Veri Koruma ve Uyum Bülteni – Kasım 2025
Kişisel Verilerin Korunması Hukuku, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) ve ikincil düzenlemeleriyle birlikte sürekli gelişen ve güncellenen bir hukuk alanıdır. Bu alandaki uygulamalar yalnızca Kanun ve ilgili yönetmeliklerle sınırlı kalmayıp; Kişisel Verileri Koruma Kurulu’nun (“Kurul”) kararları, ilke kararları ve karar özetleriyle şekillenmekte ve somutlaşmaktadır.
Bu kapsamda, ilgili ay bazında hazırlanan KVKK Bültenleri, veri koruma alanındaki güncel gelişmeleri takip etmek isteyenler için bir kaynak niteliği taşımakta, güncelliği sağlamayı ve ilgilileri bilgilendirmeyi amaçlamaktadır.
Kişisel verilerin korunması, temel hak ve özgürlüklerin güvence altına alınması açısından büyük önem taşımaktadır. Bu kapsamda, veri sorumlularının kişisel verilere yönelik her türlü işlemde hukuka ve dürüstlük kurallarına uygun hareket etmesi bir yükümlülük olduğu kadar uyum sürecinin de bir gereğidir.
Kasım ayında Kişisel Verileri Koruma Kurumu (“Kurum”) internet sitesi olan www.kvkk.gov.tr alan adlı sitede yurt dışına veri aktarım süreçlerini yakından ilgilendiren“ Uluslararası Sözleşme Niteliğinde Olmayan Anlaşma ile Yurt Dışına Kişisel Veri Aktarımına İzin Verilmesi Hakkında Duyuru” yayımlanmıştır. Ek olarak, teknoloji-hukuk kesişimindeki en kritik başlıklardan biri olan “Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)” kamuoyu ile paylaşılmıştır.
Türkiye’deki Gelişmeler
Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi Yayımlandı!
Kurum, 24 Kasım 2025 tarihinde, dijital dönüşümün ve inovasyonun merkezinde yer alan Üretken Yapay Zekâ (“ÜYZ”) sistemlerinin kişisel verilerin korunması hukukuna etkilerini detaylıca ele alan kapsamlı bir rehber yayımlamıştır.
Kurum tarafından hazırlanan bu Rehber, yapay zekâ teknolojilerinin sunduğu imkanların yanı sıra beraberinde getirdiği etik, hukuki ve toplumsal risklerin değerlendirilmesi ihtiyacından doğmuştur. Rehberin temel amacı; ÜYZ sistemlerinin geliştirilmesi ve kullanılmasında bireylerin mahremiyetine saygılı bir yaklaşımın teşvik edilmesi ve bu sistemlerin yaşam döngüsü boyunca gerçekleştirilen kişisel veri işleme faaliyetleri bakımından veri sorumlusu niteliğini haiz aktörlere yol göstermesidir.
Rehber, ÜYZ sistemlerinin içerik üretme kapasitesinin temelinde yatan büyük veri kümeleri üzerinde eğitilen temel modellere dikkat çekerek bu sistemlerin insan haklarına ve temel özgürlüklere saygılı, şeffaf, denetlenebilir ve insan merkezli bir yaklaşımla geliştirilip uygulanmasının büyük önem taşıdığını vurgulamaktadır.
Ayrıca Rehberde, ÜYZ sistemlerini kullanan ilgili kişilere yönelik önemli tavsiyeler de yer almaktadır. Kullanıcıların, veri güvenliğini sağlamak amacıyla; ad-soyadı, adres, telefon numarası, kimlik bilgileri gibi kişisel verileri bu sistemlere sağlarken dikkatli olmaları ve özel hayatlarına ilişkin bilgileri paylaşmaktan kaçınmaları gerektiği belirtilmiştir. Son olarak, kişisel veri paylaşım izinlerini kontrol etmeleri ve ÜYZ sistemlerinin veri toplama ve saklama politikalarını dikkatli bir şekilde incelemeleri önerilmiştir.
GRC LEGAL Yorumu
Kurum tarafından yayımlanan “Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi”, hızla gelişen teknoloji alanında veri sorumlularının uzun süredir ihtiyaç duyduğu somut uyum çerçevesini sunması maçısından kritik öneme sahiptir. Rehber, ÜYZ sistemlerinin en başından itibaren “Tasarımından İtibaren Mahremiyet” (Privacy by Design) ilkesine uygun şekilde geliştirilmesi ve yönetilmesi gerektiğini net bir şekilde vurgulamakta; bunun yalnızca yasal bir yükümlülük değil, aynı zamanda etik ve hesap verebilirliğin temel unsuru olduğunu hatırlatmaktadır.
Özellikle yapay zekâ modelinin eğitimi ve çalıştırılması gibi farklı aşamalarda kişisel veri işlemenin hukuki dayanağının KVKK’ya uygun olarak ayrı ayrı belirlenmesi gerekliliği, uygulamada dikkatle yönetilmesi gereken en önemli hususlardan biridir. Bu doğrultuda veri sorumlularının, ÜYZ çıktılarından doğabilecek algoritmik ayrımcılık ve veri minimizasyonu ilkesinin ihlali risklerini proaktif biçimde yönetebilmek amacıyla kapsamlı Etki Analizleri ve Risk Değerlendirmeleri yapmaları zorunlu hale gelmektedir.
Rehber ayrıca, ÜYZ süreçlerinin karmaşıklığı nedeniyle şeffaflık ve aydınlatma yükümlülüğünün daha hassas bir şekilde yerine getirilmesi gerektiğinin altını çizmektedir. Verilerin geliştirme amaçlı kullanılıp kullanılmadığı, hangi veri kategorilerinin işlendiği ve sistemin varsayılan ayarları hakkında ilgili kişilere açık ve anlaşılır bilgi verilmesi büyük önem taşımaktadır. Son olarak, kullanıcıların itiraz haklarını kolayca kullanabilmelerini sağlayacak etkin mekanizmaların gecikmeksizin tesis edilmesi gerekmektedir.
Uluslararası Sözleşme Niteliğinde Olmayan Anlaşma ile Yurt Dışına Kişisel Veri Aktarımına İzin Verilmesi Hakkında Duyuru Yayımlandı!
Kurul, Kanun’un 9/4-a maddesi ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik’in 11’inci maddesi kapsamında yaptığı değerlendirmede; İçişleri Bakanlığı Göç İdaresi Başkanlığı ile Birleşmiş Milletler Mülteciler Yüksek Komiserliği arasında kişisel verilerin yurt dışına aktarımına ilişkin olarak imzalanan ve ‘uluslararası sözleşme niteliğinde olmayan anlaşma’ şeklinde nitelendirilen düzenlemenin, ilgili madde kapsamında aktarımı mümkün kılan bir dayanak olarak kabul edilebileceğini 21.10.2025 tarihinde karara bağlamıştır.
GRC LEGAL Yorumu
İlgili izin, uluslararası iş birliği niteliği taşıyan ancak klasik anlamda uluslararası sözleşme statüsünde olmayan metinler üzerinden gerçekleştirilecek veri aktarımlarına ilişkin uygulamaya önemli bir örnek teşkil etmektedir. Bu kapsamda Kurul’un değerlendirmesini aktarımın hukuki dayanağı, taraflar arasındaki yükümlülük dağılımı, veri güvenliğine ilişkin taahhütler ve aktarım sürecine ilişkin güvenceleri esas alarak yaptığı görülmekte olup karar, özellikle kamu kurumları ile uluslararası kuruluşlar arasındaki operasyonel iş birliğinde kişisel veri aktarımının nasıl hukuka uygun temellendirileceğine ilişkin açıklık sağlaması bakımından önem arz etmektedir.
İstanbul Valiliği’nin Gıda Güvenliği Kapsamında İşletmelere Getirdiği 24 Saat Ses ve Görüntü Kaydı Zorunluluğu
İstanbul’da yaşanan zehirlenme vakalarının ardından İstanbul Valisi Davut Gül başkanlığında düzenlenen “Gıda Güvenliği Toplantısı” neticesinde, kentteki tüm işletmelere yönelik önemli bir düzenleme kararı alınmıştır. Bu karar ile işletmelerde 24 saat kesintisiz ses ve görüntü kaydı yapılması ve bu kayıtların 30 gün süreyle muhafaza edilmesi zorunluluğu getirilmiştir.
İstanbul Valiliği tarafından alınan ve hızla uygulamaya konulması beklenen bu düzenleme, kamu sağlığının korunmasına yönelik idari tedbir ile kişisel verilerin korunmasına ilişkin anayasal ve yasal ilkeler arasındaki kesişim noktasını gündeme taşımıştır. Valiliğin, gıda güvenliği alanında kamu düzenini sağlama amacıyla düzenleyici işlem yapma yetkisi bulunsa da getirilen yükümlülüklerin kapsamı, veri koruma hukukunda önemli bir yer tutan ölçülülük, veri minimizasyonu ve amaçla bağlantılılık ilkeleri bakımından değerlendirilmesi gereken yeni bir tartışma alanı oluşturmuştur.
GRC LEGAL Yorumu
İşletmelerde 24 saat boyunca ses ve görüntü kaydı yapılması gibi geniş kapsamlı yükümlülükler, bir yandan kamu otoritesinin gıda güvenliğini sağlama hedefi ile ilişkilendirilirken, diğer yandan bu uygulamaların ölçülülük, veri minimizasyonu ve mahremiyet sınırları gibi temel veri koruma ilkeleriyle nasıl uyumlandırılacağı yönünde yeni tartışmalar doğurmaktadır. Bu noktada, düzenlemenin uygulamaya geçmesi halinde dahi veri sorumlularının KVKK m.4’te yer alan temel ilkelere—özellikle amaçla bağlantılı, sınırlı ve ölçülü olma ile mahrem alanlara yönelik kayıt yasağına— uygun şekilde hareket etme yükümlülüklerinin devam ettiği hatırlatılmalıdır.
Önümüzdeki süreçte kamu sağlığı gerekçeleri ile kişisel verilerin korunmasına ilişkin anayasal güvenceler arasında nasıl bir denge kurulacağı ve bu dengenin uygulamaya nasıl yansıyacağı, hem idari pratiklerde hem de doktrinde takip edilmesi gereken bir konu haline gelmiştir.
Dünyadan Gelişmeler
Meta’nın İspanya’da Veri İhlali Nedeniyle 479 Milyon Avro Tazminata Mahkûm Edilmesi
İspanya Mahkemesi, Meta’nın kullanıcı verilerini açık rıza olmaksızın kişiselleştirilmiş reklam faaliyetlerinde kullandığı gerekçesiyle 87 dijital medya kuruluşuna toplam 479 milyon avro tazminat ödemesine hükmetmiştir. Kararda, Meta’nın reklam teknolojileri aracılığıyla kullanıcı davranışlarını izlediği, bu verileri ayrıntılı profil çıkarmak için işlediği ve ilgili kişilerin veri kullanımına yönelik yeterli kontrol araçları sunmadığı tespit edilmiştir. Mahkeme, bu uygulamaların hem İspanya veri koruma mevzuatına hem de Avrupa Birliği Genel Veri Koruma Tüzüğü’ne (GDPR) aykırı olduğuna hükmetmiştir.
GRC LEGAL Yorumu
Bu karar ile birlikte, kullanıcı verilerinin ticari amaçlarla işlenmesinde şeffaflık, açık rıza şartının karşılanması gerekliliği ile hedefli reklam süreçlerinde veri minimizasyonu ilkelerinin önemi bir kez daha vurgulanmaktadır. Özellikle büyük teknoloji şirketlerinin davranışsal reklamcılık modelleri çerçevesinde yürüttüğü kapsamlı veri işleme faaliyetleri, Avrupa ülkeleri tarafından giderek daha sıkı bir şekilde denetlenmektedir.
Söz konusu karar, küresel ölçekte veri koruma otoritelerinin rekabet hukukunu, tüketici haklarını ve kişisel verilerin korunması alanlarını birlikte değerlendirerek daha geniş kapsamlı yaptırımlar uygulama eğiliminde olduğunu göstermektedir. Bu kapsamda, veri sorumlularının hedefli reklam faaliyetlerini tasarlarken rıza yönetimi, profilleme şeffaflığı, kullanıcı kontrol mekanizmaları ve üçüncü taraf veri paylaşım süreçlerine ilişkin uyum risklerini yeniden gözden geçirmesi kritik önem taşımaktadır.
LinkedIn’in Yapay Zekâ Eğitimi Kapsamında Kullanıcı Verilerini Varsayılan Olarak İşleme Kararı
İş dünyasının önde gelen sosyal ağı LinkedIn, 3 Kasım 2025 tarihinden itibaren yapay zekâ modellerini eğitmek ve geliştirmek amacıyla platformdaki kullanıcı profilleri, gönderiler, özgeçmişler ve herkese açık aktiviteler dâhil olmak üzere kişisel verileri kullanmaya başlayacağını duyurmuştur. Bu uygulamanın en dikkat çekici yönü, ilgili ayarın kullanıcılar tarafından manuel olarak kapatılmadığı sürece varsayılan olarak etkin (opt-in) şekilde kullanıma sunulmasıdır.
LinkedIn, bu varsayılan ayarı yasal çerçevede, özellikle Avrupa Birliği ve benzeri düzenlemelerin geçerli olduğu bölgelerde, “meşru menfaat” hukuki dayanağı kapsamında değerlendirdiğini belirtmiştir. Kullanıcıların itiraz hakkını kullanması durumunda dahi, bu işlemin yalnızca itiraz tarihinden sonra toplanacak verileri kapsayacağı, daha önce toplanan bilgilerin yapay zekâ eğitim ortamında kalmaya devam edeceği açıklanmıştır.
GRC LEGAL Yorumu
İşbu karar, veri koruma hukukunun temel ilkelerinden olan veri minimizasyonu ve şeffaflık ilkeleri ile GDPR ve benzeri mevzuatlarda öngörülen etkin itiraz mekanizmaları açısından önemli tartışmalara neden olmaktadır. Yapay zekâ sistemlerinin eğitilmesinde kullanılan verinin hangi hukuki dayanağa dayandığı ve veri sorumlularının bu süreçte ilgili kişilerin temel hak ve özgürlüklerine ilişkin risk değerlendirmesini ne ölçüde yaptığı; ayrıca, itiraz halinde veri silme yükümlülüğünün sınırlarının nasıl belirleneceği hususlarının küresel veri koruma otoriteleri tarafından önümüzdeki dönemde denetleneceği değerlendirilmektedir.
