından idari para cezası uygulanmıştır. Başvurucu şirket, ilgili kişiye ait ad, soyadı ve telefon numarası bilgilerinin herkese açık bir internet sitesinde yer aldığını, bu nedenle söz konusu verilerin Kanun’un 5/2-(d) maddesi kapsamında alenileştirilmiş kişisel veri niteliğinde olduğunu ileri sürmüştür.
Buna karşılık KVK Kurulu, kişisel verinin internet ortamında erişilebilir olmasının tek başına alenileştirme olarak değerlendirilemeyeceğini; verinin ancak ilgili kişinin alenileştirme iradesi ve amacıyla uyumlu şekilde işlenebileceğini belirterek idari para cezasına hükmetmiştir.
Anayasa Mahkemesi ise, Kanun’da alenileştirilmiş kişisel verilerin belirli şartlar altında açık rıza aranmaksızın işlenebileceğinin düzenlendiğini; ancak alenileştirmenin kapsamına, alenileştirme iradesinin nasıl tespit edileceğine ve alenileştirme amacı dışında kullanımın hukuki sonuçlarına ilişkin açık ve öngörülebilir düzenlemelere yer verilmediğini değerlendirmiştir. Mahkeme, bu hususların yalnızca bağlayıcılığı bulunmayan Kişisel Verileri Koruma Kurumu Uygulama Rehberi ile açıklanmaya çalışılmasının, idari yaptırım uygulanması bakımından yeterli hukuki dayanak oluşturmadığını vurgulamıştır.
Bu kapsamda Anayasa Mahkemesi, idari para cezasının Kanun hükmünün öngörülemez biçimde geniş yorumlanmasına dayandığı sonucuna ulaşarak Anayasa’nın 38. maddesinde güvence altına alınan suçta ve cezada kanunilik ilkesinin ihlal edildiğine karar vermiş; yeniden yargılama yapılmak üzere dosyanın İstanbul Anadolu 5. Sulh Ceza Hakimliği’ne gönderilmesine hükmetmiştir.
GRC LEGAL PERSPEKTİFİ
İlgili Anayasa Mahkemesi kararı, KVKK uygulamasında uzun süredir tartışılan önemli bir konuya açıklık getirmektedir. Karar ile birlikte, Kurul tarafından yayımlanan rehber ve iyi uygulama dokümanlarının veri sorumlularına yol gösterici nitelikte olduğu; ancak Kanun’da açıkça düzenlenmeyen bir yükümlülüğün yalnızca bu rehberlere dayanılarak idari yaptırıma konu edilemeyeceği açık şekilde ortaya konulmuştur. Bu yaklaşım, suçta ve cezada kanunilik ile hukuki belirlilik ilkelerinin KVKK kapsamındaki idari yaptırımlar bakımından da esas alınması gerektiğini teyit etmektedir.
Kararda özellikle, Kanun’un 5. maddesinde yer alan “alenileştirilmiş kişisel veri” işleme şartı bakımından Kanun’da düzenlenmeyen “alenileştirme iradesi” veya “alenileştirme amacına uygun kullanım” kriterlerinin yalnızca rehberler aracılığıyla yaptırım gerekçesi hâline getirilemeyeceği vurgulanmıştır. Bu yönüyle karar, aleni kişisel verilerin işlenmesine ilişkin uygulamada daha öngörülebilir bir çerçevenin oluşmasına katkı sağlayabilecek niteliktedir.
Bununla birlikte karar, aleni hâle gelmiş kişisel verilerin her durumda serbestçe işlenebileceği veya Kurul rehberlerinin önemini yitirdiği şeklinde değerlendirilmemelidir. Rehberler, veri sorumluları açısından uyum süreçlerinde yol gösterici niteliğini korumaya devam etmektedir.
Ancak idari yaptırımların dayanağının doğrudan Kanun hükümlerinde açık ve öngörülebilir şekilde yer alması gerektiği hususu, kararın ortaya koyduğu en önemli ilkedir. Bu çerçevede kararın, özellikle idari para cezalarına karşı yürütülecek yargısal süreçlerde kanunilik ilkesine dayalı önemli bir içtihat olarak dikkate alınacağı değerlendirilmektedir.
Türk Devletleri Teşkilatı Dijital Ekonomi Ortaklık Anlaşması Yürürlüğe Girdi
Türk Devletleri Teşkilatı (TDT) kapsamında dijital ticaretin geliştirilmesi ve veri güvenliğine ilişkin ortak bir çerçeve oluşturulması amacıyla hazırlanan Türk Devletleri Teşkilatına Üye Devletlerin Hükümetleri Arasında Dijital Ekonomi Ortaklık Anlaşması, 20 Haziran 2026 tarihli Resmî Gazete’de Dijital Ekonomi Ortaklık Anlaşmasının onaylanmasına ilişkin Kanun yayımlanarak yürürlüğe girmiştir. Söz konusu Anlaşma, 6 Kasım 2024 tarihinde Bişkek’te imzalanmıştır.
Anlaşma, dijital ekonomi alanında iş birliğini güçlendirmeyi hedeflerken, kişisel verilerin korunmasına da özel bir düzenleme alanı ayırmaktadır. Bu kapsamda Anlaşma’nın 19. maddesi uyarınca taraf devletlerin, kişisel verilerin korunmasına ilişkin ulusal bir yasal çerçeve oluşturması veya mevcut düzenlemeleri sürdürmesi öngörülmektedir. Ayrıca sınır ötesi veri aktarımına ilişkin açık kuralların belirlenmesi ve veri koruma uygulamalarına ilişkin şeffaflığın artırılması da temel yükümlülükler arasında yer almaktadır.
Bunun yanında taraf devletlerin, veri koruma mevzuatlarını ve uygulamalarını kamuya açık ve erişilebilir şekilde yayımlamaları; bireylerin hak arama yolları ile veri sorumlularının yükümlülüklerine ilişkin bilgilendirme yapmaları; ayrıca işletmeleri veri koruma politika ve prosedürlerini şeffaf biçimde paylaşmaya teşvik etmeleri beklenmektedir.
Anlaşma, taraf devletlerin farklı hukuki yaklaşımlarını kabul etmekle birlikte, bu alanda bilgi ve tecrübe paylaşımının artırılmasını da öngörmektedir. Söz konusu düzenleme, Türk Devletleri Teşkilatı üyesi ülkeler arasında dijital ekonomi ve kişisel veri koruması alanında ortak standartların geliştirilmesi ve sınır ötesi veri akışında hukuki öngörülebilirliğin artırılması açısından önemli bir adım niteliği taşımaktadır.
Belediye Canlı Yayınlarında Kişisel Veri İşlenmesine İlişkin Kamuoyu Duyurusu Yayımlandı
Kurum, söz konusu yayınlar kapsamında gerçek kişilerin yüz görüntülerinin ve araç plakalarının görünür hâle gelmesinin, kayıt yapılmasa dahi internet üzerinden erişilebilir kılınması nedeniyle Kanun kapsamında kişisel veri işleme faaliyeti teşkil ettiğini değerlendirmiştir. Bu çerçevede, 5393 sayılı Belediye Kanunu’nda yer alan turizm ve tanıtım yetkisinin, anılan veri işleme faaliyeti için tek başına yeterli ve açık bir hukuki dayanak oluşturmadığı; ayrıca Kanun’un 5. maddesinde düzenlenen veri işleme şartlarının da karşılanmadığı ifade edilmiştir.
Kurum ayrıca, bu tür uygulamaların kişilerin özel hayatın gizliliği hakkı bakımından müdahale niteliği taşıdığını; görüntülerin internet ortamında sınırsız sayıda kişiye açık hale gelmesi nedeniyle kötüye kullanım riskini artırdığını ve aynı tanıtım amacına kişisel veri içermeyen alternatif yöntemlerle ulaşılmasının mümkün olduğunu değerlendirmiştir.
Bu kapsamda Kurum, belediyelerin kimlik tespitine imkân veren mevcut canlı yayın uygulamalarını ivedilikle sonlandırmaları, kişisel veri içermeyen alternatif yöntemlere yönelmeleri ve Kanun’un 12. maddesi uyarınca gerekli teknik ve idari tedbirleri almaları gerektiğini belirtmiştir. Aksi hâlde, Kanun’un 18. maddesi kapsamında idari yaptırımların uygulanabileceği de kamuoyu ile paylaşılmıştır.
GRC LEGAL PERSPEKTİFİ
İlgili duyuru, KVKK bakımından yeni bir hukuki yaklaşım ortaya koymaktan ziyade, uzun süredir geçerli olan veri işleme ilkelerinin belediyeler tarafından yürütülen canlı yayın faaliyetleri bakımından da tavizsiz şekilde uygulanacağını göstermektedir. Son dönemde bu alandaki şikâyetlerin artmasıyla birlikte Kurum’un, mevcut yükümlülüklerin uygulamaya geçirilmesine yönelik denetim ve farkındalık faaliyetlerini artırdığı değerlendirilmektedir.
Bununla birlikte, uygulamanın mevcut durumda bazı belediyelerde devam ettiği görülmekte olup bu durumun idari yaptırım riski doğurabileceği değerlendirilmektedir. Kurum’un yaklaşımı çerçevesinde, aynı tanıtım amacına kişisel veri içermeyen alternatif yöntemlerle ulaşılmasının mümkün olduğu durumlarda bu yöntemlerin tercih edilmesi önem arz etmektedir.
2026/921 Sayılı KVK Kurulu İlke Kararı Yayımlandı
02.06.2026 tarihli ve 33268 sayılı Resmî Gazete’de yayımlanan 2026/921 sayılı Kişisel Verileri Koruma Kurulu İlke Kararı, işverenler tarafından mesai takibi amacıyla biyometrik veri (parmak izi, yüz tanıma, iris ve retina taraması vb.) işlenmesine ilişkin esasları düzenlemektedir.
Kurul, biyometrik verilerin özel nitelikli kişisel veri olduğunu ve yüksek koruma standardına tabi bulunduğunu vurgulamıştır. Kararda, mesai takibi amacıyla biyometrik veri işlenmesinin; açık rıza bulunsa dahi işçi-işveren ilişkisindeki güç dengesizliği nedeniyle tek başına yeterli olmayabileceği değerlendirilmiştir. Ayrıca Kurul, bu tür veri işlemenin ölçülülük, gereklilik ve veri minimizasyonu ilkeleri bakımından değerlendirilmesi gerektiğini; mesai takibi için kart, PIN, RFID/NFC veya imza gibi daha az müdahaleci alternatif yöntemlerin bulunduğu durumlarda biyometrik yöntemlerin zorunlu kabul edilemeyeceğini ifade etmiştir.
Sonuç olarak İlke Kararı ile, işverenlerin biyometrik veri temelli mesai takip sistemlerini KVKK’ya uygunluk açısından yeniden gözden geçirmesi gerektiği; aksi halde Kanun kapsamında idari yaptırımlarla karşılaşılabileceği ortaya konulmuştur.
Türkiye Yapay Zekâ Eylem Planı Açıklandı
Cumhurbaşkanı Recep Tayyip Erdoğan tarafından, Türkiye Yapay Zeka Zirvesi’nde açıklanan 2026-2030 Türkiye Yapay Zeka Eylem Planı, yapay zeka alanında ulusal kapasitenin güçlendirilmesine yönelik kapsamlı hedefler içermektedir.
Plan, “fark et, istifade et, üret ve yönet” olmak üzere dört temel eksen üzerine kurgulanmış olup bu çerçevede yapay zeka okuryazarlığının artırılması ve insan kaynağının geliştirilmesi öncelikli alanlar arasında yer almaktadır. Bu kapsamda Ulusal Yapay Zeka Okuryazarlığı Programı’nın başlatılması, 81 ilde kurulacak atölyeler aracılığıyla iki yıl içinde 5 milyon vatandaşa eğitim verilmesi, 10 bin ileri düzey yapay zeka uzmanı ile 100 bin uygulama profesyoneli yetiştirilmesi hedeflenmektedir.
Plan ayrıca veri altyapısının güçlendirilmesine yönelik önemli düzenlemeler içermektedir. Sağlık, tarım, savunma ve e-ticaret başta olmak üzere en az 2.000 kamu veri setinin Ulusal Veri Kütüphanesi üzerinden erişime açılması öngörülmektedir. Bunun yanında yapay zeka projelerine kamu yatırımlarından en az %2 pay ayrılması, veri merkezi kapasitesinin 2030 yılına kadar 1 gigavata (GW) çıkarılması ve yapay zekâ altyapılarında özel sektör ağırlıklı olmak üzere en az 10 milyar dolarlık yatırımın harekete geçirilmesi planlanmaktadır.
Söz konusu Eylem Planı, Türkiye’nin yapay zekâ ekosisteminin geliştirilmesi, veri temelli dönüşümün hızlandırılması ve dijital ekonomide rekabet gücünün artırılması açısından stratejik bir yol haritası niteliği taşımaktadır.
Threads Türkiye’de Yeniden Kullanıma Açıldı
Rekabet Kurumu açıklamasında, Threads uygulamasının Türkiye’de yeniden sunulmasına ilişkin başvurunun, Rekabet Kurulu tarafından kabul edilen taahhütlerle uyumlu bulunduğu belirtilmiştir. Bu kapsamda kullanıcıların Threads’i; Instagram hesabı ile veya yalnızca cep telefonu numarası kullanarak, Instagram’dan bağımsız bir hesap oluşturmak suretiyle kullanabilecekleri ifade edilmiştir. Ayrıca Instagram’dan bağımsız hesap tercih edilmesi halinde, Threads üzerinden elde edilen verilerin Instagram verileriyle birleştirilmeyeceği düzenlenmiştir.
Sürece ilişkin olarak Rekabet Kurumu tarafından yürütülen incelemede, Meta’nın veri birleştirme uygulamalarına ilişkin rekabet endişeleri değerlendirilmeye alınmıştır. Bu kapsamda, 2023 yılında başlatılan soruşturmada; Meta’nın geniş kullanıcı tabanı ve veri birikimi sayesinde pazarda güçlü bir konuma sahip olduğu, bu durumun reklam verenler açısından Meta hizmetlerini cazip hale getirdiği ve rakiplerin reklam gelirlerine erişimini zorlaştırarak giriş engeli oluşturabileceği değerlendirilmiştir.
Bu değerlendirmeler doğrultusunda, veri birleştirme uygulamalarının sınırlandırılmasına yönelik olarak geçici tedbir kararı alınmış ve söz konusu yükümlülüklere uyulmaması halinde günlük idari para cezası uygulanacağı hükme bağlanmıştır.
İlerleyen süreçte Meta tarafından sunulan çözüm önerileri, Rekabet Kurumu tarafından değerlendirilmiş, ancak veri birleştirmeye ilişkin rekabetçi endişeleri gidermede yetersiz bulunarak kabul edilmemiştir. Nihayetinde geçici tedbir kararına konu yükümlülüklerin konusuz kalması üzerine günlük idari para cezası uygulaması sona erdirilmiştir. Bu gelişme, platformlar arası veri birleştirme uygulamalarının rekabet hukuku bakımından yakından takip edildiğini ve dijital ekosistemlerde veri kullanımına ilişkin düzenleyici yaklaşımın giderek daha sıkı bir çerçevede şekillendiğini ortaya koymaktadır.
DÜNYADA NELER OLUYOR?
Meta/WhatsApp-Meta AI Soruşturmasında Türkiye ve AB’den Eş Zamanlı Geçici Tedbir Kararları
Rekabet Kurumu’nun Meta/WhatsApp-Meta AI dosyasında geçici tedbir kararı almasının ardından, benzer yönde değerlendirme Avrupa Komisyonu tarafından da yapılmıştır. Her iki otorite de, genel amaçlı yapay zeka hizmetlerinin dağıtım kanallarına erişimi ve bu erişimin rekabet üzerindeki etkileri bakımından önemli rekabet endişeleri bulunduğunu değerlendirmektedir.
Türkiye’de Rekabet Kurulu, Meta’nın Meta AI’ı WhatsApp’a entegre etme sürecinde, rakip yapay zeka sağlayıcılarının platforma erişiminin zorlaştırıldığı yönündeki iddiaları incelemeye almış; bu uygulamaların 4054 sayılı Kanun’un 6. maddesi kapsamında ciddi bulgular içerdiğini değerlendirerek nihai karar verilene kadar geçici tedbir uygulanmasına hükmetmiştir. Bu kapsamda Meta’ya, üçüncü taraf genel amaçlı üretken yapay zeka sohbet robotlarının WhatsApp üzerinden hizmet sunabilmesini mümkün kılacak koşulların sağlanması ve bu hizmetleri engelleyebilecek nitelikteki uygulamalardan kaçınılması yönünde yükümlülük getirilmiş, söz konusu düzenlemelerin gerekçeli kararın tebliğinden itibaren 1 ay içinde yerine getirilmesi öngörülmüştür.
Benzer şekilde Avrupa Komisyonu da Meta’nın WhatsApp Business Solution Terms kapsamında yaptığı değişikliklerin, rakip genel amaçlı yapay zeka sohbet botlarının WhatsApp for Business API’ye erişimini sınırladığı yönünde bir değerlendirme yapmış ve geçici tedbir kararı almıştır. Komisyon, Ekim 2025’te yapılan değişikliklerle erişimin fiilen engellendiğini, Mart ayında ise erişimin ücretli hale getirildiğini, ancak bu modelin rakipler açısından ekonomik olarak sürdürülebilir olmadığına işaret etmiştir. Bu çerçevede Meta’nın, Ekim 2025 öncesindeki koşulları yeniden tesis edecek şekilde rakip AI sohbet botlarına WhatsApp Business API erişimini sağlaması gerektiği belirtilmiştir.
Her iki süreçte de henüz nihai bir ihlal tespiti bulunmamaktadır. Bununla birlikte, hem Türkiye’de hem Avrupa Birliği’nde alınan geçici tedbir kararları, genel amaçlı yapay zeka hizmetlerinde dağıtım kanallarına erişim ve platform bağımlılığına ilişkin rekabet hukuku tartışmalarının giderek daha yakından takip edilen bir alan haline geldiğini göstermektedir.
GDPR Kapsamında Eski Çalışan Verilerinin Paylaşımına İlişkin Yunanistan DPA Kararı
Yunanistan Veri Koruma Otoritesi tarafından verilen kararda, işten ayrılan eski çalışana ait kişisel verileri içeren kurumsal e-postaların, ilgili kişiye bilgi verilmeksizin eski bir yöneticiye aktarılması nedeniyle veri sorumlusu şirkete ve eski yöneticiye idari para cezası uygulanmıştır.
Olayda ilgili kişi, iş uyuşmazlığı kapsamında Avrupa Birliği Genel Veri Koruma Tüzüğü (General Data Protection Regulation, “GDPR”) m.15 uyarınca şirketten kendisine ait e-postalara erişim talebinde bulunmuş; ancak şirket, hesapların silindiğini ve ilgili e-postaların sistemlerinde bulunmadığını belirtmiştir. Buna karşılık yargılama sürecinde, söz konusu e-postaların eski yöneticinin elindeki kurumsal arşivden temin edilerek mahkemeye sunulduğu ortaya çıkmıştır.
Otorite, eski yöneticinin işten ayrıldıktan sonra üçüncü kişi konumunda bulunduğunu ve verileri saklayıp paylaşması nedeniyle bağımsız veri sorumlusu gibi değerlendirilebileceğini kabul etmiştir. Bununla birlikte, e-posta içeriklerinin kişisel veri niteliği taşıdığı ve bu verilerin aktarımı öncesinde ilgili kişinin bilgilendirilmesinin zorunlu olduğu değerlendirilmiştir.
Bu kapsamda, şirkete aydınlatma yükümlülüğünün ihlali nedeniyle 20.000 euro, eski yöneticiye ise kişisel verilerin işlenmesi ve paylaşımı bakımından yükümlülük ihlali nedeniyle 2.000 euro idari para cezası uygulanmıştır.
GRC LEGAL PERSPEKTİFİ
İlgili karar, kurumsal e-posta arşivlerinin özellikle işten ayrılan çalışanlar bakımından “kontrolsüz veri dolaşımı” riski doğurabileceğini açık şekilde göstermektedir. Verilerin hukuki bir süreçte kullanılması tek başına yeterli görülmemekte; özellikle üçüncü kişiler aracılığıyla elde edilen kişisel veriler bakımından aydınlatma yükümlülüğünün ayrı ve bağımsız bir sorumluluk olarak devam ettiği vurgulanmaktadır.
Kararın dikkat çekici yönü, eski yöneticinin işten ayrıldıktan sonra bağımsız veri sorumlusu gibi değerlendirilmesi ve meşru menfaatin varlığının bilgilendirme yükümlülüğünü ortadan kaldırmamasıdır. Bu yaklaşım, şirketlerin “veri kimdeyse sorumluluk oradadır” şeklindeki pratik varsayımını zayıflatmakta ve veri yönetişimini daha parçalı bir sorumluluk yapısına taşımaktadır.
AB Yapay Zekâ Tüzüğü’nde Uyum Takvimi Güncellendi
Avrupa Birliği’nde Yapay Zeka Tüzüğü’ne ilişkin uyum takviminde önemli değişiklikler içeren “dijital omnibus” düzenlemesi AB Konseyi tarafından da onaylanmıştır. Böylece, daha önce Avrupa Parlamentosu tarafından kabul edilen değişiklikler yürürlüğe girecek son aşamaya gelmiştir.
Söz konusu düzenleme ile özellikle yüksek riskli yapay zeka sistemlerine ilişkin bazı yükümlülüklerin uygulanma tarihlerinin ertelendiği, ayrıca yapay zeka tarafından üretilen içeriklerin etiketlenmesine yönelik yükümlülüklerin takvime bağlandığı görülmektedir. Bunun yanında, rıza dışı mahrem veya cinsel içerik üreten yapay zeka sistemlerine yönelik açık yasak düzenlemesi de getirilmektedir.
Yeni takvime göre, yapay zeka ile üretilen içeriklerde şeffaflık ve etiketleme yükümlülükleri 2 Aralık 2026 itibarıyla uygulanmaya başlanacaktır. Aynı tarihte, rıza dışı mahrem içerik üreten “nudifier” sistemlerinin kullanımı da yasak kapsamına girecektir. Yüksek riskli yapay zeka sistemlerine ilişkin bazı yükümlülüklerin ise 2 Aralık 2027 ve 2 Ağustos 2028 tarihlerine ertelendiği, düzenleyici deneme alanlarına (regulatory sandbox) ilişkin sürecin ise 2 Ağustos 2027’ye ötelendiği anlaşılmaktadır.
Buna ek olarak düzenleme, ürün güvenliği mevzuatıyla bağlantılı yapay zeka sistemleri bakımından uyum takvimini yeniden şekillendirmekte; bazı teknik tanımların netleştirilmesi ve KOBİ’lere yönelik uyum kolaylıklarının kapsamının genişletilmesi gibi yapısal değişiklikler de içermektedir.
GRC LEGAL PERSPEKTİFİ
Bu düzenleme, AI Act’in uygulanma sürecinde tam yasaklayıcı bir yaklaşım yerine kademeli uyum modelinin benimsendiğini göstermekte ve yükümlülüklerin bir kısmının ertelenmesi, özellikle yüksek riskli sistemler bakımından sektörlere ek hazırlık süresi tanınması anlamına gelmektedir.
Etiketleme yükümlülükleri ve rıza dışı içerik üreten yapay zeka sistemlerine getirilen açık yasaklar, AB’nin şeffaflık ve temel hakların korunması eksenini güçlendirdiğini göstermekte ve düzenleme, inovasyon alanını tamamen daraltmadan riskli kullanım alanlarını daha sıkı kontrol altına almayı hedefleyen dengeli bir yaklaşım sunmaktadır.
AYIN GRC KAVRAMI
Yapay Zeka Dağıtım Kanallarına Erişim (AI Distribution Access)
Yapay zeka dağıtım kanallarına erişim, yapay zeka hizmetlerinin son kullanıcıya ulaştırıldığı platformlara (örneğin mesajlaşma uygulamaları, sosyal medya ağları, işletim sistemi ekosistemleri ve API altyapıları) hangi koşullarda erişebildiğini ve bu erişimin hangi aktörler tarafından kontrol edildiğini ifade etmektedir.
Dijital ekonominin platform temelli yapısının güçlenmesiyle birlikte, yapay zeka hizmetleri yalnızca teknik bir yazılım ürünü olmaktan çıkarak, büyük platformlar üzerinden dağıtılan ve bu platformların erişim politikalarına bağlı hale gelen bir ekosistem bileşeni haline gelmiştir. Bu durum, özellikle Meta/WhatsApp örneklerinde görüldüğü üzere, rekabet hukukunun merkezine “erişim kontrolü” ve “dağıtım gücü” kavramlarını yerleştirmektedir.
Bu kavram, özellikle platformların rakip yapay zeka hizmetlerine API erişimi sağlayıp sağlamadığı, bu erişimi teknik veya ekonomik olarak zorlaştırıp zorlaştırmadığı ve kendi yapay zeka çözümlerini önceliklendirecek şekilde dağıtım kanallarını yapılandırıp yapılandırmadığı bakımından önem taşımaktadır. Bu çerçevede erişim koşulları, yalnızca teknik bir entegrasyo meselesi değil; aynı zamanda rekabet, inovasyon ve pazar yapısı üzerinde doğrudan etkili stratejik bir unsur olarak değerlendirilmektedir.
