GRC PERSPEKTİF: VERİ KORUMA & UYUM BÜLTENİ– OCAK 2026
TÜRKİYE’DE NELER OLUYOR?
Veri İhlal Bildirimleri
Köfteci Yusuf Hazır Yemek Temizlik Canlı Hayvan Et Mamulleri Entegre Gıda İthalat İhracat San. Tic. AŞ tarafından Kişisel Verileri Koruma Kurulu (“Kurul”)’na bildirilen veri ihlali; bordro yazılımı ve online yemek sipariş sistemlerini barındıran yerel SQL veri tabanına dışarıdan yapılan müdahale sonucu sistemlerin şifrelenmesi ve erişimin engellenmesi suretiyle meydana gelmiştir. İhlalden çalışanlar ve müşteriler etkilenmiş olup; toplamda 13.000 çalışan ve 150.000 müşteri olmak üzere yaklaşık 163.000 kişi ihlal kapsamında yer almıştır. Etkilenen veriler arasında müşterilere ait kimlik, iletişim ve sipariş bilgileri ile çalışanlara ait kimlik, iletişim ve özlük verileri bulunmaktadır.
Codeway Dijital Hizmetler Anonim Şirketi tarafından Kurul’a bildirilen veri ihlali; 15.01.2026–20.01.2026 tarihleri arasında gerçekleşmiş ve 20.01.2026 tarihinde tespit edilmiş, “Chat & Ask AI” adlı mobil uygulamada kullanılan Google Firebase (Firestore ve Storage) altyapısındaki yetkilendirme yapılandırması zafiyeti nedeniyle saldırganların kullanıcı verilerine ve dosya havuzuna yetkisiz erişim sağlaması sonucu meydana gelmiştir. İhlalden uygulama kullanıcıları etkilenmiş olup yaklaşık 3.700 kişinin ihlalden etkilendiği değerlendirilmekte, etkilenen kişi sayısının netleştirilmesine yönelik çalışmalar ise devam etmektedir. İhlal kapsamında; kullanıcılara ait e-posta adresleri, uygulamaya kayıt sırasında seçilen takma adlar ile uygulama kullanım sürecinde paylaşılan gönderi içeriklerinin etkilendiği bildirilmiştir.
Özbeyler Sağlık ve Özel Hastahane Medikal İthalat İhracat Sanayi ve Ticaret A.Ş. tarafından Kurul’a bildirilen veri ihlali; 20.01.2026 tarihinde gerçekleşmiş ve aynı gün tespit edilmiş, fidye yazılımı saldırısı sonucu sanallaştırma altyapısında yer alan sunuculara erişimin engellenmesi ve sistem dosyalarının şifrelenmesi suretiyle meydana gelmiştir. İhlalden çalışanlar, öğrenciler, hastalar, müşteriler ve potansiyel müşteriler başta olmak üzere çok sayıda ilgili kişi grubu etkilenmiş olup etkilenen kişi sayısı henüz tespit edilememiştir. Kimlik, iletişim, özlük, fiziksel mekân güvenliği, işlem güvenliği, finans, mesleki deneyim ile görsel ve işitsel kayıtlar veri kategorileri ile özel nitelikli kişisel veriler kapsamında yer alan sağlık bilgileri, biyometrik veriler, ırk ve etnik köken, din, mezhep ve diğer inançlar, felsefi inanç, kılık ve kıyafet, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirlerine ilişkin verilerin; ayrıca unvan, imza bilgileri, çocuk sayısı ve yaş bilgileri, medeni hâl, askerlik durumu ve seyahat bilgilerinin ihlalden etkilenmiş olabileceği bildirilmiştir.
Docplanner Teknoloji Anonim Şirketi tarafından Kurul’a bildirilen veri ihlali; 08.01.2026 tarihinde başlamış ve 15.01.2026 tarihinde tespit edilmiş, veri işleyen tarafından geliştirilen ve şirket içi iletişim ile belirli insan kaynakları fonksiyonlarını destekleyen yazılımın kod tabanında yer alan dosyalara ve üstün yazı ön işlemcisi komut dosyalarına yetkisiz erişim sağlanması ve bu yolla uygulamanın işleyişinin değiştirilmesi suretiyle gerçekleşmiştir. Veri sorumlusunun sistemlerinde muhafaza edilen kişisel verilere fiilen erişim sağlanıp sağlanmadığı ve bu veriler üzerinde kopyalama gibi bir işlem yapılıp yapılmadığı henüz doğrulanamamış olmakla birlikte, veri gizliliğinin ihlal edilmiş olabileceği değerlendirilmektedir. İhlalden çalışanlar ve eski çalışanlar etkilenmiş olup 525 kişinin olaydan etkilendiği bildirilmiştir. İhlal kapsamında kimlik verileri (ad, soyadı) ile iletişim verilerinin (e-posta adresi ve telefon numarası) etkilenmiş olabileceği belirtilmiştir.
Erciyes Üniversitesi tarafından Kurul’a bildirilen veri ihlali; 26.12.2025 tarihinde başlamış ve 05.01.2026 tarihinde tespit edilmiş, ilgili kişilere ait kişisel verilerin ele geçirilerek veri sorumlusuna ait olmayan bir internet sitesinde yayımlanması suretiyle meydana gelmiştir. İhlalin, üniversitenin geçiş sistemleri yönetiminde kullanılan mevcut yazılım sözleşmesinin sona ermesine yaklaşılması ve yeni dönem ihale sürecine yönelik ön araştırmaların yürütülmesi sırasında tespit edildiği bildirilmiştir. Kurul’a iletilen bildirimde; ihlâlden etkilenen ilgili kişi grupları, etkilenen kişi sayısı ve ihlale konu kişisel veri türlerine ilişkin kesin tespitlere henüz yer verilmediği, bu hususlara yönelik incelemelerin devam ettiği ifade edilmiştir.
Eurail B.V. tarafından Kurul’a bildirilen veri ihlali; 26.12.2025 tarihinde başlamış ve 05.01.2026 tarihinde tespit edilmiş, veri sorumlusu sistemlerine yönelik gerçekleştirilen siber saldırı neticesinde meydana gelmiştir. İhlalden, tren bileti satın alan müşteriler etkilenmiş olup Türkiye’de mukim 8.823 kişinin ihlalden etkilendiği bildirilmiştir. İhlal kapsamında; kimlik verileri (ad-soyad, cinsiyet, doğum tarihi ve/veya yaş, pasaport numarası, pasaportun düzenlendiği ülke ve geçerlilik tarihi) ile iletişim verilerinin (adres ve ikamet yeri, e-posta adresi, telefon numarası) ile müşteri işlem verileri (tren yolculuklarına ilişkin ülke, şehir, seyahat tarih ve saat bilgileri) etkilendiği belirtilmiş olup olaya ilişkin teknik inceleme ve ek araştırmaların devam ettiği ifade edilmiştir.
VERBİS’e Kayıt Yükümlülüğüne İlişkin İstisnaların Uygulanmasına Dair Kamuoyu Duyurusu
Bilindiği üzere, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK” veya” Kanun”)’nun 16. maddesi uyarınca; kişisel veri işleyen gerçek ve tüzel kişilerin, veri işlemeye başlamadan önce Veri Sorumluları Sicil Bilgi Sistemi’ne (“VERBİS”) kayıt olmaları gerekmekte olup Kurul tarafından belirlenen objektif kriterler çerçevesinde bu yükümlülüğe istisna getirilebilmektedir. Bu kapsamda, Kurul’un 04.09.2025 tarihli ve 2025/1572 sayılı Kararı ile, daha önce 2018/87 sayılı Karar’da yer alan istisna düzenlemesi güncellenmiş; yıllık çalışan sayısı ve mali bilanço toplamı kriterleri esas alınarak belirli ölçekteki veri sorumlularının VERBİS’e kayıt yükümlülüğünden istisna tutulacağı yeniden düzenlenmiştir. Ancak uygulamada, özellikle bilanço esasına göre defter tutmayan veri sorumluları bakımından “yıllık mali bilanço toplamı” kriterinin nasıl değerlendirileceği konusunda tereddütler oluşmuştur.
Bu tereddütler üzerine yapılan değerlendirme sonucunda, Kurul’un 25.12.2025 tarihli ve 2025/2393 sayılı Kararı ile uygulamaya açıklık getirilmiştir. Buna göre; bilanço esasına göre defter tutan veri sorumluları açısından VERBİS istisnasının belirlenmesinde hem yıllık çalışan sayısı hem de yıllık mali bilanço toplamı kriterinin kümülatif olarak dikkate alınacağı, buna karşılık bilanço esasına göre defter tutmayan veri sorumluları bakımından yıllık mali bilanço toplamı bilgisi bulunmadığından, yalnızca yıllık çalışan sayısı kriterinin esas alınacağı kamuoyuna duyurulmuştur.
GRC LEGAL YORUMU
VERBİS kayıt yükümlülüğüne ilişkin istisna kriterlerinin, defter tutma usullerine göre netleştirilmesi; uygulamada özellikle küçük ölçekli işletmeler ve bilanço esasına göre defter tutmayan veri sorumluları bakımından yaşanan tereddütleri gidermesi açısından yerinde bir adım olarak değerlendirilmektedir.
Bununla birlikte, VERBİS istisnasından yararlanılıyor olması, veri sorumlularının KVKK kapsamındaki diğer yükümlülüklerinden muaf olduğu anlamına gelmemekte olup veri güvenliği ve aydınlatma yükümlülüğü gibi temel yükümlülüklerin aynen devam ettiği hususunun uygulamada gözden kaçırılmaması gerekmektedir.
Mobil Uygulamalar Üzerinden Gönderilen Anlık Bildirimlere İlişkin Kamuoyu Duyurusu
14.01.2026 tarihli kamuoyu duyurusuna konu olayda; bir mobil uygulamanın yüklenmesi sırasında kullanıcılardan alınan anlık bildirim onayının, birden fazla veri işleme amacını kapsayacak tek bir onay olarak kurgulandığı tespit edilmiştir. İncelemede, sipariş durumu gibi hizmetin ifasıyla doğrudan bağlantılı operasyonel bildirimler ile kampanya ve reklam içerikli pazarlama bildirimlerinin aynı onay mekanizması altında birleştirildiği; bu nedenle kullanıcının, sipariş takibi gibi temel bir hizmetten yararlanabilmek için pazarlama amaçlı bildirimleri de kabul etmek zorunda bırakıldığı görülmüştür.
Kurul tarafından yapılan değerlendirmede; açık rızanın geçerli olabilmesi için belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle açıklanması gerektiği hatırlatılmıştır. Bir hizmetin sunulmasının, o hizmetle doğrudan bağlantılı olmayan başka bir veri işleme amacına rıza gösterilmesi şartına bağlanmasının, açık rızanın özgür irade unsurunu ortadan kaldırdığı; bu durumun veri koruma hukukunda “parçalı açık rıza (granularity)” ilkesiyle bağdaşmadığı vurgulanmıştır.
Duyuruda ayrıca, bu hukuki gerekliliklerin yalnızca metin düzeyinde değil, uygulamanın teknik mimarisi üzerinden de desteklenmesi gerektiğine dikkat çekilmiştir. Kullanıcılara, uygulama içi ayarlar veya cihaz ayarları üzerinden hangi tür bildirimleri almak istediklerini seçebilme imkânı tanınmamasının, ilgili kişinin kişisel verileri üzerindeki kontrol hakkını zedelediği ifade edilmiştir.
GRC LEGAL YORUMU
Mobil uygulamalar üzerinden sunulan hizmetlerde, operasyonel bildirimler ile pazarlama amaçlı bildirimlerin ayrıştırılması, yalnızca kullanıcı deneyimi açısından değil; açık rızanın geçerliliği bakımından da kritik önem taşımaktadır. Kurul duyurusu, açık rıza mekanizmalarının tasarımında hukuki ilkeler ile teknik uygulamanın birlikte ele alınması gerektiğini bir kez daha ortaya koymaktadır. Bu çerçevede, mobil uygulama sağlayıcılarının bildirim onay süreçlerini ve uygulama mimarilerini “parçalı açık rıza” ve “özgür irade” ilkeleri doğrultusunda gözden geçirmelerinin, uyum risklerinin azaltılması açısından önemini koruduğu değerlendirilmektedir.
KVKK Veri İhlali Bildirimlerinde 60 Günlük Süre Sınırı
20.01.2026 tarihinde Kurul tarafından yayımlanan kamuoyu duyurusunda; işlenen kişisel verilerin hukuka aykırı yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusunun, bu durumu en kısa sürede ilgili kişiye ve Kurul’a bildirmekle yükümlü olduğu hatırlatılmıştır. Anılan yükümlülüğün temel amacının ise, veri ihlali nedeniyle ilgili kişiler bakımından ortaya çıkabilecek olumsuz sonuçların mümkün olan en kısa sürede önlenmesi veya en aza indirilmesi olduğu belirtilmiştir. Duyuruda ayrıca, veri ihlali bildirimlerinin Kurum’un internet sitesinde yayımlanıp yayımlanmayacağına karar verilirken; ihlalden etkilenen ilgili kişi grupları ve kişi sayısı, etkilenen kişisel verilerin niteliği ve kapsamı, ihlalin gerçekleşme şekli, veri sorumlusunun faaliyet gösterdiği sektör ile ilgili kişilere bildirim yapılıp yapılmadığı gibi kriterlerin dikkate alındığı ifade edilmiştir.
Bu kapsamda Kurul’un 25.12.2025 tarihli ve 2025/2451 sayılı Kararı ile, veri ihlali bildirimlerinin süre sınırı olmaksızın Kurum’un internet sitesinde yayımlanması uygulamasına son verilmiş; söz konusu bildirimlerin azami 60 gün süreyle yayımlanmasına karar verilmiştir. Ayrıca, veri sorumlusu tarafından ihlalden etkilenen ilgili kişilere bildirim yapıldığının tevsik edilmesi hâlinde, ilan süresinin 60 günden daha kısa tutulacağı hususu kamuoyuna duyurulmuştur.
GRC LEGAL YORUMU
Kurul’un veri ihlali bildirimlerine ilişkin güncel yaklaşımı, veri sorumlularının yükümlülüklerini yalnızca bildirim yapılmasıyla sınırlı görmeyen; bildirimin zamanlaması, kapsamı ve ilgili kişilere yöneltilip yöneltilmediğini esas alan ölçülü bir değerlendirme çerçevesi ortaya koymaktadır. Bu yaklaşımın bir yansıması olarak Kurul’un veri ihlali ilanlarına 60 günlük süre sınırı getirmesinin, ilgili kişilerin zamanında bilgilendirilmesi amacı ile ihlal ilanlarının süresiz şekilde erişilebilir olmasının veri sorumluları bakımından doğurabileceği kalıcı itibar etkilerini dengelemeyi hedeflediği anlaşılmaktadır.
Bu kapsamda veri sorumlularının, ihlal yönetim süreçlerini yalnızca Kurul’a yapılacak bildirimle sınırlı tutmamaları; ihlalden etkilenen ilgili kişilere yönelik zamanında, açık ve belgelendirilebilir bildirimleri içeren etkin bir ihlal müdahale mekanizması tesis etmeleri gerektiği değerlendirilmektedir.
Kamu Kurumlarında Yurt Dışı Menşeli Haberleşme Uygulamaları Kullanımına İlişkin Kamuoyu Duyurusu
Kişisel Verileri Koruma Kurumu tarafından 29.01.2026 tarihinde yayımlanan kamuoyu duyurusunda, 06.07.2019 tarihli ve 2019/12 sayılı Cumhurbaşkanlığı Genelgesi (Bilgi ve İletişim Güvenliği Tedbirleri)’ne açıkça atıf yapılmış; anılan Genelge’nin 4. maddesinde yer alan “Mevzuatta kodlu veya kriptolu haberleşmeye yetkilendirilmiş kurumlar tarafından geliştirilen yerli mobil uygulamalar hariç olmak üzere, mobil uygulamalar üzerinden, gizlilik dereceli veri paylaşımı ve haberleşme yapılmayacaktır.” hükmü ile 6. maddesinde yer alan “Sosyal medya ve haberleşme uygulamalarına ait yerli uygulamaların kullanımı tercih edilecektir.” hükmü hatırlatılmıştır.
Bu çerçevede, WhatsApp gibi yurt dışı menşeli haberleşme uygulamaları üzerinden, yurt içinde veri merkezi bulunmaması da dikkate alındığında, gizlilik dereceli veya kritik önemi haiz resmî verilerin paylaşılmasının uygun olmadığı özellikle belirtilmiştir.
Duyuruda ayrıca, kişisel verisi işlenen ilgili kişilerin GSM hattı numaralarının da kişisel veri mahiyetinde olduğu, kamu kurumlarınca kamu personeline ait cep telefonu numaraları kullanılarak WhatsApp ve benzeri uygulamalar üzerinden yürütülen haberleşme ve veri işleme faaliyetlerinin kişisel veri işleme faaliyeti kapsamında değerlendirilmesi gerektiği ifade edilmiştir. Bu tür faaliyetlerin 6698 sayılı KVKK’nın 5 ve 6. maddelerinde yer alan işleme şartlarına uygun olmaması hâlinde, Kurul tarafından resen veya şikâyet üzerine inceleme konusu yapılabileceği; sorumluluğu tespit edilen kamu personeli hakkında ise KVKK m.18/4 uyarınca disiplin hükümleri çerçevesinde idarî yaptırım uygulanabileceği vurgulanmıştır.
GRC LEGAL YORUMU
Kamuoyu duyurusunda yer alan değerlendirmeler, siber güvenliğin yalnızca teknik veya idari bir konu değil; millî güvenliğin ayrılmaz bir parçası olarak ele alınması yönündeki yaklaşımı yansıtmaktadır. Nitekim 7545 sayılı Siber Güvenlik Kanunu’nda açıkça benimsenen bu ilke doğrultusunda, yurt dışı menşeli haberleşme uygulamalarının kamu kurumlarında kullanımına ilişkin getirilen sınırlamaların, siber güvenliğin millî güvenlik boyutuyla ele alınmasının doğal bir sonucu olduğu değerlendirilmektedir.
DÜNYADA NELER OLUYOR?
İşten Ayrılan Eski Çalışana Ait E-Posta Hesabının Kapatılmaması GDPR’a Aykırı Bulundu!
Belçika Veri Koruma Otoritesi tarafından 06.01.2026 tarihinde yayımlanan karar kapsamında; işten ayrılan eski bir çalışana ait kurumsal e-posta hesaplarının uzun süre aktif tutulmasının Genel Veri Koruma Tüzüğü (“General Data Protection Regulation”,”GDPR”)’ne aykırı olduğuna hükmedilmiştir.
Karara konu olayda, ilgili kişi çalıştığı şirketten ayrıldıktan yaklaşık iki yıl sonra, kendisine ait iki adet kurumsal e-posta adresinin kapatılmadığını ve hâlen aktif durumda olduğunu fark etmiştir. Bunun üzerine, söz konusu e-posta hesaplarına erişim talebinde bulunmuş ve hesaplarda yer alan kişisel verilerinin silinmesini istemiştir. Ancak eski işveren; e-posta hesaplarının aktif tutulmasının şirketin e-posta altyapısının teknik işleyişi açısından meşru menfaati olduğunu ileri sürerek eski çalışanın hem erişim talebini hem de silme talebini reddetmiştir. İlgili kişinin şikâyeti üzerine, konu Belçika Veri Koruma Otoritesi tarafından incelemeye alınmıştır.
Yapılan değerlendirmede, işten ayrılma sonrasında, makul bir süre boyunca e-posta adreslerinin aktif tutulmasının, şirket faaliyetlerinin devamlılığını sağlamak amacıyla meşru menfaat kapsamında değerlendirilebileceği kabul edilmiştir. Ancak aradan uzun bir süre geçmesine rağmen e-posta hesaplarının aktif tutulmaya devam edilmesinin meşru menfaatle gerekçelendirilemeyeceği; veri işlemenin amaçla bağlantılı, sınırlı ve ölçülü olma niteliğini kaybettiği belirtilmiştir. Ayrıca, e-posta adreslerinin varlığını sürdürmesinin ve hesapların teknik olarak aktif kalmasının, tek başına bir kişisel veri işleme faaliyeti teşkil ettiği vurgulanmıştır.
Bu çerçevede otorite; işverenin e-posta hesaplarını açık tutarak kişisel verileri işlemeye devam etmesinin GDPR md. 5/1-a (hukuka ve dürüstlük kuralına uygunluk) ve md. 6/1-f (meşru menfaat) hükümlerini ihlal ettiğine, ilgili kişiye erişim hakkı tanınmaması nedeniyle md. 15’in ve kişisel verilerin silinmemesi nedeniyle md. 17/1’in de ihlal edildiğine karar vermiştir. Şirket hakkında GDPR kapsamında kınama yaptırımı uygulanmıştır.
AB, ABD’ye Biyometrik Veri Erişimi Sağlamaya Hazırlanıyor
Euractiv’te yer alan habere göre, Avrupa Birliği (“AB”) ülkeleri, ABD vatandaşlarına yönelik vizesiz seyahat rejiminin sürdürülmesi karşılığında, parmak izi ve yüz taraması gibi biyometrik verileri içeren ulusal veri tabanlarına ABD makamlarının erişimine izin verilmesine yönelik hazırlık yapmaktadır. Washington’un bu yöndeki talebi, 2022 yılında gündeme getirdiği ve sürecin ABD tarafından Enhanced Border Security Partnerships (“EBSP”) olarak adlandırıldığı belirtilmektedir.
Bu kapsamda Avrupa Komisyonu’nun, 2026 yılı içerisinde ABD ile “çerçeve” nitelikte görüşmelere liderlik etmesi; genel ilkelerin belirlendiği bu çerçevenin ardından üye devletlerin ABD ile ikili anlaşmalar müzakere etmesi öngörülmektedir. Danimarka ve İrlanda’nın ise AB antlaşmalarındaki istisnaları ve Schengen üyeliği durumları nedeniyle bu çerçevenin dışında kalacağı ifade edilmektedir.
AB düzeyindeki çerçeve anlaşmanın, ABD’nin erişebileceği veri tabanı türlerini ve veri kategorilerini genel hatlarıyla belirlemesi; hangi ulusal veri tabanlarının ve hangi kişilere ait verilerin paylaşılacağının ise üye devletler tarafından ayrı ayrı kararlaştırılması planlanmaktadır. Habere göre; AB başkentleri, Komisyon’a müzakere yetkisi verilmesi konusunda genel olarak mutabakata varmıştır.
Komisyon’un müzakere pozisyonunu ortaya koyan belgelerde; etnik köken, siyasi görüş, dini inançlar ile genetik ve biyometrik verilerin de paylaşım kapsamına girebileceği ancak bu aktarımın yalnızca suç ve terörle mücadele amacıyla, gerekli ve orantılı olması şartıyla yapılabileceği belirtilmektedir. Verilerin saklama süresine ilişkin sınırlamalar ve ek güvencelerin uygulanacağı da ifade edilmektedir.
Öte yandan, Avrupa Veri Koruma Denetçisi Wojciech Wiewiórowski, EBSP düzenlemesinin üçüncü ülkelere büyük ölçekli kişisel veri aktarımı açısından önemli bir emsal oluşturacağını belirtmiş; veri aktarımının yalnızca ABD’ye seyahat eden kişilerle sınırlı tutulması ve aktarılacak veri kategorilerinin açık ve dar biçimde tanımlanması gerektiğini vurgulamıştır. ABD’nin, veri erişiminin yıl sonuna kadar fiilen uygulanmasını beklediği de haberde yer almaktadır.
GRC LEGAL YORUMU
Avrupa Birliği’nin dijital altyapıya ilişkin mevzuat gündemi ile ABD’ye vizesiz seyahat kapsamında biyometrik veri aktarımını içeren süreç birlikte değerlendirildiğinde; AB–ABD ilişkilerinde dijital bağımsızlık ve veri aktarımı ekseninde dikkat çekici bir ikilik ortaya çıkmaktadır. Bir yandan Avrupa Komisyonu tarafından sunulan Dijital Altyapı paketinde; AB’nin bulut hizmetleri, yarı iletkenler, ağlar ve kritik dijital altyapılar bakımından ABD merkezli teknoloji ekosistemine olan bağımlılığının azaltılması hedeflenirken diğer yandan vizesiz seyahatin sürdürülmesi karşılığında biyometrik veriler dâhil olmak üzere son derece hassas kişisel verilerin ABD makamlarına aktarımı gündeme gelmektedir.
Dijital altyapı çalışmaları kapsamında Digital Networks Act, Cloud and AI Development Act, Chips Act revizyonu ve Quantum Act gibi birden fazla yeni düzenlemenin aynı dönemde gündeme gelmesi, AB’nin dijital alanda yoğun ve bütüncül bir regülasyon dalgasını sürdürdüğünü göstermektedir. Bu düzenlemeler; tedarik zinciri güvenliği, sertifikasyon, üçüncü ülke hizmet sağlayıcı kaynaklı risk ve dijital bağımsızlık gibi başlıkları merkeze alırken veri güvenliği ve altyapı kontrolünün kamu politikası düzeyinde ele alındığını ortaya koymaktadır.
Buna karşılık, EBSP çerçevesinde biyometrik veri tabanlarına erişimin ABD’ye açılması ihtimali; uluslararası veri aktarımı, amaç sınırlılığı ve orantılılık ilkeleri bakımından hukuki tartışmaları beraberinde getirmektedir. Nitekim bu aktarımın, büyük ölçekli ve sistematik nitelik taşıması; Avrupa Birliği’nin bugüne kadar benimsediği sıkı veri aktarımı yaklaşımıyla nasıl uyumlandırılacağı sorusunu gündeme getirmektedir. Bu noktada veri koruma otoritelerinin, aktarımın kapsamının dar tutulması ve güçlü güvencelerle sınırlandırılması yönündeki temkinli yaklaşımı dikkat çekmektedir.
Söz konusu iki gelişme birlikte ele alındığında, AB’nin bir yandan dijital altyapı ve teknoloji alanında stratejik bağımsızlığını artırmaya çalıştığı, diğer yandan ise jeopolitik konum ve seyahat politikaları nedeniyle ABD ile veri paylaşımı konusunda istisnai ve hassas dengeler kurmak zorunda kaldığı görülmektedir.
Avrupa Komisyonu’ndan AB Siber Güvenlik Mevzuatına Yönelik Yeni Düzenleme Önerileri
Avrupa Komisyonu (‘’Komisyon’’), artan siber tehditler ve dijital altyapılara yönelik riskler karşısında Avrupa Birliği’nin siber güvenlik kapasitesinin güçlendirilmesi amacıyla, Avrupa Birliği mevzuatında yer alan mevcut düzenlemelerin güncellenmesine yönelik tavsiyeler sunmuştur. Bu kapsamda, AB genelinde dijital ürünler, hizmetler ve süreçler için ortak bir siber güvenlik sertifikasyon çerçevesi oluşturan 2019 tarihli AB Siber Güvenlik Yasası’nın (“Cybersecurity Act”) revize edilmesi öngörülmektedir.
Komisyon tarafından sunulan öneriler kapsamında, aşağıdaki hedeflerin gerçekleştirilmesi amaçlanmaktadır:
- AB’nin bilgi ve iletişim teknolojileri tedarik zincirlerinin güvenliğinin artırılması: Siber güvenlik açısından endişe doğuran üçüncü ülke tedarikçilerinden kaynaklanan risklerin azaltılması hedeflenmektedir.
- Dijital ürün ve hizmetlere ilişkin güvenlik test süreçlerinin daha etkin hâle getirilmesi: Avrupa Siber Güvenlik Sertifikasyon Çerçevesi kapsamında yer alan kuralların netleştirilmesi ve prosedürlerin sadeleştirilmesi suretiyle, AB vatandaşları tarafından kullanılan dijital ürün ve hizmetlerin daha verimli şekilde güvenlik testlerinden geçirilmesi amaçlanmaktadır.
Siber Güvenlik Yasası’nın revizyonuna ek olarak, Komisyon tarafından sunulan tedbirlerin aşağıdaki ilave adımları da içerdiği belirtilmektedir:
- Şirketlerin siber güvenlik kurallarına uyumunun kolaylaştırılması: Yetki alanlarına ilişkin kuralların sadeleştirilmesi ve fidye yazılımı (ransomware) saldırılarına ilişkin veri toplama süreçlerinin uyumlulaştırılması hedeflenmektedir.
- Avrupa Birliği Siber Güvenlik Ajansı (“ENISA”)’nın güçlendirilmesi: ENISA’nın, üye devletlerin ortak siber tehditleri anlama, bu tehditlere hazırlanma ve bu tehditlere karşı müdahale etme süreçlerinde daha etkin destek sunabilmesi amaçlanmaktadır.
Çin Bağlantılı Hacker Grubu ABD Kongresi Personelinin E-posta Sistemlerini Hackledi!
Reuters’da yer alan habere göre, Çin bağlantılı olduğu iddia edilen bir siber saldırı grubu, ABD Temsilciler Meclisi’ndeki bazı güçlü komitelerde görev yapan personelin kullandığı e-posta sistemlerine yetkisiz erişim sağlamıştır. Saldırının, ABD Kongresi bünyesinde özellikle uluslararası ilişkiler, dış politika, istihbarat ve silahlı kuvvetler alanlarında faaliyet gösteren komitelerle bağlantılı çalışanları hedef aldığı bildirilmektedir.
Haberlere göre, “Salt Typhoon” olarak adlandırılan hacker grubunun; Temsilciler Meclisi Çin Komitesi’nde görev yapan personelin yanı sıra, dış ilişkiler, istihbarat ve silahlı hizmetler komitelerinde çalışan bazı danışmanların e-posta sistemlerine erişim sağladığı belirtilmiştir. Ancak hangi personelin doğrudan hedef alındığına ilişkin detayların kamuoyu ile paylaşılmadığı ve saldırganların Kongre üyelerinin e-postalarına erişip erişmediğinin henüz netlik kazanmadığı ifade edilmiştir.
Haberde ayrıca, ABD’li yasa yapıcıların ve özellikle askeri ve istihbarat kurumlarını denetleyen Kongre personelinin uzun süredir siber casusluk faaliyetlerinin öncelikli hedefleri arasında yer aldığına dikkat çekilmektedir. Bu kapsamda, geçmiş yıllarda da farklı ülke bağlantılı siber operasyonlara ilişkin benzer iddiaların kamuoyuna yansıdığı hatırlatılmaktadır.
Salt Typhoon grubunun, ABD istihbarat çevrelerinde uzun süredir yakından takip edildiği; grubun Çin istihbaratıyla bağlantılı olduğu ve üst düzey ABD’li siyasetçiler ile kamu görevlilerine yönelik iletişim verilerini hedef almakla suçlandığı ifade edilmektedir. Çin makamları ise söz konusu siber casusluk faaliyetlerine ilişkin iddiaları sistematik olarak reddetmektedir.
GRC LEGAL YORUMU
Son dönemde gündeme gelen ABD Kongresi’ne yönelik siber saldırı iddiaları, siber güvenliğin artık yalnızca teknik bir bilişim teknolojileri konusu değil; devlet kurumları, demokratik süreçler ve kurumsal yönetişim açısından kritik öneme sahip bir alan hâline geldiğini göstermektedir. Özellikle kamu otoritelerinin hedef alınması, siber tehditlerin stratejik boyutunu açıkça ortaya koymaktadır.
Bu gelişmeler karşısında Avrupa Birliği’nin yaklaşımının, siber güvenliği daha sıkı bir mevzuat çerçevesiyle ele alırken aynı zamanda uyum süreçlerini yönetilebilir kılmaya odaklandığı görülmektedir. Cybersecurity Act’in revizyonu ve ENISA’nın rolünün güçlendirilmesi gibi adımlar, siber güvenliğin AB genelinde daha koordineli ve standartlaştırılmış şekilde ele alınmasını amaçlamaktadır.
Öte yandan, Komisyon’un gündeminde yer alan ve “omnibus” olarak anılan düzenlemeler, şirketlerin karşı karşıya kaldığı yoğun regülasyon yükünün sadeleştirilmesi hedefini de yansıtmaktadır. Yetki kurallarının netleştirilmesi, raporlama ve bildirim süreçlerinin kolaylaştırılması ve uygulamada yeknesaklığın sağlanması, uyumun yalnızca kâğıt üzerinde kalmaması açısından önem taşımaktadır.
Bu çerçevede sektör temsilcileri tarafından da, siber güvenlik regülasyonlarının uygulamada işler ve öngörülebilir olması gerektiği vurgulanmaktadır. Nitekim DIGITALEUROPE, Cybersecurity Act revizyonuna ilişkin değerlendirmelerinde; siber güvenlik sertifikasyonunun şirketler açısından ek bir yük değil, uyumu kolaylaştıran bir araç olarak konumlandırılmasının önemine dikkat çekmektedir. Sertifikaların AB mevzuatına uyum bakımından “uygunluk karinesi” oluşturabilmesi, tekrar eden yükümlülüklerin azaltılması ve NIS2 (“Ağ ve Bilgi Güvenliği”) Direktifi, Cyber Resilience Act (“CRA”), GDPR ve sektörel düzenlemeler arasında zamanlama ve yönetişim uyumunun sağlanması, sektör tarafından öne çıkarılan temel beklentiler arasında yer almaktadır. Bu yaklaşım, siber güvenlik hedefleri ile Avrupa’nın rekabet gücü arasında kurulması gereken hassas dengeyi de yansıtmaktadır.
AI-Gents: Kişisel Alışveriş Asistanı Olarak Yapay Zekâ
8 Ocak 2026 tarihinde, Information Commissioner’s Office (“ICO”) tarafından yayımlanan bir raporda, agentic yapay zekâ olarak adlandırılan yeni nesil yapay zekâ sistemlerinin, önümüzdeki yıllarda dijital alışveriş pratiklerini önemli ölçüde dönüştürebileceği değerlendirilmektedir. Rapora göre, bireyler adına karar alabilen ve bağımsız şekilde hareket edebilen kişisel alışveriş asistanlarının, agentic commerce olarak tanımlanabilecek yeni bir dönemin önünü açması beklenmektedir.
Agentic yapay zekâ; yalnızca kullanıcı komutlarına yanıt vermekle sınırlı kalmayıp geçmiş tercihler ve davranışlar doğrultusunda alışveriş ihtiyaçlarını öngörebilen, satın alma kararlarını kendi inisiyatifiyle alabilen sistemleri ifade etmektedir. Bu kapsamda, kişisel yapay zekâ ajanlarının; kullanıcının banka hesabı ve bütçe durumunu kontrol ederek bir harcamanın mali sınırlar içerisinde olup olmadığını değerlendirebileceği, sezonluk indirim ve kampanya dönemlerini takip ederek satın alımları zamanlayabileceği ve hatta satıcılarla doğrudan fiyat pazarlığı yapabileceği öngörülmektedir.
Rapora ilişkin değerlendirmelerde bulunan ICO; bu tür sistemlerin potansiyel faydalarının yüksek olmakla birlikte, kamuoyunun agentic yapay zekâya güven duyabilmesi için kişisel verilerin güvenli ve hukuka uygun şekilde işlenmesine ilişkin güçlü güvencelere ihtiyaç bulunduğunu vurgulamaktadır. Bu çerçevede, veri koruma temelli sağlam bir hukuki altyapının, agentic yapay zekâ sistemlerinin güvenli şekilde yaygınlaşmasında belirleyici olacağı ifade edilmektedir.
GRC LEGAL YORUMU
Agentic yapay zekâ sistemlerinin bireyler adına karar alabilen ve proaktif şekilde hareket edebilen yapısı, kişisel verilerin işlenme kapsamını ve etkisini önemli ölçüde artırmaktadır. Bu nedenle, ICO tarafından da vurgulandığı üzere, bu tür sistemlere duyulacak güvenin temelinde kişisel verilerin güvenli, ölçülü ve hukuka uygun şekilde işlenmesi yer almakta; hem bireyler hem de yapay zeka sistemlerini geliştiren ve kullanan organizasyonlar bakımından veri farkındalığının ve bilinçsiz veri paylaşımından kaçınılmasının kritik önemde olduğu görülmektedir.
AYIN GRC KAVRAMI
Parçalı Açık Rıza (“Granular Consent”)
Parçalı açık rıza; bir mobil uygulama, web sitesi veya hizmet kapsamında birden fazla amaç için kişisel veri işlenmesi halinde ilgili kişiye bu amaçların her biri için ayrı ayrı seçim yapma özgürlüğü tanınmasıdır. Bu doğrultuda “tek bir onay” ile hem hizmetin doğal parçası olan bildirimleri (ör. sipariş/kargo süreci) hem de pazarlama amaçlı bildirimleri (kampanya/indirim) aynı kapsama koymak yerine kullanıcıya amaç bazında ayrı onay/ret imkânı verilmelidir.
Bu yaklaşım, Kurum’un mobil uygulamalardaki anlık bildirimler konusunda yayımladığı kamuoyu duyurusunda vurgulanan temel riskle de örtüşmektedir. Operasyonel nitelikteki bildirimler ile pazarlama içeriklerinin tek onay altında birleştirilmesi, rızanın “özgür irade” unsurunun zedelenme riskini artırmaktadır.
Avrupa Birliği tarafında ise Guidelines 05/2020 on consent under Regulation 2016/679 Rehberi, bir hizmetin birden fazla amaçla veri işlemesi halinde kişilerin “ya hep ya hiç” şeklinde bir rıza paketine zorlanmaması gerektiğini; uygun olan durumlarda amaçların ayrıştırılarak her bir amaç için ayrı rıza alınmasının rızanın geçerliliği açısından kritik olduğunu belirtmektedir.
Rehberde, aynı rıza metninde hem e-posta pazarlaması hem de grup şirketleriyle paylaşım talep edilmesinin rızanın geçerliliğini zayıflattığı örneğine yer verilmektedir.
