The Pulse — Sayı 02: Veri Koruma Alanındaki Hukuki Düzenlemeler

Aralık 2025 | Başaran Law Firm

Daha Az Bürokrasi, Daha Güçlü Bir Yapı: AB’nin Dijital Omnibus Paketi

19 Kasım 2025 tarihinde Avrupa Komisyonu, AB’ nin dijital mevzuat yapısını sadeleştirmeyi ve bunu yaparken yüksek veri koruma standartlarını muhafaza etmeyi amaçlayan Dijital Omnibus Teklifini yayımladı. Teklif; GDPR, ePrivacy Direktifi, NIS2 ve Veri Yasası (Data Act) gibi temel düzenlemeleri sadeleştirerek, kişisel verilerin korunmasından ödün vermeksizin uyum maliyetlerini azaltmayı hedeflemektedir.

Teklifte yer alan en dikkat çekici değişikliklerden biri, uzun süredir eleştirilen GDPR ile ePrivacy Direktifi arasındaki ikili yapıya ilişkindir. Kişisel verilere erişime ilişkin kurallar tamamen GDPR kapsamına alınıyor ve böylece mükerrer rıza yükümlülükleri ortadan kaldırılıyor. Kullanıcı tercihleri, hizmet sağlayıcıların uymakla yükümlü olduğu otomatik ve makine tarafından okunabilir tarayıcı veya uygulama ayarları yoluyla ifade edilecek. Bu düzenlemenin hem kullanıcılar açısından “rıza yoğunluğunu”, hem de işletmeler açısından uyum yükünü önemli ölçüde azaltması beklenmektedir.

GDPR’a yönelik hedefli değişiklikler de teklif kapsamında yer almaktadır. Buna göre; kişisel veri kavramı içinde “ makul şekilde tanımlanabilirlik” vurgusu netleştirilmekte, veri sorumlularına kötüye kullanım niteliği taşıyan erişim talepleriyle mücadelede daha fazla esneklik tanınmakta ve veri ihlali bildirim yükümlülüğü yalnızca yüksek riskli olaylarla sınırlandırılmaktadır. Ayrıca bildirim süresi 96 saate çıkarıldı. Bunun yanında, yapay zekâ eğitim sürecinde kaçınılmaz olarak ortaya çıkabilecek özel nitelikli kişisel verilerin sınırlı ve sıkı denetime tabi artık işlenmesine de kontrollü şekilde izin verilmektedir.

Paralel olarak, farklı AB mevzuatları kapsamında öngörülen kişisel veri ihlali ve siber güvenlik olayı bildirimleri, ENISA tarafından işletilecek tek bir AB düzeyinde bildirim platformu altında birleştirilmektedir. “Bir kez bildir, birçok kez paylaş” modeli esas alınarak oluşturulan bu yapı sayesinde, AB’nin yüksek kişisel veri koruma seviyesinden taviz verilmeden önemli ölçüde idari tasarruf sağlanması amaçlanmaktadır.

AB, Veri ve Yapay Zekâda Yeni Bir Döneme Giriyor

Avrupa Komisyonu, aynı tarihte “Data Union Strategy – Yapay Zekâ İçin Verinin Önünün Açılması ” başlıklı strateji belgesini de yayımlamış; Avrupa’ nın veri ekonomisini güçlendirmeyi ve güvenilir yapay zekâ geliştirilmesini hızlandırmayı amaçlayan yol haritasını kamuoyu ile paylaşmıştır.

Strateji üç ana önceliğe odaklanmaktadır: yapay zekâ için yüksek kaliteli verilere erişimin ölçeklendirilmesi, AB veri mevzuatı çerçevesinin sadeleştirilmesi ve uluslararası veri akışlarında AB’ nin küresel konumunun güçlendirilmesi.

Komisyon; sağlık, enerji, imalat, mobilite ve finans gibi kilit sektörlerde Avrupa veri alanlarının genişletilmesini ve birbirine entegre edilmesini planlamaktadır. Bu sayede şirketlerin ve araştırmacıların, yenilikçilik ve yapay zekâ eğitimi için daha büyük hacimlerde güvenilir verilere erişmesi mümkün olacaktır.

Strateji, aynı zamanda Dijital Omnibus girişimiyle yakın uyum içinde olup; sadeleştirilmiş kurallar, standart sözleşme maddeleri ve geliştirilmiş bulut yönetişimi yoluyla hukuki parçalanmışlığın ve uyum maliyetlerinin azaltılmasını hedeflemektedir.

Güvenilir ortaklarla adil ve güvenli sınır ötesi veri akışları teşvik edilirken, AB verilerinin üçüncü ülkeler tarafından haksız erişim ve kötüye kullanıma karşı korunması amaçlanmaktadır. Veri altyapısı ve bulut teknolojilerine yönelik hedefli yatırımlar yoluyla Komisyon, yüksek veri koruma ve siber güvenlik standartları korunmak kaydıyla, AB’ yi veri ve yapay zekâ temelli inovasyonun küresel merkezlerinden biri hâline getirmeyi hedeflemektedir.

Güvencesiz Sınır Ötesi Veri Aktarımları Nedeniyle Yüksek GDPR Cezası

14 Kasım 2025 tarihinde Hırvatistan Kişisel Verileri Koruma Otoritesi, Genel Veri Koruma Tüzüğü (GDPR) ihlalleri nedeniyle bir telekomünikasyon işletmecisine 4,5 milyon Avro tutarında idari para cezası uygulamıştır. Karar aşağıdaki ihlallere dayanmaktadır:

(i) Kişisel verilerin, geçerli bir aktarım mekanizması bulunmaksızın, grup şirketlerinden birine Sırbistan’ a aktarılması,

(ii)Bu aktarıma ilişkin olarak ilgili kişilere şeffaf bilgilendirme yapılmaması,

(iii) Çalışanlara ait kimlik kartı kopyaları ve adli sicil kayıtlarının hukuka aykırı ve ölçüsüz şekilde işlenmesi,

(iv) Veri işleyen sıfatıyla faaliyet gösteren bir tele-pazarlama hizmet sağlayıcısı hakkında önceden herhangi bir güvenlik incelemesi (due diligence) yapılmaması.

Otorite, 27 Aralık 2022 tarihinden sonra veri sorumlusunun, standart sözleşme maddelerini yenilemeden Sırbistan ’daki veri işleyiciye veri aktarmaya devam ettiğini, herhangi bir Aktarım Risk Değerlendirmesi (Transfer Risk Assessment – TRA) gerçekleştirmediğini ve yaklaşık 847.000 kullanıcıya ait kişisel verileri içeren SAP CRM veritabanına veri işleyiciye sınırsız erişim yetkisi tanıdığını tespit etmiştir.

Üçüncü ülkelere yapılan veri aktarımlarına ilişkin gizlilik bildirimlerinde açık ve yeterli bilgilendirme bulunmaması, Veri Koruma Görevlisinin uyarılarına rağmen çalışanlara ait aşırı veri toplanması ve veri işleyici üzerinde temel güvenlik kontrollerinin dahi uygulanmamış olması, idari para cezasının belirlenmesinde ağırlaştırıcı unsurlar olarak değerlendirilmiştir.

EDPS, Yapay Zekâ İçin Veri Koruma Yaklaşımını Güçlendirdi

11 Kasım 2025 tarihinde Avrupa Veri Koruma Denetçisi (EDPS), AB kurumları tarafından yapay zekâ kullanımına bağlı olarak ortaya çıkan veri koruma risklerini ele alan Yapay Zekâ Sistemlerinde Risk Yönetimine İlişkin Rehberini yayımlamıştır. Rehber, kişisel veri işleyen yapay zekâ sistemlerinin tasarımı, tedariki, devreye alınması ve izlenmesi aşamalarını kapsayan yapılandırılmış bir risk yönetimi yaklaşımı ortaya koymaktadır.

EDPS; eğitim verilerindeki önyargı (bias), otomatik ayrımcılık, hatalı çıktılar, aşırı veri toplama ve ilgili kişi haklarının zayıflaması gibi risklerin erken aşamada değerlendirilmesi ve yapay zekâ sistemlerinin tüm yaşam döngüsü boyunca sürekli olarak izlenmesi gerektiğini vurgulamaktadır.

Bu soruşturma, Komisyon’un yeni yetkilerini kullanmak için beklemediğini ve uyumu aktif şekilde izlediğini kanıtlıyor. Olası sonuçlar ciddi; bir şirketin toplam küresel cirosunun %10’ una kadar para cezası uygulanabilir ve tekrar eden ihlallerde bu oran %20’ ye çıkabilir. Bu durum, DMA’ nın dijital ekonomide oyun alanını eşitlemek için güçlü bir araç olarak tasarlandığını ve özellikle medya gibi kritik sektörlerin korunmasına odaklandığını gösteriyor. Özellikle adil işlem, doğruluk, veri minimizasyonu, güvenlik ve hesap verebilirlik ilkelerine özel önem atfedilmektedir.

Rehber ayrıca, yorumlanabilirlik ve açıklanabilirliğin (interpretability & explainability) hukuka uygun yapay zekâ kullanımı açısından temel gereklilikler olduğunu açıkça ortaya koymaktadır. EDPS’ ye göre, “kara kutu” niteliğindeki sistemlere dayanılması şeffaflığı zedelemekte ve bireylerin haklarını etkin şekilde kullanmasını zorlaştırmaktadır. Bu yönüyle belge, yaklaşmakta olan Yapay Zekâ Tüzüğü (AI Act) ile paralel biçimde, daha teknoloji farkındalığı yüksek ve proaktif bir veri koruma uyum modeline geçişin sinyalini vermektedir.

Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi Yayınlandı

Kişisel Verileri Koruma Kurumu 24 Kasım 2025 tarihinde Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi’ ni (15 Soruda) yayınladı. Bu rehber üretken yapay zekânın çalışma prensiplerini, içerik üretim süreçlerini, model yapısını ve yaşam döngüsünü açıklayarak temel teknik çerçeveyi ortaya koyması ile ilgi çekiyor. Rehberde ayrıca bu teknolojilerin kullanım alanları ile halüsinasyon, ön yargı, veri güvenliği, deep fake ve fikri mülkiyet ihlalleri gibi riskler ele alınıyor.

Bunun yanında Rehber; veri sorumlusu–veri işleyen ayrımı, kişisel veri işleme şartları, temel ilkeler, şeffaflık ve yurt dışına aktarım gibi 6698 sayılı Kanun kapsamındaki yükümlülükleri değerlendiriyor; ilgili kişilerin haklarının nasıl kullandırılacağı ve güvenlik tedbirlerinin nasıl uygulanacağına ilişkin açıklamalar sunuyor. Ayrıca bireylerin günlük kullanımda dikkat etmesi gereken hususlar ile çocuk kullanıcılar bakımından ebeveynlere yönelik önerilere de yer vermekte.

Yapay zekâ teknolojilerinin hızla geliştiği bir ekosistemde, mahremiyetin korunmasına yönelik böylesi bir çerçevenin yayımlanması; toplumsal güvenin güçlendirilmesi ve sorumlu yapay zekâ kullanımının teşvik edilmesi açısından önemli bir adım niteliğinde.

Dijital Ekonomi Ortaklık Anlaşması TBMM’nin Onayına Sunuldu

Türk Devletleri Teşkilatı (TDT), dijital Ticaret ve veri güvenliğini ortak bir zeminde güçlendirecek önemli bir adım attı. TDT üyesi ülkeler arasında 6 Kasım 2024’te Bişkek’te imzalanan Dijital Ekonomi Ortaklık Anlaşması, Türkiye ’de onay sürecine girdi ve Anlaşmanın uygun bulunmasına dair 27/11/2025 tarihli Kanun teklifi yayımlandı.

Anlaşma, dijital ekonomide iş birliğini artırmayı hedeflerken özellikle kişisel verilerin korunmasına özel bir madde ayırıyor. Anlaşmanın 19. maddesi, taraf devletlere kişisel veri korumasına ilişkin ulusal bir yasal çerçeve oluşturma veya mevcut düzenlemeleri sürdürme yükümlülüğü getiriyor.

Ayrıca sınır ötesi veri aktarımı için açık kurallar belirlenmesi, bireylerin haklarına ve işletmelerin yükümlülüklerine ilişkin bilgilerin kamuya açık şekilde sunulması ve veri koruma uygulamalarında şeffaflığın artırılması öngörülüyor. Bu düzenleme, TDT ülkeleri arasında güvenli veri akışını kolaylaştırması, dijital ticarette ortak standartlar oluşturması ve kişisel verilerin korunması konusunda şeffaflığı güçlendirmesi nedeniyle önem taşıyor. Anlaşma, Türk dünyasında ortak bir dijital pazarın kurulmasına yönelik stratejik bir adım olarak değerlendiriliyor.

Bir İlk: Anlaşma Kapsamında Yurt Dışına Veri Aktarımına Onay Verildi

Kişisel Verileri Koruma Kurumu, 10 Kasım 2025 tarihinde yayımladığı duyuru ile,kişisel verilerin yurt dışına aktarılmasına ilişkin önemli bir kararını kamuoyu ile paylaştı. Duyuruda, İçişleri Bakanlığı Göç İdaresi Başkanlığı ile Birleşmiş Milletler Mülteciler Yüksek Komiserliği (BMMYK) arasında imzalanan uluslararası sözleşme niteliğinde olmayan bir anlaşmanın, veri aktarımına dayanak olarak değerlendirildiği belirtildi.

Kurul, söz konusu anlaşmayı Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik’in 11. Maddesi kapsamında inceleyerek anlaşmanın kişisel verilerin yurt dışına aktarımında gerekli güvence ve koruma mekanizmalarını içerdiği sonucuna ulaştı. Bu değerlendirme sonucunda, kişisel verilerin anılan anlaşma çerçevesinde yurt dışına aktarımına resmî olarak izin verildi.

Bu karar, Kanun ’daki “uluslararası sözleşme niteliğinde olmayan anlaşmalar” yoluyla kişisel veri aktarımına izin verilebilmesine ilişkin hükmün uygulama alanına dair somut bir örnek oluşturması bakımından dikkat çekiyor.

*Bu bülten yalnızca bilgilendirme amacıyla hazırlanmıştır; herhangi bir somut olay veya müvekkile yönelik hukuki görüş niteliği taşımaz.