GRC PERSPEKTİF: VERİ KORUMA & UYUM BÜLTENİ– MART 2026
TÜRKİYE’DE NELER OLUYOR?
Veri Korumanın 10. Yılı: GDPR Işığında Gelecek Perspektifi
Kişisel Verileri Koruma Kurumu (“Kurum”) ile Mevzuat Uyum Derneği iş birliği, İTÜ Yapay Zekâ ve Veri Bilimi Uygulama ve Araştırma Merkezi ev sahipliğinde düzenlenen “Veri Korumanın 10. Yılı: GDPR Işığında Gelecek Perspektifi” başlıklı Çalıştay, 13 Mart 2026 tarihinde gerçekleştirilmiştir. Sunuculuğunu ekibimizin değerli üyesi Ceren Beyen’in gerçekleştirdiği ve GRC Legal ekibi olarak tam katılım sağladığımız çalıştayda, Kurum Başkanı Prof. Dr. Faruk Bilir; Kurum’un bugüne kadarki faaliyetleri, GDPR uyum süreci ve uygulamada öne çıkan başlıklara ilişkin önemli değerlendirmelerde bulunmuştur.
Başkan Bilir, GDPR ile uyum sürecinin orta vadeli plan kapsamında 2026 yılının üçüncü çeyreğinde tamamlanmasının öngörüldüğünü ifade etmiştir. Bu çerçevede; Kanun’da yer bakımından uygulamaya ilişkin açık bir hükmün bulunmaması, biyometrik veri, genetik veri, profilleme ve kişisel veri ihlali gibi temel kavramların tanımlanmamış olması ile şeffaflık, hesap verebilirlik, privacy by design, privacy by default ve Veri Koruma Etki Değerlendirmesi (DPIA) gibi mekanizmaların Kanun’da açıkça düzenlenmemiş olması, ele alınacak başlıca gündem başlıkları arasında sayılmıştır. Ayrıca, çocuklara ilişkin özel hükümlerin getirilmesi ile yurt dışına veri aktarımında sertifikasyon ve davranış kuralları mekanizmalarının oluşturulmasının da gündemde olduğu belirtilmiştir.
Açık rıza ve aydınlatma yükümlülüğü bakımından da dikkat çekici değerlendirmelerde bulunulmuştur. Başkan Bilir, açık rızanın, ancak diğer veri işleme şartlarının uygulanamadığı hâllerde başvurulması gereken istisnai bir hukuki sebep olduğunu vurgulamıştır. Aydınlatma yükümlülüğü açısından ise, Kanun’da Genel Veri Koruma Tüzüğü (“GDPR”)’nde olduğu gibi bir istisna rejimine yer verilmemiş olmasının uygulamada çeşitli güçlükler doğurduğu ifade edilmiştir. Ayrıca, açık rıza ile aydınlatma yükümlülüğünün ayrıştırılmasına ilişkin yeni bir ilke kararının yayımlanacağının duyurulmasının ardından, söz konusu kararın bu ay içerisinde yayımlandığı görülmektedir.
Kurum’a bugüne kadar 1.988 veri ihlali bildirimi ulaştığı, bunların 416’sının kamuoyuyla paylaşıldığı; ayrıca toplam 62.343 başvurudan 59.451’inin sonuçlandırıldığı, 4.220 adet standart sözleşme bildirimi yapıldığı ve bugüne kadar toplam 1 milyar 344 milyon TL tutarında idari para cezası uygulandığı bilgileri aktarılmıştır. Çalıştayda ayrıca, Kurul kararlarına yönelik itirazların artık idari yargı mercilerinde görülmesinin, veri koruma hukukunda daha tutarlı bir içtihat oluşumuna katkı sağlayacağı vurgulanmıştır.
Kurul’dan Yeni İlke Kararı: Aydınlatma ve Açık Rıza Süreçleri Ayrıştırılmalı!
Kişisel Verileri Koruma Kurulu (“Kurul”), 18.02.2026 tarihli ve 2026/347 sayılı İlke Kararı ile uygulamada sıklıkla karşılaşılan bir hataya ilişkin önemli bir değerlendirmede bulunmuştur. Söz konusu Karar’da, veri sorumluları tarafından aydınlatma metni ile açık rıza metninin iç içe sunulmasının hukuka aykırı olduğu açıkça ortaya konulmaktadır.
Kurul, Kanun’un 10. maddesinde düzenlenen aydınlatma yükümlülüğünün, ilgili kişilerin veri işleme faaliyetleri hakkında bilgilendirilmesine yönelik bağımsız bir yükümlülük olduğunu; açık rızanın ise Kanun’un 5 ve 6. maddeleri kapsamında bir veri işleme şartı niteliği taşıdığını vurgulamıştır. Bu doğrultuda, nitelikleri itibarıyla farklı hukuki fonksiyonlara sahip olan bu iki yapının ayrı ayrı düzenlenmesi gerektiği belirtilmiştir.
Kararda, açık rızaya dayalı veri işleme faaliyetlerinde dahi aydınlatma yükümlülüğünün her durumda ve veri işleme faaliyetinden önce yerine getirilmesi gerektiği ifade edilmiş; aydınlatma metni ile açık rıza metninin aynı sayfada sunulması halinde dahi, farklı başlıklar altında ve ayrı beyanlar alınacak şekilde yapılandırılması gerektiği belirtilmiştir.
Kurul ayrıca uygulamada sıkça karşılaşılan bazı hatalara da dikkat çekmiştir. Bu kapsamda, aydınlatma metni içerisinde “okudum ve kabul ediyorum” veya “okudum ve onaylıyorum” gibi ifadelerin kullanılmasının uygun olmadığı; bunun yerine yalnızca bilgilendirmeye ilişkin “okudum ve anladım” şeklinde bir beyan alınmasının uygun olduğu değerlendirilmiştir. Bunun yanı sıra, aydınlatma metinlerinin açık, sade ve anlaşılır olmaması, genel ve muğlak ifadeler içermesi, başka veri sorumlularına ait metinlerin aynen kullanılması veya gereksiz derecede uzun ve karmaşık şekilde düzenlenmesi de riskli uygulamalar arasında sayılmıştır.
Kurul’dan VERBİS Duyurusu: İş Ortaklığı ve Konsorsiyumlar Adına Ayrı Sicil Kaydı Gerekmez!
Kurum; iş ortaklığı, konsorsiyum ve adi ortaklık gibi tüzel kişiliği bulunmayan yapılarda gerçekleştirilen faaliyetler kapsamında işlenen kişisel verilerin Veri Sorumluları Sicil Bilgi Sistemi (VERBİS)’e bildirimine ilişkin önemli bir kamuoyu duyurusu yayımlamıştır.
Duyuruda, uygulamada söz konusu yapıların kendi adlarına Sicile kayıt başvurusunda bulunduğunun tespit edildiği; ancak bu yaklaşımın Kurul’un daha önceki kararlarıyla uyumlu olmadığı belirtilmiştir. Bu kapsamda Kurul’un 09.06.2021 tarihli ve 2021/569 sayılı kararı hatırlatılarak, tüzel kişiliği bulunmayan bu yapıların veri sorumlusu olarak ayrı bir Sicil kaydı oluşturmasının gerekli olmadığı ifade edilmiştir.
Kurul’a göre, iş ortaklığı, konsorsiyum veya adi ortaklık bünyesinde yürütülen faaliyetler kapsamında işlenen kişisel veriler bakımından yükümlülük, bu yapıyı oluşturan ortaklara aittir. Bu doğrultuda, Sicile kayıt yükümlülüğü bulunan ortakların, kendi faaliyetlerine ek olarak ortaklık kapsamında yürütülen faaliyetler çerçevesinde işlenen kişisel verilere ilişkin bilgileri de VERBİS’e bildirmeleri gerekmektedir.
Sonuç olarak Kurum, söz konusu yapıların ayrı bir veri sorumlusu olarak değerlendirilmemesi gerektiğini açıkça ortaya koymuş; veri işleme faaliyetlerinin, ilgili ortakların VERBİS kayıtları üzerinden yürütülmesi gerektiğini bir kez daha vurgulamıştır.
Kurul’dan Yapay Zekâya İlişkin Yeni Dokümanlar
Etken Yapay Zekâ (Agentic AI) Dokümanı:
Kurum tarafından yayımlanan “Etken Yapay Zekâ (‘’Agentic AI’’) dokümanı; geleneksel yapay zekâ sistemlerinden farklı olarak, belirli hedefler doğrultusunda planlama yapabilen, karar alabilen ve eylem gerçekleştirebilen daha otonom sistemleri konu almaktadır. Dokümanda; bu sistemlerin temel bileşenleri olan yapay zekâ aracılarının işleyişi, çok adımlı görev yönetimi ve farklı kullanım senaryoları ele alınmakta; aynı zamanda bu sistemlerin doğurabileceği teknik, etik ve hukuki riskler ile kişisel verilerin korunması bakımından ortaya çıkabilecek risk alanları değerlendirilmektedir. Bu kapsamda, söz konusu sistemlerin kullanımı sırasında veri minimizasyonu, amaçla sınırlılık, şeffaflık ve insan denetimi gibi temel veri koruma ilkelerinin gözetilmesinin önemine özellikle dikkat çekilmektedir.
İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı Dokümanı:
Kurum tarafından yayımlanan “İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı” dokümanı ise, üretken yapay zekâ araçlarının çalışma hayatında kullanımına odaklanmakta ve bu araçların kişisel veri işleme süreçleri üzerindeki etkilerini ele almaktadır. Dokümanda; çalışan verilerinin işlenmesi, işyeri içi kullanım senaryoları, veri güvenliği, gizlilik ve kontrol mekanizmaları gibi başlıklar kapsamında, veri sorumlularının dikkat etmesi gereken temel hususlar ortaya konulmaktadır. Ek olarak, bu tür araçların kontrolsüz kullanımının veri ihlali, yetkisiz veri aktarımı ve gizli bilgilerin ifşası gibi riskler doğurabileceği vurgulanmakta; bu nedenle kullanım politikalarının oluşturulması, erişimlerin sınırlandırılması ve çalışan farkındalığının artırılması gerektiği ifade edilmektedir.
Kurul’dan Yeni İlke Kararı: Toplu Yapılarda Apartman Sakinlerine Ait Borç Bilgileri Ortak Yerlere Asılmamalı!
31 Mart 2026 tarihli Kişisel Verileri Koruma Kurulu İlke Kararı ile, apartman ve site yönetimleri tarafından aidat borcu bulunan kişilere ilişkin ad-soyad, daire numarası ve borç tutarı gibi bilgilerin bina girişleri, ilan panoları veya asansör gibi herkesin erişimine açık alanlarda paylaşılmasının, Kanun kapsamında hukuka aykırı veri ifşası teşkil ettiği açıkça ortaya konulmuştur. Kurul, bu tür uygulamaların özellikle veri minimizasyonu, ölçülülük ve veri güvenliği ilkeleriyle bağdaşmadığını, kişisel verilerin yalnızca işleme amacıyla sınırlı ve gerekli olduğu ölçüde işlenmesi gerektiğini vurgulamış; ayrıca ilgili kişilerin rızası bulunsa dahi bu tür aleni teşhir yöntemlerinin çoğu durumda geçerli bir hukuki dayanak oluşturmayabileceğine işaret etmiştir.
Kararda, aidat borçlarının tahsiline yönelik bilgilendirmenin ancak ilgili kişiye özgü, sınırlı erişime sahip ve güvenli yöntemlerle (örneğin bireysel mesaj, e-posta veya kapalı sistemler aracılığıyla) yapılması gerektiği belirtilmiş; aksi yöndeki uygulamaların veri sorumluları bakımından idari para cezaları ve diğer yaptırımlara yol açabileceği ifade edilmiştir. Bu yönüyle karar, uygulamada yaygın olan “borçlu listesi asma” pratiğini açıkça hukuka aykırı kabul ederek site ve apartman yönetimlerinin veri işleme süreçlerini Kanun’un temel ilkeleri doğrultusunda yeniden yapılandırmaları gerektiğini ortaya koymaktadır.
GRC LEGAL PERSPEKTİFİ
Kurul’un son dönemde yayımladığı dokümanlar, regülasyon odağının yalnızca klasik veri koruma uygulamalarıyla sınırlı kalmadığını, aynı zamanda yapay zekâ teknolojilerine yöneldiğini ortaya koymaktadır. Nitekim, Mart ayı içerisinde Kurum ile gerçekleştirilen çalıştay kapsamındaki değerlendirmeler birlikte ele alındığında, Kurum’un özellikle yapay zekâ ve yeni nesil dijital teknolojiler alanında aktif bir yaklaşım benimsediği anlaşılmaktadır.
Bu kapsamda yayımlanan dokümanlar, yapay zekâ sistemlerinin yalnızca teknik bir gelişim alanı olarak değil; veri koruma, risk yönetimi ve kurumsal yönetişim çerçevesinde değerlendirilmesi gerektiğine işaret etmektedir. Özellikle Etken Yapay Zekâ (Agentic AI) sistemlerinin otonom karar alma ve çok katmanlı veri işleme kabiliyeti, veri sorumluları bakımından klasik yapay zekâ uygulamalarına kıyasla daha karmaşık ve denetlenmesi güç süreçleri beraberinde getirmektedir.
Öte yandan, bu yaklaşımın yalnızca ulusal düzeyde değil, uluslararası regülasyon gündemiyle de paralel ilerlediği görülmektedir. Önceki sayılarımızda da değinildiği üzere, İngiltere Veri Koruma Otoritesi (“ICO”) tarafından yayımlanan değerlendirmelerde benzer şekilde otonom ve hedef odaklı yapay zekâ sistemlerinin veri koruma hukuku bakımından yeni risk alanları doğurduğu vurgulanmıştır. Bu doğrultuda Kurum’un söz konusu dokümanları, küresel ölçekte şekillenen yapay zekâ yönetişimi yaklaşımıyla uyumlu bir çerçeve sunmaktadır.
Sonuç olarak, yapay zekâ sistemlerinin organizasyonlar nezdinde yaygınlaşmasıyla birlikte, bu sistemlerin yalnızca çıktılarına değil; tasarımına, veri akışına ve karar alma süreçlerine odaklanan bir uyum yaklaşımının benimsenmesi gerekmektedir. Bu durum, yapay zekâ kullanımının artık bir teknoloji tercihi olmaktan çıkarak doğrudan bir GRC (Governance, Risk, Compliance) konusu haline geldiğini açıkça ortaya koymaktadır.
Ek olarak, yayımlanan son ilke kararında görüldüğü üzere; Kanun kapsamında günlük hayatta “olağan” kabul edilen uygulamalar dahi veri koruma ilkeleri bakımından ciddi ihlaller doğurabilmekte olup veri sorumlularının ölçülülük ve mahremiyet eksenli daha dikkatli bir yaklaşım benimsemesi beklenmektedir.
DÜNYADA NELER OLUYOR?
Fransız Danıştayı’ndan Criteo Kararı: Kişisel Veri Tanımı Yeniden Gündemde
Fransa Veri Koruma Otoritesi (“CNIL”) tarafından Criteo hakkında verilen ve 40 milyon Euro idari para cezası içeren karar, Fransız Danıştayı (Conseil d’État) tarafından Mart 2026 tarihinde onanmıştır. Söz konusu karar, özellikle çevrimiçi reklamcılık ve kullanıcı takibi faaliyetleri kapsamında kişisel veri işleme süreçlerinin hukuka uygunluğu bakımından önemli tespitler içermektedir.
Kararın temelinde, Criteo’nun davranışsal reklamcılık faaliyetleri kapsamında kullanıcıların internet üzerindeki gezinme alışkanlıklarını takip etmesi ve bu doğrultuda profilleme faaliyetleri yürütmesi yer almaktadır. CNIL tarafından yürütülen inceleme sonucunda, şirketin geçerli bir açık rıza mekanizması kuramadığı, kullanıcıların verilerinin işlenmesine ilişkin yeterli şeffaflığın sağlanmadığı ve ilgili kişi hakları kapsamında özellikle erişim ve silme taleplerinin gereği gibi karşılanmadığı tespit edilmiştir.
Uyuşmazlık kapsamında dikkat çeken bir diğer husus ise, Criteo’nun kullandığı çevrimiçi tanımlayıcıların (pseudonymous identifiers) kişisel veri niteliği taşıyıp taşımadığına ilişkindir. Şirket, söz konusu tanımlayıcılar üzerinden doğrudan kimlik tespiti yapılamadığını ileri sürerek bu verilerin kişisel veri olarak değerlendirilmemesi gerektiğini savunmuştur. Ancak Danıştay, yeniden kimliklendirme riskinin pratikte ortadan kaldırılmadığı durumlarda bu tür verilerin anonim olarak kabul edilemeyeceğini açıkça ortaya koymuştur. Bu kapsamda, farklı veri setlerinin bir araya getirilmesi suretiyle ilgili kişinin belirlenebilir hale gelebileceği durumlarda söz konusu verilerin kişisel veri niteliğini koruduğu değerlendirilmiştir.
Sonuç olarak ilgili karar, çevrimiçi reklamcılık ekosisteminde yaygın olarak kullanılan izleme teknolojileri ve profilleme faaliyetleri bakımından, açık rıza mekanizmalarının geçerliliği, şeffaflık yükümlülüğü ve kişisel veri tanımının sınırlarına ilişkin önemli bir içtihat niteliği taşımaktadır.
Biyometrik Veri İşleme ve DPIA Yükümlülüğü: FC Barcelona Kararı
İspanya veri koruma otoritesi tarafından FC Barcelona hakkında verilen idari para cezası, biyometrik veri işleme faaliyetlerinde veri koruma yükümlülüklerinin kapsamına ilişkin önemli tespitler içermektedir. Karar kapsamında, kulübün stadyum girişlerinde kullanılan biyometrik doğrulama sistemine ilişkin olarak hazırlanan veri koruma etki değerlendirmesinin (DPIA) yetersiz olduğu değerlendirilmiştir.
İnceleme sonucunda, söz konusu DPIA dokümanında işleme faaliyetinin kapsamının yeterince açık tanımlanmadığı, daha az müdahaleci alternatiflerin etkin şekilde değerlendirilmediği ve risk analizinin somut ve ikna edici bir şekilde ortaya konulmadığı tespit edilmiştir. Bu doğrultuda karar, özellikle biyometrik veri gibi yüksek riskli veri işleme faaliyetlerinde DPIA’nın yalnızca şeklen hazırlanmasının yeterli olmadığını; işleme faaliyetinin gerekliliği ve ölçülülüğünün somut şekilde ortaya konulması gerektiğini vurgulamaktadır.
Veri İşleyen Sıfatının Sınırları: Timegrip Kararı
İsveç Veri Koruma Otoritesi tarafından verilen Timegrip kararı, veri sorumlusu ve veri işleyen ayrımının fiilî durum üzerinden değerlendirilebileceğini ortaya koymaktadır. Karara konu olayda, bir zaman takip sistemi sağlayıcısı olan şirketin, hizmet verdiği şirketin iflas etmesi sonrasında çalışanların kişisel verilerine erişim taleplerini reddettiği görülmektedir.
Otorite, veri işleme faaliyetinin amaç, saklama ve erişim gibi unsurlarında belirleyici rol üstlenen şirketin fiilen veri sorumlusu konumuna geldiğini değerlendirmiş ve ilgili kişilerin erişim hakkının ihlal edildiğine hükmetmiştir. Karar ayrıca, veri sorumlusunun faaliyetini sona erdirmiş olmasının ilgili kişilerin haklarını ortadan kaldırmadığını ve kişisel verilere erişim hakkının her durumda korunması gerektiğini ortaya koymaktadır.
GRC LEGAL PERSPEKTİFİ
Criteo kararı, özellikle çevrimiçi reklamcılık ve kullanıcı takibi faaliyetleri bakımından kişisel veri tanımının dar yorumlanamayacağını bir kez daha ortaya koymaktadır. Pseudonymous (takma adlı) nitelikteki çevrimiçi tanımlayıcıların, farklı veri setleriyle birleştirildiğinde ilgili kişiyi belirlenebilir hale getirebildiği ölçüde kişisel veri olarak kabul edilmesi, veri sorumlularının “anonimleştirme” ve “takma ad kullanımı” arasındaki ayrımı daha dikkatli değerlendirmesini gerektirmektedir. Bu kapsamda, özellikle davranışsal reklamcılık ve profilleme faaliyetlerinde, açık rıza mekanizmalarının geçerliliği ve şeffaflık yükümlülüklerinin yalnızca formel değil, fiilî olarak sağlanması kritik önem taşımaktadır.
FC Barcelona kararı ise biyometrik veri işleme faaliyetlerinde asıl tartışmanın yalnızca açık rıza veya teknik güvenlik tedbirleriyle sınırlı olmadığını; işleme faaliyetinin gerekliliği ve ölçülülüğünün somut şekilde ortaya konulması gerektiğini göstermektedir. Bu doğrultuda veri koruma etki değerlendirmesinin, yalnızca bir uyum dokümanı olarak değil, işleme faaliyetinin hukuki meşruiyetini test eden bir kontrol mekanizması olarak ele alınması gerektiği anlaşılmaktadır. Özellikle yüksek riskli veri işleme faaliyetlerinde, daha az müdahaleci alternatiflerin değerlendirilmesi ve risklerin gerçekçi şekilde analiz edilmesi, regülatör beklentileri açısından belirleyici hale gelmektedir.
Timegrip kararı ise veri sorumlusu ve veri işleyen ayrımının yalnızca sözleşmesel tanımlarla sınırlı olmadığını; veri işleme faaliyetleri üzerindeki fiilî kontrol ve karar alma yetkisi üzerinden değerlendirileceğini ortaya koymaktadır. Özellikle hizmet ilişkisinin sona erdiği, veri sorumlusunun faaliyetini durdurduğu veya organizasyonel belirsizliklerin ortaya çıktığı durumlarda, kişisel veriler üzerinde fiilen kontrol sahibi olan tarafların ilgili kişi haklarına ilişkin talepleri karşılamaktan kaçınması ciddi yaptırım riskleri doğurabilmektedir. Bu kapsamda organizasyonların, veri işleme faaliyetlerindeki rollerini yalnızca hukuki metinler üzerinden değil, operasyonel gerçeklik üzerinden de değerlendirmesi gerekmektedir.
ABAD Kararı Işığında Erişim Hakkı Başvurularında Kötüye Kullanım Ölçütü
Avrupa Birliği Adalet Divanı (“ABAD”), 19 Mart 2026 tarihli C-526/24 sayılı kararında, GDPR m.15 kapsamındaki erişim başvurularına ilişkin önemli değerlendirmelerde bulunmuştur. Kararda, ilgili kişinin ilk kez yaptığı bir erişim başvurusunun dahi istisnai durumlarda kötüye kullanım niteliğinde kabul edilebileceği; ancak bunun için veri sorumlusunun, başvurunun veri işleme faaliyetinin hukuka uygunluğunu denetlemek amacıyla değil, yalnızca tazminat talebine zemin hazırlamak amacıyla yapıldığını somut şekilde ortaya koyması gerektiği belirtilmiştir.
ABAD, bu yönüyle veri sorumlularına stratejik erişim taleplerine karşı belirli bir savunma alanı tanımakla birlikte, bu değerlendirmenin genel varsayımlara değil, başvuruya özgü olgulara dayanması gerektiğini vurgulamıştır. Ek olarak, ilgili kişinin farklı veri sorumlularına yönelttiği benzer başvurular ve sonrasında ileri sürdüğü tazminat taleplerine ilişkin kamuya açık bilgilerin de dikkate alınabileceği ifade edilmiştir.
Kararın ikinci önemli boyutu ise, erişim hakkının ihlali ile GDPR m.82 kapsamındaki tazminat talepleri arasındaki ilişkiye yöneliktir. ABAD, alt veri işleme faaliyeti hukuka uygun olsa dahi, erişim hakkının ihlal edilmesinin tazminat talebine konu olabileceğini kabul etmiştir. Bununla birlikte, yalnızca erişim talebinin reddedilmiş olması veya soyut biçimde kontrol kaybı hissedildiğinin ileri sürülmesi tek başına yeterli görülmemiş; ilgili kişinin gerçekten bir maddi olmayan zarar yaşadığını ve bu zararın veri sorumlusunun ihlalinden kaynaklandığını ortaya koyması gerektiği belirtilmiştir.
GRC LEGAL PERSPEKTİFİ
ABAD kararı, kanaatimizce veri sorumluları bakımından iki yönlü bir mesaj içermektedir: Stratejik veya kötü niyetli erişim başvurularına karşı savunma imkânı tamamen dışlanmamakta; ancak bu savunmanın yüksek bir ispat standardına tabi olduğu açıkça ortaya konulmaktadır. Diğer taraftan, erişim hakkının ihlali artık yalnızca başvuru sürecine ilişkin bir eksiklik olarak değil, uygun koşullarda bağımsız bir tazminat riski olarak da değerlendirilmektedir. Bu çerçevede, veri sorumlularının ilgili kişi başvurularını standart cevap şablonlarıyla değil; olay bazlı değerlendirme, yeterli kayıt ve güçlü gerekçelendirme ile yönetmesi kritik önem taşımaktadır.
EDPB ve EDPS’ten Siber Güvenlik Yasası 2 ve NIS 2 Değişikliği Tekliflerine İlişkin Ortak Görüş
Avrupa Veri Koruma Kurulu (European Data Protection Board, “EDPB”) ve Avrupa Veri Koruma Denetçisi (European Data Protection Supervisor, “EDPS”), 18 Mart 2026 tarihinde kabul ettikleri Ortak Görüş (Joint Opinion 4/2026) ile Avrupa Komisyonu’nun 20 Ocak 2026 tarihinde yayımladığı iki yasal teklifi veri koruma perspektifinden değerlendirmiştir. Bunlardan ilki, Avrupa Birliği Siber Güvenlik Ajansı (“ENISA”)’nın görev alanını genişleten, Avrupa siber güvenlik sertifikasyon çerçevesini yeniden düzenleyen ve BT tedarik zinciri güvenliğine ilişkin hükümler içeren Siber Güvenlik Yasası 2 (“CSA2”) Teklifi; ikincisi ise NIS 2 (“Ağ ve Bilgi Güvenliği”) Direktifi’nde sadeleştirme ve uyumlaştırma amaçlı değişiklikler öngören Direktif Değişikliği Teklifi’dir.
Veri Koruma ve Siber Güvenlik İlişkisine Genel Yaklaşım
Ortak Görüş’te, veri koruma ile siber güvenlik arasındaki ilişkinin çift yönlü niteliği özellikle vurgulanmaktadır. Bir yandan siber güvenlik tedbirleri, kişisel verilerin yetkisiz erişim, değiştirme veya kullanılamaz hale gelme risklerine karşı korunmasına hizmet etmektedir. Diğer yandan bazı siber güvenlik uygulamaları, bireylerin mahremiyet ve veri koruma haklarına müdahale niteliği taşıyabilmektedir. Bu nedenle EDPB ve EDPS, siber güvenlik tedbirlerinin yalnızca etkinlik odaklı değil; aynı zamanda gereklilik ve orantılılık ilkeleri çerçevesinde değerlendirilmesi gerektiğini hatırlatmaktadır.
ENISA’nın Rolünün Güçlendirilmesi
EDPB ve EDPS, ENISA’nın görev alanının genişletilmesini ve sertifikasyon süreçlerinin kolaylaştırılmasını genel olarak desteklemektedir. CSA2 Teklifi uyarınca EDPB’nin veri koruma ve mahremiyet alanındaki siber güvenlik konularında ENISA’dan doğrudan danışmanlık talep edebilmesi olumlu karşılanmaktadır. Bununla birlikte, EDPS’nin de bu danışmanlık mekanizmasına açıkça dahil edilmesi önerilmektedir. Ayrıca danışmanlığın yalnızca talep üzerine sağlanacak şekilde düzenlenmesi, veri koruma otoritelerinin kendi karar alma yetkilerinin korunması bakımından önemli görülmektedir.
EDPB ve EDPS’ten Siber Güvenlik Yasası 2 ve NIS 2 Değişikliği Tekliflerine İlişkin Ortak Görüş
Operasyonel İş Birliği ve Kişisel Verilerin İşlenmesi
CSA2 Teklifi ile ENISA’nın daha merkezi ve operasyonel bir koordinasyon rolü üstlenmesi öngörülmektedir. Bu kapsamda IP adresleri, kullanıcı kimlik bilgileri veya ele geçirilmiş hesap verileri gibi kişisel verilerin de işlenmesi ihtimali gündeme gelebilmektedir. EDPB ve EDPS, ENISA’nın önemli ölçüde kişisel veri işleyeceği senaryolarda, bu işleme faaliyetlerinin kapsamı, amacı ve güvencelerinin temel yasal düzenlemede açıkça belirlenmesi gerektiğini vurgulamaktadır. Ayrıca ilave veri koruma tedbirlerinin belirlenmesinden önce EDPS ile ön istişare yapılması önerilmektedir.
Olay Bildirimi İçin Tek Giriş Noktası
Ortak Görüş’te en dikkat çekici başlıklardan biri, kişisel veri ihlalleri ve siber olay bildirimleri bakımından “tek giriş noktası” yaklaşımına verilen destektir. EDPB ve EDPS, farklı raporlama yükümlülüklerini tek bir platform üzerinden sadeleştirme amacını olumlu değerlendirmekte; bu yapının kuruluşların idari yükünü azaltabileceğini belirtmektedir. Bununla birlikte, veri ihlali bildirimlerinin hassas niteliği nedeniyle bu sistemin yüksek güvenlik standartlarıyla korunması gerektiği de açıkça ifade edilmektedir.
Avrupa Siber Güvenlik Sertifikasyon Çerçevesi ve GDPR İlişkisi
CSA2 Teklifi’nde, sertifikasyon şemalarının güvenlik hedefleri arasına kişisel verilerin işlenmesinin güvenliğinin de dahil edilmesi öngörülmektedir. EDPB ve EDPS, bu yaklaşımı olumlu değerlendirmekle birlikte, GDPR’ın kendi sertifikasyon mekanizmasının bulunduğunu hatırlatmakta ve siber güvenlik sertifikasyonunun GDPR sertifikasyonundan farklı olduğunu vurgulamaktadır. Buna rağmen, iki alan arasında işlevsel sinerji kurulabileceği ve sertifikasyon şemalarının mümkün olduğunca GDPR’ın güvenlik yükümlülükleriyle uyumlu kontroller içermesi gerektiği ifade edilmektedir. Özellikle loglama, derin paket incelemesi ve kullanıcı davranış analitiği gibi önlemler bakımından veri koruma risklerinin ayrıca dikkate alınması gerektiği belirtilmektedir.
GRC LEGAL PERSPEKTİFİ
Ortak Görüş, Avrupa Birliği’nde siber güvenlik mevzuatı yeniden şekillenirken veri koruma boyutunun geri planda bırakılmadığını açık biçimde göstermektedir. Özellikle siber güvenlik tedbirlerinin etkinliği kadar gereklilik ve orantılılık açısından da değerlendirilmesi gerektiğinin vurgulanması, GDPR’ın temel ilkeleriyle uyumlu bütüncül bir yaklaşımın sürdürüldüğünü ortaya koymaktadır.
Bu metin, Şubat ayı bültenimizde ele aldığımız Digital Omnibus ortak görüşü ile birlikte değerlendirildiğinde; Avrupa Birliği veri koruma otoritelerinin sadeleştirme ve kurumsal etkinliği desteklemekle birlikte, bu süreçte temel hak koruması ve hesap verebilirlikten taviz verilmemesi gerektiğini istikrarlı biçimde savunduğu görülmektedir. Siber güvenlik, sertifikasyon, tedarik zinciri güvenliği ve olay bildirimi alanlarında şekillenen bu yaklaşım, regülasyon mimarisinin giderek daha bütüncül bir GRC perspektifiyle kurulduğunu göstermektedir.
Kanaatimizce Türkiye bakımından da bu gelişmeler dikkatle takip edilmelidir. Özellikle 7545 sayılı Siber Güvenlik Kanunu sonrasında şekillenecek ikincil mevzuat bakımından; AB düzeyinde benimsenen sertifikasyon, tedarik zinciri güvenliği ve olay bildirimi yaklaşımlarının önemli referans noktaları sunabileceği değerlendirilmektedir. Ek olarak, “tek giriş noktası” modeli, dijitalleşen dünyada her kişisel veri ihlalinin büyük olasılıkla aynı zamanda bir siber olay olacağı göz önünde alındığında, bildirim süreçlerinin sadeleştirilmesi bakımından dikkate değer bir örnek oluşturmaktadır.
AYIN GRC KAVRAMI
Psödonimleştirme
Psödonimleştirme, kişisel verilerin, ek bilgiler kullanılmaksızın belirli bir gerçek kişiyle ilişkilendirilemeyeceği şekilde işlenmesini ifade etmektedir. Ancak bu yöntem, veriyi anonim hale getirmeyecektir; başka bir deyişle, ek bilgiler kullanılarak ilgili kişi yeniden belirlenebiliyorsa veri kişisel veri niteliğini korumaya devam edecektir. Bu nedenle psödonimleştirme, veri koruma hukukunun kapsamını ortadan kaldıran değil, veri işleme faaliyetinden doğan riskleri azaltan bir yöntemdir.
Bu kavram en çok anonimleştirme ile karıştırılmaktadır. Ancak, anonimleştirmede amaç, verinin artık hiçbir şekilde belirli veya belirlenebilir bir kişiyle ilişkilendirilememesidir. Psödonimleştirmede ise veri ile kişi arasındaki bağ tamamen kopmamakta; yalnızca bu bağın doğrudan kurulması zorlaştırılmaktadır. Bu yönüyle psödonimleştirme, özellikle veri minimizasyonu, güvenlik ve “tasarımdan itibaren veri koruma” yaklaşımı bakımından önemli bir teknik ve idari tedbir niteliği taşımaktadır. Kurum’un “Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Rehberi” de anonim hale getirme yöntemleri ile anonimliğin bozulması risklerini ele alarak bu ayrımın önemini ortaya koymaktadır.
Yukarıda yer verdiğimiz Criteo kararı da söz konusu ayrımın pratikte ne kadar kritik olduğunu göstermektedir. Kararda, çevrimiçi tanımlayıcılar ve diğer gezinme verileriyle ilişkilendirilen verilerin, doğrudan isim-soyisim içermemesi nedeniyle anonim kabul edilemeyeceği; yeniden kimliklendirme riskinin somut olarak ortadan kalkmadığı durumlarda kişisel veri niteliğini koruyacağı değerlendirilmiştir. Bu yaklaşım, özellikle reklam teknolojileri, profilleme faaliyetleri ve büyük veri setlerinin bir araya getirildiği işleme faaliyetleri bakımından önem taşımaktadır.
