GRC PERSPEKTİF: VERİ KORUMA & UYUM BÜLTENİ– TEMMUZ 2026
TÜRKİYE’DE NELER OLUYOR?
Kamu Tüzel Kişiliğini Haiz Veri Sorumluları Tarafından Kişisel Verilerin İnternet Ortamında Paylaşılması Hakkında İlke Kararı Yayımlandı!
Kişisel Verileri Koruma Kurulu (“Kurul”) belediyeler, il özel idareleri ve üniversiteler gibi kamu tüzel kişiliğini haiz veri sorumlularının internet sitelerinde yayımladığı belgelerde ad-soyadı, T.C. kimlik numarası, adres ve cep telefonu numarası, görev yeri ve unvan, öğrenim ve askerlik durumu, ada/parsel bilgileri, KPSS puanı ve sınav sonuçları, asil-yedek bilgisi gibi çok sayıda kişisel veriye yer verildiğini tespit etmiş; kişisel veri içeren belgelerin internet ortamında yayımlanmasının başlı başına bir kişisel veri işleme faaliyeti teşkil ettiğini vurgulamıştır.
Kararda, internet ortamında gerçekleştirilecek kişisel veri paylaşımlarının, Kişisel Verilerin Korunması Kanunu (“Kanun”) ‘nun 5’inci maddesinde (özel nitelikli kişisel veriler bakımından ise 6’ncı maddesinde) düzenlenen geçerli bir kişisel veri işleme şartına dayanması gerektiği, bu şartların bulunmaması hâlinde ise paylaşım yapılmamasının uygun olacağı belirtilmiştir. Bununla birlikte, geçerli bir işleme şartı bulunsa dahi Kanun’un 4’üncü maddesinde yer alan genel ilkelere uyulmasının zorunlu olduğu ifade edilmiştir. Bu doğrultuda, yalnızca gerekli ve asgari düzeyde kişisel verinin paylaşılması, gereksiz kişisel verilerin maskeleme veya imha yöntemleriyle korunması, paylaşım süresinin önceden belirlenmesi ve bu sürenin sona ermesiyle birlikte paylaşıma son verilmesi gerektiği vurgulanmıştır.
Kurul ayrıca, Kanun’un 10’uncu maddesi kapsamında veri sorumlularının aydınlatma yükümlülüğünü ilgili Tebliğ hükümlerine uygun şekilde yerine getirmesi gerektiğini, bu yükümlülüğün yerine getirildiğinin ispat yükünün ise veri sorumlusuna ait olduğunu hatırlatmıştır. Kanun’un 12’nci maddesi kapsamında ise internet ortamının daha yüksek veri güvenliği riski taşıdığı gözetilerek gerekli idari ve teknik tedbirlerin alınması, veri sorumlularının kendi organizasyonları bünyesinde gerekli denetimleri gerçekleştirmesi veya gerçekleştirilmesini sağlaması gerektiği belirtilmiştir.
Kararda, hâlihazırda internet ortamında yayımlanmış kişisel veri içeren belgelerin ivedilikle gözden geçirilmesi, hukuka aykırı nitelikteki içeriklerin kaldırılması veya maskelenmesi ve kişisel veri işleme amacını ortadan kaldıran durumlarda imha süreçlerinin işletilmesi gerektiği ifade edilmiştir. Ayrıca sınav ve kura sonuçlarının, somut olayın gerektirdiği istisnai durumlar dışında, yalnızca ilgili kişinin kendi sonucuna erişebileceği şekilde yayımlanmasının uygun olacağı; bu kapsamda e-Devlet Kapısı veya çift faktörlü kimlik doğrulaması sağlayan benzeri yöntemlerin tercih edilmesi gerektiği belirtilmiştir.
Bunun yanı sıra, başta ilgili platformların kullanımından sorumlu personel olmak üzere tüm çalışanlara yönelik eğitim ve farkındalık faaliyetlerinin düzenli olarak yürütülmesi gerektiği vurgulanmıştır. Kurul, söz konusu ilke ve tedbirlerin yalnızca internet sitelerinde yapılan paylaşımlar bakımından değil; kurum içi ve kurumlar arası yazışmalar, e-posta iletileri, duyurular, kapalı elektronik ortamlar ile pano ve ilan tahtalarında gerçekleştirilen kişisel veri paylaşımları bakımından da geçerli olduğunu belirtmiştir.
Son olarak Kurul, belirtilen yükümlülüklerin yerine getirilmediğinin tespit edilmesi hâlinde her somut olayın kendi koşulları çerçevesinde değerlendirileceğini ve ilgili veri sorumluları hakkında Kanun’un 18’inci maddesi uyarınca gerekli idari işlemlerin tesis edileceğini ifade etmiştir.
GRC LEGAL PERSPEKTİFİ
Bu ilke kararı, kamu kurumlarının uzun yıllardır uyguladığı internet üzerinden belge yayımlama alışkanlığının, kişisel verilerin korunması hukuku açısından yeniden değerlendirilmesi gerektiğini açıkça ortaya koymaktadır.
Karar, şeffaflık ve hesap verebilirlik ilkelerinin kişisel verilerin korunması hakkı ile dengeli şekilde uygulanması gerektiğini vurgularken, kamu kurumlarının veri minimizasyonu, saklama süresi ve erişim yetkilendirmesi gibi hususlarda mevcut uygulamalarını gözden geçirmesini zorunlu kılmaktadır. Özellikle ilan, sınav sonucu ve benzeri duyuruların yalnızca ilgili kişiler tarafından erişilebilir şekilde tasarlanmasına yönelik yaklaşım, kamu hizmetlerinin dijitalleşmesi sürecinde “gizlilik odaklı tasarım” anlayışının önem kazandığını göstermektedir.
Üçüncü Kişilerden Elde Edilen Kişisel Verilerin Reklam ve Pazarlama Amaçlı Kullanılmasına İlişkin Kamuoyu Duyurusu Yayımlandı!
Duyuruda, veri sorumlularının mevcut müşterilerinden veya üçüncü kişilerden referans, tavsiye, müşteri önerisi ya da marka elçiliği gibi yöntemlerle temin ettikleri iletişim bilgilerini reklam ve pazarlama faaliyetlerinde kullanmalarına ilişkin Kurum’a çok sayıda şikâyet ulaştığı belirtilmiştir.
Yapılan incelemelerde, ilgili kişilere gerekli aydınlatmanın yapılmadığı ve açık rızalarının alınmadığı hâlde pazarlama amaçlı arama ve kısa mesaj gönderimi gerçekleştirildiği tespit edilmiştir.
Kurum, kişisel verilerin üçüncü kişilerden elde edilmiş olmasının, bu verilerin reklam ve pazarlama amacıyla işlenmesi bakımından tek başına hukuki bir dayanak oluşturmadığını vurgulamıştır. Bu kapsamda, reklam ve pazarlama faaliyetlerinde kullanılacak kişisel veriler bakımından Kanun’un 5’inci maddesinde düzenlenen kişisel veri işleme şartlarının her somut olay özelinde ayrıca değerlendirilmesi gerektiği ifade edilmiştir.
Duyuruda ayrıca, kişisel verilerin doğrudan ilgili kişiden elde edilmediği durumlarda veri sorumlularının Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca; kişisel verilerin elde edilmesini takiben makul süre içerisinde, veriler ilgili kişiyle iletişim kurulması amacıyla kullanılacaksa ilk iletişim sırasında, veriler üçüncü kişilere aktarılacaksa ise en geç ilk aktarım anında ilgili kişiyi aydınlatmakla yükümlü oldukları hatırlatılmıştır.
Bunun yanında, uygulamada ilgili kişilerin görüşmeyi sonlandırmaması, kampanyayı dinlemeye devam etmesi, bilgi talep etmesi veya gönderilen kısa mesaja ret cevabı vermemesi gibi davranışların açık rıza olarak değerlendirildiğinin görüldüğü; ancak bu tür zımni davranışların Kanun anlamında geçerli bir açık rıza oluşturmadığı özellikle vurgulanmıştır.
Kurum, açık rızanın belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanmış bir irade beyanı olması gerektiğini, ayrıca aydınlatma yükümlülüğü ile açık rıza alma süreçlerinin birbirinden bağımsız yükümlülükler olduğunu bir kez daha hatırlatmıştır.
Sonuç olarak Kurum, reklam ve pazarlama faaliyetleri kapsamında üçüncü kişilerden elde edilen kişisel verilerin işlenmesi süreçlerinde Kanun ve ilgili mevzuata uygun hareket edilmesi, aydınlatma yükümlülüğünün usulüne uygun şekilde yerine getirilmesi ve gerekli hâllerde açık rızanın ayrıca alınması gerektiğini belirtmiş; bu yükümlülüklere aykırı uygulamaların tespit edilmesi hâlinde ilgili veri sorumluları hakkında yaptırım uygulanabileceğini kamuoyuna duyurmuştur.
GRC LEGAL PERSPEKTİFİ
Bu duyuru, pazarlama faaliyetlerinde uzun süredir yaygın olarak kullanılan “referans yoluyla iletişim bilgisi edinme” uygulamalarının KVKK bakımından otomatik olarak hukuka uygun kabul edilemeyeceğini net bir şekilde ortaya koymaktadır.
Özellikle müşteri kazanımı süreçlerinde ticari beklentiler ile kişisel verilerin korunmasına ilişkin yükümlülüklerin birbirinden bağımsız değerlendirilmesi gerektiği bir kez daha vurgulanmıştır. Bu nedenle şirketlerin yalnızca pazarlama iletişimi süreçlerini değil, potansiyel müşteri oluşturma (lead generation), referans programları ve marka elçiliği uygulamalarını da veri koruma hukuku perspektifinden yeniden gözden geçirmeleri önem arz etmektedir.
Kişisel Sağlık Verileri Hakkında Yönetmelikte Değişiklik Yapılmasına Dair Yönetmelik Yayımlandı!
Yönetmelikte yapılan değişikliklerle birlikte, dördüncü bölümün başlığı “Kişisel Sağlık Verilerinin Gizlenmesi, Düzeltilmesi, Yeniden Değerlendirilmesi, İmha Edilmesi ve Aktarılması” şeklinde değiştirilmiş ve böylece kişisel sağlık verilerinin yeniden değerlendirilmesine ilişkin yeni düzenlemeler Yönetmelik kapsamına dâhil edilmiştir.
Yapılan değişiklikler uyarınca, kişisel sağlık verilerinin düzeltilmesine ilişkin başvurularda Genel Müdürlük tarafından tesis edilen işlemlerin, ilgili sağlık hizmeti sunucusunun veri tabanında da gerçekleştirilmesi öngörülmüştür. Bununla birlikte, veriyi işleyen diğer kurum ve kuruluşların veri tabanlarında gerekli işlemlerin yapılıp yapılmayacağı hususunun, ilgili mevzuat hükümleri çerçevesinde ilgili kurum veya kuruluş tarafından değerlendirileceği düzenlenmiştir.
Yönetmeliğe eklenen 13/A maddesi ile kişilere, geçmişte kendileri hakkında konulan sağlık tanılarının güncel sağlık durumları esas alınarak yeniden değerlendirilmesini talep etme imkânı tanınmıştır. Buna göre, tek hekim tarafından konulan tanılar üç hekimli sağlık kurulu tarafından; üç hekimli sağlık kurulu veya tam teşekküllü sağlık kurulu tarafından konulan tanılar ise yalnızca tam teşekküllü sağlık kurulu tarafından yeniden değerlendirilecektir. Yeniden değerlendirme sonucunda ilgili tanının kişinin mevcut sağlık durumunda bulunmadığının tespit edilmesi hâlinde, durum bildirir sağlık kurulu raporu düzenlenecektir.
Ayrıca, kişinin güncel sağlık durumunda bulunmadığı sağlık kurulu raporuyla tespit edilen tanılar esas alınarak herhangi bir işlem tesis edilemeyeceği açıkça hüküm altına alınmıştır. Bu kapsamda, özellikle işe alım süreçleri başta olmak üzere, geçmişte konulmuş ancak güncel durumda mevcut olmadığı sağlık kurulu raporuyla ortaya konulan tanıların değerlendirmeye alınamayacağı; bunun yerine yeniden değerlendirme sonucunda düzenlenen durum bildirir sağlık kurulu raporunun esas alınacağı düzenlenmiştir.
Kaza Mağdurlarının Kişisel Verilerinin İşlenmesine İlişkin İlke Kararı Yayımlandı!
Kurum tarafından 01.07.2026 tarihli Resmî Gazete’de yayımlanan İlke Kararı ile, özellikle trafik ve iş kazası gibi olaylar sonrasında mağdurlara ait kişisel verilerin hukuka aykırı şekilde işlenmesine ilişkin tespit ve değerlendirmelere yer verilmiştir.
Kararda, hasar danışmanlığı adı altında faaliyet gösteren bazı kişi ve kuruluşların yanı sıra kendisini avukat olarak tanıtıp gerçekte yetkisi bulunmayan kişilerin, kaza mağdurlarıyla rızaları dışında iletişime geçtiği; bu süreçte mağdurlara ait kimlik ve iletişim bilgilerinin çeşitli kanallardan hukuka aykırı şekilde temin edildiği belirtilmiştir.
Kurul bu tür faaliyetlerin 1136 sayılı Avukatlık Kanunu ve 5684 sayılı Sigortacılık Kanunu kapsamında belirlenen yetki sınırlarını ihlal edebileceğini, ayrıca Kanun hükümleri çerçevesinde kişisel verilerin işlenmesi için gerekli hukuki şartların bulunmaması halinde açık ihlal oluşacağını vurgulamıştır. İlke Kararı’nda ayrıca, yetkisiz şekilde elde edilen veya paylaşılan kişisel veriler üzerinden yürütülen faaliyetlerin Türk Ceza Kanunu m.136 kapsamında suç teşkil edebileceği ve somut olaylara göre adli süreçlerin gündeme gelebileceği ifade edilmiştir.
Sigorta eksperleri ve benzeri yetkili aktörler bakımından ise kişisel veri işleme faaliyetlerinin yalnızca mevzuatla belirlenen görevler çerçevesinde, örneğin hasar tespiti ve sigorta süreçlerinin yürütülmesi amacıyla sınırlı olarak gerçekleştirilebileceği; bu sınırların aşılması halinde KVKK ihlali doğacağı belirtilmiştir.
Kurul ayrıca, veri sorumlularının Kanun’un 12. maddesi kapsamında veri güvenliğini sağlamakla yükümlü olduğunu; bu kapsamda yetkisiz erişimin engellenmesi, rol bazlı erişim kontrollerinin kurulması, çalışanların eğitilmesi ve gerekli teknik-idari tedbirlerin alınmasının zorunlu olduğunu özellikle vurgulamıştır.
Son olarak, bu yükümlülüklere aykırı hareket eden veri sorumluları hakkında Kanun’un 18. maddesi kapsamında idari yaptırımlar uygulanabileceği; ayrıca ilgili durumların adli mercilere ve diğer yetkili kurumlara bildirilebileceği ifade edilmiştir.
GRC LEGAL PERSPEKTİFİ
Yönetmelik değişikliği, sağlık verilerinin yalnızca doğru şekilde muhafaza edilmesini değil, aynı zamanda güncelliğinin korunmasını da veri koruma hukukunun önemli bir unsuru olarak ele almaktadır. Bu yaklaşım, geçmişte konulan sağlık tanılarının bireyler üzerinde kalıcı sonuçlar doğurmasının önüne geçmeyi amaçlarken, sağlık hizmeti sunucuları ile işverenlerin sağlık verilerine ilişkin süreçlerini yeni düzenlemeler doğrultusunda gözden geçirmelerini gerekli kılmaktadır.
İlke Kararı ise kişisel verilerin korunmasına ilişkin sorumluluğun, veri ekosisteminde yer alan tüm aktörlere yayıldığını bir kez daha ortaya koymaktadır. Bu kapsamda kurumların, veri paylaşım süreçlerini ve erişim yetkilerini düzenli olarak gözden geçirmeleri ile teknik ve idari tedbirlerini güçlendirmeleri, benzer ihlallerin önlenmesi açısından önem taşımaktadır.
Kurul’dan Açık Rıza Olmaksızın Gönderilen Ticari İletilere İlişkin 1 Milyon TL İdari Para Cezası
Kurul’un değerlendirmesine konu olayda, bir tasarruf finansman şirketi tarafından pazarlama amacıyla ilgili kişiye kısa mesaj ve telefon araması gerçekleştirildiği, ilgili kişinin ise bu iletişim faaliyetlerine herhangi bir onay vermediğini belirterek Kurum’a başvurduğu anlaşılmıştır. İnceleme sürecinde şirket, telefon numarasının mevcut bir müşteri tarafından sisteme kaydedildiğini ve başvurunun ardından ilgili kayıtların silindiğini ifade etmiştir.
Kurul, kişisel verilerin üçüncü kişiler aracılığıyla temin edilmiş olmasının tek başına veri işleme faaliyetine hukuki dayanak oluşturmayacağını; reklam ve pazarlama amacıyla gerçekleştirilen iletişim faaliyetlerinde hem Kanun hem de elektronik ticari iletilere ilişkin mevzuat hükümlerinin birlikte değerlendirilmesi gerektiğini ortaya koymuştur. Bu kapsamda, veri sahibinin önceden bilgilendirilmiş ve özgür iradesiyle verdiği geçerli bir açık rıza bulunmaksızın gerçekleştirilen pazarlama faaliyetlerinin hukuka aykırı olduğu değerlendirilerek ilgili şirket hakkında 1 milyon TL idari para cezası uygulanmasına karar vermiştir.
Anayasa Mahkemesi’nden Kişisel Verilerin Hukuka Aykırı Olarak Verilmesi veya Ele Geçirilmesi Suçuna İlişkin Önemli Karar
Anayasa Mahkemesi tarafından 14.07.2026 tarihli Resmî Gazete’de yayımlanan kararda, Türk Ceza Kanunu’nda düzenlenen kişisel verileri hukuka aykırı olarak verme veya ele geçirme suçunun şikâyete bağlı olmaksızın re’sen soruşturulmasını öngören hükmün iptali istemi oy birliğiyle reddedilmiştir.
Başvuruya konu olayda, itirazı inceleyen mahkeme; özel hayatın gizliliğini ihlal suçunun şikâyete bağlı olarak soruşturulmasına karşın, kişisel verilerin hukuka aykırı olarak verilmesi veya ele geçirilmesi suçunun resen soruşturulmasının benzer nitelikteki fiiller bakımından farklı bir uygulamaya yol açtığını ileri sürerek düzenlemenin Anayasa’ya aykırı olduğunu iddia etmiştir.
Anayasa Mahkemesi ise ceza muhakemesinde temel ilkenin, suç şüphesinin öğrenilmesiyle birlikte soruşturmanın resen başlatılması olduğunu vurgulamış; kanun koyucunun suçların niteliği, korunmak istenen hukuki değer ve kamu yararı gibi ölçütleri dikkate alarak hangi suçların şikâyete bağlı olacağını belirleme konusunda takdir yetkisine sahip olduğunu ifade etmiştir.
Kararda ayrıca, kişisel verilerin hukuka aykırı olarak verilmesi veya ele geçirilmesi fiillerinin yalnızca mağdurun bireysel menfaatlerini değil, kişisel verilerin korunmasına duyulan toplumsal güveni ve kamu düzenini de etkileyebilecek nitelikte olduğu belirtilmiştir. Bu nedenle söz konusu suç bakımından soruşturmanın şikâyete bağlı tutulmamasının, kişisel verilerin hukuka aykırı dolaşıma sokulmasının önlenmesi ve etkin ceza adaletinin sağlanması bakımından meşru bir amaca hizmet ettiği değerlendirilmiştir.
Bu gerekçeler doğrultusunda Anayasa Mahkemesi, itiraz konusu düzenlemenin Anayasa’ya aykırı olmadığına hükmederek iptal talebini oy birliğiyle reddetmiştir.
GRC LEGAL PERSPEKTİFİ
Kurul’un idari para cezası uygulama kararı değerlendirildiğinde; şirketlerin yalnızca ileti gönderim izinlerini değil, iletişim bilgilerinin hangi kaynaktan ve hangi hukuki gerekçeyle elde edildiğini de denetleyebilecek süreçler oluşturmasının önemini göstermektedir. Özellikle müşteri tavsiyesi, referans sistemi veya benzeri yöntemlerle elde edilen iletişim bilgilerinin pazarlama faaliyetlerinde kullanılmasından önce veri işleme şartlarının ve ilgili mevzuattan kaynaklanan yükümlülüklerin birlikte değerlendirilmesi, uyum risklerinin azaltılması bakımından kritik önem taşımaktadır.
AYM kararı değerlendirildiğinde; kişisel verilerin korunmasının yalnızca bireysel bir hak olarak değil, aynı zamanda kamu düzenini ilgilendiren bir hukuki değer olarak ele alındığını ortaya koymaktadır. Bu yaklaşım, kişisel verilere yönelik hukuka aykırı fiillerin mağdurun şikâyetine bağlı kalmaksızın etkin şekilde soruşturulmasının, veri koruma rejiminin caydırıcılığı ve kamu güveninin sağlanması bakımından önemli bir araç olarak görüldüğünü göstermektedir.
Ceza Muhakemesi Kanunu’nda Genetik Verilerin Saklanması ve İmhasına İlişkin Düzenleme Yürürlüğe Girdi!
Türkiye Büyük Millet Meclisi Genel Kurulu’nda kabul edilen ve kamuoyunda “12. Yargı Paketi” olarak anılan Kanun ile, Ceza Muhakemesi Kanunu’nda yer alan genetik inceleme sonuçlarının kaydedilmesi, saklanması, kullanılması ve imhasına ilişkin hükümler yeniden düzenlenmiştir.
Değişiklik, Anayasa Mahkemesi’nin konuya ilişkin iptal kararı doğrultusunda gerçekleştirilmiştir. Yeni düzenleme uyarınca, ceza muhakemesi kapsamında elde edilen genetik inceleme sonuçları kimlik bilgilerinden ayrıştırılmış şekilde özel bir sisteme kaydedilecek; ayrıca delil niteliğini koruması amacıyla bir örneği soruşturma veya kovuşturma dosyasında muhafaza edilecektir. Kanun, genetik verilerin hangi durumlarda imha edileceğine ilişkin açık kurallar da öngörmektedir.
Buna göre; kovuşturmaya yer olmadığı kararının kesinleşmesi, itirazın reddedilmesi, beraat kararı verilmesi veya ceza verilmesine yer olmadığı kararının kesinleşmesi hâllerinde kayıt altına alınan veriler derhâl imha edilecektir. Bunun dışında kalan durumlarda ise kayıtlar, mahkeme kararının kesinleşmesinden itibaren yirmi yıl süreyle muhafaza edilecek ve sürenin sonunda Cumhuriyet savcısının gözetiminde tutanak düzenlenerek imha edilecektir.
Düzenleme ile ayrıca, genetik verileri sisteme kaydedilen kişilere belirli koşullar altında verilerinin silinmesini talep etme imkânı tanınmıştır. Kişi, verinin saklanmasını gerektiren amacın ortadan kalktığını veya haklı bir sebebin bulunduğunu ileri sürerek hâkim veya mahkemeye başvuruda bulunabilecektir.
Öte yandan, sistemde yer alan genetik verilerin yalnızca devam eden bir soruşturma veya kovuşturmada maddi gerçeğin ortaya çıkarılması amacıyla ve mahkeme, hâkim veya Cumhuriyet savcısının kararı üzerine kullanılabileceği hüküm altına alınmıştır. Söz konusu kayıtların tutulmasına, kullanılmasına ve imhasına ilişkin usul ve esasların ise Adalet Bakanlığı ile İçişleri Bakanlığı tarafından ortaklaşa çıkarılacak yönetmelikle belirleneceği düzenlenmiştir.
GRC LEGAL PERSPEKTİFİ
Yapılan değişiklik, ceza muhakemesi süreçlerinde kullanılan genetik veriler bakımından hukuki belirliliği artırmayı ve özel nitelikli kişisel verilerin korunmasına yönelik güvenceleri güçlendirmeyi amaçlamaktadır. Özellikle saklama sürelerinin, imha usullerinin ve ilgili kişilere tanınan başvuru imkânlarının kanun seviyesinde açıkça düzenlenmesinin, kişisel verilerin korunması hakkı ile ceza adaletinin etkin şekilde yürütülmesi arasında daha dengeli bir çerçeve oluşturulmasına katkı sağlayacağı öngörülmektedir.
Siber Güvenlik Kanunu Kapsamında Siber Güvenlik Başkanlığı’nın Yetkileri Genişletildi!
Türkiye Büyük Millet Meclisi tarafından kabul edilen ve 31.07.2026 tarihli Resmî Gazete’de yayımlanarak yürürlüğe giren 7590 sayılı Bazı Kanun ve Kanun Hükmünde Kararnamelerde Değişiklik Yapılmasına Dair Kanun ile Siber Güvenlik Kanunu ve 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi Hakkında Kanun kapsamında önemli değişiklikler gerçekleştirilmiştir. Söz konusu değişiklikler, Siber Güvenlik Başkanlığı’nın (“SGB”) görev ve yetki alanını genişletirken, daha önce Bilgi Teknolojileri ve İletişim Kurumu (“BTK”) tarafından yürütülen bazı yetki ve sorumlulukların SGB bünyesinde toplanmasını öngörmektedir.
Yeni düzenleme ile SGB’ye devredilen görev ve yetkiler bakımından, Başkanlık tarafından ikincil düzenlemeler yürürlüğe konuluncaya kadar mevcut mevzuatın uygulanmasına devam edilecek; ilgili mevzuatta BTK Telekomünikasyon İletişim Başkanlığı ve bunların karar organlarına yapılan atıflar ise görev devrinin kapsamına uygun şekilde SGB ve Siber Güvenlik Başkanına yapılmış sayılacaktır.
Kanun kapsamında, BTK bünyesinde bulunan ve SGB’ye devredilen görev ve yetkilerin yürütülmesinde kullanılan taşınır mallar, bilgi işlem altyapıları, veri merkezleri, teknik ekipman, kayıt ve dokümanlar ile bu faaliyetlere ilişkin hak, alacak, borç ve yükümlülüklerin Başkanlığa devrine ilişkin geçiş süreci korunmuştur. Ayrıca ilgili personelin Başkanlığa geçişine ilişkin hükümler de yürürlükte kalmaya devam etmektedir.
Düzenleme ile internet alan adlarının yönetimi, internet altyapısına ilişkin düzenlemeler ve 5651 sayılı Kanun kapsamındaki belirli yetkilerin uygulanmasında SGB’nin rolü daha da güçlendirilmiştir. Bu kapsamda internet alan adlarına ilişkin strateji ve politikaların belirlenmesi ile bu alanda düzenleme yapılmasına ilişkin yetkiler SGB tarafından kullanılacaktır.
Bunun yanında, 7590 sayılı Kanun ile Siber Güvenlik Kanunu’nun çeşitli hükümlerinde değişiklikler yapılmış olup özellikle uygulama yetkileri, geçiş hükümleri ve Siber Güvenlik Başkanlığı’nın görev alanına ilişkin düzenlemeler güncellenmiştir. Yapılan değişiklikler yayımlandıkları tarihte yürürlüğe girmiştir.
GRC LEGAL PERSPEKTİFİ
Yapılan değişiklikler, siber güvenlik alanındaki düzenleme ve uygulama yetkilerinin Siber Güvenlik Başkanlığı bünyesinde toplanmasına yönelik önemli bir adım niteliğindedir. Bu kapsamda Başkanlığın elektronik haberleşme, internet altyapısı, alan adı yönetimi ve kritik bilgi sistemlerine ilişkin rolü güçlenirken, kamu kurumları ile özel sektör kuruluşlarının da yayımlanacak ikincil düzenlemeler doğrultusunda uyum süreçlerini ve mevcut teknik-idari tedbirlerini yeniden değerlendirmeleri gerekeceği öngörülmektedir.
Ticari Reklam ve Haksız Ticari Uygulamalar Yönetmeliğinde Değişiklik Yapılmasına Dair Yönetmelik Yayımlandı!
01.07.2026 tarihli Resmî Gazete’de Ticari Reklam ve Haksız Ticari Uygulamalar Yönetmeliğinde Değişiklik Yapılmasına Dair Yönetmelik yayımlanmıştır. 01.08.2026 tarihinde yürürlüğe giren Yönetmelik değişiklikleri ile dijital reklamcılık, sosyal medya pazarlaması, yapay zekâ uygulamaları, çevresel beyanlar ve tüketici değerlendirmelerine ilişkin önemli düzenlemeler hayata geçirilmiştir.
Yönetmelikte yapılan değişikliklerle ilk olarak çevresel beyan, sosyal medya, sosyal medya etkileyicisi ve tüketici değerlendirmesi kavramları tanımlanmış; böylece özellikle dijital pazarlama uygulamalarına ilişkin hukuki çerçeve genişletilmiştir. Çevresel fayda veya sürdürülebilirlik iddiası içeren reklamlarda kullanılan beyanların yetkili kurumlar veya bağımsız kuruluşlar tarafından doğrulanabilir nitelikte olması zorunlu tutulmuş; genel ve belirsiz çevresel ifadelerin herhangi bir açıklama yapılmaksızın kullanılmasının önüne geçilmiştir.
İndirimli satış reklamlarına ilişkin kurallar da yeniden düzenlenmiştir. Buna göre, indirimden önceki fiyatın tespitinde esas alınacak süre ve farklı satış kanalları bakımından uygulanacak yöntem netleştirilmiş; sadakat programları ile belirli koşulların yerine getirilmesine bağlı kampanyalara ilişkin reklamların hangi durumlarda indirimli satış hükümlerine tabi olacağı açıklığa kavuşturulmuştur.
Dijital reklamcılık alanında ise önemli yenilikler getirilmiştir. Yapay zekâ veya benzeri teknolojilerin tüketicilerin ekonomik davranışlarını etkileyebilecek şekilde kullanıldığı reklamlarda bu durumun açık ve anlaşılır biçimde belirtilmesi zorunlu hale getirilmiş; ayrıca gerçek kişilerin yapay zekâ ile oluşturulan dijital kopyalarının gerçeğe aykırı şekilde ürün veya hizmet deneyimlemiş ya da tavsiye etmiş izlenimi oluşturacak biçimde reklamlarda kullanılmasına yasak getirilmiştir.
Yönetmelik ile sosyal medya etkileyicileri aracılığıyla gerçekleştirilen ticari iletişimlere ilişkin ayrıntılı kurallar da düzenlenmiştir. Reklam niteliğindeki içeriklerde “Reklam” veya “Tanıtım” ibaresinin kullanılması zorunlu tutulmuş; reklam ilişkisinin tüketiciler tarafından ilk bakışta anlaşılabilecek şekilde açıklanmasına yönelik usul ve esaslar belirlenmiştir.
Bunun yanında, hedefli reklamcılık ilk kez Yönetmelikte tanımlanmış ve kişisel verilere dayalı reklam faaliyetlerine ilişkin yeni yükümlülükler öngörülmüştür. Reklamın hangi kriterlere göre ilgili tüketiciye gösterildiği konusunda kullanıcıların bilgilendirilmesi zorunlu tutulurken, çocuklara yönelik kişisel verilere dayalı profilleme faaliyetleri ise yasaklanmıştır.
İnternet ortamında yayımlanan tüketici değerlendirmelerine ilişkin kurallar da önemli ölçüde güncellenmiştir. Buna göre yalnızca ürünü veya hizmeti satın aldığı doğrulanabilen tüketicilerin değerlendirmelerine yer verilebilecek olup değerlendirmelerin objektif kriterlerle yayımlanması, olumlu ve olumsuz yorumlar arasında ayrım yapılmaması ve gerçeğe aykırı değerlendirmelerin ticari amaçla oluşturulmaması yönünde yeni yükümlülükler getirilmiştir.
GRC LEGAL PERSPEKTİFİ
İlgili Yönetmelik değişiklikleri, dijital reklamcılık ekosistemini yalnızca reklam içeriği bakımından değil, veri kullanımı, yapay zekâ uygulamaları, influencer iş birlikleri ve çevrimiçi tüketici deneyimlerinin yönetimi açısından da yeniden şekillendirmektedir. Bu nedenle işletmelerin pazarlama faaliyetlerini; tüketici hukuku, kişisel verilerin korunması, elektronik ticaret ve reklam mevzuatı bakımından bütüncül bir uyum yaklaşımıyla gözden geçirmeleri, özellikle dijital kampanyalara ilişkin iç onay ve denetim mekanizmalarını güncellemeleri önem arz etmektedir.
DÜNYADA NELER OLUYOR?
Avrupa Komisyonu’ndan Google’a Dijital Piyasalar Yasası Kapsamında Toplam 890 Milyon Euro Para Cezası Uygulandı!
Avrupa Komisyonu, Google hakkında Dijital Piyasalar Yasası (Digital Markets Act, “DMA”) kapsamında yürüttüğü iki ayrı soruşturmayı tamamlayarak şirketin Google Search ve Google Play hizmetlerine ilişkin yükümlülüklerini ihlal ettiğine karar vermiştir. Bu kapsamda Google’a, Google Search bakımından 460 milyon Euro, Google Play bakımından ise 430 milyon Euro olmak üzere toplam 890 milyon Euro idari para cezası uygulanmıştır. Söz konusu kararlar, Google hakkında DMA kapsamında verilen ilk para cezaları olma niteliğini taşımaktadır.
Google Search’e ilişkin kararda Komisyon, Google’ın alışveriş, otel, ulaşım ve spor gibi kendi hizmetlerini arama sonuçlarında üçüncü taraf hizmetlere kıyasla daha avantajlı şekilde konumlandırdığını tespit etmiştir. Karara göre şirket, kendi hizmetlerine arama sonuçlarında üst sıralarda ve daha görünür biçimde yer verirken benzer hizmet sunan rakip platformlara aynı koşulları sağlamayarak DMA’nın adil, şeffaf ve ayrımcı olmayan sıralama yükümlülüğünü ihlal etmiştir.
Google Play’e ilişkin değerlendirmede ise Komisyon, uygulama geliştiricilerinin kullanıcıları alternatif satın alma kanallarına veya daha uygun fiyatlı tekliflere yönlendirmesini kısıtlayan uygulamaların DMA ile bağdaşmadığı sonucuna varmıştır. Ayrıca Google’ın yönlendirme (steering) faaliyetleri karşılığında uyguladığı ücretlerin kapsamı ve süresinin de Kanun’da öngörülen sınırları aştığı değerlendirilmiştir.
Komisyon, Google’ın kararların gereğini yerine getirmesi için 60 gün süre tanımış; bu süre içerisinde uyum sağlanmaması hâlinde şirket hakkında dünya çapındaki toplam cirosu üzerinden hesaplanacak ek para cezalarının uygulanabileceğini belirtmiştir. Bununla birlikte, Google’ın arama sonuçları, Google Play politikaları ile AI Overviews ve AI Mode uygulamalarına ilişkin sunduğu uyum önerilerinin Komisyon tarafından değerlendirilmeye devam ettiği ifade edilmiştir. Google ise kararlara katılmadığını açıklamış ve yargı yoluna başvurabileceğini kamuoyuyla paylaşmıştır.
AYIN GRC KAVRAMI
Algoritmik Şeffaflık (Algorithmic Transparency)
Algoritmik şeffaflık, yapay zekâ sistemleri ve diğer algoritmik karar mekanizmalarının hangi verileri kullandığı, nasıl çalıştığı ve bireyleri nasıl etkilediği konusunda ilgili kişilere yeterli düzeyde bilgi sunulmasını ifade etmektedir. Dijital hizmetlerin ve yapay zekâ uygulamalarının yaygınlaşmasıyla birlikte, algoritmalar yalnızca teknik araçlar olmaktan çıkmış; tüketici tercihlerini yönlendiren, içerik sıralamalarını belirleyen ve kişilere sunulan ürün, hizmet ve reklamları şekillendiren karar mekanizmalarına dönüşmüştür.
Son dönemde yürürlüğe giren düzenlemeler, algoritmik sistemlerin kullanımını yasaklamaktan ziyade, bu sistemlerin tüketiciler ve kullanıcılar açısından anlaşılabilir ve denetlenebilir şekilde işletilmesini hedeflemektedir. Yapay zekâ ile oluşturulan reklam içeriklerinin açıkça belirtilmesi, hedefli reklamcılıkta tüketicinin hangi kriterlere göre hedeflendiğinin açıklanması ve dijital platformların algoritmik sıralama uygulamalarına ilişkin Avrupa Birliği tarafından yürütülen denetimler, bu yaklaşımın somut örneklerini oluşturmaktadır.
Algoritmik şeffaflık, yalnızca yapay zekâ uygulamaları bakımından değil; reklam teknolojileri, e-ticaret platformları, arama motorları, öneri sistemleri ve kişiselleştirilmiş dijital hizmetler açısından da temel bir uyum ilkesi hâline gelmektedir. Bu kapsamda işletmelerin, algoritmik karar süreçlerini açıklayabilecek mekanizmalar oluşturması, otomatik sistemlerin hukuki etkilerini değerlendirmesi ve kullanıcıların bilgilendirilmesine yönelik süreçlerini güçlendirmesi; tüketici hukuku, kişisel verilerin korunması ve dijital düzenlemelere uyum bakımından giderek daha fazla önem kazanmaktadır.
