GRC PERSPEKTİF: VERİ KORUMA & UYUM BÜLTENİ– NİSAN 2026
TÜRKİYE’DE NELER OLUYOR?
Anayasa Mahkemesi Kararı: İsim Değişikliği İlanlarına İlişkin Düzenleme İptal Edildi
1 Nisan 2026 tarihinde yayımlanan Anayasa Mahkemesi (“AYM”) kararı ile; AYM 4721 sayılı Türk Medeni Kanunu’nun 27. maddesinde yer alan ve ad değişikliğine ilişkin mahkeme kararlarının Basın İlan Kurumu’nun internet portalında ilan edilmesini öngören düzenlemeyi, kişisel verilerin korunmasını isteme hakkına aykırı bularak iptal etmiştir. İptale konu düzenleme uyarınca, ad değişikliğine ilişkin mahkeme kararlarının ilan edilmesi sırasında; kişinin nüfusa kayıtlı olduğu yer, doğum tarihi, anne ve baba adı ile eski ve yeni adı-soyadı gibi kişisel verilerinin kamuya açık şekilde paylaşılması söz konusuydu.
Mahkeme, söz konusu uygulamanın kişisel verilerin korunmasını isteme hakkına müdahale teşkil ettiğini açıkça ortaya koymuştur. Bu kapsamda, ilan yoluyla kişisel verilerin herkesin erişimine açılmasının, ilgili kişilerin özel hayatına saygı hakkı ile doğrudan bağlantılı olduğu değerlendirilmiştir. AYM kararında, düzenlemenin amacının ad değişikliğinden etkilenebilecek üçüncü kişilerin bilgilendirilmesi olduğu kabul edilmekle birlikte; bu amaca ulaşmak için seçilen yöntemin ölçülülük ilkesine uygun olmadığı vurgulanmıştır. Nitekim Mahkeme, ad değişikliğinin nüfus kayıtlarına işlenmesiyle birlikte zaten hukuki sonuç doğurduğunu ve üçüncü kişilerin bu değişiklikten farklı yollarla haberdar olmasının mümkün olduğunu ifade etmiştir.
Bunun yanı sıra, ilanların ne kadar süreyle yayımlanacağına ilişkin herhangi bir yasal sınırlama öngörülmemesi, kişisel verilerin süresiz olarak erişilebilir hale gelmesine yol açabilecek nitelikte bulunmuştur. Mahkeme, bu durumun ilgili kişilerin menfaatleri üzerinde ağır sonuçlar doğurabileceğini ve veri minimizasyonu ile sınırlı süreyle işleme ilkeleriyle bağdaşmadığını değerlendirmiştir.
Sonuç olarak AYM, kişisel verilerin korunmasını isteme hakkına yönelik müdahalenin demokratik toplum düzeninin gereklerine uygun ve ölçülü olmadığı kanaatine ulaşarak söz konusu düzenlemeyi iptal etmiştir.
Anayasa Mahkemesi’nin bu kararı, kişisel verilerin korunması hakkının yalnızca veri işleme süreçleriyle sınırlı olmadığını; ilan ve duyuru gibi kamuya açık bilgilendirme mekanizmaları bakımından da doğrudan uygulanması gerektiğini ortaya koymaktadır.
Karar özellikle, kişisel verilerin geniş kitlelere açık şekilde paylaşılmasına dayanan uygulamaların yalnızca hukuki dayanağa sahip olmasının yeterli olmadığını; gereklilik ve ölçülülük ilkeleri bakımından da ayrıca değerlendirilmesi gerektiğini vurgulamaktadır.
Bununla birlikte, dijital ortamlarda yayımlanan verilerin süresiz erişilebilir hale gelmesi riskine dikkat çekilerek, veri minimizasyonu ve sınırlı süreyle işleme ilkelerinin önemi bir kez daha ortaya konulmaktadır. Bu çerçevede veri sorumlularının, herkese açık ilan yöntemleri yerine daha sınırlı erişime sahip ve amaca uygun bilgilendirme yöntemlerini tercih etmesi gerektiği değerlendirilmektedir.
TBMM’de Kabul Edilen Kanun Teklifi: Sosyal Medya, Kimlik Doğrulama ve Veri İşleme Süreçlerine Yeni Yükümlülükler
Türkiye Büyük Millet Meclisi’nde kabul edilen ve Sosyal Hizmetler Kanunu ile bazı kanunlarda değişiklik öngören kanun teklifi, sosyal medya platformları ve dijital hizmet sağlayıcılar bakımından veri işleme süreçlerine ilişkin önemli düzenlemeler içermektedir.
Teklif kapsamında, sosyal ağ sağlayıcılara 15 yaş altındaki kullanıcıların platformlara erişimini engelleme yükümlülüğü getirilmekte; bu yükümlülüğün yerine getirilmesi amacıyla yaş doğrulama mekanizmalarının kurulması öngörülmektedir. Söz konusu doğrulama sürecinin, e-Devlet altyapısı üzerinden çalışacak bir sistem aracılığıyla gerçekleştirilmesi ve kullanıcıların kimlik bilgileri ile sosyal medya hesaplarının ilişkilendirilmesi gündeme gelmektedir.
Bunun yanı sıra, günlük erişimi belirli bir seviyenin üzerinde olan platformlara; daha önce hakkında içerik kaldırma veya erişim engelleme kararı verilen içeriklerin yeniden yüklenmesini önlemek amacıyla yapay zekâ ve otomatik sistemler aracılığıyla proaktif içerik denetimi yapma yükümlülüğü getirilmektedir.
Teklifte ayrıca, yabancı menşeli oyun dağıtıcıları için Türkiye’de temsilci bulundurma, yaş sınırlaması ve ebeveyn kontrol mekanizmaları oluşturma gibi yükümlülükler öngörülürken; bu kapsamda Bilgi Teknolojileri ve İletişim Kurumu’nun veri işleme süreçleri ve algoritmalara ilişkin bilgi talep edebilmesine imkân tanınmaktadır. Düzenleme ile getirilen yükümlülüklere uyulmaması halinde ise, platformlar bakımından idari para cezaları, reklam gelirlerine yönelik kısıtlamalar ve bant daraltma gibi yaptırımlar uygulanabilecektir.
Çocuk Koruma Kanunu’na eklenen hüküm uyarınca; çocukların korunmasını güçlendirmek amacıyla belirli ağır suçlardan kesinleşmiş mahkûmiyeti bulunan kişilerin çocukların yoğun olarak bulunduğu iş yerlerini işletmeleri, bu yerlerde çalışmaları veya herhangi bir sıfatla görev almaları yasaklanmıştır. Bununla birlikte, adli sicil ve arşiv kayıtları esas alınarak getirilen sınırlamalar doğrultusunda; söz konusu kişilere ruhsat verilmemesi, mevcut işletmeler bakımından devrin zorunlu tutulması ve bu kapsamda çalışan kişilerin adli sicil ve arşiv kayıtlarına dayanılarak düzenlenen “çalışabilir” belgelerini altı ayda bir işverene sunmaları gibi yükümlülükler öngörülmüştür.
GRC LEGAL PERSPEKTİFİ
Söz konusu düzenleme, sosyal medya ve dijital platformlarda veri işleme faaliyetlerinin kapsamını genişletebilecek niteliktedir. E-Devlet üzerinden öngörülen kimlik doğrulama mekanizması, kullanıcı kimliği ile dijital faaliyetler arasında doğrudan bağ kurulmasına yol açarak veri minimizasyonu ve ölçülülük ilkeleri bakımından dikkatli değerlendirme gerektirmektedir.
Diğer yandan, otomatik içerik filtreleme yükümlülüğü kullanıcı içeriklerinin sürekli izlenmesini beraberinde getirebilecek olup, şeffaflık ve hukuki sınırlar açısından yeni yükümlülükler doğurabilecektir. Ek olarak, Çocuk Koruma Kanunu’ndaki düzenleme ile ceza mahkûmiyeti verilerinin işlenmesi kanuni dayanağa bağlanmakta ve işverenlere periyodik veri toplama ve kontrol yükümlülüğü getirilmektedir.
Adalet Bakanlığı 2025 Adli İstatistikleri: Kişisel Verilere İlişkin Suçlarda Artış Kaydedildi!
Adalet Bakanlığı tarafından yayımlanan “Adalet İstatistikleri 2025” raporu, kişisel verilerin korunması ve özel hayatın gizliliğine ilişkin suçlarda dikkat çekici bir artış olduğunu ortaya koymaktadır.
Rapora göre, Cumhuriyet başsavcılıklarında “özel hayata ve hayatın gizli alanına karşı suçlar” kapsamında toplam 120.433 yeni dosya açılmıştır. Bu kapsamda en yüksek payı, verilerin hukuka aykırı olarak ele geçirilmesi suçu oluştururken; bunu özel hayatın gizliliğinin ihlali ve kişisel verilerin kaydedilmesi suçları takip etmektedir. Söz konusu veriler, kişisel verilerin korunmasına ilişkin ihlallerin yalnızca idari yaptırımlar veya regülatif süreçlerle sınırlı kalmadığını; aynı zamanda ceza hukuku boyutunda da önemli bir yoğunluk kazandığını göstermektedir.
Bu yönüyle rapor, dijitalleşmenin artmasıyla birlikte kişisel veri temelli suçların çeşitlendiğini ve yargı mercileri nezdinde daha görünür hale geldiğini ortaya koymaktadır.
Kişisel Verilere Yasa Dışı Erişim Sağlayan Şebekeye Operasyon: 177 Milyon TL’lik Veri Ticareti Ortaya Çıkarıldı!
Milli İstihbarat Teşkilatı koordinasyonunda yürütülen siber operasyon kapsamında, kamu kurumlarının bilişim sistemlerine ve vatandaşlara ait kişisel verilere hukuka aykırı şekilde erişim sağladığı tespit edilen bir şebekeye yönelik kapsamlı bir müdahale gerçekleştirilmiştir. Operasyon sonucunda 11 kişi tutuklanırken, şebekenin geniş ölçekli bir dijital altyapı üzerinden faaliyet yürüttüğü ortaya konulmuştur.
Yapılan teknik incelemelerde, söz konusu yapı tarafından kişisel verilerin sorgulanabildiği çok sayıda panel ve sistem kurulduğu; bu kapsamda yaklaşık 40 farklı sistemin erişime kapatıldığı ve önemli miktarda dijital delile ulaşıldığı belirtilmiştir.
Ayrıca soruşturma kapsamında, farklı kullanıcıların erişimine sunulan çok sayıda sorgu paneli üzerinden kişisel verilere sistematik şekilde erişim sağlandığı anlaşılmıştır.
Elde edilen bulgulara göre, şebekenin kişisel veri sorgulama hizmetini “bayilik sistemi” üzerinden üçüncü kişilere sunduğu ve bu yapı aracılığıyla geniş bir kullanıcı ağı oluşturduğu tespit edilmiştir. Mali incelemelerde ise söz konusu faaliyetler kapsamında yaklaşık 177 milyon TL tutarında bir gelir elde edildiği ve suç gelirlerinin izinin gizlenmesi amacıyla kripto varlıklar üzerinden işlem yapıldığı belirlenmiştir.
Soruşturma kapsamında, şüphelilerin “kişisel verilerin hukuka aykırı olarak ele geçirilmesi ve yayılması”, “bilişim sistemine müdahale” ve ilgili siber suçlara ilişkin çeşitli suçlamalarla işlem gördüğü; elde edilen veriler üzerinde analiz çalışmalarının devam ettiği ve yeni operasyonların gündeme gelebileceği ifade edilmektedir.
GRC LEGAL PERSPEKTİFİ
Yürütülen bu operasyon, kişisel verilerin yalnızca bireysel haklar kapsamında değil; aynı zamanda yüksek ekonomik değere sahip ve organize suç yapıları tarafından hedef alınan bir varlık haline geldiğini göstermektedir. Özellikle “bayilik sistemi” üzerinden kurgulanan yapı, veri erişiminin ölçeklenebilir bir hizmete dönüştürülebildiğini ve bu durumun veri güvenliği risklerini sistematik hale getirdiğini ortaya koymaktadır.
Kamu sistemlerine yönelik yetkisiz erişim iddiaları ise siber güvenlik tedbirlerinin önemini bir kez daha gündeme getirmektedir. Bu kapsamda, yalnızca dış tehditlere karşı değil; erişim yönetimi, loglama ve iç kontrol mekanizmaları bakımından da çok katmanlı bir güvenlik yaklaşımının benimsenmesi gerekmektedir. Ek olarak, suç gelirlerinin kripto varlıklar üzerinden hareket ettirilmesi, veri ihlalleri ile finansal sistem arasındaki bağlantıyı güçlendirmekte ve izlenebilirliği zorlaştırmaktadır. Bu durum, veri koruma, siber güvenlik ve finansal regülasyon alanlarının giderek daha fazla iç içe geçtiğini göstermektedir.
Bu çerçevede veri sorumlularının, KVKK uyumunun ötesine geçerek proaktif siber güvenlik stratejileri geliştirmesi ve veri işleme süreçlerini düzenli olarak denetlemesi kritik önem taşımaktadır.
Ayrıca soruşturma kapsamında, farklı kullanıcıların erişimine sunulan çok sayıda sorgu paneli üzerinden kişisel verilere sistematik şekilde erişim sağlandığı anlaşılmıştır.
Elde edilen bulgulara göre, şebekenin kişisel veri sorgulama hizmetini “bayilik sistemi” üzerinden üçüncü kişilere sunduğu ve bu yapı aracılığıyla geniş bir kullanıcı ağı oluşturduğu tespit edilmiştir. Mali incelemelerde ise söz konusu faaliyetler kapsamında yaklaşık 177 milyon TL tutarında bir gelir elde edildiği ve suç gelirlerinin izinin gizlenmesi amacıyla kripto varlıklar üzerinden işlem yapıldığı belirlenmiştir.
Soruşturma kapsamında, şüphelilerin “kişisel verilerin hukuka aykırı olarak ele geçirilmesi ve yayılması”, “bilişim sistemine müdahale” ve ilgili siber suçlara ilişkin çeşitli suçlamalarla işlem gördüğü; elde edilen veriler üzerinde analiz çalışmalarının devam ettiği ve yeni operasyonların gündeme gelebileceği ifade edilmektedir.
MASAK 2025 Faaliyet Raporu: Şüpheli İşlem Bildirimleri ve Denetim Faaliyetlerinde Artış Kaydedildi!
Mali Suçları Araştırma Kurulu (“MASAK”) tarafından yayımlanan 2025 yılı faaliyet raporu, suç gelirlerinin aklanması ve terörizmin finansmanıyla mücadele kapsamında yürütülen veri toplama, analiz ve denetim faaliyetlerinin kapsamının genişlediğini ortaya koymaktadır.
Rapora göre, 2025 yılı içerisinde toplam 464.010 şüpheli işlem bildirimi alınmış olup, bu bildirimler kapsamında yaklaşık 1 milyon kişi hakkında veri işlenmiştir. Bildirimlerin analiz oranı %71 olarak gerçekleşirken, analiz süreçleri sonucunda ilgili mercilere 4.813 rapor iletilmiş ve 422 kişi hakkında suç duyurusunda bulunulmuştur. Şüpheli işlem bildirimlerinin büyük çoğunluğunun elektronik ortamda iletildiği, en fazla bildirimde bulunan yükümlü grubunun ise bankalar olduğu; bankaları sırasıyla ödeme ve elektronik para kuruluşları ile kripto varlık hizmet sağlayıcılarının takip ettiği görülmektedir. Suç kategorileri bakımından ise dolandırıcılık, bilişim suçları, başkası hesabına işlem yapıldığının beyan edilmemesi ile yasa dışı bahis ve kumar oynatma suçlarının öne çıktığı dikkat çekmektedir.
Bununla birlikte raporda, yükümlülük denetimleri kapsamında yürütülen faaliyetler sonucunda 3,6 milyar TL’yi aşan idari para cezası uygulandığı belirtilmiş olup, bu durum denetim mekanizmalarının etkinliğinin artırıldığını göstermektedir.
GRC LEGAL PERSPEKTİFİ
MASAK verileri, finansal sistem içerisinde işlenen kişisel verilerin hacminin ve çeşitliliğinin hızla arttığını; bu verilerin yalnızca ticari değil aynı zamanda suçun önlenmesi ve tespiti amacıyla yoğun şekilde işlendiğini ortaya koymaktadır.
Özellikle şüpheli işlem bildirimlerinde bankalarla birlikte ödeme ve elektronik para kuruluşları ile kripto varlık hizmet sağlayıcılarının öne çıkması, bu sektörlerin yüksek veri işleme riski ve regülasyon yoğunluğu altında faaliyet gösterdiğini göstermektedir.
Bununla birlikte, milyonlarca kişiye ait verinin analiz süreçlerine konu edilmesi; veri minimizasyonu, amaçla sınırlılık ve veri güvenliği ilkelerinin yanı sıra siber güvenlik tedbirlerinin de kritik hale geldiğine işaret etmektedir. Nitekim bu ölçekte veri işleyen yapılarda, yetkisiz erişim, veri sızıntısı ve iç tehditler gibi riskler doğrudan hem KVKK hem de sektörel düzenlemeler kapsamında ciddi yaptırımlara yol açabilmektedir.
Öte yandan uygulanan yüksek tutarlı idari para cezaları, yükümlülüklere uyumun yalnızca bir düzenleyici gereklilik değil; aynı zamanda finansal, operasyonel ve siber risk yönetiminin temel bir unsuru haline geldiğini ortaya koymaktadır.
Bu çerçevede, özellikle finansal kuruluşların ve fintech şirketlerinin; şüpheli işlem bildirim süreçlerini, veri güvenliği tedbirlerini, siber güvenlik altyapılarını ve iç kontrol mekanizmalarını KVKK ve MASAK yükümlülükleri birlikte ele alarak yapılandırması önem arz etmektedir.
DÜNYADA NELER OLUYOR?
Veri Koruma Etki Değerlendirmesi (“DPIA”) Süreçlerine Yönelik Ortak Şablon Yayımlandı!
Avrupa Birliği Genel Veri Koruma Tüzüğü (General Data Protection Regulation, “GDPR”) uyumunun kolaylaştırılması ve Avrupa genelinde uygulama birliğinin sağlanması amacıyla DPIA süreçlerine yönelik ortak bir şablon kabul edilmiştir.
Söz konusu şablon, kişisel veri işleme faaliyetlerinin yüksek risk doğurduğu durumlarda yürütülmesi gereken DPIA süreçlerinin daha sistematik, tutarlı ve belgelenebilir şekilde yürütülmesini amaçlamaktadır. Bu kapsamda şablon; veri işleme faaliyetlerinin niteliğinin açıklanması, gereklilik ve ölçülülük değerlendirmesi ile ilgili kişilerin hak ve özgürlüklerine yönelik risklerin tespiti ve azaltılması gibi temel unsurları içeren yapılandırılmış bir çerçeve sunmaktadır.
Şablonun zorunlu bir kullanım niteliği bulunmamakla birlikte, veri sorumlularına önceden tanımlanmış alanlar üzerinden kapsamlı ve eksiksiz değerlendirme yapma imkânı sağladığı; bu yönüyle hata riskini azaltarak süreçlerin daha etkin yürütülmesine katkı sunduğu ifade edilmektedir.
Şablon, aynı zamanda açıklayıcı bir doküman ile desteklenmekte olup, DPIA süreçlerine ilişkin temel kavramların sade bir dil ile açıklanmasını ve uygulamada karşılaşılabilecek soru işaretlerinin giderilmesini amaçlamaktadır. Taslak metnin kamuoyu görüşüne açıldığı ve istişare sürecinin ardından Avrupa’daki veri koruma otoriteleri tarafından ortak bir standart veya ulusal şablonlarla uyumlu bir “üst şablon” olarak benimsenmesinin planlandığı belirtilmektedir.
EDPB’den Bilimsel Araştırma ve Veri İşleme Süreçlerine İlişkin Yeni Rehber ve Sertifikasyon Adımları
Avrupa Veri Koruma Kurulu (European Data Protection Board, “EDPB”), son genel kurul toplantısında bilimsel araştırma amacıyla kişisel veri işlenmesine ilişkin rehberi kabul etmiş ve kamuoyu görüşüne açmıştır.
Rehberde, bir veri işleme faaliyetinin “bilimsel araştırma” kapsamında değerlendirilebilmesi için dikkate alınması gereken kriterler detaylandırılmış; bu kapsamda faaliyetlerin sistematik ve metodolojik olması, etik standartlara uygunluk, şeffaflık ve doğrulanabilirlik gibi unsurların belirleyici olduğu ifade edilmiştir.
EDPB ayrıca, bilimsel araştırma amaçlı veri işleme faaliyetlerinin belirli şartlar altında ilk işleme amacıyla uyumlu kabul edilebileceğini belirtmiş; bu çerçevede veri sorumlularının ek bir amaç uyumluluğu testi yapma yükümlülüğünün bulunmayabileceğine işaret etmiştir. Bununla birlikte, ilk veri işleme faaliyetinin hukuki dayanağının sonraki işlemler bakımından da geçerli olması gerektiği vurgulanmıştır.
Rehberde, açık rızaya ilişkin olarak “genişletilmiş rıza (broad consent)” ve “dinamik rıza (dynamic consent)” modellerine yer verilmiş; araştırma süreçlerinin niteliğine bağlı olarak bu yaklaşımların birlikte kullanılabileceği ifade edilmiştir.Buna ek olarak EDPB, anonimleştirme rehberinin tamamlanmasını hızlandırmak amacıyla özel bir çalışma ekibi oluşturulduğunu duyurmuş; veri işleme süreçlerinde anonimleştirme ve takma adlandırma gibi teknik ve organizasyonel tedbirlerin önemine dikkat çekmiştir.
Kurul ayrıca, Europrivacy sertifikasyon kriterlerine ilişkin görüşlerini kabul etmiş ve bu sertifikasyonun Avrupa Veri Koruma Mührü kapsamında veri aktarım süreçlerinde bir güvence aracı olarak kullanılabileceğini belirtmiştir.
AB Dijital Omnibus Sürecinde Yapay Zekâ Eğitim Verilerine İlişkin “Meşru Menfaat” Yaklaşımı Geri Çekildi!
Avrupa Birliği’nde yürütülen Dijital Omnibus düzenleme sürecine ilişkin son uzlaşma metninde, yapay zekâ sistemlerinin eğitimi kapsamında kişisel veri işlenmesinde “meşru menfaat” hukuki dayanağının açıkça tanınmasına yönelik önceki düzenleme önerisinin metinden çıkarıldığı görülmektedir.
Söz konusu değişikliğin, Avrupa Veri Koruma Kurulu ve Avrupa Veri Koruma Denetçisi tarafından dile getirilen eleştiriler doğrultusunda gerçekleştirildiği; özellikle yapay zekâ eğitim süreçlerinde geniş kapsamlı veri işleme faaliyetlerinin meşru menfaat kapsamında değerlendirilmesinin veri koruma ilkeleri bakımından riskler barındırdığı yönündeki görüşlerin etkili olduğu ifade edilmektedir.
Bu gelişme, yapay zekâ sistemlerinin geliştirilmesi ve eğitilmesi süreçlerinde kişisel verilerin işlenmesine ilişkin hukuki dayanakların daha dar yorumlanabileceğine işaret etmekte; veri sorumlularının bu tür faaliyetler bakımından açık rıza, sözleşme veya diğer hukuki sebeplere dayanma gerekliliğini yeniden değerlendirmesini gündeme getirmektedir. Öte yandan söz konusu yaklaşım, yapay zekâ geliştirme süreçleri ile veri koruma hukuku arasındaki dengenin daha sıkı bir çerçevede ele alınacağını ve özellikle büyük ölçekli veri işleme faaliyetlerinin daha yakından denetleneceğini ortaya koymaktadır.
Japonya’da Yapay Zekâ Geliştirme Süreçleri İçin Kişisel Veri Kullanımına Esneklik Getiren Düzenleme
Japonya hükümeti, yapay zekâ teknolojilerinin geliştirilmesini hızlandırmak amacıyla kişisel verilerin korunmasına ilişkin mevzuatta değişiklik öngören bir kanun tasarısını onaylamıştır. Söz konusu düzenleme ile, bireylerin doğrudan tanımlanmasını mümkün kılmayan veri işleme faaliyetleri bakımından, yapay zekâ geliştirme süreçlerinde kişisel verilerin kullanımı için açık rıza aranmayabileceği öngörülmektedir. Bu kapsamda özellikle model eğitimi ve veri seti oluşturma faaliyetlerinde daha esnek bir yaklaşım benimsenmektedir.
Mevcut düzenlemelerde hassas kişisel verilerin üçüncü kişilerle paylaşımı bakımından sıkı rıza şartı aranırken, yeni düzenleme ile bireylerin hak ve menfaatlerine açık bir zarar vermeyen veri işleme faaliyetleri açısından bu yükümlülüğün kaldırılması gündeme gelmektedir. Bununla birlikte, düzenleme yalnızca veri kullanımını kolaylaştırmakla sınırlı kalmamakta; aynı zamanda kişisel verilerin hukuka aykırı şekilde elde edilmesi veya kullanılması durumunda uygulanacak yaptırımları da güçlendirmektedir. Bu kapsamda, belirli bir eşik üzerinde kişisel veri işleyen kişi veya kuruluşlara, elde edilen kazançla orantılı idari para cezaları uygulanabilmesinin önü açılmaktadır.
Düzenlemenin, Japonya’nın yapay zekâ alanında küresel rekabet gücünü artırma hedefi doğrultusunda hazırlandığı; buna karşılık veri koruma ilkeleri ile inovasyon arasındaki dengenin yeniden tartışılmasına yol açabileceği değerlendirilmektedir.
AB Dijital Omnibus Sürecinde Yapay Zekâ Eğitim Verilerine İlişkin “Meşru Menfaat” Yaklaşımı Geri Çekildi!
Avrupa Birliği’nde yürütülen Dijital Omnibus düzenleme sürecine ilişkin son uzlaşma metninde, yapay zekâ sistemlerinin eğitimi kapsamında kişisel veri işlenmesinde “meşru menfaat” hukuki dayanağının açıkça tanınmasına yönelik önceki düzenleme önerisinin metinden çıkarıldığı görülmektedir.
Söz konusu değişikliğin, Avrupa Veri Koruma Kurulu ve Avrupa Veri Koruma Denetçisi tarafından dile getirilen eleştiriler doğrultusunda gerçekleştirildiği; özellikle yapay zekâ eğitim süreçlerinde geniş kapsamlı veri işleme faaliyetlerinin meşru menfaat kapsamında değerlendirilmesinin veri koruma ilkeleri bakımından riskler barındırdığı yönündeki görüşlerin etkili olduğu ifade edilmektedir.
Bu gelişme, yapay zekâ sistemlerinin geliştirilmesi ve eğitilmesi süreçlerinde kişisel verilerin işlenmesine ilişkin hukuki dayanakların daha dar yorumlanabileceğine işaret etmekte; veri sorumlularının bu tür faaliyetler bakımından açık rıza, sözleşme veya diğer hukuki sebeplere dayanma gerekliliğini yeniden değerlendirmesini gündeme getirmektedir. Öte yandan söz konusu yaklaşım, yapay zekâ geliştirme süreçleri ile veri koruma hukuku arasındaki dengenin daha sıkı bir çerçevede ele alınacağını ve özellikle büyük ölçekli veri işleme faaliyetlerinin daha yakından denetleneceğini ortaya koymaktadır.
Finlandiya’da Erişim Hakkının Kullanımına İlişkin Önemli Karar
Finlandiya veri koruma otoritesi, bir kredi bilgi kuruluşunun veri sahiplerinin erişim taleplerini ele alış biçimine ilişkin yürüttüğü inceleme sonucunda, ilgili şirketin GDPR kapsamındaki yükümlülüklerini ihlal ettiğine karar vermiştir. Karara konu olayda, veri sahiplerinin e-posta yoluyla ilettiği erişim taleplerine doğrudan yanıt verilmediği, bunun yerine başvuru sahiplerinin şirketin kendi veri erişim platformuna yönlendirildiği tespit edilmiştir. Otorite, bu uygulamanın veri sahiplerinin haklarını kullanmasını kolaylaştırma yükümlülüğü ile bağdaşmadığını değerlendirmiştir.
Bununla birlikte şirketin, 12 ay içerisinde birden fazla erişim talebinde bulunan kişilerden otomatik olarak ücret talep ettiği belirlenmiştir. Otorite, bu uygulamanın hukuka aykırı olduğunu; veri sorumlularının erişim taleplerine ilişkin ücretlendirme yapabilmesi için her bir başvurunun ayrıca değerlendirilmesi ve talebin açıkça dayanaksız veya aşırı olduğunun ortaya konulması gerektiğini vurgulamıştır. Kararda, erişim hakkının ücretsiz olarak sağlanmasının esas olduğu ve bu hakkın kullanımının zorlaştırılmasına yol açabilecek uygulamaların veri koruma mevzuatına aykırılık teşkil ettiği ifade edilmiştir.
GRC LEGAL PERSPEKTİFİ
Bu karar, veri sahiplerinin erişim hakkının yalnızca teorik bir hak olmadığını; veri sorumluları tarafından fiilen kolaylaştırılması gereken aktif bir yükümlülük olduğunu ortaya koymaktadır. Başvuruların belirli bir platforma yönlendirilmesi veya alternatif kanalların fiilen etkisiz hale getirilmesi, hakkın kullanımını dolaylı olarak zorlaştıran uygulamalar olarak değerlendirilebilmektedir.
Öte yandan, erişim taleplerine ilişkin ücretlendirme uygulamalarının, istisnai nitelikte olduğu ve somut olayda “açıkça dayanaksız” veya “aşırı” taleplerin varlığı halinde gündeme gelebileceği vurgulanmaktadır. Bu çerçevede, otomatik ve genel nitelikli ücret politikalarının veri koruma mevzuatı ile uyumlu olmadığı açıkça ortaya konulmaktadır. Bu karar doğrultusunda veri sorumlularının; ilgili kişi başvurularını çok kanallı şekilde yönetmesi, başvuru süreçlerini basitleştirmesi ve özellikle erişim hakkının kullanımını zorlaştırabilecek uygulamalardan kaçınması kritik önem taşımaktadır.
AYIN GRC KAVRAMI
Veri Koruma Etki Değerlendirmesi (Data Protection Impact Assessment, “DPIA”)
DPIA, kişisel veri işleme faaliyetlerinin ilgili kişilerin hak ve özgürlükleri üzerinde önemli etkiler doğurma ihtimali bulunduğu durumlarda, bu risklerin önceden tespit edilmesi ve gerekli önlemlerin belirlenmesi amacıyla yürütülen sistematik bir değerlendirme sürecidir.
Bu süreç kapsamında, veri işleme faaliyetinin kapsamı, amacı, kullanılan yöntemler ve ilgili kişiler üzerindeki olası etkiler birlikte ele alınmakta; ortaya çıkabilecek risklerin azaltılması için uygun teknik ve idari tedbirler belirlenmektedir. Bu yönüyle DPIA, veri işleme faaliyetlerinin yalnızca hukuki dayanağının değil, aynı zamanda gereklilik ve orantılılık açısından da değerlendirilmesini sağlayan bütüncül bir risk yönetim aracıdır.
Özellikle yapay zekâ sistemleri, büyük veri analitiği, profilleme faaliyetleri ve biyometrik veri işleme gibi alanlarda, veri işleme faaliyetlerinin kapsamı ve etkisi genişlediğinden, DPIA süreçlerinin etkin şekilde yürütülmesi kritik önem taşımaktadır. Bu tür faaliyetler, veri güvenliği risklerinin yanı sıra ayrımcılık, şeffaflık eksikliği ve bireyler üzerinde kontrol kaybı gibi daha geniş etkiler doğurabilmektedir.
Bu yönüyle DPIA, “tasarımdan itibaren veri koruma” yaklaşımının somut bir yansıması olup veri sorumlularının veri işleme faaliyetlerini hayata geçirmeden önce riskleri öngörmesini ve bu risklere karşı proaktif önlemler geliştirmesini sağlamaktadır. Avrupa veri koruma otoriteleri tarafından geliştirilen ortak DPIA şablonlarının da bu sürecin daha sistematik, tutarlı ve denetlenebilir şekilde yürütülmesine katkı sunduğu kanaatindeyiz.
