GRC PERSPEKTİF: VERİ KORUMA & UYUM BÜLTENİ– MAYIS 2026
TÜRKİYE’DE NELER OLUYOR?
KVKK 2025 Faaliyet Raporu Yayımlandı: Başvuru, Veri İhlali ve İdari Para Cezalarında Dikkat Çeken Artış
Kişisel Verileri Koruma Kurumu (“Kurum”) tarafından yayımlanan 2025 Yılı Faaliyet Raporu, Kurum’un 2025 yılı içerisindeki inceleme, veri ihlali bildirimi, idari yaptırım, VERBİS ve yurt dışına veri aktarımı süreçlerine ilişkin faaliyetlerini ortaya koymaktadır.
Rapora göre, 01.01.2025-31.12.2025 döneminde Kurum’a toplam 12.512 ihbar ve şikâyet intikal etmiştir. Başvuruların 9.315’i CİMER, 2.058’i e-şikâyet modülü ve 1.139’u posta yoluyla yapılmış; bu kapsamda başvuruların %75’i CİMER, %16’sı e-şikâyet modülü ve %9’u posta aracılığıyla Kuruma iletilmiştir.
İhbar ve şikâyetlerin sektörel dağılımında en yüksek başvuru sayısının 1.691 başvuru ile hizmet sektörü bakımından gerçekleştiği görülmektedir. Başvuruların konu bazındaki dağılımında ise kişisel verilerin hukuka aykırı olarak işlenmesi ilk sırada yer almıştır. Buna göre başvuruların %52’si kişisel verilerin hukuka aykırı olarak işlenmesine, %22’si kişisel verilerin hukuka aykırı olarak üçüncü kişilerle paylaşılmasına, %11’i izinsiz SMS/arama yapılmasına, %6’sı ilgili kişi taleplerinin yerine getirilmemesine, %4’ü ise silme, yok etme ve anonim hale getirme yükümlülüğüne aykırılık iddialarına ilişkindir.
Veri ihlali bildirimleri bakımından, 2025 yılı içerisinde Kurum’a 328 veri ihlali bildirimi yapılmıştır. Bu bildirimlerin 296’sı yurt içi, 32’si ise yurt dışı kaynaklı dosyalardan oluşmuş; aynı dönemde 51 veri ihlali bildirimi Kurum tarafından ilan edilmiştir.
İdari yaptırımlar bakımından ise 2025 yılı içerisinde 140’ı ihbar ve şikâyetler, 142’si veri ihlal bildirimleri ve 594’ü Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğü kapsamında olmak üzere toplam 876 veri sorumlusu hakkında idari para cezası uygulanmıştır. Uygulanan idari para cezalarının toplam tutarı 352.510.494 TL olarak gerçekleşmiş; bu tutarın 45.291.994 TL’si ihbar ve şikâyetlere, 90.358.500 TL’si veri ihlal bildirimlerine, 216.860.000 TL’si ise Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırılıklara ilişkin olmuştur.
Raporda yurt dışına veri aktarımı süreçlerine ilişkin verilere de yer verilmiş; 2025 yılında Kişisel Verilerin Korunması Kanunu (“Kanun”)’nun 9/4-c maddesi uyarınca Kurum’a sunulan standart sözleşme sayısının 2.497 olduğu belirtilmiştir.
GRC LEGAL PERSPEKTİFİ
KVKK 2025 Faaliyet Raporu, kişisel verilerin korunması alanında uyum yükümlülüklerinin yalnızca politika ve metin hazırlığıyla sınırlı olmadığını; başvuru yönetimi, veri güvenliği, VERBİS kayıtlarının güncelliği, yurt dışına veri aktarımı ve veri ihlali müdahale süreçlerinin bütüncül şekilde ele alınması gerektiğini göstermektedir.
İhbar ve şikâyet sayısındaki artış, ilgili kişilerin kişisel verileri üzerindeki haklarına ilişkin farkındalığının yükseldiğine işaret etmektedir. Buna karşılık, başvuruların önemli bir kısmının usul eksiklikleri veya kapsam dışılık nedeniyle esasa girilmeden sonuçlandırılması, başvuru ve şikâyet mekanizmalarına ilişkin farkındalık ihtiyacının devam ettiğini ortaya koymaktadır.
Başvuruların konu bazındaki dağılımı, veri sorumluları bakımından hukuki sebep ve amaçla sınırlılık değerlendirmesi, üçüncü kişilerle veri paylaşımı, ticari elektronik ileti süreçleri, ilgili kişi başvurularının yanıtlanması ve imha yükümlülüklerinin başlıca risk alanları olduğunu göstermektedir. Bu nedenle veri sorumlularının yalnızca aydınlatma metinlerini değil, fiili veri işleme süreçlerini ve başvuru yanıt mekanizmalarını da düzenli olarak gözden geçirmesi önem taşımaktadır.
İdari para cezalarında VERBİS kayıt ve bildirim yükümlülüğünün en yüksek paya sahip olması, sicil yükümlülüğünün tek seferlik bir kayıt işlemi olarak değerlendirilmemesi gerektiğini ortaya koymaktadır. Benzer şekilde, veri ihlali bildirimlerine ilişkin veriler de teknik ve idari tedbirlerin, olay müdahale planlarının ve ihlal bildirim prosedürlerinin periyodik olarak test edilmesi gerektiğini göstermektedir.
Standart sözleşme bildirimlerine ilişkin sayı ise yeni yurt dışına veri aktarımı rejiminin uygulamada karşılık bulmaya başladığını göstermektedir. Bununla birlikte, standart sözleşme bildiriminin yalnızca şekli bir bildirim yükümlülüğü olarak değil; aktarım tarafları, veri kategorileri, aktarım amaçları, güvenlik tedbirleri ve sonraki aktarımlar bakımından kapsamlı bir risk analizi süreci olarak ele alınması gerekmektedir.
Sosyal Medyada 15 Yaş Düzenlemesi Kanunlaştı: Yaş Doğrulama, Çocuklara Özgü Hizmet ve Ebeveyn Kontrolü Yükümlülükleri
Sosyal Hizmetler Kanunu ve Bazı Kanunlarda Değişiklik Yapılmasına Dair 7578 sayılı Kanun, 30.04.2026 tarihli Resmî Gazete’de yayımlanmıştır. Kanun ile 5651 sayılı Kanun’da sosyal ağ sağlayıcılar ve oyun platformlarına yönelik önemli değişiklikler yapılmıştır.
Düzenleme kapsamında sosyal ağ sağlayıcılara, on beş yaşını doldurmamış çocuklara hizmet sunmama ve bu kapsamda yaş doğrulama dâhil gerekli tedbirleri alma yükümlülüğü getirilmiştir. Ayrıca sosyal ağ sağlayıcıların on beş yaşını doldurmuş çocuklara özgü ayrıştırılmış hizmet sunması ve bu kapsamda alınan tedbirleri kendi internet sitesinde yayımlaması öngörülmüştür.
Kanun ile sosyal ağ sağlayıcılara açık, anlaşılır ve kullanıma elverişli ebeveyn kontrol araçları sağlama yükümlülüğü de getirilmiştir. Bu araçların; hesap ayarlarının kontrol edilmesi, ücretli işlemlerin ebeveyn iznine veya onayına tabi kılınması, kullanım süresinin izlenmesi ve sınırlandırılması gibi mekanizmaları içermesi gerekmektedir. Ayrıca sosyal ağ sağlayıcıların aldatıcı reklamları engelleyici tedbirler alması da düzenlenmiştir.
Oyun platformları bakımından ise yaş derecelendirmesi, ebeveyn kontrol araçları ve Türkiye’den günlük erişimi yüz binden fazla olan yurt dışı kaynaklı oyun platformları için Türkiye’de temsilci belirleme yükümlülüğü öngörülmüştür. Bilgi Teknolojileri ve İletişim Kurumu, oyun platformlarından kurumsal yapı, bilişim sistemleri ve veri işleme mekanizmaları dâhil olmak üzere Kanun’un uygulanmasıyla doğrudan ilgili açıklamaları talep edebilecektir.
Söz konusu yükümlülüklere aykırılık hâlinde sosyal ağ sağlayıcılar ve oyun platformları bakımından idari para cezası, reklam yasağı ve internet trafiği bant genişliğinin daraltılması gibi yaptırımlar gündeme gelebilecektir. Düzenlemeler, Kanun’un yayımı tarihinden itibaren altı ay sonra yürürlüğe girecektir.
GRC LEGAL PERSPEKTİFİ
Düzenleme, çocukların dijital ortamlarda korunmasına yönelik yükümlülüklerin yaş doğrulama, çocuklara özgü hizmet tasarımı, ebeveyn kontrolü, reklam denetimi ve platform sorumluluğu başlıkları altında genişlediğini göstermektedir.
Özellikle yaş doğrulama ve ebeveyn kontrol mekanizmaları, çocukların korunması bakımından önemli olmakla birlikte kişisel veri işleme süreçlerini de gündeme getirmektedir. Bu nedenle sosyal ağ sağlayıcılar ve oyun platformlarının söz konusu süreçleri veri minimizasyonu, ölçülülük, amaçla sınırlılık ve saklama süresi ilkeleri çerçevesinde tasarlaması önem taşımaktadır.
Siber Güvenlik Kurulu İlk Toplantısını Gerçekleştirdi: Kritik Altyapı Sektörleri Belirlendi
Siber Güvenlik Kurulu, 5 Mayıs 2026 tarihinde Cumhurbaşkanı Recep Tayyip Erdoğan başkanlığında ilk toplantısını gerçekleştirmiştir. Toplantıda siber güvenliğin millî güvenliğin ayrılmaz bir parçası olduğu vurgulanmış; Siber Güvenlik Başkanlığının ülkemizin dijital varlıklarını korumak, tehditlere karşı proaktif bir yapı kurmak ve ulusal düzeyde güçlü bir siber güvenlik mimarisi oluşturmak amacıyla faaliyetlerini sürdüreceği ifade edilmiştir.
Bu kapsamda, ulusal siber güvenlik yaklaşımının temel unsurları gözden geçirilmiş; özellikle kritik altyapıların korunması, dijital sistemlerin güvenliği ile yerli ve millî teknolojilerde kapasite geliştirilmesi öncelikli alanlar arasında değerlendirilmiştir. Ayrıca toplantıda veri egemenliği ayrı bir başlık altında ele alınmış; verinin teknik bir unsur olmanın ötesinde stratejik bir değer taşıdığı belirtilmiştir.
Toplantı sonucunda; kurumlar arası eş güdümün güçlendirilmesi, kritik alanlarda yerli ve sürdürülebilir kapasitenin artırılması, siber risklere karşı hazırlık ve hızlı uyum kabiliyetinin geliştirilmesi kararlaştırılmıştır. Ek olarak, Dijital Altyapılar, Dijital Hizmetler, Elektronik Haberleşme, Enerji, Finans, Gıda ve Tarım, İmalat Sanayi, Kamu Hizmetleri, Medya ve Kriz İletişimi, Posta ve Kargo, Sağlık, Savunma Sanayii, Su Yönetimi, Ulaştırma ve Uzay alanları kritik altyapı sektörleri olarak belirlenmiştir.
GRC LEGAL PERSPEKTİFİ
Siber Güvenlik Kurulu’nun ilk toplantısı, siber güvenliğin yalnızca teknik bir konu değil; millî güvenlik, veri egemenliği, ekonomik süreklilik ve kurumsal dayanıklılık bakımından stratejik bir alan olarak ele alındığını bir kez daha göstermektedir.
Kritik altyapı sektörlerinde faaliyet gösteren kurum ve kuruluşların siber güvenlik, veri güvenliği, olay müdahale, iş sürekliliği ve tedarikçi risk yönetimi süreçlerini daha bütüncül şekilde yapılandırması önem kazanacaktır.
KVKK ve RTÜK İş Birliğiyle Reality Show Programlarında Kişisel Verilerin İşlenmesine İlişkin Rehber Yayımlandı
Kurum tarafından, Radyo ve Televizyon Üst Kurulu (“RTÜK”), yayıncı ve yapımcı firmalar ile akademisyenlerden alınan görüşler doğrultusunda Canlı Yayımlanan Reality Show Niteliğindeki Programlarda Kişisel Verilerin İşlenmesine Yönelik Rehber (“Rehber”) yayımlanmıştır.
Rehber, özellikle gündüz kuşağında canlı yayımlanan ve gerçek hayata ilişkin olayları konu alan programlarda, kişisel verilerin işlenmesine yönelik uygulamalara açıklık getirmektedir. Bu kapsamda programların hazırlık aşaması, canlı yayın süreci, yayın sonrası işlemler ve internet platformlarında yeniden yayımlanması süreçleri rehberin kapsamı içerisinde ele alınmıştır.
Rehber’de, reality show niteliğindeki programlarda kimlik, iletişim, görsel ve işitsel kayıtlar, medeni durum, mali durum, eğitim bilgisi gibi kişisel verilerin yanı sıra; sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleri gibi özel nitelikli kişisel verilerin de işlenebildiğine dikkat çekilmiştir. Bu nedenle yayıncı ve yapımcı kuruluşların, kişisel veri işleme faaliyetlerini 6698 sayılı Kanun’daki genel ilkelere ve işleme şartlarına uygun şekilde yürütmesi gerektiği vurgulanmıştır.
Rehber’de ayrıca, yayıncı ve yapımcı kuruluşların somut olayın özelliklerine göre veri sorumlusu, veri işleyen veya birlikte veri sorumlusu olarak değerlendirilebileceği belirtilmiştir. Bu çerçevede aydınlatma yükümlülüğü, açık rıza, veri güvenliği, yurt içi ve yurt dışı aktarım şartları, imha talepleri, VERBİS yükümlülüğü, veri ihlali bildirimi ve ilgili kişi başvurularının cevaplanması gibi başlıklarda uyum tavsiyelerine yer verilmiştir.
GRC LEGAL PERSPEKTİFİ
Rehber, canlı yayın formatının kişisel verilerin sınırsız şekilde işlenebileceği bir alan oluşturmadığını açıkça ortaya koymaktadır. Özellikle yayın sırasında üçüncü kişilere ait bilgilerin paylaşılması, özel nitelikli kişisel verilerin ifşa edilmesi veya kişilik haklarını zedeleyebilecek açıklamalara yer verilmesi, KVKK bakımından ciddi riskler doğurabilecektir.
Bu nedenle yayıncı ve yapımcı kuruluşların, program öncesinden yayın sonrasına kadar uzanan tüm süreçlerde aydınlatma, açık rıza, veri minimizasyonu, veri güvenliği ve imha süreçlerini birlikte değerlendirmesi; ayrıca canlı yayınlarda hukuka aykırı veri paylaşımını önlemeye yönelik teknik ve idari tedbirleri önceden kurgulaması önem taşımaktadır.
VERBİS Kayıt Yükümlülüğü Bakımından 2025 Mali Bilanço Eşiği ve Son Tarih Duyurusu
Kurum tarafından, 2025 yılı mali bilanço toplamı nedeniyle VERBİS’e kayıt yükümlülüğü doğan kurumlar vergisi mükellefi tüzel kişi veri sorumlularına ilişkin kamuoyu duyurusu yayımlanmıştır.
Duyuruda, ana faaliyet konusu özel nitelikli kişisel veri işleme olmayan ve mali bilanço toplamı 100 milyon TL ve üzeri olan veri sorumluları ile ana faaliyet konusu özel nitelikli kişisel veri işleme olan ve mali bilanço toplamı 10 milyon TL ve üzeri olan veri sorumlularının VERBİS kayıt yükümlülüğünü değerlendirmesi gerektiği belirtilmiştir.
Bu kapsamda, normal şartlarda 01.06.2026 tarihinde sona ermesi beklenen kayıt ve bildirim süresi, Kurulun 13.05.2026 tarihli ve 2026/1026 sayılı Kararı ile 05.06.2026 tarihine kadar uzatılmıştır.
KVKK’da İlk Bağlayıcı Şirket Kuralları Başvurusu Onaylandı
Kurum tarafından, yurt dışına kişisel veri aktarımı kapsamında yapılan ilk Bağlayıcı Şirket Kuralları (“BŞK”) başvurusunun onaylandığı duyurulmuştur.
Duyuruya göre, Sosyo-Plus Bilgi Bilişim Teknolojileri Danışmanlık Hizmetleri A.Ş. tarafından Kurum’a sunulan BŞK başvurusu, Kanun’un 9’uncu maddesinin dördüncü fıkrasının (b) bendi kapsamında değerlendirilmiş ve 20.05.2026 tarihinde Kurul tarafından onaylanmıştır.
GRC LEGAL PERSPEKTİFİ
Bu karar, 2024 yılında yürürlüğe giren yeni yurt dışına veri aktarımı rejimi kapsamında BŞK mekanizmasının Türkiye’de uygulanmaya başladığını göstermesi bakımından önemli bir gelişmedir.
Özellikle çok uluslu şirket grupları, teknoloji şirketleri ve grup içi veri aktarımı yoğun olan yapılar bakımından BŞK mekanizması; yurt dışına aktarım süreçlerinde uzun vadeli ve kurumsal bir uyum aracı olarak değerlendirilebilecektir.
DÜNYADA NELER OLUYOR?
İrlanda Veri Koruma Otoritesi SHEIN Hakkında Çin’e Veri Aktarımları Nedeniyle Soruşturma Başlattı
İrlanda Veri Koruma Otoritesi (“DPC”), SHEIN Ireland olarak faaliyet gösteren Infinite Styles Services Co. Ltd. hakkında, AB/AEA’daki ilgili kişilere ait kişisel verilerin Çin’e aktarılması nedeniyle resmi soruşturma başlatmıştır.
Soruşturma kapsamında DPC, SHEIN Ireland’ın söz konusu veri aktarımları bakımından GDPR kapsamındaki yükümlülüklerine uyumunu inceleyecektir. İncelemede özellikle GDPR m.5’te yer alan kişisel veri işleme ilkeleri, GDPR m.13 kapsamındaki şeffaflık yükümlülükleri ve üçüncü ülkelere veri aktarımına ilişkin GDPR Bölüm V hükümleri değerlendirilecektir.
DPC açıklamasında, kişisel verilerin AB dışındaki bir ülkeye aktarılması halinde, verilerin AB içindeki koruma düzeyine esasen eşdeğer bir korumadan yararlanması gerektiği vurgulanmıştır. Ayrıca son dönemde Çin’e veri aktarımlarının Avrupa veri koruma otoriteleri nezdinde daha fazla gündeme geldiği ve soruşturmanın DPC bakımından stratejik öncelik taşıdığı ifade edilmiştir.
GRC LEGAL PERSPEKTİFİ
SHEIN hakkında başlatılan soruşturma, e-ticaret ve dijital platformlar bakımından üçüncü ülkelere veri aktarımı süreçlerinin Avrupa’da giderek daha sıkı şekilde incelendiğini göstermektedir.
Özellikle yeterlilik kararı bulunmayan ülkelere yapılan aktarımlarda, yalnızca standart sözleşme hükümlerinin imzalanması yeterli görülmemekte; aktarım yapılan ülkedeki hukuk ve uygulamaların, kişisel veriler için esasen eşdeğer koruma sağlayıp sağlamadığının da değerlendirilmesi beklenmektedir. Bu nedenle şirketlerin sınır ötesi veri aktarım süreçlerini şeffaflık, aktarım dayanağı, ek güvenlik tedbirleri ve hesap verebilirlik ilkeleri çerçevesinde yapılandırması önem taşımaktadır.
Uber’in Sürücülerin Veri Erişim Haklarını Kullanmasını Zorlaştırdığı Gerekçesiyle Verilen 10 Milyon Euroluk Ceza Onandı
Hollanda Veri Koruma Otoritesi, Uber’e GDPR ihlalleri nedeniyle verilen 10 milyon euroluk idari para cezasına karşı yapılan itirazı reddetmiştir.
Karara konu süreçte, Uber’in sürücülerin kişisel verilerine erişim taleplerini kullanmasını gereksiz şekilde zorlaştırdığı değerlendirilmiştir.
Her ne kadar uygulama içerisinde erişim hakkının kullanılmasına yönelik dijital bir form bulunsa da, söz konusu formun farklı menüler altında erişilmesi güç şekilde konumlandırıldığı belirtilmiştir.
Otorite ayrıca, Uber tarafından sürücülere sunulan bazı dokümanların anlaşılması güç bir dil içerdiğini; gizlilik politikasında ise sürücü verilerinin saklama süreleri ve verilerin aktarıldığı ülkeler hakkında yeterli bilgilendirme yapılmadığını tespit etmiştir.
Uber, itiraz sürecinde gizlilik politikasının GDPR’a uygun olduğunu ve sonradan iyileştirmeler yaptığını ileri sürmüşse de Otorite söz konusu iyileştirmelerin önceki ihlalleri ortadan kaldırmadığına karar vererek cezanın miktarını ve ihlal tespitlerini onamıştır.
New Mexico’dan Meta’ya Çocuk Güvenliği Davasında 3,7 Milyar Dolarlık Yaptırım Talebi
ABD’nin New Mexico eyaleti, Meta Platforms hakkında devam eden çocuk güvenliği davasında mahkemeden şirketin kamu sağlığı ve güvenliği bozduğunun ve rahatsızlık oluşturduğunun tespit edilmesini talep etmiştir.
Dava kapsamında New Mexico Başsavcılığı, Meta’nın Facebook, Instagram ve WhatsApp platformlarını genç kullanıcılar bakımından bağımlılık yaratacak şekilde tasarladığını ve çocukları çevrim içi istismar risklerine karşı yeterince korumadığını ileri sürmektedir.
Bu kapsamda Meta’dan 3,7 milyar dolar tutarında ödeme yapılması ve platformlarda çocuk kullanıcıları korumaya yönelik kapsamlı değişiklikler gerçekleştirilmesi talep edilmiştir.
Talep edilen önlemler arasında; yaş doğrulama mekanizmalarının güçlendirilmesi, çocuk kullanıcılar için algoritmaların yeniden tasarlanması, otomatik oynatma ve sonsuz kaydırma gibi özelliklerin küçükler bakımından sınırlandırılması yer almaktadır.
Meta ise platformlarında çocuk güvenliğine yönelik kapsamlı tedbirler bulunduğunu savunmuş ve talep edilen önlemlerin yargı yoluyla getirilemeyecek ölçüde geniş bir düzenleyici müdahale niteliği taşıdığını ileri sürmüştür.
GRC LEGAL PERSPEKTİFİ
Dava, sosyal medya platformlarının çocuk kullanıcılar bakımından yalnızca içerik moderasyonu değil; ürün tasarımı, algoritmik yönlendirme, yaş doğrulama ve bağımlılık yaratan arayüz özellikleri üzerinden de sorumlu tutulabileceğini göstermektedir.
Bu gelişme, çocukların dijital ortamlarda korunmasına ilişkin regülasyonların küresel ölçekte platform tasarımı ve veri işleme pratiklerine daha fazla odaklandığını ortaya koymaktadır. Bu nedenle dijital platformların çocuk kullanıcılar bakımından mahremiyet, güvenlik ve kullanıcı deneyimi süreçlerini birlikte değerlendirmesi önem taşımaktadır.
İtalya’dan Deepfake İçeriklere İlişkin Kılavuz
İtalya Veri Koruma Otoritesi, gerçek kişilere ait görüntü veya seslerin kullanılması suretiyle deepfake içeriklerin üretilmesi ve paylaşılmasına ilişkin yeni bir uyarı yayımlamıştır.
Otorite, kişilerin görüntü veya seslerinden hareketle içerik üreten ve bu içeriklerin paylaşılmasına imkân tanıyan yapay zekâ tabanlı hizmetlerin, özellikle kişilerin rızası olmaksızın mahremiyetlerini ihlal edecek şekilde kullanılması hâlinde temel hak ve özgürlükler bakımından ciddi riskler doğurabileceğini belirtmiştir. Bu tür kullanımların, olası cezai sorumlulukların yanı sıra Avrupa veri koruma mevzuatı kapsamında yaptırımlara da konu olabileceği vurgulanmıştır.
Açıklamada ayrıca, benzer yapay zekâ tabanlı hizmetlere ilişkin daha önce de uyarı kararları alındığı hatırlatılmış; Otorite, zararlı içeriklerin hızla yayılmasını önlemek amacıyla bu tür platformlara İtalya’dan erişimin engellenebilmesi için daha geniş müdahale yetkilerine ihtiyaç duyulduğunu ifade etmiştir.
CNIL’den Akıllı Gözlük Kullanımına İlişkin Mahremiyet Önerileri
Fransa Veri Koruma Otoritesi (“CNIL”), akıllı gözlüklerin kullanımına ilişkin mahremiyet risklerine dikkat çeken bir açıklama yayımlamıştır.
CNIL, mikrofon ve kamera gibi sensörler içeren akıllı gözlüklerin, çevredeki kişilerin görüntü ve seslerini farkında olmadan kaydedebilme riski taşıdığını belirtmiştir. Bu cihazların klasik gözlüklerden kolaylıkla ayırt edilememesi nedeniyle kişilerin kayıt altında olduklarını anlamasının güçleştiği vurgulanmıştır.
Açıklamada, akıllı gözlüklerin yapay zekâ sistemleriyle bağlantılı olarak çalışabildiği; bu kapsamda kullanıcının çevresini analiz etme, görüntü veya ses kaydı alma ve gerçek zamanlı yanıt üretme gibi işlevler sunabildiği belirtilmiştir. CNIL, bu durumun günlük yaşamda görünmez ve yaygın gözetim riskini artırabileceğine dikkat çekmiştir.
Bu kapsamda CNIL, akıllı gözlük kullanıcılarına; cihazı kullanırken çevredeki kişileri bilgilendirme, kayıt işlevlerini ihtiyaç sona erdiğinde kapatma, kişilerin kayıt beklemediği alanlarda kullanımdan kaçınma ve görüntü veya videoları sosyal medyada paylaşmadan önce ilgili kişilerin rızasını alma yönünde önerilerde bulunmuştur.
GRC LEGAL PERSPEKTİFİ
CNIL’in açıklaması, giyilebilir teknolojilerin yalnızca kullanıcıya ilişkin değil, kullanıcının çevresindeki üçüncü kişilere ilişkin de önemli veri koruma riskleri doğurduğunu göstermektedir. Akıllı gözlükler bakımından temel risk, veri işleme faaliyetinin çoğu zaman görünür olmaması ve çevredeki kişilerin görüntü veya seslerinin kaydedildiğini fark edememesidir.
Özellikle görüntü ve ses verilerinin yapay zekâ sistemleriyle birlikte işlenmesi; aydınlatma, rıza, veri minimizasyonu, amaçla sınırlılık ve mahremiyet beklentisi bakımından daha dikkatli bir değerlendirme yapılmasını gerektirmektedir. Bu cihazların kamusal alanlarda, işyerlerinde, sağlık kuruluşlarında veya özel alanlarda kullanımı, her somut olay bakımından farklı mahremiyet riskleri doğurabilecektir.
Bu nedenle akıllı gözlüklerin geliştirilmesi ve kullanıma sunulması süreçlerinde yalnızca teknik güvenlik tedbirlerine değil, aynı zamanda mahremiyet odaklı tasarım, varsayılan gizlilik ayarları, kayıt göstergeleri, veri saklama süreleri ve üçüncü kişilerin haklarını koruyacak açık mekanizmalara da yer verilmesi önem taşımaktadır.
AYIN GRC KAVRAMI
Veri Egemenliği
Veri egemenliği, verinin hangi ülkede, hangi hukuki rejim altında, kimler tarafından ve hangi güvenlik tedbirleriyle işlendiği üzerinde kontrol sahibi olunmasını ifade etmektedir. Dijitalleşmenin hız kazanmasıyla birlikte veri, yalnızca teknik veya ticari bir unsur olmaktan çıkmış; ekonomik, stratejik ve hukuki değere sahip bir varlık haline gelmiştir.
Bu kavram, özellikle yurt dışına kişisel veri aktarımı, bulut hizmetleri, grup içi veri paylaşımı, kritik altyapılar, kamu sistemleri ve yapay zekâ uygulamaları bakımından önem taşımaktadır. Verinin hangi ülkede saklandığı, kimlerin erişimine açık olduğu ve hangi aktarım mekanizmalarıyla işlendiği hem kişisel verilerin korunması hem de kurumsal risk yönetimi açısından temel bir değerlendirme alanı oluşturmaktadır.
Veri egemenliği yaklaşımı, kurumların kişisel verilerin yaşam döngüsünü daha şeffaf, denetlenebilir ve hesap verebilir şekilde yönetmesini gerektirir. Bu kapsamda veri sorumlularının; veri envanteri, aktarım süreçleri, tedarikçi ilişkileri, erişim yetkileri, saklama süreleri ve güvenlik tedbirlerini bütüncül bir uyum perspektifiyle ele alması önem taşımaktadır.
